Privacyverklaring

1. Inleiding

Growf (“Growf”, “we”, “wij”) biedt een AI-besturingssysteem voor bureaus. Deze privacyverklaring legt uit welke gegevens we verzamelen, waarom we dat doen, hoe we ze beschermen en welke keuzes je hebt. Ze geldt voor onze website, applicaties en API (samen: de “Diensten”). Onder de Algemene verordening gegevensbescherming (AVG) is Growf verwerkingsverantwoordelijke voor accountgegevens en verwerker voor de klantinhoud die je in het platform zet.

2. Wat we verzamelen

We verzamelen gegevens op drie manieren:

• Gegevens die je zelf geeft. Accountgegevens zoals naam, zakelijk e-mailadres en werkruimtenaam; factuurgegevens; en de inhoud die je uploadt, zoals briefings, strategieën, assets en klantcontext.
• Gegevens uit je gebruik. Logbestanden, apparaat- en browsergegevens, IP-adres en gebruiksgebeurtenissen waarmee we de Diensten draaiend houden en verbeteren.
• Gegevens uit koppelingen. Koppel je een tool van derden, dan ontvangen we de gegevens die je die koppeling laat delen. Hoofdstuk 5 legt uit wat dit betekent voor Google-accounts.

3. Hoe we gegevens gebruiken

We gebruiken gegevens om:

• de Diensten te leveren, te onderhouden en te beveiligen;
• de agents en functies te draaien waar je om vraagt, op jouw instructie;
• betalingen te verwerken en je abonnement te beheren;
• support te bieden en op je vragen te reageren;
• te begrijpen hoe het product wordt gebruikt, zodat we het kunnen verbeteren;
• te voldoen aan de wet en onze Algemene voorwaarden te handhaven.

Onze grondslagen zijn de uitvoering van onze overeenkomst met jou, je toestemming waar die nodig is, ons gerechtvaardigd belang bij het draaien van de Diensten, en het naleven van de wet.

4. AI & je inhoud

Growf zet AI en agents in om briefings om te zetten in strategie en content. Dit is belangrijk, dus zeggen we het onomwonden:

• We gebruiken je vertrouwelijke klantinhoud niet om gedeelde modellen of foundation models te trainen.
• We gebruiken gegevens uit je gekoppelde accounts, waaronder Google-gebruikersgegevens, niet om algemene AI- of machine-learningmodellen te trainen — niet die van ons en niet die van een ander.
• Inhoud wordt verwerkt om uitsluitend voor jouw werkruimte output te maken, op jouw instructie.
• Waar we modelaanbieders van derden inzetten, treden zij op als onze subverwerker onder contractuele voorwaarden die training op jouw gegevens verbieden.

5. Google-gebruikersgegevens

Koppel je een Google-account aan Growf, dan vragen we alleen de rechten die de functie nodig heeft die je hebt aangezet. Google toont je elke scope op het toestemmingsscherm voordat je akkoord gaat.

Wat we met Google-gebruikersgegevens doen

• We gebruiken ze alleen om de functies te leveren en te verbeteren waarvoor je ze hebt gekoppeld.
• We slaan ze versleuteld op, zoals beschreven in hoofdstuk 7.
• We verwijderen ze zodra je de koppeling verbreekt, de inhoud wist of je werkruimte sluit. De termijnen staan in hoofdstuk 8.
• Je kunt de toegang op elk moment intrekken in Growf, of via myaccount.google.com/permissions.

Wat we nooit doen

• We verkopen Google-gebruikersgegevens niet.
• We gebruiken ze niet voor advertenties, advertentiepersonalisatie, kredietbeoordeling of leningsbeslissingen.
• We gebruiken ze niet om algemene AI- of machine-learningmodellen te trainen. Verwerkt een modelaanbieder ze om output voor jouw werkruimte te maken, dan treedt die op als onze subverwerker onder voorwaarden die training op jouw gegevens verbieden.
• We geven ze niet door aan anderen, behalve aan subverwerkers die op onze instructie handelen, wanneer de wet dat eist, of bij een fusie of verkoop van activa die we vooraf aan je melden.
• Onze medewerkers lezen je Google-gebruikersgegevens niet, behalve met je uitdrukkelijke toestemming, om een beveiligingsprobleem op te lossen, wanneer de wet dat eist, of wanneer de gegevens geaggregeerd en geanonimiseerd zijn.

Het gebruik en de doorgifte door Growf van informatie die via Google API’s is ontvangen naar andere apps voldoet aan het Google API Services User Data Policy, inclusief de Limited Use-vereisten.

Growf’s use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

6. Delen & verwerkers

We verkopen je persoonsgegevens niet. We delen gegevens alleen met:

• Subverwerkers: gescreende leveranciers (hosting, modelaanbieders, betalingen, analytics) die gegevens namens ons verwerken onder een verwerkersovereenkomst. We houden een actuele lijst bij en delen die op verzoek.
• Binnen je werkruimte: met de leden en rollen aan wie jij toegang geeft.
• Wet & veiligheid: wanneer de wet dat eist, of om de rechten en veiligheid van gebruikers en het publiek te beschermen.
• Bedrijfsoverdracht: bij een fusie, overname of verkoop van activa, met inachtneming van deze verklaring.

7. Hoe we je gegevens beschermen

We beschermen alle persoonsgegevens, en gegevens uit gekoppelde accounts in het bijzonder, met technische en organisatorische maatregelen:

• Versleuteling. Gegevens zijn versleuteld tijdens transport met TLS 1.2 of hoger en in rust met AES-256.
• Sleutelbeheer. Geheimen en encryptiesleutels staan in een beheerde key-managementdienst en roteren volgens een vast schema.
• Toegangsbeheer. Binnen je werkruimte bepalen rollen wie wat ziet. Toegang van Growf-medewerkers tot productiesystemen vereist multifactorauthenticatie, volgt het principe van minimale rechten, en wordt gelogd en beoordeeld.
• Isolatie. Elke werkruimte is logisch gescheiden, zodat de ene klant niet bij de inhoud van de andere kan.
• Infrastructuur. We draaien op cloudinfrastructuur in de EU met netwerksegmentatie, firewalls en privénetwerken, en we voeren beveiligingspatches snel door.
• Veilige ontwikkeling. Wijzigingen gaan vóór release door review en tests via gecontroleerde CI/CD-workflows.
• Incidentrespons. We hebben een incidentresponsplan voor detectie, indamming, verwijdering en herstel. Raakt een incident jouw gegevens, dan informeren we getroffen klanten zonder onnodige vertraging en conform onze wettelijke verplichtingen.

Gevoelige gegevens. We behandelen gegevens uit gekoppelde accounts als gevoelig. Daaronder vallen Google-gebruikersgegevens zoals e-mail-, agenda- en bestandsinhoud. Elke maatregel hierboven geldt ook daarvoor, de toegang blijft beperkt tot de kleinste groep medewerkers die ze nodig heeft, en de gegevens staan in de EU-systemen uit hoofdstuk 10.

Onze volledige beveiligingspraktijk staat op onze pagina Security.

8. Bewaren & verwijderen

We bewaren persoonsgegevens niet langer dan nodig:

Gegevens	Hoe lang we ze bewaren
Account- en werkruimtegegevens	Zolang je account actief is, daarna binnen 30 dagen na sluiting verwijderd of geanonimiseerd
Klantinhoud die je uploadt	Zolang je account actief is, daarna binnen 30 dagen na sluiting verwijderd
Gegevens uit gekoppelde accounts, waaronder Google-gebruikersgegevens	Tot je de koppeling verbreekt of je werkruimte sluit, daarna binnen 30 dagen verwijderd
Logbestanden en gebruiksgebeurtenissen	12 maanden
Back-ups	Doorlopend opgeschoond, binnen 90 dagen
Factuur- en boekhoudgegevens	7 jaar, zoals de Nederlandse belastingwet vereist

Wil je gegevens eerder laten verwijderen? Verbreek de koppeling in het product, wis de inhoud, of mail support@growf.io. We bevestigen de verwijdering binnen 30 dagen. We bewaren gegevens langer dan deze termijnen alleen wanneer de wet, onze boekhoudplicht of een lopend beveiligingsonderzoek dat vereist.

9. Je rechten

Afhankelijk van waar je woont heb je mogelijk het recht om je persoonsgegevens in te zien, te corrigeren, te exporteren, te beperken of te laten verwijderen, en om bezwaar te maken tegen bepaalde verwerkingen. Veel daarvan regel je rechtstreeks in het product, of via ons. Woon je in de EER of het VK, dan kun je ook een klacht indienen bij je toezichthouder — in Nederland de Autoriteit Persoonsgegevens.

10. Internationale doorgifte

Growf wordt vanuit de Europese Unie geleid en slaat gegevens hoofdzakelijk binnen de EER op. Worden gegevens buiten de EER doorgegeven, dan steunen we op passende waarborgen zoals de modelcontractbepalingen van de Europese Commissie.

11. Wijzigingen in deze verklaring

We werken deze verklaring van tijd tot tijd bij. Zijn de wijzigingen ingrijpend, dan laten we het je weten via de Diensten of per e-mail voordat ze ingaan. De datum “laatst bijgewerkt” hierboven verwijst altijd naar de huidige versie.

12. Contact

Vragen over privacy, of wil je een recht uitoefenen? Mail ons op support@growf.io. Je kunt ook onze beveiligingspraktijk en Algemene voorwaarden bekijken.