Wat we verzamelen, waarom, en wat niet.

AIR-Tools B.V. ("wij", "ons") is de verwerkingsverantwoordelijke voor de persoonsgegevens die we verwerken om deze website en de AIR-Tools-dienst te leveren. Gevestigd aan Midden Engweg 31-33, 3882 TS Putten (KvK 93535716). Voor vragen over gegevensbescherming: privacy@air-tools.nl — ons contactpunt voor gegevensbescherming.

Accountgegevens (naam, e-mailadres, organisatie, hash van wachtwoord). Organisatiegegevens die je aanlevert of koppelt (te scannen domeinen en URL's, leverancierslijsten, integratie-instellingen, geüploade documenten en concept-policies). Gebruikersgebeurtenissen die ontstaan door je activiteit (scan-runs, AI-gesprekken, afgeronde acties, paginabezoeken). Factuurgegevens bij een abonnement (alleen wat Stripe terugkoppelt: klant-ID, abonnementsstatus, laatste 4 cijfers van het kaartnummer). We verwerken geen bijzondere persoonsgegevens en vragen je die ook niet te uploaden. Volledig geanonimiseerde of geaggregeerde gegevens die niet tot jou of een persoon herleidbaar zijn, vallen buiten deze verklaring; die mogen we gebruiken om de dienst te beveiligen, te analyseren en door te ontwikkelen. Voor deze account-, factuur-, website- en gebruiksgegevens zijn wij verwerkingsverantwoordelijke. Voor de organisatie- en persoonsgegevens die je uploadt of koppelt — leverancierslijsten, geüploade documenten, scandoelen en de daarin genoemde personen — treden we op als jouw verwerker onder de Verwerkersovereenkomst, niet als verwerkingsverantwoordelijke; die overeenkomst bepaalt hoe we ermee omgaan.

Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG) voor alles wat nodig is om de dienst aan jou te leveren. Gerechtvaardigd belang (art. 6 lid 1 sub f) voor beveiligingslogging, fraudepreventie en geaggregeerde productanalyse. Wettelijke verplichting (art. 6 lid 1 sub c) voor fiscale en boekhoudkundige bewaarplichten en eventuele meldplichten. Toestemming (art. 6 lid 1 sub a) voor alles wat daarbuiten valt — uitdrukkelijk gevraagd, vastgelegd en op elk moment intrekbaar.

Account- en organisatiegegevens: zolang je account actief is, plus een exportperiode van 90 dagen na opzegging; daarna verwijderd uit primaire opslag. Back-ups: versleuteld, 35 dagen rouleerbare bewaartermijn, daarna overschreven. Server- en auditlogs: 90 dagen. AI-gespreksgeschiedenis: gekoppeld aan de organisatie, op hetzelfde schema verwijderd. Factuuradministratie: 7 jaar (Nederlandse fiscale bewaarplicht). Marketing-opt-ins: tot je je uitschrijft.

We gebruiken een beperkte set sub-verwerkers om de dienst draaiend te houden. De actuele lijst — Vercel, Supabase, OpenAI, Anthropic, Firecrawl, Brave Search, Stripe, Resend, Sentry, HubSpot — staat met regio, doel en DPA-status op de transparantiepagina. Voor sub-verwerkers buiten de EU vertrouwen we op Modelovereenkomsten (SCC's) en het EU-VS Data Privacy Framework waar de leverancier daarop gecertificeerd is. Voorgenomen wijzigingen worden 30 dagen vooraf gemeld zodat je bezwaar kunt maken.

Operationele opslag is volledig in de EU (Vercel EU-Frankfurt, Supabase EU-Frankfurt). Bepaalde verwerkingen — taalmodel-inferentie (OpenAI, Anthropic), webcrawling (Firecrawl), zoekopdrachten (Brave Search) — draaien op Amerikaanse leveranciers. Elke doorgifte rust op SCC's (Module 2: verwerkingsverantwoordelijke-naar-verwerker) en aanvullende technische en organisatorische maatregelen (versleuteling onderweg, no-train-tarieven waar beschikbaar, dataminimalisatie). Het exacte mechanisme per leverancier staat op de transparantiepagina. Mail privacy@air-tools.nl voor een kopie van de betreffende Modelovereenkomsten.

Wanneer Clair tekst genereert kan de prompt naar de LLM-leverancier bevatten: de URL of het document waar je iets over vraagt, de organisatiecontext die ze nodig heeft om te antwoorden, en de vraag die je intypt. Klantorganisatiegegevens worden alleen meegestuurd voor de specifieke aanvraag en worden niet gebruikt om modellen te trainen — we gebruiken no-train API-tarieven waar de voorwaarden van de leverancier dat ondersteunen (de Anthropic- en OpenAI-API-tarieven die wij gebruiken doen dat beide).

Je kunt ons vragen om: een kopie van je persoonsgegevens (inzage), correctie, verwijdering, beperking van de verwerking, overdraagbaarheid, of bezwaar tegen de verwerking. Mail privacy@air-tools.nl. We reageren binnen een maand, doorgaans binnen een week. Het eerste verzoek per twaalf maanden is gratis.

Clair maakt suggesties, conceptteksten en risico-scores op basis van AI. Geen daarvan zijn geautomatiseerde besluiten met rechtsgevolgen of vergelijkbare aanmerkelijke gevolgen voor je in de zin van art. 22 AVG — elke output is adviserend en een mens (jij) beslist wat je oppakt.

Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag. autoriteitpersoonsgegevens.nl. We zien liever dat je ons eerst mailt — meestal lossen we het sneller op — maar je behoudt altijd het recht om bij de AP te klagen.

privacy@air-tools.nl. Onderwerp "privacy" komt direct aan.