Privacyverklaring

1. Wie wij zijn

Vibeking is een dienst van Romet Trade, gevestigd aan de Nieuw-Loosdrechtsedijk 240 a ws01, 1231 LG Loosdrecht, Nederland, KVK-nummer 42158919, btw-nummer NL005544078B74. Vragen over deze verklaring of over je gegevens: info@vibekingdevelopment.com. Romet Trade is verwerkingsverantwoordelijke voor je account, de facturatie en het gebruik van deze website. De meetgegevens over jouw website verwerken wij in jouw opdracht, om de dienst te leveren die je hebt afgenomen.

2. Welke gegevens wij verwerken

Accountgegevens: e-mailadres, naam, wachtwoord (alleen als versleutelde hash), taal, organisatie en rol, en het tijdstip van inloggen.

Inloggen met Google of Microsoft: kies je daarvoor, dan ontvangen wij van Google of Microsoft je naam, je e-mailadres, of dat e-mailadres bevestigd is en een uniek account-ID, en bij Google ook een link naar je profielfoto. Naam en e-mailadres gebruiken wij voor je account; de profielfoto gebruiken wij niet. Je wachtwoord van Google of Microsoft krijgen wij nooit te zien. Dit inloggen staat los van het koppelen van Search Console, Google Analytics en Google Ads (punt 3).

Sitegegevens: de url en domeinnaam van de websites die je toevoegt, land, taal en platform.

Meetgegevens van je website: bereikbaarheid en responstijd, laadsnelheid (Google PageSpeed Insights en Chrome UX Report), een crawl van openbare pagina's (titels, koppen, statuscodes, links, metatags), en de vragen die wij aan AI-assistenten (ChatGPT, Claude, Perplexity, Gemini en Google AI-modus) stellen over jouw site met hun antwoorden, en de posities en AI-overzichten in Google voor je zoekwoorden.

Google-gegevens: alleen als je zelf een Google-account koppelt, zie punt 3.

Betaalgegevens: Mollie B.V. verwerkt onze huidige betalingen. Vibeking bewaart naam, factuuradres, btw-nummer en facturen, plus betaalreferentie, bedrag, valuta, betaalstatus, betaalmethode, type betaling, eventuele foutreden en tijdstippen. Ook bewaren we Mollie-klant-, profiel- en mandaatreferenties en administratieve metadata. Bij mandaten bewaren we methode en status en, voor zover Mollie die aanlevert, de naam van de rekening- of kaarthouder, de laatste vier tekens van het IBAN of de laatste vier cijfers van het kaartnummer en het kaartmerk. Volledige rekening- en kaartnummers verwerken de betaalproviders; Vibeking slaat die niet op. Stripe blijft alleen betrokken bij eerdere betalingen en bestaande betaalgegevens.

Uitnodigingen: nodig je iemand uit voor je organisatie, dan verwerken wij diens e-mailadres om de uitnodiging te sturen. Een uitnodiging verloopt na 7 dagen; verlopen, ingetrokken en geaccepteerde uitnodigingen verwijderen wij na 30 dagen.

Aanbrengen: Meld je je aan met een uitnodigingscode, dan verwerken we welke organisatie jou heeft aangebracht, de code, het moment van aanmelden en de betaalgegevens die nodig zijn voor de korting en de beloning: welke facturen betaald, terugbetaald of teruggeboekt zijn en de bedragen exclusief btw. De aanbrenger ziet alleen de maand van aanmelding, je status en zijn eigen tegoed; je organisatienaam alleen als je daar in de app toestemming voor geeft. Om misbruik te voorkomen vergelijken we e-maildomeinen, websites, btw-nummers en kenmerken van betaalmethoden bij onze betaalprovider, zoals rekeningnummer of kaartkenmerk, die we alleen vergelijken en niet opslaan, van beide organisaties, zonder die aan de ander te tonen. Grondslag: de uitvoering van de overeenkomst en ons gerechtvaardigd belang bij het voorkomen van misbruik. We bewaren deze gegevens zolang de beloning loopt en daarna zolang de wettelijke bewaarplicht voor de administratie geldt (7 jaar).

Contactformulier: naam, bedrijf, e-mailadres, telefoonnummer, website en je bericht, plus een versleutelde afgeleide (hash) van je IP-adres om misbruik van het formulier tegen te gaan.

Technische gegevens: serverlogs van onze hostingpartij (IP-adres, tijdstip, opgevraagde pagina) voor beveiliging en storingsonderzoek.

3. Gegevens uit Google Search Console, Google Analytics en Google Ads

Je kunt in Vibeking een Google-account koppelen. Wij vragen dan toestemming voor deze scopes: Search Console (alleen lezen), Google Analytics (alleen lezen), Google Ads en je e-mailadres van dat Google-account. Voor Google Ads bestaat geen leesrechtscope; Vibeking gebruikt de toegang via deze koppeling uitsluitend om te lezen en wijzigt via de koppeling nooit iets in je advertentieaccount. Bestel je een fix in Google Ads, dan voert het Vibeking-team die uit met een eigen gebruiker die jij in Google Ads uitnodigt (zie artikel 5 van de algemene voorwaarden).

Wat wij ophalen: uit Search Console klikken, vertoningen, klikfrequentie en positie per dag, per zoekopdracht en per pagina van de property die je kiest; uit Google Analytics 4 sessies, gebruikers, key events en betrokkenheid per dag, per kanaal en per landingspagina van de property die je kiest; uit Google Ads vertoningen, klikken, kosten, conversies en conversiewaarde per campagne per dag van het account dat je kiest. Daarnaast de lijst van properties en accounts waaruit je kunt kiezen en het e-mailadres van het gekoppelde Google-account, zodat je in de app ziet welk account gekoppeld is.

Waarvoor: deze gegevens tonen wij in je dashboards, gebruiken wij voor doelen, taken, meldingen en het maandrapport, en zetten wij naast onze eigen metingen. Wij gebruiken ze voor niets anders: niet voor advertenties, niet voor verkoop aan derden en niet om modellen te trainen. Medewerkers bekijken je gegevens alleen op jouw verzoek (support), voor beveiliging of als de wet dat verplicht.

Opslag: de toegangstokens van Google slaan wij versleuteld op; de meetgegevens staan in onze database bij Supabase op servers van Amazon Web Services in Ierland (EU). Toegang is per organisatie afgeschermd.

Wie Google-gebruikersgegevens ontvangt

We delen, dragen over of verstrekken Google-gebruikersgegevens alleen aan de partijen hieronder, alleen om de functies uit dit hoofdstuk te leveren, en nooit voor advertenties, verkoop of het trainen van AI-modellen.

- Supabase Inc.: host onze database op servers van Amazon Web Services in Ierland (EU) en bewaart de meetgegevens en de versleutelde toegangstokens.

- Lovable Labs Incorporated: host de applicatie die de gegevens ophaalt en toont, en beheert de AI-gateway die AI-verzoeken doorgeeft aan de modelaanbieders hieronder.

- OpenAI, via de Lovable AI-gateway: ontvangt voor het maandrapport de rapportgegevens van die maand (kerncijfers uit Search Console en Google Analytics, toppagina's en zoekopdrachten, en de maandtotalen van Google Ads) om de samenvatting en de drie aanbevelingen te schrijven. We versturen deze verzoeken met de instelling die OpenAI vraagt ze niet op te slaan.

- Google (Gemini-model), via de Lovable AI-gateway: ontvangt voor de assistent "Vraag het Vibeking" je vraag en de gegevens die nodig zijn voor het antwoord, waaronder cijfers uit Search Console, Google Analytics en Google Ads. We bewaren deze gesprekken 90 dagen.

- Leden van je eigen organisatie in Vibeking, die de dashboards van die organisatie zien.

- Overheidsinstanties, alleen als de wet dat verplicht.

We delen Google-gebruikersgegevens met niemand anders. We gebruiken Google-gebruikersgegevens niet om AI-modellen te trainen of te verbeteren, niet die van ons en niet die van anderen.

Bewaren en verwijderen: de tokens worden verwijderd zodra je een koppeling verwijdert op de pagina Koppelingen, of zodra je de laatste site verwijdert die het token gebruikt. De meetgegevens worden verwijderd zodra je de site verwijdert op de pagina Sites of je organisatie laat verwijderen. Je kunt de toegang van Vibeking ook intrekken via je Google-account op https://myaccount.google.com/permissions.

Het gebruik van gegevens die Vibeking uit Google API's ontvangt, en de doorgifte daarvan aan andere apps, voldoet aan het Google API Services User Data Policy, inclusief de Limited Use-vereisten.

4. Waarvoor en op welke grondslag

Leveren van de dienst en je account (uitvoering van de overeenkomst); facturatie en administratie (wettelijke plicht, bewaartermijn 7 jaar); beantwoorden van contactaanvragen en beveiliging van de dienst (gerechtvaardigd belang); statistieken (Google Analytics) en advertentiemeting (Google Ads en de meetpixel van OpenAI) op deze website alleen met jouw toestemming (zie punt 6).

5. Verwerkers en ontvangers

Wij schakelen deze partijen in: Lovable Labs Incorporated (hosting van de applicatie, verzending van e-mail, AI-gateway), Supabase (database, servers in Ierland), Mollie B.V. (huidige betalingen), Stripe Payments Europe (eerdere betalingen en bestaande betaalgegevens), Google (PageSpeed Insights, Chrome UX Report en de gekoppelde Google-diensten), OpenAI, Perplexity en Google (Gemini) voor de antwoordtests, en DataForSEO voor posities, zoekvolumes, concurrentiegegevens, Google AI-overzichten, backlinkgegevens van je site en je concurrenten (alleen de domeinnaam), de wekelijkse Google Maps-metingen rond je vestiging en de antwoordtests in Google AI-modus, ChatGPT en Claude (DataForSEO geeft de vragen door aan Google, OpenAI en Anthropic): zij ontvangen daarvoor alleen de domeinnaam van je site, je zoekwoorden, de gestelde vragen en de bedrijfsnaam, plaats en coördinaten van je vestiging, geen persoonsgegevens. Van je vestiging en van de bedrijven die in de kaartmetingen naast je staan, bewaren we openbare gegevens uit Google Maps: naam, adres, categorie, score, aantal reviews, aantal foto's en of het profiel is geclaimd. Reviewteksten en namen van reviewers bewaren we nooit. Voor de AI-functies die Google-gebruikersgegevens gebruiken, zie hoofdstuk 3. Voor Google Analytics 4 is Google Ireland Limited onze verwerker. Voor advertentiemeting via Google Ads is Google Ireland Limited zelfstandig verwerkingsverantwoordelijke. Log je in met Google of Microsoft, dan gelden voor die aanmelding ook de privacyvoorwaarden van Google of Microsoft. Gegevens kunnen door Google buiten de EU worden verwerkt onder het EU-VS Data Privacy Framework. Met deze partijen hebben wij verwerkersafspraken. Bij doorgifte buiten de Europese Economische Ruimte gelden de standaardcontractbepalingen van de Europese Commissie of een adequaatheidsbesluit. Voor de vervaldatum van SSL-certificaten zoeken we de domeinnaam van je site op in de openbare Certificate Transparency-logboeken via SSLMate (Cert Spotter); SSLMate ontvangt daarbij alleen die domeinnaam, geen persoonsgegevens. Voor de beveiligingschecks van mail en DNS (SPF, DMARC, DKIM, DNSSEC) vragen we openbare DNS-records van het domein van je site op via DNS over HTTPS van Cloudflare (1.1.1.1); Cloudflare ontvangt daarbij alleen domeinnamen, geen persoonsgegevens. Wij verkopen geen gegevens.

Bij fixes waarvoor we toegang krijgen tot jouw systemen, zijn wij verwerker voor jou; zie artikel 7 van de algemene voorwaarden.

6. Cookies en lokale opslag

Noodzakelijk: je inlogsessie (lokale opslag in je browser), je taalkeuze (cookie vk_locale), een kortstondige beveiligingscookie tijdens het koppelen van Google (vk_oauth_nonce) en je cookiekeuze (vk_consent). Deze hebben geen toestemming nodig. Cookie vk_internal: functioneel, alleen geplaatst voor het Vibeking-team, houdt hun eigen bezoeken buiten de statistieken, bewaartermijn 1 jaar, geen persoonsgegevens.

vk_partner (lokale opslag): onthoudt dat je via een partnersite zoals athomecuracao.com binnenkwam, zodat Google Analytics je aanvraag aan die partner kan toeschrijven. Alleen met toestemming voor statistiek, 90 dagen, bevat alleen de naam van de partner. Intrekken van toestemming wist het.

vk_ref: bewaart de uitnodigingscode als je via een uitnodigingslink binnenkomt, zodat je welkomstkorting bij het aanmelden klopt. Functioneel, 90 dagen, bevat alleen de code en wordt niet gebruikt voor profielen of advertenties.

Google Analytics 4: alleen na Alleen statistieken of Alles toestaan meten wij bezoekstatistieken, namelijk bezochte pagina's, bron, apparaat en land. Google Analytics 4 slaat IP-adressen niet op. Google plaatst de cookies _ga en _ga_SCDFLVM81V met een bewaartermijn van 2 jaar. Google Ireland Limited is onze verwerker en gegevens kunnen door Google buiten de EU worden verwerkt onder het EU-VS Data Privacy Framework. Je kunt je akkoord altijd intrekken via Cookievoorkeuren.

Advertentiemeting Google Ads: alleen na Alles toestaan. Kom je via een advertentie in Google op deze website, dan bewaart Google Analytics de klik-ID van die advertentie in de cookie _gcl_aw (90 dagen). Via de koppeling tussen Google Analytics en Google Ads ziet Google Ads daarna of je een account aanmaakt, een contactaanvraag doet of een abonnement afrekent (met het bedrag exclusief btw), zodat wij zien welke advertenties werken. Wij gebruiken dit niet voor remarketing of gepersonaliseerde advertenties: die toestemming vragen we niet en Google-signalen staan uit. Voor Google Ads is Google Ireland Limited zelfstandig verwerkingsverantwoordelijke; zie https://policies.google.com/privacy. Trek je je toestemming in via Cookievoorkeuren, dan stopt de meting en verwijderen we deze cookie.

Meetpixel OpenAI (ChatGPT Ads): alleen op deze website en alleen na Alles toestaan. Daarmee zien wij of bezoekers die via een advertentie in ChatGPT komen, zich aanmelden, een abonnement nemen of contact opnemen. De pixel zet twee cookies: __oppref (30 dagen) en __obref (365 dagen). Zonder akkoord wordt er niets geladen en niets gemeten. Met je akkoord kunnen contactgegevens die je in een formulier invult, zoals je e-mailadres, in je browser worden gehasht (SHA-256) en naar OpenAI worden gestuurd om advertentieresultaten te koppelen. OpenAI is voor die gegevens een zelfstandige verwerkingsverantwoordelijke; zie het privacybeleid van OpenAI op https://openai.com/policies/privacy-policy/. Je kunt je akkoord altijd intrekken via de link Cookievoorkeuren onderaan de pagina; de cookies worden dan verwijderd. Trek je je akkoord in, dan zet de pixel de cookie __oaiq_consent (30 dagen) met de waarde false, waarin alleen staat dat er geen toestemming is; er staat geen identificatie in.

Bij het aanmaken van een account bewaren we waar je vandaan kwam: de campagnegegevens uit de link waarmee je binnenkwam (utm-parameters en, als die in de link stond, een klik-ID van het advertentieplatform), de eerste pagina die je bezocht en de website die naar ons verwees. Zo meten we welke kanalen tot aanmeldingen leiden. Hiervoor gebruiken we geen cookies en slaan we niets op je apparaat op. We gebruiken deze gegevens alleen intern, delen ze niet met derden en verwijderen ze samen met je account. Bij het aanmaken van je organisatie kun je zelf aangeven hoe je ons hebt gevonden. Dat antwoord is optioneel; we bewaren het bij je organisatie, gebruiken het alleen intern en verwijderen het samen met je organisatie.

7. Bewaartermijnen

Accountgegevens: zolang je account bestaat. Meetgegevens en Google-gegevens: zolang de site in je account staat; eigenaren en beheerders verwijderen een site op de pagina Sites. Van een verwijderde site bewaren wij de domeinnaam, wie hem verwijderde, wanneer en of hij gescand was, zolang je organisatie bestaat, zodat we vragen kunnen beantwoorden en de gratis nulmeting eenmalig blijft. Google-tokens: tot je de koppeling verwijdert. Contactaanvragen: tot de afhandeling is afgerond en daarna maximaal twee jaar. Facturen en betaalgegevens: zeven jaar (fiscale bewaarplicht). Wil je je account laten verwijderen, mail dan naar info@vibekingdevelopment.com.

8. Beveiliging

Verbindingen zijn versleuteld (TLS). Toegangstokens van Google worden versleuteld opgeslagen. Gegevens zijn per organisatie afgeschermd met toegangsregels in de database. Toegang tot productiegegevens is beperkt tot wat nodig is om de dienst te leveren.

9. Jouw rechten

Je hebt recht op inzage, correctie, verwijdering, beperking, overdraagbaarheid van je gegevens en bezwaar tegen verwerking op grond van een gerechtvaardigd belang. Een gegeven toestemming kun je altijd intrekken. Stuur je verzoek naar info@vibekingdevelopment.com; wij reageren binnen een maand. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.

10. Wijzigingen

Wij passen deze verklaring aan als de dienst verandert. De datum bovenaan geeft de laatste wijziging aan. Bij ingrijpende wijzigingen informeren wij je per e-mail of in de app.