Privacyverklaring AI-koppeling (MCP)

De AI-koppeling wordt aangeboden door De Renovatieplanner B.V., Morsestraat 6, 8013 PP Zwolle, KvK 72181303 (hierna: Renovatieplanner).

• •Voor de gegevens in je projecten (woningen, inspecties, formulieren, taken) is Renovatieplanner verwerker namens jouw organisatie. Jouw organisatie bepaalt welke gegevens in Renovatieplanner staan, wie die mag zien en of en hoe de AI-koppeling gebruikt mag worden.
• •Voor de gegevens die nodig zijn om de koppeling zelf te laten werken (je account, de toegangstokens en de technische logboeken uit paragraaf 3) is Renovatieplanner verwerkingsverantwoordelijke.
• •De AI-aanbieder die jij of jouw organisatie kiest (bijvoorbeeld Anthropic, OpenAI of Microsoft) is geen verwerker van Renovatieplanner. Jouw organisatie contracteert en stuurt die aanbieder aan; wat er met de gegevens in je gesprek gebeurt, valt onder de afspraken tussen jouw organisatie en die aanbieder.

Vragen over privacy: privacy@renovatieplanner.nl. Voor hulp bij de koppeling zelf: support@renovatieplanner.nl.

1. Je voegt in je AI-assistent een verbinding toe met het adres https://mcp.renovatieplanner.nl/mcp. Dat kan alleen als jouw organisatie de module AI-koppeling heeft laten activeren.
2. Je logt in op een inlogpagina van Renovatieplanner met je e-mailadres, wachtwoord en, als je dat gebruikt, je code voor tweestapsverificatie. Je wachtwoord gaat nooit naar de AI-aanbieder.
3. Renovatieplanner geeft de assistent een toegangstoken. Met dat token kan de assistent namens jou vragen stellen aan Renovatieplanner, met precies jouw rechten.
4. Stel je de assistent een vraag over Renovatieplanner, dan roept die een of meer “tools” aan. De assistent bepaalt op basis van je vraag welke beschikbare tools hij aanroept, en kan daarbij meer ophalen dan je concreet verwacht. Het antwoord van die tools gaat naar de assistent en wordt onderdeel van jouw gesprek bij de AI-aanbieder. Houd je bij het stellen van vragen aan het beleid van jouw organisatie.

Bij het koppelen

• •De naam van de applicatie die toegang vraagt, zoals je assistent die opgeeft.
• •Je e-mailadres en wachtwoord om je account te controleren. Het wachtwoord wordt alleen vergeleken met je bestaande account en niet apart opgeslagen. Mislukt een inlogpoging, dan komt het gebruikte e-mailadres met de reden in het technische logboek.
• •Je code voor tweestapsverificatie, alleen om die te controleren.

Toegangstokens

• •Een autorisatiecode (geldig 5 minuten), een toegangstoken (geldig 1 uur) en een vernieuwingstoken (geldig 30 dagen; bij elke vernieuwing krijgt de assistent een nieuw token dat weer 30 dagen geldig is), gekoppeld aan je gebruikersnummer en aan de applicatie. Renovatieplanner bewaart hiervan alleen een versleutelde afgeleide (hash), niet het token zelf.
• •Datum en tijd van uitgifte, verloop, laatste gebruik en intrekking.

Technische logboeken

Bij elk gebruik van de koppeling registreert Renovatieplanner: datum en tijd, je gebruikersnummer, de naam van de aangeroepen tool, het aangeroepen onderdeel van Renovatieplanner (zonder de gebruikte zoektermen of filters), of de aanroep slaagde en hoe lang die duurde. De inhoud van de antwoorden die naar de assistent gaan, wordt niet gelogd. Het IP-adres van de verbinding wordt alleen tijdelijk in het geheugen gebruikt om misbruik te beperken (maximaal aantal verzoeken per minuut) en wordt niet bewaard.

Wat de assistent kan opvragen

De assistent kan, binnen jouw rechten, gegevens uit je projecten opvragen: projecten en hun kerncijfers, woningen (adres, woningcode, woningtype en inspectiestatus), inspecties en geregistreerde maatregelen, formulieren en ingevulde formulierresultaten inclusief foto's en bestanden, en taken. De assistent kan ook taken, formulieren, concept-nieuwsberichten en documenten aanmaken; die verschijnen gewoon in Renovatieplanner.

Persoonsgegevens van bewoners

De koppeling geeft geen aparte velden met namen, telefoonnummers of e-mailadressen van bewoners door. Let wel: een woonadres is een persoonsgegeven zodra het tot een bewoner te herleiden is, en ook foto's, bestanden, formulierantwoorden en taakomschrijvingen kunnen persoonsgegevens bevatten die medewerkers hebben ingevuld. Die gaan mee als de assistent zo'n woning, formulier of taak opvraagt. Wie de volledige bewonersgegevens nodig heeft, gebruikt daarvoor de beheeromgeving van Renovatieplanner.

Wat de assistent niet kan

Er is geen enkele mogelijkheid om via de koppeling iets te versturen, te publiceren of te verwijderen.

De AI-aanbieder die jij of jouw organisatie kiest

Alles wat de assistent via de koppeling ophaalt, gaat naar de AI-aanbieder van die assistent (bijvoorbeeld Anthropic voor Claude, OpenAI voor ChatGPT, Microsoft voor Copilot) en wordt onderdeel van je gesprek daar. Die aanbieder is geen verwerker van Renovatieplanner: jouw organisatie kiest hem, sluit de overeenkomst met hem en bepaalt of, door wie en voor welke gegevens de koppeling gebruikt mag worden. Renovatieplanner activeert de module alleen op verzoek van jouw organisatie; de afspraken daarover, waaronder welke aanbieders en welke gegevens zijn toegestaan, worden vastgelegd in de verwerkersovereenkomst of een aanvullende instructie van jouw organisatie aan Renovatieplanner. Een gebruiker met leesrechten in Renovatieplanner is dus niet vanzelf bevoegd om alle gegevens via een assistent op te vragen; houd je aan het beleid van jouw organisatie.

Anthropic, voor het ontwerpen van formulieren

Uitsluitend wanneer je de assistent vraagt een formulier te laten ontwerpen of aanvullen op basis van een beschrijving, stuurt Renovatieplanner zelf jouw beschrijving en de opbouw van bestaande formulieren van je organisatie (namen van hoofdstukken en vragen, geen ingevulde antwoorden en geen bewonersgegevens) naar de API van Anthropic. Anthropic is hiervoor subverwerker van Renovatieplanner en staat als zodanig in onze verwerkersovereenkomst. Anthropic verwijdert API-invoer en -uitvoer standaard binnen 30 dagen, behoudens de uitzonderingen in zijn toepasselijke voorwaarden. Anthropic gebruikt deze gegevens niet om modellen te trainen. Voor klanten in de Europese Economische Ruimte contracteert Anthropic volgens zijn commerciële voorwaarden via Anthropic Ireland Limited, met een verwerkersovereenkomst waarin de EU-standaardcontractbepalingen zijn opgenomen.

Hostingpartijen van Renovatieplanner

De servers en de database draaien in Nederland bij TransIP; foto's en bestanden staan bij Amazon Web Services in Frankfurt (Europese Unie). Zij verwerken gegevens alleen in opdracht van Renovatieplanner.

Renovatieplanner verkoopt geen gegevens en gebruikt gegevens uit de koppeling niet voor advertenties of om AI-modellen te trainen.

• •Alles wat Renovatieplanner zelf opslaat voor de koppeling (accountgegevens, tokens, technische logboeken) en alle projectgegevens staan binnen de Europese Unie (Nederland en Frankfurt).
• •Alleen bij het ontwerpen of aanvullen van een formulier op basis van een beschrijving worden de beschrijving en de opbouw van bestaande formulieren buiten de EU verwerkt door Anthropic, in de Verenigde Staten of in andere regio's waar Anthropic zijn dienst uitvoert. De waarborg voor deze doorgifte zijn de EU-standaardcontractbepalingen in de verwerkersovereenkomst met Anthropic. Wil je daar meer over weten of een afschrift van de toepasselijke bepalingen ontvangen, mail dan privacy@renovatieplanner.nl.
• •Waar de door jou of jouw organisatie gekozen AI-aanbieder de inhoud van je gesprek verwerkt en opslaat, valt buiten deze verklaring; dat regelen de afspraken tussen jouw organisatie en die aanbieder.

De koppeling beëindigen. Verwijder je de verbinding in je assistent, dan gooit de assistent zijn tokens weg en kan hij in de praktijk niets meer opvragen. De tokens zelf blijven bij Renovatieplanner echter geldig tot ze verlopen: het toegangstoken hoogstens 1 uur, het vernieuwingstoken hoogstens 30 dagen. Wil je zeker weten dat er met een eerder uitgegeven token niets meer kan worden opgevraagd, vraag dan intrekking aan via support@renovatieplanner.nl; wij trekken dan alle tokens van je account in en bevestigen dat. Wordt je gebruikersaccount verwijderd, dan worden alle tokens van dat account meteen mee verwijderd.

• •Alle verbindingen lopen over HTTPS.
• •Inloggen gebeurt via OAuth 2.1 met PKCE op een pagina van Renovatieplanner, inclusief tweestapsverificatie als je account die gebruikt. De assistent ontvangt nooit je wachtwoord.
• •Tokens worden alleen als hash opgeslagen. Een token geeft nooit meer rechten dan de gebruiker zelf heeft.
• •Het aantal verzoeken per gebruiker is begrensd om misbruik te beperken.
• •De koppeling kan uitsluitend worden gebruikt door organisaties waarvoor Renovatieplanner de module op hun verzoek heeft geactiveerd. Bewonersaccounts kunnen niet koppelen.

Onder de voorwaarden van de Algemene verordening gegevensbescherming (AVG) heb je recht op inzage, rectificatie, verwijdering, beperking van de verwerking, bezwaar en gegevensoverdraagbaarheid. Niet elk recht geldt in elke situatie; zo kan Renovatieplanner logboeken die nodig zijn voor de beveiliging niet op verzoek eerder verwijderen. Voor gegevens in je projecten wend je je tot je eigen organisatie, die daarvoor verwerkingsverantwoordelijke is; voor je account, tokens en logboeken tot Renovatieplanner via privacy@renovatieplanner.nl. We reageren binnen een maand. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.

Verandert de AI-koppeling, dan passen wij deze verklaring aan en wijzigen we de datum bovenaan. Belangrijke wijzigingen melden we via de pagina Wat is nieuw in Renovatieplanner.