Privacybeleid

Dit beleid beschrijft hoe de applicatie Obskur Admin met persoonsgegevens omgaat, en in het bijzonder hoe zij omgaat met gegevens die zij via Google API's ontvangt wanneer u zich aanmeldt met uw Google-account. Het geldt voor admin.obskur.studio en voor niets anders.

De website obskur.studio heeft een eigen, apart privacybeleid voor bezoekers, het contactformulier en de nieuwsbrief. Komt u hier vanaf de website in plaats van vanuit de applicatie, dan is dat vermoedelijk het beleid dat u zoekt.

Obskur Admin wordt beheerd door Obskur BV, een creatieve studio gevestigd in Tielt, België, die optreedt als verwerkingsverantwoordelijke. Obskur BV, Deinsesteenweg 250, 8700 Aarsele, Tielt, België. Voor vragen over dit beleid of over uw gegevens kunt u schrijven naar info@obskur.studio.

Obskur Admin is een besloten backoffice. Er is geen zelfregistratie. Accounts bestaan voor het team van Obskur Studio en voor de klantorganisaties en partners waarmee de studio werkt, telkens toegevoegd via een uitnodiging. Aanmelden vereist een Google-account waarvan het adres op een door de studio gecontroleerd domein staat, of exact overeenkomt met een adres dat een beheerder bij naam heeft uitgenodigd.

Bij het aanmelden vraagt Obskur Admin aan Google uw basisprofiel (uw naam, e-mailadres en profielfoto) en deze bijkomende machtigingen: leestoegang tot Gmail (gmail.readonly), verzendtoegang tot Gmail (gmail.send), volledige toegang tot Google Agenda (calendar) en volledige toegang tot Google Drive (drive). Sommige daarvan zijn wat Google restricted scopes noemt, en daarom bestaat dit beleid en is de applicatie onderworpen aan verificatie door Google.

Wat de applicatie met elk ervan doet, staat hieronder beschreven. De machtigingen die zij vraagt liggen vast in haar Google OAuth-client en worden u op het toestemmingsscherm van Google zelf getoond voor u ze goedkeurt, zodat een machtiging die daar niet staat er niet bij kan komen zonder dat u het opnieuw gevraagd wordt.

Scope: https://www.googleapis.com/auth/gmail.readonly. Obskur Admin leest uw mailbox voor de hieronder beschreven doeleinden, met inbegrip van de plaats waar de applicatie meer ontvangt dan zij gebruikt.

De documentverwerking zoekt in recente berichten naar bijlagen in pdf- of beeldformaat, zodat een factuur of bonnetje dat u wordt toegestuurd bij de juiste entiteit belandt. Die zoekopdracht gaat enkel op bestandstype — has:attachment samen met filename:pdf, filename:jpg, filename:jpeg of filename:png — en niet op wie u schreef of waarover het bericht gaat. Bijlagen die daaraan beantwoorden, worden onder een groottegrens volledig naar de verderop beschreven documentanalyse gestuurd, wat die bijlage ook blijkt te zijn: privécorrespondentie, een persoonlijke foto, een medisch of administratief document dat toevallig als pdf binnenkomt. De analyse verwacht die ook aan te treffen, want haar eigen indeling omvat briefwisseling, herinneringen en berichten van allerlei aard naast al de rest, en een document dat zo wordt ingedeeld wordt net als de andere gearchiveerd in plaats van weggelaten. Draait de verwerking op een planning in plaats van op een knop in de applicatie, dan begrenst zij de zoekopdracht zelfs niet in de tijd. Om bij een bijlage te raken haalt zij het bericht volledig op bij Google, inhoud inbegrepen, want in die vorm levert de Gmail-API de bijlagegegevens. Enkel de bijlagen worden eruit genomen: de inhoud van het bericht wordt u niet getoond, gaat nergens anders heen en wordt niet naar onze databank geschreven.

Het inboxpaneel haalt afzender, onderwerpregel en fragment op — de eerste 200 tekens die Gmail zelf meegeeft — van ten hoogste tien ongelezen berichten, zodat de applicatie kan tonen welke nog een antwoord behoeven. Het draait wanneer u het scherm Vandaag opent, hoogstens eens om de vier uur, en enkel tussen 07.00 en 19.00 uur in uw eigen tijdzone. De opvolgdetectie leest onderwerp, geadresseerde en datum van ten hoogste tien berichten die u de voorbije veertien dagen verstuurde en kijkt of er in hetzelfde gesprek iets nieuwers staat, om vast te stellen of een klant al heeft geantwoord.

Obskur Admin leest ook het profiel van uw account, wat geen post is. Voor er een bericht vanaf uw eigen adres kan vertrekken, moet Obskur Admin weten welk adres Gmail zelf als afzender aanvaardt; daarom vraagt zij aan Gmail het profiel van uw account op, dat dat e-mailadres teruggeeft. Profielgegevens zijn geen mailboxinhoud, maar het eindpunt dat ze levert valt onder de leesmachtiging en niet onder de verzendmachtiging, en daarom staat het hier vermeld.

Obskur Admin spiegelt, indexeert of archiveert uw mailbox niet, en berichtinhoud wordt nooit naar onze databank geschreven. Wat zij uit uw mailbox bewaart, omvat: de identificatiecodes van de berichten die de documentverwerking al heeft behandeld, zodat dezelfde bijlage niet tweemaal wordt verwerkt; de bijlagen zelf, zodra de documentverwerking ze heeft opgenomen; en, wanneer u een suggestie van het inboxpaneel in een taak omzet, de taaktitel die het taalmodel uit de onderwerpregel van dat bericht schreef, samen met de Gmail-identificatiecode van dat bericht, die in de beschrijving van de taak wordt bewaard. Die laatste twee zijn opgeslagen tekst die uit uw post is afgeleid, en zij blijven staan tot u de taak verwijdert.

Scope: https://www.googleapis.com/auth/gmail.send. Obskur Admin kan berichten versturen vanaf uw eigen adres in plaats van vanaf een gedeeld robotadres, zodat klanten aan een mens antwoorden. Het wordt gebruikt voor offertes, uitnodigingen en meldingen rond ImageBox-leveringen en reviews, workshopuitnodigingen, uitnodigingen om lid te worden van een organisatie, en de eenmalige aanmeldcode waarmee een boekhouder het documentenportaal opent. Obskur Admin verstuurt zo ook de maandelijkse samenvatting van de ImageBox-opslagfacturatie, aan een beheerder van de betrokken entiteit, en de ImageBox-meldingen die een geplande taak doorstuurt wanneer een klant iets opmerkt of beslist over zijn galerij — zie “Toegang terwijl u niet bent aangemeld”. Of een bepaald bericht via uw Gmail-account dan wel via onze eigen mailleverancier vertrekt, hangt af van de mailconfiguratie van de studio; vertrekt het via Gmail, dan staat het in uw map Verzonden.

Verzenden gebeurt op een handeling van u in de applicatie, door een geplande taak, of door een handeling van iemand anders die de applicatie namens u beantwoordt. Obskur Admin vraagt de Google-machtiging die schrijven in uw map Concepten toelaat niet, en kan met de toegang die u verleent dus geen concept in uw mailbox achterlaten. Deze machtiging geeft de applicatie geen enkele mogelijkheid om iets te lezen; de profielopvraging die hierboven staat, valt onder de leesmachtiging en niet onder deze.

Scope: https://www.googleapis.com/auth/calendar. Lezen: Obskur Admin haalt de agenda's op uw account op en de afspraken in de periode die op dat moment op het scherm staat, zodat de ingebouwde agendaweergave uw echte dag toont en de dagplanner werk kan inplannen rond afspraken die al vastliggen.

Schrijven is smaller dan lezen. Wanneer u een taak in Obskur Admin plant, verplaatst of ontplant, wordt de bijbehorende afspraak in uw hoofdagenda aangemaakt, bijgewerkt of verwijderd. Enkel afspraken die de applicatie zelf heeft aangemaakt worden bijgewerkt of verwijderd, herkend aan de afspraak-id die bij het aanmaken werd opgeslagen. Aan de rest van uw agenda's verandert zij niets.

Scope: https://www.googleapis.com/auth/drive. U kiest, via een mappenkiezer in de applicatie, in welke Drive-mappen Obskur Admin mag werken: doorgaans een map met binnenkomende bonnetjes en facturen, een map met gescande visitekaartjes, en een doelmap voor gearchiveerde documenten.

Binnen die afspraak toont de applicatie uw gedeelde Drives, mappen en bestanden zodat u ze kunt kiezen; leest en downloadt zij de bestanden in de gekozen mappen om ze te verwerken; maakt zij submappen aan (mappen per datum, en mappen met de naam "# Scanned" en "# Errors"); verplaatst zij afgehandelde bestanden daarheen; hernoemt en schrijft zij gearchiveerde documenten terug naar Drive; en voegt zij één benoemd boekhoudersadres toe aan of verwijdert zij dat van de machtigingen van één specifieke map.

Obskur Admin vraagt volledige Drive-toegang in plaats van de smallere machtiging per bestand om één concrete reden: de mappen waarin zij werkt bestaan al, zijn door u buiten de applicatie aangemaakt en staan vaak op een gedeelde Drive. De machtiging per bestand ziet enkel bestanden die de applicatie zelf heeft gemaakt of die u via Google's eigen kiezer hebt geopend, en kan die mappen dus niet tonen of lezen. Obskur Admin komt enkel aan de mappen die u hebt ingesteld en aan de bestanden daarin.

Een deel van wat Obskur Admin met uw Google-account doet, gebeurt wanneer er niemand achter het scherm zit. Geplande taken draaien elke dag om 08.00 uur UTC. Per organisatie kiezen zij de eerste beheerder of superbeheerder van wie het Google-account gekoppeld is, en handelen met de bewaarde gegevens van die persoon: de ene doorzoekt die mailbox op berichten met bijlagen in pdf- of beeldformaat en verwerkt wat zij vindt, zonder de zoekopdracht in de tijd te begrenzen; een andere leest de ingestelde Drive-mappen en verwerkt de documenten daarin. Bent u beheerder, dan kunnen het dus uw mailbox en uw Drive zijn die deze taken lezen, op een ogenblik dat noch u noch iemand anders is aangemeld.

Ook uitgaande post loopt onbewaakt, en veel vaker. Om de vijf minuten draait er een taak die wachtende ImageBox-meldingen doorstuurt — een opmerking van een klant, een beslissing over een galerij, een ingediende selectie. Elk van die berichten gaat naar de beheerder die voor de betrokken entiteit wordt bepaald, en waar de mailconfiguratie van de studio de post via Gmail laat vertrekken, vertrekt zij via het Gmail-account van die beheerder terwijl er niemand is aangemeld. Een maandelijkse taak, op de eerste dag van de maand, doet hetzelfde met de samenvatting van de ImageBox-opslagfacturatie. Grenzen op hoeveel berichten één account per uur en per dag mag versturen houden het volume in toom, maar binnen die grenzen kan er de klok rond post uit uw account vertrekken.

Hetzelfde patroon geldt buiten die planning. Wanneer een boekhouder die u hebt uitgenodigd een aanmeldcode voor het documentenportaal opvraagt, vertrekt dat bericht uit de mailbox van de eigenaar van de entiteit, of anders van de eerste beheerder in de organisatie met een gekoppeld Google-account. Het toekennen en intrekken van de Drive-toegang van een boekhouder gebeurt met de gegevens van diezelfde persoon, wie er in de applicatie ook op de knop drukte. Eén toestemming bedient dus handelingen van andere mensen binnen hun organisatie.

Dit houdt op zodra die persoon de toegang intrekt in zijn Google-account: de geplande taken vinden dan geen bruikbare gegevens meer en doen niets.

Een deel van deze gegevens wordt verwerkt door een groot taalmodel, dat door Anthropic wordt uitgevoerd en via de API van Anthropic wordt aangesproken, om de functie te leveren waar u om vroeg. De vaakst voorkomende van die doorgiften is het inboxpaneel: telkens wanneer het draait, stuurt het naar Anthropic de afzender, de onderwerpregel en de eerste 200 tekens van ten hoogste tien ongelezen berichten, met de vraag welke daarvan om een actie lijken te vragen en hoe de bijbehorende taak zou moeten heten. Dat is inhoud uit uw mailbox die onze servers verlaat, en het gebeurt telkens wanneer u het scherm Vandaag opent en de tussentijd van vier uur verstreken is.

Obskur Admin stuurt daarnaast naar de API van Anthropic: elke pdf- of beeldbijlage die de documentverwerking uit Gmail oppikte, en elk bestand dat zij uit de ingestelde Drive-mappen leest, volledig en wat het document ook blijkt te zijn — bonnetjes en facturen, maar evengoed de privécorrespondentie en de ongerelateerde bijlagen die hierboven beschreven staan — om er velden als leverancier, datum, bedrag en contactgegevens uit te lezen; de titels en de begin- en einduren van de afspraken van vandaag, samen met uw openstaande taken, wanneer er een dagplanning wordt opgesteld; de leveranciersnamen van de in aanmerking komende uitgaven, namen die van documenten uit Gmail-bijlagen of uit Drive zijn gelezen, samen met de banktransactie die gekoppeld wordt, wanneer de applicatie voorstelt bij welke uitgave een bankregel hoort; de bedrijfsnaam, website en sector die van een uit Drive gehaald gescand visitekaartje zijn gelezen, wanneer zij een nieuwe lead aanvult met een omschrijving en een sectorlabel; en, wanneer u haar een antwoord laat opstellen, het bericht waarop u antwoordt in zijn geheel, inhoud inbegrepen; en de titels van uw taken — en, waar een taak er een heeft, de beschrijving ervan — wanneer u de applicatie vraagt voor te stellen waaraan u verder werkt, een taak in stappen op te delen, of in te schatten hoe lang er iets over gaat. Die laatste weg raakt langs een omweg aan uw post: een taak die uit een e-mail is aangemaakt, houdt die onderwerpregel als titel en de Gmail-identificatiecode in de beschrijving, zodat beide meereizen.

Die verwerking dient om de functie voor u uit te voeren en niets anders. Google-gebruikersgegevens die via bovenstaande machtigingen worden verkregen, worden niet gebruikt — niet door ons en niet door een verwerker die voor ons handelt — om algemene modellen voor artificiële intelligentie of machinaal leren te ontwikkelen, te verbeteren of te trainen. Ze worden niet gebruikt voor advertenties, niet verkocht, en niet doorgegeven aan datahandelaars of informatiemakelaars.

Het gebruik en de doorgifte door Obskur Admin van informatie die via Google API's wordt ontvangen naar enige andere toepassing, voldoet aan het Google API Services User Data Policy, met inbegrip van de Limited Use-vereisten.

In de praktijk betekent dat: de gegevens worden enkel gebruikt om de in dit beleid beschreven functies voor de gebruiker te leveren en te verbeteren; ze worden niet aan anderen doorgegeven tenzij dat nodig is om die functies te leveren, om veiligheidsredenen, of om te voldoen aan toepasselijk recht; ze worden niet gebruikt voor advertenties; en geen mens leest ze, behalve met uw uitdrukkelijke toestemming, om veiligheidsredenen zoals onderzoek naar misbruik, om te voldoen aan toepasselijk recht, of wanneer de gegevens geaggregeerd en geanonimiseerd zijn.

Wel opgeslagen: uw naam, e-mailadres en profielfoto uit uw Google-profiel; het OAuth-toegangstoken en het vernieuwingstoken waarmee de applicatie namens u kan handelen, waarbij het vernieuwingstoken versleuteld wordt bewaard; de identificatiecodes van e-mailberichten die de documentverwerking al behandelde; taaktitels die het taalmodel uit de onderwerpregel van een e-mail afleidde, samen met de Gmail-identificatiecode van dat bericht, voor e-mails die u in een taak hebt omgezet; de recentste dagplanning die voor u werd opgesteld, met daarin de titels en de begin- en einduren van de afspraken van die dag zoals uit uw agenda gelezen; de identificatiecode van elke agenda-afspraak die de applicatie voor een van uw taken aanmaakte; de identificatiecodes van de Drive-mappen die u instelde; en de documenten die uit Gmail-bijlagen of uit Drive werden gehaald — van zakelijke aard of niet, want de zoekopdracht die ze vindt gaat op bestandstype — samen met de velden die eruit zijn gelezen.

Niet opgeslagen: de inhoud van uw mailbox. Berichtinhoud wordt nooit naar onze databank geschreven, en afzenders en fragmenten worden in het moment gebruikt en daarna losgelaten. Een deel van wat uit uw post is afgeleid, wordt wel bewaard, en staat in de lijst hierboven: een taak die u uit een e-mail aanmaakt, houdt een titel die uit die onderwerpregel komt — door het taalmodel geschreven waar er een is ingesteld, en anders de onderwerpregel zelf — en bijlagen die de documentverwerking heeft opgenomen, worden als bedrijfsdocument bewaard. Uw agenda wordt evenmin gekopieerd. De hierboven beschreven dagplanning wordt wél naar onze databank geschreven en bevat de titels en tijdstippen van de afspraken van die dag. Zij draagt een vervaltermijn van vier uur waarna zij niet langer wordt gebruikt, maar de rij zelf wordt vervangen in plaats van verwijderd, zodat de recentste planning bewaard blijft tot een nieuwere haar overschrijft of het account wordt verwijderd. Drive-bestanden blijven in uw Drive; de bestanden die door de documentverwerking zijn gegaan, worden daarnaast naar onze opslag gekopieerd.

Obskur Admin draait op Vercel (Verenigde Staten) en bewaart haar databank en geüploade documenten bij Supabase. ImageBox-galerijen en klantleveringen staan op Cloudflare R2. Tekst- en documentanalyse gebeurt bij Anthropic (Verenigde Staten). Uitgaande platformmail die niet via uw Gmail-account verloopt, wordt bezorgd door Resend (Verenigde Staten).

Waar persoonsgegevens worden doorgegeven aan dienstverleners buiten de Europese Economische Ruimte, zijn die overdrachten gedekt door standaardcontractbepalingen en, indien van toepassing, het EU-VS Data Privacy Framework.

Gegevens uit uw Google-account worden niet verkocht en worden met niemand gedeeld voor diens eigen doeleinden. Ze zijn zichtbaar voor de hierboven genoemde verwerkers, die in onze opdracht handelen, en binnen de applicatie voor uzelf en voor de beheerders van uw organisatie.

Eén soort delen is bewust en in uw handen: wanneer u in de applicatie een boekhouder toevoegt, geeft Obskur Admin dat benoemde e-mailadres toegang tot de ene Drive-map die u hebt aangewezen, via de deelfunctie van Drive zelf. De boekhouder in de applicatie verwijderen trekt die toegang weer in. Het delen en het intrekken gebeuren allebei met de Google-gegevens van de eigenaar van de entiteit, of anders van de eerste beheerder in de organisatie met een gekoppeld Google-account — niet noodzakelijk met de gegevens van wie op de knop drukte.

OAuth-tokens blijven bewaard zolang uw account bestaat en de koppeling overeind staat. Ze werken niet meer zodra u de toegang intrekt in uw Google-account. Documenten die de applicatie heeft gearchiveerd en de eruit gelezen gegevens blijven minstens bewaard zolang de Belgische boekhoudwetgeving dat voor bedrijfsdocumenten vereist, op dit ogenblik zeven jaar — ook documenten die geen bedrijfsdocument bleken te zijn — en worden niet automatisch verwijderd; ze verdwijnen op verzoek of wanneer het account wordt verwijderd. De lijsten met behandelde berichtcodes en bewaarde agenda-afspraakcodes blijven bestaan zolang de bijbehorende functie in gebruik is, en verdwijnen met het account. Een taak die uit een e-mail is aangemaakt, houdt haar titel en de berichtcode bij tot u de taak verwijdert. De bewaarde dagplanning blijft staan tot een nieuwere haar vervangt of het account wordt verwijderd.

Wanneer een account wordt verwijderd, wordt alles wat eraan hangt mee verwijderd, tokens inbegrepen.

U kunt de toegang van Obskur Admin tot uw Google-account op elk moment intrekken, zonder ons daarvoor te vragen, via https://myaccount.google.com/permissions. Kies Obskur Admin en verwijder de toegang. De applicatie verliest daarmee onmiddellijk elke mogelijkheid om in uw Gmail, Agenda en Drive te lezen of te schrijven.

Wilt u uw account en de over u bewaarde gegevens laten verwijderen, schrijf dan naar info@obskur.studio vanaf het adres waarmee u aanmeldt. Wij bevestigen en voeren de verwijdering uit binnen 30 dagen. De toegang intrekken bij Google stopt verdere toegang, maar verwijdert op zichzelf niet wat al is opgeslagen; wilt u beide, doe dan beide.

Het verkeer loopt over HTTPS. Google-vernieuwingstokens worden versleuteld voor zij naar de databank worden geschreven. Die versleuteling is ingevoerd toen de applicatie al in gebruik was, en een vernieuwingstoken dat daarvóór werd weggeschreven staat er nog zoals het toen werd weggeschreven: het wordt de eerste keer dat het nodig is als dusdanig gelezen en op dat ogenblik alsnog versleuteld, zodat rijen van voor die wijziging tot dan een token in leesbare vorm kunnen bevatten. Toegangstokens, die Google binnen het uur laat vervallen, worden bewaard zoals zij worden uitgereikt. De toegang binnen de applicatie is afgebakend per organisatie, zodat leden van de ene organisatie niet bij de gegevens van een andere organisatie kunnen. Toegang tot de productieomgeving is beperkt tot Obskur BV.

Als inwoner van de Europese Economische Ruimte hebt u het recht op inzage, rectificatie, wissing en overdraagbaarheid van uw persoonsgegevens, evenals het recht om bezwaar te maken tegen de verwerking en uw toestemming in te trekken. Om een van deze rechten uit te oefenen, neemt u contact op via info@obskur.studio. Wij antwoorden binnen 30 dagen. Meent u dat uw rechten zijn geschonden, dan hebt u het recht een klacht in te dienen bij de Gegevensbeschermingsautoriteit: gegevensbeschermingsautoriteit.be.

Wij kunnen dit beleid bijwerken. Elke wijziging wordt op deze pagina gepubliceerd met een aangepaste datum. Een wijziging die verruimt wat er met Google-gebruikersgegevens gebeurt, wordt aan aangemelde gebruikers gemeld voor zij van kracht wordt.