Privacyverklaring

GetSam is een handelsnaam van Coderize, ingeschreven bij de Kamer van Koophandel onder nummer 95308431, gevestigd te Rotterdam (3059 RA), Nederland. GetSam levert een AI-receptionist (“Sam”) die voor lokale ondernemers klantvragen beantwoordt via WhatsApp, e-mail en telefoon en afspraken inplant.

In deze verklaring leggen wij uit welke persoonsgegevens wij verwerken, waarom, hoe lang, en wat jouw rechten zijn onder de Algemene Verordening Gegevensbescherming (AVG / GDPR).

Contact voor privacyvragen: info@getsam.nl of +31 6 18461595. Coderize (h.o.d.n. GetSam) is de verwerkingsverantwoordelijke voor de gegevens die in deze verklaring onder onze eigen verantwoordelijkheid vallen (zie artikel 2).

GetSam is een B2B SaaS voor ondernemers. Wij vervullen twee verschillende rollen, en welke rol geldt bepaalt wie je moet aanspreken bij vragen over jouw gegevens:

• Verwerkingsverantwoordelijke — voor gegevens van onze klanten (de ondernemer): accountgegevens, facturatiegegevens, login-sessies en gebruik van het dashboard. Voor deze gegevens bepalen wij zelf doel en middelen, en kun je rechtstreeks bij ons terecht.
• Verwerker — voor gegevens van eindklanten (de mensen die de ondernemer benaderen via WhatsApp, e-mail of telefoon). De ondernemer bepaalt de doeleinden; wij verwerken uitsluitend namens de ondernemer, op basis van een verwerkersovereenkomst. Ben je eindklant en heb je vragen over je gegevens, richt je dan in eerste instantie tot de ondernemer met wie je contact had; wij ondersteunen daarbij.

Van onze klanten (ondernemers)

• Naam, e-mailadres en gehasht wachtwoord
• Bedrijfsnaam, KvK-nummer en branche
• Facturatiegegevens (via Stripe — wij slaan géén kaartnummers op)
• Technische logs (IP-adres, browsertype) voor beveiligingsdoeleinden
• Google Calendar OAuth refresh tokens (versleuteld opgeslagen)
• Herkomst van de aanmelding (bijvoorbeeld via welke campagne of verwijzende site je binnenkwam), zonder externe analytics-diensten

Van eindklanten (gesprekken namens de ondernemer)

• Telefoonnummer en naam (zoals gedeeld via WhatsApp of telefoon)
• E-mailadres (bij contact per e-mail)
• Inhoud van berichten en gesprekken tussen de eindklant en Sam
• Bij telefonie (alleen op het Pro-plan): het telefoonnummer, de gespreksinhoud en, indien de ondernemer dit heeft ingeschakeld, een opname of transcriptie van het gesprek
• Door Sam geplande afspraken en verstuurde betaalverzoeken

Wij vragen niet om bijzondere categorieën persoonsgegevens (zoals gezondheids- of geloofsgegevens) en de dienst is niet gericht op kinderen.

• Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG) — het leveren van de dienst aan ondernemers: account, dashboard, koppelingen, facturatie en support.
• Gerechtvaardigd belang (art. 6 lid 1 sub f AVG) — beveiligingslogs, fraudepreventie, misbruikbestrijding en productverbetering op basis van geaggregeerde statistieken.
• Wettelijke verplichting (art. 6 lid 1 sub c AVG) — fiscale en administratieve bewaarplichten, zoals het 7 jaar bewaren van facturen.
• Toestemming (art. 6 lid 1 sub a AVG) — voor optionele analytische of marketingcookies (zie artikel 11). Toestemming is altijd intrekbaar.

Voor gegevens van eindklanten geldt: de ondernemer bepaalt doel en grondslag; wij verwerken alleen op diens instructies.

Sam formuleert antwoorden met behulp van Google Gemini, geleverd door Google Ireland Ltd. / Google LLC. Gespreksinhoud van eindklanten wordt door dit AI-model verwerkt om een passend antwoord te genereren. Daarbij geldt:

• Alleen wat nodig is voor het antwoord wordt naar Google Gemini gestuurd: de relevante gespreksinhoud en de instructies van de ondernemer.
• Wij gebruiken de zakelijke API onder een verwerkersovereenkomst met Google. Op grond van die contractuele afspraken worden de aangeleverde gegevens niet gebruikt om de algemene AI-modellen van Google te trainen.
• Gesprekken en afspraken worden opgeslagen op onze eigen EU-servers, niet bij de AI-aanbieder.
• AI-output kan fouten bevatten. De ondernemer blijft verantwoordelijk voor de communicatie met eindklanten en kan gesprekken altijd teruglezen en corrigeren.

Er vindt geen geautomatiseerde besluitvorming met rechtsgevolgen plaats in de zin van art. 22 AVG: Sam beantwoordt vragen en plant afspraken, maar neemt geen besluiten die je rechtspositie raken.

• Accountgegevens: zolang het account actief is + 30 dagen na opzegging
• Berichten en gesprekken (WhatsApp, e-mail, telefoon): 12 maanden rolling; ondernemers kunnen dit verkorten
• Afspraken: 24 maanden na afspraakdatum
• Facturen: 7 jaar (wettelijke bewaarplicht)
• Auditlogs (inlog, 2FA, dataexport): 12 maanden
• Technische serverlogs: 90 dagen
• Google Calendar refresh tokens: direct verwijderd na het loskoppelen van de agenda

Na afloop van een termijn worden gegevens verwijderd of geanonimiseerd. Na volledige beëindiging van een account verwijderen wij alle gegevens binnen 30 dagen, met uitzondering van wat wettelijk bewaard moet blijven.

Wij schakelen een klein aantal zorgvuldig geselecteerde subverwerkers in. Met elk van hen is een verwerkersovereenkomst gesloten.

De actuele naam van onze SMTP-dienstverlener is op te vragen via info@getsam.nl. Wij verkopen gegevens nooit door en gebruiken geen externe advertentie-trackers. Een actueel overzicht van subverwerkers houden wij bij als onderdeel van de verwerkersovereenkomst.

Gegevens staan primair op servers binnen de EU (Hetzner, Duitsland). Een aantal subverwerkers kan onder voorwaarden gegevens verwerken buiten de EER, met name in de Verenigde Staten:

• Twilio Inc. (telefonie/voice op het Pro-plan) — Verenigde Staten;
• Stripe Inc. — Verenigde Staten, als sub-subverwerker van Stripe Payments Europe Ltd.;
• Google (Gemini, Calendar, OAuth) en Backblaze (offsite back-ups) — kunnen gegevens buiten de EER verwerken.

In die gevallen gebruiken wij de standaardcontractbepalingen (SCC's) van de Europese Commissie als overdrachtsmechanisme en passen wij aanvullende technische maatregelen toe, zoals pseudonimisering en versleuteling in transit en at rest.

• Versleuteling in transit (TLS 1.2+) en at rest (AES-256)
• bcrypt-hashing (12 rounds) voor wachtwoorden
• Tweefactorauthenticatie (TOTP) voor dashboard-toegang
• Role-based access control en per-tenant isolatie in de database
• Auditlogging van beveiligingsrelevante gebeurtenissen
• Hosting binnen de EU (Hetzner, Duitsland) met streng toegangsbeheer
• Dagelijkse versleutelde offsite back-ups (Backblaze) met 30 dagen retentie

Een volledig overzicht staat op de beveiligingspagina. Vermoed je een kwetsbaarheid? Meld die via info@getsam.nl.

Je hebt onder de AVG de volgende rechten:

• Inzage in je gegevens (art. 15)
• Rectificatie van onjuiste gegevens (art. 16)
• Verwijdering (“vergetelheid”, art. 17)
• Beperking van de verwerking (art. 18)
• Overdraagbaarheid van je gegevens (art. 20)
• Bezwaar tegen verwerking (art. 21)
• Intrekken van eerder gegeven toestemming

Dien je verzoek in via het privacy-verzoekformulier of per e-mail aan info@getsam.nl. We reageren binnen 30 dagen. Gaat je verzoek over gegevens die wij als verwerker voor een ondernemer verwerken (bijvoorbeeld een WhatsApp-gesprek), dan sturen wij het door naar die ondernemer en ondersteunen wij bij de afhandeling.

Niet tevreden? Je kunt een klacht indienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

We plaatsen alleen strikt-noodzakelijke cookies (sessie, CSRF) zonder toestemming; die zijn nodig om in te loggen en de site veilig te laten werken. Analytische of marketingcookies plaatsen we alleen na expliciete toestemming via de cookiebanner. Je keuze slaan we op in je browser en kun je op elk moment wijzigen via de cookievoorkeuren.

Voor gegevens van eindklanten treden wij op als verwerker. Met elke klant sluiten wij daarom een verwerkersovereenkomst conform AVG art. 28, beschikbaar via getsam.nl/dpa. Door het aangaan van een abonnement aanvaardt de klant deze verwerkersovereenkomst; daarin staan onder meer de beveiligingsmaatregelen, subverwerkers en de meldprocedure bij datalekken.

Wij kunnen deze verklaring aanpassen, bijvoorbeeld bij nieuwe functionaliteit of nieuwe subverwerkers. Materiële wijzigingen kondigen we ten minste 14 dagen van tevoren aan via e-mail en/of in het dashboard. De datum bovenaan laat altijd de laatste versie zien.