Privacybeleid

Dit privacybeleid geldt voor YZR stack en alle diensten in de familie: Sityzr, Brandyzr, Adlyzr, Contyzr, Socialyzr, Domainyzr, Scoutyzr, Tagyzr, Translyzr en Mailyzr. Per dienst staat in §6 wat er specifiek voor die dienst geldt.

De diensten worden geleverd door Compass Digital, handelend onder de namen YZR stack, Sityzr, Brandyzr, Adlyzr, Contyzr, Socialyzr, Domainyzr, Scoutyzr, Tagyzr, Translyzr en Mailyzr. Adres: De Bloemen 62, 1902 GX Castricum, Nederland. KvK 90013603.

Vragen over privacy mail je naar privacy@yzrstack.com. Je krijgt binnen een werkdag een eerste antwoord.

• Wij bepalen het zelf (verwerkingsverantwoordelijke). Dat geldt voor je account, je abonnement, je facturen, je contact met ons, onze websites, en de koppelingen die je maakt met Google, Meta, LinkedIn, TikTok of Microsoft.
• Wij werken in jouw opdracht (verwerker). Dat geldt voor persoonsgegevens die je zelf in een dienst zet of laat verwerken: de klanten en bestellingen in je webshop, de leads in je account, de mailboxen bij je domein, de bezoekers van je website. Jij bent dan verantwoordelijk tegenover die mensen. Wij verwerken die gegevens alleen volgens jouw instructies en de verwerkersovereenkomst (/verwerkersovereenkomst). Ben je bezoeker of klant van een van onze klanten? Lees dan het privacybeleid van dat bedrijf.

• gegevens: Naam, e-mailadres, organisatie, rol, wachtwoord (alleen als hash), instellingen voor tweestapsverificatie · waarvoor: je account laten werken en je laten inloggen · grondslag (AVG art. 6): overeenkomst · hoe lang: zolang je account bestaat, daarna binnen 30 dagen verwijderd
• gegevens: Bij inloggen met Google of Microsoft: naam, e-mailadres, en of dat adres bevestigd is · waarvoor: je laten inloggen zonder apart wachtwoord · grondslag (AVG art. 6): overeenkomst · hoe lang: als je account
• gegevens: Bedrijfsgegevens, factuuradres, btw-nummer, betaalstatus · waarvoor: factureren en de administratie bijhouden · grondslag (AVG art. 6): wettelijke plicht · hoe lang: 7 jaar (fiscale bewaarplicht)
• gegevens: Wat je in de dienst invult, uploadt of laat maken · waarvoor: de dienst leveren · grondslag (AVG art. 6): overeenkomst · hoe lang: zolang je account bestaat, of korter als je het zelf verwijdert
• gegevens: Gegevens uit gekoppelde accounts bij Google, Meta, LinkedIn, TikTok, Microsoft (zie §4) · waarvoor: de functie leveren waarvoor je de koppeling maakt · grondslag (AVG art. 6): overeenkomst + je toestemming bij het koppelen · hoe lang: zolang de koppeling bestaat; zie §4
• gegevens: Berichten aan ons (mail, formulier, chat) · waarvoor: je vraag beantwoorden · grondslag (AVG art. 6): gerechtvaardigd belang · hoe lang: 2 jaar na het laatste contact
• gegevens: Technische gegevens: IP-adres, browser, foutmeldingen, logbestanden · waarvoor: de diensten veilig en werkend houden, misbruik voorkomen · grondslag (AVG art. 6): gerechtvaardigd belang · hoe lang: logbestanden maximaal 90 dagen
• gegevens: Nieuwsbrief en tips · waarvoor: je op de hoogte houden · grondslag (AVG art. 6): toestemming (je kunt je altijd afmelden) · hoe lang: tot je je afmeldt
• gegevens: Cookies en vergelijkbare technieken · waarvoor: zie het cookiebeleid (/cookies) · grondslag (AVG art. 6): toestemming of gerechtvaardigd belang · hoe lang: zie het cookiebeleid

Bijzondere persoonsgegevens (zoals gezondheid of religie) en gegevens van kinderen vragen we niet en hebben we niet nodig.

Sommige diensten werken met een account dat je bij een ander platform hebt. Je koppelt dat zelf. Op het scherm van dat platform zie je welke toegang je geeft. Welke toegang elke dienst precies vraagt, staat in §6.

Wat voor alle platformen geldt:

• We gebruiken de gegevens alleen voor de functies die je in de dienst ziet en gebruikt, en alleen voor de klant die de koppeling gemaakt heeft.
• We verkopen ze niet, gebruiken ze niet voor onze eigen advertenties, en tonen ze nooit aan andere klanten.
• Toegangssleutels (tokens) van platformen bewaren we versleuteld.
• Je kunt een koppeling altijd verbreken, in de dienst of bij het platform. Verbreek je hem in de dienst, dan verwijderen we de sleutel direct, en de gegevens die we uit dat account hebben binnen 30 dagen. Bij LinkedIn doen we dat binnen 10 dagen. Wil je ook dat het platform ons de toegang ontneemt, trek die dan daar in (zie /gegevens-verwijderen).
• Gegevens van platformen gebruiken we niet om algemene AI-modellen te trainen.

Bij inloggen met Google ontvangen we alleen je naam, je e-mailadres, en of dat adres bevestigd is.

Koppel je een Google-dienst (Google Ads, Google Analytics, Google Search Console, Google Tag Manager of je Google Bedrijfsprofiel), dan lezen en wijzigen we in dat account alleen wat bij de functie hoort die je gebruikt. In §6 staat per dienst welke Google-toegang (scope) we vragen en waarvoor.

• Toegang en gebruik: alleen om de functies te leveren die je in de dienst ziet. Een medewerker kijkt alleen mee als jij daarom vraagt, als het nodig is voor de beveiliging of als de wet het eist.
• Opslag: de toegangssleutel versleuteld; de gegevens zelf in onze database in de Europese Unie, zolang de koppeling bestaat.
• Delen: we delen Google-gebruikersgegevens met niemand, behalve met de dienstverleners die we nodig hebben om de functie te leveren (zie §5). Die werken onder dezelfde beperkingen. We verkopen ze niet, gebruiken ze niet voor advertenties of retargeting, en niet om kredietwaardigheid te beoordelen.
• AI: we gebruiken Google-gebruikersgegevens niet om algemene of fundamentele AI- of machine-learningmodellen te maken, te trainen of te verbeteren.
• Verwijderen: verbreek de koppeling in de dienst, of trek de toegang in via https://myaccount.google.com/permissions. Wil je ook de gegevens laten verwijderen die we al hebben, volg dan /gegevens-verwijderen.

Het gebruik door Mailyzr van informatie die via Google API's wordt ontvangen, en de doorgifte daarvan aan een andere app, voldoet aan de Google API Services User Data Policy, inclusief de Limited Use-vereisten.

Mailyzr's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Koppel je een advertentieaccount, pagina of Instagram-account, dan ontvangen we via de Meta Marketing API:

• je naam en Meta-gebruikers-ID;
• de pagina's, advertentieaccounts, pixels en catalogi waar je toegang toe hebt;
• campagnes, advertenties en budgetten;
• prestatiecijfers.

Die prestatiecijfers zijn geaggregeerd: we krijgen geen gegevens over individuele mensen die een advertentie zien.

Gebruik je een klantenlijst voor een doelgroep, dan hashen we die (SHA-256) vóór verzending en sturen we alleen de hashes naar Meta.

Gebruik je de Conversions API, dan sturen we gebeurtenissen van je website naar Meta, zoals een aankoop. Daarbij gaan mee:

• e-mailadres en telefoon, gehasht;
• IP-adres en browsergegevens van de bezoeker;
• de Meta-cookie-ID's.

Hoe je gegevens laat verwijderen die we van Meta ontvingen: /gegevens-verwijderen.

Koppel je een LinkedIn-advertentieaccount of -pagina, dan ontvangen we campagnes, prestatiecijfers en de berichten van die organisatiepagina. Onze bewaartermijnen:

• profielgegevens van andere leden: hooguit 24 uur;
• activiteit van leden: hooguit 48 uur;
• berichten van organisaties: hooguit 6 maanden;
• rapportages: hooguit 1 jaar.

Verwijderen gebeurt binnen 10 dagen na je verzoek of na het einde van je abonnement.

Koppel je een TikTok-account of TikTok for Business-advertentieaccount, dan ontvangen we je basisprofiel (naam en avatar), je advertentieaccounts, campagnes en prestatiecijfers. Plaats je via ons berichten, dan sturen we de video's en teksten die je zelf kiest naar TikTok.

• Inloggen met Microsoft: we ontvangen je naam en e-mailadres.
• Microsoft Advertising: koppel je dat, dan ontvangen we je advertentieaccounts, campagnes en prestatiecijfers.
• Microsoft 365-mailbox: koppel je die voor het verwerken van bestellingen, dan leest onze software alleen de map die je aanwijst, en verplaatst hij verwerkte mails naar een submap. De machtiging die Microsoft hiervoor geeft, is ruimer. Beperk hem daarom tot die ene mailbox met een toegangsbeleid in Microsoft 365. We helpen je daarbij.

We delen persoonsgegevens alleen met dienstverleners die we nodig hebben om de diensten te leveren, en alleen voor zover zij ze nodig hebben. Met elk van hen hebben we een verwerkersovereenkomst.

• soort: Hosting en database · wie: Hetzner · waar: EU (Duitsland, Finland)
• soort: Beveiliging, levering van de website, opslag van bestanden · wie: Cloudflare (o.a. R2, Turnstile) · waar: EU en VS
• soort: Betalingen · wie: Stripe, Mollie · waar: EU en VS
• soort: E-mail versturen · wie: Amazon Web Services (SES) · waar: EU
• soort: Foutmeldingen · wie: Sentry · waar: EU of VS (zie /subverwerkers)
• soort: AI-functies (teksten, vertalingen, beelden, analyses) · wie: Anthropic, OpenAI, Google (Gemini) en per dienst nog anderen (§6) · waar: VS
• soort: Zoeken · wie: Meilisearch (op onze eigen servers) · waar: EU

De volledige en actuele lijst per dienst staat op /subverwerkers. Verder delen we gegevens met:

• de platformen die je zelf koppelt, als je ons vraagt daar iets te doen;
• overheidsinstanties, als de wet ons daartoe verplicht.

• Ben je klant van Mailyzr? Dan gelden §1–5 voor je account, je abonnement en je facturen. Voor de contacten die je in Mailyzr zet, ben jij verantwoordelijk. Wij zijn dan je verwerker (/verwerkersovereenkomst).
• Krijg je mail van een bedrijf dat Mailyzr gebruikt? Dan is dat bedrijf verantwoordelijk voor je gegevens; lees het privacybeleid van dat bedrijf. Wij verwerken je gegevens in zijn opdracht. Afmelden kan altijd, met de link onderaan elke mail, zonder in te loggen.
• Wat Mailyzr voor dat bedrijf verwerkt:
  • Je e-mailadres, je naam als je die opgeeft, de lijsten waarvoor je je aanmeldde en je voorkeuren.
  • Bewijs van je toestemming: wanneer en via welk formulier je je aanmeldde en bevestigde, met welke tekst, en vanaf welk IP-adres en welke browser. Kreeg je een uitnodiging na een import, dan ook de bron en de datum van je eerdere toestemming of klantrelatie.
  • Aflevering: of de mail is afgeleverd, en of hij bouncete of als spam is gemeld. Een bounce of klacht leggen we vast, zodat je geen mail meer krijgt.
  • Opens en kliks, alleen als je daar toestemming voor gaf. Het meten staat standaard uit. Gaf je bij het aanmelden apart toestemming, dan meten we met een klein onzichtbaar beeldje of je de mail opent, en via links die langs onze verzendpartij lopen waarop je klikt. Grondslag: je toestemming, die je altijd kunt intrekken in het voorkeurencentrum. Zonder die toestemming krijg je geen beeldje en geen herschreven links.
• Hoe lang:
  • Meld je je af, dan krijg je direct geen mail meer. Na 30 dagen wissen we je e-mailadres, naam en extra gegevens, en het IP-adres en de browser in het toestemmingsbewijs.
  • Bevestig je een aanmelding of uitnodiging niet, dan wissen we je gegevens na 30 dagen. De bevestigingslink is 7 dagen geldig.
  • Aflevering, bounces, klachten, opens en kliks bewaren we 13 maanden.
• De suppressielijst:
  • Na een afmelding, bounce of klacht bewaren we een code van je e-mailadres. Je adres is niet uit die code af te lezen, maar wie je adres al kent, kan hem herkennen. Het zijn dus pseudonieme gegevens, geen anonieme.
  • Met die code zorgen we dat je via Mailyzr of een andere dienst van YZR stack niet opnieuw mail krijgt, ook niet van een ander bedrijf dat je adres importeert. Voor deze lijst zijn wij zelf verantwoordelijk. De grondslag is ons gerechtvaardigd belang: spam voorkomen. We bewaren de code zolang dat nodig is, en beoordelen dat elk jaar opnieuw.
  • Je kunt bezwaar maken tegen deze verwerking via privacy@yzrstack.com. Let op: zonder de code kunnen we niet voorkomen dat je adres opnieuw geïmporteerd wordt. Wil je weer mail van een bedrijf, meld je dan opnieuw aan bij dat bedrijf en bevestig dat; dan geldt die nieuwe toestemming.
• Wie helpt, en doorgifte buiten de EU:
  • Amazon Web Services verstuurt de mail, vanuit Frankfurt.
  • Hetzner host de app en de database, in Duitsland en Finland.
  • Cloudflare verzorgt de beveiligde verbinding en ziet daarbij je IP-adres als je de afmeld- of voorkeurenpagina opent.
  • Gebruikt het bedrijf AI-teksten, dan krijgen Anthropic of OpenAI de tekst van de mail. Daarin staan je gegevens alleen als het bedrijf ze zelf in die tekst zette.
  • Cloudflare, Anthropic en OpenAI, en mogelijk het moederbedrijf van AWS, verwerken gegevens ook in de VS. Dat gebeurt op grond van het EU-US Data Privacy Framework en de standaardcontractbepalingen van de Europese Commissie. De actuele lijst staat op /subverwerkers.
• Toegang tot andere platformen: Mailyzr vraagt geen toegang tot je account bij Google, Meta, LinkedIn, TikTok of Microsoft.
• Vragen en bezwaar: mail naar privacy@yzrstack.com. Over je gegevens bij een bedrijf dat Mailyzr gebruikt, kun je je eerst tot dat bedrijf richten. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.

Sommige dienstverleners zitten in de Verenigde Staten. Dan geldt een van deze waarborgen:

• het EU-US Data Privacy Framework, als de dienstverlener daaronder gecertificeerd is;
• of de standaardcontractbepalingen van de Europese Commissie, met aanvullende maatregelen waar dat nodig is.

• Alle verbindingen zijn versleuteld (HTTPS).
• Wachtwoorden bewaren we alleen als hash. Toegangssleutels van platformen bewaren we versleuteld.
• Gegevens van verschillende klanten zijn van elkaar gescheiden.
• Alleen medewerkers die het voor hun werk nodig hebben, kunnen erbij.
• Tweestapsverificatie is beschikbaar.
• Bij een datalek handelen we volgens de wet: we melden het waar dat moet bij de Autoriteit Persoonsgegevens en bij jou.

Je mag:

• je gegevens inzien en een kopie krijgen;
• ze laten verbeteren of aanvullen;
• ze laten verwijderen;
• de verwerking laten beperken;
• je gegevens meenemen naar een andere aanbieder (overdraagbaarheid);
• bezwaar maken tegen verwerking op grond van gerechtvaardigd belang, en tegen direct marketing;
• je toestemming intrekken, als je die gaf. Wat er vóór het intrekken gebeurde, blijft rechtmatig.

Mail privacy@yzrstack.com. We regelen het binnen een maand. Soms vragen we je eerst om aan te tonen dat het om jouw gegevens gaat.

Ben je het niet eens met hoe we met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl). We horen het graag eerst zelf.

We nemen geen besluiten over je die alleen door een computer worden genomen en die rechtsgevolgen hebben of je in aanmerkelijke mate treffen. AI-functies doen voorstellen; jij beslist.

Welke cookies we gebruiken en hoe je ze beheert, staat in het cookiebeleid (/cookies).

Hoe je een koppeling verbreekt of je gegevens laat verwijderen, per platform, staat op /gegevens-verwijderen.

Als we dit beleid wezenlijk wijzigen, laten we je dat vooraf weten in de dienst of per e-mail. Bovenaan staat wanneer het voor het laatst is aangepast.