Privacyverklaring Attiro

Versie: 2.0
Datum: maart 2026
Laatst bijgewerkt: september 2026

1. Wie zijn wij?

Attiro is een softwareplatform dat bedrijven helpt leads automatisch op te volgen en afspraken te boeken, via de chat op hun eigen website en via WhatsApp. Het platform wordt aangeboden door:

Attiro
Gerard Noodtstraat 53
6511 SV Nijmegen
KVK-nummer: 76253384
Algemeen: info@attiro.io
Privacy en AVG: privacy@attiro.io

Wij zijn de verwerkingsverantwoordelijke voor de gegevens die wij als bedrijf verwerken. Voor de gegevens die onze klanten (tenants) via ons platform verwerken, zijn zij de verwerkingsverantwoordelijke en zijn wij de verwerker.

2. Voor wie geldt deze verklaring?

Deze privacyverklaring is van toepassing op:

• Bezoekers van onze website (attiro.io)
• Gebruikers die een account aanmaken en het platform gebruiken (tenants)
• Leads van onze klanten die via de chatwidget of via WhatsApp een gesprek voeren met een Attiro-agent

3. Welke gegevens verwerken wij?

3.1 Websitebezoekers

Op onze website plaatsen wij alleen cookies van Google als je daar in de cookiebanner toestemming voor geeft. Het gaat om twee soorten: Google Analytics, om te zien welke pagina's bezocht worden, en Google Ads, om te meten of een klik op onze advertentie tot een aanmelding leidt. Geef je geen toestemming, dan plaatsen wij deze cookies niet. Google ontvangt dan alleen meldingen zonder cookies, en een klik-identificatie (zoals een Google click ID) kan via het webadres meegaan om een aanmelding aan een advertentie te koppelen. Je wijzigt je keuze op elk moment via "Cookie-instellingen" onderaan de pagina.

Onze chatfunctie bewaart lokaal in je browser een sessiecode, zodat een lopend gesprek behouden blijft. Dat is functionele opslag en geen tracking. Verder verzamelen wij geen persoonsgegevens van bezoekers, tenzij zij zich registreren of zelf gegevens achterlaten in een gesprek.

3.2 Tenants (klanten van Attiro)

Bij het aanmaken van een account verwerken wij:

• Voornaam en achternaam
• Bedrijfsnaam
• E-mailadres
• Wachtwoord (versleuteld opgeslagen via bcrypt, nooit leesbaar)
• Factuurgegevens (indien van toepassing)
• Gebruiksgegevens en instellingen binnen het platform

3.3 Leads van tenants (via WhatsApp of de website-chat)

Wanneer een eindgebruiker via WhatsApp of via de chatwidget op de website van een bedrijf dat Attiro gebruikt contact opneemt, verwerken wij namens de tenant:

• Telefoonnummer (WhatsApp ID)
• Naam (indien opgegeven in het gesprek)
• Adres (indien opgegeven)
• E-mailadres (indien opgegeven)
• De inhoud van de WhatsApp- of website-chatgesprekken
• Afspraakgegevens
• Een advertentieklik-identificatie (zoals een Google click ID), als de bezoeker via een advertentie binnenkwam en de tenant advertentiemeting heeft ingeschakeld
• Een door AI gegenereerde samenvatting van het gesprek

4. Waarvoor gebruiken wij deze gegevens?

5. Hoe lang bewaren wij gegevens?

• Accountgegevens van tenants: zolang het account actief is en tot 2 jaar na beëindiging van de overeenkomst
• WhatsApp- en website-chatgesprekken: maximaal 12 maanden na het gesprek, waarna automatisch verwijderd
• Leadgegevens: maximaal 2 jaar na het laatste contactmoment, waarna geanonimiseerd of verwijderd
• Audit logs: maximaal 12 maanden
• Factuurgegevens: 7 jaar conform de wettelijke bewaarplicht

6. Met wie delen wij gegevens?

Wij delen gegevens met de volgende partijen:

Supabase (EU)

Onze database en backend worden gehost bij Supabase op AWS in Stockholm (eu-north-1). Supabase verwerkt gegevens uitsluitend als hostingpartner. Er is een verwerkersovereenkomst van kracht.

Vercel (hosting van de website)

Onze website en de applicatie-interface worden geleverd via Vercel. Vercel verwerkt daarbij technische gegevens, zoals IP-adressen, als onderdeel van het serveren van de pagina's.

Anthropic (Verenigde Staten)

Voor de AI-verwerking van WhatsApp-gesprekken worden berichten verstuurd naar de API van Anthropic, gevestigd in San Francisco, VS. Dit betreft een doorgifte van persoonsgegevens naar een derde land buiten de EU. Deze doorgifte vindt plaats op basis van Standard Contractual Clauses (SCC) conform artikel 46 AVG. Met Anthropic is een Data Processing Agreement gesloten.

Meta / WhatsApp Business API (VS / Ierland)

Voor het verzenden en ontvangen van WhatsApp-berichten maken wij gebruik van de WhatsApp Business API van Meta. Meta verwerkt berichten via servers in de VS en Ierland. Met Meta is een Data Processing Agreement van kracht conform de AVG.

Stripe (betalingen)

Betalingen en abonnementen van tenants verlopen via Stripe. Stripe verwerkt hiervoor factuur- en betaalgegevens. Deze verwerking kan een doorgifte naar de Verenigde Staten inhouden.

Google (Verenigde Staten)

Op onze eigen website gebruiken wij, alleen na toestemming, Google Analytics en Google Ads (zie 3.1).

Schakelt een tenant de Google Ads-koppeling in, dan sturen wij bij een geboekte afspraak een conversiemelding met een advertentieklik-identificatie naar Google Ads, zodat de tenant de effectiviteit van zijn advertenties kan meten. Koppelt een tenant zijn Google Calendar, dan maken en wijzigen wij afspraken in de agenda van die tenant. Deze verwerkingen kunnen een doorgifte naar de Verenigde Staten inhouden.

Resend (verzending van e-mail)

Bevestigingen, herinneringen en accountmails versturen wij via Resend. Resend verwerkt daarbij het e-mailadres en de inhoud van het bericht. Deze verwerking kan een doorgifte naar de Verenigde Staten inhouden.

Wij verkopen geen persoonsgegevens aan derden en verstrekken geen gegevens aan partijen buiten de bovengenoemde verwerkersrelaties, tenzij wij daartoe wettelijk verplicht zijn.

7. Gegevens uit Google-koppelingen

Een tenant kan zijn Google Calendar en zijn Google Ads-account koppelen. Wij vragen daarbij alleen de rechten die de gekoppelde functie nodig heeft:

• Google Calendar (calendar.events.owned en calendar.freebusy): beschikbaarheid lezen en afspraken aanmaken, wijzigen of annuleren die uit een gesprek met de AI-agent voortkomen. Wij schrijven uitsluitend naar de eigen agenda van het gekoppelde account en lezen geen inhoud van andere agenda-items.
• Google Ads (datamanager, adwords en het e-mailadres van het account): het gekoppelde account tonen en bij een geboekte afspraak een conversie doorgeven met de advertentieklik-identificatie.

Het gebruik en de doorgifte van gegevens uit Google API's door Attiro volgen het Google API Services User Data Policy, inclusief de Limited Use-eisen. Concreet betekent dat: wij gebruiken deze gegevens uitsluitend om de gekoppelde functie te leveren, verkopen ze niet, gebruiken ze niet voor advertenties of profilering, en laten ze niet door mensen lezen. Op die laatste regel bestaan drie uitzonderingen: met uitdrukkelijke toestemming van de tenant, wanneer het nodig is voor beveiliging of het oplossen van een storing, of wanneer de wet ons daartoe verplicht.

Een tenant verbreekt een koppeling op elk moment via de integratiepagina in het platform of via de beveiligingsinstellingen van zijn Google-account. Wij verwijderen het bijbehorende toegangstoken dan uit onze systemen.

8. Beveiliging

Wij nemen de beveiliging van persoonsgegevens serieus en hebben de volgende maatregelen getroffen:

• Alle communicatie verloopt via HTTPS met TLS 1.2 of hoger
• Wachtwoorden worden gehashed opgeslagen via bcrypt
• Toegang tot gegevens is afgeschermd via Row Level Security (RLS) — gebruikers kunnen uitsluitend hun eigen data inzien
• De productiedatabase is niet direct toegankelijk voor gebruikers; alles verloopt via de beveiligde applicatielaag
• Beheerders met verhoogde rechten worden gelogd in het auditlogboek

9. Uw rechten

Onder de AVG heeft u de volgende rechten:

• Inzage: U kunt opvragen welke gegevens wij van u verwerken
• Rectificatie: U kunt onjuiste gegevens laten corrigeren
• Verwijdering: U kunt vragen uw gegevens te verwijderen ("recht op vergetelheid")
• Beperking: U kunt de verwerking laten beperken
• Bezwaar: U kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang
• Overdraagbaarheid: U kunt uw gegevens opvragen in een machineleesbaar formaat

Voor het uitoefenen van uw rechten kunt u contact opnemen via privacy@attiro.io. Wij reageren binnen 30 dagen.

Heeft u een klacht over de verwerking van uw persoonsgegevens? Dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

10. Verwerkersovereenkomst voor tenants

Bedrijven die Attiro gebruiken om gegevens van hun klanten te verwerken, treden op als verwerkingsverantwoordelijke. Attiro handelt in die hoedanigheid als verwerker. De verwerkersovereenkomst maakt onderdeel uit van de algemene voorwaarden van Attiro en is opgenomen als bijlage 1 bij de algemene voorwaarden.

11. Wijzigingen

Wij kunnen deze privacyverklaring aanpassen. Bij wezenlijke wijzigingen informeren wij actieve gebruikers per e-mail. De meest actuele versie is altijd beschikbaar op attiro.io/privacy-policy.

12. Contact

Voor vragen over deze privacyverklaring of over de verwerking van uw persoonsgegevens kunt u contact opnemen via:

privacy@attiro.io
of schriftelijk via het adres vermeld in artikel 1.