Privacyverklaring

MediaBrain is een dienst van AIDG (eenmanszaak, KvK 94044627), gevestigd aan Frans van Mierisstraat 7, 8932 KR Leeuwarden. In deze verklaring leggen we uit welke persoonsgegevens we verwerken, waarom, waar en hoe lang, en welke rechten je hebt.

Vragen of verzoeken over privacy: privacy@mediabrain.nl.

MediaBrain bevindt zich in de pilotfase. Deze verklaring beschrijft hoe de dienst werkt zoals die nu is ingericht. Verandert er iets wezenlijks — bijvoorbeeld een nieuwe categorie gegevens of een nieuwe verwerker — dan passen we deze verklaring aan vóórdat die wijziging ingaat.

1. Onze rollen

Voor organisaties die MediaBrain gebruiken (ondernemers, creators, bureaus en hun gebruikers) zijn wij verwerkingsverantwoordelijke voor accountgegevens: wie er inlogt, bij welke organisatie iemand hoort, facturatie en communicatie met ons.
Voor de inhoud die een organisatie via MediaBrain verwerkt — merkinformatie, gebeurtenissen uit hun eigen software, concepten, afbeeldingen, gekoppelde social-accounts en de resultaten van posts — zijn wij verwerker. De organisatie bepaalt wat er met die gegevens gebeurt; wij voeren uit wat zij opdraagt. Daarvoor sluiten we een verwerkersovereenkomst.
Voor sollicitanten die via een vacaturepagina op mediabrain.nl (/vacatures/...) reageren, is het bedrijf van de vacature verwerkingsverantwoordelijke en zijn wij verwerker. Vragen over je sollicitatie stel je aan dat bedrijf; wij helpen het bedrijf om je verzoek uit te voeren.
Voor ontvangers van e-mail die een organisatie via MediaBrain verstuurt (nieuwsbrieven, aanbiedingen, zakelijke mail) is die organisatie verwerkingsverantwoordelijke en zijn wij verwerker. Elke mail vermeldt wie de afzender is en bevat een afmeldlink die direct werkt.
Voor bezoekers van mediabrain.nl zijn wij verwerkingsverantwoordelijke voor de technische gegevens die bij een bezoek ontstaan.

2. Welke gegevens verwerken we?

Categorie	Voorbeelden
Accountgegevens	Naam, e-mailadres, wachtwoord (alleen als onomkeerbare hash), rol binnen de organisatie, organisatienaam, factuurgegevens
Merkgegevens	Merknaam, beschrijving, tone of voice, doelgroepen, kleuren, logo, voorbeeldteksten, informatie van de website die je zelf opgeeft
Gekoppelde social-accounts	Account- of pagina-ID, weergavenaam, profielfoto, de rechten die je hebt gegeven, en de toegangssleutels (tokens) die het platform ons geeft
Gebeurtenissen (events)	Gegevens die jouw eigen software of een gekoppelde dienst naar MediaBrain stuurt, zoals beschikbare tijdstippen, een nieuwe dienst of de tekst en voornaam bij een review
Content	Concepten, goedgekeurde en geplaatste posts, afbeeldingen, planning, wie wat heeft goedgekeurd
Resultaten van posts	Cijfers die het platform over jouw posts teruggeeft, zoals bereik, likes en reacties (aantallen), en — als je Google Analytics koppelt — websitebezoek, conversies en omzet per post (totalen)
Reacties op je posts (inbox)	Naam of gebruikersnaam en tekst van mensen die reageren op posts die via MediaBrain zijn geplaatst, het tijdstip, en jouw antwoord
Sollicitaties	Naam, e-mailadres, en als de sollicitant die invult: telefoonnummer, woonplaats, motivatie en cv; de status en notities van het bedrijf
E-mailcontacten	E-mailadres, en als de organisatie of de ontvanger die opgeeft: naam, bedrijf en labels; de grondslag (aangemeld, klant of algemeen zakelijk adres) met moment en bewijs van toestemming; of en wanneer iemand zich afmeldde. Van klikken op links tellen we alleen totalen per mail, niet per persoon; openingen meten we niet
B2B-leads	Bedrijfsgegevens die een organisatie zelf toevoegt of die op de openbare website van dat bedrijf staan (naam, website, algemeen e-mailadres zoals info@, telefoon, plaats, branche), plus notities van de organisatie. Persoonlijke e-mailadressen slaan we hierbij bewust niet op
AI-gebruik	De opdracht aan de AI, het antwoord, welk model het maakte en het verbruikte tegoed
Technische gegevens	IP-adres, tijdstip, browser, foutmeldingen en beveiligingslogs
Contact met ons	E-mails en supportverzoeken

Wij vragen organisaties om in gebeurtenissen alleen gegevens mee te sturen die nodig zijn voor de post (bijvoorbeeld een voornaam en de reviewtekst, geen e-mailadres of telefoonnummer).

3. Waarvoor en op welke grondslag?

Uitvoering van de overeenkomst — je account beheren, merkgegevens opslaan, concepten maken, posts plannen en publiceren, resultaten tonen, support.
Wettelijke verplichting — administratie en facturen bewaren.
Gerechtvaardigd belang — beveiliging, misbruik voorkomen, storingen oplossen en de dienst verbeteren op basis van geaggregeerde, niet-herleidbare cijfers.
Toestemming — waar de wet dat vraagt, bijvoorbeeld voor niet-noodzakelijke cookies (die gebruiken we nu niet, zie §10).

We gebruiken gegevens niet voor advertenties, verkopen ze niet en maken er geen profielen van voor andere doeleinden dan de dienst zelf.

4. Waar staan de gegevens?

MediaBrain draait op servers van Hetzner Online GmbH in Duitsland (EU). Daar staan de database en de opgeslagen afbeeldingen.

5. Koppeling met social-platforms

MediaBrain verbindt rechtstreeks met de officiële koppelingen (API's) van de social-platforms: Facebook en Instagram (Meta), LinkedIn (persoonlijke profielen en bedrijfspagina's), TikTok, YouTube en Google Bedrijfsprofiel. Er zit geen tussenpartij of publicatiedienst tussen die jouw toegang beheert.
Per platform vragen we alleen deze gegevens op: je account- of pagina-ID, weergavenaam en profielfoto (om te laten zien wélk account gekoppeld is), bij LinkedIn welke bedrijfspagina's je beheert, en de rechten om namens jou te publiceren. Van Instagram, Facebook, YouTube en LinkedIn-bedrijfspagina's halen we de reacties op posts die via MediaBrain zijn geplaatst op, zodat je ze in de inbox kunt beantwoorden; privéberichten, volgers en contacten halen we niet op.
Wat we naar een platform sturen, is alleen wat jij of je organisatie heeft goedgekeurd: de tekst, afbeeldingen of video's van de post en het tijdstip. Video's voor TikTok haalt TikTok zelf op via een tijdelijke, onraadbare link op mediabrain.nl.
Bij het koppelen vragen we alleen de rechten die nodig zijn om voor jou te publiceren en de resultaten van jouw posts op te halen.
De toegangssleutels die we van het platform krijgen, slaan we versleuteld op. Ze worden alleen gebruikt om uit te voeren wat jij of je organisatie opdraagt, en worden nooit aan anderen gegeven.
Gegevens die we via een platform ontvangen, gebruiken we uitsluitend om de dienst aan jou te leveren. We houden ons aan de regels van het platform, inclusief hun bewaartermijnen.
Je kunt een account altijd ontkoppelen in MediaBrain. We verwijderen dan de toegangssleutels en trekken, waar het platform dat ondersteunt, de toegang ook bij het platform in. Je kunt de toegang daarnaast zelf intrekken in de instellingen van het platform.
Wat je publiceert, valt op het platform zelf onder het privacybeleid van dat platform.

YouTube en Google Bedrijfsprofiel. Voor YouTube vragen we toestemming om video's te uploaden, om de naam en het ID van je kanaal en de cijfers van je eigen video's te lezen, en (als je de inbox gebruikt) om reacties op je eigen video's te lezen en op jouw verzoek te beantwoorden; voor Google Bedrijfsprofiel om je vestigingen te zien en er updates op te plaatsen; voor Google Analytics om alleen te lezen welke GA4-properties je hebt en hoeveel websitebezoek, conversies en omzet de links in jouw MediaBrain-posts opleverden (totalen per post, geen gegevens over individuele bezoekers), plus het e-mailadres van het gekoppelde Google-account. MediaBrain gebruikt de YouTube API Services; door een YouTube-kanaal te koppelen ga je akkoord met de Servicevoorwaarden van YouTube en geldt ook het Privacybeleid van Google. Je kunt de toegang altijd intrekken via myaccount.google.com/permissions.

Het gebruik en de doorgifte van informatie die MediaBrain via Google-API's ontvangt, voldoet aan het Google API Services User Data Policy, inclusief de eisen voor Limited Use: we gebruiken die gegevens alleen om de functies te leveren die je in MediaBrain ziet, geven ze niet door aan anderen (behalve als dat nodig is voor die functies, de wet het vereist of bij een overname), gebruiken ze niet voor advertenties en laten er geen mensen in meekijken zonder jouw toestemming, tenzij dat nodig is voor beveiliging of de wet. We gebruiken ze ook niet om AI-modellen te trainen.

Links meten. Links naar je eigen website krijgen bij het plaatsen utm-codes (zoals utm_source=instagram), zodat jouw statistiekentool ziet via welke post een bezoeker kwam. Die codes bevatten geen persoonsgegevens. Je kunt dit per workspace uitzetten.

6. AI en je gegevens

**In het kort:** Standaard draait alle AI in de EU, bij een Europese AI-aanbieder (datacenters in Frankrijk) die je invoer niet bewaart (zero data retention) en er niet op traint, met een tweede Europese AI-aanbieder (EU) als reserve. Voor een paar functies — vooral beeld en video — kun je zelf kiezen om een sterker model buiten de EU te gebruiken. Dat kies je in MediaBrain bij **Instellingen → AI** ("AI buiten de EU toestaan"). Voor nieuwe organisaties staat die keuze uit.

MediaBrain gebruikt AI-diensten van externe aanbieders om teksten voor te stellen (bijvoorbeeld een post in jouw merkstem), foto's en video's te bekijken en te beoordelen, afbeeldingen en video's te maken of te bewerken, en gesproken tekst in video's om te zetten naar ondertitels. Daarbij gelden vaste regels:

Gegevens die persoonsgegevens kunnen bevatten — zoals reviewteksten, reacties, namen, gesproken tekst en je strategie-antwoorden — sturen we altijd alleen naar AI-aanbieders die de gegevens binnen de EU/EER verwerken, met wie een verwerkersovereenkomst is gesloten en die de gegevens niet gebruiken om hun modellen te trainen. Dat geldt ook als je AI buiten de EU hebt toegestaan.
Staat "AI buiten de EU" uit (de standaard), dan gaat er niets naar AI buiten de EU. AI-beeld, foto's met AI bewerken en AI-video zijn dan niet beschikbaar, omdat we daar nog geen EU-model voor hebben.
Zet je "AI buiten de EU" aan, dan gebruiken we voor AI-beeld, foto's met AI bewerken en AI-video AI-diensten in de Verenigde Staten (zie de tabel in §7). Ook mag dan bij een storing van de Europese aanbieders een tekstmodel in de VS invallen, alleen voor taken zonder persoonsgegevens. Doorgifte buiten de EER gebeurt met passende waarborgen, zoals de standaardcontractbepalingen van de Europese Commissie, en zonder training op jouw gegevens.
Beeld en video met AI: de opdracht voor het beeldmodel schrijft eerst een AI in de EU, zonder namen. Een eigen foto sturen we alleen naar een beeld- of video-AI buiten de EU nadat je hebt bevestigd dat er geen herkenbare personen op staan.
Antwoordvoorstellen in de inbox maken we altijd bij een aanbieder in de EU, omdat reacties namen en persoonlijke tekst bevatten. Een voorstel wordt pas geplaatst als jij op Beantwoorden klikt.
Strategie: je antwoorden op de strategievragen, je eigen cijfers en de maandelijkse controle verwerken we altijd bij een aanbieder in de EU. Voor het onderzoek leest MediaBrain alleen openbare webpagina's die jij opgeeft (je eigen website, concurrenten, voorbeelden) en zoekt het nieuws via Google Nieuws met algemene zoekwoorden, zonder persoonsgegevens.
Ondertitels (spraak naar tekst) maken we altijd bij een aanbieder in de EU, omdat stemmen en gesproken tekst persoonsgegevens kunnen bevatten.
De AI-collega (de AIDG-chat in MediaBrain) valt niet onder de keuze "AI buiten de EU": daar kies je in de chat zelf welk model je gebruikt.
Link-in-bio-pagina's (mediabrain.nl/l/…): van bezoekers tellen we alleen per dag hoeveel weergaven en klikken er waren. Geen cookies, geen IP-adressen, geen profielen.
AI-voorstellen zijn concepten. Niets wordt gepubliceerd zonder goedkeuring, tenzij jouw organisatie daar zelf een automatische regel voor heeft ingesteld.

Welke AI-dienst wat doet en waar, staat in de lijst van verwerkers (§7).

7. Verwerkers

We schakelen alleen verwerkers in die nodig zijn om de dienst te leveren, allemaal onder een verwerkersovereenkomst. Voor organisaties staat de afspraak met ons in de [verwerkersovereenkomst](/verwerkersovereenkomst). Deze lijst geeft de **werkelijk actieve** verwerkers weer en wordt bijgewerkt vóórdat een nieuwe verwerker in gebruik wordt genomen.

Dienst	Wat	Land/regio	Standaard of alleen met jouw keuze
Hetzner Online GmbH	Hosting, database en opslag van afbeeldingen en video's	Duitsland (EU)	Standaard
TransIP B.V.	E-mail (mailbox en verzending vanaf onze adressen)	Nederland (EU)	Standaard
Stripe Payments Europe, Ltd.	Betalingen van abonnementen (naam, e-mail, factuuradres, btw-nummer, betaalgegevens)	Ierland (EU); Stripe kan gegevens doorgeven aan Stripe, Inc. in de VS onder het EU-VS Data Privacy Framework en EU-modelcontractbepalingen	Standaard, als je een betaald abonnement neemt
Europese AI-aanbieder (standaard)	AI-tekst, het bekijken en beoordelen van foto's en video's, en spraak naar tekst (ondertitels), ook voor gegevens die persoonsgegevens kunnen bevatten. Bewaart je invoer niet (zero data retention) en traint er niet op	Frankrijk (EU)	Standaard
Tweede Europese AI-aanbieder (reserve)	AI-tekst en het bekijken en beoordelen van foto's en video's als de standaard niet beschikbaar is, ook voor gegevens die persoonsgegevens kunnen bevatten. Bewaart je invoer niet (zero data retention) en traint er niet op	EU	Standaard
Brave Software, Inc.	Webzoeken voor onderzoek en agents (reserve naast onze eigen zoekdienst): alleen de zoekterm, geen cookies, geen opslag	Verenigde Staten	Standaard
Google LLC	AI-beeld maken en bewerken, AI-video	Verenigde Staten (standaardcontractbepalingen)	Alleen met jouw keuze "AI buiten de EU"
DeepInfra Inc.; X.AI LLC	AI-beeld (reserve als Google geen beeld levert)	Verenigde Staten (standaardcontractbepalingen)	Alleen met jouw keuze "AI buiten de EU"
Anthropic PBC	AI-tekst (reserve bij een storing, alleen voor taken zonder persoonsgegevens)	Verenigde Staten (standaardcontractbepalingen)	Alleen met jouw keuze "AI buiten de EU"

De Europese AI-aanbieders staan hier als categorie (wat ze doen, waar en onder welke voorwaarden). De actuele lijst van subverwerkers, met namen, sturen we je op verzoek: mail privacy@mediabrain.nl. Wijzigingen in deze lijst melden we vooraf (artikel 28 AVG).

Organisaties die al een pakket met AI hadden toen deze keuze werd ingevoerd (oktober 2026), kregen hem op "aan", omdat AI-beeld en AI-video in hun pakket zaten en al zo werkten. Zij zien daar één keer een melding over. Een beheerder kan dat in Instellingen → AI op elk moment uitzetten.

Social-platforms (Meta, LinkedIn, TikTok, Google/YouTube) en Canva staan niet in deze lijst: dat zijn geen verwerkers van ons, maar diensten waar jij zelf een account hebt. Als je Canva koppelt, sturen we alleen de foto die je zelf in Canva opent naar jouw Canva-account, en halen we het ontwerp terug in je mediabibliotheek zodra jij in Canva op Terug klikt.

8. Hoe lang bewaren we gegevens?

Gegevens	Termijn
Account-, merk- en contentgegevens	Zolang je organisatie klant is. Na opzeggen: 30 dagen om te exporteren, daarna verwijderd
Toegangssleutels van social-accounts	Tot je het account ontkoppelt, de organisatie verwijdert of het platform de toegang intrekt — dan direct verwijderd
Resultaten van posts	Zolang je klant bent, en nooit langer dan het betreffende platform toestaat
Gebeurtenissen (events)	90 dagen na ontvangst
Sollicitaties (met cv)	4 weken na afwijzing of het sluiten van de vacature; met toestemming van de sollicitant 1 jaar; zonder besluit uiterlijk 6 maanden na ontvangst. Automatisch verwijderd. Bij aanneming verwijdert het bedrijf de sollicitatie zelf (die hoort dan in het personeelsdossier)
E-mailcontacten	Zolang de organisatie klant is of tot de organisatie het contact verwijdert. Na afmelden bewaren we alleen het e-mailadres, zodat er nooit meer mail naartoe gaat
B2B-leads	Tot de organisatie de lead verwijdert of klant af is
Reacties in de inbox	180 dagen na de reactie (reacties van YouTube: 30 dagen), of eerder als je het account ontkoppelt
Technische logs	30 dagen
Back-ups	Verwijderde gegevens verdwijnen uit back-ups binnen 30 dagen
Facturen en administratie	7 jaar (wettelijke plicht)

9. Jouw rechten

Je hebt recht op inzage, correctie, verwijdering, beperking van de verwerking, bezwaar en overdraagbaarheid van je gegevens.

Exporteren en verwijderen van organisatiegegevens: een beheerder van de organisatie kan een volledige export aanvragen of de organisatie laten verwijderen. Hoe dat werkt, staat op Gegevens verwijderen.
Andere verzoeken: mail privacy@mediabrain.nl. We reageren binnen 30 dagen.
Sta je zelf in content van een organisatie die MediaBrain gebruikt (bijvoorbeeld met een review)? Richt je verzoek dan aan die organisatie; wij helpen haar het uit te voeren. Je mag ook ons mailen, dan sturen we het door.
Je kunt altijd een klacht indienen bij de Autoriteit Persoonsgegevens.

10. Cookies en bezoekersstatistieken

mediabrain.nl gebruikt geen tracking- of advertentiecookies. De app gebruikt alleen functionele cookies die nodig zijn om in te loggen en de dienst te laten werken; daarvoor is geen toestemming nodig. Gaan we ooit andere cookies gebruiken, dan vragen we eerst toestemming.

Bezoekersstatistieken. Om te zien hoe onze website en app gebruikt worden, meten we anonieme bezoekersstatistieken met Umami (open source) op onze eigen server in de EU. Daarbij gebruiken we geen cookies en verwerken we geen persoonsgegevens: we slaan je IP-adres niet op en volgen je niet over andere websites. Links met persoonlijke codes worden nooit doorgestuurd. Je browserinstelling 'Do Not Track' respecteren we.

11. Beveiliging

Onder meer: versleutelde verbindingen (HTTPS), versleutelde opslag van toegangssleutels, wachtwoorden alleen als hash, toegang tot de servers alleen met persoonlijke sleutels, firewall, automatische beveiligingsupdates en een auditlog van belangrijke acties zoals koppelen, goedkeuren en publiceren.

12. Wijzigingen

Deze verklaring kan veranderen als de dienst verandert. Belangrijke wijzigingen melden we vooraf per e-mail of in de app. Bovenaan staat de versie en datum.

Versie 1.9 — 5 oktober 2026