Privacybeleid Bouwsafe

Bouwsafe is een product van Block Labs, gevestigd in Nederland.

• Bedrijfsnaam: Block Labs
• KvK-nummer: [KvK-nummer]
• Vestigingsadres: [vestigingsadres]
• E-mailadres: [contact-e-mailadres]

Voor alle vragen over dit privacybeleid of over de verwerking van uw persoonsgegevens kunt u contact met ons opnemen via bovenstaand e-mailadres.

De AVG maakt onderscheid tussen een verwerkingsverantwoordelijke (die bepaalt waarom en hoe gegevens worden verwerkt) en een verwerker (die gegevens uitsluitend verwerkt in opdracht van een ander). Bij Bouwsafe komen beide rollen voor.

• Accountgegevens van aannemers: voor de gegevens van aannemers zelf (account, bedrijfsgegevens, gebruiksgegevens) is Block Labs de verwerkingsverantwoordelijke.
• Klantgegevens die aannemers invoeren: wanneer een aannemer gegevens van zijn eigen klanten in Bouwsafe invoert (zoals naam, adres, telefoonnummer en e-mailadres), bepaalt de aannemer waarom en hoe die gegevens worden gebruikt. De aannemer is dan de verwerkingsverantwoordelijke en Block Labs is de verwerker, die deze gegevens uitsluitend verwerkt om de dienst aan de aannemer te leveren.

In gewone taal: bent u klant van een aannemer en heeft u via Bouwsafe een offerte ontvangen, dan is uw aannemer het eerste aanspreekpunt voor vragen over uw gegevens. U kunt zich met verzoeken over uw persoonsgegevens (bijvoorbeeld inzage of verwijdering) tot uw aannemer wenden. Wij ondersteunen aannemers bij het afhandelen van zulke verzoeken.

De offerte die u via Bouwsafe ontvangt of accepteert is een overeenkomst tussen u en uw aannemer. Block Labs is daarbij geen partij.

Afhankelijk van hoe Bouwsafe wordt gebruikt, verwerken wij de volgende categorieën persoonsgegevens.

Accountgegevens (van aannemers):

• naam en e-mailadres;
• inloggegevens, waaronder — als u daarvoor kiest — gegevens uit een Google- of Apple-login.

Bedrijfsgegevens (van aannemers):

• bedrijfsnaam en registratiegegevens (zoals KvK-nummer), BTW-nummer, IBAN en bedrijfsadres, gebruikt op offertes.

Klantgegevens (ingevoerd door aannemers):

• naam, adres, telefoonnummer en e-mailadres van klanten van de aannemer.

Project- en opnamegegevens:

• projecten, ruimtes en werkzaamheden die de aannemer vastlegt;
• foto's, video's en audio-notities die tijdens een opname worden gemaakt. Deze kunnen personen of een woning herkenbaar in beeld brengen en worden opgeslagen in cloudopslag.

Offertegegevens:

• offertes en de daarvan gegenereerde PDF-documenten, inclusief de status (ingezien, geaccepteerd, afgewezen).

Verificatiegegevens (van klanten van aannemers):

• bij verificatie via sms: een versleutelde (gehashte) verificatiecode die maximaal 10 minuten geldig is;
• bij verificatie via postcode en huisnummer of e-mailadres: de ingevoerde gegevens, uitsluitend ter controle tegen de offertegegevens.

Ploeggegevens:

• uitnodigingen om als ploeglid deel te nemen aan het account van een aannemer.

Technische gegevens:

• beperkte technische gegevens die nodig zijn om de dienst veilig te laten werken, zoals sessie-informatie en servergegevens (logs) met onder meer IP-adres en tijdstip van toegang.

Wij verwerken persoonsgegevens alleen voor de volgende doeleinden en op de volgende grondslagen uit de AVG.

• Het leveren van de dienst aan aannemers: het aanmaken en beheren van een account, het vastleggen van opnames en het maken, versturen en beheren van offertes. Grondslag: uitvoering van de overeenkomst met de aannemer.
• Het tonen van offertes aan klanten van aannemers via een beveiligde link, inclusief verificatie van de ontvanger: verwerking in opdracht van de aannemer als verwerker; de aannemer baseert dit op de (voorbereiding van de) overeenkomst met zijn klant.
• Beveiliging en misbruikpreventie: het beveiligen van accounts en offerte-links, het bijhouden van technische logs en het voorkomen van ongeautoriseerde toegang. Grondslag: gerechtvaardigd belang van Block Labs en van onze gebruikers bij een veilige en betrouwbare dienst.
• AI-ondersteunde functies: het analyseren van foto's en notities om werkzaamheden voor te stellen, en het analyseren van eerder door de aannemer geprijsde offerteregels uit diens andere projecten (waaronder namen, omschrijvingen en bedragen) om prijzen voor te stellen, uitsluitend wanneer de aannemer die functie actief gebruikt. Grondslag: uitvoering van de overeenkomst met de aannemer; voor klantgegevens die daarbij zichtbaar kunnen zijn — bijvoorbeeld in omschrijvingen van offerteregels — treden wij op als verwerker.
• Communicatie en ondersteuning: het beantwoorden van vragen en het informeren over belangrijke wijzigingen in de dienst. Grondslag: uitvoering van de overeenkomst en gerechtvaardigd belang.
• Wettelijke verplichtingen: het bewaren van gegevens waar een wettelijke plicht (zoals fiscale bewaarplichten) dat vereist. Grondslag: wettelijke verplichting.

Waar wij verwerken op basis van toestemming, kunt u die toestemming op elk moment intrekken. Het intrekken heeft geen gevolgen voor verwerkingen die vóór de intrekking hebben plaatsgevonden.

Wij gebruiken persoonsgegevens niet voor advertentiedoeleinden en verkopen geen persoonsgegevens aan derden.

Bouwsafe biedt functies waarmee foto's en notities van een opname automatisch kunnen worden geanalyseerd om werkzaamheden te suggereren, en waarmee prijsvoorstellen kunnen worden gedaan op basis van eerder door de aannemer geprijsde offerteregels. Hierbij geldt het volgende.

• Deze verwerking vindt alleen plaats wanneer de aannemer de AI-functie daadwerkelijk gebruikt. Zonder gebruik van die functie worden geen gegevens naar de AI-dienst gestuurd.
• Bij de analyse van een opname worden de foto's en notities van die opname aan de AI-dienst verstrekt. Foto's worden daarbij opgehaald via beveiligde downloadlinks die maximaal 1 uur geldig zijn.
• Bij prijsvoorstellen wordt een beperkt aantal recente, eerder geprijsde offerteregels uit andere projecten van dezelfde aannemer meegestuurd, waaronder namen, omschrijvingen, bedragen en de offertestatus. Deze omschrijvingen kunnen door de aannemer ingevoerde klant- of adresgegevens bevatten.
• Voor deze analyse maken wij gebruik van OpenRouter en de aanbieder van het onderliggende AI-model als subverwerkers (zie artikel 6).
• AI-suggesties zijn hulpmiddelen. De aannemer blijft volledig verantwoordelijk voor de inhoud en de prijzen van zijn offertes.

Wij nemen geen besluiten met rechtsgevolgen voor betrokkenen die uitsluitend op geautomatiseerde verwerking zijn gebaseerd.

Voor het leveren van Bouwsafe schakelen wij dienstverleners in die persoonsgegevens voor ons verwerken (subverwerkers). Met deze partijen maken wij afspraken over de beveiliging en het gebruik van gegevens. Wij gebruiken de volgende diensten:

• Neon: hosting van de PostgreSQL-database waarin account-, klant-, project- en offertegegevens worden opgeslagen.
• Cloudflare R2: cloudopslag van bestanden, zoals foto's, video's, audio-notities en offerte-PDF's.
• OpenRouter: doorgifte van AI-verzoeken (foto's, notities en eerder geprijsde offerteregels) voor werkzaamheden- en prijsvoorstellen, uitsluitend wanneer de aannemer de AI-functie gebruikt. OpenRouter routeert deze verzoeken naar het onderliggende AI-model; de daadwerkelijke analyse wordt uitgevoerd door de aanbieder van dat model — momenteel Anthropic (Claude) — die daarbij eveneens als subverwerker optreedt. Foto's worden door het model opgehaald via beveiligde downloadlinks die maximaal 1 uur geldig zijn.
• Twilio: het versturen van sms-verificatiecodes naar telefoonnummers van klanten van aannemers.
• Moneybird: uitsluitend wanneer de aannemer zelf de Moneybird-koppeling activeert, worden de daarvoor benodigde gegevens met Moneybird uitgewisseld.
• Google en Apple: uitsluitend wanneer de aannemer kiest voor inloggen met een Google- of Apple-account.

Daarnaast kunnen wij gegevens verstrekken als een wettelijke verplichting ons daartoe dwingt, bijvoorbeeld op vordering van een bevoegde autoriteit.

Sommige van de in artikel 6 genoemde dienstverleners kunnen persoonsgegevens verwerken buiten de Europese Economische Ruimte (EER), of hebben moederbedrijven buiten de EER.

Waar dat het geval is, zorgen wij voor passende waarborgen zoals bedoeld in de AVG, bijvoorbeeld door gebruik te maken van de standaardcontractbepalingen van de Europese Commissie (SCC's) of een geldig adequaatheidsbesluit, aangevuld met technische en organisatorische maatregelen waar nodig.

Meer informatie over de waarborgen die per dienstverlener gelden kunt u bij ons opvragen via [contact-e-mailadres].

Wij bewaren persoonsgegevens niet langer dan nodig is voor de doeleinden waarvoor zij zijn verzameld, tenzij een langere bewaartermijn wettelijk verplicht is. Concreet hanteren wij de volgende termijnen:

• account-, bedrijfs-, klant-, project- en offertegegevens: zolang het account van de aannemer actief is; na verwijdering van het account worden deze gegevens uit de database verwijderd. Bijbehorende bestanden in de cloudopslag (zoals foto's, video's, audio-notities en PDF's) worden daarbij niet in alle gevallen direct mee verwijderd; deze kunnen nog in de cloudopslag aanwezig blijven totdat zij bij onderhoud worden opgeruimd, en worden in ieder geval op verzoek via [contact-e-mailadres] verwijderd;
• sms-verificatiecodes: de gehashte code is maximaal 10 minuten geldig en wordt daarna niet meer gebruikt;
• offerte-toegangsbewijs (cookie na verificatie door een klant): maximaal 30 dagen;
• technische logs: een beperkte periode, zolang nodig voor beveiliging en probleemoplossing;
• back-ups: verwijderde gegevens kunnen gedurende een redelijke periode nog in back-ups aanwezig zijn totdat deze volgens ons back-upschema worden overschreven.

Verwijdert een aannemer een afzonderlijk mediabestand (zoals één foto, video of audio-notitie), dan wordt dat bestand direct ook uit de cloudopslag verwijderd. Verwijdert een aannemer een klant of een volledig project, dan worden de bijbehorende gegevens uit de actieve database verwijderd; de bijbehorende bestanden in de cloudopslag worden in dat geval niet direct gewist en kunnen daar nog aanwezig blijven totdat zij bij onderhoud worden opgeruimd of op verzoek worden verwijderd.

Bouwsafe gebruikt uitsluitend functionele cookies die nodig zijn om de dienst te laten werken. Wij gebruiken geen advertentie- of tracking-cookies en op dit moment ook geen analytics.

• Sessiecookie: houdt u ingelogd als aannemer. Deze cookie blijft ook na het sluiten van de browser bewaard en is maximaal 7 dagen geldig; bij actief gebruik wordt die geldigheidsduur verlengd.
• locale: onthoudt uw taalkeuze. Geldig 1 jaar.
• offerte-access-<token>: een ondertekend bewijs dat een klant zich voor een specifieke offerte heeft geverifieerd, zodat niet bij elk bezoek opnieuw verificatie nodig is. Geldig 30 dagen.
• mb_oauth_state: een tijdelijke beveiligingscookie (CSRF-bescherming) die alleen wordt gezet tijdens het koppelen van Moneybird. Geldig 10 minuten.

Omdat dit uitsluitend functionele cookies zijn, is hiervoor geen voorafgaande toestemming vereist.

Op grond van de AVG heeft u de volgende rechten met betrekking tot uw persoonsgegevens:

• recht op inzage in de gegevens die wij van u verwerken;
• recht op rectificatie van onjuiste of onvolledige gegevens;
• recht op wissing van uw gegevens;
• recht op beperking van de verwerking;
• recht van bezwaar tegen verwerkingen op grond van gerechtvaardigd belang;
• recht op overdraagbaarheid van gegevens die u zelf heeft verstrekt (dataportabiliteit).

Aannemers kunnen hun verzoek richten aan [contact-e-mailadres]. Wij reageren binnen de wettelijke termijn van in beginsel één maand. Om misbruik te voorkomen kunnen wij u vragen uw identiteit aan te tonen.

Bent u klant van een aannemer? Voor gegevens die uw aannemer in Bouwsafe heeft ingevoerd is de aannemer de verwerkingsverantwoordelijke. Richt uw verzoek daarom in eerste instantie aan uw aannemer; wij helpen aannemers bij het uitvoeren van zulke verzoeken. Neemt u toch rechtstreeks contact met ons op, dan verwijzen wij uw verzoek waar nodig door.

Bent u het niet eens met hoe wij met uw gegevens omgaan, dan horen wij dat graag. U heeft daarnaast altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, misbruik en ongeautoriseerde toegang. Daaronder vallen in ieder geval:

• versleutelde verbindingen (HTTPS/TLS) voor al het verkeer met Bouwsafe;
• toegangscontrole: gegevens zijn alleen toegankelijk voor het account waartoe zij behoren en voor ploegleden die de aannemer zelf heeft uitgenodigd, en offertes alleen via een beveiligde link met verificatie van de ontvanger;
• sms-verificatiecodes worden uitsluitend gehasht opgeslagen en zijn kort geldig;
• zorgvuldige selectie van dienstverleners en afspraken over beveiliging met subverwerkers.

Ondanks deze maatregelen kan geen enkel systeem volledige veiligheid garanderen. Vermoedt u een beveiligingsprobleem, meld dit dan via [contact-e-mailadres].

Wij kunnen dit privacybeleid aanpassen, bijvoorbeeld wanneer de dienst verandert of wanneer wet- en regelgeving daartoe aanleiding geeft. De datum bovenaan dit document geeft aan wanneer het voor het laatst is bijgewerkt.

Bij belangrijke wijzigingen informeren wij aannemers via de applicatie of per e-mail. Wij raden u aan dit beleid regelmatig te raadplegen.

Op dit privacybeleid is Nederlands recht van toepassing. De Nederlandse versie van dit document is juridisch leidend; vertalingen worden uitsluitend ter informatie aangeboden.

Heeft u vragen over dit privacybeleid of over de verwerking van uw persoonsgegevens? Neem dan contact met ons op:

• Block Labs
• [vestigingsadres]
• KvK: [KvK-nummer]
• E-mail: [contact-e-mailadres]