Privacybeleid

1. Wie zijn wij

ScopiQ is een SaaS-platform voor creatieve ondernemers, aangeboden door de eenmanszaak van S.S. Buijs (handelend onder de naam Sebastiaan Buijs), gevestigd te Bergselaan 48 B01, 3037 CB Rotterdam, ingeschreven bij de Kamer van Koophandel onder nummer 78749042, btw-nummer NL003374892B43. Contact: info@scopiq.nl.

2. Twee rollen: verwerkingsverantwoordelijke en verwerker

ScopiQ verwerkt persoonsgegevens in twee verschillende hoedanigheden. Dit onderscheid is belangrijk omdat het bepaalt wie verantwoordelijk is en hoe betrokkenen hun rechten kunnen uitoefenen.

A. ScopiQ als verwerkingsverantwoordelijke. Voor de gegevens die nodig zijn om jouw account, abonnement, facturatie en communicatie met ScopiQ mogelijk te maken, is ScopiQ verwerkingsverantwoordelijke in de zin van de AVG. Hieronder vallen onder meer jouw e-mailadres, profielgegevens, factuur- en betalingsgegevens en gebruiksstatistieken. Secties 3 tot en met 12 van dit privacybeleid zijn op deze gegevens van toepassing.

B. ScopiQ als verwerker. Voor de gegevens die jij als Gebruiker invoert over jouw eigen klanten, prospects of projecten — waaronder intake-notities, namen, contactgegevens en inhoud van voorstellen, offertes en e-mails — is ScopiQ verwerker in de zin van artikel 28 AVG. Jij bent voor deze gegevens zelf verwerkingsverantwoordelijke. ScopiQ verwerkt deze gegevens uitsluitend in opdracht van jou, onder de voorwaarden van de verwerkersovereenkomst (DPA) die onderdeel uitmaakt van onze overeenkomst. Verzoeken van jouw klanten om inzage, correctie of verwijdering moeten aan jou worden gericht; ScopiQ assisteert jou daarbij conform de DPA.

3. Welke gegevens verwerken wij als verwerkingsverantwoordelijke

In de rol van verwerkingsverantwoordelijke (zie sectie 2A) verwerken wij de volgende persoonsgegevens:

Accountgegevens: e-mailadres (voor inloggen via login link), accountstatus, inlogmomenten.
Profielgegevens: bedrijfsnaam, adres, KvK-nummer, btw-nummer, IBAN (door de Gebruiker zelf ingevuld).
Betalingsgegevens: transactie-ID's en abonnementsstatus via Mollie. ScopiQ slaat geen creditcard- of bankrekeningnummers op.
Gebruiksdata: aantal AI-generaties per maand, plan, quota-status.

Voor websitebezoek gebruiken wij Plausible Analytics. Dit verwerkt geen persoonsgegevens en valt daarom niet onder deze sectie (zie sectie 6).

4. Grondslagen en doelen

Wij verwerken de in sectie 3 genoemde gegevens op basis van de volgende grondslagen:

Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG): het aanmaken en beheren van je account, authenticatie, het leveren van de ScopiQ-dienst (inclusief het genereren van voorstellen, offertes en e-mails), facturatie en klantenservice.
Wettelijke verplichting (art. 6 lid 1 sub c AVG): het voeren en bewaren van een financiële administratie conform de fiscale bewaarplicht (artikel 52 AWR, in beginsel zeven jaar).
Gerechtvaardigd belang (art. 6 lid 1 sub f AVG): beveiliging van het platform, preventie en opsporing van misbruik en fraude, beperkte productverbetering op basis van geaggregeerde gebruiksstatistieken. Ons belang hierbij is het waarborgen van een veilige, betrouwbare dienst; wij beperken deze verwerking tot wat strikt noodzakelijk is.
Toestemming (art. 6 lid 1 sub a AVG): uitsluitend voor optionele verwerkingen zoals aanmelding voor een wachtlijst of nieuwsbrief. Toestemming kan op elk moment worden ingetrokken.

5. AI-verwerking

ScopiQ gebruikt de commerciële API van Anthropic (Claude) om voorstellen, offertes en e-mails te genereren. Hiervoor worden de door jou ingevoerde intake-notities en klantgegevens naar de API van Anthropic gestuurd. Onder de huidige Anthropic Commercial Terms worden inputs en outputs van API-aanroepen niet gebruikt om hun modellen te trainen. Wijzigingen in deze policy worden door ScopiQ binnen veertien dagen in dit privacybeleid verwerkt.

Content die met behulp van AI wordt gegenereerd, wordt in het platform en in export-bestanden als AI-gegenereerd gemarkeerd, conform artikel 50 van de EU-verordening 2024/1689 (AI Act).

Let op: AI-gegenereerde content kan onnauwkeurigheden bevatten. Controleer gegenereerde documenten altijd voordat je ze naar klanten verstuurt.

6. Subverwerkers

Wij maken gebruik van de volgende subverwerkers die persoonsgegevens verwerken:

Supabase — database, authenticatie en opslag. Regio: AWS EU-West (Ierland). Rol: primaire gegevensopslag. Transfermechanisme: verwerking binnen de EU; subprocessor-lijst beschikbaar op supabase.com/legal.
Anthropic PBC — AI-verwerking via Claude API. Locatie: Verenigde Staten. Rol: AI-generatie van voorstellen en e-mails. Transfermechanisme: Standard Contractual Clauses (SCC, modules 2 en 3) conform Uitvoeringsbesluit 2021/914, aangevuld met Anthropic Commercial Terms.
Resend — transactionele e-mail (login links, facturen). Locatie: Verenigde Staten. Rol: e-mailbezorging. Transfermechanisme: SCC conform Uitvoeringsbesluit 2021/914.
Vercel — hosting van de webapplicatie. Locatie: globaal edge-netwerk, productieworkloads primair EU (Frankfurt). Rol: applicatiehosting. Transfermechanisme: verwerking primair in de EU; SCC van toepassing waar verwerking buiten de EU plaatsvindt.
Mollie BV — betalingsverwerking. Locatie: Amsterdam, Nederland. Rol: verwerking van iDEAL, SEPA en kaartbetalingen. Transfermechanisme: verwerking binnen de EU.

Met alle bovenstaande subverwerkers zijn verwerkersovereenkomsten (DPA's) van kracht, hetzij via separate overeenkomst hetzij via hun standaard serviceovereenkomst. De actuele lijst en de specifieke waarborgen per subverwerker zijn op verzoek beschikbaar via info@scopiq.nl.

Plausible Analytics wordt door ons gebruikt voor anonieme, geaggregeerde bezoekersstatistieken van de ScopiQ-website. Plausible plaatst geen cookies, slaat geen IP-adressen op en verwerkt geen persoonsgegevens. Plausible is daarom juridisch geen subverwerker in de zin van artikel 28 AVG.

7. Doorgifte buiten de EU

Zoals toegelicht in sectie 6 vindt voor Anthropic en Resend doorgifte naar de Verenigde Staten plaats. Voor deze doorgiften geldt als transfermechanisme de Standard Contractual Clauses van de Europese Commissie (Uitvoeringsbesluit 2021/914). Waar nodig worden aanvullende technische en organisatorische maatregelen getroffen, waaronder versleuteling in transit (TLS) en beperkte toegang op basis van least-privilege. Voor details over de waarborgen per subverwerker of een kopie van de toepasselijke SCC kun je contact opnemen via info@scopiq.nl.

8. Opslag en beveiliging

Productiegegevens worden opgeslagen in Supabase (AWS EU-West). Toegang binnen de applicatie is beveiligd met Row Level Security, zodat iedere Gebruiker uitsluitend zijn eigen gegevens ziet. Alle communicatie verloopt via HTTPS/TLS. Wachtwoorden worden niet opgeslagen; inloggen verloopt via login links. Back-ups worden versleuteld opgeslagen en periodiek geroteerd.

9. Bewaartermijn

Actieve gegevens worden bewaard zolang je een actief account hebt. Na verwijdering van het account worden de gegevens uit de actieve productiesystemen binnen dertig dagen verwijderd.

Voor een beperkte periode kunnen gegevens nog aanwezig zijn in versleutelde back-ups, volgens de reguliere retentiecyclus van onze subverwerkers (maximaal dertig dagen na de laatste wijziging). Deze back-ups worden niet actief gebruikt en worden automatisch overschreven.

Voor gegevens waarop een wettelijke bewaarplicht rust — met name facturatie- en administratiegegevens op grond van artikel 52 AWR — geldt een bewaartermijn van zeven jaar. Na afloop van deze termijn worden ook deze gegevens verwijderd.

10. Jouw rechten

Op grond van de AVG heb je ten aanzien van de gegevens waarvoor ScopiQ verwerkingsverantwoordelijke is (zie sectie 2A) de volgende rechten:

Inzage (art. 15): welke gegevens wij van jou verwerken.
Correctie (art. 16): onjuiste gegevens laten aanpassen.
Verwijdering (art. 17): je gegevens laten verwijderen.
Beperking (art. 18): verwerking tijdelijk laten stopzetten.
Overdraagbaarheid (art. 20): je gegevens in standaardformaat (CSV) ontvangen voor overdracht naar een ander platform.
Bezwaar (art. 21): bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.

Neem hiervoor contact op via info@scopiq.nl. Wij reageren binnen dertig dagen. Je hebt ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Voor gegevens waarvoor ScopiQ verwerker is (zie sectie 2B) — dat wil zeggen: gegevens die jij als Gebruiker invoert over jouw eigen klanten — moeten rechtenverzoeken van betrokkenen bij jou worden ingediend. ScopiQ assisteert jou hierbij conform de verwerkersovereenkomst.

11. Cookies

ScopiQ gebruikt uitsluitend functionele cookies die noodzakelijk zijn voor het inloggen (sessie-cookie). Wij plaatsen geen tracking- of marketingcookies. Zie ons cookiebeleid voor meer informatie.

12. Wijzigingen

Wij kunnen dit privacybeleid wijzigen. Bij wezenlijke wijzigingen ontvang je minimaal veertien dagen van tevoren bericht per e-mail. De laatste versie is altijd beschikbaar op deze pagina.

13. Contact

Vragen over dit privacybeleid? Mail naar info@scopiq.nl.