Privacybeleid

Laatst bijgewerkt: 6 oktober 2026.

Dit beleid legt uit hoe FWRD Digital persoonsgegevens verwerkt op twee vlakken: de marketingwebsite op fwrd.digital, en het FWRD-platform — de self-service websitebouwer op app.fwrd.digital, inclusief de login-loze /start-onboarding. Waar een onderdeel maar op één van beide van toepassing is, vermelden wij dat.

1. Wie is verantwoordelijk

FWRD Digital (eenmanszaak), gevestigd aan Utrechtseweg 95-3, 3702 AA Zeist, Nederland, ingeschreven bij de Kamer van Koophandel onder nummer 42057087, btw-id NL005461307B53, is in de zin van artikel 4 lid 7 AVG verwerkingsverantwoordelijke voor de persoonsgegevens die via de website en het platform worden verzameld.

Contact voor privacyvragen: hey@fwrd.digital.

2. Welke gegevens we verzamelen

De meeste gegevens krijgen wij van jou zelf, plus de technische gegevens die nodig zijn om de dienst veilig te draaien. Alleen bij bedrijven die wij zelf benaderen halen wij gegevens uit openbare bronnen (zie 2.5). Met jouw toestemming gebruiken wij daarnaast analytics en een advertentiemeting-pixel (Reddit) — zie onze cookieverklaring. Daarbuiten gebruiken wij geen profiling-trackers en geen cross-site cookies van derden.

2.1 Contact- en diagnoseformulier (website)

• Naam (verplicht)
• E-mailadres (verplicht)
• Toelichting / opmerking (optioneel)
• Antwoorden op de diagnose-vragen (type project, omvang, CMS-wens, blog/SEO, budget-range)
• Eventueel een URL van een huidige website (optioneel, ten behoeve van de diagnose)

2.2 Nieuwsbrief (website)

• E-mailadres
• Tijdstip van inschrijving

2.3 Platform-account en content (app.fwrd.digital)

• Accountgegevens: het e-mailadres en de authenticatiegegevens waarmee je een FWRD-account aanmaakt en inlogt. Authenticatie en accountopslag verlopen via Supabase (zie §5).
• Content die je aanlevert om je site te bouwen: de bedrijfsinformatie en het materiaal dat je typt of uploadt om je website te genereren en bewerken — bijvoorbeeld je bedrijfsnaam, adres, telefoonnummer, e-mail, openingstijden, prijzen, merk en tone-of-voice, de teksten van je pagina's, en documenten of afbeeldingen die je als input uploadt.
• Bouwgeschiedenis en geheugen: jouw instructies en de antwoorden van de assistent binnen een project, en een korte samenvatting die het platform bewaart om je voorkeuren tussen bewerkingen te onthouden.
• Site-analytics die je koppelt: koppel je Google Analytics of Search Console aan je gepubliceerde site, dan leest het platform geaggregeerde cijfers (paginaweergaven, toppagina's, topbronnen, zoekopdrachten) om rapportages en suggesties te maken. Dit zijn geaggregeerde cijfers, geen individuele bezoeker-identificatoren.

De content die je aan de bouwer aanlevert is bedrijfsinformatie die je op je eigen website wilt publiceren. Voer geen persoonsgegevens van anderen (bijvoorbeeld klantgegevens) in de bouwer in tenzij je daarvoor een grondslag hebt — doe je dat wel, dan ben jij verwerkingsverantwoordelijke voor die gegevens en gelden onze voorwaarden voor onze rol als verwerker (zie onze voorwaarden).

2.4 Technische gegevens

• Bij elke formulier-inzending slaan wij de tweeletterige landcode (bv. NL) op die Cloudflare uit het IP-adres afleidt. Het volledige IP-adres slaan wij niet zelf op.
• Onze hostingpartner Cloudflare verwerkt IP-adres, user-agent en request-headers tijdelijk voor edge-routing en bot-bescherming. Zie §5.
• Rate-limiting en misbruikbescherming op de AI-endpoints van het platform gebruiken kortlevende tellers per IP om misbruik te voorkomen.

2.5 Bedrijven die wij zelf benaderen

Wij benaderen zelf ondernemers van wie de website verouderd lijkt, met een voorbeeld van hoe een nieuwe site eruit kan zien. Daarvoor gebruiken wij openbare bronnen: OpenStreetMap (naam, plaats, website en soms telefoonnummer van het bedrijf) en de openbare website van het bedrijf zelf. Wij bewaren:

• bedrijfsnaam, branche, plaats en website;
• het zakelijke e-mailadres en telefoonnummer die het bedrijf zelf publiceert, en de aanhef van onze mail (soms met een voornaam);
• onze notitie over de huidige website en de voorbeeldsite die wij op basis daarvan maken;
• welke mails wij stuurden en of die zijn afgeleverd, en of je hebt gereageerd of je hebt afgemeld.

Voor de voorbeeldsite lezen wij de openbare tekst van je website. Daarin kunnen namen en contactgegevens staan, bijvoorbeeld van de eigenaar, medewerkers of mensen die een recensie schreven. Die tekst gaat naar ons taalmodel (DeepSeek, zie §3 en §6). Wij doen dit op grond van ons gerechtvaardigd belang (art. 6 lid 1 sub f AVG): ondernemers een concreet voorstel voor hun website laten zien, met alleen gegevens die het bedrijf zelf openbaar maakt. Na de eerste mail volgen hooguit drie herinneringen.

Je kunt hier altijd bezwaar tegen maken. Elke mail heeft een afmeldlink; daarna mailen wij je niet meer. Je e-mailadres zetten wij dan op een blokkeerlijst, zodat wij je ook later niet opnieuw benaderen. Wil je dat wij je gegevens verwijderen, mail dan naar hey@fwrd.digital; alleen je e-mailadres blijft dan op die blokkeerlijst staan.

3. AI-functies en hoe jouw content wordt verwerkt

Het FWRD-platform bouwt en bewerkt websites met behulp van een groot taalmodel. Wanneer je de bouwer gebruikt — in de login-loze /start-flow, of tijdens het genereren, bewerken of bespreken van je site — wordt de tekst en content die je daarvoor aanlevert naar onze AI-modelleverancier, DeepSeek, gestuurd, die het gegenereerde resultaat teruggeeft. In de praktijk betekent dit dat de bedrijfsomschrijving, contactgegevens, prijzen, merkinformatie en pagina-inhoud die je aanlevert (en documenten of afbeeldingen die je als input uploadt) naar de modelleverancier worden verzonden zodat deze jouw site kan maken of aanpassen.

Wij sturen alleen wat nodig is voor de taak die je vraagt, en wij gebruiken je content zelf niet om modellen te trainen. De API-voorwaarden van DeepSeek bevatten geen verwerkersovereenkomst en geen toezegging dat ingevoerde gegevens niet voor training worden gebruikt. Het model geeft tekst terug; het neemt geen enkel besluit met rechtsgevolgen of vergelijkbaar wezenlijke gevolgen voor jou, en jij beoordeelt en keurt goed wat er op je site komt. DeepSeek verwerkt deze gegevens in China. Wat dat betekent en wanneer het verandert, staat in §6.

4. Op welke grondslag

Wij verwerken jouw gegevens uitsluitend op één van de volgende grondslagen uit artikel 6 lid 1 AVG:

• Uitvoering of voorbereiding van een overeenkomst (art. 6 lid 1 sub b): wanneer je het contact- of diagnoseformulier invult om je verzoek te beantwoorden of je abonnement voor te bereiden; en wanneer je een FWRD-account aanmaakt en het platform gebruikt, om de dienst te leveren waarvoor je je hebt aangemeld, inclusief het genereren en bewerken van je site.
• Toestemming (art. 6 lid 1 sub a): voor de nieuwsbrief en voor optionele analytics- en advertentiemeting-cookies (zie cookieverklaring). Toestemming kun je op elk moment intrekken zonder gevolgen voor verwerking voorafgaand aan de intrekking.
• Wettelijke verplichting (art. 6 lid 1 sub c): voor administratie, facturatie en fiscale bewaarplicht (zeven jaar voor financiële stukken op grond van artikel 52 lid 4 AWR).
• Gerechtvaardigd belang (art. 6 lid 1 sub f): voor bot-bescherming en beveiliging (Cloudflare Turnstile + edge-bescherming) en voor het voorkomen van misbruik van de AI-functies. Het belang: voorkomen van misbruik, spam en aanvallen. Jouw belangen zijn beperkt tot een korte technische challenge en kortlevende tellers, zonder profilering. Ook het benaderen van bedrijven (zie 2.5) berust op gerechtvaardigd belang.

5. Verwerkers (derden)

Wij schakelen de volgende verwerkers in. Met deze partijen sluiten wij verwerkersovereenkomsten op grond van artikel 28 AVG, behalve met DeepSeek: dat biedt voor zijn API geen verwerkersovereenkomst aan (zie §3). Waar een verwerker buiten de EER is gevestigd, staat in §6 op welke grondslag de doorgifte berust.

Wij verkopen géén gegevens aan derden. Het enige advertentie-gerelateerde script dat wij gebruiken is de hierboven beschreven Reddit-conversiepixel, en die draait uitsluitend na jouw toestemming via de cookiebanner.

6. Doorgifte buiten de EER

Sommige van bovenstaande verwerkers zijn gevestigd, of verwerken gegevens, buiten de Europese Economische Ruimte. Waar dat het geval is, treffen wij passende waarborgen voor de doorgifte — in de regel de Standard Contractual Clauses van de Europese Commissie (Uitvoeringsbesluit 2021/914) — of steunen wij op een ander wettelijk doorgiftemechanisme uit hoofdstuk V AVG. Meer informatie over de waarborgen voor een specifieke doorgifte kun je opvragen via hey@fwrd.digital.

Dat geldt niet voor DeepSeek. Het taalmodel waarmee wij pagina's schrijven draait op dit moment bij DeepSeek in China. Daarvoor bestaat geen geldig doorgiftemechanisme: voor China is er geen adequaatheidsbesluit, en DeepSeek biedt geen standaardcontractbepalingen. Wij vervangen dit uiterlijk op 4 november 2026 door een verwerking binnen de EU. Tot die tijd gaat er alleen naar dat model wat in §3 en 2.5 staat: de content die je aan de bouwer aanlevert en de openbare tekst van de website van een bedrijf dat wij benaderen. Formulierinzendingen van bezoekers van je site, bezoekersgegevens en bezoekersidentificaties gaan er niet heen.

7. Hoe lang we bewaren

• Contact- en diagnose-aanvragen: maximaal 24 maanden na laatste contact, daarna verwijderen we ze. Tot er een geautomatiseerde retentie is geïmplementeerd, gebeurt verwijdering periodiek handmatig.
• Bedrijven die wij zelf benaderen (zie 2.5): uiterlijk 24 maanden na het laatste contact (onze laatste mail, of je antwoord) verwijderen wij de gegevens van het bedrijf. Alleen een e-mailadres op onze blokkeerlijst (bijvoorbeeld omdat je je afmeldde) blijft bewaard, zodat wij je niet opnieuw benaderen.
• Nieuwsbrief-abonnees: tot je je uitschrijft. Uitschrijving via de link onderaan elke nieuwsbrief leidt tot verwijdering van je e-mailadres uit de actieve lijst (binnen 14 dagen).
• Platform-account en site-data: zolang je account bestaat. Verwijder je een site of je account, dan verwijderen wij de bijbehorende content binnen een redelijke termijn, behoudens back-ups die op hun normale cyclus verlopen en gegevens die wij wettelijk moeten bewaren.
• Bouwer-content die naar de AI-leverancier gaat: wij sturen alleen wat nodig is per taak; wij gebruiken het zelf niet om modellen te trainen. Bewaring aan de kant van DeepSeek valt onder de voorwaarden van DeepSeek (zie §3).
• Klantadministratie / facturen: zeven jaar op grond van fiscale bewaarplicht.
• Server-logs (Cloudflare): korte termijn (Cloudflare-standaard, doorgaans 30 dagen of korter).

8. Geautomatiseerde besluitvorming

Wij nemen geen besluiten met rechtsgevolgen of vergelijkbaar wezenlijke gevolgen voor jou op basis van uitsluitend geautomatiseerde verwerking. De diagnose-tool en de AI-bouwer genereren suggesties en content op basis van jouw input — die zijn informatief en worden door jou beoordeeld en goedgekeurd voordat ze effect krijgen. De AI beoordeelt jou niet en neemt geen besluiten over jouw toegang of geschiktheid.

9. Jouw rechten

Je hebt op grond van de AVG (artikelen 15 t/m 22) het recht op:

• Inzage in de gegevens die wij van jou verwerken;
• Correctie van onjuiste gegevens;
• Verwijdering ("recht op vergetelheid");
• Beperking van de verwerking;
• Bezwaar tegen verwerking op grond van gerechtvaardigd belang;
• Overdraagbaarheid van jouw gegevens;
• Het intrekken van eerder gegeven toestemming.

Je kunt jouw rechten uitoefenen door een mail te sturen naar hey@fwrd.digital. Wij reageren binnen één maand (artikel 12 lid 3 AVG). Bij twijfel over je identiteit kunnen wij om aanvullende informatie vragen voor verificatie.

10. Klacht bij de Autoriteit Persoonsgegevens

Vind je dat wij jouw gegevens onjuist verwerken en kom je er met ons niet uit? Dan heb je het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens. Zie autoriteitpersoonsgegevens.nl.

11. Beveiliging

Wij nemen passende technische en organisatorische maatregelen ter bescherming van persoonsgegevens, waaronder TLS-versleuteling van alle verbindingen, scope-beperkte API-tokens, bot-bescherming via Cloudflare Turnstile en strikte toegangscontrole tot onze Sanity- en platform-omgevingen. Bij een datalek hanteren wij de meldplicht uit artikel 33 AVG (binnen 72 uur aan de Autoriteit Persoonsgegevens).

12. Wijzigingen

Wij kunnen dit privacybeleid wijzigen. Wezenlijke wijzigingen kondigen wij aan op deze pagina. De datum bovenaan geeft de laatste wijziging weer.

Contact

FWRD Digital · Utrechtseweg 95-3, 3702 AA Zeist, Nederland · KvK 42057087 · btw NL005461307B53 · hey@fwrd.digital