Privacybeleid

1. Wie wij zijn

Hundred is een data- en analyseplatform voor e-commercemerken, in het bijzonder Shopify-webshops. Hundred wordt aangeboden onder de handelsnaam Hundred Labs door Fish and Burger B.V., Johan Huizingalaan 763A, Unit 2.55, 1066 VH Amsterdam, ingeschreven bij de Kamer van Koophandel onder nummer 90280504. Wij zijn gevestigd in Nederland en verwerken persoonsgegevens volgens de Algemene verordening gegevensbescherming (AVG).

Vragen over privacy, verzoeken over je gegevens en algemene support: [email protected]. Wij hebben geen functionaris voor gegevensbescherming aangesteld; dat is voor een organisatie van onze omvang en aard niet verplicht.

Zodra Hundred Labs B.V. is opgericht, neemt die vennootschap de dienstverlening en dit beleid over. Wij informeren onze klanten daarover en passen de bedrijfsgegevens in dit beleid aan.

2. Voor wie dit beleid geldt en welke rol wij hebben

Dit beleid geldt voor drie groepen.

Bezoekers van onze website hundred.dev. Voor de gegevens die wij daar verzamelen zijn wij verwerkingsverantwoordelijke.

Gebruikers van Hundred OS: de medewerkers van onze klanten die een account hebben op het platform, en de personen die een proefperiode aanvragen. Ook voor deze gegevens zijn wij verwerkingsverantwoordelijke.

Klanten van onze klanten: de shoppers die een bestelling plaatsen, een review schrijven of contact opnemen met een webshop die Hundred gebruikt. Die gegevens verwerken wij uitsluitend in opdracht van de webshop. De webshop is verwerkingsverantwoordelijke en wij zijn verwerker. De afspraken daarover staan in de verwerkersovereenkomst die onderdeel is van onze overeenkomst met elke klant. Ben je een shopper en heb je vragen over jouw gegevens, neem dan contact op met de webshop waar je hebt gekocht; wij helpen de webshop bij het afhandelen van je verzoek.

3. Gegevens van websitebezoekers

Op hundred.dev gebruiken wij alleen met jouw toestemming de LinkedIn Insight Tag (zie artikel 12). Verder verzamelen wij alleen de gegevens die je zelf invult in een contact- of trialformulier: naam, zakelijk e-mailadres, bedrijfsnaam, webshop-URL en je bericht. Onze hostingpartij verwerkt daarnaast de technische gegevens die nodig zijn om de website te tonen, zoals je IP-adres, in logbestanden die kort worden bewaard.

Wij gebruiken formuliergegevens om je verzoek op te volgen en een proefperiode in te richten. Grondslag: ons gerechtvaardigd belang bij het opvolgen van een aanvraag, en daarna de uitvoering van de overeenkomst. Formuliergegevens bewaren wij 12 maanden na het laatste contact, tenzij er een klantrelatie ontstaat.

4. Gegevens van gebruikers van Hundred OS

Als je een account hebt op Hundred OS verwerken wij:

• Accountgegevens: naam, zakelijk e-mailadres, wachtwoord (versleuteld opgeslagen), rol en rechten, het account of de accounts waartoe je toegang hebt, en de taal- en meldingsinstellingen.
• Bedrijfsgegevens van de klant: bedrijfsnaam, adres, KvK- en btw-nummer, factuuradres en contactpersoon.
• Betalingsgegevens: bij betaling via Shopify ontvangen wij van Shopify alleen de status van het abonnement (actief, bevroren, beëindigd) en het gekozen plan; wij zien geen bankrekening- of kaartgegevens. Bij betaling op factuur bewaren wij de factuurgegevens in onze administratie.
• Gebruiksgegevens: inloggegevens (tijdstip, IP-adres), welke onderdelen en functies je gebruikt, en foutmeldingen. Hiervoor gebruiken wij PostHog (productanalyse), gehost in de EU en zonder sessieopnames.
• Instellingen die je zelf invoert, zoals kostenpercentages, targets en bedrijfscontext voor de AI-analyse.
• Berichten die wij je sturen (meldingen, weekrapporten) en je supportcorrespondentie.

Wij gebruiken deze gegevens om je toegang te geven tot het platform, de overeenkomst uit te voeren, te factureren, meldingen te sturen die je hebt ingesteld, support te leveren, het platform veilig te houden en te begrijpen welke functies worden gebruikt zodat wij het product kunnen verbeteren. Grondslag: uitvoering van de overeenkomst, onze wettelijke bewaarplicht voor de administratie, en ons gerechtvaardigd belang bij beveiliging en productverbetering. Wij sturen bestaande klanten productupdates over Hundred; je kunt je daar op elk moment voor afmelden. Nieuwsbrieven aan personen die geen klant zijn sturen wij alleen als zij zich daarvoor hebben aangemeld, en elke nieuwsbrief bevat een afmeldlink.

Accountgegevens bewaren wij zolang het account bestaat en tot 30 dagen na beëindiging; factuurgegevens 7 jaar vanwege de fiscale bewaarplicht; inlog- en gebruikslogs 90 dagen.

5. Gegevens die wij namens onze klanten verwerken

Hundred haalt data op uit de systemen die een klant aan het platform koppelt en brengt die samen in dashboards, analyses en meldingen. De klant bepaalt welke systemen worden gekoppeld en kan een koppeling op elk moment verwijderen.

5.1 Bronnen

• Webshopplatform: Shopify (zie hoofdstuk 6).
• Marktplaatsen: Bol.com en Amazon, zodra een klant die koppelt.
• Advertentieplatforms: Meta Ads, Google Ads, TikTok Ads, Pinterest Ads, Microsoft Advertising en Snapchat Ads. Hieruit halen wij campagne- en kostendata op, geen gegevens over individuele personen.
• Reviewplatforms: onder meer WebwinkelKeur, Judge.me, Trusted Shops, Yotpo, Trustpilot, Skeepers (Avis Vérifiés) en Feedback Company.
• Klantenserviceplatforms: onder meer Gorgias, Trengo, Freshdesk, Intercom, Re:amaze en Voys.
• Retour-, verzend- en fulfilmentplatforms: onder meer Sendcloud, Returnista en Monta.
• E-mailmarketingplatforms: Klaviyo en Omnisend, zodra een klant die koppelt.
• Overige zakelijke tools van de klant, zoals ClickUp.

5.2 Welke persoonsgegevens dat kan bevatten

• Van orders: ordernummer, datum, bedragen, producten, land, provincie en plaats, verzend- en betaalstatus, kortingscodes, en het e-mailadres van de klant als identificatie.
• Van klantprofielen: klant-ID, e-mailadres, aanmaakdatum en aantal orders.
• Van reviews: de reviewtekst, score, datum, productreferentie en, waar het platform dat meelevert, naam of e-mailadres van de reviewer.
• Van klantenservice: onderwerp, inhoud van het gesprek, tijdstippen, status en de contactgegevens van de klant.
• Van retouren: ordernummer, reden, status en de toelichting van de klant.

Wij halen geen namen, adressen of telefoonnummers van shoppers op uit Shopify, verwerken geen betaalkaartgegevens en bewaren geen wachtwoorden van bronsystemen. De toegang tot bronsystemen loopt via OAuth-tokens of API-sleutels die versleuteld in een aparte sleutelkluis staan.

5.3 Waarvoor wij de gegevens gebruiken

Uitsluitend om de dienst aan de klant te leveren:

• Dashboards en rapportages over omzet, marge, marketing, producten, voorraad, klanten, reviews, klantenservice, retouren en fulfilment.
• Klantinzichten zoals nieuwe versus terugkerende klanten, cohorten, RFM-segmentatie en klantwaarde. Daarvoor moeten wij dezelfde klant herkennen over orders, reviews en supporttickets heen; dat doen wij met een versleutelde (gehashte) versie van het e-mailadres.
• AI-analyse en aanbevelingen op basis van de geaggregeerde cijfers (zie hoofdstuk 7).
• Meldingen en rapporten die de klant zelf instelt.
• Datakwaliteitscontroles.

Wij gebruiken de data van klanten niet voor eigen doeleinden, verkopen die niet, delen die niet met advertentieplatforms en gebruiken die niet om AI-modellen te trainen. Wij combineren de data van verschillende klanten alleen in volledig geanonimiseerde en geaggregeerde benchmarks, waaruit geen webshop en geen persoon is te herleiden.

6. De Shopify-app Hundred OS

Als een klant zijn Shopify-webshop koppelt, gebeurt dat via onze Shopify-app "Hundred OS". De klant geeft in zijn Shopify-beheer toestemming voor de gegevens die de app mag lezen. De app heeft alleen leesrechten.

Via de Shopify-API's halen wij op: orders, inclusief orders ouder dan 60 dagen omdat historische analyses zoals cohorten en klantwaarde de volledige orderhistorie nodig hebben; producten en varianten; voorraad en locaties; klantprofielen; en per order het e-mailadres van de klant. Van de door Shopify als beschermd aangemerkte klantgegevens vragen wij alleen het e-mailadres op, omdat wij zonder een stabiele klantidentificatie geen betrouwbare klantanalyses kunnen maken. Naam, adres en telefoonnummer halen wij niet op.

Shopify kan een abonnement op Hundred factureren via de Shopify-factuur van de klant. In dat geval wisselen wij met Shopify alleen de abonnementsgegevens uit (plan, status, factuurperiode).

Wij ondersteunen de verplichte privacywebhooks van Shopify:

• Verzoek om klantgegevens (customers/data_request): wij leveren de webshop binnen 30 dagen een export (CSV) van alle gegevens die wij over de betreffende klant hebben, zodat de webshop het verzoek van de shopper kan afhandelen.
• Verwijderen van klantgegevens (customers/redact): wij verwijderen die persoon in alle lagen van ons platform, inclusief de gehashte identificatie, binnen 30 dagen.
• Verwijderen van webshopgegevens (shop/redact): 48 uur nadat de app uit een webshop is verwijderd, wissen wij alle gegevens van die webshop, tenzij een wettelijke bewaarplicht anders vereist.

7. AI-verwerking

Hundred gebruikt taalmodellen van externe aanbieders om cijfers te duiden, aanbevelingen te doen en vragen van gebruikers over hun data te beantwoorden. Daarbij gelden vaste regels:

• De AI werkt op geaggregeerde cijfers en op vooraf gedefinieerde metrieken uit ons datamodel, nooit op ruwe klantdata. E-mailadressen, namen, adressen, telefoonnummers en de volledige inhoud van supporttickets komen niet bij de AI terecht.
• Reviewteksten en samenvattingen van supporttickets kunnen door een taalmodel worden geanalyseerd, bijvoorbeeld voor sentiment en onderwerpen. Namen, e-mailadressen en andere direct herleidbare gegevens worden daaruit verwijderd voordat de tekst wordt verwerkt.
• Onze AI-aanbieders zijn Google (Gemini, binnen ons datawarehouse in de EU) en Anthropic (Claude, voor de assistent in de applicatie). Wij gebruiken hun zakelijke API's onder een verwerkersovereenkomst; onze data wordt niet gebruikt om hun modellen te trainen. Bij Anthropic vindt de verwerking plaats in de Verenigde Staten, op basis van de standaardcontractbepalingen van de Europese Commissie, en uitsluitend met geaggregeerde cijfers zonder persoonsgegevens.
• Bedrijfscontext die een klant zelf invoert (doelen, marges, seizoenspatronen) wordt behandeld als gegevens van de klant en nooit als instructie aan het systeem.

Wij ontwikkelen onze AI-functies verder; nieuwe aanbieders of verwerkingen nemen wij op in dit beleid en in de lijst van sub-verwerkers voordat ze in gebruik gaan.

8. Hoe wij gegevens beschermen

• Scheiding in lagen: ruwe brondata staat per klant in een eigen, afgeschermde dataset waar alleen technische serviceaccounts bij kunnen. In de laag waarop analyses draaien staat geen leesbaar e-mailadres, maar een gehashte versie met een geheime sleutel, plus land, provincie en plaats. De laag waaruit het dashboard en de AI lezen bevat geen direct herleidbare persoonsgegevens.
• Versleuteling: alle gegevens zijn versleuteld tijdens transport (TLS) en in rust bij onze hostingpartijen, inclusief back-ups.
• Toegang: alleen de oprichters van Hundred en onze ontwikkelaar hebben toegang tot productiesystemen, op basis van persoonlijke accounts met sterke wachtwoorden en tweestapsverificatie. Toegang wordt gelogd. Klanten zien uitsluitend hun eigen account; de rol met toegang tot alle accounts kan niet via de applicatie worden toegekend.
• Gescheiden omgevingen: test en productie zijn strikt gescheiden. De testomgeving is niet gekoppeld aan de systemen van klanten en bevat geen actuele klantdata; wij testen met geanonimiseerde data.
• Sleutelbeheer: OAuth-tokens en API-sleutels van bronsystemen staan uitsluitend in een sleutelkluis (Google Secret Manager), nooit in de database, in logbestanden of in broncode.
• Incidenten: bij een datalek informeren wij de getroffen klanten zonder onnodige vertraging en, waar vereist, de Autoriteit Persoonsgegevens binnen 72 uur. Wij houden een incidentenregister bij; verantwoordelijk is Jos Meiling, bereikbaar via [email protected].

9. Bewaartermijnen

• Brondata van een gekoppeld systeem: zolang de koppeling actief is. Bij het verwijderen van een koppeling of van de Shopify-app wissen wij de gegevens van die bron binnen 48 uur.
• Volledige tekst van supporttickets: 24 maanden; daarna bewaren wij alleen de afgeleide kenmerken (onderwerp, sentiment) en de geaggregeerde cijfers.
• Reviews: zolang het reviewplatform ze zelf bewaart en de koppeling actief is.
• Gehashte klantidentificaties: zolang de bijbehorende brondata wordt bewaard; bij een verwijderverzoek direct.
• Na beëindiging van de overeenkomst: alle klantdata binnen 30 dagen verwijderd, met uitzondering van factuurgegevens (7 jaar).
• Back-ups: onze hostingpartijen bewaren versleutelde back-ups maximaal 14 dagen; verwijderde gegevens verdwijnen binnen die termijn ook uit de back-ups.
• Geaggregeerde statistieken die niet tot een persoon of webshop herleidbaar zijn, kunnen wij langer bewaren.

10. Met wie wij gegevens delen

Wij delen persoonsgegevens alleen met partijen die nodig zijn om de dienst te leveren, onder een verwerkersovereenkomst. Onze sub-verwerkers:

Alle klantdata wordt opgeslagen en verwerkt binnen de Europese Economische Ruimte. De enige verwerking daarbuiten betreft geaggregeerde cijfers zonder persoonsgegevens voor de AI-assistent, en de contactgegevens van klanten in onze interne tools. Voor die verwerkingen gelden het EU-US Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie. Wij verkopen geen gegevens. Alleen als je daar op hundred.dev toestemming voor geeft, ontvangt LinkedIn via de Insight Tag gegevens over je bezoek (zie artikel 12).

Wij verstrekken gegevens aan overheidsinstanties alleen als wij daartoe wettelijk verplicht zijn.

11. Jouw rechten

Ben je gebruiker van Hundred OS of websitebezoeker, dan heb je het recht op inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar, en het recht om een gegeven toestemming in te trekken. Stuur je verzoek naar [email protected]; wij reageren binnen een maand. Je kunt een klacht indienen bij de Autoriteit Persoonsgegevens.

Ben je klant van een webshop die Hundred gebruikt, dan richt je je verzoek aan die webshop. Wij ondersteunen de webshop bij inzage- en verwijderverzoeken, ook wanneer die via Shopify bij ons binnenkomen, en handelen ze binnen 30 dagen af.

12. Cookies

Op hundred.dev gebruiken wij lokale opslag om je cookiekeuze te onthouden. Alleen als je daar toestemming voor geeft, laden wij de LinkedIn Insight Tag van LinkedIn Ireland Unlimited Company. Daarmee meten wij paginabezoeken en klikken op "Start trial" en "Plan een demo", zien wij op bedrijfsniveau welke organisaties onze site bezoeken en kunnen wij op LinkedIn advertenties tonen aan eerdere bezoekers. LinkedIn plaatst daarvoor eigen cookies en verwerkt die gegevens mede onder zijn eigen privacybeleid. Grondslag is jouw toestemming. Je kunt je keuze op elk moment wijzigen of intrekken via Cookie-instellingen, ook onderaan elke pagina.

In Hundred OS gebruiken wij functionele cookies en lokale opslag om je ingelogd te houden en je instellingen te onthouden, en cookies van PostHog om te meten welke functies worden gebruikt. Overzicht:

Hundred plaatst geen cookies, pixels of scripts bij de klanten van webshops en volgt shoppers niet.

13. Wijzigingen en contact

Wij kunnen dit beleid aanpassen, bijvoorbeeld bij nieuwe koppelingen of sub-verwerkers. Bij wezenlijke wijzigingen informeren wij onze klanten per e-mail en vermelden wij de datum van de laatste wijziging bovenaan dit document. Wijzigingen in de lijst van sub-verwerkers kondigen wij 30 dagen van tevoren aan, zodat klanten bezwaar kunnen maken.

Contact: Hundred Labs (Fish and Burger B.V.), Johan Huizingalaan 763A, Unit 2.55, 1066 VH Amsterdam, [email protected].

Laatst gewijzigd: 9 oktober 2026