Privacyverklaring

Laatst bijgewerkt: 2 oktober 2026 · Versie 2.1

1. Wie wij zijn en wie verantwoordelijk is

wbsoaanvraag.ai (hierna "wij", "ons" of "onze") helpt ondernemers bij het opstellen van WBSO-aanvragen en de bijbehorende uren- en projectadministratie, mede met behulp van kunstmatige intelligentie (AI). In deze privacyverklaring leggen wij uit welke persoonsgegevens wij verwerken, waarom, op welke grondslag, met wie wij ze delen en welke rechten u heeft.

De verwerkingsverantwoordelijke voor de in deze verklaring beschreven verwerkingen is WBSO Aanvraag B.V., behalve waar wij als verwerker optreden voor uw organisatie (zie punt 10), handelend onder de naam wbsoaanvraag.ai, gevestigd aan de Europalaan 93, 3526 KP Utrecht en ingeschreven bij de Kamer van Koophandel onder nummer 99786079. Wij zijn niet wettelijk verplicht een Functionaris voor de Gegevensbescherming aan te stellen en hebben deze niet aangesteld. Voor alle privacyvragen en -verzoeken kunt u bij ons terecht via de contactgegevens onderaan deze verklaring.

2. Welke gegevens verwerken wij en van wie?

Wij verwerken alleen de gegevens die nodig zijn om onze dienst te leveren en te verbeteren. Afhankelijk van hoe u onze dienst gebruikt, gaat het om:

Gegevens over u en uw onderneming: identificatie- en contactgegevens (zoals bedrijfsnaam, KvK-nummer, naam van de contactpersoon, e-mailadres en telefoonnummer), de projectinformatie die u invoert (beschrijvingen van technische innovaties, knelpunten en overige projectdetails), account- en inloggegevens, en facturatiegegevens.
Gegevens die u ons stuurt: wanneer u het contactformulier invult of een afspraak met ons inplant, verwerken wij uw naam, contactgegevens en uw bericht.
Gegevens over uw medewerkers: wanneer u uren- en projectgegevens aanlevert of koppelt, verwerken wij persoonsgegevens van uw medewerkers (zoals naam, e-mailadres en urenregistratie, en - uitsluitend voor zover wettelijk noodzakelijk voor de WBSO-realisatie - het burgerservicenummer (BSN)). Deze gegevens ontvangen wij van u en niet rechtstreeks van de betrokken medewerkers; hierop is punt 10 van toepassing.
Gegevens over websitebezoekers: wanneer u onze website bezoekt, verwerken wij technische gegevens (zoals IP-adres en browsertype) en, na uw toestemming, gegevens via cookies en vergelijkbare technieken (zie punt 9).

3. Voor welke doeleinden en op welke grondslag verwerken wij uw gegevens?

Wij verwerken uw persoonsgegevens uitsluitend voor de hieronder beschreven doeleinden en op de daarbij genoemde grondslag:

Uitvoering van de overeenkomst (AVG art. 6 lid 1 sub b): het opstellen en leveren van uw concept-WBSO-aanvraag, het bijhouden van de uren- en projectadministratie, het contact met u daarover, en het beantwoorden van uw vragen voordat er een overeenkomst is.
Wettelijke verplichting (AVG art. 6 lid 1 sub c): het voeren van een correcte facturatie- en boekhoudadministratie, waarvoor een wettelijke fiscale bewaarplicht geldt.
Gerechtvaardigd belang (AVG art. 6 lid 1 sub f): het beveiligen van onze systemen en het voorkomen van misbruik. U kunt tegen verwerking op deze grondslag bezwaar maken (zie punt 8).
Toestemming (AVG art. 6 lid 1 sub a): het plaatsen van analytische cookies en het laden van de afsprakenplanner van Calendly. U kunt uw toestemming te allen tijde intrekken (zie punt 9).

4. Hoe werkt de AI en hoe verwerken wij uw gegevens daarmee?

Voor het genereren van de concept-aanvraag maken wij gebruik van grote taalmodellen (large language models) van OpenAI, die wij afnemen via de Azure OpenAI-dienst van Microsoft. Deze modellen draaien in een Azure-omgeving in Zweden: uw projectinformatie wordt verwerkt binnen de EU Data Boundary van Microsoft (datacenters in de EU en de EVA-landen) en wordt niet naar OpenAI gestuurd. Microsoft verwerkt deze gegevens uitsluitend namens ons en volgens onze instructies, op basis van de verwerkersovereenkomst die voor onze Azure-diensten geldt, en gebruikt ze niet om AI-modellen te trainen. Microsoft kan invoer en uitvoer beperkte tijd bewaren om misbruik op te sporen; die gegevens worden in Zweden opgeslagen en kunnen alleen worden ingezien door daartoe bevoegde Microsoft-medewerkers in de EER. Ook wijzelf gebruiken uw gegevens uitsluitend om de dienst aan u te leveren en niet om AI-modellen te trainen of anderszins te verbeteren.

Geen geautomatiseerde besluitvorming: de AI genereert een concept dat door u, en waar van toepassing door onze adviseur, wordt beoordeeld, bewerkt en goedgekeurd voordat er iets mee gebeurt. Wij dienen niets automatisch bij de RVO in. Wij nemen geen besluiten met rechtsgevolgen of vergelijkbare aanmerkelijke gevolgen die uitsluitend op geautomatiseerde verwerking berusten (AVG art. 22). De werking in gewone taal: het model voorspelt op basis van uw eigen invoer welke formulering past bij een WBSO-aanvraag; het beoordeelt, rangschikt of scoort geen personen en neemt geen beslissingen over uw subsidiabiliteit.

5. Met wie delen wij uw gegevens?

Wij verkopen uw persoonsgegevens niet en stellen deze niet aan andere partijen ter beschikking voor hun eigen doeleinden, tenzij wij daartoe wettelijk verplicht zijn. Wel schakelen wij externe partijen in die diensten voor ons uitvoeren en daarbij persoonsgegevens verwerken, uitsluitend namens ons en onder onze instructie (onze verwerkers en subverwerkers). Dit betreft:

AI-taalmodellen (Azure OpenAI van Microsoft, verwerking binnen de EU Data Boundary van Microsoft) — het genereren van de concept-aanvraagtekst.
Hosting en opslag (Microsoft Azure) — het draaien van onze applicatie en het opslaan van gegevens en bestanden binnen de Europese Economische Ruimte (EER).
Netwerk en beveiliging (Cloudflare) — het hosten van onze website en het beveiligd doorgeven van het verkeer tussen uw browser en onze applicatie.
Analyse (PostHog) — het meten en verbeteren van het websitegebruik; dit wordt pas ingezet na uw toestemming (zie punt 9).
Afsprakenplanner (Calendly) — het inplannen van een afspraak via onze contactpagina; deze wordt pas geladen na uw toestemming (zie punt 9).
Overige verwerkers: CRM (Pipedrive), facturatie (Bunni), e-mailverzending (Google Workspace) en het monitoren van de werking van onze systemen (Pydantic Logfire).

Wij delen alleen de gegevens die voor de betreffende dienst noodzakelijk zijn, en met elke verwerker is een verwerkersovereenkomst gesloten. Een actuele lijst van onze (sub)verwerkers kan op verzoek worden verstrekt. Daarnaast kunnen wij gegevens verstrekken aan toezichthouders, opsporingsinstanties of andere autoriteiten, uitsluitend wanneer daartoe een wettelijke verplichting bestaat.

6. Doorgifte van gegevens buiten de EER

Sommige van onze verwerkers zijn gevestigd in of verwerken gegevens buiten de EER, met name in de Verenigde Staten. In dat geval zorgen wij ervoor dat de doorgifte voldoet aan de AVG door te steunen op een passend waarborgmechanisme. Per verwerker geldt het volgende:

Google, Microsoft, Cloudflare, Pipedrive, Pydantic (Logfire) en Calendly: voor zover deze partijen gegevens in de Verenigde Staten verwerken, steunen wij op het EU-VS Data Privacy Framework (dat door de Europese Commissie als passend beschermingsniveau is erkend) waar de partij daaronder is gecertificeerd, en anders op standaardcontractbepalingen.
PostHog, Bunni en onze opslag bij Microsoft Azure: worden binnen de EER gehost.
Azure OpenAI van Microsoft: verwerkt binnen de EU Data Boundary van Microsoft (EU- en EVA-landen). Voor zover dat in Zwitserland gebeurt, geldt het adequaatheidsbesluit van de Europese Commissie voor Zwitserland.

Een kopie van de toegepaste waarborgen kan op verzoek worden verstrekt.

7. Hoelang bewaren wij uw gegevens?

Wij bewaren uw persoonsgegevens niet langer dan noodzakelijk is voor de doeleinden waarvoor wij ze verwerken. In de praktijk hanteren wij de volgende uitgangspunten:

Aanvraag-, project- en urengegevens: deze verwerken wij namens uw organisatie (zie punt 10) en bewaren wij volgens de afspraken in de verwerkersovereenkomst: gedurende de looptijd van de overeenkomst en daarna zolang dat nodig is voor de wettelijke bewaarplicht van de WBSO-administratie (ten minste zeven jaar). Na afloop van de overeenkomst kan uw organisatie een export van deze gegevens aanvragen.
Account- en contactgegevens: bewaren wij zolang uw account bestaat. Bij opzegging of op uw verzoek verwijderen wij uw account en de bijbehorende persoonsgegevens.
Gegevens uit het contactformulier en de afsprakenplanner: bewaren wij niet langer dan nodig is om uw vraag af te handelen en het contact dat daaruit voortvloeit op te volgen.
Facturatie- en boekhoudgegevens: bewaren wij 7 jaar, conform de wettelijke fiscale bewaarplicht.
Technische logbestanden: bewaren wij in beginsel maximaal 90 dagen, tenzij ze nodig zijn voor het onderzoeken van een beveiligingsincident.
Gegevens die door Azure OpenAI worden verwerkt, kan Microsoft beperkte tijd in Zweden bewaren voor misbruikdetectie.

8. Wat zijn uw rechten?

Onder de AVG heeft u diverse rechten met betrekking tot uw persoonsgegevens:

Recht op inzage: u mag opvragen welke persoonsgegevens wij van u verwerken en daarvan een kopie ontvangen.
Recht op rectificatie: u kunt onjuiste of onvolledige gegevens laten corrigeren of aanvullen.
Recht op verwijdering (het recht om vergeten te worden): u kunt ons verzoeken uw persoonsgegevens te verwijderen, tenzij een wettelijke verplichting of een prevalerend belang zich daartegen verzet.
Recht op beperking van de verwerking: in bepaalde gevallen kunt u ons vragen de verwerking van uw gegevens te beperken.
Recht op overdraagbaarheid: u kunt de door u verstrekte gegevens in een gestructureerd, gangbaar en machineleesbaar formaat ontvangen.
Recht van bezwaar: u kunt bezwaar maken tegen verwerkingen die op ons gerechtvaardigd belang berusten.
Recht om toestemming in te trekken: waar de verwerking op uw toestemming berust, kunt u deze te allen tijde intrekken, even eenvoudig als u haar heeft gegeven.

U kunt deze rechten kosteloos uitoefenen door contact met ons op te nemen via de contactgegevens onderaan deze verklaring. Wij reageren in beginsel binnen één maand op uw verzoek. Om uw privacy te beschermen kunnen wij u vragen zich te identificeren voordat wij aan een verzoek voldoen. Betreft uw verzoek gegevens die wij namens uw werkgever of een klant verwerken (zie punt 10), dan stemmen wij de afhandeling met die organisatie af.

9. Cookies en tracking

Onze website maakt gebruik van cookies en vergelijkbare technieken. Wij onderscheiden daarbij:

Essentiële cookies: noodzakelijk voor het functioneren en de beveiliging van de website; hiervoor is geen toestemming vereist.
Analytische cookies (PostHog): helpen ons te begrijpen hoe de website wordt gebruikt, zodat wij deze kunnen verbeteren. PostHog verwerkt deze gegevens binnen de EER. Sessie-opnames maken wij alleen op onze publieke website, nooit in het portaal of op andere pagina's met uw eigen gegevens.
Afsprakenplanner (Calendly): op onze contactpagina kunt u via Calendly een afspraak inplannen. Calendly plaatst daarbij eigen cookies en verwerkt gegevens in de Verenigde Staten (zie punt 6). De planner wordt pas geladen nadat u daarvoor toestemming geeft.

Niet-essentiële cookies plaatsen wij pas nadat u daarvoor toestemming heeft gegeven. Weigeren is even eenvoudig als accepteren en wij hanteren geen cookiewall: u kunt de website ook zonder toestemming gebruiken. U kunt uw keuze op elk moment wijzigen of intrekken via "Cookie-instellingen" onderaan de website of in het portaalmenu.

10. Gegevens die u over anderen verstrekt (medewerkers en uren)

Om de WBSO-administratie en -aanvraag op te stellen, verwerken wij persoonsgegevens van uw medewerkers (zoals naam, e-mailadres en urenregistratie). Deze gegevens ontvangen wij niet rechtstreeks van de betrokken medewerkers, maar van u en uit de systemen die u koppelt of waaruit u gegevens aanlevert, zoals Simplicate, Harvest, Jira, Linear, Plane, Wrike, GitHub, GitLab en Azure DevOps, en via handmatige upload (bijvoorbeeld een CSV- of urenbestand). Voor zover dit wettelijk noodzakelijk is voor de WBSO-realisatie en eindafrekening, verwerken wij daarbij ook het burgerservicenummer (BSN) van medewerkers. Wij verwerken het BSN uitsluitend voor dat wettelijke doel, sturen het nooit naar een AI-aanbieder en omringen het met passende waarborgen.

Voor deze gegevens treden wij op als verwerker en bent u de verwerkingsverantwoordelijke. Dat betekent dat u ervoor verantwoordelijk bent dat er een geldige grondslag is en dat uw medewerkers zijn geïnformeerd over het feit dat hun gegevens aan ons worden verstrekt en met welk doel (AVG art. 14). De afspraken over deze gegevens zijn vastgelegd in de verwerkersovereenkomst die deel uitmaakt van onze licentieovereenkomst. Wij gebruiken deze gegevens uitsluitend om de door u gevraagde dienst te leveren en niet voor eigen doeleinden.

11. Welke beveiligingsmaatregelen nemen wij?

Wij nemen de bescherming van uw persoonsgegevens serieus en hebben passende technische en organisatorische maatregelen getroffen om misbruik, verlies, onbevoegde toegang en ongewenste openbaarmaking tegen te gaan. Enkele van deze maatregelen zijn:

Versleuteling: gegevensuitwisseling met onze website en met onze verwerkers verloopt via versleutelde verbindingen (TLS). Gegevens worden versleuteld opgeslagen; toegangstokens voor koppelingen met uw systemen worden daarnaast afzonderlijk versleuteld.
Hosting in de EER: onze applicatie, database en bestandsopslag draaien in datacenters van Microsoft Azure binnen de EER.
Afgeschermde toegang: gegevens zijn per organisatie afgeschermd en toegang is gebaseerd op rollen. Alleen medewerkers die dat voor hun werk nodig hebben, hebben toegang tot uw gegevens.
Verwerkersovereenkomsten: met externe partijen die namens ons persoonsgegevens verwerken, hebben wij verwerkersovereenkomsten gesloten met afspraken over vertrouwelijkheid en beveiliging.
Onderhoud en logging: wij houden onze systemen en softwarebibliotheken actueel en leggen beveiligingsrelevante gebeurtenissen in onze infrastructuur vast.

12. Bezwaar maken of een klacht indienen

Heeft u vragen of zorgen over onze verwerking van uw persoonsgegevens? Neem dan eerst contact met ons op; wij doen ons best om eventuele bezwaren weg te nemen. Mocht u het niet eens blijven met onze handelwijze, dan heeft u het recht een klacht in te dienen bij de toezichthouder.

Voor Nederland is dit de Autoriteit Persoonsgegevens (AP). Op de website van de AP (www.autoriteitpersoonsgegevens.nl) vindt u informatie over hoe u een klacht kunt indienen. Het indienen van een klacht laat uw recht onverlet om ook bij ons bezwaar te maken of schadevergoeding te vorderen.

13. Wijzigingen in deze privacyverklaring

Wij kunnen deze privacyverklaring van tijd tot tijd aanpassen, bijvoorbeeld wanneer onze dienstverlening, onze verwerkers of wet- en regelgeving daartoe aanleiding geven. De meest actuele versie vindt u altijd op deze pagina, met bovenaan de datum van de laatste wijziging en het versienummer. Bij ingrijpende wijzigingen zullen wij u waar mogelijk actief informeren.

14. Contactgegevens

Voor vragen of verzoeken met betrekking tot privacy kunt u contact met ons opnemen via:

E-mail: privacy@wbsoaanvraag.ai
Post: WBSO Aanvraag B.V., Europalaan 93, 3526 KP Utrecht