Privacyverklaring Digital Ruud Gullit (DRG)
Versie 2.0 — 21 mei 2026 — Hibou/x B.V.

1. Inleiding

Deze privacyverklaring beschrijft hoe Hibou/x B.V. (hierna: "wij", "ons" of "Hibou/x") omgaat met persoonsgegevens van personen die gebruik maken van Digital Ruud Gullit (hierna: "de digital human" of "DRG"). Wij vinden de bescherming van jouw privacy belangrijk en gaan zorgvuldig met jouw gegevens om.

De digital human is een interactieve avatar waarmee je een gesprek kunt voeren via tekst en/of spraak. Wij bieden de digital human aan in samenwerking met Brands Connected. De onderliggende technologie is ons eigen platform; voor specifieke onderdelen daarvan maken wij gebruik van gespecialiseerde dienstverleners die als verwerkers in de zin van de Algemene Verordening Gegevensbescherming (AVG) uitsluitend in onze opdracht en op onze instructie persoonsgegevens verwerken.

Wij raden je aan deze verklaring goed door te lezen voordat je een gesprek met de digital human aangaat.

2. Wat zijn persoonsgegevens?

Persoonsgegevens zijn alle gegevens die direct of indirect te herleiden zijn tot jou als persoon. Dat omvat duidelijke gegevens zoals een naam of e-mailadres, maar ook indirect identificerende gegevens zoals een IP-adres of een sessie-identificator (een willekeurig gegenereerde code waarmee jouw gesprek technisch wordt onderscheiden van andere gesprekken).

Sommige gegevens die wij in het kader van de digital human verwerken kun je beschouwen als gepseudonimiseerd: zij zijn niet direct herleidbaar tot jou, maar in combinatie met andere informatie zou herleiding mogelijk kunnen zijn. Wij behandelen die gegevens daarom als persoonsgegevens en passen de waarborgen van de AVG erop toe. Pseudonimisering is iets anders dan anonimisering: bij anonimisering is herleiding redelijkerwijs niet meer mogelijk, en gelden de regels van de AVG niet meer.

3. Je voert een gesprek met een AI-systeem

De digital human is een AI-systeem. De avatar die je ziet en de stem die je hoort worden door software gegenereerd; het is geen mens. De antwoorden worden gegenereerd door een onderliggend taalmodel.

Antwoorden van een AI-systeem zijn niet altijd feitelijk juist. Het kan voorkomen dat de digital human een antwoord geeft dat onvolledig, onnauwkeurig of niet meer actueel is. De digital human geeft algemene informatie en neemt geen formeel besluit, beoordeling of toezegging namens Hibou/x of Brands Connected. Gebruik de informatie daarom niet als enige bron voor belangrijke beslissingen en raadpleeg bij twijfel een deskundige.

Algemene informatieservice: Wij vragen je om geen gevoelige of bijzondere persoonsgegevens met de digital human te delen, zoals informatie over je gezondheid, religie, politieke opvattingen, seksuele leven, ras of strafrechtelijk verleden, en geen gegevens van anderen dan jezelf. Deel ook geen wachtwoorden, betalingsgegevens of andere geheime informatie. Hoe minder gegevens je deelt, hoe beter jouw privacy beschermd is.

DRG geeft geen persoonlijk advies. Wel kan DRG je algemene informatie geven over Ruud Gullit, zijn carrière en daaraan gerelateerde onderwerpen. Het is dan ook niet nodig of de bedoeling om persoonlijke informatie te delen met DRG.

Je bent niet verplicht om persoonsgegevens te delen. Als je geen tekst of spraak invoert, kan de digital human je vraag niet beantwoorden, maar voor het overige heeft het achterwege laten van gegevens geen gevolgen voor jou.

4. Over ons

Verwerkingsverantwoordelijke voor de in deze verklaring beschreven verwerkingen is:

Hibou/x B.V.
Generaal Vetterstraat 82-2
1059 BW Amsterdam
E-mailadres voor privacyvragen: ai@hibou.nl

Wij bieden de digital human aan in samenwerking met Brands Connected (info@brands-connected.com). Brands Connected is onze samenwerkingspartner en geen (mede-)verwerkingsverantwoordelijke of verwerker voor de in deze verklaring beschreven verwerkingen.

Wij hebben geen Functionaris voor Gegevensbescherming aangesteld.

5. Voor welke doeleinden verwerken wij persoonsgegevens?

Wij verwerken jouw persoonsgegevens uitsluitend voor de doeleinden die hieronder staan beschreven. Per doel leggen we uit wat het doel inhoudt, welke gegevens wij verwerken, hoe lang wij de gegevens bewaren en op welke juridische basis wij ons baseren.

5.1 Het voeren van een gesprek met de digital human

Wat houdt dit doel in?
Wanneer je een gesprek aangaat met de digital human, verwerken wij jouw input (tekst en/of spraak) zodat de digital human je een passend antwoord kan geven. Bij gebruik van spraak wordt jouw spraak in real-time omgezet in tekst. Voor de werking van de avatar, de stem en de interactie maken wij gebruik van onze eigen technologie en van de in paragraaf 7 genoemde verwerkers.

Welke persoonsgegevens verwerken wij hiervoor?

• De tekst die je intypt of inspreekt (gespreksinhoud).
• Indien spraak is ingeschakeld: de spraakinvoer die wordt omgezet naar tekst (de spraakopname zelf wordt niet bewaard).
• De avatarbeelden en het gegenereerde audio-output dat naar jou wordt teruggestuurd.
• Een sessie-identificator: een willekeurig gegenereerde code waarmee jouw gesprek technisch wordt onderscheiden van andere gesprekken.
• Het tijdstip van het begin en einde van het gesprek.
• De tijdsduur van het gesprek.

Hoe lang bewaren wij deze gegevens?
Gespreksinhoud (transcripten) en sessie-identificatoren bewaren wij maximaal 15 maanden, waarna ze automatisch worden verwijderd. Wij hanteren deze bewaartermijn zodat wij volledige jaaranalyses (12 maanden) kunnen opstellen en daarnaast een kwartaal van het daaropvolgende jaar (Q1) kunnen meenemen voor trendvergelijking en rapportagedoeleinden. Real-time spraak- en videostromen worden niet opgeslagen; zij worden alleen gebruikt om het gesprek mogelijk te maken.

Wat is de juridische basis?
De juridische basis is ons gerechtvaardigd belang (artikel 6 lid 1 onder f AVG). Ons concrete belang is: het laagdrempelig en buiten kantooruren beschikbaar maken van algemene informatie over Ruud Gullit aan onze bezoekers. Wij hebben dit belang afgewogen tegen jouw privacybelangen en hebben passende waarborgen getroffen, zoals beperkte bewaartermijnen, scheiding tussen gespreksinhoud en technische gegevens en de uitsluitingen die in deze verklaring staan beschreven. Door het gesprek te starten kies je ervoor de digital human te gebruiken. Dit is geen toestemming in de zin van de AVG. Je hebt het recht om op elk moment bezwaar te maken tegen deze verwerking; zie paragraaf 11.

Bijzondere persoonsgegevens (alleen indien expliciet zo bedoeld): Wij beogen via de digital human geen bijzondere categorieën persoonsgegevens in de zin van artikel 9 lid 1 AVG te verwerken, zoals gegevens over je gezondheid, religie, levensovertuiging, politieke opvattingen, lidmaatschap van een vakbond, seksuele leven of seksuele gerichtheid, ras of etnische afkomst, of strafrechtelijk verleden. Wij vragen je in de pre-chat notice en in paragraaf 3 om dergelijke gegevens niet met de digital human te delen.

Indien je desondanks zelf, actief en uit eigen beweging bijzondere persoonsgegevens met de digital human deelt (bijvoorbeeld door deze in te typen of in te spreken) geldt het volgende. Door deze gegevens vrijwillig in te voeren, in de wetenschap dat de digital human jouw input registreert, opslaat en kan analyseren zoals in deze verklaring is beschreven, beschouwen wij die gegevens als kennelijk door jou openbaar gemaakt jegens Hibou/x en de in paragraaf 7 genoemde verwerkers. Wij baseren de verwerking van dergelijke gegevens op de uitzondering van artikel 9 lid 2 onder e AVG.

Wij gebruiken deze gegevens niet voor andere doeleinden dan in paragraaf 5 zijn beschreven, en wij verwijderen of anonimiseren ze conform de bewaartermijnen in paragraaf 9. Wij hebben passende waarborgen getroffen om de risico's van een onbedoelde verwerking van bijzondere gegevens te beperken: de waarschuwingen vooraf, de strikte toegangsbeperking tot transcripten, de korte bewaartermijnen en het verbod op gebruik voor profilering of marketing.

5.2 Technisch functioneren en troubleshooting

Wat houdt dit doel in?
Wij verwerken technische gegevens om de digital human goed te laten functioneren, om storingen op te sporen en op te lossen en om de stabiliteit en beschikbaarheid van de dienst te bewaken.

Welke persoonsgegevens verwerken wij hiervoor?

• IP-adres.
• Browsertype, besturingssysteem en apparaattype (user-agent).
• Tijdstip van bezoek.
• Interactielogs en foutmeldingen.

Hoe lang bewaren wij deze gegevens?
IP-adressen en serverlogbestanden worden bewaard gedurende maximaal 15 maanden, in lijn met ons beveiligings- en logbeleid en dat van onze hostingprovider.

Wat is de juridische basis?
Ons gerechtvaardigd belang bij een goed functionerende, veilige en stabiele dienst (artikel 6 lid 1 onder f AVG).

5.3 Kwaliteitsborging en verbetering van onze dienst

Wat houdt dit doel in?
Wij analyseren gespreksinhoud en interactiegegevens om de kwaliteit van de antwoorden binnen onze eigen deployment te bewaken, om te begrijpen welke vragen jij en andere gebruikers stellen, en om de kennisbank, de instructies en de werking van onze digital human in de loop van de tijd te verbeteren. Deze analyse vindt plaats binnen onze deployment en is niet bedoeld om jou als individu te volgen of een persoonlijk profiel op te bouwen.

Welke persoonsgegevens verwerken wij hiervoor?
Gespreksinhoud, sessie-identificatoren, tijdstip en interactielogs zoals beschreven onder paragraaf 5.1 en 5.2.

Hoe lang bewaren wij deze gegevens?
Maximaal 15 maanden in geïdentificeerde of gepseudonimiseerde vorm. Daarna worden de gegevens verwijderd of geanonimiseerd (zie paragraaf 5.5).

Wat is de juridische basis?
Ons gerechtvaardigd belang bij het verbeteren van de kwaliteit en bruikbaarheid van onze deployment (artikel 6 lid 1 onder f AVG). Wij hebben een afweging gemaakt waarbij dit belang is afgewogen tegen jouw privacybelangen, en hebben passende waarborgen getroffen zoals beperkte toegang, korte bewaartermijnen en geen gebruik voor profilering of marketing.

5.4 Beveiliging en logging

Wat houdt dit doel in?
Wij verwerken bepaalde gegevens om de digital human te beveiligen tegen misbruik, fraude en ongeoorloofde toegang, en om eventuele beveiligingsincidenten te kunnen detecteren en onderzoeken. Daarbij kan ook geautomatiseerde inhoudsfiltering plaatsvinden om misbruik en onrechtmatige output te voorkomen.

Welke persoonsgegevens verwerken wij hiervoor?
IP-adres, sessie-identificator, tijdstip, technische gegevens over jouw apparaat en (indien relevant) gespreksinhoud die door beveiligingsfilters wordt geactiveerd.

Hoe lang bewaren wij deze gegevens?
Beveiligingslogs worden bewaard zo lang als nodig is voor het beveiligingsdoel, met een maximum van 15 maanden.

Wat is de juridische basis?
Ons gerechtvaardigd belang bij de beveiliging van de dienst en de bescherming van onze rechten en die van anderen (artikel 6 lid 1 onder f AVG).

5.5 Anonimisering

Wat houdt dit doel in?
Wij anonimiseren persoonsgegevens wanneer deze niet langer nodig zijn voor de doelen onder paragraaf 5.1 tot en met 5.4, of uiterlijk aan het einde van de toepasselijke bewaartermijn. Anonimisering betekent dat de gegevens zo worden bewerkt dat jij er niet meer uit te identificeren bent, ook niet in combinatie met andere informatie.

Het anonimiseren zelf is een verwerking van persoonsgegevens en vindt plaats onder onze verantwoordelijkheid; voor zover wij hierbij gebruik maken van verwerkers, doen zij dit uitsluitend in onze opdracht en op onze instructie. Pas nadat de gegevens daadwerkelijk anoniem zijn geworden, zijn het geen persoonsgegevens meer in de zin van de AVG. Vanaf dat moment vallen zij buiten de reikwijdte van deze verklaring. De geanonimiseerde data mogen wij vervolgens gebruiken voor de verbetering van ons platform en onze dienstverlening; wij verkopen ze niet aan derden.

Welke persoonsgegevens verwerken wij hiervoor?
De anonimiseringsbewerking wordt toegepast op gespreksinhoud en interactielogs zoals beschreven onder de voorgaande doeleinden.

Hoe lang bewaren wij deze gegevens?
De oorspronkelijke persoonsgegevens worden na anonimisering verwijderd. De geanonimiseerde data zelf zijn geen persoonsgegevens meer en kennen daarom geen bewaartermijn onder de AVG.

Wat is de juridische basis?
Voor het anonimiseren zelf: ons gerechtvaardigd belang bij een doelmatige verwijdering en bij doorlopende kwaliteitsverbetering van een dienst die ook andere gebruikers ten goede komt (artikel 6 lid 1 onder f AVG). Wij zorgen ervoor dat de anonimisering aantoonbaar voldoet aan de drie criteria die het Europees Comité voor gegevensbescherming hanteert: het mag niet meer mogelijk zijn om individuele personen te isoleren, gegevens aan elkaar te koppelen of identificerende kenmerken af te leiden.

5.6 Cookies en sessie-onderhoud

Voor de werking van de digital human plaatsen wij een functioneel cookie of vergelijkbare technologie waarmee jouw sessie technisch wordt onderhouden. Dit is noodzakelijk om het gesprek tussen jou en de digital human goed te laten verlopen. Voor cookies die niet strikt noodzakelijk zijn (bijvoorbeeld voor analyse of marketing) vragen wij vooraf jouw toestemming via een cookie-banner. Meer informatie vind je in onze cookieverklaring.

6. Geautomatiseerde besluitvorming en profilering

De digital human genereert geautomatiseerd antwoorden op basis van een AI-systeem. Deze antwoorden vormen geen besluiten met rechtsgevolg of een vergelijkbaar aanmerkelijk gevolg voor jou in de zin van artikel 22 AVG. Wij gebruiken de digital human niet om automatisch besluiten over jou te nemen, geen profielen op te bouwen en geen voorspellingen over jouw gedrag te doen.

Wanneer een vraag of verzoek tot een formele beoordeling, aanvraag of besluit zou kunnen leiden, verwijst de digital human jou naar het juiste contactkanaal binnen onze organisatie.

7. Met wie delen wij jouw gegevens?

Wij delen jouw persoonsgegevens uitsluitend met de volgende categorieën ontvangers, en alleen voor zover dat nodig is voor de hierboven beschreven doelen.

Verwerkers. Wij maken voor de werking van de digital human gebruik van verwerkers die uitsluitend in onze opdracht en op basis van een verwerkersovereenkomst die voldoet aan artikel 28 AVG persoonsgegevens verwerken. Deze verwerkers zijn ingedeeld in de volgende functionele categorieën:

• Aanbieders van avatar- en spraakverwerking, voor het genereren van de avatar en de stem.
• Aanbieders van real-time audio- en videocommunicatie, voor het mogelijk maken van het real-time gesprek.
• Aanbieders van databasetechnologie, voor het opslaan van transcripten en sessiegegevens.
• Aanbieders van hosting- en server-infrastructuur.
• Aanbieders van technische implementatie en onderhoud.

Een actuele lijst met namen van verwerkers, hun functie, hun vestigingsland en de toepasselijke doorgiftewaarborg is op verzoek beschikbaar via het in paragraaf 4 genoemde contactadres.

Andere ontvangers. Daarnaast kunnen wij jouw gegevens, voor zover noodzakelijk en juridisch verplicht, delen met overheidsinstanties, toezichthouders, opsporingsdiensten of (juridische) adviseurs.

Wij verkopen jouw gegevens nooit aan derden.

8. Doorgifte buiten de Europese Economische Ruimte

Transcripten en sessiegegevens worden opgeslagen op servers binnen de Europese Economische Ruimte (EER — de EU-lidstaten plus IJsland, Noorwegen en Liechtenstein). Voor specifieke onderdelen van de digital human, met name de real-time spraak- en avatarverwerking, kan jouw gespreksinhoud tijdelijk worden verwerkt door dienstverleners buiten de EER, waaronder de Verenigde Staten.

Voor deze doorgifte maken wij gebruik van de volgende waarborgen:

• Een adequaatheidsbesluit van de Europese Commissie, waaronder het EU–US Data Privacy Framework (artikel 45 AVG), voor zover de ontvangende partij daarbij is aangesloten.
• De door de Europese Commissie vastgestelde standaardcontractbepalingen — dit zijn Europese modelcontracten die een passend beschermingsniveau borgen wanneer een adequaatheidsbesluit ontbreekt (artikel 46 lid 2 onder c AVG).

9. Hoe lang bewaren wij jouw gegevens?

De bewaartermijnen per categorie persoonsgegevens staan vermeld bij de afzonderlijke doeleinden in paragraaf 5. Samengevat:

• Gespreksinhoud (transcripten) en sessie-identificatoren: maximaal 15 maanden, waarna automatische verwijdering plaatsvindt.
• IP-adressen en serverlogbestanden: maximaal 15 maanden.
• Beveiligingslogs: maximaal 15 maanden.
• Geanonimiseerde data: zonder beperking (geen persoonsgegevens meer).

Indien wij wettelijk verplicht zijn gegevens langer te bewaren, doen wij dat conform die verplichting en met passende beveiligingsmaatregelen.

10. Hoe beschermen wij jouw gegevens?

Wij hebben passende technische en organisatorische maatregelen getroffen om jouw gegevens te beschermen tegen verlies, ongeoorloofde toegang, wijziging of openbaarmaking, conform artikel 32 AVG. De belangrijkste maatregelen zijn:

• Versleutelde verbindingen (HTTPS/TLS) tussen jouw apparaat en onze systemen.
• Versleuteling van opgeslagen gegevens ("encryption at rest").
• Logische scheiding tussen gespreksinhoud en technische bezoekersgegevens, zodat IP-adressen en transcripten niet aan elkaar worden gekoppeld; in uitzonderlijke gevallen, zoals een beveiligingsincident, kan beperkte koppeling plaatsvinden onder strikte autorisatievoorwaarden.
• Toegangsbeheer op de databaselaag (Row Level Security — een techniek waarbij toegang per rij in de database wordt afgedwongen, zodat een gebruiker alleen ziet wat hij mag zien).
• Toegang voor uitsluitend daartoe geautoriseerde medewerkers, gebonden aan geheimhouding.
• Logging en monitoring voor het detecteren van beveiligingsincidenten.

Indien zich onverhoopt een datalek voordoet, handelen wij conform onze interne procedure en, voor zover wettelijk vereist, melden wij dit aan de Autoriteit Persoonsgegevens en aan jou.

11. Jouw rechten

Op grond van de AVG heb jij verschillende rechten met betrekking tot jouw persoonsgegevens. Hieronder lichten wij ze toe.

• Recht op inzage: je kunt opvragen welke gegevens wij van jou verwerken.
• Recht op rectificatie: je kunt onjuiste gegevens laten corrigeren.
• Recht op verwijdering: in bepaalde gevallen kun je vragen om verwijdering van jouw gegevens.
• Recht op beperking van de verwerking: in bepaalde gevallen kun je vragen om de verwerking tijdelijk stop te zetten.
• Recht op overdraagbaarheid: voor zover dit recht in jouw situatie geldt, kun je vragen om jouw gegevens in een gangbaar elektronisch formaat te ontvangen of rechtstreeks aan een andere partij over te dragen. Dit recht geldt alleen wanneer de verwerking is gebaseerd op toestemming of overeenkomst en geautomatiseerd plaatsvindt.
• Recht om niet te worden onderworpen aan een uitsluitend geautomatiseerd besluit met rechtsgevolg of vergelijkbaar aanmerkelijk gevolg.

Recht van bezwaar. Je hebt het recht om bezwaar te maken tegen verwerkingen die wij baseren op gerechtvaardigd belang of, indien van toepassing, op een taak van algemeen belang. Als je bezwaar maakt, staken wij de verwerking, tenzij wij dwingende gerechtvaardigde gronden hebben die zwaarder wegen dan jouw belangen, rechten en vrijheden. Een bezwaar kun je sturen naar ai@hibou.nl. Dit recht wordt ook afzonderlijk onder de aandacht gebracht voorafgaand aan het gesprek (zie de pre-chat notice).

Recht om toestemming in te trekken. Voor zover wij jouw gegevens verwerken op basis van toestemming, kun je deze toestemming op elk moment intrekken. Het intrekken van toestemming heeft geen terugwerkende kracht: verwerkingen die vóór de intrekking hebben plaatsgevonden blijven rechtmatig.

Hoe oefen je jouw rechten uit? Je kunt jouw rechten uitoefenen door een verzoek te sturen naar ai@hibou.nl. Wij reageren binnen één maand na ontvangst van jouw verzoek. In bijzondere gevallen kunnen wij deze termijn met twee maanden verlengen; in dat geval informeren wij jou daarover binnen de eerste maand. Om jouw verzoek te kunnen behandelen kunnen wij jou vragen om aanvullende informatie ter verificatie van jouw identiteit.

Recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens. Als je vindt dat wij niet zorgvuldig met jouw gegevens omgaan, kun je een klacht indienen bij de Autoriteit Persoonsgegevens. Wij stellen het op prijs als je eerst contact met ons opneemt, zodat wij samen tot een oplossing kunnen komen.

12. Hoe komen wij aan jouw gegevens?

Wij ontvangen jouw gegevens in beginsel rechtstreeks van jou: jij beslist wat je tegen de digital human zegt of typt, en jouw apparaat verstrekt automatisch enkele technische gegevens (zoals IP-adres en browserinformatie) om de verbinding mogelijk te maken.

13. Minderjarigen

De digital human is in beginsel niet gericht op kinderen onder de 16 jaar. Indien wij weten of vermoeden dat een gebruiker jonger is dan 16 jaar, verwerken wij diens gegevens slechts indien wij toestemming hebben van een ouder of wettelijk vertegenwoordiger, dan wel op basis van een andere passende grondslag onder de AVG. Bij gebruik van gerechtvaardigd belang als grondslag wegen wij de belangen van kinderen, indien zij redelijkerwijs tot de gebruikers behoren, met bijzondere aandacht mee in onze belangenafweging. Wij hanteren in dat geval kortere bewaartermijnen, vermijden contextueel bepaalde gevoelige onderwerpen en geven uitleg in eenvoudige taal.

14. Wijzigingen in deze verklaring

Wij kunnen deze privacyverklaring van tijd tot tijd aanpassen, bijvoorbeeld als de werking van de digital human verandert of als de wet daarom vraagt. Bij wezenlijke wijzigingen informeren wij gebruikers via onze website. Bovenaan deze verklaring vind je de versie en de datum van de meest recente wijziging.

15. Contact

Heb je vragen over deze privacyverklaring of over de manier waarop wij met jouw gegevens omgaan? Neem dan contact op via:

Hibou/x B.V.
Generaal Vetterstraat 82-2, 1059 BW Amsterdam
ai@hibou.nl

In samenwerking met Brands Connected (info@brands-connected.com).

Privacy Policy Digital Ruud Gullit (DRG)
Version 2.0 — 21 May 2026 — Hibou/x B.V.

1. Introduction

This privacy policy describes how Hibou/x B.V. (hereinafter: "we", "us" or "Hibou/x") handles personal data of individuals using Digital Ruud Gullit (hereinafter: "the digital human" or "DRG"). We value the protection of your privacy and handle your data with care.

The digital human is an interactive avatar with which you can have a conversation via text and/or speech. We offer the digital human in collaboration with Brands Connected. The underlying technology is our own platform; for specific components we use specialised service providers that, as processors within the meaning of the General Data Protection Regulation (GDPR), process personal data solely on our instructions and on our behalf.

We recommend you read this policy carefully before engaging in a conversation with the digital human.

2. What is personal data?

Personal data is any information that can be directly or indirectly traced back to you as an individual. This includes obvious data such as a name or email address, but also indirectly identifying data such as an IP address or a session identifier (a randomly generated code with which your conversation is technically distinguished from other conversations).

Some data we process in the context of the digital human can be regarded as pseudonymised: it is not directly traceable to you, but combined with other information identification could be possible. We therefore treat this data as personal data and apply the GDPR safeguards to it. Pseudonymisation differs from anonymisation: with anonymisation, identification is reasonably no longer possible, and the GDPR rules no longer apply.

3. You are having a conversation with an AI system

The digital human is an AI system. The avatar you see and the voice you hear are generated by software; it is not a human. Answers are generated by an underlying language model.

Answers from an AI system are not always factually correct. It can happen that the digital human gives an answer that is incomplete, inaccurate or no longer current. The digital human provides general information and does not make any formal decision, assessment or commitment on behalf of Hibou/x or Brands Connected. Therefore, do not use the information as the sole source for important decisions, and consult an expert if in doubt.

General information service: We ask you not to share sensitive or special personal data with the digital human, such as information about your health, religion, political opinions, sex life, race or criminal background, and no data of others than yourself. Also do not share passwords, payment details or other secret information. The less data you share, the better your privacy is protected.

DRG does not give personal advice. However, DRG can give you general information about Ruud Gullit, his career and related topics. It is therefore not necessary or intended to share personal information with DRG.

You are not obliged to share personal data. If you do not enter any text or speech, the digital human cannot answer your question, but otherwise, withholding data has no consequences for you.

4. About us

The data controller for the processing operations described in this policy is:

Hibou/x B.V.
Generaal Vetterstraat 82-2
1059 BW Amsterdam, Netherlands
Email address for privacy questions: ai@hibou.nl

We offer the digital human in collaboration with Brands Connected (info@brands-connected.com). Brands Connected is our cooperation partner and is not a (joint) data controller or processor for the processing operations described in this policy.

We have not appointed a Data Protection Officer.

5. For which purposes do we process personal data?

We process your personal data solely for the purposes described below. For each purpose we explain what the purpose entails, what data we process, how long we retain the data and on what legal basis we rely.

5.1 Having a conversation with the digital human

What does this purpose entail?
When you start a conversation with the digital human, we process your input (text and/or speech) so that the digital human can give you a suitable answer. When speech is used, your speech is converted to text in real time. For the operation of the avatar, the voice and the interaction, we use our own technology and the processors mentioned in section 7.

Which personal data do we process for this?

• The text you type or speak (conversation content).
• If speech is enabled: the speech input that is converted to text (the speech recording itself is not retained).
• The avatar imagery and generated audio output that is sent back to you.
• A session identifier: a randomly generated code with which your conversation is technically distinguished from other conversations.
• The time of the start and end of the conversation.
• The duration of the conversation.

How long do we retain this data?
Conversation content (transcripts) and session identifiers are retained for a maximum of 15 months, after which they are automatically deleted. We apply this retention period so that we can produce full year analyses (12 months) and additionally include a quarter of the following year (Q1) for trend comparison and reporting purposes. Real-time speech and video streams are not stored; they are only used to enable the conversation.

What is the legal basis?
The legal basis is our legitimate interest (Article 6(1)(f) GDPR). Our concrete interest is: making general information about Ruud Gullit accessible and available outside office hours to our visitors. We have weighed this interest against your privacy interests and have taken appropriate safeguards, such as limited retention periods, separation between conversation content and technical data, and the exclusions described in this policy. By starting the conversation you choose to use the digital human. This is not consent within the meaning of the GDPR. You have the right to object to this processing at any time; see section 11.

Special categories of personal data (only if explicitly intended): Via the digital human, we do not intend to process any special categories of personal data within the meaning of Article 9(1) GDPR, such as data concerning your health, religion, philosophical beliefs, political opinions, trade union membership, sex life or sexual orientation, race or ethnic origin, or criminal background. In the pre-chat notice and in section 3, we ask you not to share such data with the digital human.

If you nevertheless, actively and of your own accord, share special categories of personal data with the digital human (for example by typing or speaking them) the following applies. By voluntarily entering this data, in the knowledge that the digital human registers, stores and may analyse your input as described in this policy, we consider that data as manifestly made public by you towards Hibou/x and the processors mentioned in section 7. We base the processing of such data on the exception in Article 9(2)(e) GDPR.

We do not use this data for purposes other than those described in section 5, and we delete or anonymise it in accordance with the retention periods in section 9. We have taken appropriate safeguards to limit the risks of unintended processing of special categories: the warnings beforehand, the strict access restrictions on transcripts, the short retention periods and the prohibition on use for profiling or marketing.

5.2 Technical operation and troubleshooting

What does this purpose entail?
We process technical data to ensure the digital human functions properly, to detect and resolve issues, and to monitor the stability and availability of the service.

Which personal data do we process for this?

• IP address.
• Browser type, operating system and device type (user agent).
• Time of visit.
• Interaction logs and error messages.

How long do we retain this data?
IP addresses and server logs are retained for a maximum of 15 months, in line with our security and logging policy and that of our hosting provider.

What is the legal basis?
Our legitimate interest in a well-functioning, secure and stable service (Article 6(1)(f) GDPR).

5.3 Quality assurance and improvement of our service

What does this purpose entail?
We analyse conversation content and interaction data to monitor the quality of answers within our own deployment, to understand which questions you and other users ask, and to improve the knowledge base, instructions and operation of our digital human over time. This analysis takes place within our deployment and is not intended to track you as an individual or build a personal profile.

Which personal data do we process for this?
Conversation content, session identifiers, time and interaction logs as described under sections 5.1 and 5.2.

How long do we retain this data?
A maximum of 15 months in identified or pseudonymised form. Thereafter, the data is deleted or anonymised (see section 5.5).

What is the legal basis?
Our legitimate interest in improving the quality and usability of our deployment (Article 6(1)(f) GDPR). We have made an assessment in which this interest has been weighed against your privacy interests, and have taken appropriate safeguards such as limited access, short retention periods and no use for profiling or marketing.

5.4 Security and logging

What does this purpose entail?
We process certain data to secure the digital human against abuse, fraud and unauthorised access, and to detect and investigate any security incidents. This may also include automated content filtering to prevent abuse and unlawful output.

Which personal data do we process for this?
IP address, session identifier, time, technical data about your device and (if relevant) conversation content triggered by security filters.

How long do we retain this data?
Security logs are retained for as long as necessary for the security purpose, with a maximum of 15 months.

What is the legal basis?
Our legitimate interest in the security of the service and in protecting our rights and those of others (Article 6(1)(f) GDPR).

5.5 Anonymisation

What does this purpose entail?
We anonymise personal data when it is no longer needed for the purposes under sections 5.1 to 5.4, or no later than the end of the applicable retention period. Anonymisation means that the data is processed in such a way that you can no longer be identified from it, also not in combination with other information.

The anonymisation itself is a processing of personal data and takes place under our responsibility; insofar as we use processors for this, they do so solely on our instructions and on our behalf. Only after the data has actually become anonymous is it no longer personal data within the meaning of the GDPR. From that moment it falls outside the scope of this policy. We may then use the anonymised data for the improvement of our platform and our services; we do not sell it to third parties.

Which personal data do we process for this?
The anonymisation operation is applied to conversation content and interaction logs as described under the preceding purposes.

How long do we retain this data?
The original personal data is deleted after anonymisation. The anonymised data itself is no longer personal data and therefore has no retention period under the GDPR.

What is the legal basis?
For the anonymisation itself: our legitimate interest in an effective deletion process and in continuous quality improvement of a service that also benefits other users (Article 6(1)(f) GDPR). We ensure that the anonymisation demonstrably meets the three criteria applied by the European Data Protection Board: it must no longer be possible to single out individual persons, to link data to each other, or to derive identifying characteristics.

5.6 Cookies and session maintenance

For the operation of the digital human, we place a functional cookie or similar technology to technically maintain your session. This is necessary to allow the conversation between you and the digital human to proceed properly. For cookies that are not strictly necessary (e.g. for analytics or marketing), we ask your consent in advance via a cookie banner. More information can be found in our cookie statement.

6. Automated decision-making and profiling

The digital human automatically generates answers based on an AI system. These answers do not constitute decisions with legal effect or a similarly significant effect on you within the meaning of Article 22 GDPR. We do not use the digital human to automatically make decisions about you, to build profiles or to make predictions about your behaviour.

When a question or request could lead to a formal assessment, application or decision, the digital human refers you to the appropriate contact channel within our organisation.

7. With whom do we share your data?

We share your personal data exclusively with the following categories of recipients, and only insofar as necessary for the purposes described above.

Processors. For the operation of the digital human, we use processors that process personal data solely on our instructions and on the basis of a data processing agreement that complies with Article 28 GDPR. These processors are organised in the following functional categories:

• Providers of avatar and speech processing, for generating the avatar and the voice.
• Providers of real-time audio and video communication, to enable the real-time conversation.
• Providers of database technology, for storing transcripts and session data.
• Providers of hosting and server infrastructure.
• Providers of technical implementation and maintenance.

An up-to-date list of the names of processors, their function, their country of establishment and the applicable transfer safeguard is available on request via the contact address mentioned in section 4.

Other recipients. In addition, we may share your data, insofar as necessary and legally required, with government authorities, supervisory bodies, law enforcement or (legal) advisors.

We never sell your data to third parties.

8. Transfer outside the European Economic Area

Transcripts and session data are stored on servers within the European Economic Area (EEA — the EU member states plus Iceland, Norway and Liechtenstein). For specific components of the digital human, in particular the real-time speech and avatar processing, your conversation content may be temporarily processed by service providers outside the EEA, including the United States.

For this transfer we use the following safeguards:

• An adequacy decision of the European Commission, including the EU–US Data Privacy Framework (Article 45 GDPR), insofar as the receiving party is part of it.
• The standard contractual clauses adopted by the European Commission — these are European model contracts that ensure an appropriate level of protection where an adequacy decision is lacking (Article 46(2)(c) GDPR).

9. How long do we retain your data?

The retention periods per category of personal data are stated for the individual purposes in section 5. In summary:

• Conversation content (transcripts) and session identifiers: maximum 15 months, after which automatic deletion takes place.
• IP addresses and server logs: maximum 15 months.
• Security logs: maximum 15 months.
• Anonymised data: without limitation (no longer personal data).

If we are legally required to retain data longer, we will do so in accordance with that obligation and with appropriate security measures.

10. How do we protect your data?

We have taken appropriate technical and organisational measures to protect your data against loss, unauthorised access, alteration or disclosure, in accordance with Article 32 GDPR. The main measures are:

• Encrypted connections (HTTPS/TLS) between your device and our systems.
• Encryption of stored data ("encryption at rest").
• Logical separation between conversation content and technical visitor data, so that IP addresses and transcripts are not linked to each other; in exceptional cases, such as a security incident, limited linking may take place under strict authorisation conditions.
• Access management at the database level (Row Level Security — a technique whereby access per row in the database is enforced, so that a user only sees what they are allowed to see).
• Access only for authorised personnel bound by confidentiality.
• Logging and monitoring to detect security incidents.

In the unlikely event of a data breach, we act in accordance with our internal procedure and, insofar as legally required, we report this to the Dutch Data Protection Authority and to you.

11. Your rights

Under the GDPR you have various rights regarding your personal data. These are explained below.

• Right of access: you can request which data we process about you.
• Right to rectification: you can have incorrect data corrected.
• Right to erasure: in certain cases you can request deletion of your data.
• Right to restriction of processing: in certain cases you can ask to temporarily stop the processing.
• Right to data portability: insofar as this right applies to your situation, you can ask to receive your data in a commonly used electronic format or to have it transferred directly to another party. This right applies only when the processing is based on consent or contract and takes place by automated means.
• Right not to be subjected to a solely automated decision with legal effect or similarly significant effect.

Right to object. You have the right to object to processing operations that we base on legitimate interest or, if applicable, on a public interest task. If you object, we will cease the processing, unless we have compelling legitimate grounds that outweigh your interests, rights and freedoms. An objection can be sent to ai@hibou.nl. This right is also separately brought to attention before the conversation (see the pre-chat notice).

Right to withdraw consent. Insofar as we process your data based on consent, you can withdraw this consent at any time. Withdrawing consent has no retroactive effect: processing operations carried out before the withdrawal remain lawful.

How do you exercise your rights? You can exercise your rights by sending a request to ai@hibou.nl. We will respond within one month of receiving your request. In exceptional cases we may extend this period by two months; in that case we will inform you within the first month. To handle your request we may ask you for additional information to verify your identity.

Right to lodge a complaint with the Dutch Data Protection Authority. If you believe we are not handling your data with due care, you can lodge a complaint with the Dutch Data Protection Authority (Autoriteit Persoonsgegevens). We would appreciate it if you first contact us so that we can find a solution together.

12. How do we obtain your data?

We receive your data in principle directly from you: you decide what you say or type to the digital human, and your device automatically provides some technical data (such as IP address and browser information) to enable the connection.

13. Minors

The digital human is in principle not aimed at children under 16. If we know or suspect that a user is younger than 16, we only process their data if we have consent from a parent or legal representative, or on the basis of another appropriate ground under the GDPR. When using legitimate interest as a basis, we weigh the interests of children, if they could reasonably be among the users, with particular attention in our balancing test. In that case we apply shorter retention periods, avoid contextually sensitive topics and provide explanations in plain language.

14. Changes to this policy

We may amend this privacy policy from time to time, for example if the operation of the digital human changes or if the law requires it. For material changes we will inform users via our website. At the top of this policy you will find the version and date of the most recent change.

15. Contact

Do you have questions about this privacy policy or about how we handle your data? Please contact:

Hibou/x B.V.
Generaal Vetterstraat 82-2, 1059 BW Amsterdam, Netherlands
ai@hibou.nl

In collaboration with Brands Connected (info@brands-connected.com).