Privacybeleid Tolar-app

Artikel 1 Verwerkingsverantwoordelijke en contact

Tolar B.V., gevestigd aan de Vlotlaan 554, 2681 TX Monster, is verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens via het Platform, behoudens voor zover Tolar op grond van Deel B als verwerker optreedt ten behoeve van een zakelijke Klant.

Voor vragen over deze privacyverklaring of over de verwerking van persoonsgegevens door Tolar kan contact worden opgenomen via info@tolar.app. Tolar heeft geen Functionaris Gegevensbescherming aangesteld; genoemd contactpunt geldt als aanspreekpunt voor privacyvragen.

Artikel 2 Welke gegevens verzamelt Tolar

Bij registratie en gebruik van het Platform verzamelt Tolar de volgende categorieën persoonsgegevens:

  1. Contact- en accountgegevens: voor- en achternaam, KvK-nummer, e-mailadres, telefoonnummer en adres;
  2. Gebruiksgegevens: ingevoerde error codes en troubleshooting-vragen, gegeven feedback, gedane aanvragen en overige input op het Platform;
  3. Technische en beveiligingsgegevens: inlogmomenten, IP-adres bij inloggen en algemene gebruikersactiviteit op het Platform.

Indien een Admin namens een Gebruiker een account aanmaakt, worden de naam en het e-mailadres van die Gebruiker niet rechtstreeks door de Gebruiker zelf, maar door de Admin aan Tolar verstrekt. De Gebruiker ontvangt vervolgens een e-mail om zelf in te loggen en wordt op dat moment op deze privacyverklaring gewezen.

Artikel 3 Doeleinden en rechtsgrondslag

Tolar verwerkt de in artikel 2 genoemde gegevens voor de volgende doeleinden:

  1. Uitvoering van de Overeenkomst en het verlenen van toegang tot het Platform (contact- en accountgegevens)
    Grondslag: uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG);
  2. Levering van de Dienst, waaronder het verwerken van vragen en het genereren van AI-Advies (gebruiksgegevens)
    Grondslag: uitvoering van de overeenkomst;
  3. Beveiliging, fraudepreventie en het voorkomen van misbruik (inlogmomenten, IP-adres, gebruikersactiviteit)
    Grondslag: gerechtvaardigd belang van Tolar bij een veilig en betrouwbaar Platform;
  4. Verbetering van het Platform, de kennisbank en de dienstverlening (feedback, input, query’s)
    Grondslag: gerechtvaardigd belang van Tolar bij productverbetering;
  5. Gepersonaliseerde e-mailcommunicatie, marketing en telefooncommunicatie
    Grondslag: gerechtvaardigd belang van Tolar, dan wel toestemming waar dit wettelijk is vereist; afmelden is te allen tijde mogelijk;
  6. Interne analyse en dashboarding ten behoeve van de bedrijfsvoering
    Grondslag: gerechtvaardigd belang;
  7. Facturatie en financiële administratie
    Grondslag: wettelijke verplichting (fiscale bewaarplicht) en uitvoering van de overeenkomst.

Bij het leveren van de Dienst vindt geen geautomatiseerde besluitvorming plaats die zonder menselijke tussenkomst rechtsgevolgen heeft voor de Gebruiker of deze anderszins in aanmerkelijke mate treft: het AI-Advies is uitsluitend ondersteunend van aard en de Gebruiker beslist zelf over eventuele vervolgstappen.

Artikel 4 AI-verwerking en gebruik van input

Tolar gebruikt ingevoerde query’s, feedback en overige input om het onderliggende AI-model te (her)trainen. Dit kan ofwel automatisch, of deze input wordt door het team van Tolar handmatig beoordeeld en gebruikt om de kennisbank uit te breiden en het Platform te verbeteren.

Voor de AI-functionaliteit maakt Tolar gebruik van OpenRouter als AI-provider, waarmee onder meer modellen van Anthropic (Claude) en OpenAI worden ontsloten. Deze modelaanbieders hebben aangegeven dat via OpenRouter aangeboden data niet wordt gebruikt om hun modellen te trainen; Tolar kan echter geen garantie geven op de naleving van dit beleid door deze derde partijen en verwijst voor actuele informatie naar het eigen beleid van de betreffende aanbieders.

Artikel 5 Ontvangers en subverwerkers

Tolar deelt persoonsgegevens uitsluitend voor zover noodzakelijk voor de uitvoering van de Dienst: met teamleden en onderaannemers/ontwikkelaars die een essentiële rol vervullen bij het functioneren van het Platform, en met de hierna genoemde subverwerkers. Persoonsgegevens worden nimmer aan derden verkocht.

Tolar maakt gebruik van de volgende subverwerkers:

  1. OpenRouter: AI-provider die onder meer modellen van Anthropic en OpenAI ontsluit; gevestigd in de Verenigde Staten (New York);
  2. Railway: hosting van het Platform, op een EU-server;
  3. Supabase: opslag van gegevens, in een EU-regio;
  4. Stripe: betaalverwerking;
  5. ActiveCampaign en/of Mailchimp: verzending van e-mailcampagnes.

Voor zover gegevens worden doorgegeven aan subverwerkers buiten de Europese Economische Ruimte (waaronder in ieder geval OpenRouter), zorgt Tolar ervoor dat hiervoor een passend waarborgmechanisme geldt, zoals modelcontractbepalingen (Standard Contractual Clauses) en/of — voor zover van toepassing — certificering onder het EU-U.S. Data Privacy Framework. Nadere informatie hierover kan worden opgevraagd via info@tolar.app.

Tolar staat in voor de naleving van de AVG door haarzelf, maar is niet aansprakelijk voor het niet naleven van toepasselijke wet- en regelgeving door de hierboven genoemde platformen en subverwerkers zelf.

Artikel 6 Bewaartermijnen

  1. Tolar bewaart persoonsgegevens niet langer dan noodzakelijk, met als uitgangspunt een maximale bewaartermijn van vijf (5) jaar na beëindiging van het Abonnement, tenzij hierna anders is bepaald.
  2. Indien binnen deze termijn een verwijderverzoek wordt gedaan conform artikel 8, worden de contact- en accountgegevens verwijderd. Query-logs en feedback worden in dat geval niet verwijderd, maar geanonimiseerd, zodat deze niet langer herleidbaar zijn tot een individuele Klant, Admin of Gebruiker.
  3. Indien vijf jaar zijn verstreken na beëindiging van het Abonnement zonder dat een verwijderverzoek is gedaan, is Tolar gerechtigd alle persoonsgegevens te anonimiseren. Eenmaal geanonimiseerde gegevens gelden niet langer als persoonsgegevens in de zin van de AVG en kunnen door Tolar voor onbepaalde tijd worden bewaard en gebruikt.
  4. Indien de Klant, Admin of Gebruiker na beëindiging van een Abonnement opnieuw een Overeenkomst met Tolar aangaat, vangt bij een eventuele latere beëindiging daarvan een nieuwe termijn van vijf jaar aan.
  5. In afwijking van het bovenstaande worden facturatie- en overige financiële administratiegegevens (waaronder naam, adres en KvK-nummer voor zover opgenomen op facturen) gedurende ten minste zeven (7) jaar bewaard, ter voldoening aan de wettelijke fiscale bewaarplicht. Een verwijderverzoek als bedoeld in artikel 8 kan hier nimmer betrekking op hebben.

Artikel 7 Beveiliging

Tolar treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking. Dit omvat:

  • versleuteling van gegevens, zowel onderweg (in transit) als in rust (at rest);
  • toegangscontrole op basis van rollen, met tweefactorauthenticatie (2FA) voor accounts met verhoogde rechten;
  • een wachtwoordbeleid conform actuele beveiligingsstandaarden;
  • regelmatige back-ups van de opgeslagen gegevens.

Daarnaast is Tolar mede afhankelijk van de beveiligingsmaatregelen van haar subverwerkers (waaronder Railway en Supabase), die zelf gehouden zijn aan hun eigen wettelijke en contractuele beveiligingsverplichtingen.

Artikel 8 Rechten van betrokkenen

  1. Een Klant, Admin of Gebruiker heeft het recht om via info@tolar.app inzage te vragen in de persoonsgegevens die Tolar van hem/haar verwerkt, en kan verzoeken deze te laten corrigeren of verwijderen.
  2. Een verzoek tot verwijdering ziet op alle persoonsgegevens, met uitzondering van:
    1. feedback en input die op het Platform is gegeven, welke in plaats daarvan wordt geanonimiseerd conform artikel 6 lid 2; en
    2. facturatie- en financiële administratiegegevens die Tolar op grond van wettelijke verplichtingen dient te bewaren, zie artikel 6 lid 5.
  3. Tolar behandelt een verzoek zo spoedig mogelijk en in ieder geval binnen de wettelijke termijn van één maand.
  4. Naast het recht op inzage en verwijdering heeft de betrokkene recht op rectificatie, beperking van de verwerking, bezwaar tegen verwerking op basis van gerechtvaardigd belang en — voor zover van toepassing — dataportabiliteit. Een betrokkene heeft daarnaast het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Artikel 9 Datalekken

  1. Indien zich een datalek voordoet dat gevolgen kan hebben voor de persoonsgegevens van een Klant, Admin of Gebruiker, stelt Tolar de betrokken Klant hiervan op de hoogte en biedt zij naar beste kunnen bijstand bij het verhelpen van het datalek.
  2. Tolar is niet aansprakelijk voor een datalek en keert geen schadevergoeding uit in verband met een datalek, maar spant zich naar beste kunnen in om een datalek te verhelpen en de gevolgen daarvan te beperken. Deze clausule geldt zolang er geen sprake is van doelbewust handelen (lees: opzet).
  3. Voor zover Tolar optreedt als verwerker in de zin van Deel B, stelt zij de betreffende Klant als verwerkingsverantwoordelijke zonder onnodige vertraging — en uiterlijk binnen achtenveertig (48) uur nadat Tolar bekend is geworden met het datalek — op de hoogte, zodat de Klant zelf aan zijn eventuele meldplicht richting de Autoriteit Persoonsgegevens en betrokkenen kan voldoen.

Artikel 10 Vertrouwelijkheid

Alle persoonsgegevens worden door Tolar als strikt vertrouwelijk behandeld en uitsluitend gedeeld met teamleden, onderaannemers en ontwikkelaars die een essentiële rol vervullen bij de uitvoering van het Platform, en met de in artikel 5 genoemde subverwerkers. Persoonsgegevens worden nimmer verkocht aan derden.

Artikel 11 Wijzigingen

Tolar kan deze privacyverklaring en verwerkersovereenkomst van tijd tot tijd wijzigen. Van een wijziging wordt de Klant, Admin en/of Gebruiker op de hoogte gesteld. Voortgezet gebruik van het Platform na de wijzigingsdatum geldt als aanvaarding van de gewijzigde versie.

Deel B — Verwerkersovereenkomst

Van (aanvullende) toepassing wanneer de Klant een organisatie is met een Admin en één of meer Gebruikers, in de zin van artikel 28 lid 3 AVG.

Artikel 12 Toepasselijkheid en status

  1. Dit Deel B geldt als verwerkersovereenkomst in de zin van artikel 28 lid 3 AVG en is van toepassing zodra de Klant een organisatie is die als verwerkingsverantwoordelijke optreedt voor de persoonsgegevens van haar eigen Admin(s) en Gebruikers op het Platform. Voor zover de Klant een individuele zelfstandige is die zelf zowel Admin als Gebruiker is, treedt Tolar rechtstreeks op als verwerkingsverantwoordelijke en is uitsluitend Deel A van toepassing.
  2. Deze verwerkersovereenkomst maakt onlosmakelijk onderdeel uit van de Overeenkomst tussen Tolar en de Klant, is niet afzonderlijk opzegbaar, en eindigt van rechtswege bij beëindiging van het Abonnement.

Artikel 13 Onderwerp, aard, duur en categorieën

  1. Tolar verwerkt ten behoeve van de Klant de persoonsgegevens van de Admin(s) en Gebruikers van de Klant, zoals beschreven in artikel 2, met als doel het leveren van de Dienst als omschreven in de algemene voorwaarden en deze verwerkersovereenkomst.
  2. De verwerking vindt plaats voor de duur van het Abonnement en eindigt overeenkomstig de bewaar- en anonimiseringstermijnen van artikel 6.
  3. De categorieën betrokkenen zijn de Admin(s) en Gebruikers die de Klant aan het Platform toevoegt. De categorieën gegevens betreffen de in artikel 2 genoemde contact-, gebruiks- en technische gegevens.

Artikel 14 Instructies

  1. Tolar verwerkt persoonsgegevens van de Admin(s) en Gebruikers van de Klant uitsluitend op basis van deze verwerkersovereenkomst en de overige schriftelijke instructies van de Klant, tenzij een wettelijke verplichting Tolar tot een andere verwerking verplicht.
  2. Tolar stelt de Klant op de hoogte indien zij van mening is dat een instructie van de Klant in strijd is met toepasselijke privacywetgeving.

Artikel 15 Geheimhouding

Tolar zorgt ervoor dat iedere persoon die onder haar gezag handelt en toegang heeft tot persoonsgegevens van de Klant, gebonden is aan een passende geheimhoudingsverplichting.

Artikel 16 Subverwerkers

  1. De Klant geeft Tolar bij het aangaan van de Overeenkomst toestemming voor het inschakelen van de in artikel 5 genoemde subverwerkers.
  2. Tolar informeert de Klant voorafgaand over de vervanging van of aanvulling op deze subverwerkers, zodat de Klant daartegen op redelijke gronden bezwaar kan maken.
  3. Tolar zorgt ervoor dat aan subverwerkers contractueel ten minste dezelfde verplichtingen op het gebied van gegevensbescherming worden opgelegd als in deze verwerkersovereenkomst zijn opgenomen.

Artikel 17 Bijstand aan de Klant

  1. Tolar verleent de Klant, rekening houdend met de aard van de verwerking, redelijke bijstand bij het beantwoorden van verzoeken van betrokkenen tot uitoefening van hun rechten als bedoeld in artikel 8.
  2. Tolar verleent de Klant redelijke bijstand bij het voldoen aan diens verplichtingen op grond van de artikelen 32 tot en met 36 AVG, waaronder beveiliging, datalekmelding en — voor zover van toepassing — een gegevensbeschermingseffectbeoordeling.

Artikel 18 Audit

Tolar verstrekt de Klant op verzoek de informatie die redelijkerwijs noodzakelijk is om aan te tonen dat Tolar aan haar verplichtingen als verwerker voldoet, en staat toe dat de Klant audits laat uitvoeren, mits dit vooraf schriftelijk wordt aangekondigd en op een voor Tolar redelijke wijze plaatsvindt.

Tolar is gerechtigd aan een verzoek tot audit te voldoen door het verstrekken van relevante certificeringen, rapporten van onafhankelijke derden (zoals ISO-, SOC 2- of vergelijkbare audits) of andere gelijkwaardige documentatie, voor zover deze de gevraagde informatie in redelijkheid afdekken. Slechts indien dergelijke documentatie niet beschikbaar is of onvoldoende inzicht biedt, is Tolar gehouden een audit ter plaatse toe te staan.

Een audit vindt niet eerder plaats dan nadat de Klant en de door haar ingeschakelde auditor met Tolar een schriftelijke overeenkomst zijn aangegaan, waarin in ieder geval het volgende is vastgelegd:

  • Vertrouwelijkheid: de auditor en de Klant verplichten zich tot volledige geheimhouding ten aanzien van alle informatie, gegevens en bedrijfsprocessen waarvan zij in het kader van de audit kennisnemen, en zullen deze informatie niet aan derden verstrekken noch voor enig ander doel gebruiken dan het beoordelen van de naleving door Tolar van haar verplichtingen als verwerker.
  • Non-concurrentie: de door de Klant ingeschakelde auditor mag niet werkzaam zijn voor, of anderszins verbonden zijn aan, een concurrent van Tolar, en zal gedurende en na de audit op geen enkele wijze gebruikmaken van de opgedane kennis ten behoeve van een concurrerende dienst of onderneming.

Zonder een dergelijke voorafgaande schriftelijke overeenkomst is Tolar niet gehouden medewerking te verlenen aan een audit.

Alle kosten verbonden aan een door de Klant geïnitieerde audit, waaronder begrepen, maar niet beperkt tot, de kosten van de door Tolar in te schakelen medewerkers, adviseurs of derden, en eventuele bedrijfsonderbreking die daaruit redelijkerwijs voortvloeit, komen volledig voor rekening van de Klant.

Artikel 19 Teruggave en verwijdering na afloop

Na beëindiging van het Abonnement worden de persoonsgegevens van de Admin(s) en Gebruikers van de Klant verwerkt conform de bewaar- en anonimiseringstermijnen van artikel 6. Op verzoek van de Klant, gedaan vóór het verstrijken van deze termijn, verstrekt Tolar een exportbestand van de betreffende gegevens.

Artikel 20 Aansprakelijkheid

De aansprakelijkheid van Tolar onder deze verwerkersovereenkomst is onderworpen aan dezelfde beperkingen als opgenomen in de algemene voorwaarden van Tolar B.V. Deze gelden enkel bij aansprakelijkheidsaanklachten vanuit de Klant naar Tolar B.V.