Tobachat helpt bedrijven om via WhatsApp met hun klanten te communiceren. Daarbij verwerken we persoonsgegevens zorgvuldig en volgens de AVG. Hieronder leggen we uit welke gegevens we verwerken, waarom, en welke rechten je hebt.
1. Onze rol
Het is goed om twee situaties te onderscheiden:
- Voor jou als klant zijn wij verantwoordelijk voor je accountgegevens: denk aan je naam, factuurgegevens, login en contract.
- Voor de berichten en contacten van jóúw klanten zijn wij de verwerker. Jij bepaalt wat ermee gebeurt; wij verwerken die gegevens alleen in jouw opdracht via onze software. De AVG (art. 28) vereist hiervoor een verwerkersovereenkomst (DPA). Die hoort bij je overeenkomst met ons. Een kopie opvragen kan via info@tobachat.nl.
Heb je een WhatsApp-bericht via Tobachat ontvangen? Dan zijn wij niet de afzender, maar een van onze klanten. Voor vragen over dat bericht kun je het beste bij dat bedrijf terecht.
Stuur je een bericht naar het WhatsApp-nummer van Tobachat om een demo te proberen? Dan zijn wij zelf verantwoordelijk voor die verwerking. We verwerken je telefoonnummer, profielnaam en berichten om de demo te laten werken: een AI beantwoordt je vragen alsof hij de assistent is van het bedrijf dat in de demo wordt genoemd (gerechtvaardigd belang, art. 6 lid 1 sub f AVG; jij begint het gesprek zelf). Dat bedrijf is er niet bij betrokken en leest niet mee. We bewaren het gesprek niet langer dan nodig is voor de demo en om je vraag op te volgen, en wissen het op je verzoek via info@tobachat.nl. De ontvangers staan in sectie 4.
2. Welke gegevens verwerken we?
- Van jou als klant: contactgegevens (naam, e-mail, telefoonnummer, bedrijfsnaam), factuurgegevens en technische gegevens zoals logs en IP-adres. Bij een aanvraag of een nieuw account bewaren we ook waar je vandaan kwam: de eerste pagina van je bezoek, de site of mail die naar ons verwees en, na een klik op een advertentie, de code van die klik.
- Van je klanten (als verwerker): de inhoud van WhatsApp-berichten, telefoonnummers en profielnamen, en metadata zoals tijdstip en afleverstatus.
3. Waarvoor gebruiken we ze?
- Om je toegang te geven tot het dashboard en berichten af te leveren via WhatsApp (uitvoering van de overeenkomst, art. 6 lid 1 sub b AVG).
- Voor facturatie en onze administratie (wettelijke verplichting, art. 6 lid 1 sub c AVG).
- Om misbruik te voorkomen en het platform te verbeteren (gerechtvaardigd belang, art. 6 lid 1 sub f AVG).
- Om te zien welke pagina, mail of advertentie een aanvraag of account opleverde (gerechtvaardigd belang, art. 6 lid 1 sub f AVG).
- Om te zien waar je in het dashboard en bij de assistent vastloopt, zodat we ze kunnen verbeteren. Je gesprekken met de assistent gebruiken we alleen voor je eigen organisatie (gerechtvaardigd belang, art. 6 lid 1 sub f AVG).
- Om de technische koppeling met Meta mogelijk te maken (uitvoering van de overeenkomst, art. 6 lid 1 sub b AVG).
We nemen geen geautomatiseerde besluiten die belangrijke gevolgen voor je hebben.
4. Met wie delen we gegevens?
Alleen met partijen die nodig zijn om de dienst te leveren. In het kort:
- Meta / WhatsApp Ireland Ltd.: voor het afleveren van berichten via het WhatsApp-netwerk.
- Hosting in de EU: voor veilige opslag van gegevens en inloggen.
- Een betaaldienst: voor het afhandelen van betalingen en facturatie.
- Een e-maildienst: voor het versturen van e-mails over je account, zoals bevestigingen en meldingen.
- Een netwerkdienst voor de website: voor het hosten van de website, het doorsturen van berichten en het bewaren van versleutelde back-ups.
- Een AI-dienst: voor de AI-functies, op instructie van het bedrijf dat ze gebruikt. Het model krijgt dan de berichten, de naam van het contact en de velden die dat bedrijf bijhoudt, nooit gegevens van een ander bedrijf. De aanbieder traint er niet mee.
We verkopen je gegevens nooit. Soms zijn we wel wettelijk verplicht gegevens te delen met een bevoegde autoriteit (bijvoorbeeld de politie, justitie of de Belastingdienst), als een geldig en rechtsgeldig verzoek ons daartoe verplicht. Hoe we daarmee omgaan, lees je in ons beleid voor wettelijke verzoeken.
5. Gegevens buiten de EU
Bij het gebruik van WhatsApp geeft Meta gegevens door aan haar wereldwijde infrastructuur, onder de voorwaarden van het WhatsApp Business Data Transfer Addendum. Zetten we andere leveranciers buiten de EU in, dan gebeurt dat op basis van modelcontractbepalingen (Standard Contractual Clauses) of een ander door de AVG erkend mechanisme, vastgelegd in onze overeenkomst met die leverancier. Voor Google geldt daarnaast het EU-VS Data Privacy Framework, zie de cookies hieronder.
6. Hoe lang bewaren we gegevens?
- Accountgegevens: zolang je klant bent, plus zeven jaar voor de fiscus. Een aanvraag waar geen klantrelatie uit volgt, verwijderen we zonder onredelijke vertraging zodra hij is afgehandeld.
- Chatgeschiedenis: zolang je deze in je dashboard houdt. Je kunt berichten altijd zelf verwijderen. Na het einde van het contract verwijderen we deze zonder onredelijke vertraging.
- Berichten die langs de AI gaan: De aanbieder van het AI-model bewaart wat het model krijgt en het antwoord tijdelijk om misbruik op te sporen, en traint er niet mee. Wat in je dashboard staat, blijft staan volgens de regel hierboven.
Wil je dat we je gegevens eerder wissen, onder je recht op vergetelheid (AVG art. 17)? Zie onze dataverwijderingspagina.
7. Beveiliging
We nemen passende technische en organisatorische maatregelen om je gegevens te beschermen tegen misbruik en onbevoegde toegang, waaronder versleuteling en toegangsbeheer. Geen enkele manier van verzenden of opslaan is volledig veilig, maar we blijven onze beveiliging verbeteren.
8. Jouw rechten
Je hebt recht op inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar tegen de verwerking van je gegevens. Heb je ergens toestemming voor gegeven? Dan kun je die op elk moment intrekken. Je contacten exporteer je zelf in het dashboard. Voor gesprekken of een ander verzoek mail je naar info@tobachat.nl of gebruik de data-deletion-pagina voor verwijdering. Niet tevreden over hoe we ermee omgaan? Je kunt een klacht indienen bij de Autoriteit Persoonsgegevens.
Bezwaar maken kan altijd, en kost je niets. Verwerken we je gegevens op grond van een gerechtvaardigd belang van onszelf, dan kun je daartegen op elk moment bezwaar maken via info@tobachat.nl. Gaat het om direct marketing, dan stoppen we altijd en hoef je geen reden te geven. Dat recht staat in art. 21 AVG.
9. Cookies
Zonder je toestemming plaatsen we alleen strikt noodzakelijke cookies. Statistiek- en marketingcookies plaatsen we pas nadat je die in de cookiebanner hebt geaccepteerd. Weiger je, dan wordt er niets naar Google gestuurd.
- Noodzakelijk: onthouden van je taalkeuze en je cookiekeuze. Deze cookies zijn van onszelf en vragen geen toestemming. Je cookiekeuze bewaren we 6 maanden.
- Statistieken (Google Analytics 4): meten hoeveel bezoekers we hebben en welke pagina's zij bekijken, zodat we de site kunnen verbeteren. Grondslag: jouw toestemming. Ontvanger: Google Ireland Limited. We hebben Google Signals uitgeschakeld, dus je gegevens worden niet aan een Google-account gekoppeld. Bewaartermijn: Google's standaardinstelling van 2 jaar voor deze cookies.
- Marketing (Google Ads): meten welke advertentie of zoekterm tot een aanvraag of een nieuw account leidde, zodat we ons advertentiebudget zinvol kunnen besteden. Grondslag: jouw toestemming. Ontvanger: Google Ireland Limited. Bewaartermijn: 90 dagen, de standaardinstelling van Google voor het Conversion Linker-cookie.
Google kan gegevens doorgeven aan de Verenigde Staten. Dat gebeurt op basis van het EU-US Data Privacy Framework, waaronder Google gecertificeerd is, aangevuld met een verwerkersovereenkomst.
Je kunt je keuze op elk moment intrekken. Dat is net zo eenvoudig als het geven van je toestemming:
10. Hoe we aan een zakelijk e-mailadres komen
Krijg je een eerste e-mail van ons terwijl je ons je adres nooit gaf? Dan hebben we het zelf opgezocht in openbare bronnen. Omdat die gegevens niet van jou komen, vertellen we hier wat art. 14 AVG ons verplicht te vertellen.
- Wie verwerkt: Tobachat (Ciro Byte Solutions), te bereiken op info@tobachat.nl.
- Waarvoor en op welke grondslag: om je bedrijf een korte reeks van hooguit drie e-mails over Tobachat te sturen, en te antwoorden als je reageert. Grondslag is ons gerechtvaardigd belang (art. 6 lid 1 sub f AVG): onze eigen dienst aanbieden aan bedrijven waarvoor die nuttig kan zijn. We gebruiken alleen zakelijke contactgegevens die het bedrijf zelf openbaar heeft gemaakt, we schrijven over werk, en één woord is genoeg om het te laten stoppen.
- Welke gegevens: bedrijfsnaam, branche, plaats, website, zakelijk e-mailadres, telefoonnummer, registratienummer en rechtsvorm voor zover die openbaar zijn, wat de site aan contactmogelijkheden laat zien, en de datum waarop we keken. Daarnaast houden we bij welke mail we wanneer stuurden en wat erop volgde. Zit er een persoonsnaam in het adres, dan is het een persoonsgegeven en geldt alles hieronder onverkort.
- Waar het vandaan komt: uit openbare bronnen: openbare bedrijfsregisters, open kaartgegevens en de website van het bedrijf zelf.
- Wie het verder ziet: onze e-mail- en kantoorsoftware. Verder niemand. We verkopen de lijst nooit en geven hem aan niemand door.
- Hoe lang we het bewaren: tot twaalf maanden na onze laatste mail aan je bedrijf. Vraag je eerder om verwijdering, dan gaat dat voor. Eén ding houden we daarna wel: je e-mailadres op een blokkeerlijst, zodat je nooit opnieuw van ons hoort. Daar, en alleen daarvoor, gebruiken we het dan nog.
Je hebt dezelfde rechten als iedereen in deze verklaring: inzage, correctie, verwijdering, beperking en overdraagbaarheid. Eén mail naar info@tobachat.nl volstaat. Ben je het niet eens met hoe we ermee omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.
Bezwaar maken kost je één woord. Antwoord met stop, of mail info@tobachat.nl. Dan stoppen we meteen met het gebruik van je gegevens voor deze e-mails. Je hoeft geen reden te geven en het kost niets. Dat recht staat in art. 21 AVG.