CONCEPT TER BEOORDELING — 11 augustus 2026 Deze Privacyverklaring vormt een volledige werkversie. Zij mag niet worden gepubliceerd voordat Daisycon en thinQit hebben bevestigd dat de genoemde bewaartermijnen technisch worden afgedwongen.
1. Identiteit en reikwijdte
Daisycon B.V., P.J. Oudweg 5, 1314 CH Almere, Nederland, KvK-nummer 39073684, verzorgt de Daisycon-klantrelatie. Deze verklaring legt uit hoe persoonsgegevens worden verwerkt wanneer een Klant of diens gebruikers zich registreren voor en gebruikmaken van het door thinQit aangedreven platform.
Daisycon is verwerkingsverantwoordelijke voor eigen klantonboarding, accountadministratie, contractering, facturatie, relatiebeheer en communicatie. Voor Klantdata die in het platform wordt geplaatst, bepaalt de Klant normaal gesproken doelen en rechtsgrond. thinQit B.V. beheert het platform en verwerkt die data voor hosting, AI-teammates, support, gebruiksmeting, beveiliging en incidentafhandeling. thinQit treedt op als verwerker onder de Verwerkersovereenkomst en alleen als zelfstandig verwerkingsverantwoordelijke waar dit nodig is voor eigen dwingende wettelijke, fraudepreventie- of beveiligingsverplichtingen.
2. Persoonsgegevens
Afhankelijk van het gebruik kunnen worden verwerkt: namen, zakelijke contactgegevens, werkgever en rol; account-ID's, MyDaisycon-ID's en authenticatiegebeurtenissen; abonnements-, factuur- en gebruiksinformatie; IP-adres, apparaat, browser, besturingssysteem en tijdstempels; instellingen, integraties en werkruimteconfiguratie; supportcommunicatie; prompts, uploads en AI-output; audit-, beveiligings-, fout- en diagnosegebeurtenissen; en gegevens over andere personen die de Klant rechtmatig in Klantdata opneemt.
MyDaisycon OAuth levert de identiteitsgegevens die nodig zijn om het werkruimteaccount aan te maken en te koppelen. Een beperkte e-mail/wachtwoordroute kan beschikbaar zijn waar Daisycon dit toestaat. Voor beide routes gelden dezelfde privacy- en beveiligingsregels.
3. Doelen en grondslagen
Persoonsgegevens worden gebruikt om accounts aan te maken en te beveiligen, de overeenkomst uit te voeren, de Dienst te leveren en betrouwbaarder te maken, AI-functies uit te voeren, gebruik te meten, de Klant te factureren, support te bieden, misbruik en fraude te voorkomen, incidenten te onderzoeken, aan wetgeving te voldoen en rechtsvorderingen vast te stellen of te verdedigen. Grondslagen zijn uitvoering van overeenkomst, gerechtvaardigde belangen bij exploitatie en beveiliging van een zakelijke dienst, wettelijke verplichtingen en toestemming waar die wettelijk vereist is. De Klant is verantwoordelijk voor de rechtsgrond en informatieplichten voor persoonsgegevens in prompts, uploads, integraties of outputs.
4. AI-verwerking
Prompts en relevante context mogen uitsluitend naar goedgekeurde AI-leveranciers worden gestuurd om het gevraagde antwoord of de gevraagde taak uit te voeren. thinQit en haar leveranciers gebruiken Klantdata, prompts en outputs standaard niet om algemene modellen te trainen. AI-output is probabilistisch en moet door een mens worden gecontroleerd. De Dienst is niet bedoeld voor verboden hoog-risicobesluiten of voor bijzondere, strafrechtelijke, biometrische, medische of kindergegevens, tenzij een schriftelijke SOW, risicoanalyse en geldige rechtsgrond dit uitdrukkelijk toestaan.
5. Ontvangers en dienstverleners
Gegevens mogen alleen beschikbaar worden gesteld waar noodzakelijk aan Daisycon en geautoriseerd personeel van Linehub, personeel van thinQit, Microsoft Azure en Azure AI Foundry, goedgekeurde entiteiten van OpenAI en Anthropic, e-mail/ondersteuning/monitoring/beveiligingsproviders, en autoriteiten waar openbaarmaking wettelijk verplicht is. Stripe of een bankprovider kan gegevens verwerken voor directe afrekeningen tussen thinQit en Daisycon; thinQit verwerkt geen betalingen van eindklanten van Daisycon via Stripe Connect. De downstream-administratie van Daisycon, inclusief Exact Online, wordt beheerd door Daisycon en valt buiten de verantwoordelijkheid van thinQit, tenzij een aparte integratie of statement of work anders bepaalt.
6. Doorgifte en hosting
In de ondertekende Daisycon-order is EU-only hosting voor de klantomgeving gekozen. Productiehosting voor de gedekte Dienst is daarom beperkt tot goedgekeurde EER-regio's. Als een goedgekeurde leverancier of uitzonderlijk support-, back-up- of beveiligingsproces een doorgifte buiten de EER meebrengt, gebruikt de verantwoordelijke partij een adequaatheidsbesluit, EU Standard Contractual Clauses en passende aanvullende waarborgen.
7. Bewaartermijnen
Het contractuele werkschema is: debug- en applicatielogs maximaal 30 dagen; prompts en outputs maximaal 90 dagen tenzij een kortere instelling of SOW geldt; security- en auditlogs maximaal 180 dagen; accountdata gedurende de overeenkomst plus maximaal 12 maanden waar nodig voor afsluiting en claims; supportcorrespondentie maximaal 24 maanden na sluiting; factuur-, betaal- en wettelijk vereiste auditgegevens zeven jaar. Juridische bundelversies en acceptatiebewijs worden gedurende de overeenkomst plus drie jaar bewaard. Klantcontent wordt binnen 30 dagen na beëindiging geretourneerd, verwijderd of geanonimiseerd, tenzij wettelijke bewaring of een schriftelijke instructie anders vereist.
Deze perioden zijn contractuele maxima en geen toestemming om data onnodig te bewaren. Data mag eerder worden verwijderd zodra die niet meer nodig is. Publicatie is juridisch niet gereed totdat Daisycon en thinQit bevestigen dat operationele verwijdering, back-ups en leveranciersinstellingen met dit schema overeenkomen.
8. Beveiliging
Daisycon en thinQit gebruiken passende technische en organisatorische maatregelen, waaronder encryptie tijdens transport, encryptie in rust waar ondersteund, rolgebaseerde toegang, MFA voor geprivilegieerde toegang, tenantisolatie, logging, monitoring, vulnerability management, back-ups en incidentrespons. Geen systeem is volledig risicoloos. Vermoedelijke ongeautoriseerde toegang of een datalek moet direct via het officiële Daisycon-contactkanaal en, voor platformsecurity, via [email protected] worden gemeld.
9. Rechten
Onder de AVG en toepasselijke uitzonderingen kan een betrokkene verzoeken om inzage, rectificatie, verwijdering, beperking, overdraagbaarheid of bezwaar en toestemming intrekken zonder dat eerdere rechtmatige verwerking wordt aangetast. Verzoeken over eigen account-, contract- of factuurdata van Daisycon gaan naar Daisycon. Verzoeken over Klantdata gaan normaal eerst naar de Klant die die data beheert; Daisycon en thinQit ondersteunen zoals de DPA vereist. Een klacht kan worden ingediend bij de Autoriteit Persoonsgegevens of een andere bevoegde toezichthouder.
Privacyvragen en rechtenverzoeken aan Daisycon kunnen via de contactroute op https://daisycon.com/en/legal-information/privacy-policy/ of per post aan Daisycon B.V., P.J. Oudweg 5, 1314 CH Almere, Nederland. Privacyvragen aan thinQit kunnen naar [email protected].
10. Cookies
Login-, beveiligings- en voorkeurscookies vallen onder een afzonderlijk Cookie Statement en toestemmingsscherm. Acceptatie van deze Privacyverklaring is op zichzelf geen toestemming voor optionele analytics- of marketingcookies.
11. Wijzigingen
Materiële wijzigingen worden via de versioned legal-bundle-workflow uitgebracht. Nadat Daisycon een nieuwe versie publiceert, krijgt de Klant de melding Juridische voorwaarden zijn gewijzigd en moet hij de verplichte documenten bij de volgende login opnieuw accepteren. Eerder acceptatiebewijs blijft bewaard. De actuele versie en publicatiedatum zijn zichtbaar in het platform.