Privacyverklaring

Forgewise B.V. (hierna: Forgewise) verwerkt persoonsgegevens binnen het Forgewise Assessment Platform. In de meeste gevallen is Forgewise hierbij verwerkingsverantwoordelijke: wij bepalen zelf het doel en de middelen van de verwerking. Voeren wij een assessment uit in opdracht van en onder instructie van een klant, dan kan Forgewise optreden als verwerker namens die klant; in dat geval gelden aanvullende afspraken uit de overeenkomst met de klant.

Wij hebben geen functionaris gegevensbescherming (FG) aangesteld; dit is voor onze organisatie niet wettelijk verplicht.

Voor vragen of verzoeken over uw gegevens: privacy@forgewise.ai

Voor de werking van het platform schakelen wij de volgende dienstverleners in. Afhankelijk van de situatie zijn dit verwerkers (wanneer Forgewise verwerkingsverantwoordelijke is) of subverwerkers (wanneer Forgewise zelf optreedt als verwerker namens een klant). Met Hetzner, Amazon Web Services (AWS) en Scaleway hebben wij een verwerkersovereenkomst gesloten. Alle drie verwerken de gegevens binnen de Europese Economische Ruimte (EER).

Vóór elke AI-stap passen wij dataminimalisatie toe. Onze privacyfilter vervangt automatisch uw bedrijfsnaam, uw websiteadres en de gegevens van uw contactpersoon (naam, e-mailadres en telefoonnummer), en de namen van medewerkers die bij een vragenlijst per afdeling zijn vastgelegd. Daarnaast vervangt de filter andere e-mailadressen en, voor zover hij ze herkent, rekeningnummers (IBAN), burgerservicenummers en KvK-nummers. Andere namen, bijvoorbeeld van collega's die in een document of antwoord worden genoemd, kent de filter niet en vervangt hij dus niet. Een gescande of gefotografeerde vragenlijst kan de filter niet lezen; die gaat ongefilterd naar de AI en staat zo ook in het verwerkingslog. De AI krijgt wat nodig is voor de analyse: uw antwoorden en gespreksnotities, de tekst van webpagina's en documenten bij het traject en, bij een bedrijfsfoto, de antwoorden van medewerkers. Omdat velden met vrije tekst en geüploade documenten alsnog herleidbare informatie kunnen bevatten, spreken wij van geminimaliseerde in plaats van volledig geanonimiseerde gegevens.

Sinds 3 oktober 2026 leggen wij elke AI-stap vast in een verwerkingslog. Per stap staat daarin welke dienst, welk model en welke regio zijn gebruikt, hoeveel bronnen zijn meegestuurd en hoeveel gegevens per categorie vooraf zijn vervangen. Zo kunnen wij per klanttraject laten zien hoe de dataminimalisatie is toegepast, zonder de vervangen gegevens zelf te bewaren. Het overzicht staat als laatste bijlage in het rapport.

Het platform biedt de consultant daarnaast een trajectchat: een vraag-en-antwoordfunctie over de vastgelegde kennis van een assessment. De vragen van de consultant en de antwoorden worden per assessment opgeslagen en volgen dezelfde bewaartermijn als de inhoud van dat assessment. Vóór de AI-verwerking passen wij op de vraag en de meegestuurde trajectkennis dezelfde dataminimalisatie toe: ze gaan door dezelfde privacyfilter. De verwerking loopt via dezelfde EU-route als de overige AI-stappen, en elke vraag aan de AI staat in het hierboven genoemde verwerkingslog, niet in de bijlage bij het rapport.

De AI-analyse via Amazon Bedrock loopt over een EU-profiel dat uitsluitend naar AWS-regio's binnen de EU routeert (Duitsland, Ierland, Frankrijk, Zweden, Italië en Spanje). Daarmee blijft de verwerking binnen de EER; het platform dwingt deze EU-route technisch af. Ook hosting en e-mail blijven binnen de EER. Is doorgifte buiten de EER ooit nodig, dan treffen wij vooraf passende waarborgen, zoals EU-modelcontractbepalingen (Standard Contractual Clauses). Deze pagina passen wij dan ook aan.

Wij verkopen uw gegevens niet en verstrekken deze niet aan derden voor hun eigen doeleinden. Amazon Bedrock gebruikt de input en output niet om modellen te trainen en deelt deze niet met de modelaanbieder. Wij kunnen de gegevens wel gebruiken om onze dienstverlening en de kwaliteit van onze analyses te verbeteren. Dat geldt niet voor de antwoorden van medewerkers op de vragenlijst per afdeling: die gebruiken wij alleen voor het traject van hun eigen werkgever.

Binnen Forgewise hebben alleen bevoegde medewerkers toegang tot uw gegevens, op basis van hun rol: de betrokken consultant(s), platformbeheerders en, waar nodig voor ondersteuning, technisch beheer. Toegang is beperkt via role-based access control en wordt vastgelegd in het audit-log.

• Actieve klantdossiers: voor de duur van de opdracht
• Inhoud van assessments (antwoorden, notities, AI-aanbevelingen, kennisbronnen en bedrijfsfoto): tot 12 maanden na de laatste meting, zodat wij bij een hermeting (een nieuwe meting om de voortgang te zien) kunnen vergelijken met eerdere metingen. Is er een hermeting afgesproken, dan bewaren wij de inhoud tot die is gedaan; daarna geldt weer 12 maanden na die meting. Op uw verzoek verwijderen wij deze inhoud eerder.
• Antwoorden van medewerkers op de vragenlijst per afdeling en de naam en het e-mailadres bij hun persoonlijke link: automatisch verwijderd 12 maanden na afronding van het traject
• Geüploade documenten: het bestand zelf bewaren wij niet, alleen de tekst die wij eruit halen. Die tekst valt onder dezelfde termijn als de inhoud van assessments.
• Administratieve gegevens (contracten, offertes, facturen): 7 jaar, op grond van de wettelijke fiscale bewaarplicht
• Toegangslogs van de webserver: 30 dagen, daarna verwijderd
• Audit-log: 12 maanden, daarna gepseudonimiseerd voor statistiek
• Overzicht van verzonden e-mails (ontvanger, onderwerp, tijdstip): 12 maanden, daarna automatisch verwijderd
• Vragen en antwoorden uit de websitechat (zonder IP-adres, niet gekoppeld aan bezoekers): 12 maanden, daarna automatisch verwijderd
• Deellinks naar het rapport en de bedrijfsfoto: standaard 90 dagen, daarna verlopen ze automatisch. De consultant kan een andere termijn instellen, tot 12 maanden. Elke deellink is beveiligd met een eigen pincode, die u apart van de link ontvangt.

Na afloop van de klantrelatie verwijderen of anonimiseren wij de persoonsgegevens binnen de hierboven genoemde termijnen, behalve waar een wettelijke bewaarplicht geldt. Op verzoek leveren wij de gegevens vooraf in een gangbaar formaat aan of verwijderen wij deze eerder, voor zover geen bewaarplicht in de weg staat.

U heeft het recht op:

• Inzage in welke gegevens we van u verwerken (Art. 15)
• Rectificatie of aanvulling van onjuiste gegevens (Art. 16)
• Wissing (“recht om vergeten te worden”) voor zover geen bewaarplicht geldt (Art. 17)
• Beperking van de verwerking (Art. 18)
• Dataportabiliteit: uw gegevens in een gestructureerd formaat ontvangen (Art. 20)
• Bezwaar tegen verwerking op grond van gerechtvaardigd belang (Art. 21)

Stuur uw verzoek naar privacy@forgewise.ai. Wij reageren zo snel mogelijk, in de regel binnen 5 werkdagen en uiterlijk binnen de wettelijke termijn van één maand. U heeft tevens het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.