Privacyverklaring

Verwerkingsverantwoordelijke voor de gegevens die via de website en het account worden verwerkt is:

• HorecaGPT — [INVULLEN: statutaire naam B.V., KvK-nummer, vestigingsadres]
• E-mail: hello@horecagpt.com

Voor gegevens die een horecaonderneming (onze zakelijke klant) via haar eigen koppelingen in het Platform laat verwerken — zoals personeels- en reserveringsgegevens — treedt die onderneming op als verwerkingsverantwoordelijke en treden wij op als verwerker. Op die verwerking is een verwerkersovereenkomst van toepassing (zie artikel 9).

Afhankelijk van uw rol verwerken wij de volgende categorieën:

• Accountgegevens van gebruikers van het Platform: naam, e-mailadres, rol/functie, vestiging(en), inloggegevens (versleuteld).
• Gebruiksgegevens: ingevoerde vragen aan de AI-assistent, geüploade documenten, instellingen, logbestanden en technische gegevens (IP-adres, tijdstip, browsertype).
• Personeels-/roostergegevens uit gekoppelde systemen (o.a. Eitje): namen van medewerkers, ingeplande en gewerkte diensten, uren en loonkosten.
• Gast-/reserveringsgegevens uit gekoppelde systemen (o.a. TableFlow): naam van de gast, aantal personen, datum/tijd, status, eventuele dieet-/allergie-aantekeningen en voorkeuren.
• Omzet- en bedrijfsgegevens uit kassasystemen en keukenadministratie (o.a. Untill, KitchenOps): transacties, productgroepen, inkoop en marges — in beginsel geen persoonsgegevens.
• Reviewgegevens (o.a. Google, TheNextReview): openbare beoordelingen, scores en — voor zover meegeleverd — de naam van de recensent.
• Betaalgegevens bij een betaald abonnement: factuurgegevens en betaalstatus (de betaling zelf verloopt via onze betaaldienstverlener; wij bewaren geen volledige kaartgegevens).

Wij verwerken geen bijzondere categorieën van persoonsgegevens, tenzij u die zelf in vrije velden invoert (bijv. een allergie-aantekening bij een reservering); doe dit zo beperkt mogelijk.

Wij verwerken persoonsgegevens uitsluitend voor de volgende doeleinden, met de bijbehorende AVG-grondslag:

• Leveren van het Platform (dashboard, AI-antwoorden, koppelingen) — uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG).
• Beheer van accounts en toegang (RBAC), beveiliging en fraudepreventie — gerechtvaardigd belang (art. 6 lid 1 sub f) en wettelijke verplichting (sub c).
• Verbeteren en onderhouden van de dienst, support en facturatie — uitvoering overeenkomst / gerechtvaardigd belang.
• Verwerken van personeels-, reserverings- en omzetdata in opdracht van de horecaonderneming — die onderneming bepaalt doel en grondslag; wij verwerken als verwerker.
• Optionele communicatie (nieuwsbrief) — toestemming (sub a), die u altijd kunt intrekken.

Wij gebruiken persoonsgegevens niet om de onderliggende AI-modellen te trainen.

De AI-assistent gebruikt taalmodellen van Anthropic (Claude) voor het opstellen van antwoorden en OpenAI voor het doorzoeken van documenten (embeddings). Om uw gegevens te beschermen passen wij de volgende maatregelen toe:

• Pseudonimisering van medewerkersnamen: voordat roostergegevens naar het taalmodel worden gestuurd, worden namen van medewerkers vervangen door neutrale codes. Het model ontvangt dus geen herleidbare medewerkersnamen; in het antwoord aan u worden de namen lokaal weer teruggeplaatst.
• Geen training: onze AI-leveranciers gebruiken via de zakelijke API aangeboden gegevens niet om hun modellen te trainen en bewaren deze niet langer dan nodig voor het leveren van het antwoord.
• Dataminimalisatie: er wordt alleen data meegestuurd die nodig is om uw vraag te beantwoorden.

Gast-/reserveringsgegevens kunnen, voor zover nodig om een vraag te beantwoorden, wel naar het taalmodel worden gestuurd; hierop zijn de hierboven genoemde “geen training”- en bewaarwaarborgen van toepassing en de verwerkersafspraken in artikel 9.

Wij schakelen zorgvuldig geselecteerde verwerkers in. Met elk van hen is een verwerkersovereenkomst gesloten. De belangrijkste zijn:

Wij verkopen uw persoonsgegevens nooit aan derden en delen ze niet voor advertentiedoeleinden.

Een aantal AI-leveranciers (Anthropic, OpenAI) is gevestigd in de Verenigde Staten. Voor doorgifte van persoonsgegevens naar landen buiten de Europese Economische Ruimte hanteren wij passende waarborgen in de zin van hoofdstuk V AVG, zoals de standaardcontractbepalingen (SCC’s) van de Europese Commissie en — waar van toepassing — het EU-US Data Privacy Framework. Een kopie van de waarborgen is op verzoek beschikbaar via hello@horecagpt.com.

• Accountgegevens: zolang het account actief is en tot 12 maanden na beëindiging, tenzij langer bewaren wettelijk verplicht is.
• Chat-/gebruiksgegevens en logs: in beginsel maximaal 12 maanden, daarna verwijderd of geanonimiseerd.
• Gekoppelde data (rooster, reserveringen, omzet): zolang de koppeling actief is en de onderliggende dienst dit vereist; verwijderd op verzoek van de verwerkingsverantwoordelijke onderneming.
• Factuur- en administratiegegevens: 7 jaar (wettelijke fiscale bewaarplicht).

U heeft op grond van de AVG het recht op:

• inzage in uw persoonsgegevens;
• rectificatie (correctie) van onjuiste gegevens;
• verwijdering (“recht op vergetelheid”);
• beperking van de verwerking;
• bezwaar tegen verwerking op grond van gerechtvaardigd belang;
• overdraagbaarheid van gegevens (dataportabiliteit);
• intrekken van eerder gegeven toestemming.

Een verzoek kunt u indienen via hello@horecagpt.com. Wij reageren binnen de wettelijke termijn van één maand. Bent u medewerker of gast van een horecaonderneming die het Platform gebruikt? Richt uw verzoek dan in beginsel tot die onderneming (de verwerkingsverantwoordelijke); wij ondersteunen hen daarbij.

U heeft tevens het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Wanneer wij namens een horecaonderneming personeels-, reserverings- of omzetgegevens verwerken, doen wij dat uitsluitend op basis van haar instructies en onder een verwerkersovereenkomst (art. 28 AVG). Daarin zijn onder meer afspraken vastgelegd over geheimhouding, beveiliging, inschakeling van subverwerkers, ondersteuning bij rechten van betrokkenen, en teruggave of verwijdering van gegevens na afloop van de overeenkomst.

Wij nemen passende technische en organisatorische maatregelen, waaronder versleuteling van inloggegevens en gevoelige instellingen, versleutelde verbindingen (TLS), toegang op basis van rollen (RBAC), pseudonimisering van namen richting AI-modellen, en logging. Mocht zich onverhoopt een datalek voordoen, dan handelen wij conform de meldplicht datalekken.

Wij gebruiken uitsluitend functionele en strikt noodzakelijke cookies om het Platform te laten werken (zoals een inlog-sessiecookie). Hiervoor is geen toestemming vereist. Wij plaatsen geen tracking- of advertentiecookies van derden.

Wij kunnen deze privacyverklaring van tijd tot tijd aanpassen. De actuele versie staat altijd op deze pagina, met de datum van laatste wijziging bovenaan. Bij ingrijpende wijzigingen informeren wij u actief.

Vragen over deze privacyverklaring of over de verwerking van uw gegevens? Neem contact op via hello@horecagpt.com.