Jouw data, en wat we er echt mee doen.

01Wie verantwoordelijk is

The Creativity Lab is een digitale studio in Amsterdam, Nederland, ingeschreven bij de Kamer van Koophandel onder nummer 42039477. Voor deze website zijn wij de verwerkingsverantwoordelijke: wij bepalen waarom en hoe de beperkte gegevens hieronder worden verwerkt.

Bij een AI-systeem dat wij voor een klant bouwen en beheren draaien de rollen om. De klant bepaalt wat het systeem met wiens gegevens doet en is daarmee verwerkingsverantwoordelijke; wij zijn verwerker en werken op hun schriftelijke instructie.

Wij hebben geen wettelijk verplichte functionaris gegevensbescherming. Elke privacyvraag komt bij hetzelfde kleine team terecht, via hello@thecreativitylab.nl.

02Wat deze website niet doet

De meeste privacyverklaringen beginnen met een lange lijst van wat een site verzamelt. Deze begint met wat hij niet verzamelt, omdat we de broncode hebben gecontroleerd in plaats van te vertrouwen op ons geheugen.

• Er zijn geen accounts, geen logins en geen bezoekersprofielen. De site bestaat uit statische pagina's.
• Er is geen analytics. Geen Google Analytics, geen tagmanager, geen privacyvriendelijk alternatief, niets. Wij meten je bezoek niet.
• Er zijn geen trackingpixels, geen advertentie- of remarketingtechnologie en geen A/B-testtools.
• Deze website plaatst helemaal geen cookies.
• Er zit geen database achter. Niets wat je op deze site typt wordt op een server van ons opgeslagen.

03Als je contact opneemt

Het contactformulier en de aanvraag voor een systems call versturen niets naar een server, want er is geen endpoint aan gekoppeld. Als je op versturen drukt, stelt de site je invoer samen en opent een bericht in je eigen mailprogramma, gericht aan hello@thecreativitylab.nl. Je verstuurt het zelf en kunt het eerst aanpassen of weggooien.

Wat in onze mailbox belandt is dus een gewone e-mail: je naam, je e-mailadres, je bedrijf als je dat hebt ingevuld, de focus, frictie en timing die je koos, je beschrijving van hoe het werk nu loopt, en bij een gesprekaanvraag je voorkeursdag en -moment.

We gebruiken dat om je te antwoorden en, als het een project wordt, om dat project voor te bereiden. De grondslag is ons gerechtvaardigd belang om op een zakelijke vraag te reageren, en waar je ons vraagt te offreren of te starten, de stappen voorafgaand aan een overeenkomst.

De dagopties in het boekingspaneel worden in je browser berekend vanaf de datum van vandaag. Het is geen live beschikbaarheid, er is geen planningsdienst gekoppeld en er wordt niets automatisch gereserveerd. Een mens bevestigt het moment per e-mail.

04De AI Concierge

De AI Concierge is het chatpaneel in de hoek van deze site. Het is de moeite waard daar precies over te zijn, omdat het woord AI meestal impliceert dat er iets ergens naartoe wordt gestuurd.

Het is een gescripte, deterministische engine die volledig in je eigen browser draait. Er zit geen taalmodel achter, geen API-sleutel, geen server en geen enkel netwerkverzoek. Niets wat je erin typt wordt naar ons of naar iemand anders verstuurd, en wij kunnen het niet lezen.

Je gesprek en de status van de engine staan op je eigen apparaat in session storage, onder de sleutel cl-concierge-ai, beperkt tot de laatste veertig berichten zodat het sluiten en heropenen van het paneel de draad niet kwijtraakt. Je browser gooit het weg als je het tabblad sluit.

Omdat er niets wordt verstuurd, bestaat er aan onze kant geen promptlog om op te vragen, te corrigeren of te verwijderen. Wil je het gesprek eerder weg hebben, sluit dan het tabblad of wis de browseropslag voor deze site.

05Wat er in je browser wordt opgeslagen

Geen van het onderstaande zijn cookies, en niets ervan wordt naar een server gestuurd. Het zijn kleine waarden die je browser bewaart zodat de site zich netjes gedraagt. Dit is de volledige lijst.

06Derden waarmee deze pagina verbindt

Een pagina die content van de servers van een ander bedrijf laadt, onthult je IP-adres aan dat bedrijf, ook als er geen cookie in het spel is. Deze site maakt zo'n verbinding niet: elk lettertype, elke afbeelding en elke video komt van ons eigen domein. Eén ding blijft over om te benoemen, en dat noemen we liever zelf dan dat je het ontdekt in een netwerktabblad.

• Onze hostingpartij bewaart standaard technische serverlogs, zoals IP-adres, tijdstip, opgevraagde pagina en browsertype, voor veiligheid en betrouwbaarheid, zoals vrijwel elke host doet.

Serverlogs zijn onvermijdelijk voor elke site die überhaupt bereikbaar is. Daarbuiten bereikt niets op deze pagina een derde partij, dus er is hier niets dat een contentblocker hoeft tegen te houden.

07Data binnen de AI-systemen die wij bouwen

Dit is het deel dat voor klanten het meeste uitmaakt, en het deel dat een websiteprivacyverklaring meestal overslaat. Als wij automatisering, een agent, een chat- of spraakinterface, een workflow, een koppeling of een dashboard bouwen, stroomt daar persoonsgegevens doorheen, en hoe daarmee wordt omgegaan leggen we schriftelijk vast voordat er iets aangaat.

De overeenkomst gaat voor

Elke opdracht waarbij persoonsgegevens betrokken zijn draait onder een schriftelijke verwerkersovereenkomst. Daarin staat wat wij mogen verwerken, waarvoor, hoe lang, welke subverwerkers betrokken zijn, waar de data staat en wat er aan het einde van de opdracht gebeurt. Wij verwerken uitsluitend op gedocumenteerde instructie van de klant.

Prompts, uploads en API-verkeer

Waar een stap een taalmodel gebruikt, is de tekst die naar dat model gaat de prompt, en die bevat meestal een deel van het onderliggende record: een aanvraag, een document, een order, een klantnotitie. Alles wat een gebruiker uploadt zodat het systeem het kan lezen, behandelen we net zo. Welke aanbieder dat verkeer ontvangt, en in welke regio het wordt verwerkt, kiezen we samen met de klant en leggen we vast in de overeenkomst.

Logs

Systemen die wij bouwen houden operationele logs bij, omdat een geautomatiseerd proces zonder registratie niet te debuggen, te controleren of aan een toezichthouder uit te leggen is. Die logs bevatten doorgaans wat er draaide, wanneer, of het slaagde, en de invoer en uitvoer van een AI-stap. De bewaartermijn stellen we per project in en houden we zo kort als de verplichtingen van de klant toestaan.

Trainen

Wij gebruiken klantdata niet om eigen modellen te trainen. Waar een modelaanbieder een instelling biedt die ingezonden data uitsluit van hun eigen training, zetten we die aan. Waar een aanbieder dat niet biedt, zeggen we dat vooraf en niet achteraf.

Toegang en bijzondere categorieën

Toegang tot een klantomgeving is beperkt tot de met naam genoemde mensen die het voor het werk nodig hebben, en vervalt als het werk stopt. Bijzondere categorieën gegevens, zoals gezondheids- of biometrische informatie, verwerken we alleen als de overeenkomst daar uitdrukkelijk in voorziet en de extra waarborgen geregeld zijn.

08Hoe lang dingen bewaard blijven

Een aanvraag die geen project wordt

Maximaal 12 maanden in onze mailbox, daarna verwijderd

Klant- en projectgegevens

Gedurende de opdracht plus zeven jaar, omdat de Nederlandse fiscale wet dat voor de administratie eist

Data in een systeem dat wij voor een klant draaien

De termijn die die klant in de verwerkersovereenkomst vastlegt

Technische serverlogs

Een korte technische periode bij onze hostingpartij, voor veiligheid en betrouwbaarheid

Je gesprek met de AI Concierge

Niets aan onze kant, omdat er niets wordt verstuurd

09Waar data naartoe gaat

De hierboven beschreven lettertype- en mediaverzoeken kunnen worden afgehandeld door partijen die gegevens buiten de Europese Economische Ruimte verwerken, onder de doorgiftewaarborgen die zij publiceren. Voor klantsystemen kiezen we de hostingregio en de regio van de modelaanbieder per project, en houden we de verwerking bij voorkeur binnen de Europese Economische Ruimte waar het project dat toelaat.

10Jouw rechten

Onder de Algemene verordening gegevensbescherming kun je ons vragen om een kopie van de persoonsgegevens die wij van je hebben, ze laten corrigeren, laten verwijderen, de verwerking laten beperken, er bezwaar tegen maken of ze in overdraagbare vorm ontvangen. Waar de verwerking op toestemming rust, kun je die toestemming altijd intrekken.

Eén e-mail naar hello@thecreativitylab.nl is genoeg. We reageren binnen een maand en stellen een of twee vragen als we zeker moeten weten met wie we spreken.

Zit je data in een systeem dat wij voor een klant draaien, dan is die klant de verwerkingsverantwoordelijke. Stuur je verzoek naar hen; wij ondersteunen hen bij de afhandeling. Wij mogen niet op eigen initiatief op hun data handelen.

Je hebt ook het recht een klacht in te dienen bij de Nederlandse toezichthouder, de Autoriteit Persoonsgegevens. We zouden de kans om het eerst zelf op te lossen waarderen, maar die keuze is aan jou, niet aan ons.

11Beveiliging

Deze site wordt via HTTPS geleverd en heeft geen database, geen login en geen bezoekersgegevens, waarmee het meeste weg is waar een aanvaller voor komt. Toegang tot klantomgevingen is beperkt tot met naam genoemde mensen en beveiligd met sterke authenticatie.

We nemen beveiliging serieus, en we beweren niet onkraakbaar te zijn, want dat kan niemand eerlijk zeggen. Denk je een kwetsbaarheid gevonden te hebben, laat het weten via hello@thecreativitylab.nl en we behandelen het als urgent.

12Wijzigingen in deze verklaring

Als de site verandert, verandert deze pagina mee en schuift de datum bovenaan op. Als we ooit analytics, een planningsembed of een leadendpoint toevoegen, wordt deze verklaring bijgewerkt vóórdat dat live gaat, niet erna.