Privacybeleid

1. Wie wij zijn en waar dit beleid over gaat

Morphy begeleidt bedrijven bij het invoeren van AI. Wij lopen mee op de werkvloer, brengen in kaart hoe het werk werkelijk loopt, meten wat het kost, en bouwen daar soms één automatisering voor. Daarnaast leveren wij de Morphy-app als leeromgeving.

Dit beleid geldt voor alle drie:

• ◆onze website en het contact dat daaruit voortkomt;
• ◆onderzoek en begeleiding bij een opdrachtgever — meelopen, meten, bouwen en beheren;
• ◆de Morphy-app en het platform.

2. Wanneer wij verwerker zijn en wanneer wij zelf verantwoordelijk zijn

De AVG kent twee rollen, en welke van de twee wij hebben verschilt per situatie. Dat is geen formaliteit: het bepaalt bij wie u terecht kunt en wie de keuzes maakt.

Waar wij verwerker zijn, leggen wij dat vast in een verwerkersovereenkomst met de opdrachtgever en verwerken wij uitsluitend volgens diens instructie.

3. Als u onze website bezoekt of contact opneemt

Wij kunnen dan verwerken: naam en contactgegevens (e-mail, telefoonnummer, organisatie), IP-adres en browsergegevens — dat laatste alleen via analytische cookies en uitsluitend als u daarvoor toestemming geeft, zie §7 — en de berichten die u via een formulier of per e-mail stuurt.

Grondslag: gerechtvaardigd belang voor het beantwoorden van uw vraag, en toestemming voor de nieuwsbrief en voor analytische cookies.

4. Als wij bij uw organisatie meelopen en meten

Aan elke opdracht gaat onderzoek vooraf: doorgaans een aantal dagen meelopen met de mensen die het werk doen.

a. Wat wij vastleggen

• ◆Hoe het werk feitelijk loopt: welke stappen, in welke volgorde, waar het blijft liggen, welke uitzonderingen er zijn.
• ◆Hoe vaak een stap voorkomt en hoeveel tijd hij kost. Dit leggen wij vast op het niveau van de processtap, niet van de persoon. Wij maken geen beoordeling van individuele medewerkers en leveren die ook niet aan de werkgever.
• ◆Bestaand materiaal dat wij inzien: werkinstructies, sjablonen, rapportages.
• ◆Aantekeningen uit gesprekken op de werkvloer.

b. Opnames

Als wij een werkdag of gesprek opnemen om het te kunnen uitwerken, geldt:

• ◆De opnameapparatuur is zichtbaar aanwezig en staat er met medeweten van de organisatie.
• ◆Wij melden bij aanvang van ieder dagdeel dat er wordt opgenomen. Eén mededeling bij de start van het traject is niet genoeg.
• ◆Spreekt een medewerker tijdens de opname met iemand buiten de organisatie — een klant aan de telefoon bijvoorbeeld — dan wordt ook die persoon vooraf geïnformeerd.
• ◆Wie niet opgenomen wil worden, hoeft dat niet toe te lichten. Wij zetten het apparaat uit.
• ◆Wij maken geen opnames van gesprekken waar wij zelf niet bij aanwezig zijn.

c. Op welke grond dit gebeurt

De grondslag is het gerechtvaardigd belang van uw werkgever bij inzicht in zijn eigen werkprocessen, na afweging tegen uw belang bij privacy op de werkplek.

De grondslag is uitdrukkelijk niet uw toestemming. In een arbeidsrelatie is toestemming zelden vrij te geven: uw werkgever iets vragen is niet hetzelfde als het kunnen weigeren. Wij vragen wel of u bezwaar heeft, en handelen daarnaar — maar wij bouwen de rechtmatigheid van de verwerking daar niet op.

d. Wat uw werkgever geregeld moet hebben voordat wij beginnen

Wij starten een onderzoek pas als de opdrachtgever bevestigt dat:

• ◆de medewerkers zijn geïnformeerd over wat er gebeurt, waarom en hoe lang;
• ◆de ondernemingsraad heeft ingestemd, waar die er is;
• ◆er een gegevensbeschermingseffectbeoordeling (DPIA) is uitgevoerd waar die vereist is.

e. Wat wij niet doen

• ◆Wij leiden geen emoties, stemming of houding af uit stem of beeld.
• ◆Wij beoordelen geen individuele medewerkers en leveren geen ranglijsten.
• ◆Wij gebruiken wat wij bij u zien niet om u persoonlijk te volgen na afloop van het onderzoek.

5. Als een automatisering van ons bij uw organisatie draait

• ◆De automatisering leest uit de systemen die er al zijn: ERP, CRM, boekhouding, documentbeheer. Die blijven de plek waar de gegevens staan; er komt een laag bovenop.
• ◆Wat een gebruiker mag zien, wordt bepaald vóórdat de vraag bij een AI-model komt. Het model krijgt alleen materiaal te zien waar die persoon sowieso bij mag.
• ◆Van elke handeling wordt een logboek bijgehouden: welke stappen zijn gezet, welk gereedschap is gebruikt, uit welke stukken het resultaat is opgebouwd. Dat logboek hoort bij uw organisatie.
• ◆Wij blijven meten hoe de automatisering het doet. Die meting gaat over de processtap — hoeveel doorlopen, hoeveel tijd, hoe vaak het resultaat ongewijzigd wordt overgenomen — en niet over de prestaties van individuele medewerkers.
• ◆Waar de automatisering rechtstreeks contact heeft met een persoon, maakt zij kenbaar dat het om AI gaat.

Onder de AI-verordening is Morphy aanbieder van het systeem en is uw organisatie gebruiksverantwoordelijke. Wat het systeem mag doen, op welke gegevens en wat er gebeurt als het misgaat, wordt per automatisering vastgelegd, met bij uw organisatie een verantwoordelijke die daarvoor tekent.

6. De Morphy-app en het platform

Voor organisaties die de Morphy-app gebruiken verwerken wij als verwerker onder meer: naam, e-mailadres, wachtwoord (uitsluitend als versleutelde hash), rol en rechten binnen de organisatie en optioneel een profielfoto; berichten aan de AI-assistent, projecten en taken, notulen en reacties, urenregistraties; antwoorden op vragenlijsten en relatiegegevens.

Op uw toestel (iOS). Spraak naar de assistent wordt op de iPhone zelf omgezet naar tekst met Apple’s spraakherkenning; de audio verlaat uw toestel niet. Face ID en Touch ID worden volledig door iOS afgehandeld — daarvan ontvangen wij nooit biometrische gegevens, en uw inloggegevens staan uitsluitend in de beveiligde Keychain van uw toestel. Bij de opnamefunctie voor transcripties gaat de audio wél naar de server, en dat is in de app duidelijk herkenbaar.

Audio-opnames in de app worden naar onze servers verstuurd en automatisch omgezet naar tekst. De opname en het transcript horen bij uw organisatie-omgeving. In de app zitten geen advertentie- of tracking-SDK’s.

Sprekerherkenning (stemprofielen). Gebruikt uw organisatie sprekerherkenning bij transcripties, dan wordt van uw stem een profiel gemaakt waarmee uw bijdragen in een gesprek worden herkend. Een stemprofiel is een biometrisch gegeven in de zin van artikel 9 AVG. Wij maken zo’n profiel uitsluitend met uw voorafgaande, uitdrukkelijke toestemming — de functie staat uit totdat u zelf akkoord geeft — en u kunt die toestemming op elk moment intrekken; uw stemprofiel wordt dan verwijderd. Transcriptie werkt ook zonder sprekerherkenning.

7. Cookies en analytics

Onze website plaatst geen enkele cookie zolang u daar geen toestemming voor heeft gegeven. Bij uw eerste bezoek verschijnt onderaan een keuze tussen accepteren en weigeren. Kiest u weigeren, of maakt u geen keuze, dan wordt Google Analytics niet geladen en werkt de website gewoon.

• ◆Analytische cookies (alleen na toestemming) — Google Analytics 4 meet hoeveel bezoekers de site heeft en welke pagina’s zij bekijken, zodat wij de site kunnen verbeteren. Google verwerkt hierbij uw IP-adres en browsergegevens. Doorgifte naar de Verenigde Staten gebeurt op basis van het EU-VS Data Privacy Framework en de EU-standaardcontractbepalingen.
• ◆Uw keuze wordt lokaal bewaard — in de opslag van uw eigen browser, zodat wij die keuze niet elk bezoek opnieuw hoeven te vragen. Die gegevens worden niet naar ons verstuurd.

U kunt uw keuze op elk moment wijzigen of intrekken via de link Cookievoorkeuren onderaan elke pagina. Trekt u de toestemming in, dan verwijderen wij de geplaatste Google Analytics-cookies uit uw browser.

Wij gebruiken geen tracking- of marketingcookies, koppelen geen advertentieprofielen en delen geen data met advertentieplatforms.

Deze regels volgen uit artikel 11.7a van de Telecommunicatiewet, dat geldt voor alles wat op uw apparaat wordt geplaatst of daarvan wordt uitgelezen — dus ook voor de Morphy-app. Het toezicht daarop ligt bij de Autoriteit Consument & Markt; waar het persoonsgegevens betreft, ziet daarnaast de Autoriteit Persoonsgegevens toe.

8. Wie uw gegevens nog meer verwerkt

Voor een aantal functies schakelen wij gespecialiseerde dienstverleners in als subverwerker. Zij verwerken gegevens uitsluitend in onze opdracht en niet voor eigen doeleinden, en met elk van deze partijen geldt een verwerkersovereenkomst. Het onderzoek bij een opdrachtgever (het traject) en de Morphy-app kennen deels verschillende partijen; daarom is de lijst gesplitst.

a. Bij onderzoek en begeleiding op uw werkvloer (het traject)

b. In de Morphy-app en het platform

Per opdracht kan daar iets bij komen. Welke modelleverancier onder een automatisering hangt en waar die draait, verschilt per opdrachtgever en per toepassing. Dat leggen wij per opdracht vast, en de opdrachtgever krijgt die lijst en keurt hem goed voordat er gegevens door die partij worden verwerkt.

Opslag en hosting vinden plaats binnen de Europese Unie. Voor de AI-functies kan tekst worden verwerkt door diensten buiten de EER; dat gebeurt op basis van de EU-standaardcontractbepalingen (SCC’s) of een adequaatheidsbesluit zoals het EU-VS Data Privacy Framework. Op grond van onze overeenkomsten met deze AI-diensten worden uw gegevens niet gebruikt om hun modellen te trainen. Wij verkopen nooit persoonsgegevens en gebruiken uw inhoud niet voor advertenties.

Werkt uw organisatie met gegevens die het pand niet uit mogen, dan kan de automatisering op eigen hardware draaien in plaats van bij een leverancier.

9. Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan noodzakelijk voor het doel waarvoor ze zijn verzameld:

Verwijdert uw organisatie een transcriptie, project of interactie eerder, dan wordt de bijbehorende opname meteen mee verwijderd.

10. Beveiliging van gegevens

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, misbruik of ongeoorloofde toegang:

• ◆Versleutelde verbindingen (TLS/SSL) tussen app, website en onze servers
• ◆Wachtwoorden uitsluitend opgeslagen als versleutelde hash
• ◆In de Morphy-app: een eigen, gescheiden omgeving per organisatie
• ◆Strikte toegangsrechten; toegang tot productiedata beperkt tot strikt noodzakelijk
• ◆Serverbeheer (SSH) uitsluitend via een afgeschermd VPN-netwerk, niet via het publieke internet
• ◆Tweefactorauthenticatie voor gebruikers van de app, via een eenmalige code per e-mail
• ◆Dagelijkse back-ups van de databases, met een wekelijkse hersteltest
• ◆Monitoring van de servers en de app
• ◆Een vastgelegde procedure voor beveiligingsincidenten, met een incidentenregister
• ◆Privacy-by-design (zoals on-device spraakherkenning en Face ID in de app)
• ◆Hosting binnen de EU
• ◆Bij onderzoek op locatie: klantmateriaal staat in de map van die opdracht; toegang op basis van need-to-know, vastgelegd in een toegangsregister

11. Referenties en publicaties

Wij laten graag zien wat een traject heeft opgeleverd — op onze website, op LinkedIn en in ons eigen materiaal, soms met de naam van de opdrachtgever erbij. Hiervoor zijn wij zelf verwerkingsverantwoordelijke: het is ons doel en niet dat van de opdrachtgever, en het valt daarom buiten de verwerkersovereenkomst.

Wat wij daarbij aanhouden:

• ◆Publicatie met naam gebeurt alleen als de opdrachtgever daar schriftelijk mee heeft ingestemd.
• ◆De opdrachtgever leest elke publicatie vooraf en geeft akkoord op de tekst.
• ◆Wat naar een individuele medewerker herleidbaar is — een citaat, een foto, een functie in een klein team — publiceren wij alleen met toestemming van die persoon zelf.
• ◆De opdrachtgever kan de instemming intrekken. Wij halen de publicatie dan binnen een afgesproken termijn offline.

12. Rechten van betrokkenen

U heeft op grond van de AVG de volgende rechten:

• ◆Inzage – u kunt uw persoonsgegevens inzien.
• ◆Rectificatie – u kunt onjuiste gegevens laten corrigeren.
• ◆Verwijdering – u kunt verzoeken uw gegevens te verwijderen.
• ◆Beperking – u kunt de verwerking tijdelijk laten stoppen.
• ◆Overdraagbaarheid – u kunt gegevens laten overdragen aan een andere partij.
• ◆Bezwaar – u kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
• ◆Intrekken van toestemming – bij verwerkingen waarvoor u toestemming hebt gegeven.

Gaat het om gegevens waarvoor uw eigen organisatie verwerkingsverantwoordelijke is — de inhoud binnen Morphy, of wat er tijdens een opdracht over uw werk is vastgelegd — richt uw verzoek dan in eerste instantie tot de beheerder of privacycontactpersoon binnen uw organisatie. Wij ondersteunen daarbij. Voor gegevens waarvoor Morphy zelf verantwoordelijk is — zie de tabel in §2 — kunt u contact opnemen via info@morphy.world. Wij reageren binnen één maand.

13. Klachten en toezichthouder

Als u van mening bent dat uw persoonsgegevens onrechtmatig worden verwerkt, kunt u een klacht indienen bij ons via info@morphy.world.

Daarnaast heeft u altijd het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.

14. Wijzigingen in dit beleid

Morphy B.V. behoudt zich het recht voor dit privacybeleid te wijzigen. De meest actuele versie is altijd beschikbaar op deze pagina. Bij ingrijpende wijzigingen informeren wij opdrachtgevers en gebruikers actief per e-mail of binnen de Morphy-omgeving.

Dit is versie 2.1 van 01-09-2026. Ten opzichte van versie 2.0 (25-08-2026) zijn sprekerherkenning en stemprofielen benoemd (§6), is de subverwerkerslijst gesplitst en geactualiseerd (§8), zijn de bewaartermijnen aangescherpt naar de feitelijke cyclus (§9) en zijn de beveiligingsmaatregelen geherformuleerd naar wat wij kunnen aantonen (§10).