Privacyverklaring

Forgewise B.V. (hierna: Forgewise) verwerkt persoonsgegevens binnen het Forgewise Assessment Platform. In de meeste gevallen is Forgewise hierbij verwerkingsverantwoordelijke: wij bepalen zelf het doel en de middelen van de verwerking. Voeren wij een assessment uit in opdracht van en onder instructie van een klant, dan kan Forgewise optreden als verwerker namens die klant; in dat geval gelden aanvullende afspraken uit de overeenkomst met de klant.

Wij hebben geen functionaris gegevensbescherming (FG) aangesteld; dit is voor onze organisatie niet wettelijk verplicht.

Voor vragen of verzoeken over uw gegevens: privacy@forgewise.ai

Voor de werking van het platform schakelen wij de volgende dienstverleners in. Afhankelijk van de situatie zijn dit verwerkers (wanneer Forgewise verwerkingsverantwoordelijke is) of sub-verwerkers (wanneer Forgewise zelf optreedt als verwerker namens een klant). Met Hetzner en AWS hebben wij een verwerkersovereenkomst gesloten. Met overige partijen maken wij passende contractuele afspraken over de verwerking van gegevens, aangevuld met afspraken over doorgifte wanneer gegevens buiten de Europese Economische Ruimte (EER) worden verwerkt.

Voorafgaand aan AI-verwerking passen wij dataminimalisatie toe: direct identificerende gegevens zoals namen, e-mailadressen en telefoonnummers worden waar mogelijk verwijderd of vervangen via onze privacy-filter. In de praktijk bereiken vooral branche, bedrijfsgrootte en assessment-antwoorden de AI-dienst. Omdat vrije-tekstvelden en geüploade documenten alsnog herleidbare informatie kunnen bevatten, spreken wij van geminimaliseerde in plaats van volledig geanonimiseerde gegevens.

Elke AI-aanroep leggen wij vast in een verwerkingslog: welke dienst, welk model, in welke regio, hoeveel bronnen zijn meegestuurd en hoeveel persoonsgegevens per categorie zijn gestript. Zo is de geminimaliseerde verwerking per klanttraject aantoonbaar, zonder dat de gestripte waarden zelf worden bewaard.

Het platform biedt de consultant daarnaast een traject-chat: een vraag-en-antwoordfunctie over de vastgelegde kennis van een assessment. De vragen van de consultant en de antwoorden worden per assessment opgeslagen en volgen dezelfde bewaartermijn als de inhoud van dat assessment. Vóór de AI-verwerking passen wij op de vraag en de meegestuurde trajectkennis dezelfde dataminimalisatie toe: direct identificerende gegevens zoals namen, e-mailadressen en telefoonnummers worden waar mogelijk via onze privacy-filter verwijderd. De verwerking loopt via dezelfde EU-route als de overige AI-stappen en elke aanroep wordt vastgelegd in het hierboven genoemde verwerkingslog.

De AI-analyse via Amazon Bedrock vindt plaats in de EU-regio Frankfurt (eu-central-1) en blijft daarmee binnen de EER; deze EU-route is technisch afgedwongen in het platform. Voor doorgifte van gegevens buiten de EER (bijvoorbeeld naar de Verenigde Staten bij Resend) treffen wij passende waarborgen, zoals EU-modelcontractbepalingen (Standard Contractual Clauses, SCC), aanvullende contractuele afspraken en dataminimalisatie.

Wij verkopen uw gegevens niet en verstrekken deze niet aan derden voor hun eigen doeleinden. Amazon Bedrock gebruikt de input en output niet om modellen te trainen en deelt deze niet met de modelaanbieder. Forgewise kan de gegevens wel gebruiken om de eigen dienstverlening en de kwaliteit van de analyses te verbeteren.

Binnen Forgewise hebben alleen bevoegde medewerkers toegang tot uw gegevens, op basis van hun rol: de betrokken consultant(s), platformbeheerders en, waar nodig voor ondersteuning, technisch beheer. Toegang is beperkt via role-based access control en wordt vastgelegd in het audit-log.

• Actieve klantdossiers: voor de duur van de opdracht
• Inhoud van afgeronde assessments (antwoorden, notities, AI-aanbevelingen): maximaal 12 maanden na afronding, tenzij met de klant een kortere termijn is afgesproken
• Geüploade documenten en kennisbronnen: verwijderd na oplevering van het rapport, uiterlijk binnen 12 maanden
• Administratieve gegevens (contracten, offertes, facturen): 7 jaar, op grond van de wettelijke fiscale bewaarplicht
• Server-logs: 30 dagen, daarna IP-adres geanonimiseerd
• Audit-log: 12 maanden, daarna gepseudonimiseerd voor statistiek
• Rapport-deellinks: standaard 30 dagen, daarna automatisch verlopen. Voor de bedrijfsfoto (scan-rapport) kan de consultant een langere termijn instellen, tot maximaal 12 maanden

Na afloop van de klantrelatie verwijderen of anonimiseren wij de persoonsgegevens binnen de hierboven genoemde termijnen, behalve waar een wettelijke bewaarplicht geldt. Op verzoek leveren wij de gegevens vooraf in een gangbaar formaat aan of verwijderen wij deze eerder, voor zover geen bewaarplicht in de weg staat.

U heeft het recht op:

• Inzage in welke gegevens we van u verwerken (Art. 15)
• Rectificatie of aanvulling van onjuiste gegevens (Art. 16)
• Wissing (“recht om vergeten te worden”) voor zover geen bewaarplicht geldt (Art. 17)
• Beperking van de verwerking (Art. 18)
• Dataportabiliteit: uw gegevens in een gestructureerd formaat ontvangen (Art. 20)
• Bezwaar tegen verwerking op grond van gerechtvaardigd belang (Art. 21)

Stuur uw verzoek naar privacy@forgewise.ai. Wij reageren zo snel mogelijk, in de regel binnen 5 werkdagen en uiterlijk binnen de wettelijke termijn van één maand. U heeft tevens het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.