01 Inleiding
Dit privacybeleid legt uit hoe Vertical Real Estate B.V., ingeschreven bij de Kamer van Koophandel (KvK) onder nummer 99566346, gevestigd aan de Zanddwarsstraat 12, 1011 HP Amsterdam (“wij”, “ons” of “onze”), handelend onder de naam BrickPilot, je persoonsgegevens verzamelt, gebruikt, deelt en beschermt als je onze website en het BrickPilot-platform bezoekt of gebruikt (samen de “Dienst”).
Lees dit privacybeleid samen met onze algemene voorwaarden, ons cookiebeleid en, waar van toepassing, de verwerkersovereenkomst (“DPA”). Bij tegenstrijdigheid geldt de rangorde uit de algemene voorwaarden.
Door de Dienst te bezoeken of te gebruiken, bevestig je dat je dit privacybeleid hebt gelezen en begrepen. Ben je het er niet mee eens, gebruik de Dienst dan niet.
02 Privacycontact
We hebben geen functionaris voor gegevensbescherming aangesteld, omdat dat volgens artikel 37 AVG gezien de aard en omvang van onze verwerkingen niet verplicht is. Voor alle vragen, verzoeken of klachten over privacy kun je terecht bij ons aangewezen privacycontact:
Laurens van Duin, privacycontact
E-mail: [email protected]
03 Persoonsgegevens die we verzamelen
3.1 Gegevens die je ons geeft
- Registratiegegevens: naam, e-mailadres, bedrijfsnaam en inloggegevens (ook via inloggen met Google en Microsoft).
- Betaal- en factuurgegevens: gegevens over je betaalmethode en je transacties. We slaan je kaartgegevens niet op; die verwerkt onze betaalprovider Mollie.
- Projectgegevens: documenten, bestanden, projectomschrijvingen, adressen en ander materiaal dat je via het Platform uploadt of maakt.
- Communicatie: berichten, supportvragen en feedback die je ons stuurt.
- Demoboekingen: als je een demo boekt op de agendapagina van Calendly in ons demovenster: je naam, e-mailadres, eventuele antwoorden op de boekingsvragen, en de datum en tijd die je kiest.
- Rapportaanvragen: als je via een formulier op onze website een rapport aanvraagt: het adres, je naam en e-mailadres, de pagina waarvandaan je het verstuurt, de campagne van je bezoek (doelgroep en UTM-parameters) en je IP-adres.
3.2 Gegevens die automatisch worden verzameld (gebruiksgegevens)
- Apparaat- en browsergegevens: IP-adres, type en versie van je browser, besturingssysteem, type apparaat, unieke apparaat-ID’s.
- Gebruiksgegevens: bezochte pagina’s, datum en tijd van bezoeken, tijd op pagina’s, verwijzende URL’s, klikpatronen en gebruik van functies.
- Loggegevens: serverlogs, foutmeldingen en diagnostische gegevens.
- Websitemetingen: met je toestemming de gegevens die Google Analytics 4, Mixpanel, Hotjar en de LinkedIn Insight Tag via cookies en vergelijkbare technieken verzamelen, zoals beschreven in ons cookiebeleid.
3.3 Gegevens van inloggen via derden
Registreer je je of log je in via Google of Microsoft, dan kunnen we je naam, e-mailadres en profielfoto verzamelen zoals die aanbieders ze beschikbaar stellen. Welke gegevens dat zijn, hangt af van je privacyinstellingen bij die aanbieder.
3.4 Gegevens uit openbare bronnen
Het Platform haalt namens jou gegevens op uit openbare bronnen (Kadaster, BAG, DSO, PDOK). Meestal zijn dat geen persoonsgegevens, maar waar dat wel zo is (bijvoorbeeld eigendomsgegevens), verwerken we ze alleen om de Dienst te leveren, op grond van de uitvoering van onze overeenkomst met jou.
04 Hoe we je persoonsgegevens gebruiken
We verwerken je persoonsgegevens voor de volgende doelen en op de volgende grondslagen:
| Doel | Omschrijving | Grondslag |
|---|---|---|
| De Dienst leveren | Het Platform laten werken, onderhouden en verbeteren; je account beheren; AI-ondersteunde projectworkflows, documentanalyse en het ophalen van gegevens uit openbare bronnen uitvoeren. | Uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG) |
| Gegevens uit openbare bronnen ophalen | Namens jou gegevens ophalen en verwerken uit openbare registers (Kadaster, BAG, DSO, PDOK), waar soms persoonsgegevens tussen zitten, zoals eigendomsgegevens. | Uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG) |
| Betalingen verwerken | Abonnementsbetalingen en losse aankopen verwerken via Mollie. | Uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG) |
| Demo’s plannen | Je een demo laten boeken via de agendapagina van Calendly in ons demovenster, en die demo met je voorbereiden en houden. | Stappen op jouw verzoek vóór het sluiten van een overeenkomst (art. 6 lid 1 sub b AVG) |
| Rapportaanvragen | Een rapportaanvraag die je via onze website stuurt afhandelen en daarover contact met je opnemen. | Stappen op jouw verzoek vóór het sluiten van een overeenkomst (art. 6 lid 1 sub b AVG) |
| Communicatie | Contact met je opnemen over je account, beveiligingsupdates, servicemeldingen en supportvragen. | Gerechtvaardigd belang (art. 6 lid 1 sub f AVG) |
| Marketing | Informatie sturen over producten, diensten en evenementen die lijken op wat je al gebruikt. Je kunt je hier altijd voor afmelden. | Gerechtvaardigd belang (art. 6 lid 1 sub f AVG), met afmeldmogelijkheid |
| Analyse en verbetering | Gebruikstrends analyseren, de effectiviteit van campagnes meten, en de Dienst en de prestaties van AI-modellen verbeteren. Google Workspace-gegevens zijn uitdrukkelijk uitgesloten van deze analyse- en modelverbeteringsdoelen. Websitemetingen met cookies staan in de volgende rij. | Gerechtvaardigd belang (art. 6 lid 1 sub f AVG) |
| Websiteanalyse en meting van advertenties | Meten hoe onze website wordt gebruikt (Google Analytics 4, Mixpanel en, op onze landingspagina’s, Hotjar) en wat onze advertenties op LinkedIn opleveren (LinkedIn Insight Tag), zoals beschreven in ons cookiebeleid. | Toestemming (art. 6 lid 1 sub a AVG) |
| Beveiliging en fraudepreventie | Ongeoorloofde toegang, misbruik en beveiligingsincidenten opsporen en voorkomen. | Gerechtvaardigd belang / wettelijke verplichting (art. 6 lid 1 sub c/f AVG) |
| Bedrijfsovernames | Fusies, overnames of verkoop van bedrijfsonderdelen beoordelen of uitvoeren, waarbij persoonsgegevens kunnen meegaan. | Gerechtvaardigd belang (art. 6 lid 1 sub f AVG) |
05 Gegevens uit Google Workspace-API’s
Deze paragraaf gaat specifiek over informatie die BrickPilot ontvangt via Google Workspace-API’s, waaronder Gmail-gegevens en gegevens die daarvan zijn afgeleid (“Google Workspace-gegevens”). Is deze paragraaf in strijd met een algemenere bepaling elders in dit privacybeleid, dan gaat deze paragraaf voor bij Google Workspace-gegevens.
5.1 Gegevens waartoe we toegang hebben
Koppel je Gmail, dan kan BrickPilot je e-mailadres van je Google-account zien, en de ontvangers, het onderwerp en de tekst van nieuwe concepten die je BrickPilot laat maken. BrickPilot vraagt daarvoor de beperktere toestemming gmail.compose. De huidige koppeling leest of doorzoekt geen bestaande berichten in je inbox, heeft geen toegang tot labels of de gelezen/ongelezen-status, archiveert geen berichten en heeft geen toegang tot bijlagen in Gmail.
5.2 Hoe we de gegevens gebruiken
We gebruiken Google Workspace-gegevens alleen om je account te koppelen en op jouw verzoek nieuwe concepten in Gmail te maken. De AI-assistent van BrickPilot verstuurt nooit zelf een e-mail. Je controleert en verstuurt elk concept zelf vanuit Gmail.
5.3 Opslag en bewaring
OAuth-toegangs- en vernieuwingstokens worden versleuteld opgeslagen en alleen bewaard zolang je Gmail-koppeling actief is. BrickPilot stuurt alleen de concepttekst die je zelf aanlevert naar Gmail en haalt geen kopie van je mailbox op en maakt die ook niet. Inhoud die je zelf in een BrickPilot-gesprek of -concept zet, bewaren we als onderdeel van die door jou gevraagde uitkomst, volgens de bewaartermijnen in paragraaf 10. Ontkoppel je Gmail, dan trekken we de toestemming bij Google in waar dat technisch kan en verwijderen we de opgeslagen koppelgegevens. Je kunt de toegang ook intrekken in je Google-account, of ons vragen gerelateerde gegevens te verwijderen via [email protected].
5.4 Delen, menselijke inzage en AI
We verkopen Google Workspace-gegevens niet, gebruiken ze niet voor advertenties, delen ze niet met datahandelaren en gebruiken ze niet voor beslissingen over krediet, leningen of verzekeringen. We geven ze alleen door aan dienstverleners die nodig zijn om de functie te leveren die je vroeg, zoals onze beveiligde hosting- en AI-inferentieaanbieders, onder contractuele geheimhoudings- en gegevensbeschermingsverplichtingen; als dat nodig is voor beveiliging of de wet; of met je uitdrukkelijke toestemming. Mensen krijgen geen inzage, behalve met jouw uitdrukkelijke instemming voor specifieke gegevens, als dat nodig is voor beveiliging of onderzoek naar misbruik, als de wet het eist, of voor interne bedrijfsvoering nadat de gegevens zijn samengevoegd en geanonimiseerd.
Google Workspace-gegevens gebruiken we alleen om de specifieke uitkomst te maken die je vroeg. We gebruiken ze niet om algemene of niet-persoonlijke AI- of machinelearningmodellen, foundation models of modellen voor andere klanten te ontwikkelen, te verbeteren of te trainen.
5.5 Google Limited Use
Het gebruik door BrickPilot van informatie die we via Google-API’s ontvangen, en de doorgifte daarvan aan andere apps, volgt de Google API Services User Data Policy, inclusief de eisen voor Limited Use.
06 Met wie we je gegevens delen
- Dienstverleners (subverwerkers): externe partijen die namens ons gegevens verwerken om de Dienst te leveren, zoals vermeld in paragraaf 9.
- Betaalprovider: Mollie verwerkt je betaalgegevens. We slaan geen kaartgegevens op.
- Gelieerde ondernemingen: we kunnen gegevens delen met gelieerde ondernemingen die zich aan dit privacybeleid houden.
- Bedrijfsovernames: bij een fusie, overname of verkoop van bedrijfsonderdelen kunnen je gegevens worden overgedragen. We laten het je weten voordat er een ander privacybeleid voor je gegevens gaat gelden.
- Politie, justitie en wettelijke eisen: we kunnen gegevens verstrekken als de wet dat eist, om te reageren op geldige verzoeken van overheidsinstanties, om onze rechten te beschermen, misbruik te voorkomen of de veiligheid van gebruikers te beschermen.
- Met je toestemming: met je uitdrukkelijke toestemming kunnen we gegevens ook voor andere doelen verstrekken.
08 Doorgifte van gegevens buiten de EER
Je gegevens, waaronder persoonsgegevens, worden verwerkt op onze kantoren en door onze dienstverleners, van wie een deel buiten de Europese Economische Ruimte (EER) is gevestigd, onder meer in de Verenigde Staten.
Worden persoonsgegevens doorgegeven naar een land buiten de EU/EER zonder passend beschermingsniveau, dan is die doorgifte beschermd met modelcontractbepalingen van de EU (SCC’s) of andere goedgekeurde waarborgen uit hoofdstuk V AVG, waar nodig aangevuld met extra maatregelen.
Je kunt informatie over de getroffen waarborgen opvragen via [email protected].
09 Dienstverleners en subverwerkers
De volgende externe dienstverleners kunnen bij je persoonsgegevens om namens ons diensten te leveren:
| Aanbieder | Verwerkingen | Locatie | Doorgiftemechanisme | Categorie |
|---|---|---|---|---|
| Amazon Web Services (AWS) | Cloudinfrastructuur, rekenkracht, opslag, hosting; inferentie van AI-modellen via AWS Bedrock (Anthropic) | Wereldwijde inferentie over regio’s heen; primaire opslag in de EU / Zwitserland | DPA van AWS; SCC’s voor internationale doorgifte | Infrastructuur & AI |
| Railway (Railway Corp.) | Hosting van applicatie en frontend, backenddiensten, edge-levering, logging, containerorkestratie | VS | DPA van Railway; SCC’s | Infrastructuur |
| Storyblok (Storyblok GmbH) | Contentmanagementsysteem (CMS) voor content op de website en het platform | EU | DPA van Storyblok | CMS |
| OpenRouter (OpenRouter, Inc.) | Routering van AI-modellen en API-gateway; doorsturen van prompts naar Mistral en andere AI-aanbieders voor inferentie | VS | DPA van OpenRouter; SCC’s | AI-inferentie |
| Slack (Salesforce, Inc.) | Interne communicatie in het team, waaronder het afhandelen van supportvragen en projectcoördinatie waarbij gegevens van gebruikers ter sprake kunnen komen | VS | DPA van Slack; SCC’s; DPF | Communicatie |
| GitHub (Microsoft) | Hosting van broncode, versiebeheer, CI/CD-pijplijnen | VS | DPA van GitHub; SCC’s; DPF | Ontwikkeling |
| Mollie B.V. | Betalingen voor abonnementen en aankopen | EU (NL) | DPA van Mollie | Betalingen |
| Google (Google LLC) | Leads voor marketing: inzendingen van de websitescan en het contactformulier (naam, e-mailadres, bedrijf, adres) worden ontvangen en opgeslagen via Google Apps Script / Google Sheets | VS | DPA van Google; SCC’s; DPF | Marketing |
| Google (Google Ireland Ltd / Google LLC) | Google Tag Manager en Google Analytics 4 voor websiteanalyse, alleen op de marketingsite brickpilot.ai en alleen geladen na actieve toestemming voor analytics | EU (Google Ireland Ltd, contractpartij); doorgifte aan Google LLC in de VS is mogelijk | DPF voor Google LLC; SCC’s waar van toepassing | Analyse op basis van toestemming |
| Calendly (Calendly, LLC) | Demo’s plannen: toont de agendapagina in het demovenster (alleen geladen als je dat opent) en verwerkt boekingen (naam, e-mailadres, eventuele antwoorden, gekozen tijd) en technische gegevens zoals je IP-adres | VS | DPF; SCC’s | Demo’s plannen |
| Mixpanel (Mixpanel, Inc.) | Websiteanalyse: paginabezoeken en stappen zoals klikken op een demo- of rapportknop, met een willekeurige bezoekers-ID en de campagne van het bezoek, op onze website en in de vergunningvrij-check op app.brickpilot.ai; alleen geladen na actieve toestemming voor analytics | Bedrijf in de VS; gegevens gaan naar de Europese servers van Mixpanel | Zie het privacybeleid van Mixpanel | Analyse op basis van toestemming |
| Hotjar (Hotjar Ltd) | Analyse van hoe bezoekers onze landingspagina’s gebruiken, zoals klikken en scrollen; alleen geladen op landingspagina’s en alleen na actieve toestemming voor analytics | EU (Malta) | Zie het privacybeleid van Hotjar | Analyse op basis van toestemming |
| LinkedIn (LinkedIn Ireland Unlimited Company) | LinkedIn Insight Tag: onze advertenties op LinkedIn meten en richten (URL van de pagina, verwijzende pagina, IP-adres, kenmerken van apparaat en browser, tijdstempel, cookie-ID’s van LinkedIn); alleen geladen na actieve toestemming voor marketing | EU (Ierland) | Zie het privacybeleid van LinkedIn | Marketing op basis van toestemming |
| HubSpot (HubSpot, Inc.) | Klantrelatiebeheer: rapportaanvragen via onze website (naam, e-mailadres, adres, pagina, campagne van het bezoek) worden als contact opgeslagen; verstuurd vanaf onze servers, zonder scripts of cookies van HubSpot op de website | VS | Zie het privacybeleid van HubSpot | CRM |
| Postmark (AC PM LLC, onderdeel van ActiveCampaign) | Versturen van e-mail vanuit ons platform en onze website, ook de interne melding aan ons team van een rapportaanvraag (naam, e-mailadres, adres, pagina, campagne van het bezoek, IP-adres) | VS | Zie het privacybeleid van Postmark | E-mailverzending |
| Telegram (Telegram Messenger Inc.) | Interne meldingen aan ons team, bijvoorbeeld van nieuwe aanmeldingen, demoboekingen, quickscan-aanvragen en rapportaanvragen (naam en e-mailadres en, afhankelijk van de melding, adres, bedrijf, pagina of antwoorden bij de boeking) | Zie het privacybeleid van Telegram | Zie het privacybeleid van Telegram | Interne communicatie |
| Sentry (Functional Software, Inc.) | Foutmeldingen van de website: technische details van de fout, informatie over browser en apparaat, en het paginaadres zonder queryparameters; zo ingesteld dat er geen gebruikersgegevens, cookies of formulierinhoud worden verstuurd, en zonder cookies op je apparaat | VS | Zie het privacybeleid van Sentry | Foutbewaking |
Over OpenRouter: OpenRouter stuurt invoer door naar onderliggende aanbieders van AI-modellen (waaronder Mistral). We eisen van OpenRouter dat het contractueel zorgt voor gelijkwaardige verplichtingen voor gegevensbescherming bij elke onderliggende aanbieder.
Over AWS Bedrock: AI-inferentie met modellen van Anthropic loopt via AWS Bedrock. Gegevens die via Bedrock worden verwerkt, vallen onder de verwerkingsvoorwaarden van AWS, kunnen wereldwijd binnen de inferentie-infrastructuur van AWS over regio’s heen worden gerouteerd, en verlaten de infrastructuur van AWS niet.
Over Calendly: Calendly verwerkt de gegevens van een demoboeking namens ons. Voor de cookies die Calendly in het demovenster plaatst, en voor andere gegevens die Calendly voor eigen doelen verwerkt, is Calendly verantwoordelijk volgens zijn eigen Privacy Notice. Calendly geeft aan dat het voor doorgifte vanuit de EER gebruikmaakt van het EU-U.S. Data Privacy Framework en modelcontractbepalingen.
Over LinkedIn: LinkedIn gebruikt de gegevens die het via de Insight Tag ontvangt ook volgens zijn eigen privacybeleid, en kan ze koppelen aan je LinkedIn-account als je er een hebt.
10 Bewaartermijnen
- Accountgegevens: bewaard zolang je account actief is, en verwijderd twee (2) jaar na deactivering of inactiviteit.
- Projectgegevens: bewaard zolang je account actief is. Na beëindiging bewaren we projectgegevens dertig (30) dagen, zodat je ze kunt exporteren; daarna verwijderen we ze veilig.
- Koppelgegevens van Google: alleen bewaard zolang je Google-koppeling actief is, en verwijderd als je die ontkoppelt, de toegang intrekt of je account verwijdert, met als enige uitzondering kortdurende back-ups en wettelijke of beveiligingsverplichtingen.
- Demoboekingen: bewaard zolang nodig om de demo voor te bereiden, te houden en op te volgen, en uiterlijk twaalf (12) maanden na de datum van de demo verwijderd, tenzij je klant wordt; dan gaan ze deel uitmaken van je accountgegevens. We verwijderen de boeking in Calendly volgens hetzelfde schema. Gegevens die Calendly voor eigen doelen verwerkt, worden bewaard volgens de Privacy Notice van Calendly.
- Gegevens van websiteanalyse en advertenties: hoe lang Google, Mixpanel, Hotjar en LinkedIn de gegevens bewaren die ze via cookies op onze website ontvangen, bepaalt de leverancier en, waar de leverancier een keuze biedt, de instelling van ons account bij die leverancier. Volgens LinkedIn verwijdert het de directe identificerende gegevens van leden binnen zeven dagen en de overgebleven gepseudonimiseerde gegevens binnen 180 dagen. De looptijden van de cookies zelf staan in ons cookiebeleid.
- Gegevens voor wettelijke verplichtingen: bewaard tot één (1) jaar nadat het doel van de verzameling is bereikt, om aan wettelijke verplichtingen te voldoen en geschillen op te lossen.
- Gebruiksgegevens: bewaard voor interne analyse, ten hoogste vierentwintig (24) maanden, tenzij nodig voor beveiliging of wettelijke doelen.
11 Je rechten
Volgens de AVG en andere toepasselijke privacywetgeving heb je de volgende rechten:
- Inzage: een kopie opvragen van de persoonsgegevens die we over je hebben.
- Rectificatie: onjuiste of onvolledige gegevens laten corrigeren.
- Wissen: je gegevens laten verwijderen, met inachtneming van wettelijke bewaarplichten.
- Beperking: in bepaalde gevallen de verwerking laten beperken.
- Overdraagbaarheid: je gegevens ontvangen in een gestructureerde, machineleesbare vorm.
- Bezwaar: bezwaar maken tegen verwerking op grond van gerechtvaardigd belang, waaronder direct marketing.
- Toestemming intrekken: waar de verwerking op toestemming berust, die toestemming op elk moment intrekken.
Je kunt deze rechten uitoefenen via je accountinstellingen of door contact met ons op te nemen via [email protected]. We reageren binnen één (1) maand, tenzij de complexiteit van je verzoek tot twee extra maanden nodig maakt.
Je hebt het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens of bij de toezichthouder in je eigen land.
12 Verwerkersovereenkomst
Upload je in je beroep of bedrijf persoonsgegevens naar het Platform, dan zijn wij volgens de AVG verwerker en ben jij verwerkingsverantwoordelijke. De verwerkersovereenkomst, een apart (Engelstalig) document, beschrijft deze afspraken.
13 Privacy van kinderen
De Dienst is niet bedoeld voor personen jonger dan 18 jaar. We verzamelen niet bewust persoonsgegevens van minderjarigen. Merken we dat dat toch is gebeurd zonder toestemming van een ouder, dan verwijderen we die gegevens zo snel mogelijk.
14 Beveiliging
We nemen passende technische en organisatorische maatregelen, waaronder versleuteling tijdens transport, toegangscontrole, toegang op basis van minimale rechten, monitoring en procedures voor het afhandelen van incidenten. OAuth-tokens van Google worden versleuteld opgeslagen en zijn alleen toegankelijk voor systemen en bevoegde medewerkers die ze nodig hebben om de gekoppelde dienst te laten werken. Geen enkele manier van elektronische overdracht of opslag is echter 100% veilig, en we kunnen geen absolute veiligheid garanderen.
15 Wijzigingen in dit privacybeleid
We kunnen dit privacybeleid van tijd tot tijd aanpassen. Bij belangrijke wijzigingen plaatsen we de nieuwe versie en laten we het je, waar passend, per e-mail weten. De versiedatum bovenaan geeft aan wanneer het voor het laatst is herzien.
16 Contact
Heb je vragen over dit privacybeleid of wil je je rechten uitoefenen? Neem dan contact met ons op:
Vertical Real Estate B.V. (handelend onder de naam BrickPilot)
Zanddwarsstraat 12, 1011 HP Amsterdam
Nederland
KvK: 99566346
Btw: NL869042221B01
Privacycontact: Laurens van Duin
E-mail: [email protected]