Privacybeleid
1. Wie is verantwoordelijk
De verwerkingsverantwoordelijke voor de persoonsgegevens in deze verklaring is Qraft Holding B.V., Beeldhouwersdijk 43, 3541 AP Utrecht, Nederland, Kamer van Koophandel (KvK) 54873576. Voor vragen of verzoeken over privacy mail je naar privacy@vambel.com.
Gebruikt een bedrijf vambel, dan verwerken we de mensen en content in zijn werkruimte (bijvoorbeeld foto's en stemmen van presentatoren, of namen in scripts) namens dat bedrijf. Voor die gegevens is het bedrijf de verwerkingsverantwoordelijke en zijn wij de verwerker volgens onze verwerkersovereenkomst. Kom je voor in de video van iemand anders, neem dan eerst contact op met dat bedrijf; wij helpen het om je verzoek af te handelen.
2. Wat we verwerken, waarom en op welke grondslag
| Gegevens | Doel | Grondslag (AVG) |
|---|---|---|
| Accountgegevens: naam, e-mailadres, wachtwoord (alleen opgeslagen als argon2id-hash), naam van de werkruimte, aanvaarding van de voorwaarden | Je account aanmaken en laten werken, je e-mailadres bevestigen, servicemails sturen | Overeenkomst, art. 6 lid 1 sub b |
| Content in werkruimtes: scripts, uploads, huisstijlkits, gegenereerde media, renders, stemopnames, foto's van mensen en hun toestemmingen | vambel leveren: je projecten opslaan, bewerken, genereren en renderen | Overeenkomst, art. 6 lid 1 sub b. Voor mensen in de werkruimte van een bedrijf: in opdracht van dat bedrijf (art. 28) |
| Content die met je eigen sleutel naar Anthropic (Claude) gaat als je de assistent in de app gebruikt, een huisstijlhandboek laat lezen of een project vanaf een website laat opzetten | Die functies leveren | Overeenkomst, art. 6 lid 1 sub b |
| Content die met je eigen API-sleutels naar AI-aanbieders gaat | Op jouw instructie versturen onder je eigen overeenkomst met die aanbieder | Overeenkomst, art. 6 lid 1 sub b |
| Gebruiksgegevens: aanbieder, model, eenheden, kosten | Je transparant laten zien wat er is gegenereerd en wat het kostte | Overeenkomst, art. 6 lid 1 sub b, en gerechtvaardigd belang bij transparantie, art. 6 lid 1 sub f |
| Abonnements- en factuurgegevens: abonnement, betaalstatus, facturen (kaartgegevens worden door Stripe verwerkt) | Betalingen ontvangen, administratie bijhouden | Overeenkomst, art. 6 lid 1 sub b; wettelijke plicht voor facturen, art. 6 lid 1 sub c |
| Beveiligingslogs: IP-adres, user agent, tijdstippen | Accounts en de dienst beschermen, misbruik onderzoeken | Gerechtvaardigd belang bij beveiliging, art. 6 lid 1 sub f |
| Mislukte inlogpogingen (alleen in het werkgeheugen, nooit opgeslagen) | Het raden van wachtwoorden afremmen | Gerechtvaardigd belang bij beveiliging, art. 6 lid 1 sub f |
| Marketingmails (alleen als je het vrijwillige vakje hebt aangevinkt) | Nieuws over vambel sturen | Toestemming, art. 6 lid 1 sub a; je kunt die altijd intrekken |
| Meldingen van illegale content en hoe we die afhandelen | Meldingen behandelen en besluiten vastleggen | Wettelijke plicht (digitaledienstenverordening), art. 6 lid 1 sub c, en gerechtvaardigd belang, art. 6 lid 1 sub f |
Je moet ons de accountgegevens geven om vambel te kunnen gebruiken; zonder die gegevens kunnen we de dienst niet leveren. We nemen geen geautomatiseerde besluiten met rechtsgevolgen of vergelijkbare aanzienlijke gevolgen voor jou. We gebruiken je content niet om AI-modellen te trainen.
3. Met wie we gegevens delen en doorgifte buiten de EU
We hosten vambel op onze eigen server in Nederland (EU). Spraakherkenning (Whisper) draait op die server, dus opnames verlaten de server daarvoor niet. We werken met deze verwerkers:
| Ontvanger | Waarvoor | Gegevens | Locatie en waarborg |
|---|---|---|---|
| Tailscale Inc. | Netwerkdoorgifte van HTTPS-verkeer | Versleuteld verkeer en verbindingsgegevens zoals IP-adressen. TLS eindigt op onze eigen server, dus Tailscale ziet geen content. | Verenigde Staten; standaardcontractbepalingen (verwerkersovereenkomst van Tailscale) |
| Stripe (Stripe Payments Europe Ltd, Stripe, Inc.) | Betalingen | Naam, e-mailadres, betaal- en factuurgegevens | Ierland (EU) en Verenigde Staten; EU-VS Data Privacy Framework en standaardcontractbepalingen |
| [e-mailaanbieder] | E-mails versturen (bevestiging, service- en factuurberichten, marketing als je daarvoor koos) | Naam, e-mailadres, inhoud van het bericht | [nog te bevestigen] |
Aanbieders die je zelf koppelt (ElevenLabs, OpenAI, xAI, BytePlus, OpenRouter, Anthropic) zijn niet onze verwerkers. Gebruik je je eigen API-sleutel, dan versturen we de content op jouw instructie onder je eigen overeenkomst met die aanbieder en geldt het privacybeleid van die aanbieder.
Heeft een huisstijlkit een webfont nodig, dan downloadt onze server het lettertypebestand van Google Fonts. Er gaan geen bezoekersgegevens naar Google. We gebruiken geen analytics, geen advertentietrackers en geen cookies van derden.
We kunnen gegevens verstrekken als de wet dat vereist, bijvoorbeeld aan een rechter of autoriteit, en alleen voor zover dat vereist is.
4. Hoe lang we gegevens bewaren
| Gegevens | Bewaartermijn |
|---|---|
| Accountgegevens en content in werkruimtes | Zolang je account bestaat |
| Nadat je je account verwijdert | Content van werkruimtes waarvan jij de enige eigenaar bent, wordt binnen 30 dagen verwijderd; back-ups roteren binnen nog eens 30 dagen |
| Niet-bevestigde aanmeldingen | Na 7 dagen verwijderd |
| Beveiligingslogs | 30 dagen |
| Mislukte inlogpogingen | Alleen in het werkgeheugen, niet opgeslagen |
| Facturen | 7 jaar (Nederlandse fiscale bewaarplicht) |
Werkruimtes die je met anderen deelt en waarvan je niet de enige eigenaar bent, blijven bestaan voor de andere eigenaren.
5. Je rechten
Je hebt het recht op:
- inzage in je persoonsgegevens;
- rectificatie van onjuiste gegevens;
- wissing van je gegevens;
- beperking van de verwerking;
- overdraagbaarheid: download zelf een JSON-export via je plan-knop rechtsboven in de studio (Account en abonnement);
- bezwaar tegen verwerking op basis van gerechtvaardigd belang;
- intrekking van je toestemming, op elk moment, zonder dat dit de verwerking daarvoor aantast.
Mail naar privacy@vambel.com. We reageren binnen een maand; is een verzoek ingewikkeld, dan kunnen we die termijn met maximaal twee maanden verlengen en laten we je weten waarom. We kunnen je vragen je identiteit te bevestigen. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens of bij de privacytoezichthouder in je eigen land.
6. Inwoners van Californië (CCPA/CPRA)
Kennisgeving bij verzameling
In de afgelopen 12 maanden hebben we de volgende categorieën persoonsgegevens verzameld, en dat doen we nog steeds, voor de doelen en termijnen in de hoofdstukken 2 en 4:
- Identificatiegegevens: naam, e-mailadres, IP-adres, naam van de werkruimte.
- Commerciële gegevens: abonnements- en factuurgegevens.
- Internet- of netwerkactiviteit: beveiligingslogs (user agent, tijdstippen) en gebruiksgegevens.
- Audio, beeld en vergelijkbare gegevens: stemopnames, foto's en video's die je uploadt of genereert.
- Gevoelige persoonsgegevens: inloggegevens (e-mailadres met wachtwoord). We gebruiken die alleen om je account te leveren en te beveiligen, niet om kenmerken over jou af te leiden.
Bronnen: jijzelf, mensen in je werkruimte en de aanbieders die je instructies geeft. We verstrekken persoonsgegevens voor zakelijke doeleinden alleen aan de dienstverleners in hoofdstuk 3.
We verkopen of delen geen persoonsgegevens
We verkopen je persoonsgegevens niet en we delen ze niet voor gedragsgerichte advertenties over verschillende diensten heen (cross-context behavioral advertising). Dat hebben we de afgelopen 12 maanden ook niet gedaan. We verkopen of delen niet bewust persoonsgegevens van consumenten jonger dan 16. Omdat we geen van beide doen, valt er niets af te melden; opt-outsignalen van je browser, zoals Global Privacy Control, worden vanzelf gerespecteerd.
Je rechten in Californië
Je hebt het recht om te weten welke persoonsgegevens we verzamelen, gebruiken en verstrekken; om ze te laten verwijderen; om ze te laten corrigeren; en om niet benadeeld te worden omdat je deze rechten gebruikt. Stuur je verzoek naar privacy@vambel.com of gebruik de selfservicemogelijkheden in Instellingen. We controleren verzoeken door ze te koppelen aan het e-mailadres van je account. Een gemachtigde kan met je ondertekende toestemming een verzoek voor je doen.
7. Kinderen
vambel is alleen voor mensen van 18 jaar of ouder. Het is niet gericht op kinderen en we verzamelen niet bewust persoonsgegevens van kinderen jonger dan 13. Merken we dat dit toch is gebeurd, dan verwijderen we die gegevens. Neem contact op via privacy@vambel.com als je denkt dat een kind ons gegevens heeft gegeven.
8. Beveiliging
- Wachtwoorden worden alleen als argon2id-hash opgeslagen.
- Je API-sleutels voor AI-aanbieders worden versleuteld opgeslagen met XChaCha20-Poly1305 en nooit gelogd.
- Al het verkeer is versleuteld met TLS, dat eindigt op onze eigen server.
- Werkruimtes zijn op rijniveau in de database van elkaar gescheiden.
- Toegang is geregeld met rollen, beveiligingsgebeurtenissen worden gelogd en we maken regelmatig back-ups.
Leidt een datalek waarschijnlijk tot een hoog risico voor jou, dan laten we je dat zonder onnodige vertraging weten.
9. Wijzigingen
We passen deze verklaring aan als onze verwerkingen veranderen. Belangrijke wijzigingen laten we je per e-mail weten voordat ze ingaan.