Privacybeleid
Vertaling — Dit is een vertaling die uitsluitend voor het gemak wordt aangeboden. Bij afwijkingen is alleen de Franse versie juridisch bindend.
SYNAPTIIK hecht bijzonder belang aan de bescherming van persoonsgegevens. Dit beleid beschrijft in detail de uitgevoerde verwerkingen, de gebruikte rechtsgrondslagen, de betrokken subverwerkers en de rechten die u kunt uitoefenen, overeenkomstig Verordening (EU) 2016/679 (AVG) en de gewijzigde Franse wet Informatique et Libertés.
1. Verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke is Franck FROMONT (handelsnaam SYNAPTIIK), eenmanszaak (EI), place des Dombes, 01140 Thoissey, Frankrijk.
Voor gegevens die worden verwerkt namens professionele klanten (tenants van het platform), treedt SYNAPTIIK op als verwerker in de zin van artikel 28 AVG, onder de voorwaarden vastgelegd in de Verwerkersovereenkomst.
Functionaris voor Gegevensbescherming (DPO): Contactformulier.
2. Verzamelde gegevens en doeleinden
| Verwerking | Doel | Rechtsgrondslag | Bewaartermijn |
|---|---|---|---|
| Professioneel account | Aanmaak, authenticatie, platformtoegang | Art. 6.1.b (overeenkomst) | Duur abonnement + 30 dagen |
| Facturering | Uitgifte facturen, incasso, boekhouding | Art. 6.1.c (wettelijke verplichting) | 10 jaar (art. L. 123-22 Frans Handelswetboek) |
| Klantenondersteuning | Bijstand, opvolging van tickets | Art. 6.1.b (overeenkomst) | Abonnement + 3 jaar |
| Leeza Niveau 1 (accountgeheugen) | AI-assistent — contextueel geheugen intern aan het account | Art. 6.1.f (gerechtvaardigd belang) | Abonnement + 30 dagen |
| Leeza Niveau 2 (geanonimiseerd leren) | Continue verbetering — geanonimiseerde output met k-anonimiteit ≥ 5 | Art. 6.1.a (opt-in toestemming) | Op elk moment intrekbaar |
| Marketing (nieuwsbrief) | Prospectie relevant voor het product | Art. 6.1.a (toestemming) | Op elk moment intrekbaar |
| Productanalyse | Meting van gebruik, UX-verbetering | Art. 6.1.a (toestemming) | 13 maanden (CNIL) |
| Beveiligingslogs | Detectie van incidenten, verplichting art. 6 LCEN | Art. 6.1.f + 6.1.c | 12 maanden |
| Bescherming tegen bots | Controleren dat een registratie, aanmelding of wachtwoordaanvraag niet van een bot komt (technische browsersignalen en IP-adres, geanalyseerd door Cloudflare Turnstile) | Art. 6.1.f (gerechtvaardigd belang: beveiliging) | Eenmalig token, niet bewaard door SYNAPTIIK |
3. Leeza — AI-assistent en transparantie
Het platform integreert Leeza, een AI-assistent gestructureerd in twee verwerkingsniveaus:
- Niveau 1 — contextueel geheugen intern aan het gebruikersaccount, zonder externe deling voor training. Rechtsgrondslag: gerechtvaardigd belang (art. 6.1.f). Gegevens worden uitsluitend voor inferentie doorgestuurd naar Anthropic (Claude), onder contractuele garantie dat er geen gebruik plaatsvindt voor training upstream.
- Niveau 2 — geanonimiseerd opt-in leren: interacties worden geaggregeerd, geanonimiseerd en onderworpen aan een regel van k-anonimiteit ≥ 5 vóór elke exploitatie voor productverbetering. Vereist expliciete activering in de instellingen; op elk moment intrekbaar zonder boete.
Volledig detail van de gebruikte modellen, de etikettering van de outputs en de AI-governance: pagina AI-transparantie.
4. Subverwerkers
SYNAPTIIK maakt gebruik van subverwerkers die worden geregeld door een overeenkomst art. 28 AVG. De belangrijkste op de publicatiedatum:
| Subverwerker | Dienst | Regio | Doorgiftekader |
|---|---|---|---|
| Vercel Inc. | Webhosting / edge compute | VS (EU-PoP's) | SCC's + DPF |
| Supabase Inc. | Database, auth, opslag | EU (AWS Ierland / Parijs) | EU-hosting |
| Stripe Payments Europe, Ltd | Betalingen, facturering, Connect | IE (verwerking) / VS (archief) | SCC's + DPF |
| Backblaze Inc. | Objectopslag voor media | EU (Amsterdam) / VS | SCC's + DPF |
| Anthropic PBC | Claude-modellen (Leeza-inferentie) | VS | SCC's + DPF (zero retention) |
| Resend Inc. | Verzending transactionele e-mails | VS | SCC's + DPF |
| PostHog Inc. | Productanalyse | EU-cloud (Frankfurt) | EU-hosting |
| PostHog Inc. | Foutmonitoring (captureException) | EU-cloud (Frankfurt) | EU-hosting |
| Better Stack | Logs & uptime-monitoring | EU (Frankfurt) | EU-hosting |
| Brevo (voorheen Sendinblue) | Marketing-e-mails | FR | EU-hosting |
| Cloudflare Inc. | Anti-DDoS, CDN | Wereldwijd (EU-PoP's) | SCC's + DPF |
| Google Workspace | Interne e-mail / productiviteit | VS | SCC's + DPF |
| Cloudflare Inc. (Turnstile) | Onzichtbare botcontrole: registratie, aanmelding, wachtwoord vergeten, beveiligingsinstellingen | Wereldwijd (EU-PoP's) | SCC's + DPF |
Elke substantiële wijziging leidt tot een update van deze pagina en, voor Agence-klanten, tot een voorafgaande kennisgeving overeenkomstig artikel 5 van de DPA.
5. Doorgiften buiten de Europese Unie
Sommige subverwerkers opereren vanuit de Verenigde Staten. De betreffende doorgiften worden geregeld door de modelcontractbepalingen van de Europese Commissie (besluit 2021/914) en, wanneer de subverwerker gecertificeerd is, door het EU-VS Data Privacy Framework (besluit 2023/1795).
Systematische aanvullende maatregelen: versleuteling tijdens verzending (minimaal TLS 1.2) en in rust, pseudonimisering van identifiers, beperking van de omvang van doorgegeven gegevens tot wat strikt noodzakelijk is voor de dienst.
6. Uw rechten
U beschikt over de volgende rechten, uit te oefenen via <code>/pro/settings/privacy</code> of op verzoek aan Contactformulier:
- Inzage (art. 15) — volledige kopie van de gegevens die op u betrekking hebben.
- Rectificatie (art. 16) — directe bewerking of op verzoek.
- Verwijdering (art. 17) — deactivering van het account binnen 72 uur, dan een (annuleerbare) termijn van 30 dagen vóór de definitieve verwijdering, onder voorbehoud van wettelijke bewaarplichten (facturen).
- Beperking (art. 18) — opschorting van bepaalde verwerkingen (Leeza, marketing).
- Overdraagbaarheid (art. 20) — gestructureerde export (ZIP met JSON + CSV + binaire media) via /api/legal/export-rgpd.
- Bezwaar (art. 21) — opt-out marketing, opt-out Leeza Niveau 2, opt-out profilering.
- Intrekking van de toestemming (art. 7.3) — op elk moment, zonder terugwerkende kracht.
- Post-mortemrichtlijnen — overeenkomstig art. 85 van de Franse wet Informatique et Libertés.
Antwoord binnen maximaal 1 maand, verlengbaar met 2 maanden mits gemotiveerde kennisgeving bij bijzondere complexiteit.
Beroep: CNIL — 3 place de Fontenoy, 75334 Paris Cedex 07, Frankrijk — www.cnil.fr/fr/plaintes.
Woont u in een ander land, dan kunt u rechtstreeks terecht bij de gegevensbeschermingsautoriteit van uw woon- of werkland (art. 77 AVG): lijst van Europese autoriteiten.
7. Beveiliging
SYNAPTIIK implementeert passende technische en organisatorische maatregelen: TLS 1.2+-versleuteling tijdens verzending, AES-256 in rust (database, opslag, back-ups), sterke authenticatie (verplichte MFA voor Studio en Agence, aanbevolen voor Solo), roltoegangscontrole (RBAC), Row-Level Security (RLS) op alle tenant-gescopede tabellen, logging van adminacties, periodieke penetratietests.
In geval van een gegevensinbreuk die een risico vormt voor de rechten en vrijheden van personen, melding aan de CNIL binnen 72 uur (art. 33 AVG) en, indien nodig, aan de betrokkenen (art. 34). Een intern incidentenregister wordt actueel gehouden.
9. Wijzigingen aan dit beleid
Elke substantiële wijziging wordt ten minste 30 dagen voor de inwerkingtreding per e-mail meegedeeld, met de mogelijkheid om hiertegen bezwaar te maken via de in paragraaf 6 vermelde bezwaarkanalen. Een gedateerde geschiedenis is op verzoek beschikbaar.