Privacyverklaring

1. Inleiding en reikwijdte

Deze privacyverklaring beschrijft hoe De Winter Advies & Training (hierna: DWAT) persoonsgegevens verwerkt in het kader van haar advies-, trainings- en begeleidingsdiensten. Het zwaartepunt daarvan ligt bij verantwoord AI-gebruik en AI-geletterdheid; de verklaring geldt ook voor trajecten over operationeel leiderschap en samenwerking, die DWAT sinds augustus 2026 uitvoert. De verklaring geldt voor bezoekers van de website www.dewintertraining.nl, voor opdrachtgevers en hun contactpersonen, voor deelnemers aan trainingen en workshops, en voor sollicitanten en geïnteresseerden die contact opnemen.

DWAT handelt in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG, Verordening (EU) 2016/679), de Uitvoeringswet AVG (UAVG) en aanvullende sectorale regelgeving voor zover die van toepassing is.

2. Verwerkingsverantwoordelijke

DWAT is verwerkingsverantwoordelijke in de zin van artikel 4 sub 7 AVG voor de verwerkingen die in deze verklaring worden beschreven.

Contactgegevens voor vragen, verzoeken en klachten over deze privacyverklaring:
E-mail: gijs@dewintertraining.nl
Telefoon: +31 6 21 41 65 63
Postadres: Helmstraat 1, 1975 DP IJmuiden

DWAT heeft geen wettelijke verplichting tot het aanstellen van een functionaris voor gegevensbescherming (artikel 37 AVG). Voor privacyvragen kunt u rechtstreeks contact opnemen via de hierboven vermelde gegevens.

3. Welke persoonsgegevens DWAT verwerkt

3.1 Contactpersonen van zakelijke opdrachtgevers

Naam, functie, zakelijk e-mailadres, zakelijk telefoonnummer, organisatie, factuur- en correspondentieadres, IBAN voor zover relevant.

3.2 Deelnemers aan trainingen en workshops

Naam, functie, zakelijk e-mailadres, naam werkgever, eventueel dieetwensen of toegankelijkheidswensen (alleen indien door deelnemer zelf opgegeven), aanwezigheidsregistratie, eventuele certificaten of bewijzen van deelname.

3.3 Website-bezoekers

IP-adres, browsergegevens, bezoekdatum en tijdstip, bezochte pagina’s, verwijzende website. Verwerkt via webserver-logs van de hostingleverancier. Er worden geen analytics-cookies geplaatst; zie hoofdstuk 10.

3.4 Personen die contact opnemen of zich aanmelden voor een nieuwsbrief

Naam, e-mailadres, organisatie, inhoud van het bericht.

3.5 Sollicitanten en zzp-relaties

Naam, contactgegevens, cv, motivatie, eventuele beoordelingen, en na overeenkomst de gegevens die voor uitbetaling nodig zijn: bedrijfsnaam, KvK-nummer, btw-identificatienummer en bankrekeningnummer. DWAT vraagt geen burgerservicenummer aan zzp-relaties. Het BSN mag door een private partij alleen worden gebruikt waar de wet dat voorschrijft, en voor een factuur van een zelfstandige is dat niet het geval.

3.6 Persoonsgegevens in advies-, scan- en trainingsopdrachten

Bij een quickscan, een adviesopdracht, een training of een workshop bepaalt DWAT zelf de werkwijze: welke vragen worden gesteld, met wie wordt gesproken, wat daarvan wordt vastgelegd en hoe lang dat bewaard blijft. DWAT is voor die gegevens dan zelf verwerkingsverantwoordelijke in de zin van artikel 4, punt 7, AVG, en deze privacyverklaring is er onverkort op van toepassing. Er is in dat geval geen verwerkersovereenkomst nodig en die wordt dan ook niet gesloten.

Verwerkt DWAT persoonsgegevens uitsluitend in opdracht van de opdrachtgever, waarbij die opdrachtgever bepaalt om welke gegevens het gaat, van wie en hoe lang zij worden bewaard, dan is DWAT verwerker in de zin van artikel 28 AVG. Dat komt voor bij werk in de systemen van de opdrachtgever en bij het invullen van zijn eigen registers of administratie. In die gevallen sluiten partijen vóór aanvang een verwerkersovereenkomst.

Welke van beide situaties geldt, stelt DWAT per opdracht vooraf vast en vermeldt zij in de offerte en in de opdrachtbevestiging. Bij twijfel geldt de zwaarste route: er wordt een verwerkersovereenkomst gesloten.

Uitspraken van medewerkers die tijdens een scan, training of workshop worden gedaan, worden nooit herleidbaar tot een persoon aan de opdrachtgever gerapporteerd. Bevindingen gaan over de organisatie en niet over personen. DWAT voert op dit punt geen instructies van de opdrachtgever uit.

3.7 Bijzondere persoonsgegevens

DWAT verwerkt in beginsel geen bijzondere persoonsgegevens in de zin van artikel 9 AVG (zoals gezondheid, religie, etniciteit). Indien een opdrachtgever of deelnemer dergelijke gegevens spontaan deelt, wist DWAT deze of beperkt de verwerking tot het strikt noodzakelijke, na overleg met de betrokkene.

4. Doelen en rechtsgronden van de verwerking

Voor verwerkingen op grond van gerechtvaardigd belang is een belangenafweging gemaakt, waarbij DWAT de impact op betrokkenen heeft afgewogen tegen het belang van DWAT bij de verwerking. Betrokkenen hebben te allen tijde het recht om bezwaar te maken (zie hoofdstuk 8).

De afweging bij de laatste rij, omdat die de meeste mensen raakt. Bij een scan of een begeleidingstraject spreekt DWAT met medewerkers van de opdrachtgever. Die medewerkers zijn geen partij bij de overeenkomst en hebben er zelf niet om gevraagd. Het belang van DWAT is dat een advies zonder die gesprekken niets waard is: zonder te weten hoe er werkelijk wordt gewerkt, blijft er een folder over. Daartegenover staat het belang van de medewerker om niet beoordeeld of aangewezen te worden. Vier maatregelen begrenzen dat. Deelname is vrijwillig en niemand hoeft een vraag te beantwoorden. Uitspraken worden nooit herleidbaar tot een persoon aan de opdrachtgever gerapporteerd, en DWAT voert op dat punt geen instructies van de opdrachtgever uit (zie 3.6). Opnemen gebeurt alleen met toestemming en nooit in een groep. En het transcript wordt verwijderd binnen dertig dagen na afronding van de opdracht (zie hoofdstuk 6). Wie bezwaar wil maken, kan dat rechtstreeks bij DWAT doen en niet via zijn werkgever.

5. Ontvangers, verwerkers en derden

DWAT schakelt voor de bedrijfsvoering een beperkt aantal externe leveranciers in. Waar zo’n leverancier persoonsgegevens in opdracht van DWAT verwerkt, is hij verwerker in de zin van artikel 28 AVG en hoort daar een verwerkersovereenkomst bij. Hieronder staat per leverancier of die overeenkomst er is en, wanneer gegevens buiten de Europese Economische Ruimte gaan, op welke grond dat gebeurt.

DWAT geeft in deze verklaring geen algemene garantie dat met alle partijen een overeenkomst is gesloten. In plaats daarvan staat het per leverancier vermeld, inclusief de gevallen waarin het nog niet geregeld is en wat DWAT eraan doet. Dat is controleerbaar en een algemene belofte is dat niet.

5.1 Verwerkers binnen de Europese Economische Ruimte

5.2 Verwerkers buiten de Europese Economische Ruimte

Toelichting bij Anthropic (Claude Team). DWAT gebruikt een zakelijk abonnement. De verwerkersovereenkomst is onderdeel van de commerciële voorwaarden van Anthropic en geldt met de aanvaarding daarvan; er is geen apart te ondertekenen stuk. Gecontroleerd bij de bron op 20 augustus 2026. Anthropic schakelt zelf subverwerkers in, onder meer Amazon Web Services; de actuele lijst houdt Anthropic bij in haar Trust Center en DWAT noemt hier bewust geen uitputtende opsomming, omdat die bij de leverancier kan wijzigen. Opslag binnen de Europese Economische Ruimte en een afspraak over nul bewaartermijn zijn op dit abonnement niet beschikbaar; dat is een bewust aanvaard punt en staat als zodanig in het eigen dossier.

Over Anthropic, Cal.com en Web3Forms: geen van hen staat op de lijst van het EU-US Data Privacy Framework; dat is op 15 augustus 2026 gecontroleerd tegen de officiële participantendatabase. Waar een eerdere versie van deze verklaring naar dat kader verwees, was die verwijzing onjuist. Voor Google en Apple is die controle nog niet gedaan; zij loopt mee met de leveranciersronde van 15 november 2026.

Toelichting bij Google (Agenda). DWAT beheert haar agenda in Google Agenda. In die agenda staan afspraken met opdrachtgevers, prospects en deelnemers, met naam, organisatie en locatie, en in de omschrijving van een afspraak ook aantekeningen ter voorbereiding. Dat zijn persoonsgegevens en Google is daarmee ontvanger. De agenda staat op een persoonlijk account, en daarvoor gelden consumentenvoorwaarden en geen verwerkersovereenkomst; een zakelijk Workspace-account zou die overeenkomst wel meebrengen. DWAT noemt dit hier in plaats van het weg te laten, en beoordeelt bij de leveranciersronde van 15 november 2026 of zij overstapt. Tot die tijd geldt de werkafspraak dat er geen bijzondere persoonsgegevens en geen inhoudelijke bevindingen over medewerkers in een agenda-afspraak worden gezet; wat daar staat is wie, waar en waarover.

Toelichting bij Apple (iCloud). Apple staat in deze tabel omdat de dagelijkse back-up van de werkomgeving in iCloud terechtkomt en die back-up bestanden met persoonsgegevens kan bevatten. DWAT noemt Apple daarom als ontvanger en niet als partij die buiten beeld blijft. De bestanden worden door DWAT zelf versleuteld voordat zij de computer verlaten, met een sleutel die niet bij Apple ligt. Wat Apple opslaat is daarmee onleesbaar zonder die sleutel. Dat is een sterke maatregel en geen garantie, en het maakt Apple wel tot ontvanger.

Het opnemen en uitschrijven van gesprekken staat bewust niet in deze tabel. DWAT neemt gesprekken met klanten en deelnemers op met een eigen recorder (Plaud Note Pro), alleen met toestemming. De app op de telefoon waarmee die opname naar een mp3 wordt omgezet, is losgekoppeld van het account van de leverancier en synchroniseert daar niet mee; het omzetten en overzetten werkt ook zonder internetverbinding, wat op 20 augustus 2026 is getoetst met de telefoon in vliegtuigmodus. Van telefoon naar computer gaat het bestand via AirDrop. Het uitschrijven gebeurt met software die op de eigen computer draait (MacWhisper Pro, met sprekerherkenning op het lokale model). In die stappen zit dus geen verwerker en geen doorgifte buiten de Europese Economische Ruimte. Wat daarna met het transcript gebeurt, valt wel onder deze tabel: bewerking en analyse vinden plaats in Claude Team, en Anthropic is daarvoor verwerker.

Één grens hoort daar eerlijk bij. Dat het omzetten en overzetten ook zonder verbinding werkt, is een eigen waarneming en geen meting door een derde. DWAT belooft daarom niet dat de app nooit iets verstuurt: zolang zij op het toestel staat, blijft zij losgekoppeld van het account van de leverancier en wordt dat in de wekelijkse ronde gecontroleerd.

5.3 Leveranciers die geen persoonsgegevens van klanten verwerken

De volgende diensten worden door DWAT gebruikt zonder dat er persoonsgegevens van klanten, prospects of deelnemers in worden ingevoerd. Zij zijn daarom geen verwerker. De werkafspraak die dat borgt staat in 5.4.

OpenAI (ChatGPT en Codex), Google (Gemini en Gemini Notebook), Perplexity, Canva en Gamma. Bij Google gaat het hier uitsluitend om die twee AI-diensten; Google Agenda staat wél in 5.2, omdat daar afspraken met klanten in staan. Plaud hoort in deze rij, en wel om deze reden: DWAT gebruikt van Plaud alleen het opnameapparaat en de app op de telefoon waarin de opname als bestand komt te staan. Die app is losgekoppeld van het Plaud-account. De transcriptie- en samenvattingsdiensten van Plaud worden niet gebruikt en er gaan geen opnames van gesprekken naar een Plaud-account. Plaud is daarmee de leverancier van een apparaat en van een lokaal gebruikte app, en geen verwerker of subverwerker.

5.4 Beleid voor de inzet van AI-tools

1. Klantvertrouwelijke informatie en persoonsgegevens van klanten, prospects en deelnemers gaan uitsluitend in Claude. Zij gaan niet in ChatGPT, Codex, Gemini, Gemini Notebook, Perplexity, Canva of Gamma. Deze twee sporen zijn bewust gescheiden.
2. Waar een naam voor het werk niet nodig is, wordt hij vóór invoer vervangen door een aanduiding. Deze afspraak dekt wat DWAT zelf invoert en niet wat een koppeling ophaalt uit de eigen agenda, mailbox of dossiers.
3. Bij alle gebruikte AI-diensten is de instelling waarmee ingevoerde tekst voor modelverbetering wordt gebruikt, uitgezet voor zover de dienst die keuze biedt. Gecontroleerd op 15 augustus 2026.
4. Gesprekken worden alleen opgenomen volgens de opnameprocedure van DWAT: aangekondigd in de bevestiging, hardop gevraagd bij aanvang, met een werkelijk alternatief als iemand nee zegt, en met een aantekening per gesprek. In groepen wordt niet opgenomen. De opname en de omzetting naar tekst gebeuren op eigen apparatuur, zonder tussenkomst van een clouddienst.
5. DWAT is verantwoordelijk voor de juistheid van de uiteindelijke deliverable. AI-output wordt nooit ongezien overgenomen.
6. DWAT publiceert een actuele lijst van de ingezette AI-diensten met hun status, op de pagina Hoe ik zelf AI gebruik. Die lijst is de uitwerking van dit hoofdstuk en wordt per kwartaal herzien.

5.5 Overige ontvangers

Op grond van een wettelijke verplichting kan DWAT persoonsgegevens delen met de Belastingdienst, gerechtelijke instanties, toezichthouders zoals de Autoriteit Persoonsgegevens, of (indien aan de orde) opsporingsinstanties. Voor de verdere bedrijfsvoering kan DWAT incidenteel persoonsgegevens delen met haar accountant of een door haar ingeschakelde mkb-jurist of advocaat, in alle gevallen onder beroepsgeheim.

6. Bewaartermijnen

DWAT bewaart persoonsgegevens niet langer dan noodzakelijk voor het doel waarvoor zij zijn verzameld of dan wettelijk vereist (artikel 5 lid 1 onder e AVG).

De dertigdagentermijn voor AI-prompts en transcripties ziet op verwijdering door DWAT, bij de leverancier, in de eigen dossiers, in de gespreksgeschiedenis en in de mailbox.

Na die verwijdering geldt per leverancier een eigen termijn voordat gegevens ook uit zijn back-ups verdwijnen. Een deel van de gebruikte leveranciers noemt zo'n termijn, oplopend tot zes maanden. Een deel publiceert daar niets over, en dat geldt ook voor het systeem waarin DWAT klantgegevens verwerkt. DWAT kan die termijnen niet verkorten en meldt dit daarom in plaats van het weg te laten.

7. Beveiliging

DWAT treft passende technische en organisatorische maatregelen ter beveiliging van persoonsgegevens conform artikel 32 AVG, waaronder:

1. Versleuteling van de schijf van de werkplek, automatische vergrendeling en toegang met wachtwoord of biometrie.
2. Versleuteling van gegevens tijdens transport (TLS).
3. Meervoudige authenticatie op de accounts waarin gegevens van opdrachtgevers en deelnemers worden verwerkt.
4. Toegang op basis van noodzaak. DWAT is een eenmanszaak; alleen Gijs de Winter heeft toegang tot de gegevens. Geautomatiseerde hulpmiddelen lezen uitsluitend binnen de mappen die voor het betreffende doel zijn vrijgegeven.
5. Back-ups. Van de werkbestanden wordt dagelijks een reservekopie gemaakt. Die kopie wordt op de eigen computer versleuteld met AES-256 en met een sleutel die alleen DWAT heeft, en pas daarna weggeschreven naar iCloud Drive bij Apple. In iCloud staan dus uitsluitend versleutelde bestanden; Apple kan de inhoud niet inzien en treedt hier op als opslagmedium. De bewaartermijn van de reservekopieën is veertien dagen. Op 19 augustus 2026 is met een terugleestest vastgesteld dat een kopie ook werkelijk terug te zetten is. Dit gaat over de werkbestanden en niet over een volledige kopie van het systeem. De website en de zakelijke mailbox worden daarnaast door de hostingpartij geback-upt; op de webserver staan geen werkbestanden, klantdossiers of gespreksverslagen.
6. Een vaste procedure bij een datalek: melding aan de opdrachtgever binnen vierentwintig uur, melding aan de Autoriteit Persoonsgegevens binnen tweeënzeventig uur wanneer het lek een risico inhoudt (artikel 33 AVG), en melding aan betrokkenen bij een hoog risico (artikel 34 AVG). Elk incident wordt vastgelegd in een intern datalekregister, ook wanneer melding niet nodig is.
7. Een beveiligingscontrole ten minste eenmaal per jaar, schriftelijk vastgelegd. Laatst uitgevoerd op 16 augustus 2026.
8. Een beoordeling van leveranciers en hun voorwaarden ten minste eenmaal per kwartaal. Laatst uitgevoerd op 15 augustus 2026.
9. Klantvertrouwelijke informatie gaat uitsluitend in de systemen die daarvoor in het interne AI-beleid van DWAT zijn aangewezen. Waar met een leverancier geen verwerkersovereenkomst geldt, gaat er geen klantmateriaal in.

8. Rechten van betrokkenen

Op grond van de AVG hebt u de volgende rechten:

1. Recht op inzage (artikel 15 AVG): u kunt opvragen welke persoonsgegevens DWAT van u verwerkt.
2. Recht op rectificatie (artikel 16 AVG): u kunt onjuiste of onvolledige gegevens laten corrigeren.
3. Recht op gegevenswissing (artikel 17 AVG, het recht om vergeten te worden): u kunt verzoeken om verwijdering van uw gegevens, behoudens wettelijke bewaarplichten.
4. Recht op beperking van de verwerking (artikel 18 AVG): u kunt verzoeken om tijdelijke beperking, bijvoorbeeld bij een lopende discussie over juistheid.
5. Recht op overdraagbaarheid (artikel 20 AVG): u kunt uw gegevens in een gestructureerd en machineleesbaar formaat opvragen.
6. Recht op bezwaar (artikel 21 AVG): u kunt bezwaar maken tegen verwerkingen op grond van gerechtvaardigd belang of direct marketing.
7. Recht om toestemming in te trekken (artikel 7 lid 3 AVG): voor verwerkingen die op uw toestemming berusten, kunt u die toestemming op elk moment intrekken.
8. Recht om niet onderworpen te worden aan uitsluitend geautomatiseerde besluitvorming (artikel 22 AVG): DWAT neemt geen besluiten met rechtsgevolgen voor u op basis van uitsluitend geautomatiseerde verwerking.

Verzoeken kunt u indienen via gijs@dewintertraining.nl. DWAT reageert binnen één maand (artikel 12 lid 3 AVG); bij complexiteit kan deze termijn met twee maanden worden verlengd. DWAT kan een redelijke identificatie vragen om misbruik te voorkomen.

9. Klacht bij de Autoriteit Persoonsgegevens

Bent u niet tevreden over de afhandeling van een verzoek of de wijze waarop DWAT met uw persoonsgegevens omgaat, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens:

Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag
Telefoon: 088-1805250
Website: www.autoriteitpersoonsgegevens.nl

DWAT vraagt u in de eerste plaats om uw bezwaar bij DWAT zelf kenbaar te maken, zodat DWAT de gelegenheid heeft om uw bezwaar te beoordelen en, waar nodig, te herstellen.

10. Cookies en analytics

De website van DWAT gebruikt uitsluitend cookies die noodzakelijk zijn om de site te laten werken. Er worden geen analytische cookies, geen marketingcookies en geen trackingcookies geplaatst. Er is daarom geen cookiebanner en er valt niets in te stellen: er is niets om toestemming voor te vragen.

Er worden ook geen bezoekersstatistieken bijgehouden via een externe dienst. De hostingpartij houdt standaard logbestanden bij voor de werking en de beveiliging van de site; die worden twaalf maanden bewaard.

De lettertypen van deze website worden vanaf de eigen server geladen en niet bij een externe partij opgehaald. Er gaat daardoor geen IP-adres van bezoekers naar een aanbieder van webfonts.

11. Wijziging van deze privacyverklaring

DWAT mag deze privacyverklaring periodiek aanpassen, bijvoorbeeld bij wijziging van wet- en regelgeving, nieuwe AI-tools of veranderingen in haar dienstverlening. De meest actuele versie is altijd te raadplegen op www.dewintertraining.nl/privacyverklaring, met vermelding van versiedatum.

Wezenlijke wijzigingen worden, voor zover DWAT over contactgegevens beschikt, per e-mail aan opdrachtgevers en nieuwsbriefabonnees gemeld.

12. Slotbepaling

Deze privacyverklaring is opgesteld op 27 mei 2026, herzien op 20 augustus 2026 en gepubliceerd op 22 augustus 2026 (versie 2026.2). Op 26 augustus 2026 is binnen dezelfde versie één tekstcorrectie doorgevoerd in hoofdstuk 6, over de termijnen die leveranciers na verwijdering aanhouden; de eerdere formulering noemde een bandbreedte die niet bij alle leveranciers is vastgesteld. Op de verwerkingen en de uitleg van deze verklaring is Nederlands recht van toepassing.