Privacybeleid

De verwerkingsverantwoordelijke is Bx Labs, een Franse vereenvoudigde vennootschap op aandelen met één aandeelhouder (SASU) met een maatschappelijk kapitaal van € 1.000, ingeschreven in het handels- en vennootschapsregister (RCS) van Parijs onder nummer 108 596 651, met maatschappelijke zetel op 9 rue des Colonnes, 75002 Parijs, Frankrijk.

Voor vragen over je gegevens kun je mailen naar contact@bxlabs.ai.

We verwerken de volgende gegevens wanneer je onze dienst gebruikt:

• E-mailadres en account-ID (aanmelding, inloggen, communicatie)
• Telefoonnummer van de ontvanger en scenario van de prank call
• Geluidsopname en automatische transcriptie van de gesprekken, en het scenario, de stem en de transcriptie van tests in de browser (zie hieronder)
• Overzicht van je credits en aankopen (de betaling zelf wordt verwerkt door Stripe: we ontvangen nooit je kaartnummer)
• Alleen met je toestemming: cookies voor bezoekersmeting en advertenties (zie § 4)
• Alleen met je afzonderlijke toestemming: gebruiksmeting, klik-heatmaps en sessie-opnames, met tekst en invoer gemaskeerd (zie § 4)
• Meting van paginaweergaven, zonder cookies (zie § 5)
• Aanmelding en aankopen, doorgegeven aan onze interne volgtool (zie § 6)

Opname en transcriptie van de gesprekken. Elk telefoongesprek dat met PrankCall AI wordt gevoerd, wordt opgenomen (beide stemmen: die van de AI en die van de gebelde persoon) en automatisch uitgeschreven. Tests in de browser worden niet opgenomen, maar hun scenario, de gekozen stem en hun transcriptie worden bewaard. Deze opnames, transcripties en scenario's worden bewaard zolang je account bestaat en worden samen met je account verwijderd. Bx Labs kan ze inzien voor moderatie (naleving van de gebruiksvoorwaarden, voorkomen van misbruik) en voor support, en elke inzage wordt gelogd. Je kunt je eigen gesprekken terugluisteren en downloaden vanuit je geschiedenis.

• Levering van de dienst — account, gesprekken, credits, e-mails over je account: uitvoering van de overeenkomst (artikel 6, lid 1, onder b) AVG)
• Facturatie en boekhouding: wettelijke verplichting (artikel 6, lid 1, onder c))
• Moderatie en voorkomen van misbruik: gerechtvaardigd belang (artikel 6, lid 1, onder f))
• Bezoekersmeting en het volgen van aanmeldingen en verkopen (§ 5 en § 6): gerechtvaardigd belang (artikel 6, lid 1, onder f))
• Cookies voor bezoekersmeting en advertenties (§ 4): je toestemming (artikel 6, lid 1, onder a)), die je op elk moment kunt intrekken
• Verbetering van de ervaring — gebruiksmeting, klik-heatmaps en sessie-opnames (§ 4): je toestemming (artikel 6, lid 1, onder a)), los van de vorige, die je op elk moment kunt intrekken

Er wordt geen meet- of advertentiecookie geplaatst zolang je die niet hebt geaccepteerd in de banner (“Accepteren”, of het vakje “Bezoekersmeting en advertenties”). Alleen met je toestemming laden we:

• Google Analytics 4 (bezoekersmeting) en Google Ads (conversiemeting), aangeboden door Google Ireland Limited;
• in voorkomend geval de Meta-pixel (Meta Platforms Ireland Limited) en de TikTok-pixel (TikTok Technology Limited), om onze advertentiecampagnes te meten.

Als je weigert, wordt geen van deze scripts geladen. Je keuze wordt zes maanden bewaard in een cookie “cookie-consent”; daarna vragen we het je opnieuw. Je kunt je keuze op elk moment wijzigen via de link “Cookies beheren” onderaan elke pagina: intrekken schakelt deze diensten uit en wist hun cookies.

Verbetering van de ervaring. Alleen met je toestemming, apart gegeven in de banner (vakje “Verbetering van de ervaring”), meten we het gebruik van de site om die te verbeteren, met Umami, een opensourcetool die Bx Labs zelf host bij Amazon Web Services in Frankrijk (regio Parijs, eu-west-3): er worden geen gegevens buiten de Europese Unie doorgegeven of aan een andere derde toevertrouwd. Verzameld worden: paginaweergaven (adres zonder parameters of anker, vorige pagina, paginatitel, taal, schermgrootte, type apparaat, browser en besturingssysteem, land en stad afgeleid uit het IP-adres, dat niet wordt bewaard), klikken en scrollen (klik-heatmaps), en de opname van je sessies (het verloop van de pagina, maximaal 10 minuten per pagina), waarin alle tekst en alle invoer gemaskeerd zijn; gevoelige zones (scenario, gebeld nummer, transcripties, geschiedenis en opnames van gesprekken, e-mailadres) worden helemaal niet opgenomen. Umami plaatst geen cookies, maar de scripts lezen en schrijven op je apparaat: ze worden pas na je toestemming geladen, en nooit in de mobiele app. Rechtsgrond: je toestemming (artikel 6, lid 1, onder a) AVG); toestemming voor bezoekersmeting en advertenties geldt niet voor dit doel, en omgekeerd. Bewaartermijn: 90 dagen voor sessie-opnames, 13 maanden voor statistieken (paginaweergaven, klikken, scrollen). Je keuze wordt zes maanden bewaard in een cookie “ux-consent”. Intrekken via “Cookies beheren” stopt de meting meteen (de pagina wordt opnieuw geladen).

Zonder toestemming gebruikt de site alleen opslag die nodig is om te werken: je inlogsessie (Supabase) en de cookies “cookie-consent” en “ux-consent” die je keuzes onthouden. Als je via een campagnelink binnenkomt, worden de tags utm_source, utm_medium en utm_campaign alleen met je toestemming in je browser bewaard (localStorage), om de effectiviteit van onze campagnes te meten; zonder toestemming worden ze alleen uit het adres van de pagina gelezen op het moment dat je een account aanmaakt (§ 6). Op dezelfde manier wordt de herkomst van je bezoek (verwijzende site en landingspagina, zonder hun parameters) alleen met je toestemming in je browser bewaard (localStorage, 30 dagen); zonder toestemming wordt die alleen in de geopende pagina vastgehouden, zolang het bezoek duurt, zonder iets in je browser te schrijven. Intrekken wist ze.

Met dezelfde toestemming meten we ook de stappen en resultaten van aanmelden, inloggen, de studio, tests en gesprekken, de betaling en het afspelen van opnames; hun duur, de werkelijke prestaties van de pagina's (Core Web Vitals) en categorieën van technische fouten, zonder foutmelding of stacktrace. Voor een ingelogd account maakt een pseudoniem, met SHA-256 afgeleid van de account-ID, het mogelijk terugkerende bezoeken in de tijd te meten. Umami ontvangt nooit je naam, je e-mailadres, een telefoonnummer, het scenario, de audio, de transcripties of de inlogtokens. Deze statistieken en pseudoniemen volgen dezelfde bewaartermijn van 13 maanden en stoppen wanneer je deze toestemming intrekt.

We tellen de paginaweergaven van deze site. Deze meting gebeurt op de server, voor alle bezoekers: ze gebruikt geen cookies, geen lokale opslag en geen script in de pagina. Er wordt daarvoor niets op je apparaat geschreven of gelezen, dus hiervoor is geen toestemming vereist (artikel 82 van de Franse wet Informatique et Libertés). Ze staat los van Google Analytics (§ 4).

Wat wordt gelezen maar nooit doorgegeven of bewaard: je IP-adres en je user-agent worden alleen gelezen om de hieronder beschreven vingerafdruk te berekenen, en verdwijnen daarna samen met het verzoek. Nooit doorgegeven: de volledige URL en haar parameters (met als enige uitzondering de campagnetags utm_source, utm_medium, utm_campaign, utm_content en utm_term, als het adres die bevat), het pad van de pagina die je hierheen bracht (alleen het domein wordt bewaard), of een locatie die nauwkeuriger is dan het land.

Wat wordt doorgegeven, per paginaweergave:

• de dag (in UTC) en het tijdstip van verzending;
• een dagelijkse vingerafdruk, zie hieronder;
• het pad van de pagina, teruggebracht tot de lijst van gepubliceerde pagina's;
• het soort herkomst (zoekmachine, sociaal netwerk, AI-assistent, andere site, interne link, geen) en in voorkomend geval alleen het domein;
• in voorkomend geval de campagnetags (utm_*) uit het adres van de pagina;
• het land, als code van twee letters;
• de apparaatklasse (computer, mobiel, tablet, bot).

De dagelijkse vingerafdruk is een hash (SHA-256) van je IP-adres, je user-agent, een salt die elke dag verandert en het domein van deze site. Hij dient alleen om de unieke bezoekers van één dag te tellen, en maakt het niet mogelijk je van de ene dag op de andere of van de ene site naar de andere te volgen. De vingerafdruk van een dag wordt bewaard tot het einde van de tweede dag daarna (D+2) en vervolgens verwijderd door een dagelijkse opschoning om 03:15 uur (UTC) — dus uiterlijk 76 uur nadat hij is vastgelegd. Daarna blijven alleen geaggregeerde gegevens over (bezoeken, unieke bezoekers per dag, pagina's, herkomst, landen, apparaten), die op geen enkele persoon betrekking hebben.

Ontvanger: Bx Labs, dat deze weergaven ontvangt en samenvoegt in Bx Labs OS, zijn interne tool, gehost door Convex in de Europese Unie (Ierland). Rechtsgrond: gerechtvaardigd belang (artikel 6, lid 1, onder f) AVG), namelijk het meten van het bezoek aan onze eigen site — geen profilering, geen advertenties, geen koppeling met een derde. Je kunt bezwaar maken zonder ons te schrijven: als je browser het signaal Global Privacy Control (Sec-GPC) of Do Not Track (DNT) verstuurt, wordt het bezoek helemaal niet gemeten.

Wanneer je je aanmelding bevestigt, geven we aan Bx Labs OS, de interne tool van Bx Labs (gehost door Convex in de Europese Unie, in Ierland), het volgende door: je e-mailadres, je naam als die bekend is (anders het deel van je adres vóór de @), je account-ID, de datum van aanmelding en hoe je bij ons bent gekomen: de verwijzende site (zonder parameters), de landingspagina en, als je via een campagnelink bent binnengekomen, de tags daarvan (utm_source, utm_medium, utm_campaign, utm_content, utm_term); met je toestemming voor cookies (§ 4) ook die van je eerste bezoek. We geven ook je land door, afgeleid uit je IP-adres bij de registratie (nooit het adres zelf), tenzij je browser aangeeft dat je volgen weigert (Global Privacy Control of Do Not Track). Wanneer je credits koopt, geven we het gekochte pakket, het aantal credits, het betaalde bedrag en de valuta door. Aan het einde van elk gesprek geven we de afloop door (geslaagd of niet, en waarom), de duur, het gebelde land en het landnummer, en het aantal credits, evenals het gebelde nummer en de tekst van de prank, voor support, moderatie en de bestrijding van misbruik (eenzelfde nummer gebeld vanuit meerdere accounts). Wanneer je inlogt, en maximaal twee keer per dag wanneer je terugkomt terwijl je al ingelogd bent, geven we de datum van het inloggen door, de manier van inloggen (wachtwoord, Google, link per e-mail…) en het type toegang (website of mobiele app); nooit je IP-adres of je browser.

Deze gegevens dienen om onze aanmeldingen, onze verkopen en de effectiviteit van onze campagnes te volgen. Er worden geen betaalgegevens (kaart, IBAN) doorgegeven: de betaling blijft bij Stripe. Rechtsgrond: gerechtvaardigd belang (artikel 6, lid 1, onder f) AVG). Ze worden bewaard zolang je account bestaat, en je verzoek tot verwijdering (§ 9) geldt er ook voor.

We verkopen je gegevens nooit. Ze worden alleen gedeeld met de dienstverleners die nodig zijn voor de dienst, die ze namens ons verwerken:

• Supabase — database en authenticatie, gehost in de Europese Unie (Parijs, Frankrijk)
• Microsoft Azure — server voor de gesprekken en spraakmodel Azure OpenAI, in de Europese Unie (regio France Central voor de server)
• Twilio — routering van telefoongesprekken en opnames
• Stripe — betaling van credits (Stripe Payments Europe, Ierland)
• Brevo — verzending van e-mails over je account (Frankrijk)
• Vercel — hosting van de website (Vercel Inc., Verenigde Staten)
• Google — Google Analytics en Google Ads (Google Ireland Limited), alleen met je toestemming (§ 4)
• Meta — Meta-pixel (Meta Platforms Ireland Limited), alleen met je toestemming (§ 4)
• TikTok — TikTok-pixel (TikTok Technology Limited), alleen met je toestemming (§ 4)
• Amazon Web Services — hosting van Umami, de tool voor gebruiksmeting van Bx Labs, in Frankrijk (regio Parijs), alleen met je toestemming (§ 4)
• Convex — hosting van Bx Labs OS, onze interne tool (Europese Unie, Ierland; § 5 en § 6)

Wanneer een dienstverlener gegevens buiten de Europese Unie verwerkt (met name in de Verenigde Staten), valt de doorgifte onder de standaardcontractbepalingen van de Europese Commissie of onder het EU-VS-kader voor gegevensbescherming (Data Privacy Framework).

Op grond van de Algemene verordening gegevensbescherming (AVG) en de Franse wet Informatique et Libertés heb je de volgende rechten:

• Recht op inzage in je persoonsgegevens
• Recht op rectificatie
• Recht op gegevenswissing
• Recht op beperking van de verwerking
• Recht op overdraagbaarheid van gegevens
• Recht van bezwaar tegen verwerking op basis van gerechtvaardigd belang
• Recht om je toestemming op elk moment in te trekken
• Recht om richtlijnen te geven over wat er na je overlijden met je gegevens gebeurt

Om ze uit te oefenen, schrijf je naar contact@bxlabs.ai. Als je vindt dat je rechten niet worden gerespecteerd, kun je een klacht indienen bij de Franse toezichthouder voor gegevensbescherming, de Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Parijs, Frankrijk, of via www.cnil.fr/fr/plaintes.

Je kunt op elk moment de volledige verwijdering van je gegevens aanvragen door te schrijven naar contact@bxlabs.ai. We behandelen je verzoek binnen 30 dagen. Het verwijderen van je account wist ook de opnames, transcripties en scenario's van je gesprekken. Boekhoudkundige stukken over je aankopen worden bewaard gedurende de wettelijk voorgeschreven termijn.

We nemen passende technische en organisatorische beveiligingsmaatregelen om je persoonsgegevens te beschermen tegen ongeoorloofde toegang, wijziging, openbaarmaking of vernietiging.

Heb je vragen over dit privacybeleid? Mail Bx Labs via contact@bxlabs.ai.