Privacyverklaring

Twee rollen, en dat verschil doet ertoe

BookMeUp heeft twee petten op, en welke pet we dragen bepaalt bij wie je moet zijn.

Voor jouw eigen gegevens als salonhouder zijn wij verwerkingsverantwoordelijke: je naam, je e-mailadres, je bedrijfsgegevens en je abonnement. Daarover gaat deze verklaring.

Voor de gegevens van jouw klanten zijn wij verwerker en ben jij verantwoordelijke. Jij bepaalt wat er wordt vastgelegd en waarom; wij voeren uit wat jij instelt. Wat we daarbij wel en niet mogen staat in de verwerkersovereenkomst, die hoort bij je abonnement.

Ben je klant van een salon en wil je weten wat er over jou is vastgelegd? Dan is de salon je aanspreekpunt, niet wij. Wij helpen die salon je vraag te beantwoorden.

Wie wij zijn

BookMeUp, Opbroekweg 31, 7461 PH Rijssen. Ingeschreven bij de Kamer van Koophandel onder nummer 97888516.

Vragen over privacy gaan naar privacy@bookmeup.nl. We hebben geen functionaris voor gegevensbescherming; die is voor een bedrijf van deze omvang niet verplicht en we doen niet alsof.

Wat we van jou vastleggen

Alleen wat nodig is om het product te leveren en de rekening te sturen.

Als salonhouder gaat het om:

• Je naam en e-mailadres, omdat je daarmee inlogt en omdat we je moeten kunnen bereiken.
• De gegevens van je salon: naam, adres, telefoonnummer, openingstijden, behandelingen en tarieven. Die staan grotendeels ook op je eigen boekingspagina.
• Je abonnement en je facturen.
• Technische gegevens die bij het gebruik horen: wanneer je inlogt, vanaf welk IP-adres, en welke handelingen de agenda of de toegang veranderden. Dat laatste staat in het activiteitenlog en is er voor als iemand vraagt wie iets veranderd heeft.

Wat we níét vastleggen

Onze logboeken bevatten geen persoonsgegevens en geen gespreksinhoud. Wat er in een gesprek met de assistent gezegd wordt, staat in jouw inbox en niet in onze technische logs. Dat is een ontwerpregel en geen belofte achteraf: er staat een test op.

We plaatsen geen advertentiecookies en we meten je gedrag niet met externe partijen. De publieke pagina’s halen één ding van buiten: onze eigen livechat. Zie de cookieverklaring.

Waarom we het mogen

Per soort gegeven is er een grondslag:

• Uitvoering van de overeenkomst: je account, je salon, je abonnement en je facturen. Zonder die gegevens kunnen we het product niet leveren.
• Wettelijke plicht: facturen bewaren we zeven jaar, omdat de Belastingdienst dat eist.
• Gerechtvaardigd belang: het activiteitenlog en de beveiligingsgegevens, zodat we misbruik kunnen zien en achteraf kunnen vaststellen wat er is gebeurd.
• Toestemming: alleen waar die echt nodig is. Toestemmingen leggen we vast met tijdstip en bron, zodat we kunnen laten zien wanneer en waar iemand ja zei.

Hoe lang we het bewaren

Voor de gegevens van je klanten stel je de bewaartermijnen zelf in, in je portaal, per soort gegeven. Korter dan onze standaard mag altijd; langer niet.

Voor jouw eigen gegevens gelden deze termijnen:

• Je account en je salongegevens: zolang je abonnement loopt, en daarna nog zes maanden zodat je terug kunt komen zonder opnieuw te beginnen.
• Facturen en de administratie eromheen: zeven jaar, wettelijk verplicht.
• Het activiteitenlog: standaard vierentwintig maanden, door jou in te korten.
• Beveiligingsgegevens zoals inlogpogingen: twaalf maanden.

Waar je gegevens staan

Op servers in Nederland, bij TransIP B.V. De database staat op dezelfde machine en is van buitenaf niet bereikbaar.

Er gaat vandaag niets naar buiten de Europese Economische Ruimte. Dat is geen toeval maar een eis die we onszelf hebben opgelegd, en het is ook de reden dat de AI-assistent nog uit staat: die gaat pas aan zodra ook de taalverwerking volledig binnen Europa loopt. Liever een functie die wacht dan gesprekken die de oceaan over gaan.

Wie er verder bij kan

Zo weinig mogelijk partijen, en we noemen ze allemaal.

Vandaag in gebruik:

• TransIP B.V. (Nederland): de servers waarop BookMeUp draait en waar de database staat.
• Onze e-mailprovider (Nederland): verstuurt de bevestigingen en herinneringen namens jouw salon. Het e-mailadres van je klant gaat mee; de inhoud is de bevestiging zelf.

Wat erbij komt zodra een functie aangaat

Deze partijen zijn nog niet aangesloten. Ze staan hier omdat je het vooraf hoort te weten en niet op de dag zelf.

Zodra de bijbehorende functie live gaat:

• Stripe, voor je abonnement en later voor aanbetalingen van je klanten. Betaalgegevens komen nooit door onze systemen.
• Meta Platforms Ireland, zodra de WhatsApp-assistent aangaat. Berichten van je klanten lopen dan via WhatsApp.
• Een telecompartner, zodra de telefoon-assistent aangaat, voor het nummer en de gespreksverbinding.
• Een spraak- en taalmodelleverancier binnen de EER, zodra de assistent aangaat, voor het omzetten van spraak naar tekst en het voeren van het gesprek.

Hoe we het beveiligen

Geen uitputtende lijst, wel de dingen die het meeste uitmaken:

• Alles gaat over een versleutelde verbinding; de site is alleen via https bereikbaar.
• Wachtwoorden worden gehasht opgeslagen en zijn ook voor ons niet leesbaar.
• Elke query is gebonden aan één salon. Twee salons kunnen elkaars gegevens niet zien, ook niet door een fout in een scherm; daar staan tests op.
• Sleutels en wachtwoorden van diensten staan buiten de broncode, in een bestand dat alleen de server kan lezen.
• Dagelijkse back-ups, versleuteld, en periodiek teruggezet om te controleren dat ze echt werken.

Wat je kunt vragen

Je hebt het recht om te weten wat we van je hebben, het te laten corrigeren, het te laten verwijderen, de verwerking te beperken, bezwaar te maken, en je gegevens mee te nemen naar een andere partij.

Voor dat laatste hoef je ons niet eens te mailen: in je portaal exporteer je je klanten, afspraken en omzet zelf, wanneer je wilt. Opzeggen kan per maand en je gegevens gaan met je mee.

Voor de rest is één mail naar privacy@bookmeup.nl genoeg. We reageren binnen een maand. Kom je er met ons niet uit, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

Als er toch iets misgaat

Bij een datalek dat jou raakt, laten we het je weten zodra we weten wát er is gebeurd, en niet pas als we weten hoe het kon. Waar de wet het voorschrijft melden we het bij de Autoriteit Persoonsgegevens binnen tweeënzeventig uur.

Als deze verklaring verandert

Dan zetten we een nieuwe datum bovenaan. Gaat het om iets wezenlijks, zoals een nieuwe verwerker of een ander doel, dan krijg je een bericht en niet alleen een gewijzigde pagina.