Juridisch

Privacybeleid

Soreya is een webshop-assistent die AI gebruikt. Om die te laten werken verwerken we persoonsgegevens, van jou als klant en van de mensen die jouw webshop mailen. Hieronder staat welke gegevens dat zijn, waarom we ze verwerken en welke rechten je hebt.

Laatst bijgewerkt: 7 augustus 2026

Wie is verantwoordelijk

Soreya is ingeschreven bij de Kamer van Koophandel onder nummer 89216563, met btw-nummer NL864913965B01, en gevestigd aan Boezem 61, 4303 BC Zierikzee. Voor vragen over dit privacybeleid of over je gegevens bereik je ons via info@soreya.nl.

Twee rollen: verwerker en verwerkingsverantwoordelijke

Voor de gegevens van jouw eigen klanten, die via je gekoppelde e-mail, webshop en verkoopkanalen bij Soreya binnenkomen, zijn wij verwerker. Jij als webshop bent verwerkingsverantwoordelijke en bepaalt wat er met die gegevens gebeurt. We verwerken ze alleen om de dienst voor jou uit te voeren, op basis van de verwerkersovereenkomst die onderdeel is van de gebruiksvoorwaarden.

Voor je eigen accountgegevens (naam, e-mail, facturatie, gebruik van het platform) zijn wij verwerkingsverantwoordelijke.

Welke gegevens we verwerken

Accountgegevens: naam, e-mailadres, bedrijfsnaam, inloggegevens en facturatiegegevens.
Klantcontact uit je gekoppelde kanalen: inkomende berichten van jouw klanten (e-mail, WhatsApp, Instagram, Messenger) en de concepten die Soreya daarop voorstelt. Deze kunnen namen, adressen, ordernummers en de inhoud van het bericht bevatten.
Webshop- en ordergegevens: order-, product- en klantinformatie die we uit je gekoppelde systemen (zoals Shopify en bol.com) lezen om een antwoord te onderbouwen.
Gebruiksgegevens: technische logs, acties in het platform en audit-informatie over wat de assistent heeft voorgesteld en wat jij hebt goedgekeurd.

Waarvoor en op welke grondslag

We verwerken deze gegevens om de dienst te leveren (uitvoering van de overeenkomst), om de dienst veilig en betrouwbaar te houden en te verbeteren (gerechtvaardigd belang) en om te voldoen aan wettelijke verplichtingen zoals de bewaarplicht voor facturen. Klantcontactgegevens verwerken we uitsluitend in opdracht van jou als webshop.

Kunstmatige intelligentie

Soreya gebruikt taalmodellen om concepten en overzichten te maken. Twee dingen liggen daarbij vast. Ten eerste stelt de assistent alleen voor; niets wordt verstuurd, gepubliceerd of gewijzigd zonder dat een mens dat expliciet goedkeurt. Ten tweede worden inkomende klantberichten als data behandeld, nooit als opdracht aan het systeem. Je gegevens worden niet gebruikt om de onderliggende modellen van derden te trainen.

Verwerkers die we inschakelen

Om de dienst te leveren schakelen we deze verwerkers in:

Microsoft Azure (Nederland, regio West-Europa): hosting, database, versleutelde opslag en sleutelbeheer.
Anthropic (Verenigde Staten): het taalmodel dat de concepten schrijft. Gegevens worden niet gebruikt voor training; de doorgifte loopt via de standaardcontractbepalingen van de Europese Commissie.
Resend (Verenigde Staten): de e-mail die wij zelf naar jou en je teamleden sturen, zoals een uitnodiging of je dagoverzicht. Ook hier via de standaardcontractbepalingen.
Stripe (Ierland, met doorgifte naar de Verenigde Staten): de betaling van je abonnement. Stripe ontvangt je facturatiegegevens, geen gegevens van je klanten.
Microsoft en Google: voor de koppelingen die jij zelf autoriseert (e-mail, en bij Google ook Ads en Analytics), en Google ook voor de bezoekersstatistieken van deze website (zie hieronder).
Meta: alleen als je WhatsApp, Instagram of Messenger koppelt, voor de berichten op dat kanaal.
PostHog (Verenigde Staten, met opslag in de Europese Unie): het gebruik van de app in cijfers, zodat we zien welke schermen werken en welke niet. Wat erheen gaat is de naam van de handeling, de werkruimte en een onomkeerbaar versleuteld nummer in plaats van je naam of e-mailadres. De inhoud van berichten, concepten en klantgegevens gaat er nooit heen, en er staat geen meetcookie in de app.

Deze lijst staat ook in onze verwerkersovereenkomst, samen met de afspraken die daarbij horen. Voegen we een verwerker toe of vervangen we er een, dan melden we dat vooraf. Vragen erover kunnen naar info@soreya.nl.

Gegevens uit Google (Ads, Analytics en Gmail)

Koppel je Google, dan halen we uitsluitend de gegevens op die horen bij de functies die je gebruikt: advertentie- en campagneprestaties via de Google Ads API, en websitebezoek- en conversiestatistieken via de Google Analytics Data API. Voor die twee vragen we alleen leesrechten: we lezen campagne- en statistiekgegevens en wijzigen of verwijderen nooit iets in je Ads-account. Deze gegevens gebruiken we uitsluitend om die inzichten binnen Soreya aan jou te tonen. We verkopen ze niet, gebruiken ze niet voor advertenties en delen ze niet met anderen buiten de verwerkers die de dienst leveren. Je trekt de koppeling op elk moment in via Instellingen; daarna stopt de toegang.

Gebruik je Gmail als postbus van je klantenservice, dan lezen we de binnenkomende berichten in je Postvak IN: afzender, onderwerp, tijdstip, de tekst van het bericht en de berichten in dezelfde conversatie. Dat is nodig om de vraag in je wachtrij te zetten en er een concept bij te schrijven. Daarnaast maken we in jouw postbus concepten aan als antwoord op zo'n bericht. Een concept blijft een voorstel: er gaat pas iets weg als jij het zelf goedkeurt en verstuurt, en we versturen nooit iets uit onszelf. We lezen geen berichten buiten je Postvak IN, verwijderen niets en wijzigen geen bestaande berichten of instellingen.

Om een concept te kunnen schrijven gaat de tekst van het klantbericht naar Anthropic, het taalmodel dat Soreya gebruikt. Anthropic verwerkt die tekst uitsluitend om het antwoord te genereren en gebruikt hem niet om modellen te trainen. Dat geldt ook voor ons: gegevens uit Google-API's worden nooit gebruikt om AI- of machine-learningmodellen te ontwikkelen, te verbeteren of te trainen, en worden voor dat doel ook niet aan derden doorgegeven. Van berichten bewaren we in Soreya wat nodig is om de wachtrij, de conversatie en het concept te tonen; volledige prompt- en responsgegevens worden standaard niet bewaard (zie hieronder). Verbreek je de koppeling of verwijder je je werkruimte, dan stopt de toegang en verwijderen we de opgeslagen berichtgegevens.

Het gebruik en de overdracht door Soreya van gegevens die via Google-API's zijn ontvangen, voldoen aan het Google API Services User Data Policy, inclusief de Limited Use-vereisten.

Cookies en websitestatistieken

Hoeveel pagina's er worden gelezen tellen we zelf, aan onze eigen kant. Daarbij komt er niets in je browser te staan en wordt er niets uitgelezen: we leggen het paginapad vast, de site die naar ons linkte en de campagnecode als je via een advertentie kwam. Geen herkenningsteken, dus we kunnen twee weergaves niet aan dezelfde persoon knopen, en je IP-adres slaan we niet op en gebruiken we ook niet om je land op te zoeken. Daarom hoeven we hiervoor niets te vragen. Grondslag: gerechtvaardigd belang, namelijk weten of de site zijn werk doet.

Voor meer detail, zoals terugkerende bezoekers en het pad dat iemand door de site loopt, gebruiken we Google Analytics 4. Daar is een cookie voor nodig, dus vragen we het eerst: bij je eerste bezoek staat de melding onderaan het beeld. Zeg je nee, dan gebeurt er niets. Zolang je niet hebt gekozen ook niet: de meetcode van Google wordt pas ingeladen nadat je hebt geaccepteerd, en tot dat moment gaat er geen enkel verzoek naar Google.

Zeg je ja, dan zet Google Analytics een _ga-cookie met een willekeurig nummer, zodat een paar paginaweergaves als één bezoek geteld worden en we terugkerende bezoekers kunnen onderscheiden. Wat we zien is het paginapad, de verwijzende bron, het land en het soort apparaat, in aantallen. De advertentiefuncties van Google staan uit: geen Google Signals en geen advertentiepersonalisatie, en de toestemming voor advertentiecookies staat altijd op weigeren. Er wordt dus geen profiel van je opgebouwd en je wordt niet over andere websites gevolgd.

Google verwerkt daarbij je IP-adres om die aantallen te kunnen bepalen; het wordt niet in de rapporten opgenomen. Google treedt hierbij op als verwerker, op basis van de Google Ads Data Processing Terms, en de doorgifte naar de Verenigde Staten loopt via het EU-US Data Privacy Framework. De grondslag is je toestemming, en die trek je hier weer in:

Kies je hier "Weigeren", dan verwijderen we de cookie meteen en stopt de meting. Een tracker-blocker of de opt-out van Google houdt het ook tegen; de site werkt daarna gewoon.

Je keuze zelf onthouden we in de opslag van je browser (soreya-statistieken). Dat is nodig om de vraag niet elk bezoek opnieuw te stellen en om een nee te kunnen respecteren; daar hoeven we geen toestemming voor te vragen.

Kom je via een advertentie van ons op de site, dan staat er een code van Google of Meta in de link (gclid of fbclid). Klik je daarna door naar de app, dan geven we die code mee, zodat we weten via welke advertentie je ons hebt gevonden. Het is een pseudonieme code, geen profiel, en hij wordt niet gebruikt om je te volgen. Grondslag: gerechtvaardigd belang, namelijk weten welke advertentie werkt.

Word je daarna klant, dan melden we dat terug aan het advertentieplatform waar die code van kwam: aan Google Ads alleen de code, aan Meta de code plus je e-mailadres versleuteld als hashwaarde (SHA-256), omdat Meta een aanmelding anders vaak niet kan koppelen. Meta krijgt dus nooit je e-mailadres zelf, en Google krijgt het in geen enkele vorm. Er gaat niets mee over wat je in Soreya doet of over je klanten. Ben je hier liever niet in meegenomen, mail dan info@soreya.nl; dan melden we jouw aanmelding niet terug.

In de ingelogde app (app.soreya.nl) staat geen Google Analytics en geen advertentie- of statistiekcookie; alleen een noodzakelijke sessie-cookie om je ingelogd te houden. Wat we daar wél vastleggen is de audit-log: welke actie de assistent voorstelde, welke bronnen daarbij zijn gebruikt en wie wat goedkeurde. Dat is geen bezoekersmeting maar de controleerbaarheid van de dienst zelf, en het staat in je eigen werkruimte. Van diezelfde handelingen gaat wel de naam naar PostHog, zonder inhoud en zonder je e-mailadres, zodat we het gebruik van de app in cijfers zien; dat staat hierboven bij de verwerkers.

De Webshop Check en de mails daarna

Vul je de Webshop Check in en vraag je de uitkomst per mail, dan bewaren we het mailadres dat je invult, je naam en webshop als je die invult, de gebieden die uit je antwoorden kwamen, de herkomst van je bezoek (de campagne-tag die al in de link zat) en het moment waarop je het vinkje zette, met de tekst waarmee je instemde. De grondslag is je toestemming. Je krijgt de uitkomst per mail en daarna een paar korte mails met voorbeelden; onder elke mail staat één link waarmee je daar direct mee stopt, zonder in te loggen. We bewaren deze gegevens vierentwintig maanden en verwijderen ze daarna automatisch. Meld je je af, dan verwijderen we direct je naam, je webshop en de uitkomst van je check; alleen je mailadres en het moment van afmelden houden we tot het einde van die termijn, zodat je niet per ongeluk opnieuw op de lijst komt. Ze horen niet bij een werkruimte en komen niet in de app terecht; we gebruiken ze niet om AI-modellen te trainen en verkopen ze niet.

Hoe lang we bewaren

We bewaren gegevens niet langer dan nodig. Volledige prompt- en responsgegevens worden standaard niet bewaard; staat uitgebreide logging aan, dan gelden ze maximaal veertien dagen. De audit-log bewaren we standaard vierentwintig maanden, tenzij per soort actie iets anders is ingesteld. Gegevens uit de Webshop Check bewaren we vierentwintig maanden; meld je je af, dan blijft daarvan alleen je mailadres over om je van de lijst te houden. Accountgegevens bewaren we zolang je een account hebt en daarna zo kort als wettelijk toegestaan. Facturatiegegevens houden we aan volgens de wettelijke bewaartermijn.

Je rechten

Je hebt het recht om je gegevens in te zien, te corrigeren, te laten verwijderen of over te dragen, en om bezwaar te maken tegen bepaalde verwerkingen. Gaat het om gegevens van jouw eigen klanten die via jouw webshop bij ons binnenkomen, dan loopt zo'n verzoek via jou als verwerkingsverantwoordelijke; wij ondersteunen je daarbij. Een verzoek indienen doe je via info@soreya.nl. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.

Beveiliging

We nemen passende technische en organisatorische maatregelen. Secrets en toegangssleutels worden versleuteld opgeslagen, toegang tot gegevens is beperkt en afgeschermd per webshop, en elke actie van de assistent en van gebruikers wordt vastgelegd.

Wijzigingen

We passen dit beleid aan als de dienst verandert. De datum bovenaan geeft de laatste wijziging aan. Bij ingrijpende wijzigingen laten we het je weten.