Privacyverklaring

Laatst bijgewerkt: 2026. Werkdocument — te valideren door een jurist/DPO.

1. Wie zijn wij?

Complemy, uitgebaten door YAMY BV, Klaproosstraat 36, 8800 Roeselare, België, KBO 0505.624.079. Voor vragen over je gegevens kun je ons contacteren via de gegevens onderaan deze website.

2. Onze dubbele rol

Voor de gegevens van de medewerkers (cursisten) van een aangesloten bedrijf treedt Complemy op als verwerker, in opdracht van dat bedrijf (de verantwoordelijke). Voor onze eigen klant-, partner- en facturatierelatie zijn wij verwerkingsverantwoordelijke.

3. Welke gegevens en waarom?

• Accounts & leren: naam, zakelijk e-mailadres, functie, afdeling, leervoortgang, quizscores en certificaten — om de opleiding te leveren en compliance (art. 4 EU AI Act) aantoonbaar te maken.
• Beheer & beveiliging: inloggegevens, tweestapsverificatie of passkeys en aanmeldmomenten — voor veilige toegang.
• Facturatie & tokens: bedrijfs- en facturatiegegevens, transacties en het tokengebruik (welke medewerker een opleidingstoken verbruikt) — voor wettelijke facturatie en een correcte afrekening. Betaalkaartgegevens blijven bij de betaalprovider.
• Feedback: vrijwillige beoordelingen van lessen — om de opleiding te verbeteren.

4. Rechtsgronden

Uitvoering van de overeenkomst, wettelijke verplichting (facturatie), gerechtvaardigd belang (beveiliging, beheer en het aantoonbaar houden van gevolgde opleidingen) en, waar van toepassing, toestemming.

5. Delen met partners en sectorfondsen

Sluit een bedrijf aan via een partner, dan kan die partner de deelname en de voortgang op bedrijfsniveau zien: aantallen en percentages per aangesloten bedrijf (zoals aantal cursisten, gemiddelde voltooiing, aantal behaalde certificaten en het tokengebruik) — nooit gegevens of resultaten van individuele medewerkers.

Een sectorfonds dat opleidingstokens ter beschikking stelt van zijn leden, ziet daarnaast hoeveel van die tokens elk lid in gebruik heeft. Voor een gekoppeld sectorfonds tonen we verder standaard enkel geaggregeerde, anonieme sectorcijfers, en pas vanaf een minimumaantal bedrijven. Een bedrijf kan er zelf voor kiezen zich herkenbaar te maken aan zijn sectorfonds.

6. Cookies

We gebruiken enkel strikt noodzakelijke cookies voor het inloggen en de beveiliging van de sessie. Geen tracking- of advertentiecookies. Zie ons cookiebeleid.

7. Ontvangers

We doen een beroep op zorgvuldig geselecteerde dienstverleners (o.a. hosting, e-mailverzending, betaling en facturatie). Met elk maken we de nodige afspraken rond gegevensbescherming.

Levering van de lesmodules

De lesinhoud wordt geleverd door Mindsmith Inc. (Verenigde Staten). Wanneer je een les opent, haalt je browser die inhoud rechtstreeks bij die leverancier op. Daarbij zijn voor Mindsmith je IP-adres, je browsergegevens en het tijdstip van raadpleging zichtbaar.

Wat niet gedeeld wordt: je naam, e-mailadres, functie, quizresultaten, voortgang en certificaten. Die gegevens blijven op onze eigen servers binnen de Europese Economische Ruimte en worden nooit naar Mindsmith verzonden.

Voor deze doorgifte steunen we op het adequaatheidsbesluit voor het EU-US Data Privacy Framework, dan wel op standaardcontractbepalingen. We werken eraan om de lesmodules op termijn vanaf onze eigen Europese servers te leveren.

8. De AI Act-scan

De snelle scan kun je invullen zonder iets achter te laten: we bewaren niets van je antwoorden.

Vraag je het uitgebreide rapport aan, dan vragen we je bedrijfsnaam, naam, e-mailadres en optioneel je telefoonnummer. Die gebruiken we om je het rapport te bezorgen en om het later terug te kunnen vinden via je persoonlijke link. Je antwoorden op de scan worden mee bewaard, want zonder die antwoorden kan het rapport niet opnieuw opgebouwd worden.

Commercieel contact enkel met je toestemming. Bij het aanvragen staat een apart vinkje. Vink je dat niet aan, dan gebruiken we je gegevens uitsluitend om het rapport te bezorgen en benaderen we je niet over ons aanbod.

Bewaartermijn: we bewaren je aanvraag zolang we je opvolgen, en een periode daarna zodat je je rapport nog kunt raadplegen wanneer je erop terugkomt. Concreet: 45 dagen wanneer je geen opvolging wenste of je afmeldde, en drie maanden na onze laatste mail wanneer je wél opvolging wenste. Daarna verwijderen we alles automatisch.

Een week voor het verwijderen sturen we je een bericht, zodat je het rapport nog kunt opslaan. In elke mail staat een link waarmee je je gegevens meteen laat verwijderen — daarvoor hoef je ons niets te vragen.

9. Bewaartermijnen

Leer- en certificaatgegevens bewaren we zolang het bedrijf klant is: ze vormen het compliance-dossier waarmee het bedrijf aantoont dat zijn medewerkers — ook wie intussen vertrokken is — de opleiding volgden. Vertrekt een medewerker, dan kan het bedrijf zijn account deactiveren (gegevens blijven in het dossier) of laten anonimiseren of verwijderen via de ingebouwde GDPR-functies. Facturatiegegevens: 7 jaar (wettelijk). Logs: doorgaans 12–24 maanden.

9. Je rechten

Je hebt recht op inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar. Voor gegevens die we als verwerker verwerken, richt je je in eerste instantie tot je werkgever. Je kunt ook klacht indienen bij de Gegevensbeschermingsautoriteit (gegevensbeschermingsautoriteit.be).

10. Beveiliging

Versleuteling, beveiligde authenticatie met tweestapsverificatie of passkeys voor beheerders, toegangscontrole op basis van rollen, logging en regelmatige back-ups.