Privacybeleid

1. Introductie

Welkom bij Willoe AI. Wij bouwen een besturingssysteem voor ecom-businesses en ad-agencies: het Ecom Dashboard, het Agency Dashboard en acht AI-agents die je kunnen helpen met marketing, creative, SEO, analytics, research, klantenservice, CRM en automatisering.

Omdat we werken met persoonsgegevens (van jou, van je team, en in sommige gevallen van je klanten of webshop-bezoekers), zijn we zorgvuldig en transparant. Dit beleid legt uit welke gegevens we verwerken, waarom, hoe lang en met wie we ze delen — en, even belangrijk, wat we niet doen: we trainen geen AI-modellen op jouw data en we verkopen geen gegevens.

2. Verwerkingsverantwoordelijke

Willoe AI (handelsnaam van Livoa & Partners) is de verwerkingsverantwoordelijke voor de persoonsgegevens die binnen ons platform worden verwerkt.

• Handelsnaam: Willoe AI
• Adres: Amsterdam, Nederland
• E-mail: [e-mailadres volgt]  
• Of: plan via de afspraakpagina
• Functionaris voor Gegevensbescherming (FG/DPO): via de afspraakpagina bereikbaar

Wanneer je als bedrijf via ons platform persoonsgegevens van eindgebruikers verwerkt (bijvoorbeeld klanten van jouw webshop of agency-cliënten), treden wij op als verwerker en jij als verwerkingsverantwoordelijke. In dat geval is een aanvullende Verwerkersovereenkomst (DPA) van toepassing — beschikbaar op aanvraag via via Calendly.

3. Welke gegevens we verwerken

We verwerken alleen de gegevens die nodig zijn om het platform te leveren:

3.1 Account-gegevens

• Naam, e-mailadres, eventueel telefoonnummer
• Bedrijfsnaam, rol, factuuradres
• Hashed wachtwoord (Argon2id) of SSO-token (Google, Microsoft)
• Magic-link tokens met korte levensduur

3.2 Gebruiksgegevens

• Pagina-bezoeken binnen het dashboard, IP-adres en user-agent
• Aantal en type agent-runs, modules die je gebruikt
• Foutmeldingen en performance-metrics (alleen voor stabiliteit)

3.3 Integratie-data

Wanneer je integraties koppelt, verwerken we alleen wat we strikt nodig hebben:

• Meta Ads / Google Ads: campagne-metrics, spend, ROAS, ad-status (geen audience-gegevens)
• Shopify: bestellingen, omzet, voorraad, productdata (geen wachtwoorden van eindgebruikers)
• Klaviyo: segment-grootte, open/click-rates op flows (geen volledige profielen tenzij je dat expliciet aanvraagt)
• Gorgias: ticket-status en metadata; ticket-inhoud alleen als je de Service-agent gebruikt
• Stripe: abonnement-status, MRR, factuur-IDs (geen kaartgegevens — die blijven bij Stripe)

3.4 Inhoudelijke data & prompts

• De content die je in het platform plaatst (briefings, concurrent-URL's, vragen aan agents)
• De output die de agents genereren
• Bestanden die je upload (PDF's, screenshots, briefs)

4. Doeleinden en rechtsgronden

5. AI-modellen en jouw data

Wij gebruiken commerciële LLM-providers (zie sectie 7) om de AI-agents te laten werken. We sluiten met al deze providers contracten af die expliciet uitsluiten dat jouw inputs en outputs gebruikt worden voor model-training. Wanneer providers dit niet kunnen garanderen, gebruiken we ze niet of zetten we ze uit voor jouw workspace.

Daarnaast bieden we de mogelijkheid om bepaalde modules volledig lokaal of in een self-hosted omgeving te draaien. Vraag hiernaar via via Calendly.

6. Prompts, output en logs

Wanneer je een vraag stelt aan een agent of een skill draait, wordt jouw prompt doorgegeven aan een LLM-provider. We slaan de prompt en output op in jouw workspace zodat je later kunt teruglezen wat een agent heeft gedaan (audit-log).

• Logs zijn alleen toegankelijk voor jou en de teamleden in jouw workspace
• Wij medewerkers kunnen logs alleen inzien bij een supportverzoek dat jij zelf indient, of bij een security-incident
• Je kunt logs en gespreksgeschiedenis op elk moment wissen via de UI of via een verzoek

7. Sub-processors

We werken met de volgende leveranciers (sub-processors) die mogelijk persoonsgegevens namens ons verwerken. Allemaal contractueel verplicht onder een DPA en gehouden aan equivalent beveiligingsniveau:

Een actuele lijst is op aanvraag beschikbaar via [e-mailadres volgt].

8. Integraties met derden

Wanneer je een externe dienst koppelt (Meta, Google, Shopify, Klaviyo, Gorgias, Stripe), verzamel je API-tokens via OAuth of via een door jou ingevoerde key. We slaan deze tokens versleuteld op (AES-256) en gebruiken ze alleen om de gevraagde data te synchroniseren.

Je kunt elke integratie op elk moment intrekken vanuit het dashboard. De tokens worden dan onmiddellijk uit onze database verwijderd.

9. Cookies en tracking

We gebruiken zo min mogelijk cookies. Op de marketing-website plaatsen we:

• Functionele cookies: sessie, theme-keuze, taalvoorkeur (noodzakelijk)
• Analytics (privacy-vriendelijk): alleen geaggregeerd, geen profiling, geen third-party trackers

We gebruiken geen Facebook Pixel, Google Analytics standaard, retargeting-tags of vergelijkbare advertentie-trackers op de marketing-website. Voor details zie het cookiebeleid.

10. Bewaartermijnen

11. Beveiliging

• Alle data wordt versleuteld in transit (TLS 1.3) en at rest (AES-256)
• Toegang tot productie staat op least-privilege; alle admin-acties zijn audit-logged
• MFA verplicht voor alle medewerkers
• Regelmatige penetration tests en automated vulnerability scans
• Backups dagelijks, geo-gerepliceerd binnen de EU
• Incident-response procedure met meldplicht aan AP binnen 72 uur

12. Internationale doorgifte

Sommige sub-processors (zoals OpenAI, Anthropic, Calendly) zijn gevestigd in de Verenigde Staten. Voor doorgifte naar landen buiten de EER baseren we ons op de Standard Contractual Clauses (SCC's) van de Europese Commissie, aangevuld met Transfer Impact Assessments (TIA's) en versleuteling die effectief is tegen onbevoegde toegang.

13. Jouw rechten (AVG)

Je hebt onder de AVG de volgende rechten:

• Recht op inzage in welke persoonsgegevens we van je hebben
• Recht op correctie van onjuiste gegevens
• Recht op verwijdering ("recht om vergeten te worden")
• Recht op beperking van de verwerking
• Recht op dataportabiliteit (export in JSON/CSV)
• Recht van bezwaar tegen verwerking op basis van gerechtvaardigd belang
• Recht om toestemming in te trekken (voor opt-in verwerkingen)
• Recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl)

Mail je verzoek naar [e-mailadres volgt] of dien het in via de afspraakpagina. We reageren binnen 30 dagen.

14. Geautomatiseerde besluitvorming

De AI-agents in het platform doen geen geautomatiseerde besluitvorming met rechtsgevolgen voor jou of derden. De output van agents is altijd advies — jij blijft eindverantwoordelijk voor wat je ermee doet (een ad uitsturen, een e-mail versturen, een rapport leveren).

15. Minderjarigen

Het platform is bedoeld voor zakelijk gebruik en niet gericht op personen onder de 16 jaar. We verwerken bewust geen gegevens van minderjarigen. Mocht dit toch gebeuren, neem dan contact op zodat we de gegevens onmiddellijk kunnen verwijderen.

16. Wijzigingen

We kunnen dit beleid wijzigen wanneer wet- of regelgeving, sub-processors of het product veranderen. Materiële wijzigingen melden we minimaal 30 dagen vooraf per e-mail aan bestaande klanten. De meest actuele versie staat altijd op deze pagina.

17. Contact & DPO

Vragen, verzoeken of klachten? Mail naar [e-mailadres volgt] of plan een afspraak via de afspraakpagina. We reageren binnen 5 werkdagen (rechtenverzoeken binnen 30 dagen).

Versie 1.0 · 13 mei 2026 · © Willoe AI