Privacybeleid

In dit privacybeleid wordt uitgelegd hoe Penbox persoonsgegevens verwerkt wanneer u onze website https://penbox.io bezoekt, ons platform https://app.penbox.io gebruikt, een mailbox koppelt aan Penbox of contact met ons opneemt.

Dit beleid is van kracht sinds 5 november 2026.

Laatst bijgewerkt: 6 november 2026

1. Wie wij zijn

Penbox SRL is een in België geregistreerde onderneming onder het nummer BE 0738.549.585, met maatschappelijke zetel te Rue des Pères Blancs 4, 1040 Etterbeek, België ("Penbox", "wij", "ons").

Penbox heeft een externe Functionaris voor Gegevensbescherming (DPO) aangesteld. Voor vragen over dit beleid of uw persoonsgegevens kunt u contact opnemen met onze DPO via dpo@penbox.io.

2. Onze twee rollen: verwerkingsverantwoordelijke en verwerker

Penbox als verwerkingsverantwoordelijke. Wij bepalen hoe en waarom persoonsgegevens worden verwerkt voor onze eigen activiteiten: onze website, onze relatie met prospects en klanten, de accounts van de personen die Penbox gebruiken, facturatie, ondersteuning en marketing. Dit beleid heeft hoofdzakelijk betrekking op deze activiteiten.

Penbox als verwerker. Onze klanten (verzekeraars, makelaars en andere bedrijven) gebruiken Penbox om documenten te verzamelen, dossiers te beheren en hun e-mails te verwerken. De gegevens die zij op het platform verwerken, bijvoorbeeld over hun eigen klanten, eisers of partners, worden door Penbox namens hen en volgens hun instructies verwerkt, onder een verwerkersovereenkomst (DPA) die in overeenstemming is met artikel 28 van de AVG. Voor die gegevens is onze klant de verwerkingsverantwoordelijke. Als u een klant bent van een van onze klanten, neem dan rechtstreeks contact met hen op om uw rechten uit te oefenen. Als u contact met ons opneemt, sturen wij uw verzoek naar hen door.

3. Persoonsgegevens die we verzamelen

Gegevens die u ons verstrekt

• Contact- en professionele gegevens: naam, professioneel e-mailadres, telefoonnummer, bedrijf en functie, bijvoorbeeld wanneer u een demo boekt, zich aanmeldt, zich abonneert op onze updates of contact met ons opneemt.

• Accountgegevens: uw inloggegevens, rol en voorkeuren wanneer u een Penbox-account aanmaakt of gebruikt.

• Communicatie: de inhoud van uw berichten aan ons en van uw uitwisselingen met onze support- en verkoopteams, inclusief notities van gesprekken en vergaderingen.

• Facturatiegegevens: facturatiecontactpersoon, bedrijfsgegevens en betalingsinformatie. Betalingen worden afgehandeld door onze betalingsdienstaanbieders.

Automatisch verzamelde gegevens

• Websitegegevens: IP-adres, browser- en apparaattype, bezochte pagina's, verwijzende site en campagnegegevens, verzameld via cookies en vergelijkbare technologieën. Zie ons Cookiebeleid.

• Platformgebruiksgegevens: hoe u het platform gebruikt (gebruikte functies, uitgevoerde acties) om het te exploiteren, te beveiligen en te verbeteren.

• Technische logs: beveiligings- en auditlogs met technische identifiers (gebruiker, betrokken object, tijdstempel, IP-adres, actie en resultaat).

Gegevens uit andere bronnen

Om bedrijven te identificeren en te kwalificeren die mogelijk geïnteresseerd zijn in Penbox, kunnen we professionele informatie over u verzamelen uit openbaar beschikbare bronnen (zoals de website van uw bedrijf of uw professionele profiel op sociale media) en van leveranciers van zakelijke gegevens.

4. Waarom we uw gegevens gebruiken en op welke wettelijke basis

• Het aanbieden van het platform en uw account, en u ondersteunen: uitvoering van onze overeenkomst met u of uw organisatie.

• Facturatie en boekhouding: uitvoering van de overeenkomst en naleving van onze wettelijke verplichtingen.

• Het beantwoorden van uw verzoeken en het voorbereiden van een overeenkomst, zoals demo's en offertes: stappen ondernomen op uw verzoek voorafgaand aan het aangaan van een overeenkomst.

• Beveiliging, fraudepreventie en misbruikdetectie: ons gerechtvaardigd belang bij het beschermen van ons platform, onze klanten en hun gebruikers.

• Het meten en verbeteren van onze website en producten: ons gerechtvaardigd belang, en uw toestemming voor niet-essentiële cookies.

• Bedrijfsontwikkeling en marketing gericht op professionals (nieuwsbrieven, productupdates, evenementen, prospectie): ons gerechtvaardigd belang of, waar wettelijk vereist, uw toestemming. U kunt te allen tijde bezwaar maken of zich uitschrijven.

• Naleving van de wet en verdediging van onze rechten: onze wettelijke verplichtingen en ons gerechtvaardigd belang.

Wanneer we ons baseren op toestemming, kunt u deze te allen tijde intrekken. Dit heeft geen invloed op verwerkingen die vóór de intrekking hebben plaatsgevonden.

5. Gekoppelde mailboxen (Gmail en Outlook)

Wanneer u een Gmail- of Microsoft Outlook-mailbox (Microsoft 365) koppelt aan Penbox, geeft u ons toestemming om toegang te krijgen tot gegevens uit die mailbox via de Google API's of de Microsoft Graph API. In deze sectie wordt uitgelegd waartoe we toegang hebben, waarom, en hoe we dit beschermen. Mailboxgegevens worden verwerkt namens de organisatie die eigenaar is van de Penbox-werkruimte.

Gegevens waartoe we toegang hebben: de e-mailberichten en bijlagen van de gekoppelde mailbox, de labels, mappen of categorieën en de concepten, en de naam en het e-mailadres van het account.

Hoe we deze gebruiken: we gebruiken deze gegevens uitsluitend om de functies van Penbox te leveren die u gebruikt:

• inkomende e-mails detecteren en ze tonen in uw werkruimte, met hun bijlagen, en ze toevoegen aan het juiste dossier;

• e-mails verzenden en concepten maken vanaf uw e-mailadres, wanneer u of uw team ons daarom vraagt;

• de e-mails labelen of categoriseren die Penbox heeft verwerkt, zodat u ze in uw mailbox kunt terugvinden, en Penbox gesynchroniseerd houden wanneer een e-mail wordt gearchiveerd.

Kunstmatige intelligentie: om inkomende e-mails te sorteren, er informatie uit te halen en conceptantwoorden op te stellen, sturen we hun inhoud naar AI-modellen (Google Gemini en Anthropic Claude) gehost door Google Cloud Vertex AI in de Europese Unie, optredend als onze subverwerker. Google Cloud verwerkt de gegevens uitsluitend om ons een resultaat terug te sturen. Noch Penbox, noch Google Cloud gebruikt mailboxgegevens, inclusief gebruikersgegevens van Google, om algemene AI- of machine learning-modellen te ontwikkelen, te verbeteren of te trainen.

Opslag: e-mails worden opgeslagen in onze database, gehost op AWS. Bijlagen worden opgeslagen op Google Cloud Storage. Voor werkruimtes met een gekoppeld Gmail-account ontvangen onze AI-monitoringtools uitsluitend gebruiksstatistieken, zoals het gebruikte model en het aantal tokens. Ze ontvangen nooit de inhoud van e-mails uit die werkruimtes. Voor andere mailboxen heeft een klein aantal geautoriseerde medewerkers toegang tot deze monitoringgegevens om problemen op te lossen.

Delen: we verkopen geen mailboxgegevens en gebruiken deze nooit voor advertenties. We dragen deze alleen over aan de subverwerkers die nodig zijn om de bovenstaande functies uit te voeren, om aan de wet te voldoen, of als onderdeel van een fusie of overname. Onze medewerkers lezen geen gebruikersgegevens van Google, tenzij u ons uitdrukkelijke toestemming geeft voor een specifiek bericht, of als dit nodig is voor beveiliging of wettelijk vereist is.

Bewaartermijn en verwijdering: ontvangen e-mails worden bewaard in de inbox van uw werkruimte, en e-mails die aan een dossier zijn gekoppeld, worden bewaard zolang dat dossier bestaat. De hoofdtekst en de lijst met bijlagen van gearchiveerde e-mails die niet aan een dossier zijn gekoppeld, worden standaard na 30 dagen gewist. Hun onderwerp, afzender en ontvangers blijven in uw werkruimte aanwezig. U kunt uw mailbox op elk moment ontkoppelen via uw instellingen: we trekken dan onze toegang in en stoppen met het lezen van uw mailbox. U kunt onze toegang ook intrekken via de instellingen van uw Google-account of Microsoft-account, of via uw Microsoft 365-beheerder. Gegevens die al zijn opgeslagen, blijven na een ontkoppeling in uw werkruimte bewaard. Om deze te verwijderen, verwijdert u de betreffende dossiers of neemt u contact met ons op via dpo@penbox.io, en we zullen ze op verzoek verwijderen.

Beperkt gebruik (gebruikersgegevens van Google): het gebruik en de overdracht door Penbox naar een andere app van informatie die is ontvangen van Google API's zal voldoen aan het Beleid inzake gebruikersgegevens van Google API Services, inclusief de vereisten voor Beperkt Gebruik.

Microsoft-accounts: voor Outlook-mailboxen is de toegang afhankelijk van de machtigingen die u of uw Microsoft 365-beheerder aan de Penbox-toepassing hebt verleend in Microsoft Entra ID. Deze machtigingen kunnen daar op elk moment worden bekeken en ingetrokken.

6. Kunstmatige intelligentie

Alle Penbox AI-modules (document intelligence, Email Intelligence, Case Intelligence, AI-agenten en meer) draaien in een private bedrijfsomgeving die gehost wordt in de Europese Unie. Die omgeving bewaart geen gegevens: gegevens worden verwerkt, het resultaat wordt teruggestuurd naar het Penbox-platform, en er wordt niets bewaard aan de AI-zijde. De gegevens van onze klanten worden nooit gebruikt om AI-modellen te trainen.

Penbox neemt zelf geen besluiten die juridische of vergelijkbare wezenlijke gevolgen voor u hebben uitsluitend op basis van geautomatiseerde verwerking. Wanneer onze klanten Penbox AI-functies in hun eigen processen gebruiken, bijvoorbeeld om documenten te controleren, verzoeken te sorteren of mogelijke fraude te signaleren, blijven zij als verwerkingsverantwoordelijken verantwoordelijk voor die processen.

7. Met wie we uw gegevens delen

We verkopen geen persoonsgegevens. We delen deze alleen met:

• Dienstverleners die handelen volgens onze instructies, zoals hosting en infrastructuur (Amazon Web Services, Google Cloud), AI-verwerking, e-mailbezorging, klantrelatiebeheer, analyse, facturering en betaling, klantenondersteuning en planningstools. Zij zijn contractueel verplicht om uw gegevens te beschermen en deze uitsluitend te gebruiken om hun diensten aan ons te leveren.

• Professionele adviseurs en auditors, zoals advocaten, accountants en onze ISO 27001-certificeringsinstantie, onder vertrouwelijkheidsverplichtingen.

• Autoriteiten, rechtbanken en toezichthouders, wanneer de wet dit vereist of om onze wettelijke rechten vast te stellen, uit te oefenen of te verdedigen.

• Een koper of rechtsopvolger, als Penbox betrokken is bij een fusie, overname of verkoop van activa, in welk geval dit beleid van toepassing blijft op uw gegevens.

De gedetailleerde lijst van de subverwerkers die we gebruiken voor klantgegevens maakt deel uit van onze DPA en is op verzoek verkrijgbaar via dpo@penbox.io. We informeren onze klanten voorafgaand aan eventuele wijzigingen.

8. Waar uw gegevens worden opgeslagen

Klantgegevens die op het Penbox-platform worden verwerkt, blijven in de Europese Unie. Onze applicatieservers en databases worden gehost door Amazon Web Services in Frankfurt (Duitsland), back-ups worden bewaard op een afzonderlijke locatie in België, en AI-verwerking en technische logs vinden plaats in de EU. Het Penbox-team is gevestigd in Europa en heeft geen toegang tot klantgegevens van buiten de EU. Meer details zijn beschikbaar op onze Beveiligingspagina.

Sommige tools die we gebruiken voor onze eigen bedrijfsvoering, zoals onze website, CRM, marketing- of facturatietools, kunnen leiden tot een doorgifte van persoonsgegevens buiten de Europese Economische Ruimte. In dat geval is de doorgifte gebaseerd op een adequaatheidsbesluit van de Europese Commissie (zoals het EU-VS Data Privacy Framework) of op de modelcontractbepalingen van de Europese Commissie.

9. Hoe lang we uw gegevens bewaren

• Klantgegevens op het platform (dossiers, formulieren, documenten, e-mails en gebruikersaccounts): onze klant bepaalt de bewaartermijn in diens werkruimte. Wanneer deze verloopt, wordt er een automatische, gelogde opschoning uitgevoerd.

• Einde van de onderschrijving: wanneer een klant de onderschrijving beëindigt, verwijderen we al diens gegevens, uiterlijk 60 dagen na het einde van het contract of onmiddellijk op verzoek, en leveren we een vernietigingscertificaat. Verwijderde gegevens verdwijnen vervolgens aan het einde van een doorlopende periode van 30 dagen uit de back-ups.

• Technische en beveiligingslogs: 365 dagen.

• Prospect- en marketinggegevens: tot 3 jaar na ons laatste contact met u, tenzij u eerder bezwaar maakt of zich uitschrijft.

• Facturatie- en boekhoudkundige gegevens: gedurende de periode die vereist is op grond van het Belgische boekhoud- en belastingrecht.

We kunnen sommige gegevens langer bewaren wanneer dit nodig is om aan een wettelijke verplichting te voldoen of om juridische claims vast te stellen, uit te oefenen of te verdedigen.

10. Beveiliging

Penbox is ISO/IEC 27001-gecertificeerd voor de gehele organisatie en al haar producten. Gegevens worden versleuteld tijdens verzending en in rust, de gegevens van elke klant zijn op elke laag geïsoleerd, en de toegang tot productie is beperkt, gelogd en wordt regelmatig herzien. U bent verantwoordelijk voor het vertrouwelijk houden van uw eigen inloggegevens. Zie onze Beveiligingspagina voor meer details.

11. Uw rechten

Onder de AVG heeft u het recht om:

• inzage te krijgen in de persoonsgegevens die we over u bewaren en een kopie te ontvangen;

• onjuiste of onvolledige gegevens te rectificeren;

• uw gegevens te wissen, tenzij we ze om een juridische reden moeten bewaren;

• de verwerking van uw gegevens in bepaalde gevallen te beperken;

• bezwaar te maken tegen verwerking op basis van ons gerechtvaardigd belang, en te allen tijde tegen directe marketing;

• op gegevensoverdraagbaarheid, om de gegevens die u aan ons hebt verstrekt in een gestructureerd, machineleesbaar formaat te ontvangen;

• uw toestemming te allen tijde in te trekken, wanneer de verwerking is gebaseerd op toestemming.

Neem contact op met onze DPO via dpo@penbox.io om uw rechten uit te oefenen. We zullen binnen een maand antwoorden. We kunnen u vragen om uw identiteit te bevestigen. Om u uit te schrijven voor onze e-mails, kunt u ook de link gebruiken die in elke e-mail is opgenomen.

Als u van mening bent dat we niet correct met uw gegevens zijn omgegaan, kunt u een klacht indienen bij de Belgische Gegevensbeschermingsautoriteit (Autorité de protection des données / Gegevensbeschermingsautoriteit), Drukpersstraat 35, 1000 Brussel, www.dataprotectionauthority.be, of bij de toezichthoudende autoriteit van het EU-land waar u woont of werkt.

12. Cookies

We gebruiken cookies en vergelijkbare technologieën op onze website. Niet-essentiële cookies worden alleen gebruikt met uw toestemming. Zie ons Cookiebeleid voor meer informatie.

13. Kinderen

Onze website en diensten zijn bedoeld voor professionals. We verzamelen via onze website niet bewust persoonsgegevens van kinderen. Onze klanten kunnen gegevens over minderjarigen verwerken in hun eigen dossiers, bijvoorbeeld van een begunstigde van een verzekeringspolis, als verwerkingsverantwoordelijken en onder hun eigen verantwoordelijkheid.

14. Wijzigingen in dit beleid

We kunnen dit beleid bijwerken om wijzigingen in onze diensten, onze praktijken of de wet weer te geven. We zullen de nieuwe versie op deze pagina publiceren en de datum bovenaan bijwerken. Als de wijzigingen aanzienlijk zijn, zullen we onze klanten en geregistreerde gebruikers hiervan op de hoogte stellen.

15. Neem contact met ons op

Neem voor vragen over dit beleid of uw persoonsgegevens contact op met onze Functionaris voor Gegevensbescherming:

Penbox SRL
dpo@penbox.io
Rue des Pères Blancs 4, 1040 Etterbeek, België