Tootela wordt geëxploiteerd door Tootela SAS, een Frans bedrijf. Dit beleid wordt voor het gemak in het Nederlands verstrekt; bij een geschil is het Franse recht van toepassing, zoals uiteengezet in onze Gebruiksvoorwaarden.
1. Wie we zijn
Dit Privacybeleid is van toepassing op de website tootela.net en de Tootela-applicatie. De verwerkingsverantwoordelijke is Tootela SAS, met maatschappelijke zetel te Bureau 326, 59 rue de Ponthieu, 75008 Paris, France, ingeschreven in Frankrijk onder Paris 104 301 569.
Heeft u een vraag over hoe wij met uw gegevens omgaan, neem dan contact op via contact@tootela.net. Voor specifieke verzoeken inzake gegevensbescherming kunt u onze functionaris voor gegevensbescherming bereiken via contact@tootela.net.
2. Wat we verzamelen
We verzamelen alleen wat nodig is om de dienst te laten werken. Er zijn vijf categorieën:
Accountgegevens
- Naam, e-mailadres, wachtwoord (gehasht door onze authenticatieprovider, nooit in leesbare vorm opgeslagen)
- Bedrijfsnaam, functie, land (gebruikt om het product te lokaliseren)
- Profielfoto als u er een uploadt
Klantinhoud
De gegevens die u aanmaakt of uploadt terwijl u Tootela gebruikt : berichten, documenten, bestanden, contacten, deals, tickets, projecten, agenda-afspraken, enz. U bent eigenaar van deze inhoud. We verwerken deze namens u om het product te laten werken. We raadplegen deze voor geen enkel ander doel.
Gebruiksgegevens
Informatie over hoe u het product gebruikt : bezochte pagina's, gebruikte functies, opgetreden fouten, bij benadering locatie afgeleid van uw IP-adres, browser- en besturingssysteemtype. We gebruiken dit om het product te verbeteren en problemen op te sporen. Op de marketingsite draaien statistieken alleen als u toestemming geeft (zie sectie 10).
Facturatiegegevens
Als u een betaald abonnement neemt, verzamelen we facturatiegegevens : bedrijfsnaam, factuuradres, btw-nummer. Kaartnummers worden rechtstreeks verwerkt door onze betalingsverwerker (Stripe) en komen nooit op onze servers.
Supportgegevens
Wanneer u contact met ons opneemt, bewaren we een verslag van het gesprek zodat we u kunnen helpen en het product na verloop van tijd kunnen verbeteren.
3. Hoe we het gebruiken
- De dienst leveren: uw account aanmaken, uw gegevens synchroniseren, berichten bezorgen, facturen genereren, enz.
- Exploiteren en verbeteren: begrijpen welke functies worden gebruikt, bugs oplossen, prestaties bewaken.
- Communiceren: reageren op supportverzoeken, transactionele e-mails versturen (accountbevestiging, aanmeldcodes, factuurbewijzen, beveiligingswaarschuwingen), dienstmededelingen versturen.
- Marketing: als u zich hebt aangemeld, een productnieuwsbrief met lage frequentie versturen. U kunt zich met één klik afmelden.
- AI-functies: wanneer u een AI-functie gebruikt (assistent, document-AI, bonanalyse, vergaderingssamenvattingen), wordt de relevante inhoud uitsluitend naar onze AI-provider (Google Gemini) gestuurd om het antwoord voor die functie te genereren.
- Juridisch en beveiliging: fraude en misbruik voorkomen, wettelijke verplichtingen naleven, onze voorwaarden handhaven, onze rechten en die van anderen beschermen.
We gebruiken uw klantinhoud niet om AI-modellen te trainen, en onze contracten met AI-providers verbieden hen erop te trainen. We verkopen uw gegevens niet. We delen uw gegevens niet met adverteerders.
4. Rechtsgronden (AVG)
Onder de AVG hebben we voor elke verwerkingsactiviteit een rechtsgrond nodig. Zo ziet dat eruit:
| Activiteit | Rechtsgrond |
|---|---|
| Uw account beheren, uw klantinhoud verwerken, AI-functies die u oproept | Uitvoering van de overeenkomst (art. 6, lid 1, onder b) |
| Facturatie- en belastingregisters | Wettelijke verplichting (art. 6, lid 1, onder c) |
| De dienst verbeteren, beveiliging, fraudepreventie | Gerechtvaardigd belang (art. 6, lid 1, onder f) |
| Marketing-e-mails, analytische cookies op de marketingsite | Toestemming (art. 6, lid 1, onder a) |
5. Met wie we gegevens delen
We maken gebruik van een klein aantal gecontroleerde subverwerkers, elk onder een schriftelijke verwerkersovereenkomst met passende AVG-waarborgen:
| Subverwerker | Doel | Regio |
|---|---|---|
| Supabase Inc. | Database, authentication, storage | EU — eu-west-3 (Paris, France) |
| Vercel Inc. | Application hosting, CDN, edge compute | Global edge |
| Stripe Inc. | Payment processing (incl. Stripe Connect for customers’ own invoice payments) | Ireland (EU) + USA |
| Resend Inc. | Transactional email delivery | USA (with EU SCCs) |
| Google LLC | Generative AI (Gemini API) for the AI assistant : opt-in only | USA (with EU SCCs) |
| LiveKit Inc. | Video meetings and calls (real-time audio/video infrastructure) | USA (with EU SCCs) |
| B2B Router (DocProcess group) | E-invoicing network access (Peppol / French PDP flows) | EU |
| Google LLC — Google Analytics 4 | Audience measurement : consent-gated, only loads after opt-in | USA (with EU SCCs) |
| Vercel Inc. — Vercel Analytics | Privacy-friendly, cookieless page analytics | Global edge |
| Google LLC — OAuth | Optional Gmail / Google Calendar sync : only when the user connects their Google account | USA (with EU SCCs) |
We werken deze lijst bij wanneer die verandert. Heeft u een Tootela-verwerkersovereenkomst, dan brengen we u 30 dagen vóór het toevoegen van een nieuwe subverwerker op de hoogte zodat u bezwaar kunt maken.
Daarnaast delen we gegevens uitsluitend:
- Op uw uitdrukkelijke instructie (bijvoorbeeld wanneer u een integratie van derden verbindt, zoals de synchronisatie met Gmail of Google Calendar)
- Indien vereist door de wet, een gerechtelijk bevel, of om te beschermen tegen fraude of dreigende schade
- In het kader van een bedrijfsoverdracht (fusie, overname), met continuïteit van deze privacyverplichtingen
6. Internationale doorgiften
Tootela is een Frans bedrijf en onze database bevindt zich in de EU (eu-west-3 (Paris, France)). Sommige van onze subverwerkers opereren van buiten de EU (met name de Verenigde Staten). Wanneer dat gebeurt, wordt de doorgifte gedekt door door de Europese Commissie goedgekeurde modelcontractbepalingen (SCC's), plus aanvullende technische en organisatorische maatregelen.
Voor AI-functies wordt inhoud alleen naar onze AI-provider (Google Gemini) gestuurd wanneer u de functie gebruikt, en enkel wat nodig is om het antwoord te genereren. Onze overeenkomst met de provider verbiedt het trainen op deze inhoud.
7. Hoe lang we gegevens bewaren
| Gegevens | Bewaring |
|---|---|
| Account en klantinhoud (actief abonnement) | Voor de levensduur van het account |
| Account en klantinhoud (na verwijdering) | Definitief verwijderd binnen 30 dagen na het verwijderingsverzoek, behalve inhoud die onder een wettelijke bewaarplicht valt |
| Back-ups | Overschreven binnen de dagelijkse back-uprotatie van onze provider |
| Facturatieregisters | 10 jaar (Franse belastingwetgeving) |
| Serverlogboeken | Bewaard door onze hostingproviders binnen hun standaardrotatie en daarna verwijderd |
| Marketinggegevens | Tot u zich afmeldt; we bewaren het bewijs van uw afmelding zodat we u niet opnieuw benaderen |
8. Beveiliging
Gegevens worden tijdens verzending (TLS) en in rust versleuteld door onze infrastructuuraanbieders. Authenticatie wordt beheerd door Supabase (wachtwoorden gehasht, nooit in leesbare vorm opgeslagen), met tweefactorauthenticatie via e-mailcode beschikbaar. Toegang binnen een werkruimte is rolgebaseerd, en werkruimten zijn op databaseniveau van elkaar geïsoleerd. Onze aanbieders maken dagelijkse back-ups. Het volledige beeld staat op onze Beveiligingspagina.
Ondanks onze inspanningen is geen enkel systeem onkwetsbaar. Als er een inbreuk plaatsvindt die waarschijnlijk een risico voor uw rechten oplevert, stellen we de CNIL binnen 72 uur op de hoogte en informeren we de getroffen gebruikers zonder onnodige vertraging.
9. Uw rechten
Onder de AVG heeft u het recht op:
- Inzage: een kopie opvragen van de persoonsgegevens die we over u bewaren
- Rectificatie: onjuiste gegevens corrigeren
- Wissing: ons vragen uw gegevens te verwijderen («recht om vergeten te worden»)
- Beperking: ons vragen de verwerking van uw gegevens tijdelijk te staken
- Overdraagbaarheid: uw gegevens ontvangen in een gestructureerd, machineleesbaar formaat
- Bezwaar: bezwaar maken tegen verwerking op basis van gerechtvaardigd belang, met inbegrip van profilering
- Toestemming intrekken: voor elke verwerking op basis van toestemming, op elk moment
- Een klacht indienen: bij de Franse gegevensbeschermingsautoriteit, de CNIL (cnil.fr)
Om een van deze rechten uit te oefenen, mailt u naar contact@tootela.net. We reageren binnen 30 dagen.
10. Cookies
De marketingsite gebruikt Google Analytics, dat pas wordt geladen nadat u via de cookiebanner toestemming heeft gegeven; het product zelf gebruikt alleen de cookies die nodig zijn om u aangemeld te houden. De volledige lijst en hoe u ze beheert (waaronder de link «Cookie preferences» in de voettekst) staat in ons Cookiebeleid.
11. Kinderen
Tootela is een B2B-product dat voor professioneel gebruik is bestemd. De dienst is niet gericht op kinderen jonger dan 16 jaar en we verzamelen niet bewust persoonsgegevens van hen. Als u vermoedt dat een kind een account heeft aangemaakt, neem dan contact met ons op en we verwijderen het.
12. Wijzigingen in dit beleid
Als we wezenlijke wijzigingen aanbrengen, stellen we u ten minste 30 dagen voordat ze van kracht worden per e-mail en via een banner in het product op de hoogte. De datum «laatst bijgewerkt» boven aan de pagina geeft altijd de huidige versie weer.
13. Contact
Vragen, zorgen, verzoeken : contact@tootela.net, of contact@tootela.net specifiek voor gegevensbescherming. Post: Tootela SAS, Bureau 326, 59 rue de Ponthieu, 75008 Paris, France.