Privacybeleid

Laatst bijgewerkt: 10 november 2026 · Van toepassing op upclimb.ai, het klantportaal en alle onderliggende diensten

1. Wie wij zijn

Upclimb is gevestigd te Specerijenmolen 39, Zwolle, Nederland, en ingeschreven bij de Kamer van Koophandel onder nummer 93218567.

Contact over privacy: info@upclimb.ai
Algemeen contact: info@upclimb.ai

Met "klant" bedoelen wij de onderneming die onze dienst gebruikt. Met "u" bedoelen wij de persoon die namens die onderneming een Google-account koppelt, het klantportaal gebruikt of via de website contact met ons opneemt.

2. Wat Upclimb doet

Upclimb beheert en optimaliseert Google Ads-campagnes voor webshops en bedrijven die leads genereren. Wij bouwen campagnes op, monitoren prestaties, doen verbetervoorstellen en voeren goedgekeurde wijzigingen door in het Google Ads-account van de klant. Daarvoor hebben wij toegang nodig tot het Google Ads-account, en waar van toepassing tot Merchant Center, Google Analytics en Google Tag Manager.

3. Welke Google-gebruikersgegevens wij benaderen

Bij het koppelen vraagt Upclimb via Google om de toegangen hieronder. U ziet ze vooraf in het toestemmingsscherm van Google.

3.1 auth/adwords (Google Ads)

Wij benaderen de lijst met Google Ads-accounts waartoe uw Google-account toegang heeft (naam, klantnummer, valuta, tijdzone); campagnes, advertentiegroepen, advertenties en assets; zoekwoorden, uitsluitingszoekwoorden en zoektermen; budgetten, biedstrategieën en doelen; prestatiegegevens zoals vertoningen, klikken, kosten, conversies en conversiewaarde; doelgroep- en locatie-instellingen; en conversieacties.

Wij gebruiken deze toegang ook om te schrijven: campagnes aanmaken, budgetten aanpassen, biedstrategieën bijstellen, zoekwoorden toevoegen of verwijderen, en advertentieteksten aanpassen.

3.2 auth/content (Merchant Center)

Wij benaderen de lijst met Merchant Center-accounts waartoe u toegang heeft; de productfeed met titels, beschrijvingen, prijzen, beschikbaarheid, GTIN's, merk, categorie, afbeeldings-URL's en product-ID's; de status van producten inclusief afkeuringen en waarschuwingen; en feed-diagnostiek.

Wij schrijven via deze toegang producttitels en andere feedattributen die de goedkeuring of zichtbaarheid van producten belemmeren.

3.3 auth/analytics.readonly en auth/analytics.manage.users (Google Analytics)

Met analytics.readonly lezen wij de lijst met Analytics-accounts en -properties waartoe u toegang heeft, en geaggregeerde rapportagegegevens zoals sessies, gebruikers, conversies, omzet, bouncepercentage, kanaalverdeling en landingspagina-prestaties. Wij benaderen geen individuele gebruikersprofielen.

Met analytics.manage.users voegen wij tijdens de koppeling eenmalig twee eigen accounts toe aan de property die u kiest: een technisch account met leesrechten en ons beheerdersaccount. Die toegang is zichtbaar in Toegangsbeheer van uw property en kunt u op elk moment intrekken. Wij gebruiken deze toestemming niet om andere gebruikers te bekijken, te wijzigen of te verwijderen.

3.4 auth/tagmanager.readonly en auth/tagmanager.manage.users (Google Tag Manager)

Met tagmanager.readonly lezen wij de lijst met Tag Manager-accounts en -containers waartoe u toegang heeft (namen en ID's), zodat u de juiste container kunt kiezen.

Met tagmanager.manage.users voegen wij tijdens de koppeling eenmalig twee eigen accounts toe aan de container die u kiest, met publicatierechten. Daarmee kunnen wij de tags voor conversiemeting plaatsen en publiceren. Die toegang is zichtbaar in Gebruikersbeheer van uw Tag Manager-account en kunt u op elk moment intrekken. Wij gebruiken deze toestemming niet om andere gebruikers te bekijken, te wijzigen of te verwijderen.

3.5 Wat wij niet benaderen

Geen Gmail, Drive, Agenda, Contacten of Foto's. Geen gegevens van eindklanten van de klant, anders dan de geaggregeerde en gepseudonimiseerde prestatiegegevens die Google Ads en Analytics zelf beschikbaar stellen.

4. Waarvoor wij deze gegevens gebruiken

• Herkennen en koppelen van accounts. Bepalen welke Google Ads-, Merchant Center-, Analytics- en Tag Manager-accounts bij u horen, zodat u ze in de wizard kunt selecteren.
• Opbouwen van campagnes. Productfeed, websitegegevens en zoekwoordonderzoek bepalen de campagnestructuur.
• Meten. Conversiemeting inrichten en controleren, zodat elke aanvraag of verkoop goed wordt geteld.
• Optimaliseren. Doorlopende analyse van prestaties, zoektermen en productprestaties, van meerdere keren per dag tot maandelijks.
• Rapporteren. Prestaties en doorgevoerde wijzigingen tonen in het klantportaal.
• Ondersteuning en foutopsporing.

Wij gebruiken de gegevens niet voor andere doelen dan het leveren en verbeteren van de dienst waarvoor u toestemming gaf.

5. Beperkt gebruik (Google API Services User Data Policy)

Wij verklaren uitdrukkelijk:

• Wij gebruiken Google-gebruikersgegevens uitsluitend om de door de gebruiker zichtbare functies van Upclimb te leveren en te verbeteren.
• Niet voor advertentietargeting, niet voor het opbouwen van doelgroepprofielen, en niet voor het personaliseren van reclame buiten de campagnes van de klant zelf.
• Wij verkopen ze niet, verhuren ze niet en ruilen ze niet.
• Niet voor het trainen, hertrainen of finetunen van AI- of machine learning-modellen, niet van onszelf en niet van derden.
• Geen mensen lezen Google-gebruikersgegevens, behalve wanneer dat noodzakelijk is voor beveiliging, voor onderzoek naar een storing of misbruik, om te voldoen aan wetgeving, of wanneer de klant daar uitdrukkelijk om vraagt bij support.
• Geen overdracht aan derden, behalve de subverwerkers in artikel 10, uitsluitend voor zover nodig, en altijd onder een verwerkersovereenkomst.

6. Hoe de koppeling technisch werkt

Wij bewaren geen refresh token van u. Onze koppelingsflow vraagt bewust geen offline toegang aan, dus wij ontvangen geen langlevende toegangssleutel tot uw Google-account.

Het toegangstoken is kortlevend en wordt niet bewaard. Het wordt uitsluitend binnen dat ene verzoek gebruikt om uw accounts op te halen en de koppeling te leggen. Het wordt niet naar schijf geschreven en niet in de database opgeslagen.

Het feitelijke beheer loopt via aparte, zichtbare toegangsrechten. Voor Google Ads nodigen wij u uit om uw account te koppelen aan ons manager-account. Voor Merchant Center voegen wij ons beheerdersaccount toe. Voor Analytics en Tag Manager voegen wij onze eigen accounts toe aan de property en container die u kiest (artikel 3.3 en 3.4). Al deze koppelingen zijn voor u zichtbaar en op elk moment door u in te trekken.

7. Welke gegevens wij wel opslaan

Campagne- en advertentiegegevens; prestatiegegevens per campagne, advertentiegroep, zoekwoord en product; zoekwoorden, uitsluitingszoekwoorden en zoektermen; productfeedgegevens; accountnamen en account-ID's; geaggregeerde Analytics-rapportage; contactgegevens van de klant; inloggegevens voor het klantportaal, waarbij wachtwoorden uitsluitend als versleutelde hash worden opgeslagen; het getekende contract met tijdstip en vingerafdruk; factuur- en betaalgegevens; en logboeken van wijzigingen, voorstellen en goedkeuringen.

Let op bij zoektermen. Zoektermen zijn de daadwerkelijke zoekopdrachten die mensen bij Google intypen. In zeldzame gevallen kan een zoekterm persoonsgegevens bevatten. Google filtert zoektermen met een laag volume al weg voordat ze aan ons beschikbaar komen. Wij gebruiken zoektermen uitsluitend geaggregeerd en nooit om een individuele persoon te identificeren of te benaderen.

8. Contact via de website

• Contactformulier. Stuurt u een bericht via het formulier, dan ontvangen wij uw naam, e-mailadres, website (als u die invult), uw advertentiebudget (als u dat kiest) en uw bericht. Wij bewaren het bericht op de server van de website en sturen het per e-mail naar info@upclimb.ai. Wij gebruiken het alleen om uw vraag te beantwoorden.
• Afspraak inplannen. Plant u een kennismaking in, dan gaan uw naam, e-mailadres, het gekozen tijdstip en wat u eventueel toevoegt naar Cal.com, de agendadienst waarmee wij afspraken beheren. U ontvangt een bevestiging met een link naar Google Meet.
• WhatsApp. Kiest u voor WhatsApp, dan verloopt het gesprek via WhatsApp en geldt ook het privacybeleid van WhatsApp.

9. Gebruik van AI en taalmodellen

Upclimb gebruikt taalmodellen van OpenAI voor het genereren en verbeteren van advertentiekoppen en -beschrijvingen, het genereren en corrigeren van producttitels, het analyseren van zoektermen om irrelevante zoekopdrachten te herkennen, en het beoordelen en formuleren van optimalisatievoorstellen.

Daarvoor sturen wij producttitels, productbeschrijvingen, zoekwoorden, zoektermen, campagnenamen, bestaande advertentieteksten en geaggregeerde prestatiecijfers naar de API van OpenAI. Daarbij geldt:

• Verwerking verloopt via de zakelijke API van OpenAI, waar aangeleverde gegevens niet worden gebruikt om modellen te trainen.
• Wij trainen zelf geen modellen op klantgegevens.
• Wij sturen geen contactgegevens, inloggegevens, factuurgegevens of financiële gegevens naar OpenAI.
• OpenAI is gevestigd buiten de Europese Economische Ruimte. Zie artikel 11.

Alle door AI gegenereerde teksten worden gecontroleerd tegen vaste kwaliteits- en beleidsregels voordat ze worden voorgesteld of doorgevoerd. Wijzigingen buiten een klein aantal vaste, veilige categorieën, zoals het uitsluiten van irrelevante zoektermen, gaan pas door nadat wij ze één voor één hebben goedgekeurd. Ingrijpende wijzigingen leggen wij als voorstel aan de klant voor.

10. Met wie wij gegevens delen

Wij verkopen geen gegevens.

Partij	Waarvoor	Locatie
Google Ireland Limited / Google LLC	Levering van Google Ads, Merchant Center, Analytics en Tag Manager; zakelijke e-mail via Google Workspace; de Google-tag op de website (artikel 15)	EU en VS
OpenAI, L.L.C. / OpenAI Ireland Ltd	Genereren en analyseren van teksten (artikel 9)	EU en VS
Hetzner Online GmbH	Hosting van onze twee servers: één voor het systeem en het klantportaal, één voor de website	Helsinki, Finland (EU)
Okta, Inc. (Auth0)	Inloggen in het klantportaal	EU-regio
Moneybird B.V.	Facturen, betalingen en automatische incasso	Nederland (EU)
Cal.com, Inc.	Inplannen van kennismakingsgesprekken (artikel 8)	VS

Met elk van deze partijen geldt een verwerkersovereenkomst of een gelijkwaardige contractuele waarborg. Daarnaast kunnen wij gegevens verstrekken wanneer wij daartoe wettelijk verplicht zijn, en dan niet meer dan strikt vereist. Bij een overname of fusie kunnen gegevens overgaan op de verkrijgende partij; wij informeren klanten daarover vooraf.

11. Waar de gegevens staan

Ons systeem, het klantportaal en de database draaien op een eigen server bij Hetzner in Helsinki, Finland, binnen de Europese Unie. De website draait op een tweede, aparte server, ook bij Hetzner in Helsinki. De twee servers zijn bewust niet met elkaar verbonden, zodat een probleem met de website nooit bij klantgegevens kan komen.

Google, OpenAI en Cal.com kunnen gegevens verwerken buiten de Europese Economische Ruimte, waaronder in de Verenigde Staten. Voor die doorgifte baseren wij ons op de standaardcontractbepalingen van de Europese Commissie en, waar van toepassing, op het EU-US Data Privacy Framework.

12. Hoe wij de gegevens beveiligen

• Versleuteling onderweg. Al het verkeer verloopt via HTTPS met TLS; onversleutelde verbindingen worden geweigerd.
• Geen opslag van klant-tokens. Zie artikel 6.
• Gescheiden servers. Website en klantsysteem draaien op aparte servers zonder onderlinge verbinding.
• Toegangsbeperking. Servertoegang uitsluitend via SSH met sleutelauthenticatie; wachtwoordauthenticatie is uitgeschakeld.
• Inloggen in twee stappen. Wie via Auth0 inlogt, bevestigt dat daarna met een code die wij naar het e-mailadres sturen.
• Rolgebaseerde toegang. Klantportaal en beheerdersgedeelte zijn strikt gescheiden; een klant ziet uitsluitend zijn eigen gegevens. Interne endpoints zijn alleen bereikbaar vanaf de server zelf.
• Wachtwoordbeveiliging. Wachtwoorden worden uitsluitend als versleutelde hash opgeslagen, bij ons of bij Auth0, en zijn voor ons niet leesbaar.
• Bescherming tegen misbruik. CSRF-bescherming, herkomstcontrole op verzoeken, snelheidslimieten en validatie van geüploade bestanden.
• Logging. Elke wijziging in een klantaccount wordt vastgelegd in een auditlog.
• Back-ups. Periodieke versleutelde back-ups, bewaard binnen de EU.

Bij een datalek met risico voor betrokkenen melden wij dat binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens en informeren wij getroffen klanten zonder onnodige vertraging.

13. Hoe lang wij gegevens bewaren

Categorie	Bewaartermijn
Toegangstoken	Niet bewaard, alleen in het geheugen tijdens het verzoek
Refresh token van de klant	Niet ontvangen en niet bewaard
Campagne-, prestatie- en zoektermgegevens	Looptijd van de overeenkomst, daarna maximaal 12 maanden
Productfeedgegevens	Looptijd van de overeenkomst, daarna maximaal 12 maanden
Account-ID's en accountnamen	Looptijd van de overeenkomst, daarna maximaal 12 maanden
Auditlog van wijzigingen	Looptijd van de overeenkomst, daarna maximaal 12 maanden
Contact- en portaalgegevens	Tot 30 dagen na beëindiging
Factuur- en administratiegegevens	7 jaar, wettelijke fiscale bewaarplicht
Berichten via het contactformulier	Tot uw vraag is afgehandeld, daarna maximaal 12 maanden; wordt u klant, dan gelden de termijnen hierboven
Niet-afgeronde onboarding	30 dagen, daarna automatisch verwijderd
Servertechnische logbestanden	90 dagen

Na afloop van de bewaartermijn worden gegevens definitief verwijderd of onomkeerbaar geanonimiseerd.

14. Verwijdering aanvragen en toegang intrekken

14.1 Toestemming intrekken

U kunt de aan Upclimb verleende toestemming op elk moment intrekken via myaccount.google.com/permissions. Omdat wij geen refresh token bewaren, raakt dit vooral toekomstige koppelingen.

14.2 Onze beheertoegang intrekken

• Google Ads: open uw account, ga naar Beheer, zoek de koppeling met ons manager-account en verwijder die.
• Merchant Center: ga naar Gebruikers en verwijder ons beheerdersaccount.
• Analytics: ga naar Beheer, dan Toegangsbeheer voor de property, en verwijder onze accounts.
• Tag Manager: ga naar Beheer, dan Gebruikersbeheer, en verwijder onze accounts.

Onze toegang stopt dan direct. U kunt ons ook vragen dit voor u te doen via info@upclimb.ai.

14.3 Verwijdering van uw gegevens bij ons

Stuur een verzoek naar info@upclimb.ai met als onderwerp "Verzoek tot verwijdering", met daarbij uw bedrijfsnaam en het Google Ads-klantnummer. Wij bevestigen binnen 5 werkdagen en verwijderen de gegevens binnen 30 dagen, met uitzondering van gegevens die wij op grond van een wettelijke plicht moeten bewaren. Wij bevestigen schriftelijk wat is verwijderd en wat om welke reden is bewaard.

Verwijdering bij ons raakt niet de gegevens in uw eigen Google Ads-, Merchant Center-, Analytics- of Tag Manager-account. Die blijven van u.

15. Cookies en de Google-tag

Op de website en in het klantportaal plaatsen wij functionele cookies die nodig zijn om de site te laten werken, zoals het onthouden van uw sessie bij het inloggen en tijdens de onboarding. Daarvoor is geen toestemming vereist.

Op upclimb.ai staat de Google-tag van Google Ads, zodat wij kunnen meten wat onze eigen advertenties opleveren. Die tag staat in de toestemmingsmodus van Google en alle opslag staat standaard uit. Omdat wij geen toestemming vragen, plaatst de tag geen advertentie- of analysecookies. Google ontvangt wel signalen zonder cookies, bijvoorbeeld dat een pagina is bezocht, om de resultaten van advertenties geanonimiseerd te meten. Wij plaatsen geen andere tracking- of advertentiecookies.

16. Rechtsgrond

Wij verwerken persoonsgegevens op grond van de uitvoering van de overeenkomst of het beantwoorden van uw vraag voordat er een overeenkomst is (artikel 6 lid 1 sub b AVG), uw toestemming voor de Google-koppeling (sub a), onze wettelijke verplichting voor facturen en administratie (sub c), en ons gerechtvaardigd belang bij beveiliging, fraudepreventie, foutopsporing, het meten van onze eigen advertenties en verbetering van de dienst (sub f).

17. Onze rol onder de AVG

Voor de gegevens die wij in opdracht van de klant verwerken zijn wij verwerker en is de klant verwerkingsverantwoordelijke, vastgelegd in een verwerkersovereenkomst. Voor onze eigen bedrijfsvoering, zoals contactgegevens, berichten via de website, portaal-inloggegevens en facturatie, zijn wij zelf verwerkingsverantwoordelijke.

18. Uw rechten

U heeft recht op inzage, rectificatie, verwijdering, beperking, bezwaar, overdraagbaarheid en het intrekken van toestemming. Stuur uw verzoek naar info@upclimb.ai. Wij reageren binnen 30 dagen en kunnen om aanvullende gegevens vragen om uw identiteit vast te stellen.

19. Klachten

Bent u niet tevreden, neem dan eerst contact met ons op via info@upclimb.ai. U heeft daarnaast altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag.

20. Wijzigingen

De actuele versie staat altijd op upclimb.ai/privacy met de datum van laatste wijziging bovenaan. Bij ingrijpende wijzigingen informeren wij klanten per e-mail voordat de wijziging ingaat.