Privacybeleid

Dit privacybeleid beschrijft hoe Omnia ("de dienst", "wij", "ons") omgaat met persoonsgegevens. Omnia wordt aangeboden door Outlawz B.V. Wij verwerken persoonsgegevens in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG/GDPR). Voor het gebruik van de dienst gelden ook onze gebruiksvoorwaarden.

1. Wie zijn wij (verwerkingsverantwoordelijke)

De verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens via Omnia is:

• Bedrijfsnaam: Outlawz B.V.
• Handelsnaam: Outlawz / Omnia
• Adres: Jan Duikerweg 9C, 1703 DH Heerhugowaard, Nederland
• KvK-nummer: 85578037
• Telefoon: 072-210 0132
• E-mailadres: info@outlawz.nl
• Website: outlawz.nl
• Functionaris voor Gegevensbescherming: niet aangesteld

Voor vragen over dit privacybeleid of over de verwerking van jouw gegevens kun je contact met ons opnemen via info@outlawz.nl.

2. Wat is Omnia

Omnia is een integratieplatform. Teams kunnen externe applicaties (integraties) koppelen, per gebruiker en per functie (tool) toestemmingen instellen, en AI-clients (zoals ChatGPT, Claude of Cursor) laten communiceren met die integraties via een beveiligde MCP-gateway (Model Context Protocol).

De belangrijkste functionaliteiten zijn:

• Het aanmaken en beheren van gebruikersaccounts en teams.
• Het koppelen van externe applicaties via inloggegevens die versleuteld worden opgeslagen (een "kluis").
• Het toekennen van rechten per gebruiker en per tool.
• Het uitvoeren van API-aanroepen naar gekoppelde externe applicaties, zowel via de webinterface als via AI-clients (MCP).
• Het vastleggen van uitgevoerde aanroepen in een logboek en het tonen van gebruiksstatistieken.

De dienst bestaat technisch uit een API-backend en een webplatform (frontend).

3. Welke persoonsgegevens wij verwerken

Wij verwerken de volgende categorieën persoonsgegevens.

3.1 Accountgegevens

Bij het aanmaken en gebruiken van een account verwerken wij:

• Naam
• E-mailadres
• Wachtwoord (uitsluitend versleuteld/gehasht opgeslagen)
• Profielfoto (avatar), indien geüpload
• Datum van e-mailverificatie
• Aanmaak- en wijzigingsdatum van het account
• Of het account beheerdersrechten heeft

3.2 Team- en samenwerkingsgegevens

• Teamnaam en teamlogo
• Rol van een gebruiker binnen een team
• Uitnodigingen voor teams: e-mailadres van de genodigde, toegewezen rol, wie de uitnodiging heeft verstuurd, en de status (verzonden, geaccepteerd, ingetrokken, verlopen)
• Toegewezen rechten per gebruiker en per tool

3.3 Inlog- en sessiegegevens

Voor het beheren van sessies en beveiliging verwerken wij:

• IP-adres
• Browser-/apparaatgegevens (user agent)
• Sessiegegevens en tijdstip van laatste activiteit

3.4 Authenticatie- en toegangsgegevens (OAuth)

Voor authenticatie via OAuth2 (Laravel Passport) verwerken wij:

• OAuth-clients (naam, redirect-URI's, toegestane grant-types)
• Access-, refresh-, autorisatie- en device-tokens die aan een gebruiker en client zijn gekoppeld, inclusief geldigheidsduur en scopes
• De koppeling tussen tokens en het team waarvoor toegang is verleend

3.5 Gegevens van gekoppelde externe applicaties (integratiegegevens)

Bij het koppelen van externe applicaties verwerken en bewaren wij:

• Inloggegevens en secrets voor de koppeling, op team- en/of gebruikersniveau (versleuteld opgeslagen)
• Client-ID en client-secret voor OAuth-koppelingen (secret versleuteld opgeslagen)
• Tijdelijke OAuth-statusgegevens tijdens het koppelproces

3.6 Logboek van API-aanroepen

Elke uitgevoerde tool-aanroep wordt vastgelegd in een logboek. Hierin kunnen worden opgenomen:

• Het team en de gebruiker die de aanroep heeft uitgevoerd
• Het aangeroepen tool en het kanaal (webplatform of AI-client/MCP)
• De inhoud van het verzoek en de bijbehorende headers
• De statuscode, headers en (afgekapte) inhoud van de respons
• De uitkomst, eventuele foutmeldingen en de duur van de aanroep
• Het tijdstip van de aanroep

Omdat aanroepen naar externe applicaties gegevens kunnen retourneren die persoonsgegevens bevatten, kan het logboek indirect persoonsgegevens van derden bevatten. Afhankelijk van de door jou gekozen integraties kan dit bijvoorbeeld gaan om klant- of contactgegevens, order- en factuurgegevens, domein- of hostinggegevens, analytics- of zoekdata, of taak- en projectinformatie. Wij verwerken deze gegevens uitsluitend om de door jou of je team geïnitieerde koppeling en aanroep uit te voeren (uitvoering van de overeenkomst) en voor beveiliging, foutanalyse en logging (gerechtvaardigd belang).

3.7 Wachtwoordherstel

• E-mailadres en een tijdelijk hersteltoken bij het aanvragen van een wachtwoordreset

3.8 Product- en website-analytics

Om de dienst te verbeteren verwerken wij gebruiksgegevens via analytics:

• Webplatform (dashboard): productevents (bijvoorbeeld inloggen, team aanmaken, app koppelen), paginabezoeken, en technische metadata zoals browser-/apparaatgegevens. Gebeurtenissen worden waar mogelijk gekoppeld aan je account- en team-ID. Wij gebruiken geen session replay.
• Marketingwebsite en webplatform (Google Analytics): alleen als je daar via de cookiebanner toestemming voor geeft: paginabezoeken, verkeersbronnen en interacties (zoals klikken naar het platform en registraties), inclusief technische metadata.

Wij verzamelen bewust geen gegevens die niet nodig zijn voor de hierboven beschreven doeleinden.

4. Doeleinden en grondslagen van de verwerking

Wij verwerken persoonsgegevens uitsluitend voor de volgende doeleinden:

Verwerken wij gegevens op basis van toestemming, dan kun je die toestemming te allen tijde intrekken.

5. Hoe wij gegevens opslaan en beveiligen

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen, waaronder:

• Versleuteling van gevoelige gegevens: integratie-inloggegevens, gebruikers-secrets en OAuth-client-secrets worden versleuteld opgeslagen (AES-256-CBC).
• Wachtwoordbeveiliging: wachtwoorden worden nooit in leesbare vorm opgeslagen, maar gehasht (bcrypt).
• Versleutelde verbindingen: gegevens worden via HTTPS verzonden.
• Toegangsbeperking: rechten worden per gebruiker, team en tool ingesteld; een beheerdersomgeving is beperkt tot geautoriseerde beheerders.
• Beveiligde sessiecookies (zie hoofdstuk 7).

Gegevens worden opgeslagen in een MySQL-database. De productieomgeving van Omnia draait op beveiligde servers binnen de Europese Economische Ruimte (EER), in Nederland. Hosting en infrastructuur worden verzorgd door door ons ingeschakelde verwerkers. Met verwerkers die persoonsgegevens namens ons verwerken sluiten wij verwerkersovereenkomsten.

Uploads (zoals profielfoto's en teamlogo's) worden opgeslagen op de beveiligde applicatieserver van de API-backend.

6. Ontvangers en verwerkers (derden)

6.1 Externe applicaties die je zelf koppelt

Omnia stuurt gegevens naar externe applicaties uitsluitend wanneer jij of je team een koppeling instelt en een aanroep uitvoert. Afhankelijk van de door jou gekozen integraties kan dit onder meer gaan om:

• ActiveCampaign
• AFAS
• Airtable
• Calendly
• Canva
• Channable
• DigitalOcean
• Dropbox
• e-Boekhouden
• Exact Online
• Figma
• Gmail
• Google Ads
• Google Analytics
• Google Calendar
• Google Docs
• Google Drive
• Google Merchant Center
• Google PageSpeed Insights
• Google Search Console
• Google Sheets
• HubSpot
• Instagram
• Klaviyo
• Lightspeed eCom
• Linear
• LinkedIn
• LinkedIn Ads
• Magnific
• Mailchimp
• Meta Ads
• Meta Lead Ads
• Microsoft Excel
• Microsoft OneDrive
• Microsoft Teams
• Mollie
• monday.com
• Moneybird
• MyParcel
• Notion
• Odoo
• Outlook
• Picqer
• Pipedrive
• PostHog
• Salesforce
• Shopify
• Simplicate
• Slack
• SnelStart
• Stripe
• Supabase
• TransIP
• Tribe CRM
• Twinfield
• Typeform
• WooCommerce
• WordPress

De lijst groeit naarmate er nieuwe integraties beschikbaar komen. Deze partijen zijn zelfstandig verantwoordelijk voor hun eigen verwerking. Raadpleeg hun privacyverklaringen voor meer informatie.

6.2 AI-clients

Wanneer je Omnia koppelt aan een AI-client via de MCP-gateway, worden verzoeken en antwoorden tussen die client en de gekoppelde integraties uitgewisseld. De AI-client is een door jou gekozen dienst van een derde partij. Omnia ondersteunt onder meer:

• ChatGPT (OpenAI) — privacybeleid OpenAI
• Claude (Anthropic) — privacybeleid Anthropic
• Cursor — privacybeleid Cursor

Jij bepaalt welke AI-client je gebruikt en welke gegevens daarmee worden uitgewisseld.

6.3 Infrastructuur-, e-mail- en analyticsdiensten

Voor het functioneren van de dienst maken wij gebruik van externe verwerkers, waaronder:

• een hostingprovider voor de API, database en webplatform (servers in Nederland / EER);
• een e-mailverzenddienst voor functionele e-mails (uitnodigingen, wachtwoordherstel);
• PostHog (PostHog Inc.) voor productanalytics op het webplatform, via PostHog Cloud in de EU (eu.i.posthog.com). Met PostHog is een verwerkersovereenkomst (DPA) van toepassing;
• Google Analytics (Google Ireland Limited / Google LLC) voor website-analytics op de marketingwebsite en het webplatform, alleen na je toestemming.

Met deze verwerkers zijn verwerkersovereenkomsten gesloten waar dat van toepassing is.

Wij verkopen jouw persoonsgegevens niet aan derden.

7. Cookies en vergelijkbare technieken

Omnia gebruikt cookies en vergelijkbare technieken voor het functioneren van de dienst. Wij gebruiken geen cookies voor advertenties. Voor product- en website-analytics maken wij gebruik van diensten van derden zoals hieronder beschreven; op het webplatform gebeurt productanalytics cookieless.

Functionele en noodzakelijke cookies

De authenticatiecookies zijn beveiligd met de kenmerken httpOnly en sameSite=lax, en in productie met secure (alleen via HTTPS).

Lokale opslag (localStorage)

Productanalytics (webplatform)

Op het webplatform gebruiken wij PostHog voor productanalytics in een cookieless modus (in-memory persistence). Er worden geen PostHog-cookies of permanente lokale opslag voor analytics gezet. Session replay is uitgeschakeld. Events worden naar PostHog Cloud EU verzonden.

Website-analytics (marketingwebsite)

Op de marketingwebsite en het webplatform gebruiken wij Google Analytics, maar pas nadat je daar via de cookiebanner toestemming voor hebt gegeven. Daarna zet Google Analytics cookies (onder meer _ga en _ga_<id>) om bezoekers te onderscheiden en statistieken over het gebruik te verzamelen. Advertentiefuncties staan uit.

Je keuze bewaren wij 12 maanden in de cookie omnia_consent, zodat één keuze geldt voor zowel de website als het webplatform. Je kunt je keuze altijd wijzigen via "Cookie-instellingen" onderaan de website. Trek je je toestemming in, dan verwijderen wij de Google Analytics-cookies.

Externe bronnen

De Omnia-marketingwebsite en het webplatform laden lettertypen via self-hosted fonts. Bij normaal gebruik wordt geen verbinding gemaakt met Google Fonts.

Voor functionele en noodzakelijke cookies is in beginsel geen toestemming vereist. Voor analytics die cookies van derden zet (zoals Google Analytics) vragen wij vooraf je toestemming.

8. Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan noodzakelijk voor de doeleinden waarvoor ze zijn verzameld, of zolang wij daartoe wettelijk verplicht zijn.

• Accountgegevens: zolang het account actief is. Na verwijdering van een account wissen wij de bijbehorende persoonsgegevens binnen 30 dagen, tenzij wij gegevens langer moeten bewaren op grond van een wettelijke verplichting.
• Logboek van API-aanroepen: maximaal 12 maanden.
• OAuth-tokens: tot het verlopen of intrekken ervan; refresh-tokens in de browsercookie maximaal 30 dagen.
• Team-uitnodigingen: 7 dagen geldig; na acceptatie, intrekking of verloop worden uitnodigingsgegevens binnen 30 dagen verwijderd.
• Wachtwoordhersteltokens: maximaal 60 minuten, of tot gebruik.
• Sessiegegevens (inlogomgeving): maximaal 120 minuten inactiviteit, tenzij de sessie eerder wordt beëindigd.
• Productanalytics (PostHog): eventgegevens volgens de bewaarinstellingen in ons PostHog EU-project, maximaal 12 maanden tenzij een kortere termijn is geconfigureerd.
• Website-analytics (Google Analytics): volgens de bewaarinstellingen van de betreffende Google Analytics-property.

9. Jouw rechten onder de AVG

Je hebt onder de AVG de volgende rechten met betrekking tot jouw persoonsgegevens:

• Recht op inzage – je mag opvragen welke gegevens wij van je verwerken.
• Recht op rectificatie – je mag onjuiste of onvolledige gegevens laten corrigeren.
• Recht op verwijdering ("recht op vergetelheid") – je mag in bepaalde gevallen verzoeken je gegevens te wissen.
• Recht op beperking van de verwerking.
• Recht op bezwaar tegen de verwerking.
• Recht op dataportabiliteit – je mag je gegevens in een gangbaar formaat ontvangen of laten overdragen.
• Recht om toestemming in te trekken, wanneer de verwerking op toestemming is gebaseerd.

Je kunt een deel van deze rechten zelf uitoefenen in je accountinstellingen (bijvoorbeeld het wijzigen van je naam, wachtwoord of profielfoto). Voor de overige verzoeken kun je contact met ons opnemen via info@outlawz.nl. Wij reageren binnen de wettelijke termijn (in beginsel één maand).

Ben je het niet eens met hoe wij met jouw gegevens omgaan, dan heb je het recht een klacht in te dienen bij de toezichthouder. In Nederland is dat de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

10. Doorgifte buiten de EER

De kernverwerking van Omnia (hosting, database en applicatie) vindt plaats binnen de EER, in Nederland.

Sommige door jou gekozen diensten of door ons ingeschakelde verwerkers kunnen gegevens verwerken buiten de EER, waaronder:

• AI-clients zoals ChatGPT (OpenAI, Verenigde Staten) en Claude (Anthropic, Verenigde Staten);
• gekoppelde integraties van internationale aanbieders, zoals Klaviyo en Google (Analytics, Search Console);
• productanalytics via PostHog Cloud EU (gegevens worden in de EU verwerkt; de verwerker PostHog Inc. is gevestigd in de Verenigde Staten);
• website-analytics via Google Analytics op de marketingwebsite en het webplatform, na je toestemming.

Wanneer gegevens buiten de EER worden doorgegeven, zorgen wij — voor zover van toepassing — voor passende waarborgen, zoals standaardcontractbepalingen (SCC's) of een adequaatheidsbesluit. Omdat jij zelf bepaalt welke integraties en AI-clients je koppelt, ben je medeverantwoordelijk voor de keuze van die diensten.

11. Geautomatiseerde besluitvorming

Wij nemen geen besluiten op basis van uitsluitend geautomatiseerde verwerking die rechtsgevolgen voor je hebben.

12. Wijzigingen in dit privacybeleid

Wij kunnen dit privacybeleid van tijd tot tijd aanpassen. De meest recente versie is altijd via de dienst beschikbaar. Bij belangrijke wijzigingen informeren wij je waar dat wettelijk vereist is. De datum bovenaan dit document geeft aan wanneer het beleid voor het laatst is bijgewerkt.

13. Contact

Heb je vragen, opmerkingen of verzoeken over dit privacybeleid of de verwerking van je persoonsgegevens? Neem dan contact met ons op:

• Outlawz B.V.
• E-mail: info@outlawz.nl
• Telefoon: 072-210 0132
• Adres: Jan Duikerweg 9C, 1703 DH Heerhugowaard, Nederland
• Website: outlawz.nl

Zie ook onze gebruiksvoorwaarden.