Privacy Notice

⚠️ VOORLOPIGE VERSIE — juridisch onder review. Dit document is een in goed vertrouwen opgestelde concept-tekst in afwachting van controle door een gekwalificeerd juridisch adviseur. Door Tokonomix te gebruiken ga je akkoord met deze bepalingen als bindend contract; ingrijpende wijzigingen worden per e-mail aangekondigd en gaan gepaard met een versiebump. Laatst bijgewerkt: 2026-06-01.

Privacyverklaring

Deze Privacyverklaring legt uit hoe Tokonomix persoonsgegevens verwerkt wanneer je onze website bezoekt, een account aanmaakt of de Tokonomix-API gebruikt. Hij is opgesteld in overeenstemming met Verordening (EU) 2016/679 (de "AVG") en de Uitvoeringswet AVG.

1. Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke voor jouw persoonsgegevens is:

InterIP Networks B.V. (handelend onder de naam Tokonomix) Statutaire zetel: Linnewever 18, 2292 JH Wateringen, Nederland. Kamer van Koophandel (KvK): 27183782 Btw-identificatienummer: NL813181811B01 Algemeen contact: support@tokonomix.ai Privacycontact: privacy@tokonomix.ai

2. Functionaris voor Gegevensbescherming

Onze Functionaris voor Gegevensbescherming (FG) is bereikbaar op dpo@tokonomix.ai. De FG-mailbox wordt op werkdagen gemonitord; reacties op formele verzoeken van betrokkenen volgen binnen de wettelijke termijn van één maand (art. 12 lid 3 AVG).

Operationele notitie: de FG-mailbox wordt tijdens de preview-periode voorzien. Tot de provisioning is afgerond worden berichten aan dit adres automatisch doorgestuurd naar privacy@tokonomix.ai — er gaat niets verloren.

3. Doeleinden en rechtsgrondslagen

Wij verwerken persoonsgegevens voor de hierna genoemde doeleinden. De gehanteerde rechtsgrondslagen staan ernaast op grond van artikel 6 lid 1 AVG.

• Aanmaken en authenticeren van je account — Overeenkomst, art. 6 lid 1 sub b.
• Routeren van API-calls en meten van Credit-verbruik — Overeenkomst, art. 6 lid 1 sub b.
• Verwerken van betalingen via Mollie B.V. — Overeenkomst, art. 6 lid 1 sub b.
• Detecteren van fraude, misbruik en account-stuffing — Gerechtvaardigd belang, art. 6 lid 1 sub f.
• Voldoen aan fiscale, boekhoudkundige en anti-witwasregels — Wettelijke verplichting, art. 6 lid 1 sub c.
• Versturen van product- en redactionele updates — Toestemming, art. 6 lid 1 sub a.
• Analytics en performance-meting (als je opt-in geeft) — Toestemming, art. 6 lid 1 sub a.

Indien de verwerking is gebaseerd op toestemming, kun je deze op elk moment intrekken zonder dat dit afdoet aan de rechtmatigheid van de verwerking vóór de intrekking.

4. Categorieën persoonsgegevens

Wij verwerken de volgende categorieën persoonsgegevens:

• Identificatiegegevens — volledige naam, e-mailadres, accountvoorkeuren;
• Authenticatiegegevens — gesalte password-hashes, versleutelde tweede-factor-secrets, hashes van herstelcodes;
• Factureringsgegevens — btw-nummer, bedrijfsnaam, factuuradres, betaaltoken-referenties uitgegeven door Mollie (wij bewaren geen volledige kaart- of bankrekeningnummers);
• Gebruiksgegevens — API-verzoeken, modelkeuzes, token-tellingen, latency-metingen, response-statuscodes, afgeleide kostenbedragen;
• Technische gegevens — IP-adres, user-agent string, browser-taalheader, session-cookie-identifiers;
• Communicatiegegevens — inhoud van support- en abuse-tickets;
• Misbruikonderzoeksgegevens — in de twee hieronder beschreven situaties, en om de dienst te beschermen tegen fraude en geautomatiseerd misbruik, de inhoud van de verzoeken die vanaf een account worden verstuurd. Wij bewaren de tekst van elk bericht (afgekapt op de eerste 2.000 tekens, en ten hoogste 50 berichten per verzoek), het aantal berichten, de volledige lengte vóór afkapping, de gevraagde modellen, het verzoek-kenmerk, het IP-adres van herkomst en de user-agent. Meegestuurde afbeeldingen leggen wij alleen als aanduiding vast, nooit de afbeelding zelf. Wij passen dit toe in twee situaties en in geen andere. Ten eerste op individueel aangewezen accounts waarnaar een onderzoek loopt, zolang dat onderzoek duurt. Ten tweede op elk nieuw account gedurende een kort eerste-gebruiksvenster: ongeveer de eerste twintig (20) verzoeken binnen zeven (7) dagen na aanmelding, waarbij de eerst bereikte grens geldt, waarna de vastlegging vanzelf eindigt en niet wordt hervat tenzij het account individueel wordt aangewezen. Bestaande accounts zonder zo'n aanwijzing leggen wij in het geheel niet vast. Onze grondslag is ons gerechtvaardigd belang bij het voorkomen van fraude jegens en misbruik van de dienst (artikel 6, lid 1, onder f, AVG); wij maken per aanwijzing een belangenafweging en leggen die vast. U kunt bezwaar maken op grond van artikel 21; wij stoppen dan, tenzij wij dwingende gerechtvaardigde gronden kunnen aantonen — bij een lopend fraudeonderzoek kan dat het geval zijn.

Stuurt u persoonsgegevens van iemand anders mee in een prompt, dan verwerken wij die normaal gesproken uitsluitend in uw opdracht, als uw verwerker. Wordt zo'n prompt vastgelegd in een misbruikonderzoek, dan verwerken wij die inhoud voor ons eigen doel en zijn wij daarvoor verwerkingsverantwoordelijke. Dat is een reden te meer om andermans persoonsgegevens — en zeker bijzondere categorieën daarvan — niet in prompts te zetten.

Wij verwerken bewust geen bijzondere categorieën persoonsgegevens onder artikel 9 AVG; je dient zulke gegevens niet via prompts in te dienen.

5. Ontvangers en sub-verwerkers

Wij delen persoonsgegevens uitsluitend met de hieronder genoemde ontvangers en sub-verwerkers, die allen gebonden zijn aan verwerkersovereenkomsten conform artikel 28 AVG.

• Mollie B.V. — Betalingsverwerking — Nederland (EER).
• Anthropic, PBC — LLM-inferentie (Claude-familie) — Verenigde Staten.
• OpenAI, OpCo LLC — LLM-inferentie (GPT-familie) — Verenigde Staten.
• Google LLC — LLM-inferentie (Gemini-familie) — Verenigde Staten.
• OVH Groupe SAS — LLM-inferentie en infrastructuur — Frankrijk (EER).
• Hetzner Online GmbH — Infrastructuur-hosting — Duitsland (EER).
• InterIP Networks BV — Infrastructuur-operatie en support — Nederland (EER).

Onze actuele sub-verwerkerslijst wordt onderhouden op /nl/legal/sub-processors. Wij stellen Klanten ten minste vijftien (15) dagen voordat een nieuwe sub-verwerker operationeel wordt per e-mail op de hoogte van wijzigingen, en je kunt op gerechtvaardigde gronden bezwaar maken.

6. Bewaartermijnen

Wij bewaren persoonsgegevens uitsluitend zolang dat noodzakelijk is voor het doel waarvoor ze zijn verzameld:

• Accountprofiel — gedurende de levensduur van het account plus dertig (30) dagen na beëindiging, waarna wij het profiel verwijderen of pseudonimiseren;
• Factureringsadministratie en facturen — zeven (7) jaar vanaf het einde van het boekjaar van uitgifte, conform artikel 52 van de Algemene wet inzake rijksbelastingen;
• API-gebruikslogs — negentig (90) dagen vanaf het tijdstip van het verzoek, waarna geaggregeerde statistieken behouden blijven maar ruwe regels worden verwijderd;
• Audit- en abuse-detectie-logs — één (1) jaar vanaf de gebeurtenis;
• Verzoekinhoud uit misbruikonderzoek — dertig (30) dagen na het verzoek, verwijderd door een geautomatiseerde uurlijkse opruiming, tenzij een langere termijn nodig is om een rechtsvordering in te stellen, uit te oefenen of te onderbouwen;
• Support- en abuse-communicatie — drie (3) jaar vanaf de laatste interactie, tenzij een langere bewaartermijn noodzakelijk is om een rechtsvordering te verdedigen.

Na het verstrijken van de toepasselijke bewaartermijn worden gegevens uit de primaire opslag verwijderd en bij de eerstvolgende backup-retentiecyclus (binnen dertig dagen) uit back-ups gerouleerd.

7. Jouw rechten

Onder de voorwaarden van de AVG heb je het recht op:

• Inzage — een kopie verkrijgen van de persoonsgegevens die wij over jou bewaren (art. 15);
• Rectificatie — onjuiste of onvolledige gegevens corrigeren (art. 16);
• Wissing — verzoeken om verwijdering van gegevens die wij niet langer mogen bewaren (art. 17);
• Beperking — verzoeken dat wij de verwerking in bepaalde situaties beperken (art. 18);
• Dataportabiliteit — een machine-leesbare export ontvangen van gegevens die jij op grond van een overeenkomst aan ons hebt verstrekt (art. 20);
• Bezwaar — bezwaar maken tegen verwerking op grond van gerechtvaardigd belang (art. 21).

Je kunt deze rechten uitoefenen door te schrijven naar privacy@tokonomix.ai vanaf het e-mailadres dat bij je account hoort. Wij reageren binnen één maand na ontvangst; bij complexe verzoeken kunnen wij met twee maanden verlengen en zullen wij je daarover informeren.

Je hebt eveneens het recht een klacht in te dienen bij een toezichthoudende autoriteit, in het bijzonder in de EU-lidstaat van jouw gewone verblijfplaats, werkplek of plaats van de vermeende inbreuk. De Nederlandse toezichthouder is de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

8. Internationale doorgiften

Diverse van onze sub-verwerkers bevinden zich buiten de Europese Economische Ruimte, in het bijzonder Anthropic PBC, OpenAI OpCo LLC en Google LLC in de Verenigde Staten. Persoonsgegevens die naar deze ontvangers worden doorgegeven zijn beschermd door:

• de Modelcontractbepalingen van de Europese Commissie (Uitvoeringsbesluit (EU) 2021/914), die door verwijzing zijn opgenomen in de toepasselijke verwerkersovereenkomst;
• waar van toepassing, de certificering van de ontvanger onder het EU-VS Data Privacy Framework;
• impact-assessments voor doorgifte en, waar passend, aanvullende technische maatregelen zoals versleuteling in transit en at rest.

Je kunt een kopie van de modelcontractbepalingen die een specifieke doorgifte afdekken opvragen via privacy@tokonomix.ai.

9. Cookies

Wij hanteren de kleinst mogelijke cookie-footprint:

• Strikt noodzakelijke cookies — een session-cookie die jouw authenticatietoken na inloggen vasthoudt, plus een CSRF-token. Deze cookies kunnen niet geweigerd worden zonder de Dienst uit te schakelen.
• Analytics-cookies — alleen gezet na expliciete toestemming via onze cookie-banner. Hiermee meten wij geaggregeerd sitegebruik en verbeteren wij content.
• Marketingcookies — worden momenteel niet gezet; deze categorie is gereserveerd voor toekomstig opt-in attributiegebruik.

Je kunt je cookievoorkeuren op elk moment wijzigen via de link in de footer van elke pagina. Toestemmingsregistraties worden één jaar bewaard.

10. Kinderen

De Dienst is niet gericht op kinderen jonger dan zestien (16) jaar. Wij verzamelen niet bewust persoonsgegevens van een persoon die jonger is dan deze leeftijd. Als je vermoedt dat een kind persoonsgegevens aan ons heeft verstrekt, neem dan contact op met privacy@tokonomix.ai en wij verwijderen de gegevens onverwijld.

---

Wijzigingen in deze verklaring. Wij kunnen deze Privacyverklaring van tijd tot tijd actualiseren. Bij wezenlijke wijzigingen verhogen wij het versienummer, vernieuwen wij de datum "Laatst bijgewerkt" en informeren wij actieve Klanten ten minste veertien (14) dagen vóór inwerkingtreding per e-mail. De versiehistorie is op verzoek beschikbaar.