Privacyverklaring

Verantwoordelijk voor de gegevensverwerking op deze website is:

Xellux Eigenaar: Can Yigit Bgm.-Reuter-Str. 10 28327 Bremen Duitsland E-mail: info@xellux.com

2.1 Bij het bezoeken van de website

Wanneer je onze website opent, stuurt de browser van je apparaat automatisch informatie naar onze server. Deze informatie wordt tijdelijk opgeslagen in een logbestand:

• IP-adres van het aanvragende apparaat • Datum en tijdstip van de toegang • Naam en URL van het opgevraagde bestand • Referrer-URL • Gebruikte browser en besturingssysteem

2.2 Bij gebruik van ons contactformulier

Wanneer je ons via het formulier contacteert, is een geldig e-mailadres vereist zodat we je aanvraag kunnen koppelen en beantwoorden. Overige gegevens zijn vrijblijvend.

Jouw persoonsgegevens worden niet aan derden doorgegeven, behalve in de volgende gevallen:

• Je hebt uitdrukkelijk toestemming gegeven • De doorgifte is nodig voor het instellen, uitoefenen of onderbouwen van rechtsvorderingen • De doorgifte is wettelijk verplicht • Ze is nodig voor de uitvoering van contractuele verplichtingen

Voor de werking van website en producten zetten we de volgende dienstverleners in als verwerker (art. 28 AVG):

• Hetzner Online GmbH, Duitsland: hosting van applicatie en databases op servers in Duitsland • Cloudflare, Inc., VS: netwerk- en beveiligingsdienst (proxy/CDN) voor onze website; hierbij worden verbindingsgegevens zoals het IP-adres verwerkt • Stripe: afhandeling van betalingen; je voert je kaartgegevens rechtstreeks bij Stripe in, ze worden niet op onze servers opgeslagen • Resend, VS: verzending van systeem-e-mails van de Xellux ID, bijvoorbeeld ter bevestiging van je e-mailadres, en van de nieuwsbrief “Xellux Nieuws” • Google Ireland Limited, Ierland: e-mailpostvak en agenda (Google Workspace), bijvoorbeeld voor afspraken die je via de chat of een boekingspagina maakt • Anthropic, PBC, VS: taalmodel voor de chat-assistent op onze website (hoofdstuk 7); basis voor de doorgifte zijn standaardcontractbepalingen (art. 46 lid 2 onder c AVG)

Voor zover hierbij gegevens naar de VS worden doorgegeven, gebeurt dit op basis van het adequaatheidsbesluit voor het EU-US Data Privacy Framework (art. 45 AVG), waaronder deze aanbieders gecertificeerd zijn, aanvullend op basis van standaardcontractbepalingen (art. 46 lid 2 onder c AVG). Voor Anthropic gelden uitsluitend de standaardcontractbepalingen.

Wij gebruiken cookies op onze website. Dit zijn kleine bestanden die je browser automatisch aanmaakt en op je apparaat opslaat wanneer je onze pagina bezoekt. De meeste cookies die wij gebruiken, zijn sessiecookies die na je bezoek automatisch worden verwijderd. Andere cookies blijven op je apparaat staan totdat je ze verwijdert, met name technisch noodzakelijke cookies voor inloggen en sessiebeheer (bijv. sessietoken van de Xellux ID). Rechtsgrondslag voor technisch noodzakelijke cookies is § 25 lid 2 nr. 2 TDDDG in verbinding met art. 6 lid 1 sub b en f AVG.

We gebruiken de webanalysesoftware Umami, die we zelf op eigen infrastructuur draaien onder het subdomein unami.xellux.com. Umami werkt zonder cookies en zonder apparaatoverschrijdende tracking en verzamelt uitsluitend geaggregeerde gebruiksstatistieken (bijvoorbeeld bezochte pagina's, referrer, browser- en apparaattype, land). Er worden geen gegevens aan derden doorgegeven en er worden geen volledige IP-adressen permanent opgeslagen; het identificeren van individuele bezoekers is niet mogelijk.

De rechtsgrondslag is art. 6 lid 1 onder f AVG. Ons gerechtvaardigd belang ligt in de privacyvriendelijke, beperkte analyse van het gebruik van onze website om ons aanbod te verbeteren. Omdat er geen persoonlijke profielen worden opgebouwd en geen cookies worden geplaatst, is toestemming volgens § 25 TDDDG niet nodig.

Voor zover onze producten functies van kunstmatige intelligentie bevatten, verwerken deze persoonsgegevens alleen voor zover dit nodig is voor het leveren van de betreffende functie (art. 6 lid 1 onder b AVG) of er een gerechtvaardigd belang bestaat bij het aanbieden en verbeteren van de functie (art. 6 lid 1 onder f AVG). AI-functies worden als zodanig gekenmerkt (vgl. art. 50 van de verordening (EU) 2024/1689).

We gebruiken persoonsgegevens van onze gebruikers niet om eigen AI-modellen te trainen. Voor zover externe AI-aanbieders als verwerker worden ingezet, gebeurt dit op basis van overeenkomsten volgens art. 28 AVG; de betreffende aanbieders worden in het betreffende product transparant vermeld.

Er vindt geen besluitvorming plaats die uitsluitend berust op geautomatiseerde verwerking, inclusief profilering, en die rechtsgevolgen voor jou heeft of je op vergelijkbare wijze aanmerkelijk treft (art. 22 AVG).

Op onze website bieden we een chat-assistent aan (Xellux Chatbot). Hij beantwoordt vragen met behulp van een AI-systeem op basis van content die we daarvoor hebben vrijgegeven, en geeft verzoeken op wens door aan ons team. Bij het laden van een pagina wordt alleen een klein script van xellux.com opgehaald, dat de chatknop tekent; daarbij verwerkt onze server technisch noodzakelijk je IP-adres. Het gesprek, de instellingen en teksten laadt de chat pas als je hem opent.

Verwerkt worden je berichten in de chat, het adres van de pagina zonder parameters, de taal, willekeurige kenmerken van bezoeker en gesprek, en gegevens die je zelf via formulieren of kaarten verstuurt, zoals naam, e-mailadres, telefoonnummer of een afspraakwens. Het IP-adres bewaren we alleen als dagelijks wisselende hashwaarde ter voorkoming van misbruik. Pas als een gesprek begint, slaat de chat deze kenmerken op in de sessieopslag van je browser, zodat het gesprek bij het herladen van de pagina bewaard blijft; ze verdwijnen zodra je het tabblad sluit (§ 25 lid 2 nr. 2 TDDDG). Cookies en tracking gebruikt de chat niet.

Doel is het beantwoorden van je vragen en, als je dat wilt, de doorgifte aan ons team, een afspraakboeking of een terugbelverzoek. Rechtsgrondslag is art. 6 lid 1 sub b AVG, voor zover je vraag een overeenkomst of de aanloop daarnaartoe betreft, en voor het overige ons gerechtvaardigd belang bij een snelle beantwoording van vragen (art. 6 lid 1 sub f AVG).

Berichten met herkenbaar bijzondere persoonsgegevens, bijvoorbeeld over gezondheid, geeft de chat niet door aan het AI-systeem en slaat hij niet op. Schrijf dergelijke gegevens niet in de chat.

De antwoorden worden gegenereerd door een taalmodel van Anthropic, PBC (VS), dat we als verwerker (art. 28 AVG) inzetten. Daarvoor gaan je bericht, eerdere berichten uit hetzelfde gesprek en de bijbehorende vrijgegeven content naar Anthropic. Volgens de commerciële voorwaarden van Anthropic worden deze gegevens niet gebruikt om de modellen te trainen. Basis voor de doorgifte naar de VS zijn de standaardcontractbepalingen van de Europese Commissie (art. 46 lid 2 sub c AVG) in de verwerkersovereenkomst met Anthropic.

Gesprekken verwijderen we 90 dagen na het laatste bericht, inclusief formuliergegevens en geüploade bestanden. Contactgegevens uit de chat verwijderen we als ze 90 dagen niet meer zijn gebruikt. Geeft de chat je verzoek door aan ons team, dan ontstaat er een aanvraag in onze klantenservice; boek je een afspraak, dan staat die in onze agenda. Beide verwijderen we zodra ze zijn afgehandeld en geen wettelijke bewaarplicht zich daartegen verzet. Je rechten uit sectie 10 gelden ook hier.

7.1 Uitnodigingslinks en uitnodigingspagina

Open je een uitnodigingslink (bijvoorbeeld xellux.com/app/r/… of een link met “?ref=”), dan slaan we de uitnodigingscode 90 dagen op in een apart cookie (xlx_ref), zodat jij bij een latere afsluiting recht hebt op het voordeel van de uitnodiging. Het cookie bevat alleen de code. Weergaven van een link tellen we eenmaal per code, dag en bezoeker; daarbij slaan we je IP-adres en browserkenmerk niet in leesbare vorm op, maar alleen een onomkeerbare hash ervan. Rechtsgrond voor het cookie is § 25 lid 2 nr. 2 TDDDG, voor het tellen Art. 6 lid 1 sub f AVG (gerechtvaardigd belang bij de juiste toewijzing en bescherming tegen misbruik).

Op de uitnodigingspagina verschijnen alleen de gegevens die de uitnodigende persoon zelf heeft vrijgegeven (bijvoorbeeld voornaam, bedrijf, foto). Deze vrijgave is hun toestemming volgens Art. 6 lid 1 sub a AVG en kan op elk moment in de instellingen worden ingetrokken; hun e-mailadres wordt daar nooit getoond.

7.2 Afsluiten via een uitnodiging

Maak je via een uitnodiging een account of abonnement aan, dan geven we aan betalingsdienstverlener Stripe de uitnodigingscode door, samen met hashes van IP-adres en apparaat, om het voordeel toe te wijzen en misbruik te voorkomen. De uitnodigende persoon ziet alleen dat er via hun link een bedrijf is gestart, met cijfers zoals “uitgenodigd” en “betalend”, nooit jouw naam of contactgegevens. Rechtsgrond is Art. 6 lid 1 sub b AVG (toekenning van het voordeel en de vergoeding) en sub f (bescherming tegen misbruik).

7.3 Partnerprogramma

Voor deelname aan het partnerprogramma verwerken we de gegevens uit de aanmelding: bedrijf, naam, adres, land, btw-identificatienummer of belastingnummer, gegevens over de kleineondernemersregeling en bankgegevens. Het IBAN slaan we versleuteld op. Partners zien geen klantgegevens, alleen cijfers en bedragen zonder namen. Rechtsgrond is Art. 6 lid 1 sub b AVG (overeenkomst) en voor fiscaal relevante documenten zoals creditnota’s Art. 6 lid 1 sub c AVG in combinatie met § 147 AO; deze bewaren we tien jaar.

8.1 Service-e-mails

Voor je account sturen we je e-mails die bij de overeenkomst horen: de bevestiging van je adres, een welkomstmail, aanmeld- en beveiligingsmeldingen, facturen en meldingen over je abonnement, plus notificaties die binnen Xellux zelf ontstaan (bijvoorbeeld als iemand je noemt of uitnodigt in een reactie). Rechtsgrond is art. 6 lid 1 sub b AVG. Deze e-mails bevatten geen reclame en kun je daarom niet afmelden; notificaties stel je in via de instellingen.

Bij vermeldingen en uitnodigingen tonen we de profielfoto van de persoon die heeft gehandeld, zoals die ook binnen de workspace te zien is. In mails aan ontvangers buiten de workspace (bijvoorbeeld een offerte om te ondertekenen) verschijnt alleen het logo van het uitgevende bedrijf. De afbeelding wordt geladen via een adres dat voor alle ontvangers gelijk is; we zien hieraan niet wie een e-mail heeft geopend.

8.2 Nieuwsbrief “Xellux nieuws”

Nieuws, tips en aanbiedingen over Xellux sturen we je alleen als je hier expliciet voor kiest: via het vrijwillige, niet vooraf aangevinkte vakje bij de registratie of via de schakelaar “marketing-mails” in de instellingen. Daarna krijg je een bevestigingsmail zonder reclame; pas als je op de link daarin klikt, ben je aangemeld (double-opt-in). Rechtsgrond is jouw toestemming (art. 6 lid 1 sub a AVG, § 7 lid 2 UWG).

Als bewijs van je toestemming slaan we je e-mailadres op, de exacte tekst van de toestemming met een controlewaarde, waar de aanmelding vandaan kwam (registratie of instellingen), het tijdstip van aanmelding en bevestiging, en bij een aanmelding via een formulier een onomkeerbare hash van je IP-adres (art. 7 lid 1 en art. 6 lid 1 sub c AVG). We meten niet of je een nieuwsbrief opent, noch waarop je klikt.

Je kunt de nieuwsbrief altijd afmelden: met één klik op de afmeldlink in elke uitgave, via de schakelaar in de instellingen of per e-mail naar info@xellux.com. De afmelding werkt direct. De registratie bewaren we daarna als bewijs en als blokkering, zodat we je niet per ongeluk opnieuw aanschrijven (art. 6 lid 1 sub f AVG); op verzoek verwijderen we deze. De nieuwsbrief wordt verzonden via Resend (zie sectie 3).

Je hebt het recht:

• inzage in je verwerkte gegevens te vragen (art. 15 AVG) • onjuiste gegevens te laten corrigeren (art. 16 AVG) • je gegevens te laten verwijderen (art. 17 AVG) • de verwerking te laten beperken (art. 18 AVG) • je gegevens in een overdraagbaar formaat te ontvangen (art. 20 AVG) • bezwaar te maken tegen de verwerking (art. 21 AVG) • klacht in te dienen bij een toezichthoudende autoriteit (art. 77 AVG)

Bij bezoeken aan onze website versleutelen we gegevens tijdens de overdracht via TLS (Transport Layer Security), met het hoogste versleutelingsniveau dat je browser ondersteunt. Een versleutelde verbinding herken je aan het slotsymbool in de adresbalk van je browser.

Deze privacyverklaring is up-to-date per oktober 2026. Doordat we onze website verder ontwikkelen of wettelijke of overheidsvoorschriften veranderen, kan het nodig zijn deze privacyverklaring bij te werken.