Vera is een dienst van aiwerkers B.V. (handelend onder de naam ai-werkers), statutair gevestigd te Utrecht, ingeschreven bij de Kamer van Koophandel onder nummer 42114106 (RSIN 869793627). Vera helpt jou afspraken te plannen met je klanten via e-mail. Deze privacyverklaring beschrijft welke persoonsgegevens we verwerken, waarom, hoe lang en welke rechten je hebt. Voor vragen mail je privacy@ai-werkers.nl.
1. Welke gegevens we verwerken
Wanneer je Vera gebruikt verwerken we drie categorieën gegevens:
- Accountgegevens. Je naam, e-mailadres, taalvoorkeur, tijdzone, werkuren, signature. Optioneel een MFA-secret.
- E-mailverkeer dat Vera verwerkt. Inkomende mails waarin je Vera in CC zet, plus Vera's uitgaande reacties. We versleutelen de inhoud (AES-256-GCM) met een sleutel die uniek is per klant.
- Google user data — zie sectie 4 hieronder voor de volledige toelichting.
- Technische gegevens. Beperkt: IP-adres (alleen tijdens login en webhook-calls, voor anti-misbruik), user-agent, loginmomenten, een geanonimiseerde session-cookie. Geen third-party tracking-cookies.
2. Waarvoor we gegevens gebruiken
- De scheduling-functionaliteit van Vera leveren.
- Beveiliging: misbruikdetectie, rate-limiting, audit-log.
- Wettelijke verplichtingen (bv. fiscale bewaarplicht voor facturen).
- Niet voor het trainen van generieke AI-modellen (zie sectie 4) en niet voor advertenties of doorverkoop aan derden.
3. Met wie we gegevens delen (sub-verwerkers)
Vera draait op een kleine, EU-gerichte set sub-verwerkers. Elke sub-verwerker heeft een Data Processing Agreement met ons:
- Railway (US-bedrijf, EU-region Frankfurt) — hosting van de applicatie en database. Encrypted at rest.
- Brevo (Frankrijk, EU) — e-mail in- en uitgaand.
- Mistral AI (Frankrijk, EU) — LLM-classifier en drafter voor Vera's antwoorden.
- Mollie (Amsterdam, NL/EU) — facturatie en betalingen.
- Google — uitsluitend wanneer jij je eigen Google Calendar koppelt. Wij praten dan namens jou met Google's Calendar API; we delen niets met andere Google-producten.
- Microsoft — uitsluitend wanneer jij je eigen Microsoft 365- of Outlook-agenda koppelt. We praten dan namens jou met Microsoft Graph (Calendars.ReadWrite); we delen niets met andere Microsoft-producten.
Demo-only: de "Praat met Vera"-pagina laat je optioneel OpenAI kiezen als alternatief LLM. Die demo verstuurt geen mails en slaat geen data op, maar het gekozen LLM verwerkt jouw geplakte tekst kortstondig. Voor de echte productie-pipeline wordt uitsluitend Mistral gebruikt; OpenAI raakt nooit klantgegevens uit gekoppelde Google/Microsoft accounts.
We delen géén persoonsgegevens met sub-verwerkers buiten de EU/EER zonder een geldige overdrachtsgrond (Standard Contractual Clauses).
4. Google user data — Limited Use Disclosure
Wanneer je je Google-account koppelt voor agenda-toegang, verwerken we de volgende Google user data:
- OAuth refresh-token, encrypted at rest met AES-256-GCM en een sleutel uniek voor jouw tenant.
- E-mailadres en naam uit je Google profiel (om te tonen welk Google-account is gekoppeld).
- Free/busy-informatie uit je primaire agenda — om slots te kunnen voorstellen die in jouw beschikbaarheid passen.
- Calendar event-metadata alleen voor events die Vera zelf heeft aangemaakt (titel, tijdstip, deelnemers). We lezen géén events die door anderen zijn aangemaakt buiten de free/busy-check.
Limited Use: Vera's gebruik en doorgifte aan andere applicaties van informatie ontvangen via Google APIs voldoet aan het Google API Services User Data Policy, inclusief de Limited Use-vereisten. In concreto:
- We gebruiken Google user data uitsluitend om de door jou gevraagde scheduling-functionaliteit te leveren.
- We dragen Google user data niet over aan derden behalve waar noodzakelijk om de dienst te leveren, om te voldoen aan toepasselijke wetgeving, of als onderdeel van een fusie/overname met passende waarborgen.
- We gebruiken Google user data niet voor het ontwikkelen, verbeteren of trainen van generieke AI- of machine-learning-modellen. De LLM (Mistral) die Vera's antwoorden schrijft krijgt alleen de mail-context voor die specifieke reply en bewaart geen data over sessies heen.
- We staan geen menselijke toegang tot Google user data toe behalve: (a) met expliciete toestemming van jou; (b) voor security-incidenten die we wettelijk moeten onderzoeken; (c) om te voldoen aan toepasselijke wet- en regelgeving; (d) voor interne operaties die strikt noodzakelijk zijn voor service-levering, op geanonimiseerde of geaggregeerde data.
5. Hoe lang we gegevens bewaren
- Accountgegevens: zolang je account actief is en tot 30 dagen na opzegging (voor herstel-mogelijkheid). Daarna worden ze definitief verwijderd, met uitzondering van wat we wettelijk moeten bewaren (bv. facturatiegegevens, 7 jaar fiscaal).
- E-mailinhoud en threads: 90 dagen rolling window; oudere threads worden automatisch verwijderd, tenzij je een langer window kiest in je voorkeuren.
- Google OAuth refresh-token: tot je in het Vera- dashboard op "Agenda ontkoppelen" klikt, of via myaccount.google.com/permissions de toegang aan onze app intrekt.
- Technische logs: 30 dagen, daarna automatisch geschoond.
- Audit-log: 12 maanden, daarna geaggregeerd voor metrics, individuele entries verwijderd.
6. Hoe we gegevens beveiligen
- EU-datacenters (Frankfurt).
- Encryption at rest met AES-256-GCM.
- Envelope-encryption: één master-sleutel (KEK) versleutelt een per- tenant data-sleutel (DEK). Compromittering van één tenant raakt geen andere klanten.
- Multi-Factor Authentication verplicht voor productieaccounts.
- HTTPS-only, HSTS, secure + httpOnly + SameSite cookies.
- Toegang voor onze medewerkers is op need-to-know basis en gelogd via audit-trail.
7. Jouw rechten (AVG)
Als betrokkene heb je het recht om:
- Te weten welke gegevens we van je hebben (inzage).
- Onjuiste gegevens te laten corrigeren.
- Je gegevens te laten verwijderen (recht om vergeten te worden) — dit gebeurt direct via de "Account verwijderen"-knop in je dashboard, of door te mailen naar privacy@ai-werkers.nl.
- De verwerking te laten beperken of je toestemming in te trekken.
- Je gegevens in een portable formaat te ontvangen.
- Bezwaar te maken tegen specifieke verwerkingen.
- Een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).
8. Rol-verdeling AVG
Voor het verwerken van mailinhoud van jouw klanten ben jij de verwerkingsverantwoordelijke en zijn wij verwerker. Bij signup teken je digitaal een verwerkersovereenkomst (DPA) met ons. Voor onze eigen accountadministratie zijn wij verwerkingsverantwoordelijke.
9. Cookies
We gebruiken alleen functionele cookies (session, theme, cookie- consent zelf) en geanonimiseerde Google Analytics 4 — pas nadat je expliciet akkoord gaat met de cookie-banner. Geen advertentie- cookies, geen tracking pixels, geen Facebook-cookies.
10. Wijzigingen
Bij materiële wijzigingen aan deze verklaring informeren we actieve gebruikers per e-mail én via een banner in het dashboard, minimaal 14 dagen voordat de wijziging ingaat.
Contact
Vragen, datalek-meldingen of inzageverzoeken? privacy@ai-werkers.nl. Op werkdagen antwoorden we binnen 48 uur.