Privacybeleid

Twee rollen: onze klanten en hun klanten

Voor de mensen die zich bij Winnen aanmelden en het voor hun werk gebruiken — ondernemers en hun teamleden — is Winnen de verwerkingsverantwoordelijke.

Voor de klanten van die bedrijven (de mensen die hen sms'en, bellen, mailen of een afspraak bij hen boeken) is het bedrijf de verwerkingsverantwoordelijke en verwerkt Winnen die gegevens namens het bedrijf, als verwerker. Ben je klant van een bedrijf dat Winnen gebruikt, neem dan eerst contact op met dat bedrijf over jouw gegevens; wij helpen het bedrijf om je verzoek te beantwoorden.

Wat we verzamelen

• Accountgegevens: naam, e-mailadres, telefoonnummer, wachtwoord (opgeslagen als hash), taal en rol binnen het bedrijf.
• Bedrijfsgegevens: bedrijfsnaam, adres, openingstijden, diensten, teamleden en instellingen die je invoert.
• Communicatie-inhoud: sms-berichten, e-mails, webchatberichten, interne notities, gespreksgegevens (wie wie belde, wanneer en hoelang) en — indien het bedrijf dat heeft ingeschakeld — gespreksopnames, voicemails en transcripties.
• Contactgegevens: namen, telefoonnummers, e-mailadressen en andere gegevens die een bedrijf over zijn klanten opslaat.
• Afspraken, facturen en betalingsstatus. Kaartbetalingen worden afgehandeld door Stripe; Winnen ziet of bewaart nooit volledige kaartnummers.
• Reviews en reacties op reviews, wanneer een bedrijf zijn Google Business Profile koppelt.
• Apparaat- en appgegevens: pushnotificatietokens, apparaattype, appversie en diagnostische logbestanden die nodig zijn om gesprekken en meldingen betrouwbaar te bezorgen.
• Websitegegevens: als je analytische cookies op winnen.app accepteert, meet Google Analytics de bezoeken. Zonder jouw toestemming worden er geen analytische cookies geplaatst.

Microfoon, gesprekken en meldingen

De Winnen-app gebruikt je microfoon alleen tijdens een gesprek dat je start of beantwoordt en — als je die functie gebruikt — voor spraakdictaat terwijl je een antwoord typt. De app luistert niet mee op de achtergrond.

Om je telefoon te laten overgaan bij inkomende zakelijke gesprekken gebruikt de app Apple VoIP-push en CallKit (iOS) en Firebase Cloud Messaging (Android). Deze diensten ontvangen een apparaattoken en de minimale gespreksgegevens die nodig zijn om het inkomende gesprek te tonen.

Hoe we gegevens gebruiken

• Om de dienst te leveren: gesprekken en berichten routeren, de gedeelde inbox tonen, de berichten versturen die je schrijft, afspraken inplannen en betaal- en reviewverzoeken versturen.
• Om AI-functies te laten draaien die een bedrijf inschakelt: gesprekken beantwoorden, gesprekken samenvatten en antwoordsuggesties opstellen. De AI-verwerking vindt plaats op onze eigen infrastructuur en die van onze telefonieprovider Telnyx.
• Om Winnen veilig en werkend te houden: misbruik voorkomen, fouten verhelpen en logbestanden bijhouden.
• Om met je te communiceren over je account, facturatie en belangrijke wijzigingen.
• Om te voldoen aan wettelijke verplichtingen, zoals belasting- en boekhoudregels.

Rechtsgronden

We verwerken account- en bedrijfsgegevens voor de uitvoering van de overeenkomst met jou (art. 6 lid 1 sub b AVG), beveiligings- en verbeteringsgegevens op grond van ons gerechtvaardigd belang (art. 6 lid 1 sub f AVG), websiteanalyse uitsluitend met jouw toestemming (art. 6 lid 1 sub a AVG) en gegevens die we wettelijk moeten bewaren op grond van art. 6 lid 1 sub c AVG. Voor gegevens die we als verwerker verwerken, bepaalt het bedrijf dat Winnen gebruikt de rechtsgrond.

Met wie we gegevens delen

We verkopen geen persoonsgegevens. We delen ze alleen met dienstverleners die ons helpen Winnen te laten draaien, op basis van verwerkersovereenkomsten:

• Hetzner — serverhosting en databases, in Duitsland (EU).
• Telnyx — telefoonnummers, gesprekken, sms, gespreksopnames, transcriptie en AI-spraak. Telnyx kan gegevens verwerken in de Verenigde Staten.
• Mailgun — het versturen en ontvangen van e-mail, EU-regio.
• Stripe — betalingen en uitbetalingen voor bedrijven die betalingen accepteren.
• Google — synchronisatie met Google Calendar en reviews van Google Business Profile wanneer een bedrijf die koppelt, Firebase Cloud Messaging voor Android-meldingen en Google Analytics op onze website met toestemming.
• Apple — pushnotificaties en CallKit op iOS.

Doorgifte naar landen buiten de EU

Wanneer een dienstverlener gegevens buiten de Europese Economische Ruimte verwerkt — bijvoorbeeld Telnyx in de Verenigde Staten — baseren we ons op het EU-VS Data Privacy Framework indien de dienstverlener daarvoor is gecertificeerd, of op de modelcontractbepalingen van de Europese Commissie, samen met aanvullende waarborgen waar nodig.

Hoelang we gegevens bewaren

We bewaren account-, bedrijfs- en communicatiegegevens zolang het Winnen-account van het bedrijf actief is, omdat de inboxgeschiedenis deel uitmaakt van de dienst. Ruwe kopieën van binnenkomende e-mails worden na 90 dagen verwijderd. Gespreksopnames en AI-transcripties volgen de bewaartermijn die het bedrijf instelt. Wanneer een account wordt opgeheven, verwijderen of anonimiseren we de gegevens binnen 30 dagen, behalve wanneer de wet ons verplicht ze langer te bewaren (bijvoorbeeld facturen, die we op grond van de Nederlandse belastingwetgeving 7 jaar bewaren).

Beveiliging

Gegevens zijn tijdens verzending versleuteld (HTTPS/TLS), wachtwoorden worden als hash opgeslagen, toegang is beperkt tot medewerkers die die nodig hebben en de gegevens van elk bedrijf worden gescheiden gehouden van die van alle andere bedrijven. Webhooks van providers worden op handtekening gecontroleerd voordat we ze verwerken.

Jouw rechten

Je hebt het recht om je persoonsgegevens in te zien, te laten corrigeren of te laten verwijderen, de verwerking ervan te laten beperken of daartegen bezwaar te maken, en om ze in een overdraagbaar formaat te ontvangen. Waar we ons baseren op toestemming, kun je die op elk moment intrekken. Om deze rechten uit te oefenen — ook om je Winnen-account te laten verwijderen — mail je ons via hello@winnen.app. We reageren binnen één maand.

Je hebt ook het recht om een klacht in te dienen bij een toezichthoudende autoriteit voor gegevensbescherming. In Nederland is dat de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Kinderen

Winnen is een zakelijk hulpmiddel en is niet bedoeld voor kinderen jonger dan 16 jaar. We verzamelen niet bewust hun gegevens.

Wijzigingen in dit beleid

We kunnen dit beleid bijwerken naarmate Winnen verandert. De datum bovenaan toont de laatste versie. Als een wijziging de manier waarop we je gegevens gebruiken wezenlijk beïnvloedt, informeren we accounthouders per e-mail of in de app.