Privacybeleid

Cohively is een werkplektool die aan ondernemingen wordt verkocht. Voor persoonsgegevens die een klantbedrijf invoert over zijn eigen teamleden, klanten en contacten is dat bedrijf de verwerkingsverantwoordelijke en treedt Vulpo BV op als verwerker onder de Algemene Voorwaarden. Voor account-, facturatie- en platformexploitatiegegevens is Vulpo BV de verwerkingsverantwoordelijke. Dit beleid beschrijft beide rollen.

• Accountgegevens: voor- en achternaam, e-mailadres, telefoonnummer, geboortedatum (optioneel), wachtwoord (enkel bewaard als een veilige eenrichtingshash), taal, notificatie- en marketingvoorkeuren, en profiel- of omslagafbeeldingen die je zelf uploadt.
• Bedrijfs- en facturatiegegevens: bedrijfsnaam, btw-nummer, adres en facturatie-e-mailadres, gebruikt om je werkplek aan te maken en abonnementen te verwerken.
• Klant- en contactgegevens: namen, e-mailadressen, telefoonnummers, btw-nummers en adressen die je bedrijf over zijn klanten bijhoudt.
• Inhoud die je aanmaakt: tickets, reacties, documenten, projecten, tijdsregistraties, polls, agenda-items, materiaal en supportberichten. Deze vrije tekstvelden kunnen persoonsgegevens bevatten die je zelf invoert.
• Kluisgegevens: inloggegevens en beveiligde notities in de wachtwoordkluis. Geheime waarden zijn end-to-end versleuteld en kunnen door ons niet gelezen worden (zie “Beveiliging”); enkel niet-geheime metadata (labels, URL's) wordt leesbaar bewaard en geïndexeerd voor zoekopdrachten.
• Bijzondere categorieën van gegevens: waar je ziekte- of familieverlof registreert, kan het redenveld gezondheidsinformatie prijsgeven. Dat wordt versleuteld bewaard en enkel gebruikt om verlof te beheren.
• Gebruiks- en beveiligingsgegevens: IP-adres, browser/user-agent, aanmeldgeschiedenis en een audittrail van beveiligingsrelevante handelingen, bewaard om je account en het platform te beschermen.
• Om te zien welke delen van het product gebruikt worden (gerechtvaardigd belang, art. 6(1)(f)): we registreren dat een lid op een bepaalde dag een onderdeel van de app opende. Dat gebeurt één keer per onderdeel per dag, zonder pagina-adressen, zonder tijdstippen en zonder iets over wat daar gedaan werd. Zo weten we wat we moeten verbeteren en wat we kunnen schrappen. Het wordt alleen als totalen over alle werkruimtes gelezen en het zit in je gegevensexport.

• Om de dienst te leveren (overeenkomst, art. 6, lid 1, b): het aanmaken en laten werken van je werkplek, authenticatie en de functies die je gebruikt.
• Om te factureren (overeenkomst en wettelijke verplichting, art. 6, lid 1, b en c): het verwerken van abonnementen en het bijhouden van de facturatiegegevens die de fiscale wetgeving vereist.
• Om het platform veilig te houden (gerechtvaardigd belang, art. 6, lid 1, f): auditlogging, aanmeldgeschiedenis, controles op gelekte wachtwoorden en misbruikpreventie.
• Om productnieuws te sturen (toestemming, art. 6, lid 1, a): alleen als je je aanmeldt; je kunt je toestemming altijd intrekken.
• Om onze website te begrijpen en te verbeteren (toestemming, art. 6, lid 1, a): analytics op onze publieke marketingsite, uitsluitend als je daarvoor kiest; je kunt je keuze altijd intrekken via de link “Cookies” in de voettekst.
• Bijzondere categorieën van gegevens (art. 9, lid 2, b): verlofgegevens worden verwerkt om te voldoen aan de arbeidsrechtelijke verplichtingen van het klantbedrijf.

We werken met een beperkt aantal doorgelichte leveranciers om Cohively te laten werken. Behalve Paddle, onze Merchant of Record (zie hieronder), verwerkt elk van hen persoonsgegevens enkel volgens onze instructies onder een verwerkersovereenkomst:

• Paddle: betalingen en abonnementsfacturatie als wederverkoper en Merchant of Record; ontvangt facturatienaam, e-mailadres en adres. Voor betalingsverwerking, belastingen en fraudepreventie treedt Paddle op als onafhankelijke verwerkingsverantwoordelijke onder zijn eigen privacybeleid, niet als onze verwerker.
• Google Cloud: hosting van versleutelingssleutels (Cloud KMS, EU-regio), bestands- en mediaopslag, en geocodering van adressen (Maps).
• Google Analytics: geleverd door Google Ireland Limited; meet hoe bezoekers onze publieke marketingsite gebruiken. Enkel geplaatst met je toestemming (zie “Cookies”) en beheerst door het privacybeleid van Google.
• Google reCAPTCHA Enterprise: beschermt de formulieren om in te loggen, te registreren, je wachtwoord te herstellen en contact op te nemen tegen bots. Op die pagina's ontvangt Google je IP-adres, gegevens over je browser en toestel en hoe je de pagina gebruikt, en vertelt ons hoe waarschijnlijk het is dat je een persoon bent. Gebruikt om het platform te beveiligen (art. 6, lid 1, f, gerechtvaardigde belangen) en beheerst door het privacybeleid en de voorwaarden van Google.
• Onze e-mailprovider: bezorging van transactionele en, indien je daarvoor koos, product-e-mails.
• Pushdiensten van browsers: wanneer je pushmeldingen aanzet, bezorgt de pushdienst van je browserleverancier (Google voor Chrome, Mozilla voor Firefox, Apple voor Safari) de melding op je toestel. Die dienst ontvangt het bezorgadres dat je browser heeft aangemaakt en de versleutelde melding; de inhoud is end-to-end versleuteld, dus de dienst kan die niet lezen. Je kunt dit op elk moment uitzetten via Profiel → Meldingen.
• Google Firebase: bezorgt pushmeldingen aan de mobiele apps van Cohively. De dienst ontvangt het bezorgtoken dat je toestel heeft aangemaakt en de tekst van de melding. Je kunt dit op elk moment uitzetten via Profiel → Meldingen, of door de meldingsrechten op je toestel in te trekken.
• Sentry: foutmonitoring, standaard geconfigureerd om geen persoonsgegevens te versturen.
• Zoekinfrastructuur: full-textzoeken over je werkplekinhoud; draait binnen onze eigen infrastructuur tenzij een gehoste zoekmachine is ingesteld, in welk geval die onder een verwerkersovereenkomst valt.
• Have I Been Pwned: controleert of een gekozen wachtwoord in een datalek is voorgekomen, met k-anonimiteit: enkel de eerste vijf tekens van de hash van een wachtwoord worden verstuurd, voor kluiswachtwoorden vanuit je browser, zodat geen wachtwoord of identificeerbaar gegeven gedeeld wordt.

We verkopen geen persoonsgegevens. Waar een leverancier gegevens buiten de EER verwerkt, baseren we ons op adequaatheidsbesluiten of standaardcontractbepalingen, naargelang van toepassing.

Wanneer een gebruiker Cohively met ChatGPT of Claude verbindt, stuurt Cohively de door die gebruiker gevraagde werkplekgegevens en toolresultaten naar de gekozen AI-provider om diens instructies uit te voeren. Deze verwerking wordt door de gebruiker via diens eigen provideraccount gestart en gemachtigd en valt ook onder de voorwaarden en het privacybeleid van die provider. De publieke connector sluit de wachtwoordkluis bewust uit: opgeslagen inloggegevens, geheime waarden en kluistools zijn nooit beschikbaar voor ChatGPT of Claude.

Om te helpen bij een vraag kunnen onze platformbeheerders Cohively openen zoals een bepaalde gebruiker het ziet. Zo'n sessie is alleen-lezen: er kan niets gewijzigd, verzonden of opgeslagen worden namens die gebruiker.

Persoonsgegevens van iedereen behalve die gebruiker worden geanonimiseerd. Namen, e-mailadressen, telefoonnummers, adressen en IP-adressen worden vervangen, en vrije tekst zoals ticketbeschrijvingen, reacties, documenten en notities bij tijdregistraties wordt verborgen. Geüploade bestanden, meldingen en details van ziekteverlof worden niet getoond, en de wachtwoordkluis en Secure Share zijn gesloten. Titels, statussen en instellingen blijven zichtbaar zodat support de weg kan vinden.

Het begin en einde van elke sessie worden vastgelegd in het auditlogboek van de gebruiker. Waar een klantbedrijf de verwerkingsverantwoordelijke is, doen we dit als verwerker om support te bieden onder de Algemene Voorwaarden. Voor accountgegevens waarvoor wij verantwoordelijk zijn, steunen we op ons gerechtvaardigd belang om de dienst te ondersteunen (art. 6, lid 1, f).

We bewaren persoonsgegevens zolang je account of werkplek actief is. Beveiligingslogs (audittrail en aanmeldgeschiedenis, inclusief IP-adressen) worden een beperkte periode bewaard en daarna automatisch verwijderd. Facturatiegegevens worden bewaard voor de periode die de fiscale wetgeving vereist. Wanneer een account of klant wordt gewist, worden de persoonsgegevens geanonimiseerd (zie “Je rechten”).

Een account waarvan het e-mailadres nooit bevestigd wordt, verwijderen we 30 dagen nadat we voor het eerst om die bevestiging vroegen, samen met de werkplek als niemand anders die gebruikt. Daarvoor sturen we herinneringen en een laatste waarschuwing. Een werkplek die voor een abonnement betaald heeft, wordt nooit op deze manier verwijderd.

Onder de voorwaarden van de AVG heb je het recht op inzage, rectificatie, wissing, beperking van of bezwaar tegen de verwerking van je persoonsgegevens, en op gegevensoverdraagbaarheid. Je kunt:

• Inzage en overdraagbaarheid: een machineleesbare export van je persoonsgegevens downloaden vanaf je profielpagina.
• Rectificatie: je profielgegevens op elk moment aanpassen.
• Wissing: accountverwijdering aanvragen vanaf je profiel; je beheerders voeren die uit en je persoonsgegevens worden daarna onomkeerbaar geanonimiseerd.
• Toestemming intrekken: marketingmails op elk moment uitschakelen.

Om een recht uit te oefenen, contacteer info@cohively.com. Je hebt ook het recht om een klacht in te dienen bij the Belgian Data Protection Authority (Gegevensbeschermingsautoriteit / Autorité de protection des données). Waar een klantbedrijf de verwerkingsverantwoordelijke is (voor zijn team-, klant- en inhoudsgegevens), sturen we je verzoek door naar dat bedrijf.

Wachtwoorden worden bewaard als eenrichtingshashes en tweefactorgeheimen zijn versleuteld. Kluisgeheimen zijn end-to-end versleuteld: ze worden in je browser versleuteld met sleutels die beschermd zijn door het kluiswachtwoord van elk lid, dat ons nooit bereikt, zodat wij ze niet kunnen lezen. Bestanden gedeeld via Veilig delen worden versleuteld met een specifieke sleutel per bedrijf via Google Cloud KMS. Toegang is beperkt per bedrijf en per rechten, transport is versleuteld met TLS, en toegang tot geheimen wordt geauditeerd. Ondanks deze maatregelen kan geen enkele onlinedienst als volkomen veilig worden gegarandeerd.

We gebruiken strikt noodzakelijke cookies om je ingelogd te houden en je sessie te beveiligen. Op de pagina's om in te loggen, te registreren, je wachtwoord te herstellen en contact op te nemen kan Google reCAPTCHA ook een cookie plaatsen die nodig is om personen van bots te onderscheiden. Op onze publieke marketingsite gebruiken we daarnaast Google Analytics om te begrijpen hoe bezoekers de site gebruiken zodat we die kunnen verbeteren. We meten bijvoorbeeld bekeken pagina's, toestel- en browsertype en een benaderende locatie op basis van je IP-adres (dat Google Analytics niet bewaart). Op diezelfde pagina's gebruiken we ook de Meta Pixel van Facebook, om te meten welke van onze advertenties mensen naar Cohively brengen en hoeveel van die bezoeken een registratie worden.

Deze cookies staan standaard uit en worden enkel gebruikt als je daarvoor kiest. Google Analytics werkt met Google Consent Mode, waardoor analytics-opslag geweigerd blijft tot je die in onze cookiebanner aanvaardt, en de Meta Pixel wordt pas geladen nadat je aanvaardt, zodat er niets bij Facebook terechtkomt als je weigert. Je kunt je keuze op elk moment wijzigen of intrekken via de link “Cookies” in de voettekst van de site. We verkopen je gegevens niet.

Los van Google Analytics tellen we zelf hoe vaak de knoppen op onze marketingsite worden aangeklikt en hoeveel van die kliks registraties en aankopen worden. Deze meting registreert geen IP-adres, geen toestelgegevens en geen identificator van jou. Ze registreert enkel dat een knop is aangeklikt, en op welke pagina. Zo vertelt ze ons niets over jou als persoon, en ze werkt ongeacht je keuze in de cookiebanner. Kom je binnen via een campagnelink met utm_-markeringen, dan bewaren we enkel die markeringen 90 dagen in een first-party cookie zodat we weten uit welke campagne een registratie komt; geen enkel ander bezoek krijgt er een.

Daarnaast tellen we, zonder cookies, welke pagina een bezoeker als laatste zag voor die onze marketingsite verliet. Om bezoeken op dezelfde dag uit elkaar te houden, combineren we je IP-adres en browsertype met een willekeurige waarde die we elke nacht wissen, en bewaren we alleen het versleutelde resultaat. Je IP-adres en browsergegevens slaan we nooit op. Zodra die waarde gewist is, kan het resultaat niet meer naar jou herleid of aan een andere dag gekoppeld worden. Deze telling is anoniem en loopt dus ook los van je keuze in de cookiebanner.

We kunnen dit beleid van tijd tot tijd bijwerken. Wezenlijke wijzigingen worden via het platform gecommuniceerd, en de datum “laatst bijgewerkt” hierboven verandert dan.

Vulpo BV, Brusselsesteenweg 81, 9230 Wetteren, Belgium. Algemene vragen: info@cohively.com. Vragen over gegevensbescherming: info@cohively.com.