Privacyverklaring

AI Business Academy, gevestigd in het A20 Trade Center te Nieuwerkerk aan den IJssel, ingeschreven bij de Kamer van Koophandel onder nummer 87755106, btw-nummer NL004471708B98, is verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG). Voor vragen over deze verklaring kunt u contact opnemen via info@ai-businessacademy.nl of telefonisch via +31 10 322 0009.

Voor gegevens die organisaties in ons EU AI Act-portaal vastleggen, is de klant verwerkingsverantwoordelijke en zijn wij verwerker. Daarvoor geldt onze verwerkersovereenkomst.

Afhankelijk van uw contact met ons verwerken wij:

• Identificatie- en contactgegevens: naam, functie, organisatie, zakelijk e-mailadres en telefoonnummer.
• Antwoorden en berichten: uw antwoorden in de Praktijk Scan en de EU AI Act-check, de tekst die u in een formulier invult, en e-mailwisseling.
• Gegevens van zakelijke contactpersonen die wij telefonisch benaderen: naam, rechtsvorm, KvK-nummer, sector, vestigingsplaats, website en algemeen telefoonnummer van de organisatie; naam, functie en zakelijk telefoonnummer of e-mailadres van de contactpersoon, voor zover de organisatie die zelf openbaar heeft gemaakt; aantekeningen van het gesprek. Zie sectie 09.
• Vastgelegde toestemming en bezwaar: wanneer, door wie en waarvoor u toestemming gaf, en voor welk telefoonnummer of e-mailadres u bezwaar maakte.
• Contract- en factuurgegevens: deelname-overeenkomst, facturatie en betalingen.
• Gegevens in het EU AI Act-portaal: accountgegevens van gebruikers en de informatie en bestanden die uw organisatie vastlegt, zoals beschrijvingen van AI-systemen, documenten, afbeeldingen en spraakmemo's.
• Technische gegevens: IP-adres, browser- en apparaattype, bezochte pagina's, en een bij benadering bepaalde plaats, land en netwerkorganisatie. Plaats, land en netwerk bepalen wij met een database op onze eigen server; uw IP-adres gaat daarvoor niet naar derden. Voor statistieken bewaren wij uw IP-adres niet, alleen een pseudoniem dat elke dag verandert (sectie 11).
• Beveiligingsgegevens: IP-adres, tijdstip, opgevraagde pagina, browsergegevens en de uitkomst van inlogpogingen. Zie sectie 10.

• Uitvoering van een overeenkomst (artikel 6 lid 1 sub b AVG): aanmelding, uitvoering en facturatie van opleidingen en trajecten, en het leveren van het EU AI Act-portaal.
• Op uw verzoek (artikel 6 lid 1 sub b AVG): het opstellen van uw Praktijk Scan-rapport en het beantwoorden van uw vraag via het contactformulier.
• Wettelijke verplichting (sub c): fiscale bewaarplicht.
• Gerechtvaardigd belang (sub f): telefonische benadering van organisaties die rechtspersoon zijn, om onze diensten onder de aandacht te brengen (sectie 09); beveiliging van onze systemen en het opsporen van misbruik (sectie 10); cookieloze websitestatistieken (sectie 11); verbetering van onze dienstverlening.
• Toestemming (sub a): uitnodigingen voor ons Open Webinar; een e-mail aan een zakelijke contactpersoon die nog geen klant is; het telefonisch benaderen van een eenmanszaak, vof, cv of maatschap. Wij leggen vast wanneer, door wie en waarvoor u toestemming gaf. U kunt toestemming op elk moment intrekken.

Voor een aantal functies laten wij tekst, en in het portaal ook afbeeldingen en audio, verwerken door een taalmodel van een externe AI-dienst:

• het opstellen van uw Praktijk Scan-rapport op basis van uw antwoorden;
• het voorbereiden van concepten in onze backoffice, zoals een conceptmail of een samenvatting van de openbare website van een organisatie;
• de AI-functies van het EU AI Act-portaal, zoals het classificeren van AI-systemen, het opstellen van documentatie en het verwerken van materiaal dat u uploadt.

Wij gebruiken daarvoor xAI als eerste keuze en Anthropic en OpenAI als terugval. OpenAI zet spraakmemo's om in tekst; Anthropic en OpenAI verwerken afbeeldingen. Deze aanbieders zijn gevestigd in de Verenigde Staten en verwerken de gegevens daar, met de waarborgen uit sectie 06.

Voordat vrije tekst naar de AI-dienst gaat, verwijderen wij e-mailadressen, telefoonnummers en IBAN's. Namen kunnen in de tekst blijven staan; vermeld daarom in tekstvelden geen persoonsgegevens die niet nodig zijn. Afbeeldingen en spraakmemo's worden ongewijzigd verwerkt.

Concepten die wij met AI voorbereiden, zoals een e-mail, beoordeelt een medewerker voordat die namens ons worden verstuurd. Uw Praktijk Scan-rapport wordt automatisch opgesteld en direct aan u getoond; het is een advies, geen besluit over u. In het portaal is wat de AI oplevert een concept dat uw organisatie zelf beoordeelt. Er is geen sprake van besluitvorming die uitsluitend op geautomatiseerde verwerking berust in de zin van artikel 22 AVG.

Wij delen persoonsgegevens alleen met de onderstaande verwerkers, en alleen voor zover dat voor het doel nodig is. Wij verkopen of verhuren geen persoonsgegevens.

• Hetzner Online GmbH

  Gevestigd in

  Gunzenhausen, Duitsland

  Waar verwerkt

  Datacenter in Helsinki (Finland)

  Waarvoor

  Hosting van de website, het portaal, de database, de logbestanden en de lokale back-ups.

  Doorgifte buiten de EER

  Niet van toepassing, verwerking binnen de EER

• Hostnet B.V.

  Gevestigd in

  Amsterdam, Nederland

  Waar verwerkt

  Nederland en Denemarken

  Waarvoor

  Onze zakelijke mailboxen, de verzending van al onze uitgaande e-mail, en registratie en DNS van onze domeinnaam.

  Doorgifte buiten de EER

  Niet van toepassing, verwerking binnen de EER

• X.AI LLC

  Gevestigd in

  Palo Alto, Verenigde Staten

  Waar verwerkt

  Verenigde Staten

  Waarvoor

  Primaire AI-dienst: het opstellen van uw Praktijk Scan-rapport op basis van uw antwoorden, het voorbereiden van concepten in onze backoffice, en de AI-functies van het EU AI Act-portaal.

  Doorgifte buiten de EER

  EU-VS Data Privacy Framework als de aanbieder daarvoor gecertificeerd is, anders standaardcontractbepalingen van de Europese Commissie

• Anthropic PBC

  Gevestigd in

  San Francisco, Verenigde Staten

  Waar verwerkt

  Verenigde Staten

  Waarvoor

  Reserve-AI-dienst en beeldherkenning: het opstellen van uw Praktijk Scan-rapport op basis van uw antwoorden, het voorbereiden van concepten in onze backoffice, en de AI-functies van het EU AI Act-portaal, waaronder afbeeldingen die u in het portaal uploadt.

  Doorgifte buiten de EER

  EU-VS Data Privacy Framework als de aanbieder daarvoor gecertificeerd is, anders standaardcontractbepalingen van de Europese Commissie

• OpenAI OpCo, LLC

  Gevestigd in

  San Francisco, Verenigde Staten

  Waar verwerkt

  Verenigde Staten

  Waarvoor

  Reserve-AI-dienst, beeldherkenning en spraak-naar-tekst: het opstellen van uw Praktijk Scan-rapport op basis van uw antwoorden, het voorbereiden van concepten in onze backoffice, en de AI-functies van het EU AI Act-portaal, waaronder afbeeldingen en spraakmemo's die u in het portaal uploadt.

  Doorgifte buiten de EER

  EU-VS Data Privacy Framework als de aanbieder daarvoor gecertificeerd is, anders standaardcontractbepalingen van de Europese Commissie

• Cloudflare, Inc.

  Gevestigd in

  San Francisco, Verenigde Staten

  Waar verwerkt

  Wereldwijd netwerk; Verenigde Staten

  Waarvoor

  Controle van formulieren op geautomatiseerd misbruik (Turnstile) en, voor zover ingeschakeld, opslag van portaaluploads en versleutelde back-ups (R2).

  Doorgifte buiten de EER

  EU-VS Data Privacy Framework als de aanbieder daarvoor gecertificeerd is, anders standaardcontractbepalingen van de Europese Commissie

• GitHub, Inc.

  Gevestigd in

  San Francisco, Verenigde Staten

  Waar verwerkt

  Verenigde Staten

  Waarvoor

  Opslag van onze broncode en het automatisch uitrollen van nieuwe versies naar onze server; de uitroldienst heeft daarbij technisch toegang tot de server.

  Doorgifte buiten de EER

  EU-VS Data Privacy Framework als de aanbieder daarvoor gecertificeerd is, anders standaardcontractbepalingen van de Europese Commissie

Voor boekhouding en facturatie gebruiken wij daarnaast een boekhoudpakket; welke aanbieder dat is, vertellen wij u op verzoek.

Wij vragen bedrijfsgegevens op bij de Kamer van Koophandel (Handelsregister), bijvoorbeeld om de rechtsvorm van een organisatie te controleren voordat wij bellen. De KvK is daarbij geen verwerker maar een openbare bron.

Wij verstrekken gegevens aan de Belastingdienst of een andere overheidsinstantie als de wet dat verplicht. Wijzigingen in deze lijst publiceren wij op deze pagina. Klanten van het EU AI Act-portaal informeren wij ten minste dertig dagen vooraf.

Wij slaan uw gegevens op in de Europese Unie: onze server staat in een datacenter in Helsinki (Finland). Een deel van onze verwerkers is gevestigd in de Verenigde Staten en verwerkt gegevens daar: xAI, Anthropic en OpenAI (AI-diensten), Cloudflare (controle van formulieren op misbruik en, voor zover ingeschakeld, bestandsopslag) en GitHub (broncode en uitrol).

Voor die doorgifte gebruiken wij het EU-VS Data Privacy Framework als de aanbieder daarvoor gecertificeerd is (adequaatheidsbesluit van de Europese Commissie van 10 juli 2023), en anders de standaardcontractbepalingen van de Europese Commissie (artikel 46 lid 2 sub c AVG).

Wij beperken wat er naar deze aanbieders gaat: vrije tekst wordt vooraf ontdaan van e-mailadressen, telefoonnummers en IBAN's, en wij sturen alleen wat voor de functie nodig is. U kunt een kopie van de relevante waarborgen opvragen via info@ai-businessacademy.nl.

Wij bewaren gegevens niet langer dan nodig. Na afloop van de termijn verwijderen of anonimiseren wij ze.

Gegevens die nodig zijn voor een lopend beveiligingsonderzoek, een datalekmelding of een juridische procedure bewaren wij tot dat is afgerond.

Wij nemen passende technische en organisatorische maatregelen, waaronder: versleutelde verbindingen (TLS), toegang op basis van rollen, een append-only audit-log met cryptografische ketencontrole, beveiligingsmonitoring met automatische meldingen (sectie 10), dagelijkse back-ups en een vastgelegde procedure voor het melden van datalekken.

Wij benaderen organisaties in logistiek, food manufacturing en agri-food telefonisch om onze opleidingen en implementatietrajecten onder de aandacht te brengen.

Wie wij bellen. Zonder voorafgaande toestemming richten wij ons op organisaties die rechtspersoon zijn, zoals een bv, nv, coöperatie, stichting of vereniging. Een eenmanszaak, vof, cv of maatschap bellen wij alleen als wij daarvoor vooraf uw uitdrukkelijke toestemming hebben gekregen, bijvoorbeeld omdat u zelf om een telefonisch gesprek vroeg. De rechtsvorm zoeken wij op in het Handelsregister.

Wanneer en hoe vaak. Wij bellen alleen op werkdagen, van maandag tot en met vrijdag tussen 08.00 en 18.00 uur. Per contactpersoon doen wij ten hoogste vijf belpogingen binnen veertien dagen, en per organisatie benaderen wij ten hoogste drie contactpersonen.

Welke gegevens en waar wij ze vandaan halen. Wij gebruiken alleen zakelijke gegevens: de naam, rechtsvorm, sector en vestigingsplaats van de organisatie, het algemene telefoonnummer, en de naam, functie en het zakelijke telefoonnummer van een contactpersoon voor zover de organisatie die zelf openbaar heeft gemaakt. Wij halen deze gegevens uit openbare bronnen, zoals de website van de organisatie, het Handelsregister van de Kamer van Koophandel, vakpers en openbare ledenlijsten van brancheorganisaties. Op verzoek vertellen wij u uit welke bron uw gegevens komen. Om een gesprek voor te bereiden kan een AI-dienst (sectie 04) openbare informatie over de organisatie samenvatten, zoals de website. Wij maken geen profielen van personen.

Grondslag. Wij doen dit op grond van ons gerechtvaardigd belang om zakelijke klanten te werven (artikel 6 lid 1 sub f AVG). Wij hebben een belangenafweging gemaakt en vastgelegd. U kunt een samenvatting daarvan bij ons opvragen.

Uw recht van bezwaar. In het eerste gesprek vertellen wij wie wij zijn, waar wij uw gegevens hebben gevonden en dat u bezwaar kunt maken. Maakt u bezwaar, dan bellen en mailen wij u niet meer. U kunt ook later bezwaar maken, per e-mail aan info@ai-businessacademy.nl of telefonisch. Dat is kosteloos en u hoeft geen reden te geven.

Bezwaarregister. Om uw bezwaar te blijven respecteren, ook als uw gegevens later opnieuw in een openbare bron verschijnen, nemen wij het telefoonnummer, het e-mailadres of de organisatie waarop uw bezwaar betrekking heeft op in ons bezwaarregister. Dit is één register voor telefoon en e-mail. Wij raadplegen het voor ieder telefoongesprek en iedere e-mail aan een prospect.

E-mail. Een e-mail over onze diensten sturen wij u alleen als u daar in een gesprek uitdrukkelijk mee hebt ingestemd, of als u ons zelf om informatie vroeg. Wij leggen dan de datum, de persoon die instemde en het onderwerp vast. Zo'n e-mail sturen wij persoonlijk aan u, vanuit de mailbox van de medewerker die u sprak, en niet als onderdeel van een massamailing.

Bewaartermijn. Wij bewaren deze gegevens tot 12 maanden na het laatste contact, tenzij er een lopende offerte of opdracht is. Een vermelding in het bezwaarregister bewaren wij zonder einddatum.

Om onze systemen en de gegevens van onze klanten te beschermen, registreren wij beveiligingsrelevante gebeurtenissen.

Wat wij vastleggen. Het IP-adres, het tijdstip, de opgevraagde pagina en methode, browsergegevens (user agent) en de uitkomst van het verzoek. Bij inlogpogingen leggen wij daarnaast vast op welk account de poging betrekking had en of die slaagde. Van medewerkers en portaalgebruikers leggen wij vast welke beheerhandelingen zij uitvoeren.

Waarom. Om inbraakpogingen, misbruik van formulieren en storingen te herkennen, te stoppen en te onderzoeken, en om aan te tonen dat wij passende beveiligingsmaatregelen nemen (artikel 32 AVG). De grondslag is ons gerechtvaardigd belang bij de beveiliging van onze systemen en van de gegevens die klanten aan ons toevertrouwen (artikel 6 lid 1 sub f AVG).

Automatische maatregelen. Bij herhaalde verdachte verzoeken vanaf één IP-adres kunnen wij dat adres automatisch en tijdelijk blokkeren. Het enige gevolg is dat onze website vanaf dat adres tijdelijk niet bereikbaar is. Bij een verdachte gebeurtenis krijgt ons team automatisch een melding.

Bewaartermijnen. Webserverlogs 14 dagen. Beveiligingsgebeurtenissen met het volledige IP-adres 30 dagen; daarna vervangen wij het IP-adres door een pseudoniem en bewaren wij de gebeurtenis tot 12 maanden; daarna houden wij alleen tellingen per dag over.

Deze gegevens staan op onze eigen server in de EU. Wij delen ze niet met derden, tenzij de wet ons daartoe verplicht of dat nodig is voor een aangifte. Formulieren worden daarnaast gecontroleerd door Cloudflare Turnstile (sectie 11).

Wij gebruiken geen trackingcookies, en geen cookies of scripts van derden voor advertenties of analyse. Voor onze statistieken plaatsen wij geen cookies en slaan wij niets op uw apparaat op. Ons eigen meetscript stuurt bij een bezoek alleen enkele algemene browsergegevens mee, zoals schermformaat, taalinstelling en de pagina waar u vandaan kwam. Dat valt onder de uitzondering voor het meten van de kwaliteit of effectiviteit van onze website met geen of geringe gevolgen voor uw privacy (artikel 11.7a lid 3 onder b Telecommunicatiewet). Daarom vragen wij u niet om cookietoestemming.

Hoe wij bezoeken tellen. Bij elk paginabezoek ontvangt onze server, zoals bij elke website, uw IP-adres en browsergegevens (user agent). Wij zetten die, samen met de naam van onze website, met een cryptografische hashfunctie en een willekeurige sleutel om in een pseudoniem. Die sleutel geldt voor één kalenderdag: na middernacht gebruiken wij een nieuwe en wissen wij die van de vorige dag. Daardoor kunnen wij een bezoek alleen binnen dezelfde dag aan eerdere bezoeken koppelen, en kan niemand, ook wij niet, het pseudoniem achteraf terugrekenen naar uw IP-adres of koppelen aan bezoeken op een andere dag. Uw IP-adres en browsergegevens zelf bewaren wij hiervoor niet. Bezoeken met hetzelfde pseudoniem die minder dan 30 minuten na elkaar plaatsvinden, tellen wij als één sessie.

Wat wij vastleggen. Het pseudoniem en de sessie, de bezochte pagina, de website waar u vandaan kwam, apparaattype, browser en besturingssysteem, schermformaat, taalinstelling, hoe ver u op een pagina scrolt, klikken op links naar andere websites en handelingen zoals het starten van de Praktijk Scan. Daarbij komen de bij benadering bepaalde plaats, het land en de netwerkorganisatie uit sectie 02. Wij verwerken deze statistieken op onze eigen server; er gaat niets naar een externe analysedienst. Wij koppelen ze niet aan uw naam of contactgegevens, ook niet als u een formulier invult.

Grondslag. Ons gerechtvaardigd belang (artikel 6 lid 1 sub f AVG) om te begrijpen hoe onze website wordt gebruikt en haar te verbeteren. Wij beperken de verwerking tot wat daarvoor nodig is: geen ID op uw apparaat, een pseudoniem dat elke dag verandert en geen opslag van uw IP-adres. Als uw browser "Do Not Track" meestuurt, tellen wij uw bezoek niet. Bezwaar maken kan ook via info@ai-businessacademy.nl (sectie 12).

Wat er wel op uw apparaat komt. Alleen wat strikt noodzakelijk is voor een dienst waar u zelf om vraagt:

• Praktijk Scan: zodra u de scan invult, bewaart uw browser in de sessieopslag (sessionStorage) een concept van uw antwoorden, zodat u verder kunt waar u was, en na afloop een sleutel waarmee alleen u uw eigen rapport opent. Beide verdwijnen als u het tabblad sluit; het concept gebruiken wij na twee uur niet meer.
• Inloggen: als u inlogt in het EU AI Act-portaal of de backoffice, plaatsen wij een sessiecookie die u ingelogd houdt (aiba_eaa_session of aiba_admin_session) en een cookie waarmee wij uw apparaat na een geslaagde inlog herkennen (aiba_dev, 180 dagen), zodat herhaalde mislukte inlogpogingen van een onbekend apparaat u niet buitensluiten. Bij de tweestapsverificatie van de backoffice komt daar kort een cookie bij (aiba_admin_mfa).

Andere keuzes op de website, zoals het wegklikken van een melding, onthouden wij alleen zolang de pagina open is.

Controle tegen misbruik: formulieren zoals de Praktijk Scan en het contactformulier kunnen beschermd zijn met Cloudflare Turnstile. Daarbij verwerkt Cloudflare uw IP-adres en browsergegevens om te beoordelen of het formulier door een mens wordt ingevuld (sectie 05 en 06).

U heeft het recht om:

• uw gegevens in te zien (artikel 15 AVG);
• uw gegevens te laten corrigeren of aanvullen (artikel 16);
• uw gegevens te laten wissen (artikel 17);
• de verwerking te laten beperken (artikel 18);
• uw gegevens over te dragen (artikel 20);
• bezwaar te maken tegen verwerking op grond van gerechtvaardigd belang (artikel 21);
• uw toestemming op elk moment in te trekken.

Tegen het gebruik van uw gegevens voor direct marketing, waaronder telefonische benadering, kunt u altijd bezwaar maken. Wij stoppen dan direct en nemen u op in ons bezwaarregister (sectie 09).

U kunt uw rechten uitoefenen via info@ai-businessacademy.nl. Wij reageren binnen één maand. Is een verzoek complex of zijn er veel verzoeken, dan kunnen wij die termijn met twee maanden verlengen; u hoort dan binnen een maand waarom.

Bent u van mening dat wij uw gegevens niet zorgvuldig verwerken, dan horen wij dat graag. U heeft ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

Wij nemen deze verklaring periodiek door en passen haar aan als onze verwerking verandert. Wijzigingen publiceren wij op deze pagina, met de datum bovenaan. Bij een wijziging die u raakt, zoals een nieuwe verwerker buiten de EER, informeren wij klanten vooraf per e-mail.