Privacyverklaring Unfrix

Versie: V2.0 Laatst bijgewerkt: 19 augustus 2026

Deze verklaring legt uit hoe Unfrix omgaat met persoonsgegevens: welke wij verwerken, waarom, op welke grondslag, hoe lang, met wie wij ze delen en welke rechten je hebt.

1. Vier rollen — lees eerst welke op jou van toepassing is

Unfrix verwerkt persoonsgegevens in vier verschillende rollen. Ze staan hier apart omdat er per rol andere regels gelden en je bij een andere partij terechtkomt.

Rol 1 — Wij zijn zelf verantwoordelijk voor onze eigen relaties. Contact met (potentiële) klanten, offertes, facturatie, correspondentie, onze website. Hoofdstukken 3 tot en met 5.

Rol 2 — Wij werken in opdracht van een klant. Bij het uitvoeren van onze diensten krijgen wij toegang tot systemen van onze opdrachtgevers. De persoonsgegevens daarin — medewerkers van die opdrachtgever, en soms diens eindklanten, bezoekers en gebruikers — verwerken wij uitsluitend op zijn instructie. Hij is daarvoor verantwoordelijk, niet wij. Hoofdstuk 6.

Rol 3 — Ons eigen dossier over het werk. Wat wij zelf maken om ons werk te kunnen verantwoorden — rapportages, adviezen, wijzigingslogs, overlegverslagen — houden wij onder eigen beheer en op onze eigen grondslag. Daarvoor zijn wij verantwoordelijk. Hoofdstuk 6, laatste deel.

Rol 4 — Onze leerdata. Uit opdrachten leiden wij geaggregeerde meetwaarden af die wij daarna voor eigen doeleinden bewaren en gebruiken. Vanaf het moment van die afleiding zijn wij daarvoor zelf verantwoordelijk. Hoofdstuk 7 gaat hierover en is nieuw ten opzichte van eerdere versies. Lees dat hoofdstuk als je klant van ons bent of bent geweest.

2. Wie wij zijn

Unfrix KvK: 42001125 E-mail: info@unfrix.com (schriftelijk contact verloopt per e-mail) Website: https://www.unfrix.com en https://www.unfrix.nl

Vragen over deze verklaring of over hoe wij met je gegevens omgaan: info@unfrix.com.

Wij hebben geen functionaris voor gegevensbescherming. Die verplichting hangt niet af van de omvang van een onderneming maar van de aard van de verwerking — stelselmatige observatie op grote schaal, of grootschalige verwerking van bijzondere categorieën. Daarvan is bij ons geen sprake. Verandert dat, dan passen wij deze verklaring aan.

3. Welke gegevens wij van jou verwerken (rol 1)

• Contactgegevens — naam, e-mailadres, telefoonnummer, bedrijfsadres.
• Bedrijfsgegevens — bedrijfsnaam, functie, en overige gegevens over de zakelijke relatie.
• Financiële gegevens — bankrekening- en betalingsgegevens ten behoeve van facturatie.
• Communicatiegegevens — de inhoud van je vragen, verzoeken, e-mails en overige correspondentie.
• Technische en gebruiksgegevens — IP-adres, browsertype en -versie, tijdzone, besturingssysteem en gegevens over het gebruik van onze website.

Hoe wij eraan komen. Rechtstreeks van jou; uit onze samenwerking; automatisch bij een bezoek aan onze website.

Wat je moet en wat vrijwillig is. Contact-, bedrijfs- en financiële gegevens hebben wij nodig om een overeenkomst te kunnen sluiten en uitvoeren en om te kunnen factureren; zonder die gegevens kunnen wij dat niet. Alles wat je daarnaast met ons deelt, deel je vrijwillig.

4. Waarvoor wij die gegevens gebruiken, en op welke grondslag

Onze volgorde bij het kiezen van een grondslag. Wij kijken eerst of de verwerking noodzakelijk is om de overeenkomst uit te voeren. Zo niet, dan of er een gerechtvaardigd belang is dat opweegt tegen jouw belangen, en die afweging leggen wij vast. Toestemming vragen wij alleen wanneer geen van beide toereikend is — want toestemming die je niet vrij kunt weigeren is geen toestemming.

Wij nemen over jou geen besluiten die uitsluitend op geautomatiseerde verwerking berusten en die rechtsgevolgen voor je hebben of je in vergelijkbare mate treffen.

5. Hoe lang wij bewaren

• Financiële en administratieve gegevens — zeven jaar, op grond van de fiscale bewaarplicht.
• Rapportages, bevindingen, analyses en de vastlegging van gegeven adviezen — deze hebben wij nodig om ons te kunnen verantwoorden. Een verzoek tot verwijdering honoreren wij na afloop van vijf jaar na het einde van de opdracht, of eerder wanneer wij die stukken op dat moment niet meer nodig hebben. Wij verplichten ons niet tot vernietiging op een vast tijdstip; wij verwijderen naar aanleiding van een gebeurtenis — je verzoek — en niet volgens een kalender.
• Overig dossiermateriaal — voor de duur van de samenwerking en daarna zolang dat voor verantwoording nodig is. Bij het einde van de samenwerking verwijderen wij het als je daarom verzoekt.
• Contact- en bedrijfsgegevens — voor de duur van de relatie en daarna zolang wij redelijkerwijs rekening moeten houden met vragen, aanspraken of een vervolgopdracht.
• Technische en gebruiksgegevens — ten hoogste 14 maanden; cookiegegevens volgens de bewaartermijnen in ons cookieoverzicht.
• Prospectgegevens — zolang wij redelijkerwijs rekening houden met hernieuwd contact of een later aanbod; wij toetsen periodiek of bewaren nog zin heeft en verwijderen bij bezwaar of op jouw verzoek.
• Gegevens op grond van toestemming — tot je die intrekt.

Twee dingen die wij niet mooier maken dan ze zijn. Verwijdering ziet op onze actieve systemen. Gegevens kunnen tot het verstrijken van de reguliere back-uprotatie in back-ups aanwezig blijven; die raadplegen wij niet anders dan voor herstel. Daarnaast kennen de platformen die wij gebruiken herstelpunten die wij niet kunnen uitschakelen en die na verwijdering nog een beperkte tijd blijven bestaan. Ze zijn niet toegankelijk voor regulier gebruik en vervallen automatisch.

Verwijderverplichtingen schorten wij op zolang een geschil loopt of redelijkerwijs te verwachten is.

6. Wanneer wij in opdracht van een klant werken (rol 2), en ons eigen dossier (rol 3)

Bij het uitvoeren van onze diensten krijgen wij toegang tot systemen, applicaties of omgevingen van onze opdrachtgevers — een beheeromgeving, een e-commerceplatform, een analyse- of marketingtool, een klantdataplatform. In de persoonsgegevens die daarin staan zijn wij verwerker: wij handelen uitsluitend op de gedocumenteerde instructie van die opdrachtgever, die zelf verwerkingsverantwoordelijke is. Met elke opdrachtgever sluiten wij daarover een verwerkersovereenkomst, en per opdracht leggen wij in een opdrachtbeschrijving vast welke systemen, gegevens en handelingen aan de orde zijn.

Ben je bezoeker, gebruiker of klant van een organisatie die met ons werkt? Dan is die organisatie verantwoordelijk voor jouw gegevens in haar eigen systemen, niet Unfrix. Raadpleeg haar privacyverklaring. Wend je je toch tot ons, dan verwijzen wij je naar haar door; wij mogen je verzoek over die gegevens niet zelfstandig afhandelen.

Ons eigen dossier over het werk

Wat wij in de systemen van een opdrachtgever waarnemen blijft van die opdrachtgever. Maar wat wij zélf maken om ons werk te kunnen verantwoorden — rapportages, adviezen, analyses, wijzigingslogs, overlegverslagen en vastleggingen van wat wij hebben gedaan — houden wij onder eigen beheer, op onze eigen grondslag (hoofdstuk 4 en 5). Sta jij daarin genoemd, bijvoorbeeld als contactpersoon of als medewerker van een opdrachtgever, dan kun je voor dát dossier bij ons terecht.

Bevatten zulke vastleggingen bij uitzondering directe identificatoren van eindklanten of bezoekers van een opdrachtgever — bijvoorbeeld een e-mailadres in een foutregel — dan verwijderen of vervangen wij die binnen vijf werkdagen, tenzij ze voor de verantwoording noodzakelijk zijn. In dat laatste geval leggen wij de reden vast en geldt een kortere bewaartermijn.

Wat wij met de gegevens van een opdrachtgever wél en niet doen

Wij gebruiken de gegevens in de systemen van onze opdrachtgevers niet om andere opdrachtgevers rechtstreeks te bedienen, en wij verkopen of delen ze niet. Wat wij er wél zelf mee doen staat hieronder en in hoofdstuk 7 — geaggregeerd en nooit één-op-één. Het gaat om drie dingen, en die staan uitdrukkelijk in onze voorwaarden:

• wij houden het hierboven beschreven dossier bij van wat wij hebben gedaan, geadviseerd en gewijzigd;
• wij leiden er geaggregeerde meetwaarden uit af — hoofdstuk 7;
• wij nemen de kennis, inzichten, patronen en werkwijzen mee die wij bij het werk opdoen, zonder bestanden, gegevensdragers of tot iemand herleidbare inzichten mee te nemen, en wij kunnen ervaringen uit een samenwerking naamloos gebruiken voor kennisdeling, publicaties en acquisitie. Met naam doen wij dat alleen met schriftelijke toestemming.

Wat wij niet doen: wij trainen geen modellen op het materiaal zelf (wat wij wél doen met daaruit afgeleide meetwaarden staat in hoofdstuk 7), wij dragen geen bestanden van de ene opdrachtgever over aan de andere, en wij delen geen tot een opdrachtgever herleidbare uitkomsten zonder diens schriftelijke toestemming.

7. Onze leerdata (rol 4)

Dit hoofdstuk beschrijft een verwerking waarvoor wij verantwoordelijk zijn.

7.1 Wat wij vaststellen, en waar het vandaan komt

Tijdens of na een opdracht stellen wij meetwaarden vast over de omgeving van onze opdrachtgever: een aantal, een verhouding, een ja/nee-vaststelling, een waardebereik. Bijvoorbeeld: hoeveel zoekvelden een webshop heeft, of een bepaalde functionaliteit is ingericht, in welke bandbreedte een conversieverhouding valt.

Naast die waarde kan een meetrij een categorisch kenmerk dragen (zoals sector of ordegrootte), metadata over de toepassing van dit hoofdstuk, en het pseudoniem van de opdrachtgever. Een meetwaarde bevat nooit een waarde op het niveau van een individuele persoon, geen namen of contactgegevens, en geen vrije tekst. De meting aggregeert vóór opslag.

Waar deze gegevens vandaan komen. Wij krijgen ze niet van jou. Wij leiden ze af uit de systemen, omgevingen en gegevens waartoe wij tijdens een opdracht toegang hadden, en uit het dossier dat wij over die opdracht bijhouden. Wij halen ze niet uit openbare bronnen en wij kopen ze niet in.

Wij bewaren deze meetwaarden in een verzameling die wij de leerdata-pool noemen.

7.2 Vanaf welk moment wij verantwoordelijk zijn, en wanneer wij je informeren

Het vaststellen en onttrekken van een meetwaarde is de laatste handeling die wij namens onze opdrachtgever verrichten met het materiaal waaruit die meetwaarde is afgeleid. Vanaf dat moment verwerken wij de meetwaarde voor onze eigen doeleinden en zijn wij daarvoor zelf verwerkingsverantwoordelijke.

Wanneer wij je hierover informeren. Ben je een opdrachtgever die natuurlijk persoon is (zie 7.4), dan wijzen wij je bij de schriftelijke afstemming uitdrukkelijk op dit hoofdstuk, en in elk geval vóór de eerste keer dat wij een meetwaarde uit jouw opdracht vaststellen. Wij leggen vast wanneer dat is gebeurd.

7.3 Gepseudonimiseerd, niet geanonimiseerd

De leerdata-pool is gepseudonimiseerd: elke opdrachtgever heeft een sleutel waarmee zijn meetrijen onderling verbonden zijn. Pseudonimisering is geen anonimisering. Zolang die sleutel bestaat, blijft de AVG van toepassing voor zover er persoonsgegevens in het geding zijn.

7.4 Wanneer dit persoonsgegevens over jóu zijn

Voor de meeste opdrachtgevers gaat het om bedrijfsfeiten over een rechtspersoon, en dat zijn geen persoonsgegevens.

Ben je een eenmanszaak, vennoot in een vof of maatschap, of anderszins een natuurlijk persoon die handelt in de uitoefening van beroep of bedrijf? Dan zijn bedrijfsfeiten over jou tegelijk persoonsgegevens over jou. In dat geval nemen wij meetwaarden uitsluitend op na voorafgaande schriftelijke afstemming met jou. Blijft die uit, dan nemen wij ze alleen volledig geanonimiseerd en geaggregeerd op, zonder pseudoniem — en dan gaat dit hoofdstuk niet meer over jou.

7.5 Grondslag

Wij verwerken de leerdata-pool op grond van gerechtvaardigd belang: het ontwikkelen en verbeteren van onze dienstverlening en het opbouwen van referentiewaarden waarmee wij onze opdrachtgevers beter kunnen adviseren.

In onze afweging weegt mee dat de gegevens geaggregeerd zijn en geen persoonsniveau kennen, dat ze bedrijfsfeiten betreffen en geen persoonlijke kenmerken, en dat er geen besluitvorming over individuen op plaatsvindt. Wij toetsen vóór opname of een categorisch kenmerk een bijzondere categorie persoonsgegevens zou kunnen onthullen, en nemen de meetwaarde in dat geval niet of alleen in vergrofde vorm op.

Daartegenover weegt dat wij de pool ook commercieel gebruiken (zie 7.6). Dat is een eigen belang van ons en geen belang van jou; wij noemen het hier omdat een afweging die dat weglaat niet weegt wat er werkelijk gebeurt. Om dezelfde reden noemen wij de bewaarduur: wij bewaren meetwaarden blijvend. Dat die bewaring geaggregeerd en pseudoniem is en geen persoonsniveau kent, beperkt het gewicht daarvan, maar een afweging zonder de duur is niet volledig. De afweging leggen wij vast en stellen wij op verzoek beschikbaar. Bij een opdrachtgever die natuurlijk persoon is, vindt opname bovendien alleen plaats na afstemming (7.4).

7.6 Wat wij ermee doen en wat wij extern delen

Wij gebruiken de pool om onze dienstverlening te ontwikkelen en om referentiewaarden op te bouwen. Wij kunnen geaggregeerde inzichten uit de pool ook extern delen en commercieel aanbieden — als benchmark, rapport, index of abonnementsvorm — en wij kunnen de meetwaarden combineren met gegevens uit andere bronnen. Wordt onze onderneming overgedragen, dan kan de pool met die overdracht meegaan; de hieronder genoemde grenzen blijven dan gelden.

Die grenzen zijn:

• een gedeelde waarde is gebaseerd op ten minste vijf verschillende bronnen;
• een waarde wordt niet gedeeld wanneer één bron die waarde in overwegende mate bepaalt;
• wij delen waardebereiken en geen exacte getallen;
• wij combineren geen kenmerken op een wijze waardoor een individuele opdrachtgever alsnog herkenbaar wordt.

Wij delen nooit gegevens van één opdrachtgever één-op-één met een andere partij.

7.7 Wat wij niet doen

Wij trainen of stemmen geen model af op materiaal waartoe wij uitsluitend als verwerker toegang hebben. Voor zover wij modellen trainen of afstemmen, gebeurt dat met de patronen en meetwaarden die volgens onze voorwaarden aan de opdrachtsfeer zijn onttrokken.

Wij nemen geen geautomatiseerde besluiten over individuele personen op basis van de leerdata-pool.

7.8 Hoe lang, en wat “ontkoppelen” wel en niet betekent

Meetwaarden bewaren wij blijvend; daarin zit hun waarde. Je kunt ons verzoeken het aan jou gekoppelde pseudoniem te vernietigen. Wij honoreren dat verzoek, tenzij een lopend of redelijkerwijs te verwachten geschil zich daartegen verzet; dat melden wij je dan.

Wat dat wel en niet betekent, zeggen wij liever hardop dan dat wij “verwijderd” zeggen en iets anders bedoelen:

• in de pool zelf kunnen wij daarna niet meer zien welke rijen bij jou horen;
• die rijen blijven wel als losse waarden bestaan. Dat is geen verwijdering van de gegevens;
• daarnaast bewaren wij een vastlegging van wat er bij jouw opdracht is gemeten (7.9) en een dossier van het uitgevoerde werk (hoofdstuk 5). Wij gebruiken die niet om rijen opnieuw aan jou te koppelen, maar volledig onmogelijk is dat niet.

Daarom noemen wij dit ontkoppelen en geen anonimiseren. Wil je dat ook de vastlegging wordt vernietigd, dan kun je daarom verzoeken; je inzagerecht uit 7.9 vervalt daarmee.

7.9 Inzage

Wij leggen per uitvoering vast welke gegevens zijn vastgesteld, welke toetsen zijn uitgevoerd, welk besluit is genomen en op welk moment. Ben je opdrachtgever, dan kun je die vastlegging inzien voor zover die je eigen opdracht betreft. Dat inzagerecht blijft bestaan na vernietiging van het pseudoniem.

8. Met wie wij gegevens delen

Wij verkopen geen persoonsgegevens; wat wij met geaggregeerde meetwaarden doen staat in hoofdstuk 7. Wij delen gegevens alleen waar dat nodig is voor onze bedrijfsvoering of wettelijk verplicht:

• Software-, hosting- en clouddiensten — voor opslag, e-mail, administratie, samenwerking en projectbeheer.
• AI-diensten — bij de uitvoering van ons werk kunnen wij commerciële, zakelijke AI-diensten inzetten. Wij contracteren uitsluitend zakelijke lagen waarop een verwerkersovereenkomst van toepassing is en waarbij de aanbieder zich er contractueel toe verbindt input en output niet te gebruiken voor het trainen of algemeen verbeteren van modellen en niet voor advertentiedoeleinden; wij verifiëren dat vóór inzet. Consumenten- en gratis varianten sluiten wij uit. Toegangssleutels en inloggegevens van onze opdrachtgevers verstrekken wij niet aan een AI-dienst.
• Onderaannemers — freelancers of gespecialiseerde bureaus, gebonden aan geheimhouding en, waar vereist, een verwerkersovereenkomst.
• Betalingsverwerkers en onze accountant.
• Bevoegde autoriteiten — wanneer wij daartoe wettelijk verplicht zijn of op grond van een gerechtelijk bevel.

Wij houden één actueel overzicht bij van de dienstverleners die bij onze werkzaamheden gegevens verwerken, met vermelding van de rol waarin zij optreden. Opdrachtgevers kunnen dat overzicht opvragen.

9. Doorgifte buiten de Europese Economische Ruimte

Sommige van onze dienstverleners verwerken gegevens buiten de EER. Wij geven alleen door wanneer daarvoor een geldig mechanisme onder hoofdstuk V AVG bestaat: een adequaatheidsbesluit, de standaardcontractbepalingen van de Europese Commissie, of een ander erkend mechanisme. Bij doorgifte op basis van standaardcontractbepalingen voeren wij vooraf een gedocumenteerde doorgiftebeoordeling uit. Per opdracht leggen wij de betrokken entiteit, de verwerkingslocatie, het mechanisme en de waarborg vast en verifiëren wij die vóór inzet.

Wil je weten welke waarborgen wij voor een bepaalde dienstverlener hebben getroffen, of een kopie daarvan ontvangen, vraag dat dan op via info@unfrix.com.

10. Beveiliging

Wij treffen passende technische en organisatorische maatregelen, waaronder persoonlijke en niet-gedeelde toegang met de laagste noodzakelijke rechten, meervoudige authenticatie waar beschikbaar, versleuteling, afscherming van niet-benodigde onderdelen, en het verwijderen van ruwe gegevens en tijdelijke werkbestanden na een verwerkingsronde.

Voor handelingen in systemen van opdrachtgevers die verder gaan dan raadplegen en analyseren gelden aanvullende waarborgen die wij contractueel op ons hebben genomen: de handeling blijft binnen een vastgelegde en begrensde opdrachtomvang, is vooraf geautoriseerd, wordt navolgbaar vastgelegd, en vóór een reeks wijzigingen leggen wij de bestaande configuratie vast zodat teruggedraaid kan worden. Deze waarborgen gelden ongeacht of de handeling door een mens of door een geautomatiseerd systeem wordt verricht.

Ontdekken wij een datalek dat gegevens van een opdrachtgever betreft, dan melden wij dat onverwijld en uiterlijk binnen achtenveertig uur na onze eigen ontdekking aan hem. Wij wijzen erop dat een incident bij een van onze dienstverleners ons pas bereikt nadat die ons informeert; die termijn volgt uit ons contract met die partij. Betreft een incident onze eigen verwerkingen, dan beoordelen wij zelf of melding aan de Autoriteit Persoonsgegevens of aan betrokkenen vereist is.

11. Je rechten

Je hebt het recht op inzage, rectificatie, verwijdering, beperking van de verwerking, bezwaar en gegevensoverdraagbaarheid, en het recht een gegeven toestemming in te trekken. Trek je je toestemming in, dan stoppen wij die verwerking; wat wij vóór de intrekking op basis van je toestemming hebben gedaan, blijft rechtmatig.

Bezwaar tegen de leerdata-pool. Verwerken wij gegevens over jou in de pool op grond van gerechtvaardigd belang (zie 7.4 en 7.5), dan kun je daartegen bezwaar maken. Doe je dat, dan stoppen wij die verwerking tenzij wij dwingende gerechtvaardigde gronden aanvoeren die zwaarder wegen. In de praktijk honoreren wij een bezwaar door het aan jou gekoppelde pseudoniem te vernietigen; wat dat wel en niet betekent staat in 7.8.

Grenzen. Sommige rechten kennen wettelijke beperkingen. Financiële gegevens moeten wij zeven jaar bewaren. Rapportages en adviesvastlegging hebben wij nodig om ons te verantwoorden; zie hoofdstuk 5. En werken wij als verwerker in opdracht van een ander, dan handelen wij je verzoek over die gegevens niet zelf af maar verwijzen wij je naar die opdrachtgever.

Een verzoek indienen: info@unfrix.com. Wij kunnen je vragen je identiteit te bevestigen en vragen daarbij alleen wat nodig en passend is. Een kopie van een identiteitsbewijs vragen wij niet, tenzij dat strikt noodzakelijk is; in dat geval mag je je pasfoto en burgerservicenummer afschermen. Wij reageren binnen één maand. Is je verzoek complex of ontvangen wij er meerdere van je, dan kunnen wij die termijn met twee maanden verlengen; wij laten je dat dan binnen de eerste maand weten.

12. Cookies

Onze website gebruikt cookies:

• Functionele cookies — nodig om de website te laten werken en om je cookievoorkeur te onthouden. Hiervoor is geen toestemming vereist.
• Analytische cookies — wij gebruiken Google Analytics 4 via Google Tag Manager om te begrijpen hoe bezoekers onze website gebruiken. Deze cookies worden pas geplaatst nadat je toestemming hebt gegeven.

Niet-functionele cookies plaatsen wij uitsluitend na toestemming, en je kunt je keuze op elk moment wijzigen of intrekken. Een actueel overzicht met naam, aanbieder, doel en bewaartermijn staat op https://www.unfrix.com/cookies.

13. Klachten

Heb je een klacht over hoe wij met je gegevens omgaan, neem dan eerst contact met ons op — dan lossen wij het bij voorkeur samen op. Je hebt daarnaast altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens: https://autoriteitpersoonsgegevens.nl.

14. Wijzigingen

Wij kunnen deze verklaring bijwerken. De actuele versie staat altijd op deze pagina, met versienummer en datum bovenaan. Wijzigingen die de verwerking van je gegevens wezenlijk raken, melden wij actief aan onze opdrachtgevers. Voor overige betrokkenen is publicatie op deze pagina het kanaal.