Privacybeleid

In dit privacybeleid (het «Privacybeleid») leest u hoe Rectoria met persoonsgegevens omgaat: in onze diensten, op onze website en in ons contact met geïnteresseerden, klanten en bezoekers.

Rectoria («wij», «ons» of «onze») is voor deze verwerkingen de partij die beslist wat er met uw gegevens gebeurt. De AVG noemt die partij de «verwerkings­verantwoordelijke». Rectoria is ingeschreven in de Kruispuntbank van Ondernemingen onder ondernemingsnummer 1041.668.746, met BTW-nummer BE 1041.668.746 en zetel te Henri Dunantstraat 151, 3620 Lanaken, België.

Heeft u een vraag over dit Privacybeleid of over wat wij met uw persoonsgegevens doen? Mail ons op team@rectoria.ai.

Dit Privacybeleid geldt voor alles wat wij met persoonsgegevens doen via rectoria.ai, app.rectoria.ai en alle andere domeinen, applicaties en kanalen die Rectoria uitbaat (samen de «Online Diensten»). De «Diensten» of het «Platform» zijn daarvan een onderdeel: de eigenlijke Rectoria-toepassing waarvoor een kantoor een abonnement neemt. Begrippen die in dit Privacybeleid met een hoofdletter beginnen en hier niet worden omschreven (zoals Diensten, Platform, Inhoud, Output, Eindgebruiker, Orderformulier en Overeenkomst) betekenen hetzelfde als in artikel 2 van de Algemene Voorwaarden.

De AVG kent twee rollen, en Rectoria vervult ze allebei, telkens voor andere gegevens:

• a)Verwerkings­verantwoordelijke: wij beslissen zelf wat er met de gegevens gebeurt. Die rol hebben wij voor de gegevens die Rectoria zelf bepaalt en gebruikt: account- en organisatie­gegevens, gebruiks- en logdata van het Platform, gegevens van demo-aanvragers en marketing­contacten, en gegevens van websitebezoekers. Op deze verwerkingen is dit Privacybeleid rechtstreeks van toepassing.
• b)Verwerker: wij verwerken de gegevens alleen in opdracht van iemand anders. Die rol hebben wij voor de Inhoud die het advocatenkantoor dat bij ons klant is (het «Kantoor», in de Algemene Voorwaarden de «Abonnee» genoemd) in het Platform invoert: dossierdata, documenten, queries en de daaraan gekoppelde Output. Uw Kantoor blijft voor die gegevens de verwerkings­verantwoordelijke: het beslist, wij voeren uit. Dient iemand over wie die gegevens gaan (een «betrokkene») bij ons een verzoek in over die Inhoud, dan sturen wij dat meteen door naar het Kantoor, dat het aanspreekpunt blijft.

De afspraken tussen Rectoria en het Kantoor staan verder uitgewerkt in de Algemene Voorwaarden en de Verwerkers­overeenkomst (DPA).

Gegevens die u ons zelf bezorgt.

• a)Account- en organisatie­gegevens: naam, e-mailadres, functie, taalkeuze, inloggegevens (account-credentials), en bij welke kantoor-organisatie u hoort en met welke rechten. Deze gegevens beheren wij via Clerk, onze leverancier voor authenticatie.
• b)Communicatie- en demo-aanvragen: naam, e-mailadres, telefoonnummer, kantoor, vakgebied, en de berichten en bijlagen die u ons stuurt via het demo-aanvraagformulier, per e-mail of via support­kanalen.
• c)Facturatie­gegevens: kantoorgegevens, KBO-nummer, BTW-nummer, factuuradres en betaal­gegevens.
• d)Professionele profielgegevens: functie, vakgebieden, jaar van eedaflegging aan de balie, geboortejaar en geslacht. U of uw Kantoor vult deze gegevens in bij de onboarding, en ze zijn niet verplicht. Wij gebruiken ze uitsluitend om te analyseren hoe verschillende doelgroepen het Platform gebruiken en om de Diensten daarop af te stemmen (artikel 3.2 c). U kan ze op elk moment laten aanpassen of verwijderen (artikel 9).

Gegevens die wij automatisch verzamelen.

• a)Loggegevens: IP-adres, browsertype en -instellingen, het tijdstip en de manier waarop u toegang krijgt, en de doorverwijzende URL (de pagina die u naar ons doorstuurde).
• b)Apparaat­gegevens: type apparaat, besturingssysteem, browserversie, schermresolutie en taalinstellingen.
• c)Gebruiks­gegevens: welke schermen en functies u opent (in genormaliseerde vorm, dus zonder dossiernamen of andere inhoud), hoelang u er blijft, hoe u door het Platform navigeert, welke functies en add-ins u gebruikt, hoe vaak u inlogt, hoelang uw sessies duren, welke foutmeldingen u tegenkomt, en hoeveel u de AI-functies gebruikt (het aantal aanroepen per module, de verwerkte tokenvolumes en de kosten die wij daaruit berekenen). Wij kunnen deze gegevens per gebruiker bijhouden en combineren met de professionele profielgegevens uit artikel 3.1 d), om het gebruik per doelgroep te analyseren (bijvoorbeeld per vakgebied of ervaringsniveau). Belangrijk: wij verzamelen of bewaren daarbij geen Inhoud (dossiers, documenten, queries of Output) buiten wat strikt nodig is om de Diensten te leveren volgens de Verwerkers­overeenkomst. De gebruiksgegevens beschrijven hoe het Platform wordt gebruikt, nooit wat erin staat.
• d)Cookies en vergelijkbare technologieën: daarover leest u alles in artikel 12.

Gegevens uit publieke en externe bronnen.

• a)Binnen de Diensten raadplegen wij publiek toegankelijke juridische bronnen (zoals het Belgisch Staatsblad, Justel, ECLI-rechtspraak en fiscale databanken) om bronvermelding en zoek­functionaliteiten mogelijk te maken. Die publieke bronnen kunnen persoonsgegevens bevatten, bijvoorbeeld namen in een gepubliceerd vonnis. Wij verwerken die gegevens alleen om relevante en juiste antwoorden te geven, niet om personen actief te identificeren.
• b)Voor prospectie en relatiebeheer kunnen wij contactgegevens van advocaten, kantoren en zakelijke prospects opzoeken in openbare bronnen of professionele netwerken (zoals balieregisters of LinkedIn).

Wij kunnen de gegevens die wij van u of over u verzamelen combineren en samenvoegen om de Diensten te leveren, te verbeteren en te beveiligen. Bijzondere categorieën van persoonsgegevens in de zin van artikel 9 AVG (bijvoorbeeld gegevens over gezondheid, geloof of politieke voorkeur) verzamelen wij zelf niet. Zitten zulke gegevens in de Inhoud van een Kantoor, dan geldt daarvoor de Verwerkers­overeenkomst.

Persoonsgegevens verwerken mag onder de AVG alleen met een wettelijke reden, een «rechtsgrond» (artikel 6 AVG). Wij steunen op een of meer van de volgende rechtsgronden:

Uitvoering van de overeenkomst (Art. 6.1.b AVG): wij hebben uw gegevens nodig om onze afspraken met u na te komen. Zo maken en beheren wij uw account, leveren wij de Diensten, geven wij support, verwerken wij betalingen en facturatie, en leven wij het Orderformulier en de Algemene Voorwaarden na.

Wettelijke verplichting (Art. 6.1.c AVG): soms verplicht de wet ons om iets te doen. Zo moeten wij facturatie- en boekhoudkundige gegevens bewaren volgens de Belgische wetgeving, rechtmatige verzoeken van overheden of rechtbanken beantwoorden, en anti-witwas-, fiscale en andere wettelijke verplichtingen naleven.

Gerechtvaardigd belang (Art. 6.1.f AVG): de rechtsgrond voor dingen die wij redelijkerwijs moeten kunnen doen om ons bedrijf te runnen, zolang uw rechten en vrijheden daarbij niet zwaarder wegen. Concreet: de Diensten beveiligen en misbruik voorkomen, het Platform verbeteren en verder ontwikkelen, analyseren hoe het Platform per gebruiker en per doelgroep­segment wordt gebruikt (op basis van de gebruiks- en profielgegevens uit artikel 3, nooit op basis van Inhoud), het verbruik en de kosten van de onderliggende AI-diensten bewaken en beheersen, zakelijke prospectie en relatiebeheer voeren in een B2B-context, de rechten en eigendommen van Rectoria beschermen, en geanonimiseerde analyses uitvoeren. Wij wegen ons belang telkens zorgvuldig af tegen uw rechten en vrijheden, en u kan zich op elk moment kosteloos tegen deze verwerkingen verzetten.

Toestemming (Art. 6.1.a AVG): voor sommige dingen vragen wij eerst uw toestemming. Dat doen wij voor direct marketing aan natuurlijke personen die nog geen klant zijn, voor niet-essentiële cookies, en voor specifieke verwerkingen waarvoor de AVG vooraf toestemming eist. U kan uw toestemming op elk moment intrekken; wat wij vóór die intrekking deden, blijft wel rechtmatig.

Rectoria gebruikt de Inhoud niet om AI-modellen te trainen, bij te trainen (fine-tunen) of te verbeteren. Niet voor eigen modellen en niet voor modellen van externe partijen. Dat is een structurele keuze in hoe het Platform is gebouwd, geen marketing­positie.

Onze externe AI-leveranciers verbinden zich er contractueel toe de Inhoud, queries en Output niet te gebruiken om modellen te trainen en niet te hergebruiken voor andere klanten. De Inhoud wordt alleen verwerkt om uw vraag te beantwoorden. Dat gebeurt via AWS Bedrock, binnen de Europese Economische Ruimte en landen met een adequaatheids­besluit (landen waarvan de Europese Commissie officieel heeft vastgesteld dat ze persoonsgegevens even goed beschermen). De Inhoud wordt daarbij standaard niet opgeslagen (zero data retention: zodra uw vraag beantwoord is, blijft er niets achter) en de aanbieder van het onderliggende model heeft er geen toegang toe.

Wij delen uw persoonsgegevens alleen met de volgende categorieën van ontvangers, telkens met passende garanties voor geheimhouding of verwerking:

Onze medewerkers, gebonden door een geheimhoudings­plicht. Zij zien alleen wat zij voor hun taak echt nodig hebben (strikt need-to-know), en tot de Inhoud van een Kantoor hebben zij standaard geen toegang (zie ook artikel 10.3 van de Algemene Voorwaarden).

Sub-verwerkers: gespecialiseerde leveranciers die wij inschakelen om de Diensten te leveren en die daarbij in onze opdracht gegevens verwerken. Met elk van hen sluiten wij een verwerkers­overeenkomst zoals artikel 28 AVG voorschrijft. Op dit moment zijn dat onder meer:

• Clerk, Inc.: authenticatie (het inloggen) en identiteits­beheer (account- en organisatie­gegevens).
• Neon (Neon, LLC, onderdeel van Databricks, Inc.): de gehoste PostgreSQL-database waarin de Inhoud staat, in een EU-regio.
• Vercel, Inc.: hosting van de applicatie en de website. De servercode en de gegevensverwerking draaien in de EU-regio Frankfurt; het wereldwijde netwerk van Vercel levert daarnaast de statische bestanden (scripts, stylesheets en afbeeldingen, zonder persoonsgegevens) vanaf het knooppunt dat het dichtst bij de bezoeker ligt.
• Amazon Web Services EMEA SARL (Luxemburg): draait de AI-modellen (Claude) en maakt via AWS Bedrock de tekst-embeddings (Cohere), de numerieke samenvattingen waarmee tekst doorzoekbaar wordt. De verwerking blijft binnen de EER en landen met een adequaatheids­besluit. De Inhoud wordt standaard niet opgeslagen, de modelaanbieders hebben er geen toegang toe, en contractueel is vastgelegd dat er niet mee getraind wordt.
• Voyage AI (Voyage AI Innovations, Inc., onderdeel van MongoDB, Inc.): tekst-embeddings en herrangschikking van zoekresultaten, uitsluitend om het publieke juridische bronnencorpus (rechtspraak en wetgeving) te doorzoeken. Voyage ontvangt zoekopdrachten, nooit uw dossierdocumenten of Inhoud.
• Tavily (AlphaAI Technologies Inc.): webzoekopdrachten voor de onderzoeksfunctie. Tavily krijgt alleen de zoektermen te zien, nooit uw dossierdocumenten of Inhoud.
• Resend (Plus Five Five, Inc.): verstuurt onze transactionele e-mails. Dat zijn berichten over demo-aanvragen, notificaties en account­communicatie.
• Recommand (BRBX BV, België): het gecertificeerde Peppol-toegangspunt waarlangs facturen als e-factuur vertrekken, en uitsluitend wanneer het Kantoor die verzending zelf gebruikt. Recommand ontvangt de factuurgegevens: naam, adres en btw-nummer van de gefactureerde cliënt, samen met de bedragen en de btw-uitsplitsing. De prestatie­omschrijvingen en de opmerkingen uit de ereloonstaat gaan niet mee: die vertrekken standaard in beknopte vorm, zoals de Orde van Vlaamse Balies aanbeveelt.
• Microsoft Corporation en/of Google LLC: uitsluitend wanneer het Kantoor zelf een eigen Microsoft 365- of Google Workspace-integratie aanzet voor e-mail- of agenda­synchronisatie. Die koppeling verloopt via OAuth en het Kantoor stelt ze zelf in.

De actuele en volledige lijst van sub-verwerkers (met vestigings­land, doel en de gehanteerde waarborgen) bezorgen wij u op eenvoudig schriftelijk verzoek via team@rectoria.ai. Verandert er iets fundamenteels aan die lijst, dan laten wij u dat uit onszelf weten.

Professionele adviseurs zoals advocaten, accountants en auditoren, gebonden door hun beroepsgeheim of een gelijkwaardige geheimhoudings­plicht.

Overheden en bevoegde autoriteiten, maar alleen wanneer de wet ons daartoe verplicht of wanneer dat redelijkerwijs nodig is om onze rechten te beschermen. Vinden wij een verzoek overmatig of onvoldoende onderbouwd, dan verzetten wij ons ertegen.

Verkrijgers bij een reorganisatie: bij een fusie, overname of verkoop van (een deel van) de onderneming kunnen persoonsgegevens mee overgaan. Dat kan alleen als het beschermings­niveau uit dit Privacybeleid gehandhaafd blijft, en wij verbinden ons ertoe u in dat geval tijdig in te lichten.

Wij verkopen uw persoonsgegevens niet en delen ze niet voor de commerciële doeleinden van derden.

Gegevens uit een gekoppelde Google-mailbox.Koppelt het Kantoor een Gmail- of Google Workspace-mailbox aan Rectoria, dan leven het gebruik en de doorgifte van alles wat wij via Google API's ontvangen na op het Google API Services: User Data Policy, met inbegrip van de Limited Use-vereisten. Concreet betekent dat: wij gebruiken die gegevens uitsluitend om de functies te leveren die de gebruiker zelf heeft aangezet (berichten bij het juiste dossier plaatsen, bijlagen als stukken bewaren, agenda-items synchroniseren), wij verkopen ze niet, wij gebruiken ze niet voor advertenties en niet om AI-modellen te trainen, en wij laten er geen mensen naar kijken behalve met uw uitdrukkelijke toestemming, wanneer dat noodzakelijk is om een beveiligings­probleem te onderzoeken of te verhelpen, of wanneer de wet ons daartoe verplicht. Koppelt het Kantoor de mailbox los, dan verwijderen wij de opgehaalde berichten en agenda-items volgens artikel 8.

Ons uitgangspunt: uw persoonsgegevens blijven binnen de Europese Economische Ruimte (EER), zowel voor opslag als voor verwerking. De databases met de Inhoud draaien in datacentra binnen de Europese Unie, en wij kopiëren geen data naar landen buiten de EER voor back-up of disaster recovery.

Toch kunnen sommige van onze sub-verwerkers gevestigd zijn in landen buiten de EER, vooral in de Verenigde Staten. In die gevallen zorgen wij voor een passend beschermings­niveau via:

• a)een adequaatheids­besluit van de Europese Commissie: de Commissie heeft dan officieel vastgesteld dat de bescherming er gelijkwaardig is. Daaronder valt ook het EU-US Data Privacy Framework, dat geldt voor Amerikaanse bedrijven die zich onder dat kader certificeren;
• b)de standaard­contract­bepalingen van de Europese Commissie (Standard Contractual Clauses), vaste contractafspraken die de Europese bescherming laten doorwerken, aangevuld met extra technische en organisatorische maatregelen na een Transfer Impact Assessment (een voorafgaande risicobeoordeling van de doorgifte).

Op verzoek bezorgen wij u een kopie van deze waarborgen.

Account- en gebruiks­gegevens bewaren wij zolang het Kantoor klant is bij Rectoria. Eindigt de Overeenkomst, dan verwijderen wij deze gegevens volgens artikel 8 van de Algemene Voorwaarden.

Facturatie- en boekhoudkundige gegevens moeten wij wettelijk tien (10) jaar bewaren, gerekend vanaf het jaar dat volgt op de afsluiting van het boekjaar (artikel 60, §4 van het Btw-Wetboek en artikel 315 van het Wetboek van de inkomstenbelastingen 1992). Het boekhoudrecht legt voor dezelfde stukken een termijn van zeven (7) jaar op (artikel III.86 Wetboek van economisch recht); wij houden de langste van beide aan.

Loggegevens bewaren wij in principe drie (3) tot veertien (14) maanden, afhankelijk van het beveiligings- of operationele doel. Beveiligings­gerelateerde audit-logs en gebruiks­gegevens (zonder Inhoud, inclusief de gebruiks­statistieken uit artikel 3.2 c) kunnen tot vierentwintig (24) maanden bewaard blijven. Verbruiks- en kosten­gegevens die wij nodig hebben voor facturatie of doorbelasting volgen de termijn van artikel 8.2.

Demo-aanvragen en marketing­contacten bewaren wij zolang dat nodig is om het commerciële traject te beheren, en in elk geval niet langer dan vierentwintig (24) maanden na het laatste contact, tenzij er intussen een klantrelatie ontstaat.

Persoonsgegevens die wij moeten bijhouden voor een geschil of een wettelijke verplichting, bewaren wij zolang dat nodig is om die rechten of verplichtingen veilig te stellen.

In AVG-taal bent u de «betrokkene»: de persoon over wie de gegevens gaan. Voor de verwerkingen waarvoor Rectoria de verwerkings­verantwoordelijke is, heeft u, voor zover van toepassing, de volgende rechten:

• a)Recht op inzage: u kan opvragen welke persoonsgegevens wij over u verwerken en er een kopie van krijgen.
• b)Recht op verbetering: kloppen uw gegevens niet of zijn ze onvolledig, dan passen wij ze aan.
• c)Recht op wissing: u kan ons vragen uw gegevens te verwijderen, in de gevallen waarin de AVG dat voorziet.
• d)Recht op beperking: u kan ons vragen uw gegevens tijdelijk niet verder te gebruiken, bijvoorbeeld terwijl wij een bezwaar van u onderzoeken.
• e)Recht op bezwaar: u kan nee zeggen tegen verwerkingen die op ons gerechtvaardigd belang steunen en tegen direct marketing.
• f)Recht op overdraagbaarheid: de gegevens die u ons zelf gaf, kan u meekrijgen in een gestructureerd, gangbaar en machine-leesbaar formaat, bijvoorbeeld om ze naar een andere dienst mee te nemen.
• g)Recht om uw toestemming in te trekken: gaf u ergens toestemming voor, dan kan u daarop terugkomen; wat vóór de intrekking gebeurde, blijft rechtmatig.
• h)Recht om niet onderworpen te worden aan een beslissing die uitsluitend door geautomatiseerde verwerking tot stand komt en die rechtsgevolgen voor u heeft of u aanzienlijk treft. Kort gezegd: over zoiets belangrijks beslist geen computer alleen. Rectoria neemt vandaag geen enkele zulke beslissing, en beslissingen met dergelijke gevolgen laten wij nooit over aan een geautomatiseerd proces.

U oefent deze rechten uit door ons te mailen via team@rectoria.ai. Wij kunnen u redelijke extra informatie vragen om uw identiteit te bevestigen vóór wij uw verzoek uitvoeren. Zo weten wij zeker dat niemand anders zich voor u uitgeeft. U krijgt binnen de wettelijke termijn van één (1) maand een antwoord; in complexe gevallen kan die termijn met twee (2) maanden worden verlengd.

Gaat uw verzoek over Inhoud (dossierdata, documenten of queries in het Platform)? Dan verwijzen wij u door naar het betrokken Kantoor: dat is voor die gegevens de verwerkings­verantwoordelijke en blijft uw aanspreekpunt.

U heeft altijd het recht een klacht in te dienen bij de Belgische Gegevensbeschermings­autoriteit, Drukpersstraat 35, 1000 Brussel, via contact@apd-gba.be of www.gegevensbeschermings­autoriteit.be, of bij een andere bevoegde toezichthoudende autoriteit. Wij stellen het op prijs als u ons eerst de kans geeft om uw bezwaren zelf te onderzoeken.

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen ongeoorloofde toegang, verlies, wijziging of openbaarmaking. Concreet betekent dat onder meer: versleuteling van gegevens tijdens transport en in opslag (at-rest), strikte logische scheiding per Kantoor, toegangsbeheer volgens het least-privilege-principe (iedereen kan alleen bij wat voor zijn taak nodig is) via een gespecialiseerde authenticatie­leverancier, audit-logs van belangrijke handelingen waaraan achteraf niets kan worden gewijzigd (append-only), en periodieke veiligheidstests.

Onze data wordt uitsluitend gehost in datacentra binnen de Europese Unie. Ons informatie­beveiligings­beheer is opgebouwd volgens de ISO 27001-norm; een formele certificering hebben wij op dit moment nog niet behaald.

Is er toch een inbreuk in verband met persoonsgegevens (een datalek), dan verwittigen wij de bevoegde toezichthoudende autoriteit en, waar nodig, de betrokkenen of het Kantoor, binnen de termijnen die de AVG voorschrijft. Voor Inhoud waarvoor wij als verwerker optreden, brengen wij het Kantoor zonder onredelijke vertraging op de hoogte.

Meer details over onze beveiligings­architectuur vindt u, louter ter informatie, op /beveiliging. Die pagina maakt geen deel uit van dit Privacybeleid of van de overeenkomst met het Kantoor.

De Diensten zijn alleen bedoeld voor professioneel gebruik door advocaten en juridische professionals. Wij richten ons niet op minderjarigen en verzamelen niet bewust persoonsgegevens van personen jonger dan zestien (16) jaar.

Denkt u dat wij toch gegevens van een minderjarige hebben verwerkt? Mail ons dan zo snel mogelijk via team@rectoria.ai zodat wij die gegevens kunnen verwijderen.

Onze website en onze applicatie gebruiken alleen strikt noodzakelijke cookies: voor sessiebeheer, authenticatie (het inloggen) en beveiliging. Zonder die cookies kunnen wij u geen veilige toegang tot de Diensten geven.

Op onze website gebruiken wij daarnaast eigen (first-party) analytische cookies, om te begrijpen hoe de website wordt gebruikt en om die te verbeteren. Die plaatsen wij pas nadat u daarvoor via de cookiebanner uitdrukkelijk toestemming heeft gegeven (vooraf, dus voordat er iets op uw toestel komt) en ze blijven maximaal dertien maanden bewaard. Geeft u geen toestemming, dan plaatsen wij geen cookies en geen vergelijkbare opslag op uw toestel. Wij verwerken dan alleen beperkte, gepseudonimiseerde bezoek­statistieken (zoals bezochte pagina's, land en browsertype), zonder gegevens die u rechtstreeks identificeren. Die statistieken hangen aan een technisch kenmerk dat elke dag verandert: het is niet tot uw identiteit te herleiden en kan uw bezoek niet over meerdere dagen volgen. U kan uw toestemming altijd weer intrekken via de link “Cookievoorkeuren” onderaan de website. Profilerings- of marketing­cookies plaatsen wij niet.

U kan cookies ook beheren via uw browserinstellingen. Schakelt u de strikt noodzakelijke cookies uit, dan kan de website of kunnen de Diensten minder goed werken.

Wij kunnen dit Privacybeleid af en toe aanpassen, bijvoorbeeld omdat onze Diensten veranderen, omdat wij met andere sub-verwerkers werken of omdat de wetgeving wijzigt. De meest recente versie staat altijd op /privacy, samen met de datum van de laatste update.

Is een wijziging ingrijpend (materieel), dan lichten wij u tijdig in via een passend kanaal: een e-mail, een melding in de app of een goed zichtbare vermelding op de website.

Voor vragen, verzoeken of klachten over de verwerking van uw persoonsgegevens, en voor alle andere vragen, mailt u ons op team@rectoria.ai.