Privacybeleid

Laatst bijgewerkt: 27 juli 2026

FutureStep AI hecht groot belang aan jouw privacy. In dit privacybeleid leggen wij uit welke persoonsgegevens wij verwerken, waarvoor, op welke rechtsgrond, hoe lang wij ze bewaren en welke rechten je hebt. Wij verwerken persoonsgegevens in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG/GDPR).

1. Verwerkingsverantwoordelijke

FutureStep AI VOF, ingeschreven bij de Kamer van Koophandel onder nummer 99309742, is de verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens via futurestepai.nl en de SaaS-dienst.

Contact: info@futurestepai.nl

2. Welke gegevens verwerken wij?

Afhankelijk van hoe je onze dienst gebruikt, verwerken wij de volgende categorieën gegevens:

Account- en contactgegevens: naam, e-mailadres, bedrijfsnaam, telefoonnummer, functie.
Bedrijfsinformatie: branche, website, beschrijving van het bedrijf, doelen.
Instagram-data: Instagram-handle, ontvangen Direct Messages (inclusief afzendernaam, gebruikersnaam, profielfoto-URL en berichtinhoud), gespreksmetadata, lead-scores, intent-classificaties en AI-gegenereerde samenvattingen.
Betalings- en factuurgegevens: abonnementsstatus, factuurgegevens, transactie-ID's. Kaart- en bankgegevens worden uitsluitend door Stripe verwerkt en niet door ons opgeslagen.
Gebruiksgegevens: inloggegevens, laatst-actief tijdstempel, sessiegegevens, e-mail-statussen (verzonden, geopend, gebounced).
Communicatie: berichten via het contactformulier, e-mailcorrespondentie en supportverzoeken.
Cookies en analytics: alleen na toestemming, zie hoofdstuk 9.

3. Doelen en rechtsgronden

Wij verwerken persoonsgegevens uitsluitend voor de volgende doelen, op basis van een geldige rechtsgrond:

Uitvoering overeenkomst (art. 6 lid 1 sub b AVG): aanmaken en beheren van het account, leveren van de DM-inboxdienst, AI-analyses, facturatie en klantenservice.
Wettelijke verplichting (art. 6 lid 1 sub c AVG): bewaren van administratie en facturen voor de fiscale bewaarplicht.
Gerechtvaardigd belang (art. 6 lid 1 sub f AVG): beveiliging en misbruikpreventie, productverbetering, transactionele communicatie (zoals service-mails over je account, abonnement of beveiliging) en beperkte logging om de dienst betrouwbaar te houden.
Toestemming (art. 6 lid 1 sub a AVG): analytische cookies, eventuele nieuwsbriefinschrijvingen en optionele berichten. Toestemming kan op elk moment worden ingetrokken.

4. Instagram DM-gegevens

Wanneer je een Instagram-account koppelt, verwerken wij de Direct Messages die naar dat account worden gestuurd. Dit gebeurt uitsluitend om de dienst te leveren: het tonen van een centrale inbox, het analyseren van intent, het toekennen van lead-scores en het maken van samenvattingen.

De afzenders van DM's (jouw leads/volgers) zijn betrokkenen wiens gegevens wij namens jou verwerken in het kader van jouw bedrijfsvoering. Jij bent als accounthouder mede-verantwoordelijk voor het rechtmatig gebruik van die gegevens, inclusief het informeren van betrokkenen waar dat van toepassing is.

4.1 Meta Platform Terms

Onze koppeling met Instagram werkt via de officiële Instagram Graph API en valt onder de Meta Platform Terms en de Developer Policies. Wij verkopen, verhuren of licentiëren geen Instagram-data aan derden, gebruiken deze niet voor advertentiedoeleinden en delen deze niet met data-brokers of analytics-leveranciers buiten de in hoofdstuk 6 genoemde subverwerkers.

4.2 Permissies die wij vragen

Bij het koppelen vraagt Instagram je expliciet toestemming voor de volgende permissies. Wij gebruiken deze uitsluitend voor de hieronder genoemde doelen:

instagram_business_basic — uitlezen van je IG-gebruikersnaam en account-ID, om gesprekken aan het juiste account te koppelen.
instagram_business_manage_messages — ontvangen en versturen van Direct Messages, om de centrale inbox en automatische antwoorden te kunnen leveren.

4.3 Welke Instagram-data wij opslaan

Het toegangstoken (encrypted in rust) en het IG Business Account ID van het gekoppelde account.
Inhoud van Direct Messages naar dat account, inclusief afzender-IGSID, gebruikersnaam, weergavenaam en profielfoto-URL.
Tijdstempels, lees/ongelezen-status en AI-afgeleiden (intent-classificatie, lead-score, samenvatting).

4.4 Verwijdering van Instagram-data

Je kunt op drie manieren verwijdering aanvragen:

Via Instagram zelf: Instellingen → Apps en websites → FutureStep AI → Verwijderen. Meta stuurt ons automatisch een verzoek en wij verwijderen alle bijbehorende data binnen 30 dagen.
Via onze website: dien een verzoek in op futurestepai.nl/data-deletion.
Via e-mail: stuur een verzoek naar info@futurestepai.nl.

Bij ontkoppeling van je Instagram-account (door jou of door Meta) wordt het toegangstoken direct ongeldig gemaakt en stoppen wij verdere verwerking van nieuwe DM's voor dat account.

5. AI-verwerking

Voor lead-scoring, intent-herkenning en samenvattingen maken wij gebruik van AI-modellen, waaronder modellen van derde partijen (zoals Google Gemini en OpenAI via beveiligde API's). Berichten worden alleen ter verwerking aan deze modellen aangeboden voor zover noodzakelijk om de functionaliteit te leveren.

Wij sturen geen gegevens naar AI-leveranciers met als doel hun modellen te trainen, en wij sluiten contracten met AI-providers af die hetzelfde garanderen waar mogelijk. AI-uitkomsten zijn niet feilloos; jij blijft verantwoordelijk voor jouw eigen acties op basis van die uitkomsten.

6. Subverwerkers

Wij schakelen zorgvuldig geselecteerde subverwerkers in die ons helpen de dienst te leveren. Met al deze partijen hebben wij waar vereist een verwerkersovereenkomst gesloten.

Lovable Cloud (Supabase): hosting, database, authenticatie, edge functions en bestandsopslag (EU-regio).
Stripe: verwerking van betalingen en abonnementen.
Mailgun / Lovable Email: verzenden van transactionele e-mails (orderbevestiging, account, abonnement).
Strato: e-mail-infrastructuur voor het mailadres info@futurestepai.nl.
Google (Analytics, Gemini API): websitestatistieken (alleen na toestemming) en AI-verwerking.
OpenAI: AI-verwerking voor analyses van gespreksdata.
Meta / Instagram: bron van de DM-data, gekoppeld via officiële API's.

7. Doorgifte buiten de EER

Een aantal subverwerkers (zoals Stripe, Google en OpenAI) is gevestigd in de Verenigde Staten of verwerkt gegevens daar. In die gevallen baseren wij de doorgifte op passende waarborgen, zoals de EU-modelcontracten (Standard Contractual Clauses) en, waar van toepassing, het EU-US Data Privacy Framework.

8. Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan noodzakelijk:

Account- en bedrijfsgegevens: tot 30 dagen na opzegging van het abonnement, daarna verwijderd of geanonimiseerd.
Instagram-conversaties en lead-data: direct verwijderd bij opzegging van het abonnement (op verzoek kan een exportperiode van 14 dagen worden toegekend).
Facturen en boekhouding: 7 jaar, conform de wettelijke fiscale bewaarplicht.
Contactberichten: tot 12 maanden na laatste contact.
E-mail-verzendlogs: tot 12 maanden voor diagnose en deliverability.
Suppressielijst (uitschrijvingen): onbeperkt, om ongewenste e-mails te blijven blokkeren.
Analytische cookies: zie hoofdstuk 9.

9. Cookies en vergelijkbare technieken

Een cookie is een klein tekstbestandje dat een website op jouw apparaat plaatst. Wij gebruiken cookies en vergelijkbare technieken (zoals localStorage) in lijn met de Telecommunicatiewet (artikel 11.7a) en de richtlijnen van de Autoriteit Persoonsgegevens (AP).

Bij het eerste bezoek tonen wij een cookiebanner waarin je per categorie keuzes kunt maken. Je kunt kiezen voor "Alles accepteren", "Alles weigeren" of "Aanpassen" — deze opties zijn even prominent. Niet-functionele cookies worden pas geplaatst nadat je daar uitdrukkelijk toestemming voor geeft. Geen keuze maken betekent geen toestemming: dan worden er geen analytische of marketingcookies geplaatst.

9.1 Categorieën

Functionele cookies (altijd actief)

Strikt noodzakelijk voor de werking van de site. Voor deze cookies is geen toestemming vereist. Ze verzamelen geen gegevens voor analyse of marketing.

cookie-consent-v2 (localStorage) — slaat jouw cookievoorkeuren op. Bewaartermijn: 6 maanden.
sb-* / supabase auth tokens (localStorage) — sessie en authenticatie voor ingelogde gebruikers. Bewaartermijn: tot uitloggen of sessievervaldatum.

Analytische cookies (alleen na toestemming)

Wij gebruiken Google Analytics 4 (Measurement ID: G-29VE225937) om geanonimiseerd inzicht te krijgen in het gebruik van de site. IP-adressen worden geanonimiseerd (anonymize_ip), wij delen geen gegevens met Google voor advertentiedoeleinden en gebruiken geen cross-site tracking. Deze cookies worden uitsluitend geplaatst na uitdrukkelijke toestemming.

_ga — Onderscheidt unieke bezoekers. Bewaartermijn: maximaal 13 maanden.
_ga_* — Bewaart sessiestatus per property. Bewaartermijn: maximaal 13 maanden.

Marketingcookies (alleen na toestemming)

Marketingcookies kunnen door derden (zoals Meta of Google Ads) worden geplaatst om advertenties relevanter te maken en het effect van campagnes te meten. Op dit moment plaatsen wij geen actieve marketingcookies. Zodra dit verandert, vragen wij eerst opnieuw jouw toestemming en wordt deze pagina bijgewerkt.

9.2 Bewaartermijn van jouw toestemming

Jouw cookietoestemming is geldig voor maximaal 6 maanden, conform de aanbeveling van de Autoriteit Persoonsgegevens. Daarna vragen we automatisch opnieuw of je akkoord gaat. Je voorkeur wordt opgeslagen in localStorage; we gebruiken hiervoor geen tracking-cookie.

9.3 Toestemming intrekken of aanpassen

Je kunt jouw cookietoestemming op elk moment intrekken of wijzigen via de knop "Cookie-instellingen" onderaan elke pagina. Bij het intrekken van toestemming voor analytische cookies worden de bijbehorende cookies (_ga, _ga_*) direct uit jouw browser verwijderd en stopt verdere meting.

9.4 Cookies van derden

Voor analytische cookies worden gegevens verwerkt door Google. Meer informatie staat in het privacybeleid van Google. Google kan gegevens overdragen aan derden indien wettelijk verplicht.

9.5 Geen geautomatiseerde besluitvorming

De informatie die via cookies wordt verzameld wordt niet gebruikt voor geautomatiseerde besluitvorming met rechtsgevolgen voor jou.

10. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om jouw gegevens te beschermen, waaronder TLS/SSL-encryptie, rolgebaseerde toegangscontrole, Row-Level Security op de database, beperkte toegang tot productie-data, logging en regelmatige updates van onze infrastructuur.

11. Datalekken

In het geval van een datalek dat een risico vormt voor de rechten en vrijheden van betrokkenen, melden wij dit binnen 72 uur na ontdekking aan de Autoriteit Persoonsgegevens en, indien vereist, aan de betrokkenen.

12. Jouw rechten

Onder de AVG heb je de volgende rechten:

Inzage: opvragen welke persoonsgegevens wij verwerken.
Rectificatie: onjuiste gegevens laten corrigeren.
Verwijdering: verzoek om gegevens te wissen ("recht om vergeten te worden").
Beperking: de verwerking laten beperken.
Bezwaar: bezwaar maken tegen verwerking op grond van gerechtvaardigd belang.
Overdraagbaarheid: jouw gegevens in een gangbaar formaat ontvangen.
Toestemming intrekken: als verwerking op toestemming is gebaseerd.
Geen geautomatiseerde besluitvorming: wij nemen geen beslissingen met rechtsgevolgen uitsluitend op basis van geautomatiseerde verwerking.

Een verzoek dien je in via info@futurestepai.nl. Wij reageren uiterlijk binnen 30 dagen. Wij kunnen om aanvullende identificatie vragen om misbruik te voorkomen.

13. Verwerkersovereenkomst (DPA)

Voor zakelijke klanten die FutureStep AI inzetten als verwerker van persoonsgegevens van hun eigen leads/klanten, stellen wij op verzoek een verwerkersovereenkomst (Data Processing Agreement) beschikbaar. Stuur hiervoor een e-mail naar info@futurestepai.nl.

14. Klachten

Heb je een klacht over hoe wij met jouw gegevens omgaan? Neem dan eerst contact met ons op. Je hebt daarnaast altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

15. Wijzigingen

Wij kunnen dit privacybeleid aanpassen wanneer onze dienst, wetgeving of subverwerkers wijzigen. De meest actuele versie staat altijd op deze pagina; bij ingrijpende wijzigingen informeren wij accounthouders per e-mail.