Privacyverklaring

1. Wie is verantwoordelijk voor de verwerking?

Instant Process, gevestigd aan Doelenstraat 118, 2611 NW te Delft, ingeschreven in het Handelsregister onder KvK-nummer 42140557, is verwerkingsverantwoordelijke voor de persoonsgegevens die zij voor haar eigen bedrijfsvoering en dienstverlening verwerkt. Instant Process exploiteert een platform voor het modelleren, visualiseren, analyseren en beheren van bedrijfsprocessen (hierna: ‘het platform’).

Voor vragen over privacy of de verwerking van persoonsgegevens kan contact worden opgenomen via info@instantprocess.nl.

Instant Process verwerkt persoonsgegevens zorgvuldig en in overeenstemming met de Algemene verordening gegevensbescherming (AVG).

2. Welke persoonsgegevens verwerkt Instant Process en waar komen deze vandaan?

Welke persoonsgegevens Instant Process verwerkt, hangt af van de manier waarop iemand met Instant Process in aanraking komt en van de gebruikte functionaliteiten. Het kan onder meer gaan om naam, e-mailadres, account-, inlog- en identificatiegegevens, organisatie- en teamgegevens, gegevens over het gekozen abonnement, contact- en communicatiegegevens, offerte-, contract- en klantgegevens, factuur-, betaal- en administratieve gegevens en technische gegevens zoals IP-adressen, browser-, apparaat-, sessie- en loggegevens.

Instant Process kan daarnaast gegevens verwerken over het gebruik van haar website en het platform. Binnen het platform kunnen procesmodellen, comments, projectgegevens en andere gebruikersinhoud worden verwerkt. Voor zover daarin persoonsgegevens voorkomen, worden ook die persoonsgegevens verwerkt. Bij gebruik van AI-functionaliteiten kunnen onder meer prompts, teksten, procesinformatie en andere door de gebruiker verstrekte gegevens worden verwerkt.

Persoonsgegevens kunnen rechtstreeks van de betrokkene worden verkregen, bijvoorbeeld bij het aanmaken van een account, het afsluiten van een abonnement, het doen van een betaling, het aanmelden voor de nieuwsbrief of het opnemen van contact.

Instant Process kan persoonsgegevens ook indirect ontvangen. Dit kan bijvoorbeeld gebeuren wanneer een zakelijke klant, werkgever of andere organisatie een persoon als gebruiker van het platform aanwijst of diens gegevens verstrekt in het kader van de uitvoering van een overeenkomst. Daarnaast kan Instant Process persoonsgegevens ontvangen doordat een gebruiker op het platform zelf gegevens van andere personen in gebruikersinhoud opneemt.

3. Waarvoor en op welke grondslag verwerkt Instant Process persoonsgegevens?

Instant Process verwerkt persoonsgegevens voor het aanmaken en beheren van accounts, het verlenen van toegang tot het platform, het aangaan en uitvoeren van overeenkomsten, facturatie en betalingen, financiële administratie, klant- en relatiebeheer, communicatie, support, beveiliging, toegangscontrole, fraudepreventie, foutopsporing en technisch beheer, en het bewaken, het opsporen van storingen in en het verbeteren van de AI-functionaliteiten. Daarnaast verwerkt Instant Process persoonsgegevens voor zover dit noodzakelijk is om aan wettelijke en administratieve verplichtingen te voldoen.

Instant Process verstuurt een nieuwsbrief aan personen die zich daarvoor aanmelden via de website of bij het aanmaken van een account. Voor de nieuwsbrief verwerkt Instant Process het e-mailadres en, bij aanmelding tijdens het aanmaken van een account, de voornaam en achternaam. Deze verwerking is gebaseerd op toestemming van de betrokkene. Elke nieuwsbrief bevat een link om af te melden.

Instant Process legt per ingelogde gebruiker vast hoe het platform wordt gebruikt: welke onderdelen van het platform de gebruiker opent en hoe lang, wanneer de gebruiker inlogt en hoe lang sessies duren, hoeveel processen de gebruiker aanmaakt, bewerkt, verwijdert en exporteert en of een proces wordt bewerkt door te typen, via de AI-assistent of via een hulpmiddel en hoeveel opmerkingen en previewlinks de gebruiker aanmaakt. Instant Process gebruikt deze gegevens om het gebruik van het platform te begrijpen en te verbeteren. Deze verwerking is gebaseerd op het gerechtvaardigd belang van Instant Process bij het verbeteren van haar dienstverlening (artikel 6, lid 1, onder f AVG). De gegevens bevatten geen toetsaanslagen, geen pagina-inhoud en geen procesinhoud. Een proces wordt alleen vastgelegd als een met een geheime sleutel berekende code, waaruit het proces niet te herleiden is. Zij worden opgeslagen op de eigen servers van Instant Process in de Europese Unie en worden met geen enkele derde partij gedeeld. Gegevens die tot een gebruiker te herleiden zijn, worden na negentig dagen verwijderd. Geaggregeerde cijfers die niet langer tot een individuele gebruiker te herleiden zijn, blijven bewaard. In de eerste dertig dagen na het aanmaken van een account omvatten deze gegevens ook onboardinggebeurtenissen: welke stappen van de rondleiding de gebruiker bereikt of waar hij stopt, het eerste aangemaakte project en het gekozen sjabloon, de eerste compileerfout en de tijd tot de eerste foutloze compilatie, het eerste bericht aan de AI-assistent en of een voorgestelde prompt dat bericht verstuurde, en via welke link de documentatie vanuit de editor werd geopend. Met de schakelaar Record my activity in de accountinstellingen zet de gebruiker deze vastlegging stop, inclusief de onboardinggebeurtenissen. De herleidbare gegevens die al over die gebruiker zijn vastgelegd worden dan verwijderd, ook proefgegevens die volgens onderdeel 11 aan het account zijn gekoppeld.

De verwerking is, afhankelijk van het doel, gebaseerd op de uitvoering van een overeenkomst of het nemen van maatregelen voorafgaand aan het sluiten daarvan, een wettelijke verplichting, een gerechtvaardigd belang van Instant Process of toestemming van de betrokkene.

Wanneer Instant Process zich beroept op een gerechtvaardigd belang, betreft dit bijvoorbeeld haar belang bij een veilige en goed functionerende digitale dienstverlening, een behoorlijke bedrijfsvoering, het voorkomen van misbruik en fraude of het onderhouden van zakelijke relaties.

Voor zover toestemming de grondslag vormt, kan deze toestemming te allen tijde worden ingetrokken. De intrekking heeft geen gevolgen voor de rechtmatigheid van de verwerking die vóór de intrekking heeft plaatsgevonden.

Het verstrekken van persoonsgegevens kan noodzakelijk zijn voor het aanmaken of gebruiken van een account, het aangaan of uitvoeren van een overeenkomst, het verrichten van een betaling of het voldoen aan een wettelijke verplichting. Indien de daarvoor noodzakelijke persoonsgegevens niet worden verstrekt, kan Instant Process de betreffende overeenkomst mogelijk niet aangaan of uitvoeren.

4. Persoonsgegevens in gebruikersinhoud en AI-functionaliteiten

Het platform is primair bedoeld voor het modelleren, visualiseren, analyseren en beheren van bedrijfsprocessen en niet specifiek voor het verwerken van persoonsgegevens. Gebruikers kunnen echter zelf persoonsgegevens opnemen in bijvoorbeeld procesmodellen, procesbeschrijvingen, comments, geïmporteerde bestanden, chatberichten of andere gebruikersinhoud.

Voor AI-functionaliteiten maakt Instant Process gebruik van een externe AI-aanbieder. Gegevens die een gebruiker bewust aan deze functionaliteit aanbiedt, zoals prompts, procesinformatie, teksten of gegevens uit geïmporteerde bestanden, kunnen via de infrastructuur van die AI-aanbieder worden verwerkt.

Instant Process legt iedere interactie met haar AI-functionaliteiten vast, waaronder de prompts, de procesinformatie en de AI-output, om deze functionaliteiten te bewaken, storingen op te sporen en ze te verbeteren. Een vastlegging wordt niet gekoppeld aan een account, een gebruiker of een chatsessie. E-mailadressen en toegangstokens worden gemaskeerd voordat een vastlegging wordt opgeslagen. Vastleggingen worden opgeslagen bij Scaleway in de regio Amsterdam (nl-ams) en na 30 dagen verwijderd.

Wanneer een zakelijke klant bepaalt welke persoonsgegevens binnen het platform worden verwerkt en met welk doel en Instant Process deze gegevens uitsluitend ten behoeve van die klant verwerkt, treedt Instant Process ten aanzien van die persoonsgegevens op als verwerker en de klant als verwerkingsverantwoordelijke. De daarvoor geldende afspraken zijn opgenomen in de verwerkersregeling in de algemene voorwaarden van Instant Process.

Deze privacyverklaring beschrijft in hoofdzaak de verwerkingen waarvoor Instant Process zelf verwerkingsverantwoordelijke is.

5. Met wie worden persoonsgegevens gedeeld?

Instant Process kan voor haar bedrijfsvoering en dienstverlening gebruikmaken van externe partijen. Persoonsgegevens kunnen, voor zover noodzakelijk, worden gedeeld met hosting-, cloud- en infrastructuurproviders, AI-aanbieders, betaaldienstverleners, CRM-leveranciers, leveranciers van boekhoud- en administratiesoftware, back-up- en IT-dienstverleners, externe technische leveranciers, boekhouders, accountants, administratieve dienstverleners, juridische adviseurs en andere professionele dienstverleners.

Instant Process gebruikt onder meer een CRM-systeem voor klant- en commerciële processen. De hoofdhosting van het platform vindt plaats via een externe hostingomgeving in Nederland.

Die hostingomgeving is Scaleway, in de regio Amsterdam (nl-ams). Voor de AI-functionaliteiten maakt Instant Process gebruik van Scaleway Generative APIs, in dezelfde Scaleway-omgeving in de Europese Unie. Voor het beheren van nieuwsbriefaanmeldingen en het versturen van de nieuwsbrief maakt Instant Process gebruik van HubSpot, in het datacenter van HubSpot in de Europese Unie. Instant Process maakt gebruik van Google Ads, een dienst van Google Ireland Limited, om te meten of haar advertenties leiden tot het aanmaken van een account. Google treedt voor deze meting op als verwerker. De meting vindt alleen plaats nadat de bezoeker toestemming heeft gegeven, en Instant Process stuurt Google daarvoor geen naam, geen e-mailadres en geen accountgegevens.

Voor zover een externe partij persoonsgegevens in opdracht van Instant Process verwerkt, worden waar nodig afspraken gemaakt over onder meer vertrouwelijkheid, beveiliging en verwerking uitsluitend in opdracht.

6. Doorgifte buiten de Europese Economische Ruimte

Afhankelijk van de gebruikte leveranciers, technische infrastructuur en subverwerkers kunnen persoonsgegevens buiten Nederland en mogelijk buiten de Europese Economische Ruimte worden verwerkt. Dit kan met name aan de orde zijn bij bepaalde AI-, cloud- of andere technische dienstverleners.

Voor zover persoonsgegevens buiten de Europese Economische Ruimte worden doorgegeven, zorgt Instant Process ervoor dat daarvoor een geldige wettelijke doorgiftegrondslag bestaat, bijvoorbeeld een adequaatheidsbesluit van de Europese Commissie, goedgekeurde standaardcontractbepalingen of een andere wettelijk toegestane waarborg.

Voor zover Instant Process voor de betreffende verwerking verwerkingsverantwoordelijke is, kan een betrokkene via info@instantprocess.nl nadere informatie opvragen over de toepasselijke doorgiftegrondslag en, voor zover beschikbaar en wettelijk vereist, over de daarbij gebruikte passende waarborgen.

7. Hoe lang worden persoonsgegevens bewaard?

Instant Process bewaart persoonsgegevens niet langer dan noodzakelijk is voor het doel waarvoor zij zijn verzameld, tenzij een wettelijke verplichting of een gerechtvaardigd belang langere bewaring rechtvaardigt.

Accountgegevens worden in beginsel bewaard zolang het account actief is en daarna voor zover dit nog noodzakelijk is voor administratie, beveiliging, bewijsvoering of geschillen. Factuur- en administratieve gegevens worden bewaard gedurende de toepasselijke wettelijke bewaartermijnen. Klantcommunicatie en CRM-gegevens worden bewaard zolang dit redelijkerwijs nodig is voor klant- en relatiebeheer, bewijsvoering en afhandeling van vragen of geschillen. Gegevens van een nieuwsbriefaanmelding worden bewaard totdat de betrokkene zich afmeldt. Activiteitsgegevens die tot een ingelogde gebruiker te herleiden zijn, en proeftrajecten die met toestemming zijn vastgelegd, worden na negentig dagen verwijderd. Technische en beveiligingsgegevens worden bewaard zolang dit noodzakelijk is voor beveiliging, monitoring, foutopsporing en incidentafhandeling. Vastleggingen van interacties met AI-functionaliteiten worden na 30 dagen verwijderd.

Gebruikersinhoud kan door de gebruiker worden verwijderd en wordt na beëindiging van het account of de overeenkomst verwijderd overeenkomstig de geldende contractuele en technische bewaartermijnen. Gegevens kunnen na verwijdering nog tijdelijk in back-ups aanwezig zijn totdat deze overeenkomstig de reguliere back-upcyclus worden overschreven of verwijderd.

8. Beveiliging

Instant Process treft passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, ongeoorloofde toegang, wijziging, vernietiging of andere onrechtmatige verwerking.

De aard van de beveiligingsmaatregelen wordt afgestemd op onder meer de aard en omvang van de verwerking, de gebruikte techniek en de mogelijke risico's voor betrokkenen.

9. Geautomatiseerde besluitvorming

De AI-functionaliteiten van Instant Process kunnen gegevens automatisch analyseren en op basis daarvan suggesties, analyses of andere output genereren.

Instant Process neemt voor haar eigen doeleinden geen uitsluitend op geautomatiseerde verwerking gebaseerde besluiten waaraan voor betrokkenen rechtsgevolgen zijn verbonden of die hen anderszins in aanmerkelijke mate treffen.

Wanneer een zakelijke klant persoonsgegevens binnen het platform laat analyseren en zelf op basis daarvan besluiten neemt, is die klant verantwoordelijk voor de beoordeling of sprake is van geautomatiseerde besluitvorming of profilering in de zin van de AVG en welke verplichtingen daarbij gelden.

10. Rechten van betrokkenen

Voor zover Instant Process verwerkingsverantwoordelijke is, kan een betrokkene afhankelijk van de situatie verzoeken om inzage in zijn persoonsgegevens, correctie van onjuiste persoonsgegevens, verwijdering van persoonsgegevens, beperking van de verwerking of overdracht van persoonsgegevens. Ook kan een betrokkene in daarvoor in aanmerking komende gevallen bezwaar maken tegen een verwerking of een eerder gegeven toestemming intrekken.

Een verzoek kan worden ingediend via info@instantprocess.nl. Instant Process kan aanvullende informatie vragen wanneer dit noodzakelijk is om de identiteit van de verzoeker vast te stellen en reageert in beginsel binnen één maand na ontvangst van het verzoek. Deze termijn kan in de gevallen waarin de AVG dat toestaat met maximaal twee maanden worden verlengd, waarbij de betrokkene daarvan binnen één maand na ontvangst van het verzoek in kennis wordt gesteld.

Wanneer een verzoek betrekking heeft op persoonsgegevens die Instant Process uitsluitend als verwerker namens een zakelijke klant verwerkt, is die klant in beginsel verantwoordelijk voor de inhoudelijke behandeling van het verzoek.

11. Cookies

De website van Instant Process en het platform kunnen gebruikmaken van cookies en vergelijkbare technieken die nodig zijn voor het functioneren, beveiligen en beheren van de online omgeving. Voor zover niet-noodzakelijke cookies of vergelijkbare technieken worden gebruikt waarvoor toestemming is vereist, wordt vooraf toestemming gevraagd.

Welke cookies worden geplaatst, waarvoor zij worden gebruikt, hoe lang zij worden bewaard en hoe een bezoeker een gemaakte keuze kan wijzigen, is beschreven in de cookieverklaring van Instant Process.

Met toestemming van de bezoeker plaatst Google Ads conversiecookies op de website en het platform, waaronder _gcl_aw en _gcl_au. Deze cookies leggen vast dat een bezoeker via een advertentie is binnengekomen en worden gebruikt om te meten of dat bezoek leidt tot het aanmaken van een account. Zij worden niet gebruikt voor gepersonaliseerde advertenties. Instant Process bewaart de toestemmingskeuze zelf 180 dagen in de cookie ip-consent. Zonder toestemming wordt geen Google Ads-cookie geplaatst en geen Google Ads-script geladen. De toestemming kan op elk moment worden ingetrokken via de link Cookievoorkeuren onderaan de website.

De proefeditor legt onboardinggebeurtenissen van zijn bezoekers vast: welke stappen van de rondleiding een bezoeker bereikt of waar hij stopt, wanneer het bewerken begint, de eerste compileerfout en de tijd tot de eerste foutloze compilatie, het eerste bericht aan de AI-assistent en of een voorgestelde prompt dat bericht verstuurde, via welke link de documentatie vanuit de editor werd geopend, een voltooide export en een klik richting aanmelden. Instant Process gebruikt deze gebeurtenissen om de onboarding van nieuwe gebruikers te verbeteren, bewaart ze als enige en deelt ze met geen enkele derde partij. De proefeditor toont een eigen cookiebanner, die dezelfde cookie ip-consent schrijft als de website.

Zonder toestemming in ip-consent wordt een proefgebeurtenis anoniem vastgelegd. Zij bevat de gebeurtenis, de datum zonder tijdstip, en voor de tijd tot een foutloze compilatie alleen een grove marge, zoals twee tot vijf minuten. Zij bevat geen naam, geen e-mailadres, geen account-, sessie- of apparaatkenmerk en geen IP-adres, en is niet tot een persoon te herleiden.

Met toestemming in ip-consent legt de proefeditor het traject van de bezoeker vast: elke gebeurtenis bevat een kenmerk van de proefsessie van het browsertabblad, het exacte tijdstip en de exacte tijd tot een foutloze compilatie, zodat het pad van een bezoeker door de proefversie te volgen is. Meldt die bezoeker zich vanuit hetzelfde browsertabblad aan voor een account, dan wordt het vastgelegde traject aan het nieuwe account gekoppeld en maakt het vanaf dan deel uit van de gebruiksgegevens per gebruiker uit onderdeel 3: het wordt na negentig dagen verwijderd, en de schakelaar Record my activity zet het stop en verwijdert het. Een traject dat nooit wordt gekoppeld, wordt na negentig dagen verwijderd.

Met dezelfde toestemming in ip-consent bewaart de proefeditor een willekeurig bezoekerskenmerk in de browser. Het platform bewaart een eenrichtingshash van dat kenmerk tot 90 dagen na het laatste bezoek, om nieuwe bezoekers van terugkerende bezoekers te onderscheiden. De hash is aan geen account, naam, e-mailadres of IP-adres gekoppeld. Zonder toestemming wordt geen bezoekerskenmerk bewaard.

12. Klachten en wijzigingen

Een betrokkene die van mening is dat Instant Process persoonsgegevens niet overeenkomstig de AVG verwerkt, kan contact opnemen via info@instantprocess.nl. Daarnaast heeft de betrokkene het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Instant Process kan deze privacyverklaring wijzigen wanneer haar bedrijfsvoering, het platform, de gebruikte leveranciers, AI-functionaliteiten, gegevensverwerkingen of toepasselijke wet- en regelgeving wijzigen. De meest actuele versie wordt via de website of het platform beschikbaar gesteld.