Privacybeleid

Wie wij zijn en wat dit beleid dekt

ImmoStory AI treedt op als verwerkingsverantwoordelijke voor account-, website-, support- en billingdata die nodig zijn om het platform te leveren. Afhankelijk van uw gebruik kunnen wij ook als verwerker optreden voor listingmateriaal, contactinformatie en publicatie-assets die u ons laat transformeren of genereren.

Dit beleid geldt voor websitebezoekers, proefgebruikers, betalende klanten, agency-medewerkers en supportcontacten. Het omvat ook data afkomstig uit gekoppelde listingpagina’s, uploads, externe diensten en operationele veiligheidslogs.

Categorieen persoonsgegevens

Wij kunnen accountidentificatoren, namen, e-mails, wachtwoorden of authenticatiemetadata, teamlidmaatschap, facturen, betalingsmetadata, facturatieadressen, supportberichten, notificatievoorkeuren en feature-gebruiksdata verwerken. Wanneer u listingdata aanlevert of koppelt, kunnen wij propertybeschrijvingen, beelden, plannen, logo’s, merksettings, prompts, scripts, ondertitels, gerenderde video’s, exportmetadata en publicatie-instellingen verwerken.

Daarnaast verwerken wij technische en veiligheidsdata zoals IP-afgeleide regio-informatie, browser- of apparaatkenmerken, auditlogs, API-gebruik, anti-abusesignalen en troubleshootinginformatie.

Als je de openbare assistent-chat gebruikt, verwerken we de berichten die je stuurt zodat we je kunnen antwoorden en de ondersteuning kunnen verbeteren. We bewaren je IP-adres niet: alleen een gezouten eenrichtingshash ervan, gedurende een korte periode en uitsluitend om misbruik van de gratis chat op te sporen. Een gesprek wordt pas aangemaakt wanneer je de chat opent.

Doeleinden en rechtsgronden

Wij verwerken persoonsgegevens om de gevraagde dienst te leveren, gebruikers te authenticeren, listingmateriaal te verwerken, assets te genereren, abonnementen of credits te beheren, facturen uit te reiken, het platform te beveiligen, misbruik te voorkomen, betrouwbaarheid te analyseren, support te leveren en wettelijke verplichtingen na te komen. Onze rechtsgronden zijn contractuele noodzaak (AVG art. 6(1)(b)), gerechtvaardigd belang (art. 6(1)(f)), toestemming waar vereist (art. 6(1)(a)) en wettelijke verplichtingen (art. 6(1)(c)).

Waar wij ons baseren op gerechtvaardigd belang, gaat het typisch om fraudepreventie, servicebetrouwbaarheid, productkwaliteit, beveiligde toegang en operationele rapportering die uw rechten niet onevenredig aantast.

Marketingcommunicatie

E-mail. Wij versturen commerciële e-mail in twee situaties, op twee verschillende rechtsgronden.

Bent u een zakelijk contact van wie wij de gegevens hebben verzameld uit openbare bronnen waar ze als commercieel contactpunt gepubliceerd stonden, dan verwerken wij die op grond van ons gerechtvaardigd belang (art. 6.1.f AVG) om u te informeren over diensten die relevant zijn voor uw beroepsactiviteit. Elk bericht vermeldt waar wij uw gegevens vandaan hebben en bevat een uitschrijflink. U kunt op elk moment bezwaar maken, zonder reden, en dan stoppen wij.

Bent u klant, dan mogen wij u informeren over onze eigen soortgelijke diensten op grond van art. 13, lid 2 van de ePrivacyrichtlijn. U kreeg de gelegenheid dit te weigeren toen wij uw adres verzamelden, en elk bericht laat u opnieuw weigeren.

Sms en WhatsApp. Deze versturen wij nooit zonder uw voorafgaande, uitdrukkelijke toestemming, apart gegeven per kanaal. Het aanvaarden van onze algemene voorwaarden is geen toestemming om u te berichten, en wij vinken deze vakjes niet vooraf aan. Wij bewaren wat u op dat moment te zien kreeg, zodat wij kunnen aantonen waarvoor toestemming is gegeven. U kunt beide toestemmingen op elk moment intrekken via de privacy-instellingen in uw profiel, via de link in elk bericht, of door STOP te antwoorden.

Wat wij bewaren. Voor elke toestemming: het kanaal, de exacte tekst die u te zien kreeg, wanneer ze is gegeven en vanwaar. Een intrekking wordt op dezelfde manier vastgelegd en nooit verwijderd, zodat aantoonbaar blijft dat u zich hebt uitgeschreven.

Geautomatiseerde besluitvorming en AI

Wij gebruiken externe AI-providers (taalmodellen, text-to-speech, beeld- en videogeneratie) om uw listingmateriaal om te zetten in marketingassets. Het gaat om content-generatietools en niet om beslissingen met rechtsgevolgen of vergelijkbaar significante effecten in de zin van AVG art. 22. U kunt elke gegenereerde output verwerpen, aanpassen of opnieuw genereren voor publicatie. Wij gebruiken uw persoonsgegevens niet om externe AI-providers te trainen; provider-side trainingsopt-outs worden waar mogelijk geconfigureerd.

Subverwerkers en internationale doorgiften

Voor de werking van het platform vertrouwen wij op een beperkt aantal gescreende subverwerkers. Wij verkopen geen persoonsgegevens. Een actuele lijst van subverwerkers en hun verwerkersrol is beschikbaar op /security en wordt bijgewerkt bij materiële wijzigingen. Typische categorieën omvatten:

• Cloud-infrastructuur en opslag — EU/EER-hostingpartners en object-storageproviders.
• Betalingsverwerking — Stripe Payments Europe (Ierland) voor kaartbetalingen, facturatie en btw-afhandeling.
• AI-providers — OpenAI, Anthropic, ElevenLabs, Higgsfield, Replicate of vergelijkbare leveranciers voor tekst, stem, beeld en video.
• E-mail en notificaties — transactionele e-mail- en pushproviders.
• Monitoring en analytics — error tracking en productanalytics, enkel na de overeenkomstige toestemming waar vereist.

Bij doorgifte buiten de EER steunen wij op de Standard Contractual Clauses van de Europese Commissie, adequaatheidsbesluiten of gelijkwaardige waarborgen.

Bewaartermijnen

Wij bewaren persoonsgegevens enkel zo lang als nodig voor de in dit beleid beschreven doeleinden. Typische bewaartermijnen zijn:

• Actieve accountdata — voor de levensduur van het account plus maximaal 30 dagen na verwijdering voor accountherstel.
• Afgewerkte video’s, scripts en uploads — voor de duur van het account plus 90 dagen, of tot u ze eerder verwijdert.
• Werkbestanden (AI-clips, voice-overaudio, ondertitelbestanden) — worden bewaard zolang het account bestaat voor accounts die krediet hebben gekocht. Voor accounts die nooit iets gekocht hebben, worden ze 60 dagen na afwerking van de video verwijderd; we mailen de accounthouder 7 dagen op voorhand. Dit raakt de afgewerkte video nooit; het betekent enkel dat die video daarna niet meer bewerkt of opnieuw gerenderd kan worden.
• Facturen en betaalgegevens — 7 jaar om aan Belgische en EU-boekhoudkundige en fiscale verplichtingen te voldoen.
• Supportcorrespondentie — tot 3 jaar na het laatste contact.
• Veiligheids- en auditlogs — tot 12 maanden, langer wanneer een specifiek incidentonderzoek dat vereist.
• Back-ups — versleutelde back-ups roteren op een cyclus van 30 dagen; verwijderde data wordt binnen die termijn uit back-ups gepurgeerd.
• Openbare chatgesprekken — de IP-hash voor misbruikdetectie wordt na 30 dagen gewist; een gesprek dat geen aanvraag wordt, wordt na 180 dagen verwijderd. Een chat die een verkoopaanvraag wordt, volgt de bewaartermijn voor supportcorrespondentie.

Wanneer toepasselijk recht een langere bewaartermijn voorschrijft, geldt die termijn.

Uw rechten en hoe ze uit te oefenen

Afhankelijk van uw locatie heeft u mogelijk recht op: (a) inzage, (b) correctie, (c) verwijdering, (d) beperking, (e) bezwaar tegen verwerking op basis van gerechtvaardigd belang, (f) dataportabiliteit en (g) intrekking van toestemming wanneer verwerking daarop steunt.

Veel instellingen kunt u rechtstreeks vanuit uw account beheren (data export, accountverwijdering, consenttoggles). U kunt ook mailen naar [email protected]. Wij streven naar een antwoord binnen 30 dagen, conform AVG art. 12. Wij kunnen uw identiteit verifiëren om uw data te beschermen.

Toezichthoudende autoriteit

Wanneer u meent dat onze verwerking inbreuk maakt op de gegevensbeschermingswetgeving, heeft u het recht om een klacht in te dienen bij een toezichthoudende autoriteit — bij voorkeur in de EU-lidstaat waar u woont, werkt of waar de vermeende inbreuk plaatsvond. Voor België is dit de Gegevensbeschermingsautoriteit / Autorité de protection des données, Drukpersstraat 35, 1000 Brussel, www.dataprotectionauthority.be. Wij nodigen u uit eerst contact met ons op te nemen via [email protected] zodat wij uw zorg direct kunnen proberen oplossen.

Melding van datalekken

Als wij een datalek opmerken dat waarschijnlijk een risico voor uw rechten en vrijheden inhoudt, informeren wij de bevoegde toezichthoudende autoriteit binnen 72 uur waar dat vereist is door AVG art. 33. Wanneer het lek waarschijnlijk een hoog risico inhoudt, lichten wij ook de betrokkenen zonder onnodige vertraging in volgens art. 34. Veiligheidsincidenten kunt u melden via [email protected].

Privacy van kinderen

ImmoStory is een professionele B2B-dienst en richt zich niet op kinderen. Wij verzamelen niet bewust persoonsgegevens van personen onder de 16 jaar. Indien u meent dat een kind toch gegevens heeft verstrekt, neem dan contact met ons op zodat wij ze kunnen verwijderen.

Beveiliging en updates

Wij gebruiken organisatorische en technische maatregelen om persoonsgegevens te beschermen, waaronder toegangscontrole, rol-gebaseerde rechten, omgevingsscheiding, versleuteld transport (TLS), credentialrotatie, auditlogging, dependency-scans en operationele security-monitoring. Geen internetdienst is volledig risicoloos; bescherm daarom ook zelf uw wachtwoorden en gekoppelde integraties.

Wij kunnen dit privacybeleid aanpassen wanneer de dienst, wetgeving, subverwerkers of risico’s veranderen. De laatst gepubliceerde versie geldt vanaf publicatie.

Contact

Privacyvragen, rechtenverzoeken of klachten kunt u sturen naar [email protected]. Algemene support is bereikbaar via [email protected]. Veiligheidsmeldingen en incidentrapporten gaan naar [email protected].