Privacyverklaring

De verwerkingsverantwoordelijke voor de verwerkingen in deze verklaring is:

• [Statutaire naam onderneming], handelend onder de naam Reviewt
• [Straat en huisnummer], [Postcode] [Plaats], Nederland
• KVK-nummer: [KVK-nummer]
• E-mail voor privacyvragen: privacy@reviewt.nl

We hebben geen functionaris voor gegevensbescherming aangesteld; dat is voor een organisatie van onze omvang en aard niet verplicht.

We verwerken persoonsgegevens van vier groepen:

• Bezoekers van reviewt.nl, bijvoorbeeld wanneer je het contactformulier gebruikt.
• Gebruikers: ondernemers en medewerkers die met een Google-account inloggen en een abonnement afsluiten. Voor deze gegevens zijn wij verwerkingsverantwoordelijke.
• Reviewers en vraagstellers op Google: mensen van wie de review, vraag of het antwoord op het Google Bedrijfsprofiel van een gebruiker staat. Deze gegevens halen we in opdracht van de gebruiker op bij Google.
• Ontvangers van reviewuitnodigingen: klanten van een gebruiker die via Reviewt een uitnodiging per e-mail, sms of WhatsApp krijgen om een review te schrijven. Voor deze gegevens is de gebruiker verwerkingsverantwoordelijke en zijn wij verwerker. De afspraken daarover staan in onze verwerkersovereenkomst.

3.1 Account en inloggen

Je logt in met Google (OAuth). We ontvangen dan je naam, e-mailadres, profielfoto en Google-account-ID. Een wachtwoord hebben we niet; dat blijft bij Google. We gebruiken deze gegevens om je account aan te maken, je in te loggen, je te herkennen bij volgende bezoeken en om e-mails over je account te sturen. Je sessie bewaren we in een versleuteld sessiecookie.

3.2 Abonnement en betaling

Betalingen verlopen via Stripe. Je factuuradres, btw-nummer en betaalgegevens (kaart- of rekeninggegevens) vul je in bij Stripe en worden door Stripe bewaard; wij hebben geen toegang tot volledige kaartgegevens. Reviewt bewaart zelf alleen je Stripe-klantnummer, abonnementsnummer, het gekozen plan, de status van je abonnement en de einddatum van de betaalperiode. Dat hebben we nodig om je toegang te geven tot de functies van je plan en om facturen te kunnen laten maken.

3.3 Instellingen en voorkeuren

Wat je in Reviewt instelt slaan we op: je meldingsvoorkeuren, de gewenste frequentie van rapporten, je branche, je reputatiedoelen en verbeteracties, en je “brand voice” (toon, handtekening, verboden of verplichte woorden en voorbeeldantwoorden). Die laatste gebruiken we om AI-concepten in jouw stijl te schrijven.

3.4 Meldingen, rapporten en e-mail

We sturen je e-mails die bij de dienst horen: een welkomstmail, meldingen over nieuwe of negatieve reviews en vragen (direct of als dagelijkse bundel, afhankelijk van je voorkeur), een wekelijkse briefing en een maandrapport, en een bericht als de Google-koppeling opnieuw moet worden geactiveerd of een ingeplande post niet kon worden gepubliceerd. Meldingen tonen we ook in het dashboard. Deze servicemails kun je per soort uitschakelen in de instellingen; we sturen geen nieuwsbrieven of reclame.

Rapporten die je deelt via een deellink bevatten alleen geaggregeerde cijfers (gemiddelde score, responspercentage, aantallen). Zo’n link verloopt automatisch na 90 dagen.

3.5 Contactformulier

Vul je het contactformulier in, dan verwerken we je naam, e-mailadres, eventueel je bedrijfsnaam, het onderwerp en je bericht. Het bericht wordt als e-mail aan ons bezorgd en we gebruiken het alleen om je vraag te beantwoorden. Om misbruik te voorkomen bewaren we je IP-adres kortstondig (maximaal 15 minuten) in een teller.

3.6 Technische en beveiligingsgegevens

Zoals elke webdienst verwerken we serverlogs (tijdstip, opgevraagde pagina, foutmeldingen, IP-adres) om de dienst te laten draaien, fouten op te lossen en misbruik tegen te gaan. Belangrijke acties in je account, zoals het publiceren van een antwoord of het versturen van uitnodigingen, leggen we vast in een auditlog zodat je achteraf kunt zien wat er is gebeurd. Aanvragen aan onze API worden per account of IP-adres geteld om overbelasting te voorkomen.

Als je je Google Bedrijfsprofiel koppelt, vraag je Google om Reviewt toegang te geven met de scope business.manage. Daarmee kunnen we namens jou:

• je locaties ophalen (naam, adres, telefoonnummer, website, categorie, coördinaten en Google-place-ID) en profielinformatie tonen of, op jouw verzoek, aanpassen;
• reviews ophalen (sterrenbeoordeling, tekst, naam en profielfoto van de reviewer, datum, of er een foto of video bij zit, en je eventuele antwoord) en door jou goedgekeurde antwoorden publiceren;
• vragen en antwoorden op je profiel ophalen en door jou goedgekeurde antwoorden plaatsen (Pro);
• prestatiestatistieken ophalen (zoals weergaven, klikken en oproepen) en de gezondheid van je profiel controleren;
• Google-posts ophalen, en posts die jij schrijft of inplant publiceren, bewerken of verwijderen;
• realtime meldingen van Google ontvangen over nieuwe reviews, vragen en profielwijzigingen.

De OAuth-tokens die deze toegang mogelijk maken slaan we versleuteld op. We gebruiken de toegang uitsluitend voor de functies van Reviewt en alleen voor de locaties waar jij eigenaar of beheerder van bent. We verkopen Google-gegevens niet, gebruiken ze niet voor advertenties en geven ze niet door aan anderen dan de in deze verklaring genoemde subverwerkers. Medewerkers van Reviewt bekijken deze gegevens alleen met jouw toestemming, voor beveiligingsdoeleinden of als de wet dat vereist.

Google-content bewaren we hooguit 30 kalenderdagen na het eerste ophalen. Oudere reviews blijven zichtbaar en beantwoordbaar doordat we die tekst live bij Google ophalen op het moment dat je hem opent; die tekst slaan we dan niet opnieuw op. Statistieken en trends in Reviewt gebruiken een rollend venster van 30 dagen. De verdeling van je sterren over alle tijd bewaren we als geanonimiseerd totaal.

Voor de concurrentiebenchmark vragen we bij Google Places openbare bedrijfsgegevens op van vergelijkbare bedrijven bij jou in de buurt (naam, score, aantal reviews, locatie). Dat zijn bedrijfsgegevens, geen persoonsgegevens; we bewaren ze maximaal 30 dagen.

Reviewt gebruikt de Gemini API van Google om conceptantwoorden op reviews en vragen te schrijven, reviews te analyseren op thema’s en sentiment, en concepten voor Google-posts te maken. Daarvoor sturen we naar Gemini: de tekst en score van de review of vraag, de naam van de reviewer, de naam en categorie van je bedrijf, je brand voice en voorbeelden van hoe jij eerdere concepten hebt aangepast. Die voorbeelden bewaren we maximaal twaalf maanden zodat de concepten steeds beter bij jouw stijl passen.

Volgens de voorwaarden van de betaalde Gemini API gebruikt Google de ingestuurde gegevens niet om zijn modellen te trainen. De AI neemt nooit zelf beslissingen: elk concept wordt door jou gelezen en pas gepubliceerd na een handmatige actie. Er is dus geen sprake van geautomatiseerde besluitvorming met rechtsgevolgen in de zin van artikel 22 AVG. De toelichting die de AI bij een concept geeft verwijderen we na 30 dagen.

Met Reviewt kun je klanten vragen een review te schrijven. Daarvoor voer je hun naam en e-mailadres of telefoonnummer in (via een CSV-bestand, door te plakken, of automatisch via een koppeling met bijvoorbeeld je kassa- of reserveringssysteem). Reviewt verstuurt de uitnodiging via Resend (e-mail) of Twilio (sms en WhatsApp) en houdt bij of het bericht is verzonden, bezorgd en aangeklikt, en of er daarna een nieuwe review is gemeten. Bij het importeren leg je vast op welke grondslag je de klant mag benaderen (toestemming of een bestaande klantrelatie); die registratie bewaren we als bewijs.

Voor deze gegevens ben jij als ondernemer verwerkingsverantwoordelijke en zijn wij verwerker: we verwerken ze alleen om jouw uitnodigingen te versturen en te rapporteren, en verder voor niets. Jij bent verantwoordelijk voor een geldige grondslag en voor naleving van de spamregels uit de Telecommunicatiewet. Meldt een ontvanger zich af via de link in de uitnodiging, dan zetten we het adres op een afmeldlijst voor jouw account en versturen we er geen uitnodigingen meer naartoe.

Heb je een uitnodiging ontvangen en wil je weten waar je gegevens vandaan komen, of wil je ze laten verwijderen? Neem dan contact op met het bedrijf dat je heeft uitgenodigd; dat is de afzender die in het bericht wordt genoemd. Kom je er samen niet uit, mail dan naar privacy@reviewt.nl; wij helpen je verder en geven je verzoek door.

We bewaren gegevens niet langer dan nodig. De belangrijkste termijnen:

We verkopen geen persoonsgegevens. We delen ze alleen met partijen die we nodig hebben om de dienst te leveren en die als verwerker onder een verwerkersovereenkomst voor ons werken, of met Google als zelfstandige partij voor je Google-account en Bedrijfsprofiel.

Daarnaast kunnen we gegevens verstrekken als de wet ons daartoe verplicht, bijvoorbeeld aan de Belastingdienst of op vordering van een bevoegde autoriteit. Bij een overname of fusie kunnen gegevens overgaan naar de nieuwe eigenaar; we informeren je daar dan over.

Onze database staat in de Europese Unie (Frankfurt). Enkele leveranciers zijn gevestigd in de Verenigde Staten of verwerken daar gegevens: Vercel, Google, Stripe, Resend en Twilio. Voor die doorgifte steunen we op het EU-US Data Privacy Framework (waar de leverancier daaronder gecertificeerd is) en op de standaardcontractbepalingen van de Europese Commissie, aangevuld met versleuteling tijdens transport en opslag. Een kopie van de gebruikte waarborgen kun je bij ons opvragen.

Reviewt gebruikt functionele cookies die nodig zijn om de dienst te laten werken; daarvoor is geen toestemming nodig. Bij je eerste bezoek tonen we een cookiebanner waarin je kunt kiezen of we daarnaast anonieme statistieken mogen verzamelen. Je keuze bewaren we in je browser en je kunt die op elk moment aanpassen via “Cookie-instellingen” in de footer.

Voor websitestatistieken gebruiken we Vercel Web Analytics en Speed Insights, en alleen als je daar in de cookiebanner toestemming voor geeft. Die werken zonder cookies en zonder je over websites heen te volgen; IP-adressen worden niet opgeslagen en bezoekers zijn voor ons niet herkenbaar. Tijdens het afrekenen plaatst Stripe op zijn eigen domein cookies die nodig zijn voor de betaling en fraudepreventie; daarvoor geldt het privacybeleid van Stripe.

We nemen passende technische en organisatorische maatregelen:

• Google-tokens worden versleuteld opgeslagen met een aparte sleutel; we vragen nooit om je Google-wachtwoord.
• Al het verkeer tussen je browser, Reviewt en onze leveranciers verloopt via TLS; de database is alleen bereikbaar via versleutelde, geauthenticeerde verbindingen.
• Toegang tot productiesystemen is beperkt tot de personen die dat voor hun werk nodig hebben en beveiligd met tweestapsverificatie.
• Elke API-route controleert dat je alleen gegevens van je eigen account en locaties ziet; aanvragen worden gelimiteerd om misbruik te voorkomen.
• Webhooksecrets en deellinks zijn willekeurig gegenereerd en worden gehasht opgeslagen of verlopen automatisch.
• Belangrijke acties worden vastgelegd in een auditlog; fouten en storingen worden bewaakt zodat we snel kunnen ingrijpen.

Denk je een beveiligingsprobleem te hebben gevonden? Mail dan naar security@reviewt.nl. Een datalek dat een risico oplevert voor betrokkenen melden we bij de Autoriteit Persoonsgegevens en, waar nodig, bij jou.

Onder de AVG heb je het recht om:

• in te zien welke persoonsgegevens we van je verwerken en daarvan een kopie te krijgen;
• onjuiste gegevens te laten corrigeren of aan te vullen;
• je gegevens te laten verwijderen;
• de verwerking te laten beperken;
• je gegevens in een gangbaar, machineleesbaar formaat te ontvangen (dataportabiliteit);
• bezwaar te maken tegen verwerkingen op grond van ons gerechtvaardigd belang;
• een eventueel gegeven toestemming in te trekken, zonder gevolgen voor de rechtmatigheid van de verwerking vóór de intrekking.

Veel hiervan kun je zelf doen: in de instellingen pas je je gegevens en voorkeuren aan, ontkoppel je Google en verwijder je je volledige account. Bij het verwijderen trekken we de Google-toegang in, wissen we alle opgeslagen Google-content, uitnodigingsgegevens en accountgegevens, en stoppen we iedere verdere verwerking; alleen facturen bewaren we vanwege de fiscale bewaarplicht.

Voor andere verzoeken mail je naar privacy@reviewt.nl. We reageren binnen een maand en kunnen je vragen je identiteit aan te tonen. Ben je niet tevreden over hoe we met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

Reviewt is een zakelijke dienst en niet bedoeld voor personen jonger dan 16 jaar; we verzamelen niet bewust gegevens van kinderen.

We kunnen deze verklaring aanpassen, bijvoorbeeld als we nieuwe functies of leveranciers toevoegen. Bij belangrijke wijzigingen informeren we je per e-mail of in het dashboard vóórdat ze ingaan. De datum bovenaan geeft aan wanneer deze versie is vastgesteld.

Op deze verklaring is Nederlands recht van toepassing. Bij verschil tussen deze verklaring en de verwerkersovereenkomst gaat voor de gegevens van jouw klanten de verwerkersovereenkomst voor.