Privacybeleid

Cohively is een werkplektool die aan ondernemingen wordt verkocht. Voor persoonsgegevens die een klantbedrijf invoert over zijn eigen teamleden, klanten en contacten is dat bedrijf de verwerkingsverantwoordelijke en treedt Vulpo BV op als verwerker onder de Algemene Voorwaarden. Voor account-, facturatie- en platformexploitatiegegevens is Vulpo BV de verwerkingsverantwoordelijke. Dit beleid beschrijft beide rollen.

• Accountgegevens — voor- en achternaam, e-mailadres, telefoonnummer, geboortedatum (optioneel), wachtwoord (enkel bewaard als een veilige eenrichtingshash), taal, notificatie- en marketingvoorkeuren, en profiel- of omslagafbeeldingen die je zelf uploadt.
• Bedrijfs- en facturatiegegevens — bedrijfsnaam, btw-nummer, adres en facturatie-e-mailadres, gebruikt om je werkplek aan te maken en abonnementen te verwerken.
• Klant- en contactgegevens — namen, e-mailadressen, telefoonnummers, btw-nummers en adressen die je bedrijf over zijn klanten bijhoudt.
• Inhoud die je aanmaakt — tickets, reacties, documenten, projecten, tijdsregistraties, polls, agenda-items, materiaal en supportberichten. Deze vrije tekstvelden kunnen persoonsgegevens bevatten die je zelf invoert.
• Kluisgegevens — inloggegevens en beveiligde notities in de wachtwoordkluis. Geheime waarden zijn versleuteld (zie “Beveiliging”); enkel niet-geheime metadata (labels, URL's) wordt geïndexeerd voor zoekopdrachten.
• Bijzondere categorieën van gegevens — waar je ziekte- of familieverlof registreert, kan het redenveld gezondheidsinformatie prijsgeven. Dat wordt versleuteld bewaard en enkel gebruikt om verlof te beheren.
• Gebruiks- en beveiligingsgegevens — IP-adres, browser/user-agent, aanmeldgeschiedenis en een audittrail van beveiligingsrelevante handelingen, bewaard om je account en het platform te beschermen.
• Om te zien welke delen van het product gebruikt worden (art. 6(1)(f) — gerechtvaardigd belang): we registreren dat een lid op een bepaalde dag een onderdeel van de app opende — één keer per onderdeel per dag, zonder pagina-adressen, zonder tijdstippen en zonder iets over wat daar gedaan werd — zodat we weten wat we moeten verbeteren en wat we kunnen schrappen. Het wordt alleen als totalen over alle werkruimtes gelezen en het zit in je gegevensexport.

• Om de dienst te leveren (art. 6, lid 1, b — overeenkomst): het aanmaken en laten werken van je werkplek, authenticatie en de functies die je gebruikt.
• Om te factureren (art. 6, lid 1, b en c — overeenkomst en wettelijke verplichting): het verwerken van abonnementen en het bijhouden van de facturatiegegevens die de fiscale wetgeving vereist.
• Om het platform veilig te houden (art. 6, lid 1, f — gerechtvaardigd belang): auditlogging, aanmeldgeschiedenis, controles op gelekte wachtwoorden en misbruikpreventie.
• Om productnieuws te sturen (art. 6, lid 1, a — toestemming): alleen als je je aanmeldt; je kunt je toestemming altijd intrekken.
• Om onze website te begrijpen en te verbeteren (art. 6, lid 1, a — toestemming): analytics op onze publieke marketingsite, uitsluitend als je daarvoor kiest; je kunt je keuze altijd intrekken via de link “Cookies” in de voettekst.
• Bijzondere categorieën van gegevens (art. 9, lid 2, b): verlofgegevens worden verwerkt om te voldoen aan de arbeidsrechtelijke verplichtingen van het klantbedrijf.

We werken met een beperkt aantal doorgelichte leveranciers om Cohively te laten werken. Behalve Paddle, onze Merchant of Record (zie hieronder), verwerkt elk van hen persoonsgegevens enkel volgens onze instructies onder een verwerkersovereenkomst:

• Paddle — betalingen en abonnementsfacturatie als wederverkoper en Merchant of Record; ontvangt facturatienaam, e-mailadres en adres. Voor betalingsverwerking, belastingen en fraudepreventie treedt Paddle op als onafhankelijke verwerkingsverantwoordelijke onder zijn eigen privacybeleid, niet als onze verwerker.
• Google Cloud — hosting van versleutelingssleutels (Cloud KMS, EU-regio), bestands- en mediaopslag, en geocodering van adressen (Maps).
• Google Analytics — geleverd door Google Ireland Limited; meet hoe bezoekers onze publieke marketingsite gebruiken. Enkel geplaatst met je toestemming (zie “Cookies”) en beheerst door het privacybeleid van Google.
• Onze e-mailprovider — bezorging van transactionele en, indien je daarvoor koos, product-e-mails.
• Pushdiensten van browsers — wanneer je pushmeldingen aanzet, bezorgt de pushdienst van je browserleverancier (Google voor Chrome, Mozilla voor Firefox, Apple voor Safari) de melding op je toestel. Die dienst ontvangt het bezorgadres dat je browser heeft aangemaakt en de versleutelde melding; de inhoud is end-to-end versleuteld, dus de dienst kan die niet lezen. Je kunt dit op elk moment uitzetten via Profiel → Meldingen.
• Google Firebase — bezorgt pushmeldingen aan de mobiele apps van Cohively. De dienst ontvangt het bezorgtoken dat je toestel heeft aangemaakt en de tekst van de melding. Je kunt dit op elk moment uitzetten via Profiel → Meldingen, of door de meldingsrechten op je toestel in te trekken.
• Sentry — foutmonitoring, standaard geconfigureerd om geen persoonsgegevens te versturen.
• Zoekinfrastructuur — full-textzoeken over je werkplekinhoud; draait binnen onze eigen infrastructuur tenzij een gehoste zoekmachine is ingesteld, in welk geval die onder een verwerkersovereenkomst valt.
• Have I Been Pwned — controleert of een gekozen wachtwoord in een datalek is voorgekomen, met k-anonimiteit zodat geen wachtwoord of identificeerbaar gegeven onze servers verlaat.

We verkopen geen persoonsgegevens. Waar een leverancier gegevens buiten de EER verwerkt, baseren we ons op adequaatheidsbesluiten of standaardcontractbepalingen, naargelang van toepassing.

Wanneer een gebruiker Cohively met ChatGPT of Claude verbindt, stuurt Cohively de door die gebruiker gevraagde werkplekgegevens en toolresultaten naar de gekozen AI-provider om diens instructies uit te voeren. Deze verwerking wordt door de gebruiker via diens eigen provideraccount gestart en gemachtigd en valt ook onder de voorwaarden en het privacybeleid van die provider. De publieke connector sluit de wachtwoordkluis bewust uit: opgeslagen inloggegevens, geheime waarden en kluistools zijn nooit beschikbaar voor ChatGPT of Claude.

We bewaren persoonsgegevens zolang je account of werkplek actief is. Beveiligingslogs (audittrail en aanmeldgeschiedenis, inclusief IP-adressen) worden een beperkte periode bewaard en daarna automatisch verwijderd. Facturatiegegevens worden bewaard voor de periode die de fiscale wetgeving vereist. Wanneer een account of klant wordt gewist, worden de persoonsgegevens geanonimiseerd (zie “Je rechten”).

Onder de voorwaarden van de AVG heb je het recht op inzage, rectificatie, wissing, beperking van of bezwaar tegen de verwerking van je persoonsgegevens, en op gegevensoverdraagbaarheid. Je kunt:

• Inzage en overdraagbaarheid — een machineleesbare export van je persoonsgegevens downloaden vanaf je profielpagina.
• Rectificatie — je profielgegevens op elk moment aanpassen.
• Wissing — accountverwijdering aanvragen vanaf je profiel; je beheerders voeren die uit en je persoonsgegevens worden daarna onomkeerbaar geanonimiseerd.
• Toestemming intrekken — marketingmails op elk moment uitschakelen.

Om een recht uit te oefenen, contacteer info@cohively.com. Je hebt ook het recht om een klacht in te dienen bij the Belgian Data Protection Authority (Gegevensbeschermingsautoriteit / Autorité de protection des données). Waar een klantbedrijf de verwerkingsverantwoordelijke is (voor zijn team-, klant- en inhoudsgegevens), sturen we je verzoek door naar dat bedrijf.

Wachtwoorden worden bewaard als eenrichtingshashes en tweefactorgeheimen zijn versleuteld. Kluisgeheimen worden versleuteld met een specifieke sleutel per bedrijf via Google Cloud KMS. Toegang is beperkt per bedrijf en per rechten, transport is versleuteld met TLS, en toegang tot geheimen wordt geauditeerd. Ondanks deze maatregelen kan geen enkele onlinedienst als volkomen veilig worden gegarandeerd.

We gebruiken strikt noodzakelijke cookies om je ingelogd te houden en je sessie te beveiligen. Op onze publieke marketingsite gebruiken we daarnaast Google Analytics om te begrijpen hoe bezoekers de site gebruiken zodat we die kunnen verbeteren — waarbij we bijvoorbeeld bekeken pagina's, toestel- en browsertype en een benaderende locatie op basis van je IP-adres meten (dat Google Analytics niet bewaart). Op diezelfde pagina's gebruiken we ook de Meta Pixel van Facebook, om te meten welke van onze advertenties mensen naar Cohively brengen en hoeveel van die bezoeken een registratie worden.

Deze cookies staan standaard uit en worden enkel gebruikt als je daarvoor kiest. Google Analytics werkt met Google Consent Mode, waardoor analytics-opslag geweigerd blijft tot je die in onze cookiebanner aanvaardt, en de Meta Pixel wordt pas geladen nadat je aanvaardt, zodat er niets bij Facebook terechtkomt als je weigert. Je kunt je keuze op elk moment wijzigen of intrekken via de link “Cookies” in de voettekst van de site. We verkopen je gegevens niet.

Los van Google Analytics tellen we zelf hoe vaak de knoppen op onze marketingsite worden aangeklikt en hoeveel van die kliks registraties en aankopen worden. Deze meting registreert geen IP-adres, geen toestelgegevens en geen identificator van jou — enkel dat een knop is aangeklikt, en op welke pagina — waardoor ze ons niets over jou als persoon vertelt en werkt ongeacht je keuze in de cookiebanner. Kom je binnen via een campagnelink met utm_-markeringen, dan bewaren we enkel die markeringen 90 dagen in een first-party cookie zodat we weten uit welke campagne een registratie komt; geen enkel ander bezoek krijgt er een.

We kunnen dit beleid van tijd tot tijd bijwerken. Wezenlijke wijzigingen worden via het platform gecommuniceerd, en de datum “laatst bijgewerkt” hierboven verandert dan.

Vulpo BV, Brusselsesteenweg 81, 9230 Wetteren, Belgium — info@cohively.com. Vragen over gegevensbescherming: info@cohively.com.