Privacybeleid

Dit privacybeleid legt uit hoe Aura Influencer (“Aura”, “wij”, “ons”) persoonsgegevens verwerkt wanneer je ons platform gebruikt. Aura is een dienst van Aura Influencer v.o.f. (KvK 42163035), gevestigd in Assendelft. Wij verwerken persoonsgegevens conform de Algemene Verordening Gegevensbescherming (AVG/GDPR).

Voor vragen of het uitoefenen van je rechten kun je contact opnemen via privacy@aurainfluencer.com.

1. Wie is verwerkingsverantwoordelijke?

Voor de gegevens van onze eigen gebruikers (accounthouders en hun teamleden) is Aura de verwerkingsverantwoordelijke. Voor gegevens die een klant via zijn eigen webshop of campagnes aanlevert, treedt Aura op als verwerker namens die klant; de klant is dan verwerkingsverantwoordelijke.

2. Welke gegevens verwerken wij?

• Accountgegevens: naam, e-mailadres en inloggegevens van gebruikers.
• Bedrijfs- en factuurgegevens: bedrijfsnaam, adres en btw-gegevens voor facturatie.
• Influencer-gegevens: naam, social-handles, tags en (indien gekoppeld) uitbetalingsstatus.
• Verkoop- en attributiegegevens: via gekoppelde webshops (zoals Shopify) ontvangen wij order-metadata — bedragen, valuta, kortingscodes, referentie-tags en of het een nieuwe of terugkerende klant betreft. Wij bewaren geen persoonsgegevens van eindklanten (zoals naam, e-mail of adres) van de webshop.
• Betaalgegevens: abonnementsbetalingen en uitbetalingen verlopen via onze betaaldienstverlener Stripe. Aura ontvangt of bewaart geen volledige kaart- of rekeninggegevens.
• Technische gegevens: IP-adres (geanonimiseerd tot landniveau bij klikregistratie), apparaat- en browsertype, en logbestanden voor beveiliging en foutopsporing.

3. Doeleinden en grondslagen

• Het leveren en beheren van de dienst (uitvoering van de overeenkomst).
• Facturatie en administratie (wettelijke verplichting en uitvoering van de overeenkomst).
• Sales-attributie en rapportage aan onze klanten (gerechtvaardigd belang / verwerker namens de klant).
• Beveiliging, misbruikpreventie en verbetering van de dienst (gerechtvaardigd belang).
• Communicatie over de dienst (uitvoering van de overeenkomst).

4. Shopify-integratie

Als je je Shopify-winkel koppelt, ontvangen wij via de Shopify API en webhooks order-metadata om verkopen aan influencers toe te schrijven. Wij vragen uitsluitend de rechten die daarvoor nodig zijn: read_orders om te zien welke bestellingen er zijn geweest, write_discounts om een kortingscode die je in Aura aanmaakt ook in je winkel te kunnen zetten, en write_pixels en read_customer_events om de Aura-pixel in je checkout te plaatsen. Wij lezen of wijzigen niets anders. Bij het verwijderen van de app of op verzoek van Shopify verwijderen wij de koppeling en de bijbehorende toegangstokens. Wij verwerken geen klant-persoonsgegevens uit je webshop: van een bestelling bewaren wij het ordernummer, het bedrag, de valuta, het moment, en de kortingscode of tracking-tag die eraan hing — geen naam, e-mailadres, adres of betaalgegevens.

Om een verkoop zonder kortingscode toe te schrijven, onthouden de Aura-thema-extensie en de Aura-pixel op welke creatorlink een bezoeker klikte: in een eigen cookie van je winkel (maximaal 60 dagen) en, zodat het ook werkt als een browser zoals Safari dat cookie wist, gekoppeld aan het anonieme bezoekers-ID dat Shopify toekent. Dat bezoekers-ID bewaren wij met de klik niet langer dan de toeschrijvingstermijn (standaard 60 dagen), en wij ontvangen het alleen als de toestemmingsinstellingen van je winkel marketingtracking voor die bezoeker toestaan (dat dwingt Shopify af; vraag je om toestemming, dan betekent dat: de bezoeker heeft marketingcookies geaccepteerd). Bij het afrekenen meldt de pixel het bestelnummer met de klik; verder stuurt hij niets over de koper.

Zet je het blok “Aura vraag” op je Shopify-bedankpagina, of laat je de vraag aan staan in de WordPress-plug-in van Aura, of stel je hem met de Aura-pixel, dan kan een koper aangeven via welke creator hij je winkel kent, of kiezen voor “geen van deze” of “weet ik niet meer”. Antwoorden is niet verplicht. Wij bewaren alleen het bestelnummer en het antwoord, nooit een naam, e-mailadres of andere gegevens van de koper, en zolang je Aura-account bestaat, net als je verkopen.

Op Lightspeed en CCV Shop stuurt de pixel bij het bestelnummer en bij het antwoord ook een eenrichtingscode (SHA-256) van het e-mailadres van de koper mee, nooit het adres zelf. Die gebruiken we alleen om met de bestelling in je gekoppelde winkel te controleren dat deze koper die bestelling echt plaatste. We bewaren die code tot de bestelling via de koppeling met je winkel binnen is, en hooguit 60 dagen.

5. Gekoppelde sociale accounts (Instagram, Facebook, TikTok, YouTube, Threads, LinkedIn, Snapchat, X)

Een creator kan in zijn portaal zelf zijn Instagram-account, Facebook-pagina, TikTok-, YouTube-, Threads-, LinkedIn-, Snapchat- of X-account koppelen. Dat gebeurt alleen op zijn eigen verzoek, via het inlogscherm van het platform zelf. Wij vragen alleen leesrechten en plaatsen nooit iets namens de creator.

• Instagram (via de Instagram API van Meta, rechten instagram_business_basic en instagram_business_manage_insights): gebruikersnaam, profielfoto, aantal volgers, de berichten, reels en stories die de creator plaatst met hun link en datum, de statistieken per bericht (bereik, weergaven, likes, reacties, keren gedeeld en opgeslagen, profielbezoeken, nieuwe volgers) en de opbouw van het publiek in percentages (leeftijd, geslacht, land). Voor bureaus met de functie Reacties ook (recht instagram_business_manage_comments) de reacties onder de campagneposts van de creator: de tekst, de gebruikersnaam van wie reageerde, het aantal likes en het moment. Wij lezen ze alleen; wij reageren nooit en verbergen of verwijderen niets.
• Facebook (via Facebook Login, rechten pages_show_list, pages_read_engagement, pages_read_user_content, read_insights en business_management, dat laatste alleen om een pagina te vinden die in een bedrijfsportfolio zit; verder lezen of wijzigen wij niets in het portfolio): alleen een Facebook-pagina die de creator zelf kiest te delen — nooit een persoonlijk profiel. Paginanaam, aantal volgers, en de video’s en Reels van de pagina met hun link, datum, weergaven, unieke kijkers, likes, reacties en keren gedeeld; voor bureaus met de functie Reacties ook de reacties onder die video’s (tekst, de naam van wie reageerde als Meta die meegeeft, likes en moment).
• TikTok (rechten user.info.basic, user.info.profile, user.info.stats en video.list): gebruikersnaam, profielfoto, aantal volgers en likes, en de video’s van de creator met hun weergaven, likes, reacties en keren gedeeld. Een creator met een zakelijk TikTok-account kan in plaats daarvan koppelen via de TikTok API for Business (rechten user.info.basic, user.info.username, user.info.stats, user.info.profile, video.list, video.insights en comment.list): dezelfde gegevens plus het bereik per video en, voor bureaus met de functie Reacties, de openbare reacties onder campagnevideo’s (tekst, gebruikersnaam, likes en moment).
• Threads (via de Threads API van Meta, rechten threads_basic, threads_manage_insights en threads_read_replies): gebruikersnaam, naam, profielfoto, aantal volgers, de eigen posts van de creator met link, datum en tekst, de cijfers per post (weergaven, likes, replies, reposts, quotes, keren gedeeld) en, vanaf 100 volgers, de opbouw van het publiek (leeftijd, geslacht, land). Voor bureaus met de functie Reacties ook de replies onder de campagneposts van de creator (tekst, gebruikersnaam en moment). Wij lezen alleen; wij plaatsen, beantwoorden, verbergen of verwijderen nooit iets.
• LinkedIn (via de Community Management API van LinkedIn, rechten r_basicprofile, r_member_postAnalytics en r_member_profileAnalytics): naam, kop, profiellink en aantal volgers, en van de posts die de creator zelf toevoegt (LinkedIn geeft ons geen lijst van zijn posts) de link en de cijfers per post: vertoningen, bereikte leden, reacties, opmerkingen, reposts, keren bewaard, linkklikken, nieuwe volgers, profielbezoeken en, bij video, het aantal keer afgespeeld. De tekst van posts, opmerkingen van anderen en doelgroepgegevens krijgen wij niet. LinkedIn-cijfers tonen wij alleen in Aura zelf, aan het bureau en merk waarvoor de creator werkt; ze staan niet in PDF-rapporten en niet in de lees-API.
• Snapchat (via de Public Profile API van Snap, recht snapchat-profile-api): het openbare profiel van de creator (naam, gebruikersnaam, profielfoto, aantal abonnees), zijn Spotlights en de snaps in zijn openbare Story met bijschrift, datum en cijfers (weergaven, kijkers, favorieten, keren gedeeld, antwoorden, swipe-ups, nieuwe abonnees en kijktijd), en wie zijn snaps bekijkt naar leeftijd, geslacht en land, in aantallen. Privésnaps, chats en de inhoud van antwoorden krijgen wij niet. Wij lezen alleen; wij plaatsen nooit iets.
• X (via de X API, rechten tweet.read, users.read en offline.access): naam, gebruikersnaam, profielfoto en aantal volgers, en de eigen posts van de creator (geen reposts of replies) met tekst, datum, link en cijfers: weergaven, likes, replies, reposts, quotes en bladwijzers, en voor posts van de laatste 30 dagen ook linkklikken en profielklikken. Doelgroepgegevens geeft X ons niet. Wij lezen alleen; wij plaatsen, liken of reageren nooit.
• YouTube (via de YouTube API Services, rechten youtube.readonly enyt-analytics.readonly): kanaalnaam, kanaalfoto, aantal abonnees en de video’s van het kanaal met hun weergaven, likes en reacties; uit YouTube Analytics per video de kijktijd, gemiddelde kijkduur, shares, nieuwe abonnees, vertoningen en doorklikratio, en de doelgroep (leeftijdsgroep, geslacht en land, in procenten) van campagnevideo’s en van het kanaal over de laatste 90 dagen; voor bureaus met de functie Reacties ook de openbare reacties onder campagnevideo’s (tekst, weergavenaam, likes en moment). Analytics-gegevens zijn door YouTube samengevoegd en wijzen nooit individuele kijkers aan.

Waarvoor. Om de resultaten van de campagnes waaraan de creator meedoet te laten zien: aan de creator zelf, aan het bureau dat hem uitnodigde en aan het merk van die campagne. Wij gebruiken deze gegevens niet voor advertenties, verkopen ze niet en gebruiken ze niet om AI-modellen te trainen. Voor gegevens uit een campagne is het bureau verwerkingsverantwoordelijke en Aura verwerker (zie punt 1).

Reacties. Reacties (op Instagram, Facebook-pagina’s, YouTube en zakelijke TikTok-accounts) zijn geschreven door volgers, die geen gebruiker van Aura zijn. Wij halen alleen de reacties op onder posts die bij een campagne horen, en alleen voor bureaus met een pakket waar dit in zit. Om het bureau te laten zien wat volgers vinden, krijgt elke reactie een label (positief, neutraal of negatief) en elke post en campagne een korte samenvatting. Die analyse draait op de Gemini-modellen van Google via Vertex AI in de EU (Nederland); Google traint daar geen modellen mee. De samenvatting beschrijft onderwerpen en noemt nooit wie iets schreef. Reacties worden automatisch verwijderd 90 dagen na het einde van de campagne, of eerder als de post niet meer aan een campagne hangt of een reactie op het platform is verwijderd. YouTube-reacties die 30 dagen niet zijn ververst, verwijderen wij, zoals de YouTube API Services vereisen. Samenvattingen per dag en per week van alle reacties samen bevatten geen namen of citaten; die bewaren wij een jaar. Wie zijn reactie uit Aura verwijderd wil hebben, kan ons mailen (zie hieronder).

Bewaren. Het toegangsbewijs van het platform bewaren wij in onze beveiligde database in de EU (Frankfurt), alleen zolang de koppeling actief is. Statistieken die al bij een campagne horen, blijven bij die campagne bewaard als resultaat van die campagne, tot het bureau ze verwijdert of de creator om verwijdering vraagt.

Ontkoppelen en verwijderen. De creator kan een koppeling altijd verbreken onder Socials in zijn portaal; dan halen wij niets meer op, wissen wij het toegangsbewijs en verwijderen wij de opgehaalde posts die niet bij een campagne horen (van een post die het bureau of merk afwees bewaren wij alleen het id op het platform en dat besluit, zodat hij niet opnieuw aan de campagne wordt toegevoegd). Statistieken van campagneposts blijven bewaard als resultaat van de campagne, zoals hierboven beschreven. Toegang intrekken kan ook bij het platform zelf: bij Instagram onder Instellingen › Apps en websites, bij Facebook onder Instellingen › Zakelijke integraties, bij Threads onder Instellingen › Account › Websitemachtigingen, bij LinkedIn onder Instellingen › Gegevensprivacy › Toegestane services, bij Snapchat onder Instellingen › Gekoppelde apps, bij X onder Instellingen › Beveiliging en accounttoegang › Apps en sessies, bij TikTok onder Instellingen › Beveiliging › Apps met toegang, en bij Google op security.google.com/settings/security/permissions. Wil je ook alle opgehaalde gegevens laten verwijderen, mail dan privacy@aurainfluencer.com; wij verwijderen ze binnen 30 dagen. Een verwijderverzoek via Meta (Instagram, Facebook of Threads) verwerken wij automatisch, met een code waarmee je de status kunt volgen.

YouTube. Aura gebruikt de YouTube API Services. Door een YouTube-account te koppelen ga je akkoord met de Servicevoorwaarden van YouTube, en voor Google geldt het privacybeleid van Google. Het gebruik en de overdracht door Aura van informatie die wij via Google API’s ontvangen, houdt zich aan het Google API Services User Data Policy, inclusief de eisen voor beperkt gebruik (Limited Use).

6. Delen met derden

Wij schakelen dienstverleners in die namens ons gegevens verwerken (verwerkers). Met elk van hen geldt een verwerkersovereenkomst:

• Hetzner — hosting van het platform (Duitsland).
• Supabase — database en inloggen (EU, Frankfurt). Enkele onderaannemers van Supabase zitten in de Verenigde Staten.
• Stripe — betalingen en uitbetalingen. Voor onder meer fraudepreventie, identiteitscontrole en zijn wettelijke verplichtingen is Stripe zelf verantwoordelijk; daarvoor geldt het privacybeleid van Stripe.
• Resend — versturen van e-mails (gegevens opgeslagen in de Verenigde Staten).
• Cloudflare — beveiliging, DNS en eigen domeinen (wereldwijd netwerk).
• Google (Gemini API) — het uitlezen van ingestuurde screenshots. Via de betaalde API traint Google geen modellen op onze gegevens; verzoeken worden maximaal 55 dagen bewaard om misbruik op te sporen.
• Google Cloud (Vertex AI, EU) — het labelen en samenvatten van reacties (zie punt 5), verwerkt in Nederland (europe-west4). Google traint daar geen modellen mee.
• Anthropic — de AI-assistent (Spark), en als reserve het uitlezen van screenshots. Anthropic traint geen modellen op onze gegevens.
• Voyage AI — het doorzoekbaar maken van tekst voor Spark. Het gebruik van onze gegevens voor modeltraining hebben wij uitgezet.

Doorgifte buiten de EU. Een deel van deze dienstverleners verwerkt gegevens in de Verenigde Staten. Die doorgifte is afgedekt met de standaardcontractbepalingen van de Europese Commissie en, waar van toepassing, het EU-VS-gegevensbeschermingskader.

Koppelingen die je zelf aanzet. Deze partijen zijn geen verwerker van Aura:

• Shopify — als een merk zijn winkel koppelt, verwerken wij de ordergegevens in opdracht van dat merk (zie punt 4).
• Google — als je inlogt met Google, geeft Google ons je naam en e-mailadres, zodat we je account kunnen aanmaken of openen. Daarvoor geldt het privacybeleid van Google.
• Instagram en Facebook (Meta), TikTok en YouTube (Google) — als een creator zijn account koppelt, halen wij via die platforms profiel- en poststatistieken op, onder hun eigen voorwaarden (zie punt 5).

Wij verkopen je gegevens nooit.

7. Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan noodzakelijk voor de genoemde doeleinden of zolang wettelijk vereist (bijvoorbeeld een fiscale bewaarplicht van zeven jaar voor facturatiegegevens). Bij opzegging van je account worden je gegevens binnen een redelijke termijn verwijderd of geanonimiseerd.

8. Beveiliging

Wij nemen passende technische en organisatorische maatregelen, waaronder versleuteling van verbindingen (HTTPS), toegangscontrole op rijniveau in de database, en tweestapsverificatie voor accounts.

9. Je rechten

Je hebt het recht op inzage, correctie, verwijdering, beperking en overdraagbaarheid van je gegevens, en het recht bezwaar te maken tegen verwerking. Neem hiervoor contact op via privacy@aurainfluencer.com. Je hebt daarnaast het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

10. Cookies

Wij gebruiken uitsluitend functionele cookies die noodzakelijk zijn om ingelogd te blijven en het platform te laten werken. Wij plaatsen geen tracking- of advertentiecookies.

11. Wijzigingen

Wij kunnen dit privacybeleid aanpassen. De actuele versie staat altijd op deze pagina, met de datum van de laatste wijziging bovenaan.