Privacyverklaring
Versie september 2026.
Deze privacyverklaring legt uit welke persoonsgegevens Complemy, uitgebaten door YAMY BV, Klaproosstraat 36, 8800 Roeselare, België, KBO 0505.624.079 ("Complemy", "wij") verzamelt, waarom, hoe lang we ze bewaren, met wie we ze delen en welke rechten je hebt. Ze geldt voor de website complemy.be (en complemy.com, dat doorverwijst), de AI Act-scan, het leerplatform en alle communicatie die daarbij hoort.
1. Wie is verantwoordelijk?
Verwerkingsverantwoordelijke voor de website, de scan, de verkoop en de facturatie is Complemy, uitgebaten door YAMY BV, Klaproosstraat 36, 8800 Roeselare, België, KBO 0505.624.079, te bereiken via info@complemy.com. Er is geen functionaris voor gegevensbescherming aangesteld; vragen over privacy richt je aan hetzelfde adres met als onderwerp "Privacy".
2. Onze dubbele rol
Complemy treedt in twee hoedanigheden op, en dat bepaalt bij wie je terechtkunt:
- Verwerkingsverantwoordelijke voor bezoekers van de website, aanvragers van de AI Act-scan, contactpersonen en beheerders van klantbedrijven en partners, en voor alles wat met facturatie en de commerciële relatie te maken heeft.
- Verwerker voor de leergegevens van medewerkers van klantbedrijven (cursisten). Het bedrijf dat je uitnodigt, beslist wie deelneemt, welk traject je volgt, hoe lang je gegevens bewaard blijven en wie ze mag inkijken. Wil je als cursist je rechten uitoefenen, dan richt je je in eerste instantie tot je werkgever; wij helpen die daarbij. Die verhouding is vastgelegd in onze verwerkersovereenkomst.
3. Welke gegevens, waarvoor en op welke grond
| Situatie | Gegevens | Doel | Rechtsgrond |
|---|---|---|---|
| Bezoek aan de website | IP-adres (gemaskeerd in statistieken), browser, bezochte pagina's, tijdstip | Werking en beveiliging van de site; geaggregeerde statistieken (enkel na toestemming) | Gerechtvaardigd belang (beveiliging); toestemming (statistieken) |
| Snelle AI Act-scan | Geen — de antwoorden worden niet bewaard | — | — |
| Uitgebreide scan / rapport | Naam, zakelijk e-mailadres, bedrijfsnaam, sector, optioneel telefoon, antwoorden op de scan | Rapport bezorgen en via persoonlijke link opnieuw tonen; opvolging enkel na toestemming | Uitvoering van je verzoek; toestemming (commerciële opvolging) |
| Contact en offertes | Naam, functie, bedrijf, contactgegevens, inhoud van de vraag | Beantwoorden en opvolgen | Precontractuele stappen; gerechtvaardigd belang |
| Registratie van een bedrijf | Bedrijfsnaam, ondernemingsnummer, btw-nummer, adres, facturatie-e-mail, naam en e-mail van de beheerder | Account, facturatie, e-facturatie via Peppol | Uitvoering overeenkomst; wettelijke plicht (boekhouding, btw) |
| Betaling | Betaalreferentie, bedrag, status; kaart- of rekeninggegevens blijven bij de betaalprovider | Verwerken van tokenaankopen | Uitvoering overeenkomst |
| Beheerders en managers | Naam, zakelijk e-mailadres, rol, afdeling, wachtwoordhash, 2FA-geheim of passkey, gehashte aanmeldcodes per e-mail, logins | Toegang tot het portaal; opvolging van het team | Uitvoering overeenkomst |
| Cursisten (als verwerker) | Naam, zakelijk e-mailadres, functie, traject, voortgang per les, tijdsbesteding, quizantwoorden en -scores, nulmeting/hermeting met scores per competentie (zichtbaar voor de eigen beheerder en manager; de individuele antwoorden per vraag niet), actiepunten over de opleiding (genoteerd door beheerder of manager), certificaten, feedback op lessen | De opleiding leveren en het AI-geletterdheidsdossier (AI Act art. 4) van het bedrijf opbouwen | Instructie van het bedrijf (art. 28) |
| Platformmails | E-mailadres, naam, welke mail wanneer verzonden, afleverstatus | Uitnodigingen, lesmails, herinneringen, rapporten; foutopsporing | Uitvoering overeenkomst |
| Partners en sectorfondsen | Naam en contactgegevens van de partnerbeheerder; per aangesloten bedrijf: tokengebruik en geaggregeerde voortgang | Tokens verdelen, ledenkorting, commissieafrekening, sectorrapport | Uitvoering partnerovereenkomst; toestemming van het bedrijf om herkenbaar te zijn |
| Certificaatverificatie | Controlecode; naam van de cursist en bedrijfsnaam zoals op het certificaat | Derden laten nagaan dat een certificaat echt is | Gerechtvaardigd belang (bewijswaarde) |
| Logboek en beveiliging | Gebruikers-ID, actie, tijdstip, IP-adres bij aanmelding, mislukte pogingen, geraadpleegde klantfiches en zoekopdrachten van beheerders | Fraude- en misbruikpreventie, aantoonbaarheid van beheeracties én van inzage in persoonsgegevens | Gerechtvaardigd belang; wettelijke plicht (beveiliging) |
We verwerken geen bijzondere categorieën van gegevens (gezondheid, overtuiging, enz.) en vragen er ook niet naar. Geef ze dus ook niet in vrije tekstvelden in.
4. Geen profilering, geen geautomatiseerde beslissingen
Quizscores en voortgang worden gebruikt om lessen vrij te geven, certificaten toe te kennen en rapporten te maken. Dat gebeurt volgens vaste, vooraf gekende regels (bv. een slaagdrempel die het bedrijf kent). Er worden geen beslissingen met rechtsgevolg over personen genomen zonder menselijke tussenkomst, en we bouwen geen profielen op voor andere doeleinden.
5. Delen met partners en sectorfondsen
Een doorverwijzende partner ziet enkel dat een bedrijf via hem is aangesloten en welke commissie daaruit volgt — nooit gegevens van medewerkers. Een sectorfonds dat tokens ter beschikking stelt, ziet hoeveel tokens elk lid gebruikt en geaggregeerde voortgang per bedrijf. Voor sectorcijfers geldt een minimumaantal bedrijven zodat niemand herkenbaar is; een bedrijf kiest zelf of het zich herkenbaar maakt aan zijn sectorfonds. Individuele scores of namen van medewerkers worden nooit met partners gedeeld.
6. Ontvangers en verwerkers
We delen gegevens enkel met dienstverleners die ze voor ons verwerken, onder een verwerkersovereenkomst, en enkel voor zover nodig:
- Hosting (servers in de EU) voor toepassing, database en versleutelde back-ups.
- E-mailverzending (Google Workspace, EU-verwerkingsvoorwaarden) voor alle platformmails.
- Betaling (Mollie; optioneel Stripe) — de betaalprovider is zelfstandig verantwoordelijk voor de betaaltransactie.
- Facturatie en Peppol (Odoo, België) voor het opmaken en elektronisch bezorgen van facturen.
- Boekhouder van YAMY BV, voor wettelijke verplichtingen.
- Lesinhoud: geen externe leverancier — de lessen draaien op onze eigen servers (zie punt 7).
Een actuele lijst van verwerkers met land, doel en waarborgen is op verzoek beschikbaar. We verkopen nooit gegevens en delen ze niet voor marketing van derden.
7. Waar de lesinhoud draait
De lessen, quizzen en metingen draaien op onze eigen servers binnen de Europese Economische Ruimte. Ook lesmateriaal dat als SCORM-pakket wordt aangeboden, hosten we zelf. Wanneer je een les opent, haalt je browser dus niets op bij een externe leverancier van lesmodules: er wordt daarbij geen enkel gegeven van jou doorgegeven, ook je IP-adres niet.
Voor het opmaken van lesmateriaal gebruikt onze redactie wel een extern auteursgereedschap (Mindsmith Learning, Inc.). Dat gebeurt vóór publicatie, met tekst en beeld, en zonder enig gegeven van een cursist. Die leverancier ziet geen namen, e-mailadressen, voortgang, quizantwoorden of certificaten en is dus geen verwerker van jouw persoonsgegevens. De afgewerkte les wordt in ons eigen systeem ingelezen en van daaruit aan jou getoond.
Voor het leerplatform is er daardoor geen doorgifte van persoonsgegevens buiten de EER meer. Voor de verzending van platformmails gelden de waarborgen bij de verwerker die in punt 6 staat.
8. De AI Act-scan in detail
De snelle scan vul je in zonder iets achter te laten: je antwoorden worden niet bewaard. Vraag je het uitgebreide rapport aan, dan vragen we bedrijfsnaam, naam, e-mailadres en optioneel telefoon; je antwoorden worden mee bewaard, want zonder die antwoorden kan het rapport niet opnieuw worden opgebouwd.
Commercieel contact enkel met je toestemming. Bij het aanvragen staat een apart vinkje. Vink je dat niet aan, dan gebruiken we je gegevens uitsluitend om het rapport te bezorgen. Vink je het wel aan, dan sturen we maximaal drie opvolgmails (dag 1, 5 en 12) en eventueel één telefonische opvolging.
Bewaartermijn: 45 dagen wanneer je geen opvolging wenste of je afmeldde; drie maanden na onze laatste mail wanneer je wél opvolging wenste. Een week vóór het verwijderen krijg je een bericht zodat je het rapport nog kunt opslaan. In elke mail staat een link waarmee je je gegevens meteen laat verwijderen; je hoeft ons daar niets voor te vragen. Registreer je intussen als klant, dan gaan de gegevens over naar je klantenaccount.
8b. Prospectie: wanneer wij jou als eerste mailen
Soms nemen wij zelf contact op met beslissers bij Belgische kmo's — HR of directie — over de verplichting rond AI-geletterdheid uit de AI Act. Dat doen we op grond van ons gerechtvaardigd belang als aanbieder van precies die opleiding, en enkel via zakelijke contactgegevens die publiek beschikbaar zijn (website, ondernemingsregister, bedrijfspagina's) of die we via ons netwerk kregen. We kopen geen adressenlijsten.
Wat we bewaren: je naam, functie, zakelijk e-mailadres en telefoonnummer, je bedrijf en sector, welke mails we je stuurden en of je reageerde. Vul je via de persoonlijke link de AI Act-scan in, dan hangt het resultaat aan dat dossier.
Hoeveel mails: maximaal drie (een eerste mail en twee opvolgingen), verstuurd op werkdagen tijdens de kantooruren. Daarna mailen we je enkel nog als je zelf reageerde.
Afmelden: in elke mail staat een link waarmee je je met één klik afmeldt. Je adres komt dan op onze uitsluitingslijst, zodat we je ook bij een latere campagne niet opnieuw aanschrijven. Wil je ook die vermelding weg, laat het ons weten via de contactgegevens onderaan.
Bewaartermijn: reageer je niet, dan worden je gegevens na twaalf maanden automatisch geanonimiseerd. Ga je met ons in gesprek of word je klant, dan gaan de gegevens over naar je klantdossier.
9. Bewaartermijnen
| Gegevens | Termijn |
|---|---|
| Leer- en certificaatgegevens van cursisten | Zolang het bedrijf klant is en daarna tot het bedrijf ze laat verwijderen; standaard maximaal 5 jaar na de laatste activiteit van de cursist (bewijswaarde voor art. 4 AI Act). Het bedrijf kan een vertrokken medewerker op elk moment anonimiseren of verwijderen. |
| Accounts van beheerders en managers | Zolang het account bestaat; 30 dagen na verwijdering (hersteltermijn) definitief gewist. |
| Scanaanvragen | 45 dagen of 3 maanden (zie punt 8). |
| Contact- en offertegegevens zonder vervolg | 12 maanden na het laatste contact. |
| Facturen en betaalgegevens | 7 jaar (wettelijke bewaarplicht). |
| Maillog (welke mail wanneer verzonden) | 30 dagen. |
| Beheer- en beveiligingslogboek | 12 maanden. |
| Versleutelde back-ups | Roterend, maximaal 90 dagen; gewiste gegevens verdwijnen dus uiterlijk na 90 dagen ook uit back-ups. |
| Gegevens na het einde van een klantovereenkomst | Exporteerbaar gedurende 30 dagen, daarna verwijderd of geanonimiseerd, behoudens wettelijke bewaarplichten. |
10. Beveiliging
Versleutelde verbindingen (TLS); wachtwoorden opgeslagen als hash; tweestapsverificatie of passkeys voor beheerders; rolgebaseerde toegang met strikte scheiding tussen klantbedrijven; beperking van aanmeldpogingen; een logboek van beheeracties; dagelijkse versleutelde back-ups buiten de server; toegang tot productiesystemen beperkt tot de zaakvoerder. Bij een datalek met risico voor betrokkenen melden we dat binnen 72 uur aan de Gegevensbeschermingsautoriteit en informeren we de getroffen bedrijven en, waar nodig, de betrokkenen zelf.
11. Cookies
We gebruiken enkel strikt noodzakelijke cookies, plus statistiekcookies na uitdrukkelijke toestemming. Alles daarover staat in ons cookiebeleid.
12. Je rechten
Je hebt recht op inzage, correctie, verwijdering, beperking van de verwerking, overdraagbaarheid en bezwaar, en je kunt een gegeven toestemming altijd intrekken zonder dat dit de eerdere verwerking onwettig maakt. Mail naar info@complemy.com met vermelding van het e-mailadres waarmee je bij ons gekend bent; we antwoorden binnen één maand. Bij twijfel over je identiteit vragen we een bijkomende bevestiging via dat e-mailadres. Voor leergegevens richt je je tot je werkgever; die beschikt in het portaal over knoppen om je gegevens te exporteren, te anonimiseren of te verwijderen, en wij helpen waar nodig.
Ben je niet tevreden met ons antwoord, dan kun je klacht indienen bij de Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel, gegevensbeschermingsautoriteit.be.
13. Minderjarigen
Het platform richt zich tot werknemers en organisaties. We verzamelen niet bewust gegevens van personen jonger dan 16 jaar.
14. Certificaten en publieke verificatie
Elk certificaat draagt twee kenmerken: een leesbaar certificaatnummer en een willekeurige controlecode. Wie enkel het nummer invoert op de verificatiepagina, ziet uitsluitend of het certificaat geldig is en tot wanneer — geen naam of andere gegevens. De volledige weergave (naam van de cursist, bedrijf, behaalde onderdeel, datum en score, zoals op het certificaat zelf) verschijnt enkel via de controlecode, die alleen op het certificaat staat. Zo kan een derde de echtheid nagaan zonder dat certificaatgegevens op te sommen zijn.
15. Wijzigingen
We passen deze verklaring aan wanneer onze dienst of de wetgeving verandert. De datum bovenaan toont de laatste versie. Bij wezenlijke wijzigingen verwittigen we beheerders per e-mail.
16. Contact
Complemy, uitgebaten door YAMY BV, Klaproosstraat 36, 8800 Roeselare, België, KBO 0505.624.079 — info@complemy.com.