Privacybeleid

1. Twee verschillende rollen, en waarom dat belangrijk is

VERA verwerkt informatie in twee hoedanigheden, en je rechten verschillen afhankelijk van welke daarvan van toepassing is.

Voor je eigen accountgegevens, je factureringsgegevens en de manier waarop je het product gebruikt, is VERA de verwerkingsverantwoordelijke. Dit beleid is van toepassing op die gegevens, en je oefent je rechten rechtstreeks bij ons uit.

Voor de informatie die je in VERA invoert over je klanten, leads, contactpersonen, werknemers en klussen, ben jij de verwerkingsverantwoordelijke en is VERA de verwerker die op jouw instructies handelt. Dit beleid beschrijft wat we ermee doen, maar de voorwaarden worden vastgelegd in het Verwerkersaddendum. Als je een klant bent van een van onze klanten en je wilt dat je gegevens worden gecorrigeerd of verwijderd, neem dan contact op met het bedrijf waarmee je zaken hebt gedaan; wij verwijzen je naar hen door en helpen hen bij het beantwoorden van je verzoek.

2. Gegevens die je zelf verstrekt

Het volgende komt rechtstreeks van jou of uit je gebruik van het product.

• Accountgegevens. Je e-mailadres, je naam als je die opgeeft, en een bcrypt-hash van je wachtwoord als je met een wachtwoord inlogt. VERA slaat je wachtwoord nooit in leesbare vorm op. Als je inlogt met Google, ontvangen we in plaats daarvan je e-mailadres, naam en profielfoto van Google.
• Bedrijfsprofiel. Je bedrijfsnaam, branche, diensten, locatie, merkstem, merkkleuren en logo, werktijden, en de doelen en context die je VERA geeft zodat het nuttig werk kan doen. Een deel hiervan kan voor je worden opgesteld door een websiteadres te scannen dat je opgeeft.
• Klant- en bedrijfsgegevens. Leads, contacten, bedrijven, deals, afspraken, klussen, monteurs, supporttickets, offertes, facturen en de bijbehorende notities, plus het klantportaal van elke klus: de planning, dagelijkse updates, foto's, de berichten die met de klant zijn uitgewisseld en meerwerkopdrachten. Hier staan de persoonsgegevens van je eigen klanten en medewerkers, waaronder namen, e-mailadressen, telefoonnummers, serviceadressen en klusgegevens.
• Bestanden en afbeeldingen. Foto's die je uploadt (inclusief voor-en-na-foto's van klussen), je logo en merkmateriaal, en facturen of offertes die je importeert uit een ander systeem. Geïmporteerde documenten worden bewaard samen met een kopie van het originele bestand, zodat de import opnieuw kan worden gecontroleerd.
• Handtekeningen van je klanten. Wanneer je klant een offerte accepteert via de openbare link die je hebt gestuurd, legt VERA de getypte naam of de afbeelding van de getekende handtekening vast, samen met het tijdstip en het feit dat de link is bekeken.
• Prompts en instructies. De doelen, vragen en briefings die je voor VERA schrijft, en de voorstellen, goedkeuringen, bewerkingen en afwijzingen die je daarbij vastlegt.
• Support en feedback. Wat je ons stuurt wanneer je contact opneemt met support, en de reden die je selecteert als je opzegt of een proefperiode laat verlopen, inclusief eventuele vrije tekst die je toevoegt. Feedback bij opzegging wordt behandeld als jouw gegevens en wordt samen met je account verwijderd.
• Uitgaven en bonnetjes. Registraties van uitgaand geld: de leverancier, het bedrag, de datum, de categorie en eventuele notities, samen met de afbeelding of het bestand van de bon dat je uploadt. Een bon wordt uitgelezen om die velden vooraf in te vullen, en het originele bestand wordt bij de registratie bewaard zodat het uitlezen kan worden gecontroleerd. Als een medewerker de uitgave heeft ingediend, vermeldt de registratie ook het account dat deze heeft ingediend.
• Kilometers en voertuigen. Ritten: afstand, datum en tijd, vertrek- en bestemmingsadres, zakelijk doel, het voertuig, kilometerstanden, het toegepaste tarief en de berekende vergoeding. Bij een rit kan ook één bewijsafbeelding worden gevoegd, zoals een foto van de kilometerteller of een parkeerbon. Voertuiggegevens bevatten wat je over het voertuig invoert. Als een medewerker de rit heeft ingediend, vermeldt het record het account dat de rit heeft ingediend.
• Salarisadministratie. Wanneer je de salarisadministratie van VERA gebruikt: de uren, het loontarief en het loontype van elke persoon vanaf de datum waarop die gelden, de bedragen van elke loonrun en de bijbehorende belastingen, en een logboek van elke wijziging in de salarisadministratie met de situatie ervoor en erna. De salarisverwerking zelf wordt uitgevoerd door Check Technologies (checkhq.com), een gelicentieerde salarisverwerker: Check berekent de inhoudingen en werkgeversbelastingen, schrijft bedragen af van je bankrekening voor salarissen, betaalt je mensen uit, dient aangiften in en geeft W-2- en 1099-formulieren uit. Gevoelige salarisgegevens (Social Security-nummers, geboortedata, woonadressen, keuzes op Form W-4, en bankrouting- en rekeningnummers) worden verzameld via de eigen beveiligde onboarding van Check, bewaard door Check en niet opgeslagen op de servers van VERA; VERA bewaart alleen de record-ID's van Check, de onboardingstatus van elke persoon, de laatste vier cijfers en de naam van de instelling van een bankrekening, en de metadata van belastingdocumenten. Loonstroken en belastingformulieren worden op verzoek bij Check opgehaald via een link die verloopt, en elke toegang wordt gelogd. Accounts die Check nooit hebben gekoppeld, behouden het eerdere model met alleen export, waarin VERA W-4-keuzes en versleutelde gegevens voor directe storting bewaart en nooit aangiften indient, belastingen afdraagt of geld overmaakt.
• Sms-gesprekken. Wanneer je de sms-functie van VERA gebruikt: de betrokken telefoonnummers, de inhoud van verzonden en ontvangen berichten, eventuele foto's die via mms zijn verzonden of ontvangen, de afleverstatus die de provider meldt, en toestemmingsgegevens: of een nummer zich heeft aangemeld of afgemeld, wanneer, waar de aanmelding vandaan kwam en welk trefwoord is gebruikt om af te melden.
• Social posts die je publiceert. De bijschriften, afbeeldingen en video's die je samenstelt, de planning die je instelt, op welk gekoppeld account elk bericht is gericht, en het publicatieresultaat dat het platform terugmeldt.
• Spraakinvoer. Wanneer je een spraakgesprek of een intake met spraakbegeleiding gebruikt, wordt wat je zegt uitgeschreven en wordt de tekst die daaruit ontstaat behandeld als alles wat je typt. Zie het onderdeel over de microfoon hieronder voor waar het geluid zelf naartoe gaat.
• Telefoontjes naar je zakelijke nummer. Wanneer je de zakelijke telefoon gebruikt, een logboek van elk gesprek: het nummer van de beller, wanneer het plaatsvond, hoe lang het duurde, of het werd beantwoord, gemist, doorgeschakeld of naar de voicemail ging, en wie het afhandelde. Wanneer je hebt ingeschakeld dat Vera gesprekken beantwoordt, een transcript van wat er is gezegd en een korte gestructureerde samenvatting van wat de beller wilde. Wanneer je daarnaast gespreksopname hebt ingeschakeld, de audio van het gesprek gedurende de bewaartermijn die je instelt. Zie het gedeelte over telefoongesprekken hieronder voor waar de audio naartoe gaat.
• Opgenomen gesprekken. Wanneer je Opnames gebruikt om een locatiebezoek of vergadering op te nemen, een audiobestand uploadt, een transcript plakt of een andere recorder (zoals Plaud, via Zapier) transcripten laat sturen naar je Opnames-adres: de audio die je hebt opgenomen of geüpload, het transcript ervan, de gestructureerde uitwerking die VERA ervan maakt (samenvatting, genoemde klantgegevens, scope, afmetingen, materialen, budget, planning en vervolgacties), en je bevestiging dat iedereen in het gesprek heeft ingestemd met de opname, met het tijdstip waarop je die gaf. Zie het gedeelte over de microfoon hieronder voor waar de audio naartoe gaat.
• Inloggegevens van gekoppelde platforms. De OAuth-tokens en API-sleutels voor platforms die je koppelt. Deze worden in rust versleuteld met AES-256-GCM en worden nooit aan je teruggetoond of naar logbestanden geschreven. Voor providers die via een broker zijn gekoppeld, worden de inloggegevens door die broker bewaard in plaats van door VERA, zoals beschreven op de Lijst van subverwerkers.

3. Locatiegegevens

VERA kan de precieze locatie van je apparaat gebruiken. In dit gedeelte leggen we precies uit wanneer en waarom, want een privacybeleid dat dit wegstopt, doet zijn werk niet.

Locatie wordt voor één functie gebruikt: het Kilometerlogboek. Wanneer je bij een rit op Start drukt, vraagt VERA je browser om toestemming en registreert het vervolgens positiegegevens zolang die rit duurt, zodat de gereden afstand kan worden gemeten in plaats van geschat. De registratie is beperkt tot de rit: die begint wanneer je de rit start en stopt wanneer je de rit beëindigt. VERA volgt je locatie niet op de achtergrond, registreert geen locatie wanneer het Kilometerlogboek geen rit vastlegt en heeft geen mogelijkheid om je te lokaliseren wanneer je het niet gebruikt.

Elke meting bevat een breedte- en lengtegraad, het tijdstip waarop de meting is gedaan en, als het apparaat die doorgeeft, een nauwkeurigheidswaarde, snelheid en rijrichting. Uit de metingen leidt VERA het begin- en eindadres en de route van de rit af, en die afgeleide waarden worden opgeslagen bij de ritregistratie.

Coördinaten en adressen worden naar een kaartdienst gestuurd om ze om te zetten in adressen, routes en afstanden, voor zover er voor de implementatie een kaartdienst is geconfigureerd. De aanbieder en wat die ontvangt, staan vermeld op de Lijst van subverwerkers. Resultaten worden gecachet onder een hash van het genormaliseerde verzoek en niet onder het ruwe adres, zodat de cache geen doorzoekbaar overzicht is van waar iemand is geweest.

Ruwe locatie-uitlezingen en de ritregistraties die daarop zijn gebaseerd, worden gedurende verschillende termijnen bewaard, omdat het verschillende dingen zijn: de uitlezingen zijn de werkgegevens achter een meting, en de rit is een financieel gegeven. Het Beleid voor gegevensbewaring vermeldt beide termijnen.

Je hebt hier op twee niveaus controle over. VERA vraagt alleen om je locatie wanneer je een rit start, en je browser of telefoon bepaalt of de toestemming überhaupt wordt verleend; je kunt die weigeren, of later intrekken in de instellingen van je browser of apparaat, en de rest van VERA blijft werken. Kilometers kunnen ook handmatig worden ingevoerd, zonder locatietoegang. De accounthouder kan daarnaast de bewaartermijn voor ruwe metingen instellen, waaronder het volledig uitschakelen van de opslag ervan.

4. Tijd in de app, en wat de accounthouder kan zien

VERA meet hoe lang een account in de app is en op welke schermen die tijd is doorgebracht, en toont het resultaat aan de accounthouder van het bedrijf. Als je via een uitnodiging lid bent geworden van het bedrijf van iemand anders, betekent dit dat je werkgever kan zien hoe lang je in VERA hebt doorgebracht en op welke medewerkersschermen je was. Dit gedeelte legt precies uit wat dat wel en niet omvat, omdat iemand een meting over zichzelf niet zelf zou moeten hoeven ontdekken.

Wat wordt gemeten: je browser meldt dat het VERA-tabblad voor je openstaat en dat je in de afgelopen paar minuten hebt bewogen, getypt, gescrold of getikt. Zolang beide het geval zijn, stuurt hij ongeveer elke dertig seconden een signaal met de route waarop je je bevindt. Tijd wordt in die intervallen opgebouwd en elk interval heeft een maximum, dus een tabblad dat 's nachts openblijft, voegt één interval toe en stopt dan. Als het tabblad verborgen, gesloten of onaangeroerd is, wordt er niets opgebouwd.

Wat wordt vastgelegd: de route, teruggebracht tot de pagina die erin wordt genoemd. Record-ID's worden vóór opslag vervangen en de querystring wordt verwijderd, op de sleutels die een tabblad aanduiden na, zodat een opgeslagen item kan zeggen dat je op een offerte was, maar niet welke offerte, welke klant of waar je naar zocht. Niets wat je typt, binnen een record bekijkt of uploadt, wordt hier vastgelegd, en je locatie ook niet.

Wat het niet is: dit is tijd waarin de app openstaat, geen gewerkte uren. Het wordt apart van de uren in urenstaten opgeslagen, wordt nooit door de salarisadministratie gelezen en er wordt nooit een prijs aan gekoppeld. Tijd die je in de werkruimte van je eigen bedrijf doorbrengt, hoort bij je eigen tenant en is niet zichtbaar voor bedrijven waarvoor je werkt.

Je ziet dezelfde cijfers als het bedrijf, op je accountscherm in de medewerkersweergave. De gegevens worden verwijderd wanneer het account waarop ze betrekking hebben wordt verwijderd, inclusief de gegevens die worden bewaard binnen bedrijven waarvoor je hebt gewerkt.

5. Microfoon en spraak

VERA heeft spraakfuncties: je kunt een gesproken gesprek voeren met de assistent, en bij sommige begeleide intakes kun je je antwoorden inspreken. Hiervoor is toegang tot je microfoon nodig, waar je browser om vraagt de eerste keer dat je zo'n functie start. Verder luistert VERA niet mee en vraagt het nergens anders om toegang tot de microfoon.

Bij spraakgesprekken en spraakgestuurde intakes wordt spraak omgezet in tekst door de eigen spraakherkenning van je browser, niet door VERA. Wat de servers van VERA bereikt, is het transcript, niet de audio. Die functies sturen VERA geen opname van je stem, en er bestaat van zo'n sessie geen audiobestand dat wij zouden kunnen bewaren. Hoe je browser zelf met de audio omgaat (bij sommige browsers houdt dat in dat de audio voor herkenning naar de browserleverancier wordt gestuurd), valt onder het privacybeleid van die browser en niet onder het onze.

Het transcript wordt behandeld alsof je het zelf had getypt: het wordt onderdeel van het gesprek, kan naar de AI-aanbieder worden gestuurd om een antwoord te genereren en wordt bij dat gesprek bewaard totdat je het verwijdert of je account verwijdert.

Voor de gesproken antwoorden van VERA wordt de tekst van het antwoord naar een spraakprovider gestuurd die audio teruggeeft, en die audio wordt naar je browser gestreamd in plaats van opgeslagen. Alleen de antwoordtekst wordt verstuurd; de audio van je microfoon niet. Die provider wordt genoemd in de Lijst van subverwerkers.

Opnamen is de enige functie die wel audio bewaart. Er wordt pas opgenomen nadat je op opnemen drukt en bevestigt dat iedereen in het gesprek weet dat het wordt opgenomen en daarmee heeft ingestemd, en de opname stopt wanneer je op stoppen drukt. De wetgeving over opnemen verschilt per staat en land, en in verschillende Amerikaanse staten is toestemming nodig van iedereen in het gesprek, dus die bevestiging moet je naar waarheid geven. De audio die je opneemt of uploadt, wordt opgeslagen in je account en naar een transcriptieprovider gestuurd, vermeld op de Lijst van subverwerkers, om te worden omgezet in tekst. Het transcript wordt vervolgens naar de AI-provider gestuurd om te worden uitgewerkt. De audio, het transcript en de uitwerking worden bewaard totdat je de opname of je account verwijdert, en worden opgenomen in je gegevensexport, met uitzondering van de audio zelf, die je in de app kunt afspelen.

6. Telefoongesprekken beantwoord door Vera

Een bedrijf kan zijn VERA-telefoonnummer aan een AI-receptionist geven, zodat oproepen die niemand opneemt, of alle oproepen, door Vera worden beantwoord. Dit staat voor elk bedrijf uit totdat de accounthouder het inschakelt en bevestigt dat hij of zij deze sectie heeft gelezen, en Vera vertelt bellers altijd dat ze een virtuele receptionist is.

Wanneer Vera opneemt, verbindt de telefoonprovider het geluid van het gesprek rechtstreeks met de AI-aanbieder die voor haar luistert en spreekt. Dat geluid loopt niet via de servers van VERA en VERA bewaart het niet. Wat VERA wel bewaart, is een transcript van het gesprek en een korte samenvatting van wat de beller wilde. Deze worden opgeslagen in het account van het bedrijf, zodat het bedrijf ermee aan de slag kan, en samen met het account verwijderd. De AI-aanbieder en de telefoonprovider staan allebei op de Lijst van subverwerkers, met daarbij wat elk van hen ontvangt.

Vera antwoordt alleen op basis van de feiten die het bedrijf haar heeft gegeven en van wat ze opzoekt in de eigen gegevens van het bedrijf. Ze noemt geen prijzen, tenzij het bedrijf heeft vastgelegd welke prijzen ze mag noemen, en ze boekt, verzet of annuleert niets, stuurt geen sms en verbindt niet door, tenzij het bedrijf elk van die rechten afzonderlijk heeft ingeschakeld.

Gespreksopname is een aparte, extra schakelaar. Deze staat standaard uit, wordt nooit ingeschakeld als bijeffect van iets anders en kan pas worden ingeschakeld nadat de accounthouder heeft bevestigd dat de wetgeving rond opnames per staat verschilt. Als deze aanstaat, krijgt elke beller te horen dat het gesprek kan worden opgenomen voordat er iets wordt vastgelegd, wordt de opname door de telecomprovider bewaard gedurende de bewaartermijn die het bedrijf instelt, en verwijdert het bewaarproces van VERA de opname zodra die termijn afloopt.

Als je de beller bent: het bedrijf dat je hebt gebeld, is verantwoordelijk voor deze gegevens, zoals beschreven in het gedeelte over rollen hierboven. VERA verwerkt ze op instructie van het bedrijf, en verzoeken hierover richt je eerst aan het bedrijf.

7. Automatisch verzamelde gegevens

VERA verzamelt bewust maar een kleine hoeveelheid technische informatie.

• Serverlogs. Gewone applicatie- en foutlogs die ontstaan bij het verwerken van verzoeken. Dit zijn operationele registraties, geen product voor gedragsanalyse.
• Tellers voor snelheidsbeperking. Om brute-force-inlogpogingen en misbruik tegen te gaan, houdt VERA kortstondige tellers bij op basis van IP-adres of e-mailadres voor handelingen zoals inloggen, registreren en wachtwoord resetten. Elke teller wordt overschreven wanneer de bijbehorende periode opnieuw begint.
• Signalen over productgebruik. Tellingen en tijdstempels die het product laten werken en die je eigen dashboards voeden: creditverbruik, wanneer een voorstel is goedgekeurd, wanneer een offertelink voor het eerst is geopend, hoe vaak die is bekeken en dagelijkse bedrijfscijfers berekend uit je gekoppelde platforms.
• Analyse van de marketingwebsite. Vercel Web Analytics en Vercel Speed Insights meten paginaweergaven en prestaties op onze openbare pagina's. De aangepaste events die VERA naar Vercel stuurt, zijn beperkt tot een vaste set waarden (een branche-slug, op welk onderdeel een kaart is aangeklikt, een positie, een verblijfsduur in seconden en een ingekorte zoekterm). E-mailadressen, namen en vrij ingetypte inhoud worden bewust nooit naar Vercel-analytics gestuurd.
• Productanalyse (PostHog). VERA gebruikt PostHog, een first-party dienst voor productanalyse, op de website, in de app en op de pagina's die je klanten openen via een link die jij verstuurt. PostHog registreert de bekeken pagina's, de aangeklikte knoppen en links (inclusief de zichtbare tekst), de verwijzende pagina, het type browser en apparaat, een geschatte locatie afgeleid van het IP-adres en fouten die de pagina genereert. Als je bent ingelogd, worden deze gebeurtenissen gekoppeld aan je zakelijke account en ontvangt PostHog ook je naam en e-mailadres, zodat we kunnen zien bij welk account een probleem optrad. Een cookie en een vermelding in de browseropslag bewaren een willekeurige PostHog-identificatie, zodat bezoeken kunnen worden gegroepeerd (zie het Cookiebeleid). Geheime gegevens in klantlinks worden eerst verwijderd: het token in een link voor een betaling, offerte, portaal, boeking, bezoek, review, documentupload of uitnodiging wordt vervangen voordat er iets wordt verzonden, net als geheime waarden in een webadres, zoals een token om een wachtwoord opnieuw in te stellen. We gebruiken dit om bugs op te sporen, te begrijpen welke functies worden gebruikt en het product te verbeteren. Het wordt niet gebruikt voor advertenties en niet verkocht. Bezoekers in de EU, de EER, het VK en Zwitserland wordt eerst om toestemming gevraagd: PostHog wordt pas in hun browser geladen nadat ze in de cookiebanner op Accepteren hebben gedrukt, en iedereen kan die keuze op elk moment wijzigen of intrekken via Cookie-instellingen.
• Sessie-opnames (PostHog). Op de website van VERA en in de app kan PostHog een sessie-opname maken: een reconstructie van de pagina zoals jij die zag, met muisbewegingen, klikken, scrollen en paginawisselingen, gebruikt om bugs en verwarrende schermen op te sporen. Alles wat in een formulierveld wordt getypt, wordt gemaskeerd voordat het je browser verlaat, ingesloten betaalvelden worden volledig geblokkeerd en in de app wordt bovendien alle tekst op het scherm gemaskeerd, zodat een opname de opmaak van een scherm laat zien en niet de klantgegevens, offertes of handtekeningen die erop staan. De openbare marketingpagina's worden opgenomen met zichtbare tekst, omdat die tekst al openbaar is. Er wordt nooit een opname gemaakt op de pagina's die je klanten openen via een link die jij verstuurt (betalingen, offertes, portalen, boekingen, bezoeken, reviews, documentverzoeken en uitnodigingen). Opnamen worden bewaard volgens de bewaarinstellingen van PostHog voor het project van VERA.
• AI-gespreksmonitoring (PostHog). Elk verzoek dat VERA aan zijn AI-tekstprovider doet, wordt ook in PostHog gelogd, zodat we storingen, responstijden en kosten kunnen bewaken. Het log bevat het gebruikte model, het aantal tokens en de timing, en de prompt en het antwoord, die de bedrijfscontext en klantgegevens kunnen bevatten die voor de taak nodig waren. Het log wordt aan je account gekoppeld als het verzoek namens jou is gedaan, en wordt uitsluitend gebruikt om de Dienst te leveren en te verbeteren.
• Vastleggingen van elektronische handtekeningen. Wanneer iemand een offerte accepteert of ondertekent via de link die een bedrijf heeft gestuurd, legt VERA het moment vast, het IP-adres waarvandaan de acceptatie binnenkwam en een globale apparaataanduiding zoals „Safari op iPhone”. Bij een getypte handtekening legt VERA ook vast dat de ondertekenaar heeft ingestemd met elektronisch ondertekenen en welke versie van die tekst op het scherm stond. Deze gegevens worden bij de offerte bewaard, omdat een handtekening die niemand aan iemand kan toeschrijven nergens als bewijs voor dient, en ze zijn alleen zichtbaar voor het bedrijf waartoe de offerte behoort. De volledige user-agentstring van de browser wordt niet bewaard.
• Audittrail. Elk voorstel, elke goedkeuring, wijziging, afwijzing, uitvoering en mislukking in je account wordt vastgelegd in een auditlog waaraan alleen kan worden toegevoegd, samen met beveiligingsgebeurtenissen zoals wachtwoordresets, ingetrokken sessies en vernieuwde offertelinks. Geheimen en tokens worden er nooit in vastgelegd.

8. Gegevens van platforms die je koppelt

Wanneer je een platform van een derde partij koppelt, leest VERA de gegevens die in de machtigingen van dat platform worden beschreven, en uitsluitend om het werk uit te voeren waar je om hebt gevraagd. Jij kiest welke platforms je koppelt. Als je een platform ontkoppelt, wordt de doorlopende toegang van VERA ingetrokken en worden de opgeslagen inloggegevens verwijderd.

De integratiecatalogus van VERA omvat zo'n 150 aanbieders op het gebied van boekhouding, betalingen, CRM, planning, e-mail, communicatie, marketing, social media, e-commerce, verzending, analytics, buitendienst en meer. Wat elke koppeling leest of schrijft, zie je op de bijbehorende kaart voordat je de koppeling maakt. In grote lijnen:

• Boekhouding en buitendienst. Klanten, offertes, prijsopgaven, klussen, facturen en betalingen, alleen-lezen, zodat VERA over het bedrijf kan rapporteren en documenten vooraf kan invullen. QuickBooks Online en Jobber zijn alleen-lezen-integraties.
• Winkels en betalingen. Bestellingen, klanten, producten en betalingsgegevens, alleen-lezen, om omzet, aantallen bestellingen en gemiddelde orderwaarde te berekenen.
• Sociale netwerken. Het publiceren van de posts die je opstelt en het uitlezen van de statistieken die die platforms beschikbaar stellen (vertoningen, weergaven, interactie, publieksinzichten), zodat VERA over de prestaties kan rapporteren. Content die je inplant of publiceert, inclusief afbeeldingen en video, wordt verzonden naar het platform dat je hebt gekozen, waar de eigen voorwaarden en het eigen privacybeleid van dat platform erop van toepassing zijn. Na publicatie valt deze buiten de controle van VERA, en verwijderen in VERA verwijdert de content niet van het platform. VERA plaatst niets zonder jouw instructie of een automatiseringsregel die je hebt ingesteld.
• E-mail en agenda. Het verzenden van de campagnes en berichten die je goedkeurt via je eigen provideraccount, het uitlezen van campagneresultaten en het uitlezen van agenda-afspraken om daaromheen te plannen.
• Nieuws- en marktbronnen. Industry Radar leest openbaar beschikbaar nieuws via een nieuws-API. Hiervoor worden openbare bronnen gebruikt, niet je accountgegevens of de gegevens van je klanten.

9. Teamleden en medewerkers

Een zakelijk VERA-account kan meerdere personen bevatten. De accounthouder nodigt hen uit, ieder accepteert met een eigen login in plaats van een gedeelde, en ieder krijgt een rol die bepaalt waar diegene toegang toe heeft.

Gebruik je VERA als medewerker of teamlid? Dan is het goed om te weten waar je gegevens naartoe gaan. VERA bewaart je naam, het e-mailadres waarop je bent uitgenodigd, je rol en de registratie van wat je in de werkruimte hebt gedaan. Het bedrijf dat je heeft uitgenodigd, is de verwerkingsverantwoordelijke voor die gegevens; VERA verwerkt ze op zijn instructies.

Wat je in de werkruimte indient, is een record van het bedrijf, geen privérecord. Uitgaven die je indient, inclusief de afbeeldingen van bonnetjes, en ritten die je indient, inclusief de afstand, de adressen, een eventuele op locatie gebaseerde route en een eventuele bewijsafbeelding, zijn zichtbaar voor de accounthouder en voor iedereen wiens rol het toestaat inzendingen te beoordelen. Bij elke inzending staat het account dat deze heeft ingediend, en dat maakt goedkeuring en vergoeding mogelijk.

Als het bedrijf de salarisadministratie in VERA voert, bevat het ook je urenregistraties, je uurloon, je W-4-keuzes en, als je via automatische overschrijving wordt betaald, je bankgegevens. Loon-, belasting- en bankgegevens zijn alleen zichtbaar voor de mensen aan wie de accounthouder de salarisbevoegdheid heeft gegeven; uren goedkeuren is een aparte, beperktere bevoegdheid die geen van deze gegevens toont. Je bankrekeningnummer wordt versleuteld en nooit volledig op een scherm weergegeven.

Locatie vormt geen uitzondering op je eigen zeggenschap. VERA registreert je positie alleen terwijl je een rit start en uitvoert, dit is afhankelijk van de toestemming op je apparaat, en je kunt het weigeren en de kilometers handmatig invoeren. VERA geeft een werkgever geen enkele mogelijkheid om je te lokaliseren buiten een rit die je zelf hebt gestart, en heeft geen weergave voor live volgen of monitoren.

Je rol geeft alleen toegang tot het bedrijf dat je heeft uitgenodigd. Als je een lid deactiveert, verliest die persoon de toegang, maar blijft de naam staan bij de gegevens die die persoon heeft vastgelegd, omdat die gegevens van het bedrijf zijn.

Wil je gegevens die een bedrijf in VERA over je heeft laten corrigeren of verwijderen? Vraag het dan aan dat bedrijf. Neem je in plaats daarvan contact met ons op, dan verwijzen we je verzoek door naar dat bedrijf en helpen we het bij de beantwoording, zoals de Verwerkersovereenkomst vereist.

10. Hoe VERA informatie gebruikt

We gebruiken informatie om de Dienst te laten werken: om je te authenticeren, om concepten en voorstellen te genereren, om de acties uit te voeren die je goedkeurt, om gegevens van platforms die je koppelt te synchroniseren en weer te geven, om je offertes, facturen en rapporten op te stellen, om het creditverbruik te meten, om planlimieten en rate limits te handhaven, om misbruik op te sporen en te voorkomen, om ondersteuning te bieden en om je transactionele e-mails over je account te sturen.

We gebruiken productanalyse, sessie-opnames en monitoring van fouten en AI-aanroepen, zoals beschreven onder Automatisch verzamelde informatie, om te begrijpen welke delen van het product nuttig zijn en waar ze tekortschieten, om bugs op te lossen en om te plannen wat we hierna bouwen.

We verkopen geen persoonsgegevens, delen deze niet voor cross-context behavioral advertising (gedragsgerichte advertenties over verschillende contexten heen), gebruiken je bedrijfsgegevens of de gegevens van je klanten niet om AI-modellen te trainen, en gebruiken de inhoud van je account niet voor marketing richting andere klanten.

11. AI-verwerking

Om content en analyses te genereren, stuurt VERA het relevante deel van je prompt en bedrijfscontext via een API naar een externe AI-provider, ontvangt een antwoord en slaat dat antwoord op in je account. We sturen wat nodig is voor de taak en niets meer.

Voor het genereren van tekst gebruiken we de Claude-modellen van Anthropic. Het genereren van afbeeldingen gebeurt, waar dat is ingesteld, met OpenAI of Google Gemini voor de achtergrond van de afbeelding; de tekst en het logo die eroverheen komen, worden deterministisch door VERA getekend en verlaten nooit onze servers. Als een bedrijf Vera heeft ingeschakeld om telefoongesprekken te beantwoorden, gebruikt Vera de speech-to-speech-modellen van OpenAI, zoals beschreven in het onderdeel over telefoongesprekken. Als er geen AI-provider is ingesteld, valt VERA terug op uitvoer zonder AI in plaats van te falen.

VERA stuurt geen prompts naar AI-aanbieders voor training, en de commerciële API-voorwaarden van onze aanbieders geven hun geen trainingsrechten op API-invoer. Aanbieders kunnen invoer kort bewaren voor misbruikmonitoring volgens hun eigen beleid, waarop wij geen invloed hebben. Het AI-gebruiksbeleid gaat hier uitgebreider op in.

12. Rechtsgronden voor verwerking

Wanneer de UK GDPR of de EU-AVG van toepassing is, baseert VERA zich op de volgende rechtsgronden voor de gegevens waarvoor VERA verwerkingsverantwoordelijke is:

• Uitvoering van een overeenkomst. Je account aanmaken en onderhouden, de functies leveren waarop je bent geabonneerd, betalingen verwerken en ondersteuning bieden.
• Gerechtvaardigde belangen. Het beveiligen van de Dienst, het voorkomen van fraude en misbruik, het bijhouden van een audittrail, het meten van productgebruik via productanalyse en sessieherhaling (buiten de EU, de EER, het VK en Zwitserland), het monitoren van fouten en AI-aanroepen, en het verbeteren van het product. We wegen deze belangen af tegen jouw rechten en houden de betrokken gegevens tot een minimum beperkt: formulierinvoer wordt gemaskeerd in herhalingen, tekst in de app wordt gemaskeerd en geheimen in klantlinks worden verwijderd voordat er iets wordt verzonden.
• Wettelijke verplichting. Financiële en fiscale administratie bewaren en reageren op rechtmatige verzoeken.
• Toestemming. Optionele communicatie waarvoor je je aanmeldt en, voor bezoekers in de EU, de EER, het VK en Zwitserland, productanalyse en sessieherhaling, die pas worden geladen nadat je ze in de cookiebanner hebt geaccepteerd. Je kunt je toestemming op elk moment intrekken, voor analyse via Cookie-instellingen, zonder dat dit gevolgen heeft voor verwerking die al heeft plaatsgevonden.
• Je instructies. Voor persoonsgegevens over je eigen klanten verwerkt VERA deze op basis van jouw gedocumenteerde instructies als jouw verwerker. Het vaststellen van je eigen rechtsgrond voor die gegevens is jouw verantwoordelijkheid.

13. Hoe informatie wordt gedeeld

VERA deelt informatie met dienstverleners die nodig zijn om het product te laten draaien, elk onder voorwaarden die hen verplichten die informatie te beschermen en alleen te gebruiken voor de diensten die ze aan ons leveren. Ze staan afzonderlijk vermeld, met wat elk van hen ontvangt, op de Lijst van subverwerkers.

We delen informatie met een platform dat je koppelt alleen voor zover dat nodig is om de actie uit te voeren die je op dat platform hebt aangevraagd.

We kunnen informatie openbaar maken als we daartoe wettelijk verplicht zijn, om onze Voorwaarden te handhaven, of om de rechten, eigendommen of veiligheid van VERA, onze klanten of het publiek te beschermen. Als de wet het toestaat en het niet averechts werkt, informeren we de betrokken accounthouder over een juridisch verzoek voordat we erop reageren.

Als VERA betrokken is bij een fusie, overname, financiering of verkoop van activa, kunnen gegevens als onderdeel van die transactie worden overgedragen. Ze blijven dan onder dit beleid vallen, en we geven vooraf kennis van elke wezenlijke wijziging in de manier waarop ze worden behandeld.

14. Mobiele telefoonnummers en sms-berichten

Sms wordt hier apart behandeld omdat mobiele providers er strengere eisen aan stellen dan aan de rest van dit beleid, en omdat het antwoord kort is.

Er worden geen mobiele gegevens met derden of gelieerde ondernemingen gedeeld voor marketing- of promotiedoeleinden. Mobiele telefoonnummers en toestemming voor sms-berichten worden nooit verkocht, verhuurd of gedeeld met derden of gelieerde ondernemingen voor hun eigen marketing- of promotiedoeleinden. Telefoonnummers worden alleen gedeeld met de provider die het bericht aflevert en met dienstverleners die in onze opdracht handelen, om het bericht te versturen waarom je hebt gevraagd.

Opt-in-gegevens en toestemmingsregistraties van de sms-afzender zijn uitgesloten van uitwisseling met een derde partij of gelieerde onderneming voor haar eigen marketing- of promotiedoeleinden. Ze worden niet gebruikt voor advertenties, niet verkocht en niet overgedragen aan een databroker. Uitwisseling met dienstverleners die in onze opdracht handelen, zoals de provider die een bericht aflevert, is beperkt tot wat nodig is om dat bericht af te leveren.

Iemand die een sms ontvangt, kan deze stopzetten door op het bericht te antwoorden met STOP; dit wordt automatisch verwerkt. Het Opt-inbeleid voor mobiele berichten beschrijft hoe toestemming wordt verkregen en vastgelegd, en de Servicevoorwaarden voor sms beschrijven wat er mag worden verzonden.

Het volgende geldt voor elk sms-programma dat in dit beleid wordt beschreven, inclusief meldingen die een accounteigenaar op zijn eigen nummer wil ontvangen. De berichtfrequentie varieert. Er kunnen bericht- en datakosten van toepassing zijn. Antwoord STOP op een bericht om je af te melden, en antwoord HELP voor hulp. Toestemming voor het ontvangen van sms-berichten is geen voorwaarde voor een aankoop, voor het aanmaken van een account of voor het gebruik van de software.

15. Waar gegevens worden opgeslagen

VERA draait als een gecontaineriseerde Next.js-applicatie met een beheerde PostgreSQL-database. Geüploade foto's, bonnetjes, afbeeldingen als bewijs van gereden kilometers, MMS-media, gegenereerde afbeeldingen en geïmporteerde documenten worden als gecodeerde gegevens in diezelfde database opgeslagen in plaats van in een aparte objectopslagdienst, zodat er geen extra opslagprovider is die je bestanden bewaart.

Omdat bestanden in de database staan en niet in een openbare bucket, hebben ze geen openbare URL. Elk bestand wordt aangeboden via een applicatieroute die een ingelogde sessie vereist en controleert of het bestand bij jouw account hoort voordat er ook maar één byte wordt teruggestuurd. Een bestand is dus niet te bereiken door een adres te raden en wordt niet leesbaar voor iemand die toevallig een link heeft. Wanneer een medewerker een bestand uploadt, wordt de upload gekoppeld aan het account dat het heeft verzonden, zodat een inzending niet aan het record van iemand anders kan worden toegevoegd. Als je het record verwijdert waar een bestand bij hoort, wordt het bestand verwijderd, en als je je account verwijdert, worden ze allemaal verwijderd.

De enige uitzondering is media die aan een socialmediabericht is toegevoegd, want die wordt per definitie gepubliceerd. Platforms halen de afbeelding of video zelf op, zonder sessie, dus dat bestand wordt aangeboden via een aparte link met een ondertekend, verlopend token dat het account en het bestand benoemt. De link kan niet worden vervalst of geraden en werkt na korte tijd niet meer, maar zolang hij geldig is, is er geen aanmelding voor nodig. Alles wat je publiceert, verlaat VERA.

De hosting- en database-infrastructuur wordt geleverd door de platformaanbieders die op de Lijst van subverwerkers staan. Hun standaardregio's liggen in de Verenigde Staten.

16. Internationale doorgifte van gegevens

VERA opereert vanuit de Verenigde Staten en de infrastructuur en subverwerkers van VERA bevinden zich voornamelijk daar. Als je VERA van buiten de Verenigde Staten gebruikt, worden je gegevens overgedragen naar, opgeslagen in en verwerkt in de Verenigde Staten, die mogelijk niet hetzelfde niveau van wettelijke bescherming bieden als je eigen land.

Voor doorgiften van persoonsgegevens buiten de Europese Economische Ruimte, het Verenigd Koninkrijk of Zwitserland baseert VERA zich op de standaardcontractbepalingen van de Europese Commissie, die door verwijzing zijn opgenomen in het Verwerkersaddendum, samen met het UK International Data Transfer Addendum wanneer de UK GDPR van toepassing is.

VERA is niet gecertificeerd onder het EU-VS Data Privacy Framework en beweert niet dat er een adequaatheidsbesluit rechtstreeks op VERA van toepassing is. Sommige van onze subverwerkers hebben eigen certificeringen; dat is hun status, niet de onze.

17. Hoe informatie wordt beschermd

Verkeer verloopt via HTTPS, gewone HTTP-verzoeken worden in productie doorgestuurd en HSTS wordt afgedwongen. Wachtwoorden worden gehasht met bcrypt met een work factor van 12 (src/lib/password.ts). Inloggegevens van koppelingen worden versleuteld met AES-256-GCM (src/lib/crypto.ts) met een sleutel die apart wordt bewaard van het geheim voor het ondertekenen van sessies. Elk verzoek is beperkt tot het ingelogde account, en sessies kunnen in één keer op alle apparaten worden ingetrokken.

Inkomende webhooks worden gecontroleerd aan de hand van het handtekeningschema van elke provider en ontdubbeld, zodat een opnieuw afgespeelde levering niet twee keer kan worden verwerkt. Serververzoeken naar adressen die jij opgeeft, worden gecontroleerd op private en interne adresbereiken, zodat ze niet naar interne systemen kunnen worden omgeleid. Openbare offertelinks gebruiken 256 bits cryptografisch veilige willekeur, zijn met snelheidsbeperking beschermd tegen raden en worden nooit volledig in logs vastgelegd.

Geen enkel systeem is volledig veilig, en VERA heeft geen beveiligingscertificering. Het Beveiligingsbeleid vermeldt precies welke maatregelen zijn getroffen en, net zo belangrijk, welke gangbare maatregelen nog niet.

18. Hoe lang informatie wordt bewaard

Kort samengevat: je bedrijfsgegevens worden bewaard zolang je account bestaat en worden verwijderd wanneer je het account verwijdert. VERA verwijdert weinig automatisch, en waar dat wel gebeurt, komt dat doordat de gegevens gevoeliger zijn dan dat bewaren nuttig is.

De geplande opschoningen zijn op dit moment: ruwe locatiegegevens uit de kilometerregistratie, die standaard na 30 dagen worden verwijderd en die de accounthouder kan aanpassen, inclusief het uitschakelen van de opslag; geannuleerde ritten die buiten de bewaartermijn voor ritten van het account vallen, waarbij goedgekeurde en vergoede ritten nooit automatisch worden verwijderd omdat het financiële gegevens zijn; gespreksopnamen, als een bedrijf opnemen heeft ingeschakeld, die worden verwijderd na de bewaartermijn die het bedrijf heeft ingesteld; de kaartcache, die vanzelf verloopt en geen accountidentificatie bevat; en nieuwsartikelen van Industry Radar, die na 30 dagen worden verwijderd.

Het Bewaarbeleid voor gegevens bevat de volledige tabel, inclusief wat er na accountverwijdering bewaard blijft en waarom.

19. Jouw rechten en keuzes

Je kunt je bedrijfsprofiel, merkgegevens en registraties rechtstreeks in de app bekijken en corrigeren. Je kunt elke integratie ontkoppelen via Instellingen. Je kunt via Instellingen een machineleesbare kopie van je accountgegevens exporteren. Je kunt je account via Instellingen definitief verwijderen; dit gebeurt direct en is onomkeerbaar.

Afhankelijk van waar je woont, heb je mogelijk ook wettelijke rechten op inzage, correctie, verwijdering, overdraagbaarheid, beperking en bezwaar, en het recht om niet gediscrimineerd te worden wanneer je die rechten uitoefent. De pagina Privacyrechten onder de AVG en de Privacyverklaring voor Californië leggen uit hoe je ze uitoefent en hoe we een verzoek verifiëren.

Voor een verzoek dat niet in de app zelf kan worden afgehandeld, schrijf je naar support@meetmyvera.com. We reageren binnen de termijn die de toepasselijke wetgeving voorschrijft, en binnen 30 dagen als er geen specifieke termijn geldt.

20. Privacy van kinderen

VERA is een zakelijke tool die aan bedrijven wordt verkocht. Het is niet gericht op kinderen, we verzamelen niet bewust persoonsgegevens van personen jonger dan 18 jaar, en geen enkel onderdeel van het product is ontworpen voor of wordt op de markt gebracht voor minderjarigen. Accounthouders moeten ten minste 18 jaar oud zijn of de meerderjarigheidsleeftijd in hun rechtsgebied hebben bereikt.

Denk je dat een kind ons persoonsgegevens heeft verstrekt? Schrijf dan naar support@meetmyvera.com en we verwijderen ze. Gebruik je VERA in een bedrijf dat gezinnen bedient, onthoud dan dat alle gegevens over een minderjarige die je als klantrecord invoert, gegevens zijn waarvoor jij verantwoordelijk bent, en dat jouw eigen verplichtingen onder wetten zoals COPPA daarop van toepassing zijn.

21. Wijzigingen in dit beleid

We kunnen dit beleid bijwerken. Wezenlijke wijzigingen worden vastgelegd in de wijzigingsgeschiedenis onderaan deze pagina, met een nieuw versienummer en een nieuwe ingangsdatum, en accounthouders worden, waar praktisch haalbaar, vóór de inwerkingtreding van de wijziging per e-mail of via een melding in de app op de hoogte gesteld.

22. Contact

Privacyvragen en verzoeken om je rechten uit te oefenen: support@meetmyvera.com. VERA heeft geen functionaris voor gegevensbescherming en geen vertegenwoordiger in de EU of het VK aangesteld op grond van de artikelen 27 en 37 van de AVG; of dat verplicht is, hangt af van de omvang van onze verwerking in de EU en het VK.