Privacybeleid

Laatst bijgewerkt: 7 oktober 2026

Deze vertaling dient alleen om het lezen te vergemakkelijken. Bij verschillen is de Spaanse versie doorslaggevend.

Dit beleid informeert over de verwerking van persoonsgegevens via de dienst AIM CODEX. BIOMAG, S.L.U. leeft Verordening (EU) 2016/679 (AVG), de Spaanse organieke wet 3/2018 (LOPDGDD) en de LSSI na en waarborgt transparantie en veiligheid bij het gebruik van gegevens.

1. Verwerkingsverantwoordelijke

2. Twee rollen: verwerkingsverantwoordelijke en verwerker

Door de aard van de Dienst bestaan er twee rollen naast elkaar die men moet onderscheiden:

• BIOMAG, S.L.U. treedt op als VERWERKINGSVERANTWOORDELIJKE voor account- en contractgegevens: de gegevens van wie de Dienst afneemt of gebruikt (naam, e-mail, bedrijf, factuurgegevens) en de gebruiksgegevens die nodig zijn om de Dienst te leveren en te beschermen.
• BIOMAG, S.L.U. treedt op als VERWERKER voor de persoonsgegevens die de gebruiker opneemt in de documenten die hij via de Dienst verzegelt, deelt of verstuurt, en voor de gegevens van de ontvangers. Op dat terrein is de gebruiker de verwerkingsverantwoordelijke en verwerkt BIOMAG de gegevens namens hem en volgens zijn instructies, overeenkomstig de Verwerkersovereenkomst.
• Herkomstpagina van de registratie: als u uw account aanmaakt via een knop op een van onze pagina’s (bijvoorbeeld de offertesjabloon), slaan we de naam van die pagina op bij de registratie, om te weten welke pagina’s nuttig zijn. Alleen de paginanaam: er wordt niets in uw browser opgeslagen en we volgen u niet tussen bezoeken. Grondslag: gerechtvaardigd belang.

3. Welke gegevens verwerken we?

• Identificatie- en contactgegevens: naam, e-mailadres, organisatie.
• Factuurgegevens: de gegevens die nodig zijn om facturen op te stellen en de betaling van het abonnement te beheren.
• Gebruiks- en beveiligingsgegevens: IP-adres, browsegegevens en logboeken van de handelingen in de Dienst (aanmaken, verzegelen, verifiëren, aanvaarden), voor de werking, het bewijs en fraudepreventie.
• Inhoud van de documenten en gegevens van ontvangers (naam en e-mail van wie een document ontvangt, opent, verifieert of aanvaardt): verwerkt als verwerker, namens de gebruiker als verwerkingsverantwoordelijke.
• Tekst die naar de functies voor kunstmatige intelligentie wordt gestuurd (een document opstellen, nakijken of uitleggen), alleen wanneer de gebruiker ze gebruikt. Die kan persoonsgegevens van derden bevatten als het document die bevat; ze wordt als verwerker namens de gebruiker verwerkt. Gebruik deze functies niet met bijzondere categorieën van gegevens (gezondheid, levensbeschouwing, vakbondslidmaatschap, etnische afkomst, seksueel leven, biometrie, strafrechtelijke gegevens).
• Audio-opnamen van vergaderingen, alleen wanneer de gebruiker de notulenfunctie gebruikt: het audiobestand wordt naar de aanbieder van kunstmatige intelligentie gestuurd (via OpenRouter) om het te transcriberen en een concept van de notulen op te stellen. CODEX bewaart de opname niet: alleen de SHA-256-vingerafdruk en de grootte worden opgeslagen. De opname bevat de stemmen en wat de deelnemers zeggen; ze wordt als verwerker namens de gebruiker verwerkt, die de deelnemers vóór de opname moet informeren.
• Anonieme meting van de werking van de website: bij het verlaten van elke pagina stuurt de browser drie laadtijden, de pagina en of het een mobiel scherm is. Geen cookies, geen identificatoren, en het IP-adres wordt niet opgeslagen.
• Technische browserrapporten wanneer het beveiligingsbeleid van de website iets blokkeert: de pagina (zonder parameters), de regel en de geblokkeerde herkomst. Geen gegevens over de persoon.
• Antwoorden op vrijwillige enquêtes om de website te verbeteren: anoniem; we vragen geen naam of e-mail.

Het verankeren van het bewijs in de openbare blockchain publiceert alleen een cryptografische vingerafdruk (SHA-256-hash) van het document: noch de inhoud van het document noch persoonsgegevens worden in de keten gepubliceerd.

4. Doeleinden en rechtsgrond

Doel	Rechtsgrond (art. 6 AVG)
De Dienst leveren (verzegelen, verifiëren, delen, het bewijs bewaren) en het account beheren.	Uitvoering van de overeenkomst.
Facturering en fiscale en boekhoudkundige verplichtingen.	Wettelijke verplichting.
Beveiliging van de Dienst, fraudepreventie en afhandeling van incidenten.	Gerechtvaardigd belang (met recht van bezwaar).
Dienstberichten (operationele meldingen).	Uitvoering van de overeenkomst.
Commerciële berichten over vergelijkbare eigen producten of diensten, in voorkomend geval.	Toestemming of art. 21.2 LSSI, met afmeldmogelijkheid in elk bericht.
Door de gebruiker ingeschakelde functies voor kunstmatige intelligentie (opstellen, nakijken, uitleggen).	Uitvoering van de overeenkomst. Voor de inhoud van de documenten treden we op als verwerker, volgens de instructies van de gebruiker (art. 28 AVG).
De snelheid en werking van de website meten en verbeteren, met anonieme gegevens.	Gerechtvaardigd belang.
Vrijwillige enquêtes om de duidelijkheid van de website te verbeteren.	Toestemming: deelname is vrijwillig.

5. Ontvangers en verwerkers (subverwerkers)

Gegevens worden niet aan derden verstrekt, behalve als de wet dat vereist of als het nodig is om de Dienst te leveren. Daarvoor verwerken de volgende aanbieders gegevens als verwerkers van BIOMAG, S.L.U., op basis van een verwerkersovereenkomst (de actuele lijst, met de gegevens die elk verwerkt en waar, staat op aim-codex.ai/subencargados):

• Railway (VS): hosting van de applicatie en de database, op servers in Nederland.
• Resend (VS): verzending van de e-mails van de dienst, vanuit de Europese regio (Ierland).
• Migadu-Mail GmbH (Zwitserland): de contactmailbox en reserve-e-mailverzending.
• OpenRouter, Inc. (VS): toegang tot de modellen voor kunstmatige intelligentie, alleen wanneer die functies worden gebruikt: ontvangt de tekst en, als vergadernotulen worden gebruikt, de audio-opname. Elk verzoek eist dat de aanbieder die het model uitvoert de gegevens niet bewaart en niet gebruikt voor training.
• Paddle.com Market Limited (Verenigd Koninkrijk): inning van de abonnementen als wederverkoper; verwerkt de betaalgegevens als verwerkingsverantwoordelijke, niet namens ons.
• Tijdstempelkalenders van de openbare blockchain (OpenTimestamps) en tijdstempelautoriteiten (DigiCert, Sectigo en FreeTSA): ontvangen alleen de SHA-256-vingerafdruk, geen persoonsgegevens.
• Openbare Bitcoin-explorers (blockstream.info en mempool.space): wanneer u een document verifieert, vraagt uw browser hun rechtstreeks de openbare gegevens van het blok waarin het verankerd is; zoals elke website ontvangen ze uw IP-adres en het bloknummer, nooit het document of de vingerafdruk ervan. Onze server raadpleegt ze ook, alleen met het bloknummer.
• Fiscale en boekhoudkundige adviseurs, auditors en juridische dienstverleners, indien nodig, en overheidsinstanties, wanneer de wet dat vereist.

Waar uw gegevens zijn. De gegevens van uw account en uw documenten worden opgeslagen in de Europese Unie. De tekst en de audio die u naar de functies voor kunstmatige intelligentie stuurt, worden verwerkt in de Verenigde Staten of in andere landen waar de modelaanbieders gevestigd zijn.

Internationale doorgiften: Railway, Resend en OpenRouter zijn Amerikaanse bedrijven. Elke doorgifte of toegang van buiten de Europese Economische Ruimte valt onder de modelcontractbepalingen van de Europese Commissie in hun verwerkersovereenkomsten en, bij Resend, ook onder het EU-VS-kader voor gegevensbescherming. Voor Zwitserland en het Verenigd Koninkrijk bestaat een adequaatheidsbesluit van de Europese Commissie.

6. Bewaartermijnen

• Account- en documentgegevens: zolang het account actief is en, na opzegging, gedurende de termijn die de gebruiker bepaalt of die nodig is om aan wettelijke aansprakelijkheden te voldoen.
• Facturering: de termijnen die de fiscale en handelswetgeving voorschrijven.
• Vragen/ondersteuning: tot de afhandeling en, in voorkomend geval, voor de traceerbaarheid.
• Beveiliging/fraude: zolang nodig; daarna geblokkeerd om aan aansprakelijkheden te voldoen.
• Openingen van links en codes: het IP-adres en de browser van elke opening worden na 12 maanden gewist (alleen de datum blijft); verificatiecodes en links om het wachtwoord te wijzigen de dag na het verlopen; nooit bevestigde abonnementen op meldingen na 30 dagen.
• Na verwijdering van het account: de documenten en gegevens worden gewist. Van elk verzegeld document blijven alleen de cryptografische vingerafdruk, de versie, de datum van verzegeling en of het ingetrokken was of verliep bewaard, zonder titel en zonder persoonsgegevens, zodat wie het ontving kan blijven controleren dat het echt is.

Wissen van de gegevens van wie ondertekent of de ontvangst bevestigt. Op verzoek van de persoon wist de uitgever diens gegevens in de console: naam, e-mail, IP en browser verdwijnen uit de lijsten, het activiteitenlogboek en de exports, en de link werkt niet meer. Reeds verzegelde bewijzen en dossiers worden niet gewijzigd, omdat hun vingerafdruk dan zou veranderen en ze niets meer zouden bewijzen: ze worden bewaard zonder openbare link, alleen de uitgever kan ze downloaden en alleen voor de instelling, uitoefening of onderbouwing van een rechtsvordering (art. 17, lid 3, onder e, AVG), en ze worden met het account gewist. In dossiers die via een link worden gedeeld, zijn de e-mailadressen gemaskeerd.

7. Uw rechten

U kunt uw rechten op inzage, rectificatie, wissing, bezwaar, beperking, overdraagbaarheid en intrekking van toestemming uitoefenen door u te wenden tot:

• Post: c/ Barrachi, 39 – Pab. 3, 01013 Vitoria-Gasteiz (Álava, Spanje).
• E-mail: hola@aim-codex.ai.

We kunnen om een identiteitsbewijs vragen. Antwoordtermijn: maximaal 1 maand (verlengbaar met 2 maanden). Als gegevens als verwerker worden verwerkt (de gegevens in de documenten van een klant), sturen we verzoeken van betrokkenen door naar de verantwoordelijke klant. U kunt een klacht indienen bij de Spaanse toezichthouder voor gegevensbescherming: www.aepd.es.

8. Minderjarigen

De Dienst is niet bedoeld voor kinderen jonger dan 14 jaar en hun gegevens worden niet bewust verwerkt. Als ze worden aangetroffen, worden ze gewist.

9. Beveiliging en inbreuken

We passen passende technische en organisatorische maatregelen toe (toegangscontrole, versleuteling tijdens de overdracht, verzegeling en integriteit van het bewijs, registratie van incidenten en back-ups). Bij een inbreuk met risico melden we die binnen maximaal 72 uur aan de AEPD en, indien nodig, aan de betrokkenen.

10. Cookies

Informatie over cookies staat in het Cookiebeleid.