Privacybeleid
Van kracht sinds 23 oktober 2026
Deze vertaling is er voor het gemak. Als ze afwijkt van de Engelse versie, heeft die voorrang.
Kimchi is een platform voor training, kennis en teamcommunicatie voor horecateams, gemaakt door Kimchi BV (‘Kimchi’, ‘wij’, ‘ons’). Dit beleid legt uit welke persoonsgegevens we verzamelen wanneer je de Kimchi-webapp (app.usekimchi.com), de mobiele Kimchi-app voor iOS en Android en deze website gebruikt; waarom we ze verzamelen; met wie we ze delen; en wat je rechten zijn.
In het kort
- Kimchi is een werktool. Je werkgever (of het bedrijf dat je heeft uitgenodigd) richt de werkruimte in en beslist wat erin komt. Voor die gegevens is je werkgever de ‘verwerkingsverantwoordelijke’ onder de AVG en verwerken wij ze namens hem.
- We verkopen je gegevens niet en gebruiken ze niet voor reclame. De Kimchi-apps bevatten geen analyse- of advertentietrackers van derden.
- AI-functies sturen inhoud naar aanbieders van AI-modellen. Wanneer je de assistent of een door AI gegenereerde functie gebruikt, worden de betreffende teksten, bestanden, foto’s of video’s via de Europese dienst van OpenRouter naar AI-modellen in Europese datacenters gestuurd om het resultaat te maken. De aanbieders verwerken je inhoud onder voorwaarden zonder gegevensbewaring (zero data retention): ze mogen die niet opslaan en niet gebruiken om modellen te trainen.
- Google-gegevens worden alleen gebruikt voor de functies waarvoor ze gekoppeld zijn. Als je werkgever Google Drive of Google Business Profile koppelt, lezen we alleen wat die functies nodig hebben, wijzigen we nooit iets bij Google en volgen we de Limited Use-regels van Google — zie Google-gebruikersgegevens.
- Waar je gegevens worden opgeslagen en verwerkt. Onze servers, databases en geüploade bestanden staan in datacenters in de EU, en de AI-functies die Kimchi uitvoert worden in Europa verwerkt; dicteren gebruikt de spraakherkenning van je eigen telefoon (Apple of Google). Sommige dienstverleners zijn Amerikaanse bedrijven, waaronder onze AI-router, enkele hosts van AI-modellen en onze e-mail- en back-upaanbieders; sommige bewaren gegevens of metadata in de VS. Voor die doorgiften gebruiken we erkende waarborgen.
- Jij hebt de controle. Je kunt op elk moment om inzage, correctie of verwijdering vragen — zie je rechten.
1. Wie we zijn
Het bedrijf dat verantwoordelijk is voor Kimchi is:
Kimchi BV in oprichting (een Belgische vennootschap in oprichting)
België
E-mail: privacy@usekimchi.com
2. Wie verantwoordelijk is voor je gegevens
Er zijn twee situaties, en het maakt uit welke van toepassing is.
De werkruimte van je werkgever. Wanneer je Kimchi gebruikt als lid van een organisatie — bijvoorbeeld de restaurantgroep waarvoor je werkt — beslist die organisatie welke gegevens in Kimchi worden ingevoerd, wie ze kan zien en hoe lang ze worden bewaard. Onder de AVG is zij de verwerkingsverantwoordelijke, en wij zijn de verwerker die volgens haar instructies handelt op basis van een verwerkersovereenkomst. Dat geldt voor je profiel, je trainingen, je berichten, checklists, shiftgegevens en al het andere binnen de werkruimte.
Onze eigen verwerking. Wij zijn de verwerkingsverantwoordelijke voor wat we in eigen naam doen: accounts aanmaken en logins beveiligen; de dienst draaiende, veilig en betrouwbaar houden (serverlogs, foutrapporten); support- en demoaanvragen beantwoorden; communiceren met de bedrijven die Kimchi kopen; en de bezoekers van deze website.
Heb je een vraag over hoe je werkgever Kimchi gebruikt — bijvoorbeeld waarom een bepaald veld is ingevuld, of wie in je team je trainingsresultaten kan zien — neem dan eerst contact op met je werkgever. Wij helpen hem om te antwoorden.
3. Welke gegevens we verzamelen
3.1 Gegevens die jij of je werkgever verstrekt
| Categorie | Wat het omvat |
|---|---|
| Account en profiel | Voor- en achternaam, e-mailadres, telefoonnummer (als je per sms bent uitgenodigd), wachtwoord (alleen opgeslagen als gesalte hash — we kunnen het nooit zien), profielfoto, interfacetaal, functie en groepen, de vestigingen en teams waartoe je behoort. Je werkgever kan optioneel een geboortedatum, woonadres, geslacht (‘man’, ‘vrouw’ of ‘zeg ik liever niet’) en een korte beschrijving van je functie toevoegen. |
| Inhoud die je maakt | SOP’s, trainingen, recepten, checklists (inclusief foto’s die als bewijs van uitvoering zijn gemaakt), projecten en taken, opmerkingen, quizantwoorden, bestanden die je uploadt, en alle tekst of afbeeldingen die je aan posts toevoegt. |
| Berichten | Directe berichten, groepschats, aankondigingen, posts, polls en je stemmen, reacties, en foto- of videobijlagen. Berichten zijn versleuteld tijdens verzending en worden opgeslagen op onze eigen servers in Duitsland, maar zijn niet end-to-end versleuteld (zie wie in je werkruimte wat kan zien). |
| Trainingsgegevens | Welke trainingen en onboardings aan je zijn toegewezen, je voortgang, voltooiingsdata en quizscores. |
| Notities van leidinggevenden | Je werkgever kan een evaluatienotitie over een medewerker vastleggen. Dat zijn gegevens van je werkgever; wij bewaren ze voor hem. |
| AI-gesprekken | De vragen die je aan Kimchi stelt, de bestanden, foto’s of gedicteerde tekst die je toevoegt, en de antwoorden (zie AI-functies). |
| Demoboekingen | Als je via deze website een demo boekt: je naam, e-mailadres, alles wat je verder in het boekingsformulier invult, en het tijdstip dat je kiest. De planning loopt via Cal.com (zie cookies). |
| Blogupdates | Als je je op deze website inschrijft voor blogupdates: je e-mailadres, de pagina waarop je je hebt ingeschreven, en wanneer. |
| Support | Alles wat je ons stuurt wanneer je om hulp vraagt, inclusief screenshots. |
3.2 Gegevens die ontstaan wanneer je Kimchi gebruikt
| Categorie | Wat het omvat |
|---|---|
| Technische gegevens | IP-adres, browsertype, besturingssysteem, toestelmodel, appversie en het tijdstip van elk verzoek, bewaard in serverlogs voor beveiliging en probleemoplossing. |
| Activiteitsgegevens | Wanneer je Kimchi voor het laatst hebt geopend, welke trainingen je hebt voltooid, wanneer je een bericht hebt gelezen (leesbevestigingen) of een post hebt bekeken. |
| Meldingen | Een pushmeldingstoken voor je toestel, de modelnaam van het toestel (bijv. ‘iPhone 15 (ios)’) en een overzicht van de meldingen die naar je zijn gestuurd. |
| Foutrapporten | Als de app crasht of op een fout stuit, wordt een rapport (stacktrace, toestel en besturingssysteem, appversie, een gepseudonimiseerde gebruikers-ID) naar onze eigen server voor foutmonitoring gestuurd — niet naar een derde partij. Het is zo ingesteld dat je naam en e-mailadres er niet in staan. |
| AI-gebruiksgegevens | Voor elk AI-verzoek registreren we het gebruikte model, het aantal tokens en de kosten, gekoppeld aan je gebruikers- en organisatie-ID, zodat we kwaliteit en kosten kunnen opvolgen. |
3.3 Gegevens uit integraties die je werkgever koppelt (optioneel)
Je werkgever beslist of hij een van deze koppelt. Doet hij dat, dan ontvangen we:
| Integratie | Gegevens die we ontvangen | Gebruikt voor |
|---|---|---|
| Strobbo (personeelsplanning) | Naam van de medewerker, e-mail, gsm-nummer, functie, arbeidsstatuut, taal en shiftroosters (datum, begin/einde, vestiging, opmerkingen). | Je account en uitnodiging aanmaken, en de juiste checklists en herinneringen tonen aan de mensen die shift hebben. |
| Google Drive | De bestanden in de mappen die je werkgever koppelt, alleen-lezen (zie Google-gebruikersgegevens). | Die documenten gebruiken als kennisbronnen voor SOP’s, trainingen en de AI-assistent. |
| Google Business Profile / online reviews | Openbare Google-reviews van de vestigingen van je werkgever — naam van de reviewer, tekst, score en datum — verzameld via Google en een dienst voor het verzamelen van reviews (zie Google-gebruikersgegevens). | Terugkerende problemen opsporen en trainingen of SOP-updates voorstellen. |
3.4 Toestemmingen op je toestel (mobiele app)
De Kimchi-app vraagt om deze toestemmingen, telkens pas wanneer je de betreffende functie voor het eerst gebruikt:
- Camera en fotobibliotheek — om foto’s en video’s te maken of toe te voegen aan berichten, checklists en je profiel.
- Microfoon en spraakherkenning — om vragen te dicteren aan de AI-assistent.
- Meldingen — om je pushmeldingen te sturen.
Je kunt elk van deze toestemmingen weigeren of intrekken in de instellingen van je toestel; de rest van de app blijft werken. De app vraagt niet om je locatie, contacten of agenda.
4. Google-gebruikersgegevens
Een beheerder van de werkruimte van je werkgever kan twee Google-diensten aan Kimchi koppelen: Google Drive en Google Business Profile. Er wordt niets gekoppeld totdat een beheerder zich met Google aanmeldt en de toegang goedkeurt. Dit onderdeel legt uit wat we doen met de gegevens die we zo van Google ontvangen (‘Google-gebruikersgegevens’).
4.1 Waartoe we toegang hebben, en waarom
| Dienst | Waartoe we toegang hebben | Wat we niet doen |
|---|---|---|
| Google Drive (alleen-lezen) | Het e-mailadres van het Google-account dat de beheerder koppelt, om te tonen welk account gekoppeld is. De namen van de gedeelde drives en mappen, zodat de beheerder kan kiezen welke mappen worden gesynchroniseerd. De bestanden in de mappen die de beheerder selecteert, inclusief hun submappen en de bestanden waarnaar snelkoppelingen daarin verwijzen: hun inhoud, naam, bestandstype, plaats in de map en wanneer ze voor het laatst zijn gewijzigd. Google Docs, Sheets en Slides worden gekopieerd als PDF-, Excel- en PowerPoint-bestanden; andere bestanden groter dan 100 MB worden overgeslagen. Om de kopieën actueel te houden, leest Kimchi de lijst met recente wijzigingen van Drive en negeert het elke vermelding buiten de geselecteerde mappen, behalve voor bestanden en mappen waarvan het een kopie heeft. Wanneer een daarvan wordt verplaatst, controleert Kimchi of het nog bereikbaar is vanuit de geselecteerde mappen, rechtstreeks of via een snelkoppeling daarin; daarvoor leest het alleen de locatie van de bovenliggende mappen en van de snelkoppelingen die ernaar verwijzen, nooit hun naam of inhoud. | Kimchi downloadt nooit bestanden uit mappen die de beheerder niet heeft geselecteerd, en maakt, bewerkt, verplaatst, deelt of verwijdert nooit iets in Google Drive. |
| Google Business Profile | De Business Profile-accounts en -locaties die de beheerder beheert, zodat hij elke vermelding aan een Kimchi-vestiging kan koppelen. De reviews van de gekoppelde vermeldingen: naam van de reviewer, score, reviewtekst en datum. | Kimchi reageert nooit op reviews, bewerkt nooit een vermelding en wijzigt niets anders in Business Profile. |
We gebruiken Drive-bestanden als kennisbronnen: om ze doorzoekbaar te maken in Kimchi, om er SOP’s en trainingen mee op te stellen, en om de AI-assistent er vragen mee te laten beantwoorden. We gebruiken reviews om terugkerende problemen in een vestiging op te sporen en trainingen of SOP-updates voor te stellen.
4.2 Hoe we ze gebruiken
- Alleen voor de functies waarvoor ze gekoppeld zijn, in de werkruimte die ze heeft gekoppeld, en om die functies veilig en werkend te houden.
- Nooit voor reclame, nooit verkocht, en nooit gebruikt om profielen van personen op te bouwen of om te beslissen over krediet of leningen.
- Nooit om AI te trainen. We gebruiken Google-gebruikersgegevens niet om algemene AI- of machine-learningmodellen te ontwikkelen, te verbeteren of te trainen, en onze AI-aanbieders mogen ze niet gebruiken om de hunne te trainen.
- AI-verwerking. Om Drive-bestanden te lezen, samen te vatten en te doorzoeken en om reviews te analyseren, wordt hun inhoud naar de AI-modellen gestuurd die beschreven staan onder AI-functies, uitsluitend om dat resultaat te maken.
4.3 Hoe we ze opslaan en beschermen, en hoe lang we ze bewaren
- Waar. Kopieën van gesynchroniseerde Drive-bestanden worden bewaard in onze bestandsopslag; hun geëxtraheerde tekst, zoekindex en samenvattingen, en de reviews, worden bewaard in onze database. Beide staan in datacenters in de EU.
- Toegangstokens. De sleutels die Google ons geeft om het gekoppelde account te bereiken, worden versleuteld opgeslagen in onze database en alleen door de servers van Kimchi gebruikt om met Google te communiceren. Ze worden nooit in de app getoond of ergens anders naartoe gestuurd.
- Bescherming. Dezelfde maatregelen als voor alle gegevens in je werkruimte — zie hoe we je gegevens beschermen: versleuteling tijdens verzending, opslag op onze eigen servers in Duitsland, afscherming per organisatie en beperkte toegang voor engineers.
- Hoe lang. Een Drive-kopie wordt bewaard zolang het bestand bereikbaar is vanuit een gekoppelde map, rechtstreeks of via een snelkoppeling daarin, en wordt vervangen wanneer de wijzigingslijst van Kimchi een nieuwe versie meldt. Een kopie die binnen de gekoppelde mappen wordt verplaatst, verplaatst ook in Kimchi. Wanneer een bestand in Drive wordt verwijderd, of niet meer bereikbaar is vanuit de gekoppelde mappen (het is eruit verplaatst, of de laatste snelkoppeling ernaar daarin is verwijderd of eruit verplaatst), verwijdert Kimchi de kopie bij de volgende synchronisatie, of bij de eerste synchronisatie daarna waarvoor Google Drive het kan bevestigen. Een map uit de synchronisatie halen, verwijdert de bestanden ervan uit de werkruimte, behalve de bestanden die een snelkoppeling in een andere gekoppelde map nog bereikt, die daarheen verhuizen; Google Drive ontkoppelen verwijdert ze allemaal. Telkens wanneer een kopie wordt verwijderd, worden ook de tekst, zoekindex, voorbeelden en het opgeslagen bestand zelf verwijderd; ze blijven dan alleen nog bestaan in back-ups, zoals beschreven onder hoe lang we je gegevens bewaren. Reviews worden bewaard zolang de werkruimte bestaat. Inhoud die je team uit deze bronnen heeft gemaakt, zoals een SOP of een training, is van het team zelf en blijft bestaan. Al het andere volgt hoe lang we je gegevens bewaren.
4.4 Met wie we ze delen
- Mensen in de werkruimte van je werkgever, volgens de rechten die de beheerders ervan instellen.
- Onze subverwerkers, uitsluitend om deze functies te laten werken: de aanbieders van hosting, database en bestandsopslag die ze opslaan, en de aanbieders van AI-routering en AI-modellen die ze verwerken (zie met wie we gegevens delen). Elk van hen is gebonden aan een contract dat beperkt wat ze met de gegevens mogen doen.
- Autoriteiten, wanneer de wet dat vereist.
We geven Google-gebruikersgegevens aan niemand anders door. Als Kimchi BV betrokken is bij een fusie, overname of verkoop van activa, gaan Google-gebruikersgegevens pas over naar de nieuwe eigenaar nadat de organisatie die ze heeft gekoppeld daar uitdrukkelijk mee heeft ingestemd.
4.5 Wie bij Kimchi ze kan lezen
Niemand bij Kimchi leest je Google-gebruikersgegevens, behalve wanneer de werkruimte ons daarvoor uitdrukkelijk toestemming heeft gegeven voor een specifieke supportaanvraag, wanneer het nodig is voor beveiligingsdoeleinden zoals het onderzoeken van misbruik, of wanneer de wet het vereist.
4.6 Hoe je de toegang stopzet en de gegevens laat verwijderen
- Google Drive. Een beheerder kan één map uit de synchronisatie halen, of op Ontkoppelen klikken in het Google Drive-paneel op de pagina Integraties van de Kimchi-webapp. Kimchi stopt dan met synchroniseren en verwijdert de gesynchroniseerde bestanden zoals hierboven beschreven. Ontkoppelen verwijdert ook de opgeslagen toegangstokens en vraagt Google om de toegang van Kimchi tot het account in te trekken, tenzij die Google-aanmelding mogelijk nog wordt gebruikt voor Google Business Profile in dezelfde werkruimte, of voor Google Drive in een andere werkruimte; intrekken zou die toegang ook afsluiten.
- Google Business Profile. Een beheerder kan op Ontkoppelen klikken naast een vermelding op de pagina Integraties. Kimchi verwijdert dan de opgeslagen toegangstokens voor die vermelding, stopt met het ophalen van de reviews ervan en vraagt Google om de toegang van Kimchi in te trekken, tenzij andere vermeldingen of Google Drive in dezelfde werkruimte mogelijk nog op die Google-aanmelding steunen.
- Bij Google. De persoon wiens Google-account is gekoppeld, kan de toegang van Kimchi op elk moment intrekken via myaccount.google.com/permissions. Kimchi kan dat account dan niet meer bereiken.
- Verwijdering. Wil je Google-gebruikersgegevens die Kimchi nog bewaart laten verwijderen, schrijf ons dan (zie contact). We verwijderen ze binnen 30 dagen.
4.7 Beperkt gebruik (Limited Use)
Het gebruik door Kimchi van informatie die het via Google API’s ontvangt, en de doorgifte ervan aan een andere app, zal voldoen aan de Google API Services User Data Policy, inclusief de vereisten voor beperkt gebruik (Limited Use).
5. AI-functies
Kimchi bevat een AI-assistent en verschillende door AI gegenereerde functies: trainingen maken uit documenten, samenvattingen, vertalingen, beoordeling van checklistfoto’s, transcriptie van video’s, projectplanning en Opportunities (operationele inzichten). Zo worden je gegevens behandeld:
- Wat er wordt verstuurd. Wanneer je een AI-functie gebruikt, wordt de inhoud die de functie nodig heeft — je vraag, de SOP’s, bestanden of berichten die ze als context gebruikt, en eventuele bijgevoegde documenten, foto’s of video’s — naar een groot taalmodel gestuurd om het resultaat te maken. Als je werkgever Opportunities gebruikt, stuurt een nachtelijke analyse ook werkgegevens naar AI-modellen, zoals namen en functies, diensten en afwezigheden, trainingsresultaten, afgewerkte checklists en reviews van gasten, om terugkerende operationele problemen te vinden.
- Wie ze verwerkt. Verzoeken gaan naar OpenRouter, Inc., een Amerikaans bedrijf, via zijn Europese dienst: die verwerkt ze alleen in Europa en weigert een verzoek liever dan het elders heen te sturen. OpenRouter geeft elk verzoek door aan de aanbieder die wij voor dat model hebben gekozen, in diens Europese datacenters: Google Cloud, Amazon Web Services of Microsoft Azure (Amerikaanse bedrijven, in hun EU-regio’s) of Inceptron (Zweden). Zij verwerken je inhoud uitsluitend om het antwoord te genereren, onder voorwaarden zonder gegevensbewaring (zero data retention): ze mogen die niet opslaan of gebruiken om modellen te trainen. OpenRouter houdt account- en factuurgegevens over Kimchi bij, die in de Verenigde Staten kunnen worden opgeslagen.
- Webpagina’s. Als je werkgever ‘Laat Kimchi webpagina’s lezen’ inschakelt (standaard uit), kan de assistent een openbare webpagina lezen waarvan je de link in een gesprek geeft, of waarnaar de SOP’s en bestanden van je organisatie verwijzen, en die vermelden. De servers van Kimchi halen de pagina rechtstreeks bij de website op; er komt geen zoekdienst aan te pas. De assistent zoekt niet op het web: het live zoeken is verwijderd terwijl we het naar een Europese zoekdienst overzetten, en we noemen die aanbieder hier voordat het terugkomt.
- Dicteren. Als je in de mobiele app een vraag dicteert, wordt de audio omgezet door de spraakherkenningsdienst van je eigen telefoon (Apple op iOS, Google op Android), die de audio op de servers van dat bedrijf kan verwerken, onder de privacyvoorwaarden van dat bedrijf. Alleen de resulterende tekst wordt naar Kimchi gestuurd.
- Stockafbeeldingen. Afbeeldingen die voor trainingen worden voorgesteld, komen van Unsplash. Alleen de zoekwoorden worden verstuurd, nooit je persoonsgegevens.
- Wat we bewaren. Je vragen en de antwoorden van de AI worden in je werkruimte bewaard, zodat je ze later kunt terugvinden en je werkgever kan nagaan hoe de assistent wordt gebruikt.
- Een opmerking over nauwkeurigheid. AI-output kan fout of onvolledig zijn. Behandel hem als een concept dat moet worden gecontroleerd — zeker bij voedselveiligheid.
6. Waarom we je gegevens gebruiken, en de rechtsgrond
| Doel | Rechtsgrond |
|---|---|
| Kimchi leveren aan de werkruimte van je werkgever — accounts, inhoud, berichten, trainingen, checklists, meldingen, integraties, AI-functies | We handelen volgens de instructies van je werkgever als verwerker (art. 28 AVG). De eigen rechtsgrond van je werkgever is doorgaans zijn overeenkomst met jou en zijn gerechtvaardigd belang bij het trainen en coördineren van zijn team (art. 6 lid 1 sub b en f AVG). |
| Je account aanmaken en beveiligen; misbruik voorkomen; logs en foutrapporten bijhouden; bugs oplossen | Ons gerechtvaardigd belang bij het leveren van een veilige, betrouwbare dienst (art. 6 lid 1 sub f AVG). |
| Service-e-mails en -sms’en versturen — uitnodigingen, codes om je wachtwoord te resetten, herinneringen, vermeldingen, taakupdates en overzichten | Uitvoering van de dienst (art. 6 lid 1 sub b AVG) en ons gerechtvaardigd belang om je op de hoogte te houden van je werkruimte (art. 6 lid 1 sub f AVG). |
| Je supportaanvragen beantwoorden | Ons gerechtvaardigd belang om je te helpen (art. 6 lid 1 sub f AVG). |
| Demoaanvragen beantwoorden en praten met potentiële klanten | Stappen die je ons vraagt te zetten voordat een overeenkomst wordt gesloten (art. 6 lid 1 sub b AVG) en ons gerechtvaardigd belang bij het verkopen van onze dienst (art. 6 lid 1 sub f AVG). |
| Je nieuwe blogartikels en productnieuws sturen, als je je daarvoor hebt ingeschreven | Je toestemming, gegeven bij de inschrijving (art. 6 lid 1 sub a AVG). Je kunt ze op elk moment intrekken door je uit te schrijven of ons te schrijven. |
| Bezoeken aan deze website tellen (bezoekersstatistieken), als je daarmee instemt in de cookiemelding | Je toestemming, gegeven in de cookiemelding (art. 6 lid 1 sub a AVG). Je kunt ze op elk moment intrekken door de gegevens van deze site in je browser te wissen; de melding vraagt het je dan opnieuw. |
| Je camera, microfoon, fotobibliotheek of pushmeldingen gebruiken | Je toestemming, gegeven via de toestemming op je toestel (art. 6 lid 1 sub a AVG). Je kunt ze op elk moment intrekken in de instellingen van je toestel. |
| AI-gebruik en -kosten per organisatie opvolgen | Ons gerechtvaardigd belang bij het betrouwbaar laten werken van de AI-functies en het correct factureren (art. 6 lid 1 sub f AVG). |
| Contract- en factuurgegevens van zakelijke klanten bijhouden | Wettelijke verplichting op grond van het Belgische handels- en fiscaal recht (art. 6 lid 1 sub c AVG). |
We gebruiken je gegevens niet voor geautomatiseerde besluiten die rechtsgevolgen of vergelijkbare aanzienlijke gevolgen voor je hebben.
7. Met wie we gegevens delen
We verkopen nooit persoonsgegevens. We delen ze alleen met:
Mensen in je werkruimte. Collega’s kunnen je naam, foto en functie zien en wat je post of naar hen stuurt; leidinggevenden en beheerders kunnen meer zien — zie wie in je werkruimte wat kan zien.
Dienstverleners (subverwerkers) die ons helpen Kimchi te laten werken. Elk van hen is gebonden aan een contract dat beperkt wat ze met de gegevens mogen doen. Ze vallen in deze categorieën:
- aanbieders van hosting en infrastructuur die onze servers, databases en deze website draaien, in datacenters in de EU;
- opslag van geüploade bestanden, foto’s en video’s, in datacenters in de EU;
- de aanbieders van AI-routering en AI-modellen beschreven onder AI-functies;
- aanbieders die onze e-mails, sms-berichten en pushmeldingen afleveren;
- een planningsdienst voor democalls die via deze website worden geboekt;
- een dienst die de openbare reviews van gekoppelde vestigingen verzamelt;
- diensten voor kaarttegels en ingesloten video’s in de webapp — je browser communiceert daar rechtstreeks mee, waardoor je IP-adres voor hen zichtbaar wordt;
- en de tools van derden die je werkgever kiest te koppelen (zie integraties).
De volledige, actuele lijst van onze subverwerkers — wie ze zijn, wat elk van hen doet en waar ze gegevens verwerken — maakt deel uit van de verwerkersovereenkomst die we met elke zakelijke klant sluiten, en klanten kunnen ze op elk moment opvragen via privacy@usekimchi.com.
Autoriteiten en anderen wanneer de wet dat vereist, bijvoorbeeld om te voldoen aan een wettelijke verplichting of een rechterlijk bevel, of om de rechten, eigendommen of veiligheid van onze gebruikers of anderen te beschermen.
Een koper of rechtsopvolger als Kimchi BV betrokken is bij een fusie, overname of verkoop van activa. We laten het je weten voordat je gegevens onder een ander privacybeleid vallen.
8. Waar je gegevens worden opgeslagen en internationale doorgiften
De servers, database en geüploade bestanden van Kimchi staan in datacenters in de EU, en de AI-functies die Kimchi uitvoert worden in Europa verwerkt; dicteren gebruikt de spraakherkenning van je eigen telefoon (Apple of Google). Sommige van onze dienstverleners, waaronder onze AI-router en enkele hosts van AI-modellen, zijn Amerikaanse bedrijven; sommige slaan gegevens op in de Verenigde Staten of kunnen er van daaruit toegang toe krijgen. Voor die doorgiften baseren we ons op het EU-VS-kader voor gegevensbescherming (EU-US Data Privacy Framework) wanneer de aanbieder gecertificeerd is, en anders op de modelcontractbepalingen van de Europese Commissie met aanvullende waarborgen. Je kunt ons om een kopie van de betreffende waarborgen vragen.
9. Wie in je werkruimte wat kan zien
- Collega’s kunnen je naam, profielfoto, functie en vestigingen zien; de berichten die je hun stuurt; je posts, opmerkingen en reacties; je stemmen in polls (polls zijn niet anoniem); en, in groepschats, of je een bericht hebt gelezen.
- Leidinggevenden en beheerders van je organisatie kunnen daarnaast je volledige profiel zien (inclusief eventuele optionele velden die je werkgever heeft ingevuld), je trainingsvoortgang en -scores, je ingediende checklists, wanneer je voor het laatst actief was, shiftgegevens uit een gekoppelde planner, en de evaluatienotities die zij hebben geschreven.
- Directe berichten kunnen alleen worden geopend door de mensen in het gesprek. Beheerders kunnen je directe berichten niet lezen via Kimchi.
- Ons team. Een klein aantal van onze engineers heeft toegang tot opgeslagen gegevens — ook berichten — wanneer dat strikt noodzakelijk is om redenen van support, beveiliging of wetgeving. We lezen je berichten voor geen enkel ander doel.
Berichten en bestanden zijn versleuteld onderweg van en naar Kimchi en worden opgeslagen op onze eigen servers in Duitsland, maar ze zijn niet end-to-end versleuteld.
10. Hoe lang we je gegevens bewaren
| Gegevens | Bewaartermijn |
|---|---|
| Je account, profiel en inhoud van de werkruimte | Zolang de werkruimte van je werkgever bestaat en je er lid van bent. Wanneer je werkgever je verwijdert, wordt je profiel verwijderd. Sommige inhoud die je voor het team hebt gemaakt (bijvoorbeeld SOP’s, of berichten in gedeelde gesprekken) kan in de werkruimte blijven, niet langer gekoppeld aan je naam, omdat het team die nog nodig heeft. |
| Een volledige werkruimte | Wanneer de overeenkomst van een zakelijke klant afloopt, verwijderen we de werkruimte en al haar gegevens binnen 90 dagen, tenzij de klant ons vraagt ze eerder te verwijderen of we bepaalde gegevens wettelijk moeten bewaren. |
| Serverlogs en foutrapporten | Tot 90 dagen. |
| Afleverlogs van sms’en en e-mails | Zolang het betreffende account bestaat, voor probleemoplossing en kostenafstemming. |
| Supportgesprekken | Tot 2 jaar nadat de aanvraag is afgesloten. |
| Inschrijvingen voor blogupdates | Tot je je uitschrijft of ons vraagt je te verwijderen. |
| Bezoekersstatistieken van de website | Bewaard als statistieken van paginaweergaven zolang de website bestaat. Ze bevatten geen IP-adres en geen cookie, en de bezoekerscode verandert elke dag, dus een paginaweergave is niet tot jou te herleiden. |
| Contract- en factuurgegevens van zakelijke klanten | Zolang het Belgische handels- en fiscaal recht dat vereist (doorgaans 7 tot 10 jaar). |
| Back-ups | Verwijderde gegevens kunnen tot 30 dagen in onze back-ups blijven staan voordat ze worden overschreven. De back-ups staan in de EU, in de regio Amsterdam van onze back-upaanbieder. |
11. Hoe we je gegevens beschermen
- Al het verkeer is versleuteld met TLS (HTTPS/WSS). Je gegevens staan op servers die we zelf beheren bij Hetzner in Falkenstein, Duitsland, en onze back-ups staan in de EU, in de regio Amsterdam van Backblaze (een Amerikaans bedrijf).
- Wachtwoorden worden gehasht met Argon2. We bewaren of zien je wachtwoord nooit in leesbare tekst.
- Op mobiel wordt je logintoken bewaard in de beveiligde opslag van het besturingssysteem (iOS Keychain / Android Keystore).
- Elk record hoort bij één organisatie; rolgebaseerde rechten bepalen wie wat kan zien en wijzigen.
- Toegang tot productiesystemen is beperkt tot een klein aantal engineers en beschermd met sterke authenticatie.
- We draaien geen analyse- of advertentiescripts van derden in de apps, dus er verlaten geen trackinggegevens Kimchi.
Geen enkel systeem is volledig veilig. Als we een inbreuk vaststellen die je gegevens raakt, brengen we je werkgever op de hoogte en, waar vereist, jou en de toezichthoudende autoriteit.
12. Je rechten
Onder de AVG heb je het recht om:
- inzage te krijgen in de persoonsgegevens die we over je hebben en er een kopie van te ontvangen;
- gegevens die onjuist of onvolledig zijn te laten corrigeren;
- je gegevens te laten wissen (‘recht op vergetelheid’);
- hoe we je gegevens verwerken te beperken;
- je gegevens te ontvangen in een overdraagbaar, machineleesbaar formaat;
- bezwaar te maken tegen verwerking op basis van onze gerechtvaardigde belangen;
- op elk moment je toestemming in te trekken (bijvoorbeeld een toestemming op je toestel), zonder dat dit gevolgen heeft voor de verwerking die daarvoor plaatsvond;
- een klacht in te dienen bij een toezichthoudende autoriteit.
Hoe je ze uitoefent. Voor gegevens in de werkruimte van je werkgever is je werkgever de verwerkingsverantwoordelijke — vraag het aan de beheerder van je werkruimte, die je profiel kan bijwerken of je account rechtstreeks in Kimchi kan verwijderen. Voor al het andere, of als je liever bij ons aanklopt, mail naar privacy@usekimchi.com. We antwoorden binnen één maand (dit kan met nog twee maanden worden verlengd voor complexe verzoeken; we laten het je dan weten). We kunnen je eerst vragen je identiteit te bevestigen.
Je account verwijderen. Vraag de beheerder van je werkruimte om je te verwijderen, of mail ons op privacy@usekimchi.com vanaf het adres dat aan je account gekoppeld is. We verwijderen je account en persoonsgegevens binnen 30 dagen, behalve wanneer je werkgever wettelijk verplicht is bepaalde gegevens te bewaren.
Toezichthoudende autoriteit. Onze toezichthoudende autoriteit is de Belgische Gegevensbeschermingsautoriteit: Gegevensbeschermingsautoriteit / Autorité de protection des données, Drukpersstraat 35, 1000 Brussels, Belgium — www.gegevensbeschermingsautoriteit.be. Je kunt ook een klacht indienen bij de gegevensbeschermingsautoriteit in het EU-land waar je woont of werkt.
13. Cookies en lokale opslag
Deze website. Deze pagina’s worden als statische bestanden aangeboden en plaatsen maar één cookie: kimchi_lang, een strikt noodzakelijke cookie die de taal onthoudt die je hebt gekozen, zodat de site bij je volgende bezoek in die taal opent. Ze bevat alleen een taalcode (bijvoorbeeld “nl”) en wordt nooit gebruikt om je te volgen. De cookiemelding die je misschien hebt beantwoord, bewaart je keuze in de lokale opslag van je browser, alleen op je toestel. Als je akkoord gaat, laadt de site ook onze bezoekersstatistieken: Plausible, opensourcesoftware die we op onze eigen servers in de EU draaien, zodat er niets naar een derde partij gaat. Plausible plaatst geen cookies en bewaart niets op je toestel. Voor elke pagina die je bekijkt, registreert het het adres van de pagina, de site die je ernaartoe stuurde, je browser, besturingssysteem en type toestel, en je land. Je IP-adres wordt alleen gebruikt om het land te bepalen en om, samen met je browser, een bezoekerscode te maken die elke dag verandert; het adres zelf wordt nooit bewaard. Als je weigert, worden de statistieken nooit geladen. Wil je je antwoord wijzigen, wis dan de gegevens van deze site in je browser; de melding vraagt het je dan opnieuw. Eén uitzondering waarvoor je zelf kiest door ze te gebruiken: het boeken van een demo laadt de planningswidget van Cal.com, die eigen cookies plaatst onder het privacybeleid van Cal.com. Die wordt pas geladen wanneer je de boeking opent.
Webapp (app.usekimchi.com). We gebruiken alleen strikt noodzakelijke first-party cookies; daarom zie je daar geen cookiebanner:
| Cookie | Doel | Bewaartermijn |
|---|---|---|
sessionid | Houdt je ingelogd | Sessie / tot 2 weken |
csrftoken | Beschermt formulieren tegen cross-site request forgery | 1 jaar |
kimchi_sidebar_minimized | Onthoudt of je de zijbalk hebt ingeklapt | 1 jaar |
Er zijn geen analyse-, advertentie- of socialemediacookies. Trainingen met een ingesloten YouTube-video laden die video van YouTube, dat eigen cookies kan plaatsen wanneer je hem afspeelt.
Mobiele app. De app bewaart je logintoken en je voorkeuren op je toestel; hij gebruikt geen cookies of advertentie-ID’s.
14. Kinderen
Kimchi is een werktool bedoeld voor mensen die oud genoeg zijn om te werken. Het is niet gericht op kinderen jonger dan 16 jaar, en we verzamelen niet bewust gegevens van hen. Denk je dat een kind een Kimchi-account heeft gekregen, laat het ons weten en we verwijderen het.
15. Wijzigingen in dit beleid
We kunnen dit beleid bijwerken naarmate Kimchi evolueert. We publiceren de nieuwe versie hier met een nieuwe ingangsdatum, en bij belangrijke wijzigingen brengen we je in de app of per e-mail op de hoogte voordat ze van kracht worden.
16. Contact
Vragen, verzoeken of zorgen over privacy: privacy@usekimchi.com, of per post aan Kimchi BV, België.