Privacy- verklaring

Deze Privacyverklaring is van toepassing op de JustClose-webapplicatie beschikbaar via justclose.be en alle subdomeinen die worden beheerd door Stay Active CommV (de "Dienst"). Ze regelt hoe wij persoonsgegevens verwerken van twee groepen:

• Gebruikers — agency-beheerders en sub-account-operators die op JustClose inloggen om hun CRM te beheren.
• Eindklanten — personen wier gegevens door onze Gebruikers in JustClose worden ingebracht (via webformulieren, Facebook Lead Ads, Messenger-conversaties, enz.).

Voor eindklanten treedt Stay Active CommV op als verwerker namens de Gebruiker (die de verwerkingsverantwoordelijke is). Voor account-gerelateerde gegevens van de Gebruikers zelf treden wij op als verwerkingsverantwoordelijke.

JustClose wordt uitgebaat door:

U kunt ons bereiken op [email protected] voor elke privacy-gerelateerde vraag, verzoek van een betrokkene of melding van een beveiligingsincident.

Wij verzamelen drie categorieën gegevens:

Rechtstreeks van u

• Accountidentiteit: volledige naam, e-mailadres, telefoonnummer, wachtwoord (opgeslagen als gezouten hash).
• Bedrijfsprofiel: bedrijfsnaam, adres, BTW-nummer, logo, tijdzone-voorkeur.
• Contactgegevens die u importeert: namen, e-mailadressen, telefoonnummers, adressen, custom field waarden, tags.
• Communicatie die u via de Dienst verstuurt: SMS, e-mail, WhatsApp, Messenger en Instagram DM-berichten, inclusief eventuele bijlagen.

Automatisch

• Technische metadata: IP-adres, browser-user-agent, besturingssysteem, schermgrootte.
• Sessieactiviteit: aanmeldtijden, bekeken pagina's, acties uitgevoerd binnen het dashboard.
• Cookies die strikt noodzakelijk zijn voor authenticatie en CSRF-bescherming.

Van gekoppelde derden-platformen

• Meta (Facebook & Instagram) — zie § 04 voor de toegewijde uiteenzetting.
• Stripe — betaal-events voor onze abonnementsfacturatie (event-ID's, gemaskeerd kaartmerk/laatste vier cijfers, géén volledige kaartgegevens).
• Twilio & Postmark — delivery-status-callbacks voor SMS, WhatsApp en e-mail.

Wanneer een Gebruiker een Facebook-pagina (en eventueel gekoppeld Instagram-zakelijk-account) aan JustClose koppelt, gebruiken wij Meta's Graph API + Webhooks om specifieke event-types te ontvangen en verwerken. De toestemmingen die wij vragen zijn:

Wat wij opslaan

• Page Access Tokens — versleuteld in rust met AES-256-GCM via onze INTEGRATION_ENCRYPTION_KEY. Uitsluitend gebruikt voor uitgaande Graph API-calls (leads ophalen, berichten sturen).
• Lead-formuliergegevens — elke veldwaarde ingediend door de eindklant, opgeslagen als Contact in uw sub-account.
• Berichten — tekstinhoud, bijlagen, sender/recipient-ID's en Meta's message_id. Opgeslagen tegen de Conversation-thread.
• Webhook-payloads — gededupliceerd op basis van Meta's event-ID. Ruwe payloads worden 30 dagen bewaard voor debugging.

Wat wij NIET doen

• Wij verkopen of verhuren geen Meta-gegevens aan derden.
• Wij gebruiken het niet voor het trainen van machine-learning-modellen.
• Wij verrijken het niet met datamakelaars of externe profileringsdiensten.
• Wij benaderen geen Pagina-gegevens buiten de bovenstaande expliciete toestemmingen.

Wij verwerken bovenstaande gegevens voor de volgende doeleinden:

• Dienstverlening — het exploiteren van de CRM, het routeren van leads en berichten naar het juiste sub-account, het verzenden van workflow-getriggerde communicatie.
• Accountbeheer — authenticatie, facturatie, support, fraudepreventie.
• Dienstverbetering — geaggregeerde gebruiksanalytics, error-tracking via Sentry (geen berichtinhoud, geen Meta-gegevens).
• Wettelijke naleving — reageren op rechtmatige verzoeken, bewaren van gegevens waar dit wettelijk vereist is.

Onze rechtsgrondslag onder GDPR Art. 6 is (a) contractuele noodzaak voor Gebruikers en (b) gerechtvaardigd belang van onze Gebruiker-controllers voor eindklantgegevens, afgewogen tegen de rechten van de betrokkene.

Wij vertrouwen op een klein aantal zorgvuldig geselecteerde subverwerkers. Elk is gebonden aan een verwerkersovereenkomst die onze verplichtingen spiegelt.

SCC = Standard Contractual Clauses. DPF = EU-VS Data Privacy Framework gecertificeerd.

Wij bewaren persoonsgegevens enkel zo lang als nodig voor de doeleinden waarvoor ze werden verzameld, of zoals wettelijk vereist:

• Accountgegevens — voor de duur van uw actieve abonnement, plus 90 dagen na beëindiging voor export/herstel.
• Contactgegevens & conversaties — door u beheerd. Op elk moment verwijderbaar vanuit het dashboard. Hard-gewist uit backups binnen 35 dagen.
• Meta webhook-payloads — 30 dagen, daarna gewist.
• Facturatie-records — 7 jaar (Belgisch fiscaal recht).
• Server- & security-logs — 90 dagen rolling window.

Onder de Algemene Verordening Gegevensbescherming heeft u recht op:

• Inzage — een kopie opvragen van de persoonsgegevens die wij over u hebben.
• Rectificatie — onjuiste of onvolledige gegevens corrigeren.
• Wissing — verzoeken om verwijdering ("recht om vergeten te worden").
• Beperking — de verwerking beperken in specifieke omstandigheden.
• Overdraagbaarheid — uw gegevens ontvangen in een gestructureerd, machine-leesbaar formaat.
• Bezwaar — bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
• Klacht indienen — bij de Belgische Gegevensbeschermingsautoriteit (gegevensbeschermingsautoriteit.be).

Om een van deze rechten uit te oefenen, e-mailt u [email protected] vanaf het adres dat aan uw account is gekoppeld. Wij antwoorden binnen 30 dagen.

U kunt JustClose op twee manieren verzoeken uw persoonsgegevens te verwijderen:

Via Facebook-instellingen (voor Meta-gekoppelde gegevens)

1. Open Facebook → Instellingen & privacy → Instellingen → Apps en websites.
2. Zoek JustClose in de lijst en klik op Verwijderen.
3. Kies Verzoek om de app gegevens te laten verwijderen.

Facebook stuurt uw verzoek door naar onze /api/webhooks/meta-data-deletion endpoint. Wij bevestigen met een bevestigingscode en verwijderen de bijbehorende gegevens binnen 30 dagen. De bevestigings-URL die wij retourneren laat u op elk moment de status controleren.

Rechtstreeks via e-mail

Mail naar [email protected] met als onderwerp "AVG-verwijderingsverzoek" en vermeld het e-mailadres dat u bij registratie hebt gebruikt. Wij bevestigen ontvangst binnen 5 werkdagen en verwijderen binnen 30 dagen.

Onze primaire infrastructuur staat in de EU (Hetzner, Duitsland). Sommige subverwerkers (Twilio, Postmark, Stripe US-zijde) kunnen gegevens buiten de EU verwerken. Doorgiftes steunen op Standard Contractual Clauses (Module Two: Controller-to-Processor) en, waar van toepassing, op EU-VS Data Privacy Framework-certificeringen.

Wij passen de volgende technische en organisatorische maatregelen toe:

• TLS 1.3 tijdens doorgifte voor alle klant-gerichte endpoints.
• AES-256-GCM-versleuteling in rust voor secrets (access-tokens, API-sleutels, versleutelde credentials).
• HMAC-SHA256-signatuurverificatie op elke inkomende Meta-webhook.
• Per-project tenant-isolatie afgedwongen op de database-querylaag via withScopedAuth.
• Gehashed en gezouten wachtwoordopslag (bcrypt).
• JWT-sessies met rotatie, CSRF-tokens en rate-limited authenticatie-endpoints.
• Dagelijkse versleutelde backups, 35 dagen bewaard.
• Driemaandelijkse interne security-audits, vulnerability-disclosure via [email protected].

JustClose is niet bedoeld voor gebruik door personen onder de 16 jaar. Wij verzamelen niet bewust persoonsgegevens van minderjarigen. Indien u meent dat een minderjarige gegevens aan ons heeft verstrekt, neem dan contact op via [email protected] en wij verwijderen het record onverwijld.

Wij kunnen deze verklaring bijwerken naarmate de Dienst evolueert of de regelgeving wijzigt. Materiële wijzigingen worden minstens 14 dagen vóór inwerkingtreding aangekondigd via e-mail aan alle actieve accounthouders. Het versienummer en de datum van inwerkingtreding bovenaan deze pagina weerspiegelen altijd de huidige gepubliceerde verklaring.

Voor elke privacy-aangelegenheid — vragen, verzoeken, klachten of kwetsbaarheidsmeldingen:

Belgische Gegevensbeschermingsautoriteit: gegevensbeschermingsautoriteit.be