Privacybeleid
Hoe HorecaGPT B.V. omgaat met persoonsgegevens, AVG-compliant, servers in Nederland.
1. Wie zijn we
Dit privacybeleid is van toepassing op alle diensten geleverd door HorecaGPT B.V. (hierna: "wij", "ons", of "TableFlow") onder het merk TableFlow.
Wij zijn gevestigd te Molenveldlaan 146, 6523 RN Nijmegen, Nederland. Ons KvK-nummer is 97500275 en ons BTW-nummer is NL868078967B01. Voor privacy-vragen kun je ons bereiken via hello@horecagpt.com.
2. Welke gegevens we verwerken
2.1 Van klanten van TableFlow (de horecaonderneming)
- NAW-gegevens van het bedrijf en haar contactpersonen
- KvK-, BTW- en bankrekeninggegevens (voor SaaS-billing)
- E-mailadressen, telefoonnummers van medewerkers met systeem-toegang
- Login-gegevens en activiteit-logs
- Configuratie-data: tafels, zones, openingstijden, productaanbod, e-mailtemplates
2.2 Van gasten van TableFlow-restaurants (eindgebruikers)
Onze klanten (horeca-ondernemingen) verwerken gastdata via TableFlow. Wij treden hierin op als verwerker in de zin van de AVG; de horecaonderneming is verwerkingsverantwoordelijke. Het betreft:
- Voor- en achternaam van de gast
- E-mailadres en telefoonnummer
- Reserveringsdetails (datum, tijd, aantal personen, voorkeuren)
- Allergieën en dieetvoorkeuren (uitsluitend indien door gast verstrekt)
- Bezoekgeschiedenis bij dezelfde onderneming
- Eventuele aanbetaling-transacties (via Mollie)
- E-mailcommunicatie en delivery-status (open, klik, bounce, via Mailgun)
3. Voor welk doel
| Categorie | Doel |
|---|---|
| Klantgegevens | Levering en facturering van de TableFlow-dienst, support, beveiliging |
| Gastgegevens | Het beheren van reserveringen door onze klant (de horecaonderneming), wij verwerken alleen in opdracht |
| E-mailcommunicatie | Versturen van bevestigingen, herinneringen, marketingmails (na opt-in) |
| Cookies / analytics | Functioneren van de website, geen tracking-cookies van derden |
4. Juridische grondslag
Wij verwerken persoonsgegevens op basis van:
- Uitvoering van de overeenkomst, voor SaaS-dienstverlening en core-reserveringsfunctionaliteit
- Wettelijke verplichting, voor administratieve en fiscale bewaarplichten
- Toestemming, voor marketing-mails en optionele integraties (zoals HorecaGPT-data-deling, TheNextReview-feedbackverzoeken)
- Gerechtvaardigd belang, voor beveiliging, fraudepreventie en service-verbetering
5. Bewaartermijn
| Type gegevens | Bewaartermijn |
|---|---|
| Reserveringsgegevens | 7 jaar (wettelijke bewaarplicht Belastingdienst voor restaurantadministratie) |
| Mailgun e-mail events (open, klik, bounce, delivery) | 10 jaar |
| SaaS-billing facturen | 7 jaar (wettelijk) |
| Login-logs / audit-trail | 1 jaar |
| Account na opzegging | Het account wordt op suspended gezet, niet permanent verwijderd. Reactivering blijft te allen tijde mogelijk. Verwijdering vindt alleen plaats op uitdrukkelijk verzoek conform artikel 8. |
6. Subverwerkers
Voor specifieke onderdelen van onze dienst werken wij samen met de volgende verwerkers. Met elk hebben wij een verwerkersovereenkomst afgesloten conform AVG:
| Subverwerker | Doel | Locatie |
|---|---|---|
| TransIP B.V. | Hosting van applicatie en database | Amsterdam, NL |
| Mollie B.V. | Betaalverwerking (aanbetalingen, refunds, SaaS-billing) | Amsterdam, NL |
| Mailgun Technologies (EU) | Verzenden transactionele en marketing e-mails | Frankfurt, DE (EU-region) |
| Anthropic PBC | AI-modellen voor HorecaGPT (Claude-API), uitsluitend bij actief gebruik | VS, met EU-Standard Contractual Clauses |
| Eitje B.V. | Roosterintegratie, alleen bij actieve koppeling door klant | Amsterdam, NL |
| TheNextReview B.V. | Reputation-management, alleen bij actieve koppeling door klant | Nijmegen, NL |
De volledige actuele lijst is op verzoek beschikbaar via hello@horecagpt.com.
7. Internationale doorgifte
De primaire opslag van klant- en gastgegevens vindt plaats binnen de EU (Nederland en Duitsland). Bij gebruik van HorecaGPT (AI-functionaliteit) worden bepaalde queries verwerkt door Anthropic PBC in de Verenigde Staten. Wij hebben hiervoor de modelovereenkomsten van de Europese Commissie (Standard Contractual Clauses) gesloten. AI-queries bevatten nooit volledige gastnamen of contactgegevens, uitsluitend geanonimiseerde aggregaten.
8. Jouw rechten (AVG)
Onder de Algemene Verordening Gegevensbescherming heb je de volgende rechten:
- Inzage, opvragen welke gegevens wij van je hebben
- Rectificatie, onjuiste gegevens laten corrigeren
- Verwijdering, gegevens laten verwijderen ("right to be forgotten"), behoudens wettelijke bewaarplichten
- Beperking, verwerking laten beperken
- Bezwaar, bezwaar maken tegen verwerking op grond van gerechtvaardigd belang
- Dataportabiliteit, gegevens in een gestructureerd formaat ontvangen
- Toestemming intrekken, eerder gegeven toestemming intrekken (bv. voor marketingmails)
Voor gasten van TableFlow-restaurants: deze rechten moeten primair bij de horecaonderneming worden uitgeoefend (zij zijn verwerkingsverantwoordelijke). Wij ondersteunen de onderneming bij het invullen van het verzoek.
Verzoeken kun je sturen naar hello@horecagpt.com. Wij reageren binnen 30 dagen.
9. Cookies
Onze marketingwebsite (table-flow.app) gebruikt minimale, functionele cookies voor:
- Het onthouden van taalkeuze (NL / EN)
- Sessie-identificatie binnen het admin-panel (alleen voor ingelogde gebruikers)
Wij plaatsen geen tracking-cookies van derden (geen Google Analytics, geen Facebook Pixel, geen advertentie-cookies). De boekingswidget voor gasten plaatst evenmin tracking-cookies.
10. Beveiliging
Wij nemen de beveiliging van persoonsgegevens uiterst serieus:
- Alle data wordt versleuteld bij overdracht (TLS 1.2+) en in rust (AES-256)
- Hosting bij TransIP B.V. datacenter Amsterdam (NL), ISO 27001-gecertificeerd
- Tweelaagse authenticatie beschikbaar voor alle gebruikersaccounts
- Rolgebaseerde toegangscontrole (RBAC) per medewerker
- Dagelijkse off-site backups met versleuteling, retentie 90 dagen
- Tenant-isolatie op database-niveau, gegevens van het ene restaurant zijn niet toegankelijk voor het andere
11. Wijzigingen
Wij kunnen dit privacybeleid van tijd tot tijd wijzigen. Materiële wijzigingen worden 30 dagen vooraf aangekondigd via e-mail aan onze klanten.
12. Contact + klachten
Voor alle privacy-gerelateerde vragen of verzoeken: hello@horecagpt.com.
Indien je niet tevreden bent met onze afhandeling van een klacht, heb je het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).
