Privacy policy

Laatst bijgewerkt: 17 mei 2026

1. Wie zijn wij

Pitchfire is een handelsnaam van GoTrust BV, een vennootschap naar Belgisch recht met maatschappelijke zetel te Morelgem 24b, 9520 Vlierzele, België. Ondernemingsnummer BE 1037.576.138. Wij zijn de verwerkingsverantwoordelijke (data controller) voor de persoonsgegevens die wij in het kader van Pitchfire verwerken.

Contact voor privacyvragen: privacy@pitchfire.app.

2. Welke gegevens verwerken wij

Wij verwerken de volgende categorieën persoonsgegevens:

• Account-gegevens: naam, e-mailadres, gehasht wachtwoord (bcrypt 12 rounds), tijdstip laatste login, IP laatste login.
• Workspace-gegevens: bedrijfsnaam, BTW-nummer, factuuradres, IBAN — uitsluitend voor facturatie en wettelijke verplichtingen.
• Inhoud: alle campagnes, content, posts en data die je in het platform aanmaakt blijven jouw eigendom; wij verwerken ze in onze hoedanigheid van verwerker (data processor) namens jou.
• Ad-platform tokens: wanneer je Meta/LinkedIn/TikTok/Snapchat/Google Ads koppelt, slaan wij OAuth-tokens AES-256-GCM versleuteld op om data namens jou op te halen.
• Technisch: server logs (IP, user-agent, requested URL) voor max. 30 dagen voor beveiliging en debugging.
• Cookies: uitsluitend strikt noodzakelijke + opt-in analytics. Details: zie cookie policy.

3. Rechtsgronden

Wij verwerken je gegevens op basis van:

• Uitvoering van de overeenkomst (art. 6.1.b GDPR) — om Pitchfire aan je te leveren.
• Wettelijke verplichting (art. 6.1.c) — boekhouding, facturatie, BTW-aangifte.
• Gerechtvaardigd belang (art. 6.1.f) — beveiliging, fraudepreventie, productverbetering.
• Toestemming (art. 6.1.a) — analytics-cookies en marketing-emails.

4. Met wie delen wij gegevens

Wij delen gegevens uitsluitend met:

• Sub-verwerkers die wij contractueel binden via Data Processing Agreements:
  • Whitesky.cloud — hosting (EU)
  • Anthropic PBC — AI-laag (Claude Sonnet 4.5); enkel content die je expliciet via AI-functies stuurt
  • Resend — transactionele e-mail
  • Stripe — facturatie en betaling
  • Cloudflare R2 — file storage (EU bucket)
  • Plausible — analytics (cookieless, alleen indien jij toestemming geeft)
• Bevoegde autoriteiten indien wettelijk verplicht.

Wij verkopen nooit persoonsgegevens en delen ze niet voor reclamedoeleinden.

5. Doorgifte buiten de EER

Onze infrastructuur draait in de EER (België). Anthropic (Claude AI) is gevestigd in de Verenigde Staten; wij baseren die doorgifte op de EU Standard Contractual Clauses (2021/914) en aanvullende technische waarborgen (request-niveau encryptie). Je kunt de AI-laag uitschakelen via je workspace-instellingen.

6. Bewaartermijnen

• Account- en workspace-gegevens: zolang je account actief is.
• Facturen: 7 jaar (Belgisch boekhoudkundig recht).
• Server logs: 30 dagen.
• Backups: 35 dagen rolling.
• Na verwijdering: 30 dagen retention window waarin je je beslissing kunt terugdraaien, daarna onomkeerbaar gewist (DROP SCHEMA).

7. Jouw rechten

Onder de GDPR heb je het recht op:

• Inzage (art. 15) — export via /settings/billing of /api/gdpr/export
• Rectificatie (art. 16) — direct in het platform aanpasbaar
• Verwijdering (art. 17) — via /api/gdpr/delete, met 30-dagen retention
• Beperking (art. 18) en bezwaar (art. 21) — neem contact op
• Overdraagbaarheid (art. 20) — JSON-export bevat alle inhoud die je hebt aangeleverd
• Klacht bij de Belgische Gegevensbeschermingsautoriteit: gegevensbeschermingsautoriteit.be

8. Beveiliging

Wij passen technische en organisatorische maatregelen toe: TLS 1.3 in transit, AES-256-GCM voor gevoelige velden in rust, schema-per-tenant data-isolatie in PostgreSQL, bcrypt 12 rounds voor wachtwoorden, TOTP MFA, rate-limiting, audit-logging, security headers (CSP, HSTS, X-Frame-Options) en periodieke afhankelijkheid-scans.

9. Wijzigingen

Wijzigingen aan deze policy worden minstens 14 dagen vooraf aangekondigd via e-mail en in het platform. De geldende versie is altijd te raadplegen op deze URL.