Privacybeleid

1. Verwerkings­verantwoordelijke

De verwerkings­verantwoordelijke voor je persoonsgegevens is SOCIALWORLD CommV, handelsnaam Noble Matter en Kollaborate, KBO 0794.495.920, BTW BE0794.495.920, RPR/RLE Antwerpen, maatschappelijke zetel Krijgsbaan 11, 2640 Mortsel (kantoor: Frankrijklei 5, 2000 Antwerpen).

Voor vragen over gegevensbescherming contacteer je ons via: info@kollaborate.app.

Kollaborate heeft op dit moment geen aangestelde Functionaris voor Gegevensbescherming (FG/DPO). Vragen en verzoeken rond je persoonsgegevens worden behandeld via info@kollaborate.app.

2. Welke persoonsgegevens we verwerken

2.1 Accountgegevens (alle gebruikers)

• Naam, voornaam, e-mailadres
• Profielfoto (optioneel)
• Telefoonnummer (optioneel)
• Rol op het platform (bedrijf of creator)
• Wachtwoord (versleuteld opgeslagen via Supabase Auth, nooit leesbaar voor ons)
• Inloggeschiedenis en sessiegegevens

2.2 Bedrijfsgegevens

• Bedrijfsnaam en handelsnaam
• KBO/ondernemingsnummer (geverifieerd via de KBO-databank)
• BTW-nummer
• Sector en activiteitsomschrijving
• Adres van de vestiging
• Factuurgegevens voor abonnement en platformfees

2.3 Creator-gegevens

• Instagram- en/of TikTok-handle (gebruikersnaam)
• Publieke account-statistieken (volgersaantal, engagement, bereik), opgehaald via de officiële API's van Meta en TikTok
• Niche en inhoudsstijl (door de creator zelf opgegeven)
• Locatie (stad/regio, door de creator zelf opgegeven)
• Uitbetalingsgegevens: bankrekening of Stripe Express-account (via Stripe, niet rechtstreeks bij ons opgeslagen)
• Adresgegevens (straat, postcode, gemeente) en fiscaal statuut, nodig om een uitbetaling te kunnen doen en te kunnen factureren
• Rijksregisternummer, uitsluitend bij creators zonder ondernemingsnummer. Dit is in België het fiscaal identificatienummer van een natuurlijke persoon en wij hebben het nodig om te voldoen aan de rapporteringsplicht van richtlijn (EU) 2021/514 (DAC7). Wij verwerken het alleen voor dat doel, geven het uitsluitend door aan de Belgische belastingadministratie, en gebruiken het nergens anders in de dienst. Heb je een ondernemingsnummer, dan vragen wij dit niet.
• Geboortedatum, eveneens uitsluitend voor de DAC7-rapportering

2.4 Samenwerkings- en transactiegegevens

• Aangeboden en aanvaarde samenwerkingen, inclusief briefs en tegenvoorstellen
• Berichtenwisseling via de in-app chat
• Geleverde content (links, uploads) en goedkeuringsstatus
• Betalingsgegevens van samenwerkingen: bedragen, transactie-ID's, statussen (via Stripe, geen kaartgegevens bij ons)
• Beoordelingen en reviews na afloop van een samenwerking

2.5 Gebruiksgegevens en platformstatistieken

• Anonieme pageview-statistieken via Vercel Web Analytics. Het gebruikt geen cookies en verwerkt geen persoonsgegevens; er is geen individuele identificatie mogelijk.
• Beperkte gedragsanalyse via Microsoft Clarity op publieke websitepagina's, zoals scrollgedrag, klikpatronen, heatmaps en sessierecordings, enkel na jouw toestemming voor statistieken. Gevoelige content blijft gemaskeerd. Dit gebruiken wij om de website bruikbaarder te maken, niet voor advertentietargeting.
• Advertentiemeting via de Meta-pixel op publieke websitepagina's: welke pagina's je bekijkt en of je via een advertentie op Facebook of Instagram binnenkwam. Enkel na jouw aparte toestemming voor marketing. Zie het cookiebeleid, punt 4.
• Technische logs (foutmeldingen, performance) voor beveiliging en stabiliteit

2.6 Support- en contactcommunicatie

• Wanneer je een vraag stelt via ons support- of contactformulier of per e-mail: je naam (optioneel), e-mailadres, de categorie en inhoud van je bericht, en beperkte technische context (de pagina van waaruit je schreef en je browsertype) om je vraag correct te kunnen behandelen.
• Deze gegevens worden gebruikt om je te helpen en om de kwaliteit van onze dienstverlening te bewaken (rechtsgrond: uitvoering van de overeenkomst en/of ons gerechtvaardigd belang bij klantondersteuning).

3. Doeleinden en rechtsgronden van de verwerking

3.1 Uitvoering van de overeenkomst (Art. 6, lid 1, b) AVG)

• Aanmaken en beheren van accounts
• Matching tussen bedrijven en creators
• Verwerken van betalingen en uitbetalingen
• Communicatie via in-app chat
• Verificatie van KBO-inschrijving en sociale-media-profielen
• Beheer van abonnementen, proefperiodes en promotiecodes

3.2 Wettelijke verplichting (Art. 6, lid 1, c) AVG)

• Bijhouden van boekhoudkundige stukken (Wet van 17 juli 1975 betreffende de boekhouding van de ondernemingen, zeven jaar bewaartermijn)
• KYC- en AML-controles door Stripe overeenkomstig de Wet van 18 september 2017 ter voorkoming van het witwassen van geld en de financiering van terrorisme
• DAC7-rapportering aan de Belgische belastingadministratie (richtlijn (EU) 2021/514, omgezet in artikel 321quater en volgende WIB 92). Als platformexploitant moeten wij jaarlijks doorgeven wie via Kollaborate een vergoeding ontving, om welk bedrag het ging en met welk identificatienummer. Daarvoor verwerken wij het rijksregisternummer of ondernemingsnummer, de geboortedatum, het adres en de uitbetaalde bedragen. Dit is een wettelijke verplichting: zonder deze gegevens kunnen wij niet uitbetalen.
• Medewerking aan bevoegde autoriteiten bij een wettelijk bevel

3.3 Gerechtvaardigd belang (Art. 6, lid 1, f) AVG)

• Detectie en preventie van fraude, nep-accounts en misbruik (belang: integriteit van het platform en bescherming van andere gebruikers)
• Beveiligingsmonitoring en audit logs (belang: beveiliging van het platform en de gegevens van gebruikers)
• Technische verbetering van het platform op basis van geanonimiseerde gebruiksstatistieken

3.4 Toestemming (Art. 6, lid 1, a) AVG)

• Nieuwsbrieven en marketingcommunicatie per e-mail worden alleen verstuurd na uitdrukkelijke, afzonderlijke toestemming. Je kan deze toestemming op elk moment intrekken via de afmeldlink onderaan elke mail of door contact op te nemen via info@kollaborate.app.

4. Ontvangers en verwerkers

Wij werken samen met de volgende verwerkers die in onze naam persoonsgegevens verwerken. Met elke verwerker is een verwerkersovereenkomst gesloten conform Art. 28 AVG:

4.1 Verwerkers met opslag binnen de EU/EER

• Supabase (databank, AWS eu-central-1 / Frankfurt, Duitsland): opslag van accountgegevens, samenwerkingen, chatberichten en geuploade bestanden. De gegevens staan in de EU. De verwerkersovereenkomst wordt gesloten met Supabase Pte. Ltd., gevestigd in Singapore, en voor de toegang door het bedrijf zelf gelden de standaardcontractbepalingen (module 2) uit die overeenkomst.
• Upstash (AWS eu-central-1 / Frankfurt, Duitsland): snelheidslimiet op onze publieke formulieren en API's, om misbruik en geautomatiseerd bevragen tegen te gaan. Bewaart tijdelijk een teller per IP-adres, niet langer dan enkele minuten. Grondslag: gerechtvaardigd belang (beveiliging), art. 6.1.f AVG.
• Sentry (regio Duitsland, de.sentry.io): foutrapportage vanuit de app. Alleen met jouw toestemming, in te stellen via Profiel › Meetvoorkeuren. Ingesteld zonder persoonsgegevens (sendDefaultPii: false).

4.2 Verwerkers buiten de EU/EER

Voor doorgifte buiten de EER steunen wij op de passende waarborgen in de verwerkersovereenkomst van elke partij: de standaardcontractbepalingen van de Europese Commissie (Uitvoeringsbesluit (EU) 2021/914), en waar de verwerker daarnaast gecertificeerd is onder het EU-VS Data Privacy Framework, op het adequaatheidsbesluit (EU) 2023/1795. Een kopie van de toepasselijke waarborgen kun je opvragen via info@kollaborate.app.

• Vercel Inc. (VS): hosting van de website en de webapp. Verwerkt verzoeklogboeken die IP-adressen kunnen bevatten, en levert cookieloze bezoekersstatistieken zonder individuele identificatie.
• Plus Five Five, Inc. (Resend, VS): verzending van transactionele e-mail (bevestiging, wachtwoordherstel, meldingen). Verwerkt e-mailadressen en de inhoud van die berichten.
• PostHog Inc. (VS, met opslag op de EU-host eu.i.posthog.com): productanalyse in de webapp. Meet welke stappen gebruikers zetten en koppelt dat aan een gebruikers-id. Uitsluitend met jouw toestemming, in te stellen via Profiel › Meetvoorkeuren.
• Microsoft Ireland Operations Ltd. (Microsoft Clarity): meet hoe bezoekers door de publieke websitepagina's scrollen en klikken, inclusief opnames van die bewegingen. Uitsluitend na jouw toestemming via de cookiebanner; weiger je, dan wordt het script niet geladen.
• Meta Platforms Ireland Ltd. (Meta-pixel): meet welke advertentie op Facebook of Instagram tot een bezoek of aanmelding leidt. Uitsluitend na jouw toestemming voor marketing. Voor het verzamelen en doorgeven via de pixel zijn wij en Meta gezamenlijk verantwoordelijk; wat Meta daarna met de gegevens doet, valt onder Meta alleen. Meta kan gegevens doorgeven aan de VS onder het EU-VS-gegevensprivacykader.
• RevenueCat Inc. (VS): beheer van abonnementen die via de App Store of Google Play gekocht worden. Verwerkt een app-gebruikers-id en de status van je abonnement, geen betaalgegevens.
• Apple Inc. en Google Ireland Ltd.: in-app aankopen. Bij een aankoop via de winkel is de winkel zelf de verkoper; wij ontvangen enkel de status van je abonnement, nooit je betaalgegevens.
• Expo (650 Industries, Inc.) (VS): bouwen en uitleveren van app-updates. Verwerkt technische gegevens over toestel en app-versie bij het ophalen van een update.
• Meta Platforms Ireland Ltd. (Instagram Graph API) en TikTok Technology Ltd. (TikTok API): opvragen van publieke profielstatistieken van creator-accounts, enkel wanneer een creator zijn account zelf koppelt.

4.3 Stripe: verwerker én zelfstandige verwerkings­verantwoordelijke

Stripe Payments Europe Ltd. (Ierland) verwerkt de betalingen tussen zaken en creators en de uitbetalingen via Stripe Connect Express. Stripe is PCI DSS Level 1-gecertificeerd. Wij slaan zelf geen kaartgegevens op.

Belangrijk om te weten: Stripe is niet voor alles onze verwerker. Voor een aantal doeleinden bepaalt Stripe zelf het doel en de middelen, en is Stripe dus zelfstandige verwerkingsverantwoordelijke: de keuze van banken en betaalmethodeleveranciers, fraudepreventie, antiwitwas- en identiteitscontroles (KYC), eigen facturatie en productverbetering. Voor die verwerkingen gelden Stripe's eigen privacyvoorwaarden, en niet de onze.

Stripe's privacybeleid staat op stripe.com/be/privacy.

Wij verkopen je persoonsgegevens nooit aan derden voor marketingdoeleinden.

5. Bewaartermijnen

6. Jouw rechten als betrokkene

Onder de AVG (Algemene Verordening Gegevensbescherming, Verordening (EU) 2016/679) heb je de volgende rechten:

• Recht van inzage (Art. 15 AVG): je mag opvragen welke persoonsgegevens wij over je verwerken en een kopie ontvangen.
• Recht op rectificatie (Art. 16 AVG): onvolledige of onjuiste gegevens laten corrigeren.
• Recht op gegevenswissing (Art. 17 AVG): je persoonsgegevens laten verwijderen (“recht op vergetelheid”), tenzij wettelijke bewaartermijnen van toepassing zijn.
• Recht op beperking van de verwerking (Art. 18 AVG): verwerking tijdelijk laten stopzetten terwijl een geschil wordt onderzocht.
• Recht op gegevensoverdraagbaarheid (Art. 20 AVG): je gegevens ontvangen in een machine-leesbaar formaat of laten overdragen aan een andere dienstverlener.
• Recht van bezwaar (Art. 21 AVG): bezwaar maken tegen verwerking op basis van gerechtvaardigd belang, in het bijzonder voor marketingdoeleinden.
• Recht op intrekking van toestemming (Art. 7, lid 3 AVG): gegeven toestemming (bv. marketing) op elk moment intrekken zonder gevolgen voor de rechtmatigheid van de verwerking tot aan de intrekking.

Stuur je verzoek naar info@kollaborate.app. Wij beantwoorden je verzoek binnen dertig (30) kalenderdagen na ontvangst. Wij kunnen je identiteit verifiëren alvorens te antwoorden.

7. Klacht bij de Gegevens­beschermings­autoriteit

Indien je van oordeel bent dat de verwerking van je persoonsgegevens een inbreuk vormt op de AVG, heb je het recht een klacht in te dienen bij de bevoegde toezichthoudende autoriteit. In België is dit de Gegevens­beschermings­autoriteit (GBA):

• Website: gegevens­beschermings­autoriteit.be
• Adres: Drukpersstraat 35, 1000 Brussel
• E-mail: contact@apd-gba.be
• Telefoon: +32 2 274 48 00

Je kan ook een klacht indienen bij de toezichthoudende autoriteit van de EU-lidstaat waar je gewoonlijk verblijft of werkt.

8. Beveiliging van persoonsgegevens

Wij passen passende technische en organisatorische maatregelen toe om je persoonsgegevens te beschermen tegen ongeoorloofde toegang, verlies, vernietiging of openbaarmaking, waaronder:

• Versleuteling van gegevensoverdracht via TLS (HTTPS)
• Versleuteling van gegevens at rest (AES-256, via Supabase/AWS)
• Rolgebaseerde toegangscontrole (geen medewerker heeft bredere toegang dan nodig)
• Gehasht en gezouten wachtwoordopslag via Supabase Auth (bcrypt)
• Beveiligings- en toegangslogs met bewaartermijn van 12 maanden
• Datacenters in de EU (Frankfurt) voor de primaire database

9. Cookies en trackingtechnologieën

Wij gebruiken een beperkt aantal strikt noodzakelijke cookies voor loginbeheer. Voor publieke websiteanalyse gebruiken wij Vercel Web Analytics en, na jouw toestemming, Microsoft Clarity. Om onze advertenties te meten gebruiken wij, enkel na jouw aparte toestemming voor marketing, de Meta-pixel. Andere advertentiecookies of remarketingpixels gebruiken wij niet. Meer informatie vind je in ons Cookiebeleid.

10. Geautomatiseerde besluitvorming en profilering

Artikel 13, lid 2, f) AVG verplicht ons te zeggen of wij beslissingen over jou volledig automatisch nemen. Dat doen wij niet. Er is geen geautomatiseerde besluitvorming in de zin van artikel 22 AVG: geen enkel besluit met rechtsgevolgen of vergelijkbare aanzienlijke gevolgen voor jou wordt zonder tussenkomst van een mens genomen.

Concreet betekent dat:

• Wie wordt goedgekeurd als creator of als zaak, wie een uitbetaling krijgt, en wiens account wordt beperkt of afgesloten: dat beslist telkens een mens die naar het dossier gekeken heeft.
• Wij berekenen geen betrouwbaarheidsscore, kredietscore of fraudescore over jou.
• Wij leiden geen profiel af uit je gedrag om je persoonlijkheid, interesses of betrouwbaarheid te voorspellen, en wij verkopen zo'n profiel dus ook aan niemand.

Er gebeurt wél een en ander automatisch. Omdat "geen geautomatiseerde besluitvorming" anders makkelijk klinkt als "er gebeurt niets automatisch", staat hieronder wat dat is:

• De volgorde waarin creators en aanbiedingen verschijnen. Die komt uit vaste regels, niet uit een model dat uit je gedrag leert. De parameters staan in de app op de pagina "Zo bepalen we de volgorde", bereikbaar vanaf de lijst in Ontdek.
• Een automatische controle op chatberichten. Een klein aantal categorieën wordt geweigerd op het moment dat je verstuurt: seksuele inhoud in combinatie met minderjarigheid, vragen om naaktbeeld, en seks als tegenprestatie voorstellen. Je krijgt dat meteen te zien en het bericht wordt niet opgeslagen. Een tweede, ruimere groep berichten gaat gewoon door maar krijgt een markering voor onze medewerkers, bijvoorbeeld wanneer er een rekeningnummer in staat of wanneer er buiten het platform om betaald lijkt te worden. Zo'n markering hangt aan het bericht, niet aan jou: er komt geen aantekening in je profiel en er volgt geen automatisch gevolg.
• Snelheidslimieten. Wie in korte tijd ongewoon veel verzoeken doet, krijgt tijdelijk een foutmelding. Dat beschermt de dienst tegen misbruik en verdwijnt vanzelf.
• Herinneringen en meldingen. Berichten over een aflopende termijn, een nieuwe reactie of een uitbetaling worden automatisch verstuurd op basis van wat er in je dossier gebeurt.

Ben je het niet eens met iets dat automatisch gebeurde, dan kun je altijd een mens laten kijken via info@kollaborate.app. Gaat het om een beslissing over inhoud die wij verwijderd of geweigerd hebben, dan geldt daarnaast de beroepsprocedure uit ons DSA-beleid.

11. Wijzigingen aan dit privacybeleid

Wij kunnen dit privacybeleid aanpassen om actuele verwerkingspraktijken of wettelijke vereisten te weerspiegelen. Bij ingrijpende wijzigingen sturen we je een kennisgeving per e-mail. De datum van de laatste aanpassing staat bovenaan deze pagina. Wij raden aan dit beleid periodiek te raadplegen.