Versie 2.3 · geldig sinds 20 september 2026

Privacyverklaring

Versie 2.3 — voegt Anthropic toe als tweede AI-taalmodel-leverancier naast OpenAI (zie sectie 4 en 5).

Deze privacyverklaring legt uit welke persoonsgegevens DVG Precision B.V. verwerkt via het Nexus Cognito-platform, waarom, op welke grondslag, hoe lang, met wie gedeeld, en welke rechten daarbij horen.

"Nexus Cognito" is de handelsnaam waaronder DVG Precision B.V. dit platform exploiteert. Uw overeenkomst komt tot stand met DVG Precision B.V. — niet met een andere aan Nexus Cognito gelieerde rechtspersoon, tenzij uitdrukkelijk anders overeengekomen.

1. Wie is verantwoordelijk voor de verwerking

DVG Precision B.V. Karimunstraat 17 3089 SM Rotterdam Nederland KvK-nummer: 98240021 Vestigingsnummer: 000063418436 Btw-identificatienummer: NL868412764B01 E-mail (algemeen/juridisch): info@dvgprecision.com Klantenservice: support@nexuscognito.com Beveiligingsmeldingen: security@nexuscognito.com

Voor persoonsgegevens die wij verwerken ten behoeve van onze eigen klantrelatie, facturatie, beveiliging en platformwerking, zijn wij verwerkingsverantwoordelijke. Voor persoonsgegevens die een klant via de Dienst zelf laat verwerken (bijvoorbeeld gegevens van diens eigen leads, reviewontvangers, e-mail- of WhatsApp-contacten), treden wij op als verwerker namens die klant — zie de Verwerkersovereenkomst.

2. Welke gegevens wij verwerken

2.1 Accountgegevens van de klant (organisatie die een product afneemt) Naam, e-mailadres, telefoonnummer, bedrijfsnaam, KvK-nummer (indien opgegeven), factuuradres, en de inhoud van het bestelformulier.

2.2 Authenticatie- en beveiligingsgegevens Wachtwoord (uitsluitend als onomkeerbare hash, nooit leesbaar opgeslagen), tweefactorauthenticatiegegevens (versleuteld TOTP-geheim, gehashte back-upcodes, publieke WebAuthn/passkey-sleutel), sessiegegevens (een ondoorzichtig sessietoken waarvan alleen een hash wordt opgeslagen; IP-adres en user-agent bij het aanmelden en vergelijkbare beveiligingsgebeurtenissen).

2.3 Organisatie- en onboardinggegevens De bedrijfsspecifieke gegevens die tijdens onboarding worden opgegeven om een product te configureren (bijvoorbeeld bedrijfsbeschrijving, website, tone-of-voice, doelgroep — afhankelijk van het afgenomen product).

2.4 Koppelingen met social-media-accounts (Meta OAuth) Bij het koppelen van een Facebook-pagina en/of Instagram-zakelijk-account: het Facebook-pagina-ID, de paginanaam, het gekoppelde Instagram-zakelijk-account-ID, het Meta-gebruikers-ID van de koppelende persoon (uitsluitend gebruikt om Meta's dataverwijderingsverzoeken correct te kunnen verwerken — zie de pagina Data verwijderen), en een versleuteld toegangstoken (AES-256-GCM, nooit in leesbare vorm opgeslagen of gelogd). Wij lezen geen persoonlijke Facebook-tijdlijn, berichten of contacten van de klant of derden.

2.5 Gmail-koppeling (Mail Context) — optioneel, alleen na expliciete koppeling door de klant Indien een klant er zelf voor kiest een Gmail-postbus te koppelen via Mail Context: het gekoppelde Gmail-adres, en — uitsluitend voor recente inkomende e-mail binnen een rollend venster van 30 dagen — afzender, ontvangers (aan/cc), onderwerp, een korte samenvatting (snippet) en ontvangsttijdstip, ten behoeve van weergave bij het gekoppelde Contact, in de Tijdlijn en door de Nexus Guide-assistent. Wij vragen uitsluitend alleen-lezen toegang (https://www.googleapis.com/auth/gmail.readonly) aan: wij kunnen nooit namens de klant e-mail verzenden, wijzigen of verwijderen via deze koppeling. E-mail ouder dan 30 dagen wordt bij synchronisatie automatisch uit onze database verwijderd; de klant kan de koppeling op elk moment zelf verbreken. De koppeling is alleen beschikbaar in omgevingen waarin Nexus deze functie uitdrukkelijk heeft ingeschakeld.

2.6 WhatsApp-gespreksgegevens Telefoonnummer en naam van de ontvanger, berichtinhoud (tekst/media) van in- en uitgaande WhatsApp-berichten, gespreksstatus, en consent-/afmeldstatus (zie sectie 8).

2.7 E-mailgegevens E-mailadres en naam van ontvangers, verzonden onderwerp/inhoud, afleverstatus, en consent-/afmeldstatus (zie sectie 8).

2.8 Review-, lead- en offertegegevens Naam en e-mailadres van reviewverzoekontvangers en hun feedback; naam, e-mailadres, telefoonnummer en functie van leadcontactpersonen en de daarover door AI gegenereerde analyses; naam en e-mailadres van offerteontvangers en offertegoedkeurders.

2.9 Gegenereerde content Bijschriften, afbeeldingen, berichten, offertetekst en e-mailconcepten die door AI worden gegenereerd en/of door de klant worden aangeleverd.

2.10 Betaal- en facturatiegegevens Via Mollie: betaalstatus, transactiereferenties en de daarvoor door Mollie zelf verwerkte betaalgegevens (wij slaan zelf geen volledige kaart-/rekeninggegevens op). Via Moneybird: facturen, creditfacturen en administratieve boekingen op naam van de klant.

2.11 Logs, audittrail en juridisch bewijs van acceptatie Technische logs (tijdstip, gebeurtenis, betrokken ID's — nooit tokens/wachtwoorden) en een audittrail van gevoelige acties. Bij het accepteren van deze Privacyverklaring en de Algemene Voorwaarden leggen wij daarnaast bewust het daadwerkelijke IP-adres en de user-agent vast (niet gehasht) als juridisch bewijs van acceptatie, op grond van artikel 6 lid 1 sub b/c AVG.

2.12 Cookies Zie het separate Cookiebeleid.

2.13 Gegevens die wij niet verwerken Wij vragen niet om, en verwerken niet, bijzondere categorieën persoonsgegevens (gezondheid, ras, geloofsovertuiging, etc.) als onderdeel van de reguliere platformwerking. Voert een klant dergelijke gegevens toch zelf in vrije tekstvelden in, dan is dat buiten het doel van de verwerking en de verantwoordelijkheid van de klant als (mede)verwerkingsverantwoordelijke voor de content die hij laat versturen/publiceren.

3. Waarom en op welke grondslag wij deze gegevens verwerken

Doel	Grondslag
Uitvoeren van de overeenkomst (product leveren, abonnement beheren)	Uitvoering overeenkomst (art. 6 lid 1 sub b AVG)
Publiceren/verzenden van content namens de klant via gekoppelde kanalen	Uitvoering overeenkomst
Facturatie en betalingsverwerking	Uitvoering overeenkomst / wettelijke verplichting
Accountbeveiliging, misbruikpreventie, audittrail	Gerechtvaardigd belang (art. 6 lid 1 sub f AVG)
Bewijs van acceptatie van juridische documenten	Wettelijke verplichting / gerechtvaardigd belang (art. 6 lid 1 sub b/c AVG)
Reageren op serviceverzoeken/klachten	Uitvoering overeenkomst / gerechtvaardigd belang
Wettelijke fiscale/administratieve bewaarplicht	Wettelijke verplichting (art. 6 lid 1 sub c AVG)

Wij baseren ons nergens op "toestemming" als grondslag voor de kernlevering van het product (die volgt uit de overeenkomst) — waar wél toestemming relevant is (bijvoorbeeld het WhatsApp- of e-mailcontact van de klant zijn eigen ontvangers, of niet-noodzakelijke cookies), ligt die verantwoordelijkheid bij de klant respectievelijk is die apart geregeld in het Cookiebeleid.

4. Verwerkers en derde partijen

Zie het separate, actuele Subprocessor List voor het volledige overzicht. Samengevat: Vercel (hosting), Neon (database, EU), OpenAI en Anthropic (AI-tekstgeneratie), Meta Platforms (Facebook/Instagram/WhatsApp Business Platform), Google (uitsluitend voor klanten die zelf een Gmail-postbus koppelen via Mail Context, alleen-lezen toegang), Resend (e-mailverzending), Mollie (betalingen), Moneybird (facturatie), Make.com (uitsluitend voor AI Social Media Automation), en Upstash (technische snelheidsbeperking, uitsluitend gehashte identifiers). Wij delen uitsluitend de gegevens die nodig zijn voor de betreffende functie, en uitsluitend voor zover de klant het betreffende product/kanaal daadwerkelijk gebruikt.

5. Doorgifte buiten de EER

Onze database draait op EU-infrastructuur (Neon, regio Frankfurt/eu-central-1). Sommige andere verwerkers (waaronder mogelijk OpenAI, Anthropic, Meta en Resend) kunnen gegevens (deels) verwerken op infrastructuur buiten de EER. Voor zover van toepassing steunen wij op de door die partijen zelf aangeboden doorgiftemechanismen (zoals EU Standard Contractual Clauses), zoals gepubliceerd in hun eigen verwerkersvoorwaarden. Voor de exacte, actuele status per subverwerker verwijzen wij naar diens eigen privacy-/verwerkersdocumentatie; wij houden dit onderwerp actief in de gaten en werken deze verklaring bij zodra daar aanleiding toe is.

6. Bewaartermijnen

Zie het separate Data Retention Policy voor het volledige overzicht per gegevenscategorie. In het kort: financiële/administratieve gegevens worden bewaard conform de Nederlandse fiscale bewaarplicht (wettelijk minimaal 7 jaar); social-media-koppelingstokens worden verwijderd zodra de koppeling wordt losgekoppeld; Mail Context wordt binnen een rollend venster van maximaal 30 dagen bewaard en actieve Gmail-tokens worden bij loskoppelen direct verwijderd, terwijl reeds gesynchroniseerde context tot een volgende opschoning kan blijven bestaan; voor overige klant-/onboardinggegevens, audittrail- en sessiegegevens bestaat op dit moment geen geautomatiseerd verwijderingsproces — wij bewaren deze zolang de overeenkomst loopt en zolang nodig voor de in sectie 3 genoemde doelen, en verwijderen of anonimiseren deze op gedocumenteerd verzoek (zie sectie 9).

7. Beveiliging

Zie het separate Security Statement voor het volledige overzicht van onze technische en organisatorische maatregelen. Social-media- en berichtentoegangstokens worden versleuteld opgeslagen (AES-256-GCM). Wij nemen redelijke technische en organisatorische maatregelen, maar kunnen — zoals elke partij — geen absolute garantie tegen elk denkbaar incident geven.

8. Consent en afmelden bij WhatsApp en e-mail

Voor uitgaande WhatsApp-berichten en e-mails die de klant via de Dienst verstuurt, geldt: een eerdere afmelding/opt-out van een ontvanger weegt altijd zwaarder dan een aanwezige toestemming, en elke verzonden e-mail bevat een werkende afmeldlink. Zie de Acceptable Use Policy voor de verantwoordelijkheid van de klant om zelf over een rechtmatige grondslag voor het benaderen van zijn ontvangers te beschikken.

9. Rechten van betrokkenen

Voor zover van toepassing op de verwerkte persoonsgegevens kan een betrokkene bij ons een verzoek indienen tot: inzage, correctie, verwijdering, beperking van de verwerking, overdraagbaarheid van gegevens, of bezwaar tegen verwerking op basis van gerechtvaardigd belang. Waar toestemming de grondslag is, kan deze te allen tijde worden ingetrokken.

Verzoeken kunnen worden ingediend via info@dvgprecision.com. Wij reageren binnen de wettelijke termijn (in beginsel binnen één maand). Een verzoek tot volledige verwijdering van accountgegevens wordt op dit moment via een handmatig, gedocumenteerd proces afgehandeld — hierover leest u meer op de pagina Data verwijderen.

U heeft daarnaast het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

10. Cookies

Zie het separate Cookiebeleid voor welke cookies en vergelijkbare technieken worden gebruikt.

11. Wijzigingen

Deze verklaring kan worden bijgewerkt. Bij een materiële wijziging publiceren wij een nieuwe versie en wordt deze — waar van toepassing — opnieuw voorgelegd bij bestaande klanten via het versiegestuurde acceptatiesysteem.

12. Contact

Version 2.3 · effective since September 20, 2026

Privacy Policy

Version 2.3 — adds Anthropic as a second AI-language-model provider alongside OpenAI (see sections 4 and 5).

This privacy policy explains which personal data DVG Precision B.V. processes through the Nexus Cognito platform, why, on which legal basis, for how long, with whom it is shared, and which rights apply.

"Nexus Cognito" is the trade name under which DVG Precision B.V. operates this platform. Your agreement is concluded with DVG Precision B.V. — not with any other legal entity affiliated with Nexus Cognito, unless expressly agreed otherwise.

1. Who is responsible for the processing

DVG Precision B.V. Karimunstraat 17 3089 SM Rotterdam The Netherlands Chamber of Commerce (KvK) number: 98240021 Establishment number: 000063418436 VAT identification number: NL868412764B01 E-mail (general/legal): info@dvgprecision.com Customer service: support@nexuscognito.com Security reports: security@nexuscognito.com

For personal data that we process for our own customer relationship, invoicing, security and platform operation, we are the controller. For personal data that a customer itself has processed through the Service (for example data of its own leads, review recipients, e-mail or WhatsApp contacts), we act as processor on behalf of that customer — see the Data Processing Agreement.

2. Which data we process

2.1 Account data of the customer (organisation purchasing a product) Name, e-mail address, telephone number, company name, Chamber of Commerce number (if provided), billing address, and the contents of the order form.

2.2 Authentication and security data Password (exclusively as an irreversible hash, never stored in readable form), two-factor authentication data (encrypted TOTP secret, hashed backup codes, public WebAuthn/passkey key), session data (an opaque session token of which only a hash is stored; IP address and user agent at sign-in and comparable security events).

2.3 Organisation and onboarding data The business-specific data provided during onboarding to configure a product (for example business description, website, tone of voice, target audience — depending on the product purchased).

2.4 Connections with social media accounts (Meta OAuth) When connecting a Facebook page and/or Instagram business account: the Facebook page ID, the page name, the connected Instagram business account ID, the Meta user ID of the connecting person (used exclusively to correctly process Meta's data deletion requests — see the Delete data page), and an encrypted access token (AES-256-GCM, never stored or logged in readable form). We do not read any personal Facebook timeline, messages or contacts of the customer or of third parties.

2.5 Gmail connection (Mail Context) — optional, only after explicit connection by the customer If a customer chooses to connect a Gmail mailbox through Mail Context: the connected Gmail address and — solely for recent inbound e-mail within a rolling 30-day window — sender, recipients (to/cc), subject, a short summary (snippet), and received timestamp, for display with the linked Contact, in the Timeline, and by the Nexus Guide assistant. We request read-only access only (https://www.googleapis.com/auth/gmail.readonly): this connection can never send, modify, or delete e-mail on the customer's behalf. E-mail older than 30 days is automatically removed from our database during synchronisation; the customer can disconnect at any time. The connection is available only in environments where Nexus has explicitly enabled this function.

2.6 WhatsApp conversation data Telephone number and name of the recipient, message content (text/media) of incoming and outgoing WhatsApp messages, conversation status, and consent/opt-out status (see section 8).

2.7 E-mail data E-mail address and name of recipients, subject/content sent, delivery status, and consent/opt-out status (see section 8).

2.8 Review, lead and quote data Name and e-mail address of review request recipients and their feedback; name, e-mail address, telephone number and job title of lead contacts and the analyses generated about them by AI; name and e-mail address of quote recipients and quote approvers.

2.9 Generated content Captions, images, messages, quote text and e-mail drafts generated by AI and/or supplied by the customer.

2.10 Payment and invoicing data Via Mollie: payment status, transaction references and the payment data processed by Mollie itself for that purpose (we do not store full card/account details ourselves). Via Moneybird: invoices, credit notes and administrative bookings in the customer's name.

2.11 Logs, audit trail and legal proof of acceptance Technical logs (time, event, IDs involved — never tokens/passwords) and an audit trail of sensitive actions. When this Privacy Policy and the Terms and Conditions are accepted, we additionally and deliberately record the actual IP address and user agent (not hashed) as legal proof of acceptance, on the basis of Article 6(1)(b)/(c) GDPR.

2.12 Cookies See the separate Cookie Policy.

2.13 Data we do not process We do not ask for, and do not process, special categories of personal data (health, race, religious beliefs, etc.) as part of regular platform operation. If a customer nevertheless enters such data itself in free-text fields, that is outside the purpose of the processing and the responsibility of the customer as (joint) controller for the content it has sent/published.

3. Why and on which legal basis we process this data

Purpose	Legal basis
Performing the agreement (delivering the product, managing the subscription)	Performance of a contract (Art. 6(1)(b) GDPR)
Publishing/sending content on behalf of the customer through connected channels	Performance of a contract
Invoicing and payment processing	Performance of a contract / legal obligation
Account security, abuse prevention, audit trail	Legitimate interest (Art. 6(1)(f) GDPR)
Proof of acceptance of legal documents	Legal obligation / legitimate interest (Art. 6(1)(b)/(c) GDPR)
Responding to service requests/complaints	Performance of a contract / legitimate interest
Statutory tax/administrative retention obligation	Legal obligation (Art. 6(1)(c) GDPR)

We never rely on "consent" as the legal basis for the core delivery of the product (that follows from the agreement) — where consent is relevant (for example the customer's WhatsApp or e-mail contact with its own recipients, or non-essential cookies), that responsibility lies with the customer or is regulated separately in the Cookie Policy.

4. Processors and third parties

See the separate, current Subprocessor List for the complete overview. In summary: Vercel (hosting), Neon (database, EU), OpenAI and Anthropic (AI text generation), Meta Platforms (Facebook/Instagram/WhatsApp Business Platform), Google (only for customers who choose to connect a Gmail mailbox through Mail Context, read-only access), Resend (e-mail delivery), Mollie (payments), Moneybird (invoicing), Make.com (exclusively for AI Social Media Automation), and Upstash (technical rate limiting, hashed identifiers only). We share only the data needed for the function concerned, and only to the extent the customer actually uses the product/channel concerned.

5. Transfers outside the EEA

Our database runs on EU infrastructure (Neon, Frankfurt/eu-central-1 region). Some other processors (including possibly OpenAI, Anthropic, Meta and Resend) may process data (in part) on infrastructure outside the EEA. Where applicable we rely on the transfer mechanisms offered by those parties themselves (such as EU Standard Contractual Clauses), as published in their own data processing terms. For the exact, current status per subprocessor we refer to that party's own privacy/processor documentation; we actively monitor this subject and update this policy as soon as there is reason to do so.

6. Retention periods

See the separate Data Retention Policy for the complete overview per data category. In short: financial/administrative data is retained in accordance with the Dutch statutory tax retention obligation (a legal minimum of 7 years); social media connection tokens are deleted as soon as the connection is disconnected; Mail Context is retained within a rolling window of no more than 30 days and active Gmail tokens are deleted immediately on disconnect, while previously synchronised context may remain until a later clean-up; for other customer/onboarding data, audit trail and session data there is currently no automated deletion process — we retain this data for as long as the agreement runs and as long as necessary for the purposes referred to in section 3, and delete or anonymise it on documented request (see section 9).

7. Security

See the separate Security Statement for the complete overview of our technical and organisational measures. Social media and messaging access tokens are stored encrypted (AES-256-GCM). We take reasonable technical and organisational measures, but — like any party — cannot give an absolute guarantee against every conceivable incident.

8. Consent and opting out for WhatsApp and e-mail

For outgoing WhatsApp messages and e-mails that the customer sends through the Service, the following applies: an earlier opt-out by a recipient always outweighs an existing consent, and every e-mail sent contains a working unsubscribe link. See the Acceptable Use Policy for the customer's responsibility to have its own lawful basis for approaching its recipients.

9. Rights of data subjects

To the extent applicable to the personal data processed, a data subject may submit a request to us for: access, rectification, erasure, restriction of processing, data portability, or objection to processing based on legitimate interest. Where consent is the legal basis, it can be withdrawn at any time.

Requests can be submitted via info@dvgprecision.com. We respond within the statutory period (in principle within one month). A request for complete deletion of account data is currently handled through a manual, documented process — you can read more about this on the Delete data page.

You also have the right to lodge a complaint with the Dutch Data Protection Authority (Autoriteit Persoonsgegevens, autoriteitpersoonsgegevens.nl).

10. Cookies

See the separate Cookie Policy for which cookies and similar technologies are used.

11. Changes

This policy may be updated. In the event of a material change we publish a new version and — where applicable — present it again to existing customers through the version-controlled acceptance system.