Privacybeleid

1. Wie wij zijn en waar dit beleid over gaat

Morphy begeleidt bedrijven bij het invoeren van AI. Wij lopen mee op de werkvloer, brengen in kaart hoe het werk werkelijk loopt, meten wat het kost, en bouwen daar soms één automatisering voor. Daarnaast leveren wij de Morphy-app als leeromgeving.

Dit beleid geldt voor de verwerkingen waarvoor wij zelf verantwoordelijk zijn:

• ◆onze website en het contact dat daaruit voortkomt;
• ◆accountgegevens en technische logs van de Morphy-app;
• ◆referenties en publicaties over een traject;
• ◆klant- en facturatiegegevens van onze opdrachtgevers.

2. Wanneer wij verwerker zijn en wanneer wij zelf verantwoordelijk zijn

De AVG kent twee rollen, en welke van de twee wij hebben verschilt per situatie. Dat is geen formaliteit: het bepaalt bij wie u terecht kunt en wie de keuzes maakt.

Bij onderzoek en begeleiding bij een opdrachtgever, bij automatiseringen die bij een opdrachtgever draaien en voor de inhoud die organisaties in de Morphy-app zetten, zijn wij verwerker. De opdrachtgever is dan verwerkingsverantwoordelijke en informeert de betrokkenen zelf, bijvoorbeeld in zijn eigen privacyverklaring. Wij verwerken die gegevens uitsluitend volgens zijn instructie en op basis van een verwerkersovereenkomst. Deze verwerkingen vallen buiten dit beleid.

3. Als u onze website bezoekt of contact opneemt

Wij kunnen dan verwerken: naam en contactgegevens (e-mail, telefoonnummer, organisatie), IP-adres en browsergegevens — dat laatste alleen via analytische cookies en uitsluitend als u daarvoor toestemming geeft, zie §5 — en de berichten die u via een formulier of per e-mail stuurt.

Grondslag: gerechtvaardigd belang voor het beantwoorden van uw vraag, en toestemming voor de nieuwsbrief en voor analytische cookies.

4. Accounts en technische logs in de Morphy-app

Voor gebruikers van de Morphy-app verwerken wij als verwerkingsverantwoordelijke accountgegevens (naam, e-mailadres, wachtwoord uitsluitend als versleutelde hash, rol en rechten binnen de organisatie) en technische logs (inlog-, fout- en AI-verzoeklogs). Dat doen wij om de app te leveren en te beveiligen. Grondslag: gerechtvaardigd belang. De inhoud die u en uw organisatie in de app zetten, verwerken wij als verwerker namens uw organisatie (zie §2).

Face ID en Touch ID worden volledig door iOS afgehandeld — daarvan ontvangen wij nooit biometrische gegevens, en uw inloggegevens staan uitsluitend in de beveiligde Keychain van uw toestel.

In de app zitten geen advertentie- of tracking-SDK’s.

5. Cookies en analytics

Onze website plaatst geen enkele cookie zolang u daar geen toestemming voor heeft gegeven. Bij uw eerste bezoek verschijnt onderaan een keuze tussen accepteren en weigeren. Kiest u weigeren, of maakt u geen keuze, dan wordt Google Analytics niet geladen en werkt de website gewoon.

• ◆Analytische cookies (alleen na toestemming) — Google Analytics 4 meet hoeveel bezoekers de site heeft en welke pagina’s zij bekijken, zodat wij de site kunnen verbeteren. Google verwerkt hierbij uw IP-adres en browsergegevens. Doorgifte naar de Verenigde Staten gebeurt op basis van het EU-VS Data Privacy Framework en de EU-standaardcontractbepalingen.
• ◆Uw keuze wordt lokaal bewaard — in de opslag van uw eigen browser, zodat wij die keuze niet elk bezoek opnieuw hoeven te vragen. Die gegevens worden niet naar ons verstuurd.

U kunt uw keuze op elk moment wijzigen of intrekken via de link Cookievoorkeuren onderaan elke pagina. Trekt u de toestemming in, dan verwijderen wij de geplaatste Google Analytics-cookies uit uw browser.

Wij gebruiken geen tracking- of marketingcookies, koppelen geen advertentieprofielen en delen geen data met advertentieplatforms.

Deze regels volgen uit artikel 11.7a van de Telecommunicatiewet, dat geldt voor alles wat op uw apparaat wordt geplaatst of daarvan wordt uitgelezen — dus ook voor de Morphy-app. Het toezicht daarop ligt bij de Autoriteit Consument & Markt; waar het persoonsgegevens betreft, ziet daarnaast de Autoriteit Persoonsgegevens toe.

6. Wie uw gegevens nog meer verwerkt

Voor een aantal functies schakelen wij gespecialiseerde dienstverleners in als verwerker. Zij verwerken gegevens uitsluitend in onze opdracht en niet voor eigen doeleinden, en met elk van deze partijen geldt een verwerkersovereenkomst.

Opslag en hosting vinden plaats binnen de Europese Unie. Waar een dienstverlener gegevens buiten de EER verwerkt, gebeurt dat op basis van de EU-standaardcontractbepalingen (SCC’s) of een adequaatheidsbesluit zoals het EU-VS Data Privacy Framework. Wij verkopen nooit persoonsgegevens en gebruiken uw gegevens niet voor advertenties.

7. Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan noodzakelijk voor het doel waarvoor ze zijn verzameld:

8. Beveiliging van gegevens

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, misbruik of ongeoorloofde toegang:

• ◆Versleutelde verbindingen (TLS/SSL) tussen app, website en onze servers
• ◆Wachtwoorden uitsluitend opgeslagen als versleutelde hash
• ◆In de Morphy-app: een eigen, gescheiden omgeving per organisatie
• ◆Strikte toegangsrechten; toegang tot productiedata beperkt tot strikt noodzakelijk
• ◆Serverbeheer (SSH) uitsluitend via een afgeschermd VPN-netwerk, niet via het publieke internet
• ◆Tweefactorauthenticatie voor gebruikers van de app, via een eenmalige code per e-mail
• ◆Dagelijkse back-ups van de databases, met een wekelijkse hersteltest
• ◆Monitoring van de servers en de app
• ◆Een vastgelegde procedure voor beveiligingsincidenten, met een incidentenregister
• ◆Privacy-by-design (zoals Face ID in de app)
• ◆Hosting binnen de EU

9. Referenties en publicaties

Wij laten graag zien wat een traject heeft opgeleverd — op onze website, op LinkedIn en in ons eigen materiaal, soms met de naam van de opdrachtgever erbij. Hiervoor zijn wij zelf verwerkingsverantwoordelijke: het is ons doel en niet dat van de opdrachtgever, en het valt daarom buiten de verwerkersovereenkomst.

Wat wij daarbij aanhouden:

• ◆Publicatie met naam gebeurt alleen als de opdrachtgever daar schriftelijk mee heeft ingestemd.
• ◆De opdrachtgever leest elke publicatie vooraf en geeft akkoord op de tekst.
• ◆Wat naar een individuele medewerker herleidbaar is — een citaat, een foto, een functie in een klein team — publiceren wij alleen met toestemming van die persoon zelf.
• ◆De opdrachtgever kan de instemming intrekken. Wij halen de publicatie dan binnen een afgesproken termijn offline.

10. Rechten van betrokkenen

U heeft op grond van de AVG de volgende rechten:

• ◆Inzage – u kunt uw persoonsgegevens inzien.
• ◆Rectificatie – u kunt onjuiste gegevens laten corrigeren.
• ◆Verwijdering – u kunt verzoeken uw gegevens te verwijderen.
• ◆Beperking – u kunt de verwerking tijdelijk laten stoppen.
• ◆Overdraagbaarheid – u kunt gegevens laten overdragen aan een andere partij.
• ◆Bezwaar – u kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
• ◆Intrekken van toestemming – bij verwerkingen waarvoor u toestemming hebt gegeven.

Gaat het om gegevens waarvoor uw eigen organisatie verwerkingsverantwoordelijke is — de inhoud binnen Morphy, of wat er tijdens een opdracht over uw werk is vastgelegd — richt uw verzoek dan in eerste instantie tot de beheerder of privacycontactpersoon binnen uw organisatie. Wij ondersteunen daarbij. Voor gegevens waarvoor Morphy zelf verantwoordelijk is — zie de tabel in §2 — kunt u contact opnemen via info@morphy.world. Wij reageren binnen één maand.

11. Klachten en toezichthouder

Als u van mening bent dat uw persoonsgegevens onrechtmatig worden verwerkt, kunt u een klacht indienen bij ons via info@morphy.world.

Daarnaast heeft u altijd het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.

12. Wijzigingen in dit beleid

Morphy B.V. behoudt zich het recht voor dit privacybeleid te wijzigen. De meest actuele versie is altijd beschikbaar op deze pagina. Bij ingrijpende wijzigingen informeren wij opdrachtgevers en gebruikers actief per e-mail of binnen de Morphy-omgeving.