Privacybeleid

TenderSpotter neemt je privacy serieus. In dit privacybeleid leggen we uit welke persoonsgegevens we verzamelen, waarom we dat doen en hoe we ermee omgaan.

1. Wie zijn wij?

TenderSpotter is een dienst voor het monitoren van aanbestedingen in Nederland. Wij zijn verantwoordelijk voor de verwerking van je persoonsgegevens zoals beschreven in dit privacybeleid.

Contactgegevens:
E-mail: privacy@tenderspotter.nl

2. Welke gegevens verzamelen we?

We verzamelen de volgende persoonsgegevens:

2.1 Accountgegevens

• Naam (voornaam, tussenvoegsel, achternaam)
• E-mailadres
• Bedrijfsnaam
• Wachtwoord (versleuteld opgeslagen)

2.2 Facturatiegegevens

• Bedrijfsnaam en adres
• KvK-nummer en BTW-nummer
• Betalingsgegevens (via Stripe, wij slaan geen creditcardnummers op)

2.3 Gebruiksgegevens

• Inlogmomenten en IP-adressen (geanonimiseerd)
• Bekeken aanbestedingen en zoekopdrachten
• Profielvoorkeuren (CPV-codes, regio's, keywords)

2.4 Productanalyse (PostHog)

Met je toestemming via de cookiebanner meten we met PostHog (opslag in de EU) welke pagina's en functies je gebruikt, en maken we sessie-opnames waarin alles wat je in invulvelden typt onleesbaar is. Ben je ingelogd, dan koppelen we dat aan je account-id, e-mailadres en abonnement. Zoektermen en documentteksten sturen we nooit mee. Zonder toestemming tellen we alleen anoniem bezoek, zonder cookies en zonder opnames. Zie het cookiebeleid voor de details en om je keuze te wijzigen.

3. Waarom verwerken we deze gegevens?

4. Hoe lang bewaren we je gegevens?

• Accountgegevens: Tot je account wordt verwijderd, plus 30 dagen backup
• Facturatiegegevens: 7 jaar (wettelijke bewaarplicht)
• Gebruiksgegevens: 2 jaar
• Sessie-opnames (PostHog): 30 dagen
• Audit logs: 1 jaar
• Aanroepen via de AI-koppeling en API: 90 dagen
• Gesprekken met de AI-assistent op de site: 90 dagen na het laatste bericht, of eerder als je het gesprek zelf verwijdert
• Verbruik van de AI-assistent (zonder inhoud: model, aantal tokens, kosten, credits): zolang je account bestaat, net als je creditoverzicht

5. Met wie delen we je gegevens?

We delen je gegevens met zorgvuldig geselecteerde sub-processors:

• Vercel: applicatie- en website-hosting (EU)
• Neon: database hosting (EU-Central-1)
• Clerk: authenticatie en sessie-management (EU)
• Stripe: betalingsverwerking (EU)
• Resend: transactionele e-mail (EU)
• PostHog: productanalyse (EU, Frankfurt)
• Sentry: error tracking (VS, onder SCC 2021)
• Vercel AI Gateway, Anthropic, OpenAI en Groq: AI-functies bij actief gebruik. Profiel- en documentanalyse en de AI-assistent op de site door Anthropic (Claude) via de Vercel AI Gateway, zoekvectoren door OpenAI, korte tenderanalyse door Groq. Datawoonplaats per partij staat op de sub-processors pagina.

Een volledig overzicht met datawoonplaats, type gegevens, DPA-links en certificeringen vindt u op onze sub-processors pagina. Al deze partijen hebben een verwerkersovereenkomst met ons gesloten. We verkopen je gegevens nooit aan derden.

6. De AI-koppeling (MCP-server en API)

Met een abonnement kun je TenderSpotter koppelen aan je eigen AI-assistent (zoals Claude, ChatGPT of Copilot) via onze MCP-server, of rechtstreeks aan je eigen software via de REST-API. Zo werkt dat voor je gegevens:

6.1 Wat we per aanroep vastleggen

Bij elke aanroep van de koppeling of de API bewaren we alleen:

• je account (gebruikers-id)
• de ingang: inloggen via de AI-assistent (OAuth), een API-sleutel of de REST-API
• de gekoppelde toepassing (OAuth-client), als die bekend is
• welke functie of welk endpoint is aangeroepen
• de uitkomst (gelukt, niet gevonden, fout, limiet bereikt of geen abonnement)
• hoe lang de aanroep duurde en wanneer die plaatsvond

We bewaren daarbij geen vragen, zoektermen, filters, zoekresultaten of documentteksten. We doen dit om support te kunnen geven, redelijk gebruik te bewaken (limieten tegen misbruik) en de dienst te verbeteren. De grondslag is ons gerechtvaardigd belang. Deze gegevens bewaren we 90 dagen; daarna worden ze automatisch verwijderd.

Dezelfde gegevens (welke tool of welk endpoint, de status en de duur, gekoppeld aan je account-id) sturen we ook naar onze analysedienst PostHog (EU), om het gebruik van de koppeling te meten. Dat gebeurt aan onze kant, zonder cookies in je browser, en valt onder hetzelfde gerechtvaardigd belang. Ook hier gaan geen vragen, zoektermen of documentteksten mee.

6.2 Je eigen AI-aanbieder

Wat je aan je AI-assistent vraagt en wat die met onze antwoorden doet, verwerkt je eigen AI-aanbieder (bijvoorbeeld Anthropic of OpenAI), onder de overeenkomst en het privacybeleid die jij met die aanbieder hebt. Wij zien je gesprekken niet. Wij leveren alleen de gegevens die de assistent bij ons opvraagt: aanbestedingsinformatie en, als de assistent daarom vraagt, je eigen tenderprofiel en meldingen.

6.3 Geen training, documenten per publicatie

Wij trainen geen AI-modellen met je gegevens of met je gebruik van de koppeling. De tekst van aanbestedingsdocumenten van TenderNed bewaren we per document, zodat we een document niet steeds opnieuw hoeven op te halen. Die opslag hoort bij het openbare document, niet bij jou: we houden daar niet bij wie welk document heeft gelezen.

7. De AI-assistent op de site

In je dashboard kun je vragen stellen aan onze AI-assistent. Zo werkt dat voor je gegevens:

• Je vragen en de antwoorden bewaren we als gesprek, zodat je later verder kunt. We bewaren een gesprek 90 dagen na het laatste bericht; daarna wordt het automatisch verwijderd. Je kunt een gesprek ook zelf eerder verwijderen, in de lijst met gesprekken.
• Om een vraag te beantwoorden sturen we je vraag, het eerdere gesprek en de gegevens die de assistent bij ons opzoekt (aanbestedingen en, als je daarom vraagt, je eigen tenderprofiel, meldingen en deadlines) naar Anthropic (Claude), via de Vercel AI Gateway. We laten dat alleen via Anthropic zelf lopen. Anthropic gebruikt deze gegevens niet om modellen te trainen.
• Per antwoord leggen we zonder inhoud vast welk model is gebruikt, hoeveel tokens, wat het kostte en hoeveel credits zijn afgeboekt. Dat hebben we nodig voor het afrekenen en voor het aantal vragen dat een gratis account per maand heeft.
• Wij trainen geen AI-modellen met je vragen of gesprekken.

8. Namen van leveranciers uit gunningsberichten

TenderSpotter toont welke leveranciers een overheidsopdracht hebben gewonnen. Die gegevens komen uit de openbare gunningsberichten op TenderNed. Soms is een leverancier een eenmanszaak, en dan is de bedrijfsnaam ook de naam van een persoon. We verwerken alleen wat de aanbestedende dienst zelf in het gunningsbericht heeft gepubliceerd: de naam, plaats en het KvK-nummer van de leverancier, de opdracht en de gunningsgegevens. Namen, e-mailadressen en telefoonnummers van contactpersonen uit het bericht slaan we niet op. Op de site en via de koppeling tonen we de naam en plaats van de leverancier bij de opdracht.

De grondslag is ons gerechtvaardigd belang, en dat van onze gebruikers, om inzicht te geven in openbare aanbestedingen. Wil je als leverancier bezwaar maken tegen het tonen van je naam? Mail dan naar info@tenderspotter.nl. We beoordelen je bezwaar en reageren binnen 30 dagen.

9. Beveiliging

We nemen passende technische en organisatorische maatregelen:

• Wachtwoorden worden versleuteld opgeslagen (bcrypt)
• Alle verbindingen zijn versleuteld (HTTPS/TLS)
• Toegang tot gegevens is beperkt op need-to-know basis
• Regelmatige security audits en updates
• IP-adressen worden geanonimiseerd in logs

10. Je rechten

Onder de AVG heb je de volgende rechten:

• Inzage: Je kunt opvragen welke gegevens we van je hebben
• Correctie: Je kunt onjuiste gegevens laten aanpassen
• Verwijdering: Je kunt je account en gegevens laten verwijderen
• Overdracht: Je kunt je gegevens opvragen in een standaardformaat
• Bezwaar: Je kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang

Neem contact op via privacy@tenderspotter.nl om een van deze rechten uit te oefenen. We reageren binnen 30 dagen.

11. Cookies

We gebruiken noodzakelijke cookies voor inloggen en om je cookiekeuze te onthouden. Analytische cookies van PostHog plaatsen we alleen als je daar toestemming voor geeft. Zie ons cookiebeleid voor de volledige lijst, de bewaartermijnen en hoe je je keuze wijzigt of intrekt.

12. Wijzigingen

We kunnen dit privacybeleid van tijd tot tijd aanpassen. Bij belangrijke wijzigingen informeren we je per e-mail. De actuele versie staat altijd op deze pagina.

13. Klachten

Heb je een klacht over hoe we met je gegevens omgaan? Neem dan eerst contact met ons op. Je hebt ook het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens:autoriteitpersoonsgegevens.nl