Privacybeleid

Wie we zijn

Super44 GmbH is de verwerkingsverantwoordelijke voor je persoonsgegevens op grond van de Algemene verordening gegevensbescherming van de EU (AVG) en, indien van toepassing, de UK GDPR en de Data Protection Act 2018.

• Bedrijf: Super44 GmbH
• Adres: Rheinwerkallee 6, 53227 Bonn, Duitsland
• Handelsregister: Amtsgericht Bonn, HRB 30568
• Algemeen directeur: Alexander Riesenkampff
• E-mail: hello@super44.ai

Welke gegevens we verzamelen

We verzamelen alleen wat we nodig hebben om Super44 nuttig en waardevol voor je te maken.

• E-mailadres — verzameld wanneer je je registreert via Clerk-authenticatie
• Naam (indien opgegeven) — verzameld tijdens de registratie
• Bedrijfsnaam — ingevoerd tijdens de eerste installatie
• Bedrijfsadres / locatie — eenmalig ingevoerd om lokale marktanalyses te contextualiseren
• Chatberichten en gespreksgeschiedenis — alles wat je aan Super44 vraagt, veilig opgeslagen om context te behouden
• Kassa- en verkooptransactiegegevens — opgehaald uit je gekoppelde kassasysteem om prestaties te analyseren
• Google Business Profile-gegevens — wanneer je een profiel koppelt of autoriseert, krijgen we toegang tot relevante account-, locatie-, profiel-, review- en prestatiegegevens om profielbeheer te bieden en, als je dat autoriseert, je bedrijfslocaties aan je advertentieaccount te koppelen
• Afbeeldingen van bonnen en uitgavengegevens — foto's van bonnen die je uploadt en de gegevens die daaruit worden gehaald (bedrag, leverancier, btw en categorie) wanneer je bonvastlegging gebruikt
• Gmail-toegang (alleen-lezen) — als je je Gmail-inbox koppelt voor bonvastlegging, lezen we e-mails uitsluitend om bonnen en facturen te herkennen. De toegang is alleen-lezen en kan op elk moment worden ingetrokken
• Personeelsgegevens — wanneer je bedrijf Superstaff inschakelt, verwerken we in opdracht van het bedrijf namen, functies, verstrekte contactgegevens, geboortedatum, arbeidsclassificatie en wettelijke status, startdatum, afgesproken tarieven en wekelijkse uren, methode voor vakantiegeld, begin van het vakantiejaar en vakantieaanspraken, bewijs van werkrecht en onboardingnaleving, beschikbaarheid, roosters, verlof- en ruilverzoeken, klok- en urenregistraties, kiosk- of apparaatinformatie en loongegevens voor export
• Facturatie- en abonnementsgegevens — wanneer je een betaald abonnement kiest, verzamelt Stripe je betaalmethode, factuuradres en eventuele belastinggegevens en verwerkt het de transactie. Wij ontvangen en bewaren abonnements-, factuur- en betaalstatusgegevens en Stripe-klantidentificatoren, maar niet je volledige kaartnummer of beveiligingscode
• Apparaatinformatie (besturingssysteem, app-versie) — automatisch verzameld voor technische werking
• Crashrapporten en prestatiegegevens — automatisch verzameld om de app stabiel en betrouwbaar te houden
• Mobiele productanalyses — account- en gebruikersidentificatoren (waaronder e-mail), app- en apparaatgegevens en interacties met productfuncties in de mobiele apps van Super44 en Superstaff, gebruikt om ingebruikname te begrijpen, problemen op te lossen en de diensten te verbeteren
• Advertentiemeetgegevens — uitsluitend met jouw marketingtoestemming kunnen geselecteerde pagina-, lead-, chatstart- en registratiegebeurtenissen eigen advertentie-ID's, IP-adres, browserinformatie en een gehasht e-mailadres bevatten voor conversiemeting door Meta, OpenAI en TikTok

Waarom we jouw gegevens mogen verwerken

Onder de AVG baseren we ons op duidelijke wettelijke grondslagen voor elk verwerkingsdoel:

• Accountregistratie, AI-chat, bedrijfsanalyses, kassadata-analyse, bonverwerking en monitoring en beheer van het Bedrijfsprofiel — Uitvoering van een overeenkomst (art. 6 lid 1 onder b). Je hebt je voor deze functies aangemeld en we hebben je gegevens nodig om ze te leveren.
• Superstaff — voor bedrijfseigenaren is het leveren van de personeelsdienst noodzakelijk voor de uitvoering van de overeenkomst (art. 6 lid 1 onder b). Voor personeelsgegevens die een bedrijf aanlevert, is dat bedrijf de verwerkingsverantwoordelijke en treedt Super44 op als verwerker op grond van onze Verwerkersovereenkomst; het bedrijf bepaalt zijn rechtsgrond en verstrekt de vereiste informatie aan het personeel.
• Crashrapportage en stabiliteit van de app — Gerechtvaardigd belang (art. 6 lid 1 onder f). We hebben een gerechtvaardigd belang bij een goed werkende app.
• E-mailcommunicatie over de dienst — Gerechtvaardigd belang (art. 6 lid 1 onder f). Dit omvat beveiligingswaarschuwingen, factuurmeldingen, essentiële productupdates en door AI gegenereerde meldingen waarom je hebt gevraagd, zoals herinneringen of resultaten van geplande taken. We versturen op deze grondslag geen marketingmails.
• Abonnementsbeheer en betalingsverwerking — Uitvoering van een overeenkomst (art. 6 lid 1 onder b). Wettelijk verplichte factuur-, belasting- en boekhoudgegevens bewaren we waar de wet dat vereist (art. 6 lid 1 onder c); betalingsbeveiliging en fraudepreventie kunnen daarnaast op onze gerechtvaardigde belangen berusten (art. 6 lid 1 onder f). Stripe bepaalt zijn eigen rechtsgronden wanneer het als zelfstandig verwerkingsverantwoordelijke optreedt.
• Mobiele productanalyse en operationele productgebeurtenissen — Gerechtvaardigd belang (art. 6 lid 1 onder f). We gebruiken deze gebeurtenissen in de mobiele apps van Super44 en Superstaff om het gebruik van functies te begrijpen, problemen op te lossen en de diensten te verbeteren. Ze worden niet gebruikt voor cross-site advertising en je kunt tegen deze verwerking bezwaar maken.
• Optionele websiteanalyse en advertentiemeting — Toestemming (art. 6 lid 1 onder a). Deze technologieën blijven uitgeschakeld totdat je ervoor kiest ze aan te zetten en je kunt je toestemming op elk moment intrekken.

Verwerkers en dienstverleners

We werken met een klein aantal vertrouwde dienstverleners en andere ontvangers om Super44 te exploiteren. Wanneer een dienstverlener namens ons gegevens verwerkt, is er een passende verwerkersovereenkomst (DPA); sommige gereguleerde dienstverleners treden voor specifieke doeleinden ook op als zelfstandige verwerkingsverantwoordelijke.

• Clerk (clerk.com) — verzorgt authenticatie en gebruikersbeheer. Gevestigd in de VS, beschermd door EU-standaardcontractbepalingen (SCC's).
• AWS (primaire applicatieregio eu-central-1, Frankfurt) — host onze servers, databases, bestandsopslag en AI-modelverwerking (Anthropic Claude via Amazon Bedrock). Applicatiegegevens worden primair in de EER gehost. AI-verwerking maakt gebruik van de Europese en wereldwijde cross-region inferentieprofielen van Bedrock; geconfigureerde wereldwijde failover kan gegevens buiten de EER of het VK verwerken, beschermd door de toepasselijke doorgiftegaranties zoals hieronder beschreven.
• Upstash — levert de in de EU gehoste vectordatabase die wordt gebruikt om gespreksinhoud op te slaan en op te halen.
• Langfuse — ontvangt gefilterde AI-waarnemingstraces, inclusief de AI-verzoek- en responsgegevens die nodig zijn om het gedrag van Super44 te diagnosticeren en verbeteren.
• Vercel — host en levert de Super44-webapplicaties en verwerkt verzoek-, apparaat- en implementatieloggegevens.
• Stripe (Stripe Payments Europe, Limited en relevante Stripe-filialen) — verzorgt de gehoste betaalpagina (Checkout), abonnementsfacturering, betalingsverwerking, facturen, btw-berekening, terugbetalingen, betalingsauthenticatie, fraudepreventie en beveiliging. Stripe ontvangt factuur-, transactie-, betaalmethode-, apparaat- en technische gegevens. Stripe treedt deels op als onze verwerker en deels als zelfstandige verwerkingsverantwoordelijke voor gereguleerde betaaldiensten, fraudepreventie, wettelijke naleving en de exploitatie van de eigen diensten. Stripe kan gegevens in de VS verwerken onder het EU-US Data Privacy Framework en/of EU-standaardcontractbepalingen. Zie https://stripe.com/privacy.
• Google (OAuth, Google Business Profile API's, Gmail API) — verzorgt Google-accountautorisatie, levert gekoppelde bedrijfsprofielgegevens en leest — alleen als je dit koppelt — je Gmail-inbox voor bonherkenning (alleen-lezen toegang). Gevestigd in de VS, beschermd door EU-standaardcontractbepalingen (SCC's).
• Twilio en Meta Platforms Ireland — verwerken telefoonnummers, berichtinhoud en bezorgingsmetadata wanneer je ervoor kiest Super44 via WhatsApp te gebruiken.
• Slack — ontvangt beperkte account- en operationele meldingsgegevens zodat ons team activaties, bronoverstappen en serviceactiviteiten kan ondersteunen; personeelsgegevens worden niet naar Slack gestuurd.
• BetterStack — fout- en crashrapportage om de betrouwbaarheid van de dienst te waarborgen. EU-hosting.
• Sentry — diagnostiek van applicatiefouten en prestaties voor web- en mobiele apps. Diagnostische gebeurtenissen worden geminimaliseerd en mogen geen personeelsroosters, salarisgegevens of chatinhoud bevatten.
• Expo — leveringsdiensten voor mobiele apps, waaronder apparaat-push-tokens en pushnotificatiebezorging voor Super44 en Superstaff. Notificatie-inhoud wordt geminimaliseerd.
• PostHog — ingelogde productanalyses en operationele productgebeurtenissen in de mobiele apps van Super44 en Superstaff; website- en webapp-analyses, en routering van conversiegebeurtenissen naar Meta, OpenAI en TikTok, alleen met de relevante toestemming. Hosting in de EU (EU Cloud). Niet gebruikt voor tracking tussen verschillende websites.
• Meta Platforms Ireland Ltd. — advertentiemeting en relevante doelgroepen (Meta-pixel en Conversions API), uitsluitend met jouw marketingtoestemming. We kunnen campagnepaginaweergaven, de start van een anonieme chat en accountregistratie delen, samen met technische identificatoren (cookie-ID's, IP-adres en browserinformatie) en een gehasht e-mailadres. We sturen nooit chatinhoud of bedrijfsnamen naar Meta. Doorgiften naar Meta in de VS worden beschermd door het EU-US Data Privacy Framework en EU-standaardcontractbepalingen (SCC's).
• OpenAI Ireland Ltd. — meting van advertentieconversies en relevante doelgroepen (OpenAI Ads-pixel en Conversions API), uitsluitend met jouw marketingtoestemming. We kunnen paginaweergaven, geaccepteerde leadverzoeken, de start van een anonieme chat en accountregistratie delen, samen met eigen advertentie-ID's, IP-adres, browserinformatie en een gehasht e-mailadres. We sturen nooit chatinhoud of bedrijfsnamen naar OpenAI. OpenAI verwerkt conversiegegevens doorgaans als zelfstandige verwerkingsverantwoordelijke onder haar Conversievoorwaarden en Verwerkersovereenkomst voor advertentietools. Doorgiften naar landen zonder passend beschermingsniveau zijn gebaseerd op EU-standaardcontractbepalingen (SCC's), tenzij een ander geldig doorgiftemechanisme van toepassing is.
• TikTok Technology Limited (Ierland) — meting van advertentieconversies en relevante doelgroepen (TikTok-pixel en Events API), uitsluitend met jouw marketingtoestemming. We kunnen paginaweergaven, geaccepteerde leadverzoeken, de start van een anonieme chat en accountregistratie delen, samen met eigen advertentie-ID's, IP-adres, browserinformatie en een gehasht e-mailadres. We sturen nooit chatinhoud of bedrijfsnamen naar TikTok. TikTok treedt op als zelfstandige verwerkingsverantwoordelijke voor deze gegevens onder haar Bedrijfsproductvoorwaarden (Gegevens). Doorgiften naar landen zonder passend beschermingsniveau zijn gebaseerd op EU-standaardcontractbepalingen (SCC's), tenzij een ander geldig doorgiftemechanisme van toepassing is.

Kennisgeving over Google-gebruikersgegevens

Het gebruik en de doorgifte door Super44 aan enige andere app van informatie ontvangen via Google API's zal voldoen aan het Google API Services User Data Policy, inclusief de vereisten voor Beperkt Gebruik.

Het gebruik door Super44 van informatie ontvangen via Google API's voldoet aan het beleid voor gebruikersgegevens van Google API-services, inclusief de vereisten voor beperkt gebruik.

Gmail-gegevens worden uitsluitend in alleen-lezen modus geopend om leveranciersfacturen en bonnen in je uitgaven te detecteren en te importeren. Ze worden nooit gebruikt voor advertentiedoeleinden, verkocht of gebruikt om algemene AI-modellen te trainen. Mensen bekijken deze gegevens niet zonder jouw uitdrukkelijke toestemming, tenzij vereist voor beveiliging of door de wet.

Je kunt de Google-koppeling op elk gewenst moment in de app loskoppelen of de toestemming intrekken via myaccount.google.com/permissions. Loskoppelen in de app verwijdert het autorisatietoken; intrekken via myaccount.google.com trekt de toegang aan de Google-zijde in. Loskoppelen verwijdert reeds geïmporteerde facturen niet. Accountverwijdering volgt de onderstaande bewaarregels.

Hoe lang we jouw gegevens bewaren

We bewaren gegevens niet langer dan noodzakelijk.

• Actief account — je gegevens worden bewaard zolang je abonnement actief blijft.
• Na accountverwijdering — persoons- en bedrijfsgegevens die we niet verplicht hoeven te bewaren, worden binnen 30 dagen verwijderd. Facturen, betalingen en fiscale administratie kunnen worden bewaard gedurende de wettelijke bewaartermijn en worden daarna verwijderd of geanonimiseerd. Stripe kan gegevens zelfstandig bewaren voor zover vereist voor financiële regelgeving, fraudepreventie of juridische verdediging. Geanonimiseerde, geaggregeerde statistieken kunnen worden bewaard.
• Chatgeschiedenis — bewaard voor de duur van je account. Je kunt individuele gesprekken op elk moment verwijderen.
• Kassagegevens — gecachet zolang de koppeling actief is. Wordt gewist wanneer je de koppeling verbreekt of je account verwijdert.
• Superstaff-gegevens — bewaard zolang het bedrijf personeelsbeheer gebruikt en verwijderd of geretourneerd op instructie van het bedrijf of bij accountsluiting, behoudens wettelijke plichten.
• Bewijs van deelname aan bètafuncties — de functie, het bedrijf, het verzoekende account, kanaal, tijdstip, gespreks- en berichtreferenties en geaccepteerde versies van de Voorwaarden en DPA worden bewaard voor zover nodig om bevoegdheid en overeenkomst aan te tonen en geschillen op te lossen, met inachtneming van toepasselijke verjarings- en bewaartermijnen. We bewaren in deze registratie geen extra kopie van de bevestigingstekst.
• Back-ups — back-ups die persoonsgegevens bevatten, worden binnen 90 dagen na een verwijderingsverzoek definitief gewist.

Jouw rechten onder de AVG en UK GDPR

Onder de AVG en de UK GDPR (artikelen 15–22) heb je duidelijke en afdwingbare rechten met betrekking tot jouw gegevens:

• Inzage (art. 15) — een kopie opvragen van alle persoonsgegevens die we over jou bewaren.
• Rectificatie (art. 16) — ons vragen om onjuiste gegevens te corrigeren.
• Gegevenswissing (art. 17) — ons vragen al je gegevens te wissen (het «recht op vergetelheid»).
• Beperking (art. 18) — ons vragen de verwerking tijdelijk te beperken tijdens de afhandeling van een klacht.
• Overdraagbaarheid (art. 20) — je gegevens ontvangen in een gestructureerd, machineleesbaar formaat.
• Bezwaar (art. 21) — bezwaar maken tegen verwerkingen op basis van ons gerechtvaardigd belang.
• Geautomatiseerde besluitvorming (art. 22) — de AI van Super44 biedt uitsluitend suggesties en inzichten. We nemen geen geautomatiseerde besluiten die juridische of vergelijkbare wezenlijke gevolgen voor je hebben.

Om een van deze rechten uit te oefenen, kun je mailen naar hello@super44.ai. We reageren binnen 30 dagen. Je hebt daarnaast het recht een klacht in te dienen bij de bevoegde toezichthouder voor gegevensbescherming. Voor Super44 is dit de Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW). Voor gegevens die Stripe als zelfstandige verantwoordelijke verwerkt, kun je contact opnemen met Stripe via haar privacykanalen.

Internationale doorgifte van gegevens

Jouw applicatiegegevens worden primair verwerkt binnen de EER — onze primaire AWS-regio is Frankfurt (eu-central-1). Bepaalde dienstverleners en partners, waaronder AWS Bedrock, Clerk, Google, Stripe, Twilio, Meta, Langfuse, Vercel, Slack, Sentry, Expo, OpenAI en TikTok, kunnen gegevens ook in de VS of andere landen verwerken. Bedrock AI-verwerking geeft de voorkeur aan regionale inferentieprofielen in de EU indien beschikbaar, met een geconfigureerde wereldwijde failover voor bedrijfscontinuïteit; wereldwijde routering kan gegevens buiten de EER of het VK verwerken. Doorgiften worden gedekt door passende adequaatheidsbesluiten en/of de toepasselijke EU-standaardcontractbepalingen (SCC's), de Britse IDTA of het Britse addendum. Verwerkingen tussen het VK en de EER zijn gebaseerd op geldende adequaatheidsbesluiten. Stripe kan gegevens doorgeven aan Stripe, LLC en gelieerde ondernemingen voor zover noodzakelijk om betaaldiensten te leveren. Wij geven geen gegevens door zonder passende waarborgen.

Cookies en tracking

De mobiele apps van Super44 en Superstaff maken geen gebruik van cookies of SDK's van derden voor advertenties. Ze gebruiken Sentry en BetterStack voor telemetrie en betrouwbaarheid, Expo voor pushmeldingen en PostHog EU Cloud voor ingelogde productanalyses en operationele gebeurtenissen. Deze in-app verwerking valt onder onze hierboven beschreven gerechtvaardigde belangen en staat los van websitecookiekeuzes. Op onze website en webapp gebruikt optionele analyse PostHog om productgebruik te begrijpen. Optionele marketing gebruikt de pixels en conversie-API's van Meta, OpenAI Ads en TikTok om campagnes te meten; geselecteerde conversies worden via PostHog gerouteerd. Deze webtechnologieën kunnen eigen advertentiecookies plaatsen of uitlezen. De keuzes voor analyse en marketing zijn gescheiden, blijven uitgeschakeld tot je toestemming geeft en hebben geen invloed op de werking van Super44. Wanneer je een betaald abonnement kiest, word je doorgestuurd naar de beveiligde pagina van Stripe Checkout, waar Stripe noodzakelijke cookies kan gebruiken voor betalingsbeveiliging en fraudepreventie. Dit zijn geen advertentiecookies van Super44. Je kunt je keuzes op elk moment wijzigen via Cookie-instellingen in de footer of de privacyinstellingen in de webapp.

Gegevens van minderjarigen

Super44 is een zakelijke tool en richt zich niet op kinderen onder de 16 jaar, die niet zelfstandig een zakelijk account kunnen aanmaken. Een bedrijf dat Superstaff gebruikt, kan gegevens invoeren over een jonge medewerker, inclusief iemand onder de 16 jaar mits diens tewerkstelling wettig is. In dat geval is het bedrijf de verwerkingsverantwoordelijke en verwerkt Super44 die gegevens uitsluitend volgens haar instructies onder de Verwerkersovereenkomst (DPA); het bedrijf is verantwoordelijk voor arbeidsrechtelijke waarborgen en informatieplichten. Als we vaststellen dat gegevens van een minderjarige buiten deze gecontroleerde zakelijke context zijn ingediend, zullen we deze onmiddellijk verwijderen.

Wijzigingen in dit beleid

Indien we wezenlijke wijzigingen aanbrengen in dit beleid, stellen we je hiervan op de hoogte via een in-app notificatie en/of per e-mail. Deze pagina toont altijd de geldende versie met de datum «Laatst bijgewerkt» bovenaan. Voortgezet gebruik van Super44 na kennisgeving betekent acceptatie van het gewijzigde beleid. Waar wettelijk vereist, vragen we opnieuw om je toestemming.

Contactpersoon gegevensbescherming

We zijn een klein team en hebben geen formele Functionaris voor Gegevensbescherming aangesteld (dit is voor de meeste mkb-bedrijven niet vereist onder art. 37 AVG). Voor alle vragen, verzoeken of opmerkingen over gegevensbescherming kun je rechtstreeks contact met ons opnemen via hello@super44.ai.