Privacybeleid

1. Wiens gegevens verwerken wij?

Er zijn twee groepen betrokkenen. De eerste groep bestaat uit de bedrijfseigenaren en hun personeel die zich bij Dejavu registreren (het "Bedrijf"). De tweede groep bestaat uit de eindklanten die een afspraak maken door een bericht te sturen naar het WhatsApp-nummer van het Bedrijf (de "Klant").

Voor de gegevens van het Bedrijf is Dejavu de verwerkingsverantwoordelijke. Voor de gegevens van de Klant is het Bedrijf de verwerkingsverantwoordelijke; Dejavu is de verwerker die deze gegevens namens en in opdracht van het Bedrijf verwerkt.

2. Welke gegevens verzamelen wij?

Bedrijfsaccount: bedrijfsnaam, naam van de bevoegde persoon, telefoonnummer, e-mailadres, vestigingsgegevens, lijst van diensten en prijzen, openingstijden, namen van personeel, taalvoorkeur, abonnementsplan en factuurstatus.

WhatsApp-koppeling: het eigen WhatsApp-account van het Bedrijf wordt gekoppeld via een QR-code. Om de verbinding in stand te houden, worden sessiesleutels op de server bewaard. Dejavu kent en bewaart het WhatsApp-wachtwoord van het Bedrijf niet.

Klantgegevens: WhatsApp-telefoonnummer, WhatsApp-profielnaam, afspraakgegevens (datum, tijd, dienst, vestiging, medewerker), de gespreksgeschiedenis met de assistent (tekst) en, indien verzonden, de uitgeschreven versie van een spraakbericht.

Agenda-integratie: als het Bedrijf de Google Agenda-koppeling inschakelt, worden de toegangsgegevens versleuteld met AES-256-GCM op schijf bewaard.

Technische registraties: serverlogboeken. Telefoonnummers worden gemaskeerd in de logboeken geschreven.

De landingspagina gebruikt geen cookies en bevat geen analyse- of advertentiescripts van derden. Het bedrijfspaneel gebruikt uitsluitend het sessietoken dat nodig is om uw sessie in stand te houden.

3. Waarom verwerken wij deze gegevens?

Om afspraken te maken, te wijzigen en te annuleren; om 24 uur en 1 uur vóór de afspraak een WhatsApp-herinnering te sturen; om in het bedrijfspaneel afspraken, klantgegevens en een dagoverzicht te tonen; om abonnementen en facturatie af te handelen; om ondersteuningsverzoeken te beantwoorden; en om de beveiliging van de dienst en de bescherming tegen misbruik te waarborgen.

De gespreksgeschiedenis wordt bewaard om een lopende afspraakprocedure met dezelfde Klant (gekozen dienst, tijd, vestiging) te kunnen voortzetten. De functie klantgeheugen leest eerdere afspraken en voorkeuren uit deze gegevens.

4. Rechtsgrond

Gegevens van het Bedrijf: het sluiten en uitvoeren van de overeenkomst (abonnement), wettelijke verplichtingen (factuur- en boekhoudadministratie) en het gerechtvaardigd belang bij de beveiliging van de dienst.

Gegevens van de Klant: de Klant vraagt een afspraak aan door een bericht te sturen naar het WhatsApp-nummer van het Bedrijf; deze verwerking berust op het tot stand brengen en uitvoeren van de afspraakrelatie tussen de Klant en het Bedrijf. Het Bedrijf is verantwoordelijk voor het informeren van zijn eigen klanten.

5. Waar worden de gegevens bewaard?

De applicatie en de database draaien in het datacenter van Hetzner Online GmbH in Duitsland.

Om de assistent een antwoord te laten opstellen, wordt de berichttekst doorgestuurd naar AI-aanbieders (Google, Anthropic, OpenAI); een deel van deze aanbieders bevindt zich buiten de Europese Unie. De aanbieders ontvangen geen telefoonnummer, maar alleen de gesprekstekst die nodig is om een antwoord op te stellen en de dienst- en tijdgegevens van het Bedrijf.

Terwijl berichten via WhatsApp worden verzonden, geldt de end-to-end-versleuteling van WhatsApp. De gespreksgeschiedenis die onze server bereikt, wordt in de database bewaard; het databasebestand zelf wordt niet op applicatieniveau versleuteld, maar op schijf- en toegangsniveau beschermd.

6. Met wie delen wij de gegevens?

Uw gegevens worden niet aan derden verkocht en niet voor marketingdoeleinden gedeeld.

De subverwerkers die wij inzetten om de dienst te leveren: hosting (Hetzner, Duitsland), AI-antwoordgeneratie (de hierboven genoemde aanbieders), Google Agenda als het Bedrijf daarvoor toestemming geeft, en de betaaldienstverlener die bij de betaling van het abonnement wordt gebruikt. Dejavu bewaart geen kaartgegevens.

Bij een wettelijke verplichting (rechterlijk bevel, verzoek van een bevoegde instantie) worden uitsluitend de gevraagde gegevens gedeeld, en uitsluitend met de bevoegde instantie.

7. Hoelang bewaren wij de gegevens?

Zolang het account actief is, worden de gegevens bewaard zolang dat voor de dienst nodig is.

Na opzegging van het abonnement worden de gegevens 30 dagen bewaard; als u binnen deze periode terugkeert, gaat u verder waar u gebleven was. Na afloop van de 30 dagen worden afspraken, gespreksregistraties en klantgegevens gewist.

Bij een verwijderverzoek worden afspraken, gespreksregistraties en klantgegevens in één handeling definitief gewist (AVG artikel 17 — recht op vergetelheid). Factuur- en boekhoudgegevens worden gedurende de wettelijke bewaartermijn apart bewaard.

8. Hoe beschermen wij de gegevens?

De gegevens van elk bedrijf worden onder een eigen identiteit bewaard; geen enkel bedrijf heeft toegang tot de gegevens van een ander.

Toegang tot het paneel en de API wordt beschermd met sleutels die in constante tijd worden gecontroleerd, sessietokens worden ondertekend met HMAC-SHA256 en het aantal verzoeken wordt begrensd.

Databasequery's werken met voorbereide instructies (prepared statements) en binnenkomende gegevens worden gevalideerd aan de hand van een schema. Toegangsgegevens van de agenda worden versleuteld met AES-256-GCM. Telefoonnummers worden gemaskeerd in de logboeken geschreven.

9. Uw rechten

U hebt het recht op inzage in uw gegevens, op rectificatie, op verwijdering, op beperking van de verwerking, op overdraagbaarheid van gegevens en op bezwaar. Stuur uw verzoek naar info@dmrio.com; het wordt uiterlijk binnen 30 dagen beantwoord.

Bent u een Klant, richt uw verzoek dan eerst tot het Bedrijf waarbij u de afspraak hebt gemaakt; Dejavu voert het verzoek van het Bedrijf uit. Neemt u rechtstreeks contact met ons op, dan sturen wij uw verzoek door naar het betreffende Bedrijf.

Bevindt u zich in de Europese Unie, dan behoudt u het recht een klacht in te dienen bij de gegevensbeschermingsautoriteit van uw land; bevindt u zich in Turkije, dan bij de Turkse Autoriteit Persoonsgegevens (KVKK Kurulu).

10. Kinderen

Dejavu is een dienst voor bedrijven en opent geen accounts voor personen jonger dan 18 jaar. De verplichting om de leeftijd van een Klant te verifiëren ligt bij het Bedrijf.

11. Wijzigingen

Wanneer dit beleid wijzigt, wordt de datum bovenaan de pagina bijgewerkt. Bij belangrijke wijzigingen worden bedrijfseigenaren geïnformeerd via het geregistreerde e-mailadres of via het paneel.

Contact

Voor vragen over deze teksten en voor gegevensverzoeken: info@dmrio.com