Privacybeleid

Dit is ons Privacybeleid. De Gebruiksvoorwaarden (EULA) van Mimos staan op een aparte pagina. Bekijk de Gebruiksvoorwaarden →

1. Over dit beleid en voor wie het bedoeld is

Mimos is een multi-tenant software-as-a-service (SaaS) platform dat trimsalons gebruiken om klanten, huisdieren, afspraken, berichten en een online boekingswinkel te beheren. Het platform wordt geëxploiteerd door Mimos Technology Inc. ("Mimos", "wij", "ons"), 108 W 39th St, STE1006 PMB2057 New York City, 10018 NY, USA.

Dit beleid legt uit welke persoonsgegevens we verwerken, waarom, op welke rechtsgrond, met wie we ze delen, hoelang we ze bewaren en welke rechten je hebt. Het is van toepassing op:

• Trimsalons die zich abonneren op Mimos (onze directe klanten) en de medewerkers binnen die bedrijven die een account hebben.
• Huisdiereigenaren ("klanten") van wie een trimsalon de gegevens in Mimos opslaat of die boeken via de online winkel van een bedrijf.
• Bezoekers van onze website joinmimos.com, onze applicatie en boekingspagina's.

2. Onze rol: verwerkingsverantwoordelijke en verwerker

Mimos speelt twee verschillende rollen op het gebied van gegevensbescherming. Het is belangrijk om te begrijpen welke op jou van toepassing is.

We zijn de verwerkingsverantwoordelijke voor persoonsgegevens waarvan wij de doeleinden en middelen van de verwerking bepalen — voornamelijk:

• Account- en medewerkersgegevens (registratie, authenticatie, facturatiebeheer, support, beveiliging).
• Technische en gebruiksgegevens die we verzamelen om het platform te laten draaien, te beveiligen en te verbeteren.
• Communicatie tussen ons en onze zakelijke klanten.

We zijn een verwerker (en het trimsalon is de verwerkingsverantwoordelijke) voor de persoonsgegevens die een bedrijf invoert of genereert over zijn eigen klanten en hun huisdieren — bijvoorbeeld contactgegevens van klanten, huisdierdossiers, afsprakengeschiedenis, foto's, vaccinatiegegevens en berichtenlogboeken. We verwerken die gegevens uitsluitend op basis van de gedocumenteerde instructies van het bedrijf met als doel de dienst te leveren. Elk bedrijf is er zelf verantwoordelijk voor dat het een rechtsgrond heeft om deze gegevens te verzamelen en voor het beantwoorden van de privacyverzoeken van zijn eigen klanten; onze verwerking wordt geregeld door de verwerkersbepalingen in onze Gebruiksvoorwaarden, die als onze verwerkersovereenkomst (DPA) fungeren.

Als je een huisdiereigenaar bent en de informatie die een trimsalon over je heeft wilt inzien, corrigeren of verwijderen, neem dan rechtstreeks contact op met dat salon — zij beheren jouw gegevens. Wij helpen hen als hun verwerker.

3. Persoonsgegevens die we verwerken

Welke gegevens precies aanwezig zijn, hangt af van hoe een bedrijf Mimos instelt en wat het ervoor kiest om vast te leggen. De onderstaande categorieën weerspiegelen wat het platform kan opslaan.

3.1 Bedrijfs- en medewerkersaccounts (Mimos als verwerkingsverantwoordelijke)

• Identiteit & contact: voor- en achternaam, e-mailadres, telefoonnummer.
• Authenticatie & beveiliging: gehasht wachtwoord, tokens voor e-mailbevestiging en wachtwoordherstel, "onthoud mij"-token, tellers voor mislukte aanmeldingen en vergrendelingsstatus, en aanmeldmetadata (tijdstempels en IP-adressen van de huidige/laatste aanmelding).
• Aanmeldopties: als je je aanmeldt met Google of Apple, ontvangen we je naam, e-mailadres en een account-identifier van die provider; als je een passkey registreert, slaan we de publieke sleutel ervan op — biometrische gegevens verlaten nooit je apparaat.
• Profiel: optionele profielfoto en — voor medewerkers die boekbare trimmers zijn — biografie, specialiteiten, agendakleur, indiensttredingsdatum en commissiepercentage.
• Werkgegevens: werkuren, verlof (inclusief een eventueel vastgelegde reden), locatietoewijzingen en de configuratie/instellingen van het bedrijf.
• Rol & lidmaatschap: tot welk(e) bedrijf/bedrijven de gebruiker behoort en hun rol (admin of lid).

3.2 Klant- en huisdiergegevens (Mimos als verwerker, namens het bedrijf)

• Gegevens van huisdiereigenaren ("klanten"): naam, e-mailadres(sen), telefoonnummer(s), post-/factuuradres(sen), vrije tekstnotities, herkomstbron, huishoudrelaties en tags/labels — of ze nu handmatig zijn ingevoerd of in bulk zijn geïmporteerd (bijvoorbeeld uit een CSV van het bestaande klantenbestand van het bedrijf).
• Berichtenvoorkeuren en toestemming: of de klant toestemming heeft gegeven voor geautomatiseerde herinneringen/marketingberichten, wanneer toestemming is gegeven of ingetrokken, en het voorkeurskanaal (SMS, email of geen).
• Huisdierdossiers: naam, soort, ras, geboortedatum, geslacht, grootte, gewicht, vacht/temperament, allergieën en medische notities, en huisdierfoto's (profielfoto en voor/na-foto's van het trimmen).
• Vaccinatiegegevens: naam/type vaccin, toegediende en vervaldatums, verificatie en een eventuele reden/notities bij overschrijving, en een geüpload bewijsdocument (foto of PDF van een certificaat).
• Afspraken & dienstgeschiedenis: boekingen, tijden, status, prijssnapshots, afspraaknotities/speciale instructies, en welke medewerker de dienst heeft uitgevoerd.
• Betalingen & aanbetalingen: wanneer een bedrijf aanbetalingen bij boekingen inschakelt, gegevens over aanbetalingsbedragen, status en Stripe-betalingsreferenties. Kaartgegevens blijven bij Stripe; wij zien of bewaren ze nooit.
• Toestemmingen & handtekeningen: verklaringen/toestemmingsdocumenten die bij het inchecken worden vastgelegd, inclusief vlaggen voor fototoestemming, de naam van de ondertekenaar en een digitale handtekeningpayload, plus de documentversie/locale en het tijdstempel.
• Beoordelingen & getuigenissen: waarderingen en opmerkingen in vrije tekst ingediend door klanten (sommige via getokeniseerde links), en eventuele naam/foto van een getuigenisauteur die een bedrijf ervoor kiest te publiceren.
• Communicatie: een logboek van berichten die naar klanten zijn verzonden of van hen zijn ontvangen, inclusief het telefoonnummer/e-mailadres van de ontvanger, het kanaal (SMS, WhatsApp, email), de berichttekst, de richting, de bezorgstatus en eventuele fouten.

Opmerking over gevoelige gegevens. Allergieën en medische notities over huisdieren zijn informatie over diergezondheid, geen bijzondere categorie persoonsgegevens over een mens. Vrije-tekstvelden (klantnotities, afspraaknotities, beoordelingsopmerkingen) kunnen echter alles bevatten wat een gebruiker intypt. Bedrijven moeten vermijden om in deze velden bijzondere categorieën persoonsgegevens over personen vast te leggen.

3.3 Automatisch verzamelde gegevens

• Sessie- en authenticatiecookies (zie §6).
• Server- en beveiligingslogboeken, waaronder IP-adres, verzoekmetadata en user-agent, gebruikt voor het laten draaien, beveiligen en debuggen van de dienst. Wachtwoorden, tokens, OTP-codes en vergelijkbare geheimen worden uit onze logboeken gefilterd.
• Prestatie- en tracingtelemetrie via onze provider voor applicatieprestatiemonitoring (zie §7), bestaande uit verzoek- en tracingmetadata.
• Productanalytics-gebeurtenissen (bijv. funnel-/gebruiksgebeurtenissen met een sessie-identifier en de geauthenticeerde gebruiker, waar van toepassing).
• Mobiele push-tokens voor medewerkers die de bijbehorende iOS- of Android-app gebruiken (apparaattoken, platform, omgeving, tijdstip laatst gezien). Meldingen worden bezorgd via Apple Push Notification service (APNs) op iOS en Firebase Cloud Messaging (FCM) op Android; de verzamelde tokengegevens zijn op beide platforms hetzelfde.
• First-party websitetelemetrie op joinmimos.com: geaggregeerde aantallen bekeken pagina’s, verkeersbron, scrolldiepte en kliks op call-to-actions. Het gebruikt geen cookies — de bezoek-identificatie staat in de session storage van je browser en verdwijnt als je het tabblad sluit — en legt nooit vast wat je in een formulier typt.
• Google Analytics 4 op joinmimos.com. Het laadt op elke pagina in een beperkte, cookieloze modus; alleen als je de categorie analyse accepteert plaatst het first-party cookies (_ga, _ga_<id>) met een pseudonieme identificatie en registreert het welke pagina’s je bekijkt, hoe je binnenkwam en je apparaat, browser, taal en globale locatie.
• Google-klik-identificatoren op joinmimos.com. Als je de categorie advertenties accepteert en via een Google-advertentie binnenkomt, bewaren we de identificator die Google aan de link heeft toegevoegd (gclid, gbraid of wbraid). Die gaat met je mee naar de aanmeldpagina en als je een account aanmaakt, sturen we hem samen met het tijdstip naar Google Ads zodat het account aan de aangeklikte advertentie kan worden gekoppeld. We sturen nooit je naam, je e-mailadres of iets wat je hebt ingevuld. Zonder je toestemming voor advertenties wordt de identificator niet bewaard.
• Abonnements- en aankoopgegevens voor Mimos Pro (ons betaalde plan). Wanneer je je abonneert via de App Store of Google Play, verwerken we de transactie-identifier van de store, de product-identifier (bijv. het maandelijkse of jaarlijkse plan), een pseudonieme identifier per account die de app naar de store stuurt (appAccountToken van Apple / obfuscatedAccountId van Google, afgeleid van je account-ID) en de resulterende rechten- of abonnementsstatus. Als je je op het web abonneert via Stripe, verwerken we je Stripe-klant- en -abonnementsidentifiers, de product-identifier en de abonnementsstatus. We verwerken dit uitsluitend om toegang tot Mimos Pro te verlenen en te beheren.

We slaan geen betaalkaartnummers of bankrekeninggegevens op; Mimos is geen betalingsverwerker.

4. Waarom we gegevens verwerken en onze rechtsgronden

Waar de AVG (EU/EEA), de Braziliaanse LGPD of andere toepasselijke wetgeving inzake gegevensbescherming van toepassing is, baseren we ons op de volgende grondslagen:

Voor onze eigen marketing naar bedrijven, of waar anderszins toestemming vereist is, baseren we ons op toestemming, die je op elk moment kunt intrekken.

5. Berichten aan klanten en toestemming

Mimos kan SMS- en e-mailberichten sturen naar de klanten van een bedrijf (bijvoorbeeld afspraakherinneringen en -bevestigingen), waarbij WhatsApp-berichten beschikbaar zijn waar dit is ingeschakeld. WhatsApp-berichten worden verzonden vanaf het eigen WhatsApp Business-nummer van het bedrijf via de WhatsApp Business Cloud API van Meta, waarbij Mimos namens het bedrijf optreedt als "Tech Provider" van Meta. Het platform registreert en handhaaft de toestemming voor berichten: de toestemmingsstatus en het tijdstempel van een klant worden opgeslagen, en geautomatiseerde berichten aan klanten zijn afhankelijk van die toestemming. Klanten kunnen hun toestemming op elk moment intrekken door contact op te nemen met het bedrijf of door de afmeldinstructies te volgen waar deze worden aangeboden. Berichtenlogboeken worden bewaard als onderdeel van de administratie van het bedrijf (zie §9).

6. Cookies en vergelijkbare technologieën

Mimos gebruikt een klein aantal strikt noodzakelijke cookies om te functioneren. Deze omvatten:

• Een sessiecookie (bijv. _pet_crm_session) om je aangemeld te houden en te beschermen tegen cross-site request forgery. Deze is HttpOnly, SameSite=Lax en (in productie) Secure (alleen HTTPS).
• Een "onthoud mij"-cookie die alleen wordt ingesteld als je die optie kiest bij het aanmelden, zodat je over browsersessies heen ingelogd blijft; deze wordt gewist bij het uitloggen.

Omdat deze cookies essentieel zijn voor het leveren van een door jou gevraagde dienst, vereisen ze geen toestemming volgens de ePrivacy-regels. Los daarvan laden we Meta Pixel op het web of activeren we de Meta SDK in de mobiele apps pas nadat je de advertentiecategorie hebt geaccepteerd. We kunnen een pseudonieme account-ID, installatie-, apparaat- of advertentie-ID’s gebruiken waar die beschikbaar en toegestaan zijn, plus beperkte interactie-, registratie- en abonnementsgebeurtenissen om campagnes te meten en resultaten toe te schrijven. Op iOS vragen we ook om App Tracking Transparency-toestemming (ATT). Je kunt deze toestemming altijd weigeren of intrekken via de cookievoorkeuren op de website of Privacy in de app; intrekking stopt toekomstig gebruik en toekomstige verzendingen.

Op onze website joinmimos.com vragen we ook toestemming voor analysecookies. Google Analytics 4 laadt op elke pagina, maar zolang je de categorie analyse niet accepteert draait het in een beperkte modus: het plaatst geen cookies, gebruikt geen identificatie en stuurt Google alleen het paginadres, je apparaat en browser, en een globale locatie afgeleid van je IP-adres. Alleen als je accepteert plaatsen we first-party analysecookies (_ga, _ga_<id>, met een looptijd tot 24 maanden) die je bezoeken aan elkaar koppelen. Google Signals en advertentiepersonalisatie staan uit, dus deze cookies worden niet gebruikt om advertentiedoelgroepen op te bouwen. Weigeren kost één klik, en je kunt je keuze altijd wijzigen of intrekken via “Cookievoorkeuren” in de voettekst.

Pas nadat je de categorie advertenties accepteert, laden we de Google Ads-tag op de aanmeldpagina’s van app.joinmimos.com. Die leest de klik-identificator uit de link waarmee je binnenkwam en plaatst Google-advertentiecookies (_gcl_*) met een looptijd van maximaal 90 dagen. Als je het aanmeldformulier invult, meldt hij die ene conversie aan Google Ads. De melding kan vanuit je browser of vanaf onze eigen servers worden verstuurd; in beide gevallen bevat ze de klik-identificator en het tijdstip, en niets van wat je hebt ingevuld. Je kunt deze toestemming altijd wijzigen of intrekken via ‘Cookievoorkeuren’ in de voettekst van de site, of via Privacy in de app; intrekken stopt elk verder gebruik.

7. Dienstverleners en subverwerkers

We delen persoonsgegevens met de onderstaande derden uitsluitend om de dienst te leveren. Elk van hen is gebonden aan voorwaarden inzake gegevensbescherming. Deze lijst kan veranderen; we houden hem actueel.

Gepland (nog niet actief): foutopsporing via Sentry is geïntegreerd in onze code maar is niet ingeschakeld in productie en verwerkt daarom vandaag geen persoonsgegevens. Als we het inschakelen, werken we deze sectie bij; foutrapporten kunnen dan het IP-adres, verzoekheaders en de identifiers van de getroffen gebruiker bevatten.

Gekoppelde Mimos-producten. Als een huisdiereigenaar zijn of haar Mimos Pets-profiel koppelt en het delen autoriseert, kan het bedrijf de profielonderdelen bekijken die de eigenaar heeft gekozen om te delen (bijvoorbeeld identiteit, trimnotities, gedrag, allergieën, aandoeningen, medicatie en vaccinaties). Dit delen wordt beheerd via de autorisatie van de huisdiereigenaar in Mimos Pets en kan daar worden ingetrokken.

We verkopen geen persoonsgegevens en delen ze niet voor advertentietargeting door derden. Communicatie met Meta is beperkt tot de hierboven beschreven meting en toeschrijving en wordt alleen met jouw toestemming geactiveerd.

8. Internationale gegevensoverdrachten

Onze primaire applicatie-infrastructuur — applicatieservers, database en achtergrondtaken — wordt gehost in de Europese Unie (Frankfurt). Sommige providers kunnen gegevens niettemin verwerken buiten het land waar je je bevindt, waaronder in de Verenigde Staten. Wanneer gegevens buiten de EEA/UK worden overgedragen, baseren we ons op passende waarborgen zoals de Standard Contractual Clauses van de Europese Commissie (en het UK Addendum waar relevant), of een adequaatheids-/Data Privacy Framework-certificering van een provider. Details over de waarborgen voor een specifieke overdracht zijn op verzoek beschikbaar via [email protected].

9. Bewaring van gegevens

• Account- en medewerkersgegevens worden bewaard zolang het abonnement van het bedrijf actief is en gedurende een redelijke periode daarna, en vervolgens verwijderd of geanonimiseerd, onder voorbehoud van wettelijke bewaarverplichtingen (bijv. fiscaal/boekhoudkundig).
• Klant-, huisdier-, afspraak-, foto- en vaccinatiegegevens worden voor het bedrijf (de verwerkingsverantwoordelijke) bewaard zolang het deze bewaart. Sommige records gebruiken soft delete (gemarkeerd als verwijderd en verborgen maar bewaard) zodat de geschiedenis en afsprakengegevens consistent blijven; ze worden niet automatisch gewist.
• Wijzigingsgeschiedenis / audittrail. Voor integriteit en verantwoording worden wijzigingen aan belangrijke records geversioneerd in een auditlogboek en bewaard gedurende de looptijd van het account, tenzij ze worden gewist.
• Berichtenlogboeken worden bewaard als onderdeel van de communicatieadministratie van het bedrijf.
• Accountsluiting / verwijdering. Wanneer een bedrijfsaccount wordt verwijderd, worden de bijbehorende gegevens (lidmaatschappen, klanten, huisdieren, afspraken, diensten, uitnodigingen, enz.) verwijderd. Op verzoek verwijderen of retourneren we de gegevens van een bedrijf conform onze DPA en het toepasselijke recht.
• Back-ups worden gedurende een beperkt voortschrijdend venster bewaard en daarna overschreven; verwijderingsverzoeken worden in actieve systemen onmiddellijk uitgevoerd en planten zich voort naarmate back-ups uit roulatie gaan.

Als je een specifiek bewaarschema gedocumenteerd wilt hebben, neem dan contact met ons op via [email protected].

10. Hoe we gegevens beschermen

• Versleuteling tijdens verzending: HTTPS/TLS wordt afgedwongen in de hele applicatie (HSTS/force_ssl in productie); cookies zijn Secure en HttpOnly.
• Wachtwoordbescherming: wachtwoorden worden gehasht met bcrypt (work factor 12) en nooit in platte tekst opgeslagen of gelogd.
• API-toegang: programmatische toegang gebruikt bearer tokens die alleen worden opgeslagen als een gesalte HMAC-SHA256-digest (het ruwe token wordt nooit bewaard); tokens kunnen worden ingetrokken en verlopen.
• Misbruikpreventie: rate limiting op de endpoints voor aanmelden, registreren, wachtwoordherstel en OTP, en accountvergrendeling na herhaalde mislukte aanmeldingen.
• Loghygiëne: wachtwoorden, tokens, OTP's en andere geheimen worden uit de applicatielogboeken gefilterd.
• Tenant-isolatie: de gegevens van elk bedrijf zijn logisch gescheiden per account.
• Toegangscontrole: op rollen gebaseerde rechten (admin/lid) en beleidscontroles bewaken de toegang binnen een account.
• Beveiliging van de mobiele sessie: de mobiele app slaat haar sessietoken op in de beveiligde opslag van het apparaat (iOS Keychain / Android Keystore), optioneel beschermd door apparaatbiometrie wanneer je die inschakelt; biometrische gegevens verlaten nooit je apparaat en worden volledig door het besturingssysteem afgehandeld.

Geen enkel systeem is perfect beveiligd, maar we nemen redelijke en passende technische en organisatorische maatregelen om persoonsgegevens te beschermen en we zullen betrokken partijen en toezichthouders op de hoogte stellen van een inbreuk op persoonsgegevens waar de wet dat vereist.

11. Jouw rechten

Onder voorbehoud van het toepasselijke recht (zoals de AVG en de LGPD) heb je mogelijk het recht om:

• Inzage te krijgen in de persoonsgegevens die we over je bewaren en een kopie te ontvangen.
• Onjuiste of onvolledige gegevens te laten corrigeren.
• Je gegevens te laten wissen ("recht om vergeten te worden") in bepaalde omstandigheden.
• Bepaalde verwerking te beperken of er bezwaar tegen te maken, waaronder verwerking op basis van gerechtvaardigde belangen en directe marketing.
• Gegevensoverdraagbaarheid — je gegevens te ontvangen in een gestructureerd, machineleesbaar formaat.
• Toestemming in te trekken op elk moment wanneer de verwerking op toestemming is gebaseerd.
• Een klacht in te dienen bij je lokale gegevensbeschermings- of toezichthoudende autoriteit.

Hoe je je rechten uitoefent:

• Als Mimos de verwerkingsverantwoordelijke is (je account-/medewerkersgegevens), neem dan contact met ons op via [email protected]. We reageren binnen de termijn die de wet vereist (één maand onder de AVG, verlengbaar). Mogelijk moeten we je identiteit verifiëren.
• Als je gegevens zijn ingevoerd door een trimsalon (d.w.z. je bent klant van dat bedrijf), neem dan contact op met dat bedrijf — het is de verwerkingsverantwoordelijke. Wij ondersteunen het bij het inwilligen van je verzoek: Mimos biedt bedrijven hiervoor ingebouwde tools, waaronder een gegevensexport per klant in een machineleesbaar formaat en een verwijderingsprocedure in twee stappen.

12. Kinderen

Mimos is bedoeld voor bedrijven en volwassenen. Het richt zich niet op kinderen en we verzamelen niet bewust persoonsgegevens van kinderen. Als je denkt dat een kind persoonsgegevens heeft verstrekt, neem dan contact met ons op en we verwijderen deze.

13. Geautomatiseerde besluitvorming

We gebruiken de hier beschreven persoonsgegevens niet om uitsluitend via geautomatiseerde middelen besluiten te nemen die juridische of vergelijkbaar aanzienlijke gevolgen voor je hebben.

14. Wijzigingen in dit beleid

We kunnen dit beleid bijwerken om wijzigingen in het product, onze providers of de wet te weerspiegelen. We plaatsen de bijgewerkte versie met een nieuwe datum bij "Laatst bijgewerkt" en bieden voor wezenlijke wijzigingen aanvullende kennisgeving (bijv. in de app of per e-mail). Voortgezet gebruik na de ingangsdatum geldt als aanvaarding waar de wet dit toestaat.

15. Contact opnemen

Vragen, verzoeken of klachten over privacy: