Privacyverklaring BAM

_Versie 1.0, ingangsdatum: 6 oktober 2026._

1. Wie zijn wij

Buro Staal ("wij"), gevestigd te Hoofdstraat 86a, 2678 CM De Lier,

KVK-nummer 92264492, is verwerkingsverantwoordelijke voor de

persoonsgegevens die je met ons deelt via BAM. Voor vragen:

analytics@burostaal.nl.

2. Wat is BAM

BAM is de data-assistent die vragen beantwoordt over de websitedata van

onze klanten. Klanten loggen in met hun eigen wachtwoord en zien alleen hun

eigen data.

3. Welke gegevens verwerken wij

Bij het gebruik van BAM verwerken wij:

• Accountgegevens: e-mailadres, naam, rol (Accountbeheerder, Gebruiker

of Kijker), tijdstip van laatste login en wie je heeft uitgenodigd.

Wachtwoorden slaan we alleen op als gesalte hash (argon2id).

Admin-beheerders van Buro Staal hebben een eigen set gegevens

(e-mail + password-hash).

• Chat-inhoud: de vragen die je stelt en de antwoorden van BAM,

gekoppeld aan jouw accountgegevens zodat jouw accountbeheerder kan

zien wie wat heeft gevraagd.

• Websitedata: analytics uit Google Analytics 4 en Google Search Console

van jouw eigen website, via Porter Metrics.

• Technische gegevens: IP-adres, user-agent, sessie-cookies en tijdstip

van je verzoeken. Gebruikt voor beveiliging, rate limiting en foutmeldingen.

• Rapportwijzigingen: als jij BAM vraagt iets aan het dashboard te

veranderen, slaan wij vast wie wat wanneer heeft aangepast (audit-log).

• E-mails die wij voor jou verzenden: uitnodigingen voor accounts,

wachtwoord-reset-mails en bevestigingen van wachtwoordwijzigingen gaan

via Mailgun (zie subverwerkers).

4. Waarvoor gebruiken wij die gegevens

• Antwoorden geven: je vraag, de systeemprompt met klant-context en de

resultaten van tool-calls (bijvoorbeeld rijen uit GA4 of Search Console)

gaan naar Anthropic (Claude) om een antwoord te genereren.

• Data ophalen: wij vragen jouw eigen GA4 en Search Console via Porter

Metrics op.

• Pagina- en zoekwoord-analyses (alleen voor agents waar jij Buro Staal

toestemming voor hebt gegeven):

• Google PageSpeed Insights voor snelheidsmetingen (alleen de publieke

URL van jouw eigen pagina; geen persoonsgegevens).

• DataForSEO voor zoekvolumes (de keywords die jij opgeeft). Betaald

gebruik vraagt eerst om expliciete bevestiging.

• BlogVault voor site-health, backup-status en openstaande updates van

jouw WordPress-site; alleen lezen, nooit schrijven.

• Beveiliging: sessies, rate limiting, audit-log tegen misbruik.
• Serviceverbetering: geaggregeerde metrics (aantal chats, tokens per

klant, kostenregistratie) voor Buro Staal intern.

Wij gebruiken jouw data niet voor:

• Reclame of marketing van derden.
• Training van AI-modellen. Anthropic bevestigt in de API-voorwaarden dat

API-input niet voor modeltraining wordt gebruikt.

• Verkoop aan derden.

5. Wettelijke grondslag

Wij verwerken je gegevens op basis van:

• Uitvoering overeenkomst (art. 6 lid 1 sub b AVG): jij hebt de

BAM-service afgenomen bij ons.

• Gerechtvaardigd belang (art. 6 lid 1 sub f AVG): voor beveiliging,

fraudepreventie en kwaliteitsverbetering.

6. Verwerkers (subverwerkers)

Wij gebruiken de volgende partijen. Partijen gemarkeerd als "optioneel" zijn

alleen actief als jij per agent of per klant toestemming hebt gegeven en de

bijbehorende sleutel in de serverconfiguratie staat.

Google PageSpeed Insights wordt wel aangeroepen door de pagina-analist, maar

krijgt alleen de publieke URL van jouw eigen pagina mee; er gaan daar geen

persoonsgegevens van klanten overheen. Google is daarom geen verwerker in de

zin van artikel 28 AVG voor BAM.

Actuele lijst en DPA-status: mail analytics@burostaal.nl.

7. Doorgifte buiten EU

Anthropic en DataForSEO verwerken data in de Verenigde Staten. Wij hebben

voor beide Standaard Contractuele Clausules (SCC's) van de Europese

Commissie als transfer-basis opgenomen. BlogVault / MalCare is een Indiase

entiteit (Inactiv.com Media Solutions Pvt Ltd); hun infrastructuur draait in

AWS EU, en wij hebben SCC's als transfer-basis opgenomen. Google (als bron

voor jouw GA4- en Search Console-data) is subverwerker van jouw eigen

Porter-account, niet van Buro Staal, en heeft eveneens SCC's.

8. Bewaartermijnen

• Accountgegevens (e-mail, naam, rol, laatste login): zolang je account

actief is. Als je account wordt verwijderd blijven je conversaties

bewaard met user_id = NULL, maar jouw naam en e-mail worden

verwijderd uit onze database.

• Chat-inhoud: 90 dagen bij ons (CHAT_RETENTION_DAYS, dagelijks

opgeschoond), 30 dagen bij Anthropic (Anthropic's standaard voor

API-input). Daarna geautomatiseerd verwijderd.

• Audit-log: 12 maanden (AUDIT_RETENTION_DAYS). Voor security-forensics

en nagaan wie welke wijziging heeft gevraagd.

• Token-gebruik en budget-registratie: 12 maanden, voor facturering en

kostenbewaking.

• Invite- en reset-tokens: hash in de database, maximaal 7 dagen

(invite) of 60 minuten (reset) na uitgifte; daarna niet meer bruikbaar.

• Sessies: verwijderd bij uitloggen, na inactiviteit (12 uur voor

klanten, 8 uur voor beheerders) of bij het bereiken van de absolute

limiet (30 dagen voor klanten, 7 dagen voor beheerders).

• Backups: 14 dagen rolling (BACKUP_RETAIN).

Kortere retentie dan het bovenstaande op verzoek mogelijk voor klanten met

gevoelige data.

9. Beveiliging

• Wachtwoorden opgeslagen als argon2id-hash.
• Sessies als random 256-bit token in een HttpOnly-cookie.
• CSRF-bescherming via double-submit token.
• Rate limiting op login (5 pogingen per 15 minuten).
• Alle communicatie over HTTPS met HSTS.
• Isolatie tussen klanten in code afgedwongen (guard-laag).
• Audit-log voor gevoelige acties.

10. Jouw rechten (AVG)

Je hebt recht op:

• Inzage van je gegevens.
• Rectificatie (aanpassen).
• Verwijdering ("recht op vergetelheid") na afloop overeenkomst.
• Beperking van de verwerking.
• Overdraagbaarheid (export van je data).
• Bezwaar tegen verwerking op basis van gerechtvaardigd belang.

Stuur je verzoek naar analytics@burostaal.nl. Wij reageren binnen 30 dagen.

Ben je het niet eens met onze afhandeling: je hebt het recht een klacht in

te dienen bij de Autoriteit Persoonsgegevens.

11. Cookies

BAM gebruikt alleen strikt-noodzakelijke cookies (login-sessie en CSRF).

Geen tracking, geen advertentie-cookies. Daarom geen cookiebanner nodig.

12. Wijzigingen

Wijzigingen aan deze privacyverklaring publiceren wij op deze pagina. Grote

wijzigingen kondigen wij per e-mail aan.

13. Contact

Buro Staal, Hoofdstraat 86a, 2678 CM De Lier

E-mail: analytics@burostaal.nl

Telefoon: 0174 79 22 06

KVK: 92264492