Privacyverklaring

1. Wie zijn wij en waarom deze verklaring

Otomate bouwt en beheert AI-gedreven marketing- en klantcontactsystemen voor MKB-bedrijven, waaronder makelaarskantoren en cosmetische klinieken. Bij die dienstverlening verwerken wij persoonsgegevens. Deze verklaring beschrijft welke, waarom, hoe lang en met wie, in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG) en, waar relevant, de EU AI-verordening (Verordening (EU) 2024/1689).

Vragen of verzoeken? Mail naar [email protected].

2. Voor wie geldt deze verklaring

Deze verklaring geldt voor drie groepen. Onze rol en verantwoordelijkheid verschillen per groep.

2.1 Bezoekers van otomate.agency

Bezoek je onze website of vul je het contactformulier in, dan verzamelen wij gegevens over jou. Wij zijn dan verwerkingsverantwoordelijke. Deze verklaring is volledig op jou van toepassing.

2.2 Klanten en prospects van Otomate

Boekt jouw bedrijf een kennismakingsgesprek, ontvang je een offerte of word je klant, dan verwerken wij gegevens over jou als contactpersoon en over je organisatie. Wij zijn ook dan verwerkingsverantwoordelijke. Deze verklaring is volledig op jou van toepassing.

2.3 Eindklanten van bedrijven die met Otomate werken

Gebruikt een makelaar, kliniek of ander bedrijf onze systemen om met jou te communiceren (bijvoorbeeld via een chatbot, e-mail of WhatsApp), dan is dat bedrijf verwerkingsverantwoordelijke voor jouw gegevens. Wij zijn hun verwerker en handelen uitsluitend in hun opdracht. Voor vragen over de verwerking van jouw gegevens neem je contact op met het bedrijf waarmee je contact had. Deze verklaring is dan niet op jou van toepassing — de privacyverklaring van dat bedrijf wel. Wij ondersteunen dat bedrijf desgevraagd bij het beantwoorden van jouw verzoek.

3. Welke persoonsgegevens verwerken wij

3.1 Bezoekers van onze website

• IP-adres
• Browsertype en -versie
• Bezochte pagina's, verwijzende website en tijdstip van bezoek
• Cookiegegevens (zie sectie 8)

3.2 Prospects en klanten

Wanneer je contact met ons opneemt of klant wordt, verwerken wij:

• Voor- en achternaam
• Zakelijk e-mailadres
• Telefoonnummer
• Bedrijfsnaam en (indien opgegeven) functie
• Inhoud van berichten die je aan ons stuurt
• Inhoud en aantekeningen van kennismakings-, groei- en werksessies
• Factuur- en betaalgegevens
• Communicatievoorkeuren

4. Waarvoor gebruiken wij deze gegevens

Per doel vermelden wij de juridische grondslag, zoals artikel 13 AVG vereist.

Opvolging van een aanvraag of contactverzoek

Contact met je opnemen naar aanleiding van een formulier of e-mail. Grondslag: precontractuele maatregelen (art. 6 lid 1 sub b AVG) of gerechtvaardigd belang (art. 6 lid 1 sub f AVG). Ons belang is reageren op een door jou zelf gedane aanvraag.

Uitvoering van onze overeenkomst

Bouwen, implementeren, beheren en optimaliseren van de systemen die wij voor jouw bedrijf inrichten. Grondslag: uitvoering overeenkomst (art. 6 lid 1 sub b AVG).

Facturatie en administratie

Betalingen verwerken, facturen opstellen en bewaren. Grondslag: wettelijke verplichting (art. 6 lid 1 sub c AVG, art. 52 AWR, art. 2:10 BW).

Commerciële berichten

Toesturen van tips, updates en aanbiedingen over onze diensten. Grondslag: toestemming (art. 6 lid 1 sub a AVG). Je geeft toestemming via een actief vinkje op ons formulier. Uitschrijven kan altijd via de link in elk bericht of door een mail naar [email protected].

Analyse en verbetering van de website

Begrijpen hoe bezoekers onze site gebruiken, zodat we hem kunnen verbeteren. Grondslag: gerechtvaardigd belang (art. 6 lid 1 sub f AVG).

Nakomen wettelijke verplichtingen

Bijvoorbeeld reageren op verzoeken van toezichthouders of het voldoen aan fiscale bewaarplichten. Grondslag: wettelijke verplichting (art. 6 lid 1 sub c AVG).

5. Bijzondere aandacht: gezondheidsgegevens

Otomate bouwt systemen voor cosmetische klinieken en andere zorggerelateerde niches. Wij verwerken zelf geen gezondheidsgegevens in de zin van artikel 9 AVG. Onze architectuur is bewust zo ingericht dat behandelinhoud, diagnoses, medicatie en andere medische informatie in het praktijksysteem van de kliniek blijven en niet doorstromen naar ons communicatiesysteem.

Wat dit concreet betekent:

• Berichten van of aan de eindklant van een kliniek (bijvoorbeeld een afspraakherinnering of een chatgesprek) bevatten geen behandelnaam, diagnose of andere medische inhoud.
• Als een eindklant zelf via een chatbot of WhatsApp gezondheidsinformatie deelt (bijvoorbeeld "ik wil een herhaalafspraak voor mijn botox"), wordt die informatie niet opgeslagen in de originele vorm. Ons systeem vertaalt dat automatisch naar een neutrale code ("Behandeling A") en verwijdert de vrije-tekst gezondheidsinformatie uit de communicatielog zodra die vertaling is gemaakt. De inhoudelijke behandelinformatie blijft uitsluitend in het praktijksysteem van de kliniek, waar de kliniek verwerkingsverantwoordelijke is en over de vereiste grondslag onder artikel 9 lid 2 sub h AVG beschikt.
• De kliniek informeert haar eindklanten over deze verwerking in haar eigen privacyverklaring en zorgt voor de vereiste toestemming of andere geldige grondslag.
• In onze chatinterfaces staat een duidelijke instructie dat gebruikers geen gevoelige gezondheidsinformatie hoeven te delen. Een naam en het type afspraak volstaan.

Voor de gegevens die wij als verwerker voor een kliniek verwerken (naam, contact, afspraakinformatie zonder medische inhoud) is een verwerkersovereenkomst met die kliniek van kracht.

6. AI en geautomatiseerde verwerking

Onze dienstverlening gebruikt AI-technologie voor onder meer het beantwoorden van berichten, het inplannen van afspraken en het opstellen van opvolgcommunicatie. Wij vinden transparantie hierover belangrijk en volgen zowel de AVG als de EU AI-verordening (Verordening (EU) 2024/1689).

Herkenbaarheid van AI

In lijn met artikel 50 van de AI-verordening zorgen wij ervoor dat gebruikers weten dat zij met een AI-systeem communiceren wanneer dat zo is. Bij eerste contact via chat of AI-spraak wordt dit expliciet gemeld.

Geen volledig geautomatiseerde besluiten met rechtsgevolgen

Onze systemen nemen geen besluiten met rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen voor betrokkenen zonder menselijke tussenkomst (art. 22 AVG). AI-suggesties, kwalificaties en scoring worden altijd door een mens beoordeeld voordat er actie op wordt ondernomen die de betrokkene raakt.

AI-modellen die wij gebruiken

Onze AI-functionaliteit draait op modellen van gespecialiseerde leveranciers (waaronder OpenAI, Anthropic en Google). Deze partijen zijn opgenomen in onze sub-verwerkerslijst (sectie 9). Persoonsgegevens worden niet gebruikt om deze modellen te trainen.

Menselijke controle

Elke geautomatiseerde uiting die live gaat is vooraf door onze klant of door ons beoordeeld op toon, correctheid en juridische naleving. Bij twijfel of een emotionele reactie schakelt het systeem door naar een mens.

7. Bewaartermijnen

Wij bewaren gegevens niet langer dan nodig voor het doel waarvoor ze zijn verzameld.

• Klantgegevens (contact, contract, communicatie): 7 jaar na afloop van de overeenkomst — wettelijke bewaarplicht boekhouding (art. 2:10 BW, art. 52 AWR).
• Financiële en factuurgegevens: 7 jaar na afloop van het boekjaar — fiscale bewaarplicht.
• Gegevens van prospects die geen klant worden: maximaal 2 jaar na laatste contact.
• Gegevens van deelnemers aan kennismakings- of groeigesprekken zonder vervolg: 12 maanden.
• Communicatievoorkeuren en toestemmingsregistraties: 3 jaar na intrekking, ter bewijsvoering onder de AVG.
• E-mails en supportcorrespondentie: 2 jaar na afsluiting.
• Websitebezoekgegevens en analytische data: 30 dagen in ruwe vorm; daarna geanonimiseerd.
• Cookiegegevens: conform de bewaartermijn per cookie (zie sectie 8).
• AI-loggegevens: 6 maanden, voor operationele controle en veiligheidsdoeleinden.
• Gegevens die wij als verwerker voor onze klanten beheren: conform de instructies en bewaartermijnen in de verwerkersovereenkomst met de betreffende klant.

Na afloop van de bewaartermijn verwijderen wij de gegevens of anonimiseren wij ze zo dat herleiding onmogelijk is.

8. Cookies

Onze website gebruikt functionele en analytische cookies. Functionele cookies zijn noodzakelijk voor de basiswerking van de site en worden zonder toestemming geplaatst. Voor analytische cookies en cookies van derden vragen wij vooraf toestemming via een cookiebanner. Details staan in ons cookiebeleid op otomate.agency/cookies.

9. Aan wie geven wij gegevens door — sub-verwerkers

Wij delen persoonsgegevens uitsluitend met derden die ons ondersteunen bij het uitvoeren van onze diensten. Met elk van hen hebben wij een verwerkersovereenkomst gesloten.

Deze lijst kan wijzigen wanneer wij nieuwe leveranciers inzetten of afscheid nemen van bestaande. Bij ingrijpende wijzigingen informeren wij betrokkenen actief.

Wij delen jouw gegevens niet met andere derden, tenzij je daar uitdrukkelijk toestemming voor geeft of wij daartoe wettelijk verplicht zijn.

10. Doorgifte buiten de EER

Sommige sub-verwerkers zijn gevestigd buiten de Europese Economische Ruimte (EER), met name in de Verenigde Staten. Doorgifte vindt in dat geval alleen plaats met passende waarborgen, meestal de Standard Contractual Clauses (SCC's) zoals vastgesteld door de Europese Commissie, of het EU-VS Data Privacy Framework voor partijen die daaronder gecertificeerd zijn.

Wij beperken de hoeveelheid doorgegeven gegevens tot het strikt noodzakelijke en beoordelen periodiek of aanvullende maatregelen nodig zijn (zoals een Transfer Impact Assessment). Bij doorgifte naar de Verenigde Staten kunnen risico's bestaan met betrekking tot toegang door Amerikaanse overheidsinstanties; die risico's worden meegewogen in onze keuze voor leveranciers.

11. Beveiliging en datalekken

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, misbruik, onbevoegde toegang, openbaarmaking of wijziging. Concreet werken wij met:

• Versleutelde verbindingen (SSL/TLS)
• Toegangsbeheer op basis van least privilege
• Sterke, unieke wachtwoorden en waar mogelijk multi-factor authenticatie
• Regelmatige beveiligingsupdates en patching
• Back-ups en gescheiden opslag
• Geheimhoudingsplicht voor medewerkers en ingehuurde krachten
• Periodieke evaluatie van onze maatregelen

Datalekken

Wanneer zich een inbreuk in verband met persoonsgegevens voordoet, treffen wij direct maatregelen om de gevolgen te beperken. Als er sprake is van een risico voor de rechten en vrijheden van betrokkenen, melden wij de inbreuk binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens. Betrokkenen worden geïnformeerd zodra de inbreuk waarschijnlijk een hoog risico voor hun rechten en vrijheden vormt. Klanten waarvoor wij als verwerker optreden, worden onverwijld en uiterlijk binnen 24 uur na ontdekking geïnformeerd, zoals vastgelegd in onze verwerkersovereenkomst.

12. Jouw rechten

Onder de AVG heb je de volgende rechten:

• Recht op inzage (art. 15 AVG): opvragen welke gegevens wij over jou verwerken.
• Recht op rectificatie (art. 16 AVG): laten corrigeren van onjuiste of onvolledige gegevens.
• Recht op verwijdering / 'recht op vergetelheid' (art. 17 AVG): laten verwijderen van jouw gegevens, tenzij een wettelijke bewaarplicht ons verplicht ze te bewaren.
• Recht op beperking (art. 18 AVG): laten stopzetten van de verwerking, bijvoorbeeld tijdens een lopend geschil.
• Recht op dataportabiliteit (art. 20 AVG): jouw gegevens in een gangbaar, machineleesbaar formaat ontvangen of laten overdragen aan een andere partij.
• Recht van bezwaar (art. 21 AVG): bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
• Recht om toestemming in te trekken: op elk moment, zonder dat dit invloed heeft op de rechtmatigheid van verwerking vóór intrekking.
• Recht om niet te worden onderworpen aan een volledig geautomatiseerd besluit (art. 22 AVG).

Hoe uitoefenen?

Stuur je verzoek naar [email protected]. Beschrijf het verzoek zo duidelijk mogelijk. Wij kunnen vragen om een kopie van je legitimatiebewijs om je identiteit vast te stellen; je mag daarop je foto en BSN afschermen. Wij reageren binnen één maand. In complexe gevallen kan deze termijn met twee maanden worden verlengd; wij informeren je hierover (art. 12 lid 3 AVG).

Betreft je verzoek gegevens die wij als verwerker beheren voor een van onze klanten (bijvoorbeeld je makelaar of kliniek), dan verwijzen wij je door naar die klant en helpen wij die klant het verzoek te beantwoorden.

13. Klachten

Vind je dat wij niet zorgvuldig omgaan met jouw gegevens, neem dan eerst contact op via [email protected] — we lossen het het liefst zelf op. Kom je er met ons niet uit, dan heb je het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens:

14. Kinderen

Onze dienstverlening richt zich op bedrijven en volwassenen. Wij verzamelen niet bewust gegevens van personen onder de 16 jaar. Ontdekken wij dat dit onbedoeld is gebeurd, dan verwijderen wij de gegevens direct.

15. Wijzigingen

Wij passen deze verklaring aan wanneer wet- of regelgeving, uitspraken van toezichthouders of onze dienstverlening daarom vragen. De actuele versie staat altijd op otomate.agency/privacy. Bij ingrijpende wijzigingen informeren wij bestaande klanten actief per e-mail. Kijk periodiek op deze pagina.

16. Contact

Versie 2.0 — september 2026