Privacybeleid
Veesie is een product van ClickForest. Dit privacybeleid legt uit welke persoonsgegevens we verwerken, waarom, en welke rechten je hebt. Versie 1.4, van kracht vanaf 10 oktober 2026.
1. Verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke voor Veesie is:
Manon BV (handelend onder de naam ClickForest)
Zwarte Leeuwstraat 78A, 2820 Bonheiden, België
Ondernemingsnummer / BTW: BE 0549.803.522
E-mail: hello@veesie.com
Website: veesie.com
2. Welke persoonsgegevens verwerken we?
| Categorie | Voorbeelden | Bron |
|---|---|---|
| Accountgegevens | E-mailadres, naam, gehasht wachtwoord | Je geeft ze zelf op bij registratie |
| Organisatiegegevens | Bedrijfsnaam, gekozen plan, onboarding-status | Aangemaakt bij eerste login |
| Gebruik van de dienst | Clients, prompts, run-resultaten, AI-antwoorden, tokens, kostprijs per call, en welke pagina's van het dashboard je opent en welke acties je er uitvoert (zoals een vraag toevoegen), zonder de inhoud ervan | Gegenereerd door gebruik van Veesie |
| Facturatie | Betalingsreferentie, Stripe-klant-ID | Via Stripe Checkout (enkel bij betaald plan) |
| Technische gegevens | IP-adres voor rate limiting (niet opgeslagen, behalve bij chatgesprekken: zie de rij hieronder), browser-sessie-token | Automatisch via Cloudflare Workers |
| Trial-hash | SHA-256-hash van het e-mailadres | Aangemaakt bij afronden van onboarding (zie sectie 5) |
| Chatgesprekken | Je vragen en de antwoorden van de chatassistent, het IP-adres, en bij de dashboardchat je e-mailadres | Wanneer je de chat op de website of in het dashboard gebruikt |
We verwerken geen bijzondere categorieën van persoonsgegevens (zoals gezondheidsgegevens, politieke opvattingen of biometrische gegevens).
3. Doelen en rechtsgronden
| Doel | Rechtsgrond (GDPR) |
|---|---|
| Levering van de dienst (dashboard, runs, analytics) | Art. 6(1)(b): uitvoering overeenkomst |
| Authenticatie en sessie-beheer | Art. 6(1)(b): uitvoering overeenkomst |
| Facturatie en abonnementsbeheer | Art. 6(1)(b) + Art. 6(1)(c): wettelijke verplichting (boekhoudwet) |
| E-mailnotificaties over runs en alerts | Art. 6(1)(b): uitvoering overeenkomst |
| Anti-misbruik: voorkomen herhaalde gratis trials | Art. 6(1)(f): gerechtvaardigd belang (zie sectie 5) |
| Interne operationele statistieken (kosten, gebruik) | Art. 6(1)(f): gerechtvaardigd belang |
| Chatassistent: antwoorden geven, misbruik weren en de antwoorden verbeteren | Art. 6(1)(f): gerechtvaardigd belang |
4. Bewaartermijnen
| Data | Bewaartermijn |
|---|---|
| Accountgegevens, clients, prompts, run-resultaten | Zolang je account actief is. Na verwijdering: meteen gewist (cascade). |
| Factuurdata | 7 jaar (wettelijke bewaarplicht boekhouding) |
| Trial-hash (SHA-256) | Onbeperkt (zie sectie 5 voor uitleg en bezwaarrecht) |
Operationele kosten-logs (usage_events) | 12 maanden, daarna automatisch verwijderd |
Chatgesprekken (chat_logs) | 6 maanden, daarna automatisch verwijderd |
5. Trial-history: SHA-256 anti-misbruik hashing
trial_history). Dit is een pseudonieme, niet-reversibele vingerafdruk. Het originele e-mailadres kan niet terugberekend worden uit deze hash.Waarom?
Veesie biedt een gratis proefperiode bij aanmelding. Zonder maatregel zou een gebruiker zijn account kunnen verwijderen en zich opnieuw aanmelden met hetzelfde e-mailadres om een nieuwe gratis trial te krijgen. De hash-registratie voorkomt dit misbruik: bij een nieuwe aanmelding controleren we of de hash al bestaat. Is dat het geval, dan start de nieuwe trial meteen als verlopen.
Rechtsgrond
Art. 6(1)(f) GDPR: gerechtvaardigd belang. Ons belang bestaat uit de commerciële integriteit van het trialmodel en het voorkomen van systematisch misbruik. We wegen dit af tegen jouw privacybelang: de hash is pseudoniem (niet direct identificeerbaar), het e-mailadres zelf wordt niet bewaard, en de enige functie is binaire detectie (heeft dit adres ooit een trial gehad: ja/nee).
Bezwaar maken (Art. 21 GDPR)
Je kunt op elk moment bezwaar maken tegen de verwerking van jouw trial-hash via hello@veesie.com. We beoordelen je verzoek binnen 30 dagen. Bij gegrond bezwaar verwijderen we de hash uit trial_history.
6. Ontvangers en subverwerkers
| Subverwerker | Functie | Locatie |
|---|---|---|
| Supabase (Postgres + Auth) | Database, authenticatie | EU (Frankfurt) |
| Cloudflare (Workers) | Applicatie-hosting, edge-verwerking | Wereldwijd netwerk: een verzoek loopt via het datacenter het dichtst bij de bezoeker, voor Europese bezoekers in de regel in Europa. Cloudflare, Inc. (VS), op basis van SCC's |
| Resend | Transactionele e-mail (notificaties, rapporten) | EU-regio |
| Stripe | Betalingsverwerking (enkel bij betaald plan) | Ierland (EU) |
| Sentry | Foutmonitoring (error tracking) | EU (Frankfurt, Duitsland) |
| Google Analytics 4 | Websitestatistieken van de publieke website. Zonder jouw toestemming zonder cookies, nooit in het dashboard | VS (Google LLC), op basis van SCC's |
| Microsoft Clarity | Gebruiksanalyse: heatmaps en opnames van muisbewegingen en klikken. Op de publieke website zonder jouw toestemming zonder cookies; in het dashboard alleen met jouw toestemming, zonder cookies en met alle tekst afgeschermd | VS (Microsoft Corporation), op basis van SCC's |
| OpenAI, Anthropic, Google, Perplexity | LLM-calls (prompts worden naar providers gestuurd) | Buiten de EU, vooral in de VS, op basis van SCC's. Antwoorden worden opgeslagen in de EU-database. |
| DataForSEO | Meting van Google AI Overviews (je vragen gaan als zoekopdracht naar Google) | EU (Estland), met onderaannemers deels in de VS, op basis van SCC's |
| Inngest | Aansturing van de metingen (wachtrij, herkansingen en de tussenresultaten van elke stap) | VS (Inngest Inc, servers bij AWS in de VS) |
Opmerking LLM-providers: de prompts die je instelt in Veesie worden doorgestuurd naar de betrokken AI-providers voor verwerking. Ze bevatten doorgaans geen persoonsgegevens (het zijn vragen over je merk, niet over personen). Controleer wel of je prompts zelf geen persoonsgegevens bevatten.
We delen nooit persoonsgegevens met derde partijen voor marketing- of profileringsdoeleinden.
Rol bij klantdata: je bent zelf verantwoordelijk voor de rechtmatigheid van de gegevens die je in Veesie invoert. Voor persoonsgegevens die je als klant aanlevert en die wij in jouw opdracht verwerken, kunnen wij optreden als verwerker in de zin van de GDPR. Een verwerkersovereenkomst is op aanvraag beschikbaar via hello@veesie.com.
7. Internationale doorgifte
De kerndata (account, clients, resultaten) wordt bewaard in de EU (Supabase Frankfurt). LLM-calls gaan naar providers buiten de EU (o.a. OpenAI en Anthropic in de VS). Ook Google Analytics 4 en Microsoft Clarity verwerken gegevens in de VS. Google Analytics draait uitsluitend op de publieke website, en zonder jouw toestemming zonder cookies. Clarity draait daar op dezelfde manier, en in het dashboard alleen als je daar toestemming voor gaf. Die doorgiftes gebeuren op basis van de Standaardcontractbepalingen (SCC's) die door de betrokken providers worden aangeboden. Daarnaast stuurt Inngest de metingen aan, op servers van AWS in de VS: tijdens een meting passeren je vragen, je merknaam en website, de namen van je concurrenten en de gegenereerde adviezen daar ook.
8. Jouw rechten
Op grond van de GDPR heb je de volgende rechten:
- Inzage (Art. 15): je kunt opvragen welke gegevens we van je bewaren.
- Rectificatie (Art. 16): onjuiste gegevens laten corrigeren.
- Wissen (Art. 17): je account en alle bijhorende data verwijderen. Dit doe je zelf via Dashboard, Instellingen, Account verwijderen, of via e-mail.
- Beperking (Art. 18): verwerking tijdelijk laten beperken.
- Overdraagbaarheid (Art. 20): een kopie van je data in machineleesbaar formaat opvragen. Je kunt dit zelf via Dashboard, Instellingen, Privacy doen (JSON-export).
- Bezwaar (Art. 21): bezwaar maken tegen verwerking op basis van gerechtvaardigd belang (o.a. de trial-hash).
Stuur je verzoek naar hello@veesie.com. We reageren binnen 30 kalenderdagen.
Je hebt ook het recht om een klacht in te dienen bij de Gegevensbeschermingsautoriteit (GBA).
9. Cookies en tracking
Strikt noodzakelijke cookies (geen toestemming vereist): een sessiecookie voor authenticatie (Supabase Auth) en beveiligingscookies van Cloudflare en Cloudflare Turnstile (bot-bescherming op de aanmeld-, inlog- en wachtwoordherstelpagina's). Daarnaast een cookie met alleen de taal waarin je op de site binnenkwam (nl, en of fr), zodat een account dat je aanmaakt in die taal begint. Er staat geen identificatie in en hij wordt met niemand gedeeld. Weiger je de cookies of trek je je toestemming in, dan onthoudt een cookie alleen die keuze, een jaar lang. Ben je ingelogd, dan wissen we op dat moment ook een advertentie-identificatie die al aan je organisatie hing, en wat daarvan nog niet naar Google vertrokken was, vertrekt niet meer.
Analytische cookies: voor statistieken van de publieke website gebruiken we Google Analytics 4 en Microsoft Clarity. Google Analytics draait nooit in het dashboard. Zonder jouw toestemming meten ze allebei zonder cookies: Google Analytics levert dan enkel geaggregeerde, geschatte cijfers, en Clarity gebruikt een losse identificatie per paginaweergave zodat we niet weten dat verschillende bezoeken van dezelfde persoon komen. Clarity legt daarbij anonieme muisbewegingen, klikken en scrollgedrag vast, zodat we zien waar bezoekers vastlopen. Geef je wel toestemming, dan mogen beide cookies plaatsen en een bezoek over meerdere pagina's volgen. Trek je je keuze in, dan stopt dat weer en wist Clarity zijn cookies. In het dashboard gebruiken we Clarity alleen als je daar uitdrukkelijk ja op zegt, in een apart Clarity-project, en pas na die keuze wordt het geladen. Het draait daar zonder cookies, ook na je ja, zodat het niets achterlaat dat de meting van de publieke website kan lezen. Alle tekst op je scherm wordt dan afgeschermd: Clarity ziet geen merknamen, vragen, antwoorden of cijfers, wel waar je klikt en scrolt en de adressen van de pagina's die je bekijkt (daarin kan een zoekterm staan die je op het overzicht intypte, of het adres van een website die je laat scannen). Je keuze geldt per browser en wijzig je onder Account, Privacy & data. We doen niet aan remarketing en bouwen geen advertentieprofielen.
Advertentiemeting: kom je via een advertentie op onze site, dan staat er een klik-identificatie in de URL (bij Google heet dat gclid, gbraid of wbraid). Geef je toestemming, dan bewaren we die maximaal 90 dagen in een eigen cookie en koppelen we hem aan je organisatie zodra je je aanmeldt. Zo weten we welke advertentie tot een klant leidde, zonder je over andere websites te volgen. Start je daarna een proefperiode of word je klant, dan sturen we die identificatie terug naar Google, zodat de advertentie als geslaagd telt. Je naam en e-mailadres gaan niet mee. Weiger je, dan bewaren we die identificatie niet. Zodra we effectief adverteren, kan Google met jouw toestemming ook eigen advertentiecookies plaatsen voor diezelfde meting; zolang er geen campagnes lopen, gebeurt dat niet. Met diezelfde toestemming onthouden we ook hoe je de eerste keer op de site kwam: de campagnenaam uit de link (utm-waarden) of de naam van de site die naar ons verwees, nooit het volledige adres van die pagina, plus de eerste pagina die je op onze site bekeek en de datum. Ook dat bewaren we maximaal 90 dagen in een eigen cookie en koppelen we aan je organisatie, zodat we weten welke kanalen klanten opleveren. Trek je je toestemming in via Cookievoorkeuren, dan wissen we beide cookies.
10. Google-gebruikersdata (Analytics-koppeling)
Koppel je je Google Analytics-account aan Veesie, dan lezen we via de Google Analytics API uitsluitend de gegevens van de property die jij zelf kiest. We vragen daarvoor alleen leesrechten (analytics.readonly), plus de basisscopes openid en email om het e-mailadres van je Google-account te kennen. Die gegevens gebruiken we voor één doel: tonen hoeveel bezoekers je website ontvangt vanuit AI-tools zoals ChatGPT, Perplexity en Claude.
Wat we bewaren: het e-mailadres van het Google-account waarmee je koppelt, het gekozen property-ID, en de toegangssleutels van Google. Die sleutels bewaren we versleuteld (AES-256-GCM). Daarnaast hergebruiken we een opgehaald rapport tot vijftien minuten, zodat je dashboard niet bij elke paginaweergave opnieuw naar Google hoeft. Het laatst opgehaalde rapport (alleen geaggregeerde cijfers) blijft bewaard tot het wordt overschreven, tot je ontkoppelt of tot je je account verwijdert. We halen geen gegevens over individuele bezoekers op en slaan die dus ook niet op.
Wat we niet doen: we verkopen deze gegevens niet, gebruiken ze niet voor advertenties, geven ze niet door aan derden, en gebruiken ze niet om AI-modellen te trainen. Niemand bij Veesie leest ze, behalve wanneer jij om ondersteuning vraagt of de wet ons daartoe verplicht. Het gebruik van gegevens uit Google-API's door Veesie volgt het Google API Services User Data Policy, inclusief de Limited Use-vereisten.
Toegang intrekken: met de knop Ontkoppelen op de Traffic-pagina in je dashboard verbreek je de koppeling, waarna we de bewaarde sleutels en het gecachete rapport onmiddellijk verwijderen. Je kunt de toegang ook rechtstreeks bij Google intrekken, via de beveiligingsinstellingen van je Google-account.
11. Beveiliging van je gegevens
We nemen passende technische en organisatorische maatregelen om je gegevens te beschermen, zoals art. 32 GDPR vraagt. Voor gevoelige gegevens, zoals je wachtwoord en de toegangssleutels van je Google-account, geldt in het bijzonder:
- Versleuteld onderweg: al het verkeer naar veesie.com loopt over HTTPS (TLS). We sturen een Strict-Transport-Security-header met een looptijd van twee jaar, zodat browsers na het eerste bezoek nooit meer onversleuteld verbinden.
- Versleuteld in rust: gevoelige velden in onze database, waaronder de access- en refresh-tokens van je Google Analytics-koppeling, worden versleuteld met AES-256-GCM (authenticated encryption). Wordt er met die data geknoeid, dan mislukt het ontsleutelen. De sleutel wordt buiten de database bewaard, als secret bij onze hostingprovider.
- Wachtwoorden: je wachtwoord wordt gehasht opgeslagen door Supabase Auth en is voor ons nooit leesbaar. Een wachtwoordwijziging bevestig je met een eenmalige code die we naar je e-mailadres sturen, zodat een gestolen sessie alleen niet volstaat om je account over te nemen.
- Scheiding tussen klanten: elke organisatie ziet uitsluitend haar eigen gegevens. Row Level Security staat op alle tabellen aan en beperkt directe toegang via de database-API tot de eigen gegevens. De applicatie zelf werkt met een beheerrol die RLS omzeilt; daar zorgen eigenaarschapscontroles in elke serveractie voor de scheiding.
- Beperkte interne toegang: onze interne beheerpagina's zijn afgeschermd met een extra toegangslaag en beperkt tot een vaste lijst adressen. Toegang tot productiegegevens is voorbehouden aan wie ze nodig heeft voor onderhoud of ondersteuning.
- Zo min mogelijk bewaren: van je Google Analytics halen we alleen geaggregeerde rapportcijfers op, nooit gegevens over individuele bezoekers. Een opgehaald rapport hergebruiken we maximaal vijftien minuten; het laatst opgehaalde rapport blijft bewaard tot het wordt overschreven. Ontkoppel je, dan verwijderen we de toegangssleutels en het bewaarde rapport onmiddellijk en volledig.
- De koppeling zelf: de OAuth-flow gebruikt een ondertekende state (HMAC-SHA256) die aan jouw sessie gebonden is en na tien minuten vervalt, zodat niemand een koppeling namens jou kan opzetten. We vragen uitsluitend leestoegang, nooit schrijfrechten.
- Infrastructuur: de kerngegevens staan bij Supabase in Frankfurt (EU), de applicatie draait op Cloudflare. Beide leveranciers zijn voor hun infrastructuur gecertificeerd volgens SOC 2 en ISO 27001. Aanmeld-, inlog- en wachtwoordherstelformulieren zijn beschermd tegen bots met Cloudflare Turnstile, het contactformulier met een verborgen veld (honeypot) en een beperking per IP-adres.
Stellen we een datalek vast met een risico voor jouw rechten en vrijheden, dan melden we dat binnen 72 uur bij de Gegevensbeschermingsautoriteit en brengen we jou op de hoogte wanneer de GDPR dat vereist. Een uitgebreidere beschrijving van onze maatregelen staat op onze beveiligingspagina.
12. Wijzigingen
Bij materiële wijzigingen aan dit beleid sturen we een e-mailnotificatie naar alle actieve gebruikers en passen we de datum bovenaan aan. Kleine redactionele wijzigingen worden zonder aparte kennisgeving doorgevoerd.
13. Contact
Voor vragen, verzoeken of klachten over privacy: hello@veesie.com.
Terug naar veesie.com