Privacyverklaring priceq

1. Wie wij zijn

priceq is een dienst van Outflanq B.V., Boekweitstraat 62, 2153 GL Nieuw-Vennep, Nederland, KvK 42160759, btw-id NL869980646B01. Vragen over deze verklaring: [email protected].

Twee rollen, houd ze uit elkaar:

• Onze website, het aanmeldformulier, facturatie en betalingen, support en feedback: wij zijn verwerkingsverantwoordelijke.
• De applicatie: jouw organisatie is verwerkingsverantwoordelijke voor de gegevens van haar medewerkers; wij zijn verwerker. De afspraken staan in de verwerkersovereenkomst.

2. Welke persoonsgegevens wij verwerken

Websitebezoekers en aanmeldingen: wat je invult in een contact-, demo- of aanmeldformulier (naam, zakelijk e-mailadres, bedrijfsnaam, je bericht) plus het IP-adres en de browser waarmee je het formulier verstuurde. Een aanmelding wordt opgeslagen in onze database, niet alleen doorgestuurd naar een mailbox.

Akkoord met de voorwaarden: per document dat je accepteert, welke versie het was, een vingerafdruk (SHA-256) van de getoonde tekst, het tijdstip, het IP-adres en de browser. Dat leggen wij vast bij je aanmelding, en opnieuw als je later een nieuwe versie accepteert.

Gebruikers van de applicatie: naam, zakelijk e-mailadres, rol, een met Argon2id gehashte weergave van het wachtwoord, de eigen instellingen (taal, weergave, meldingen), het tijdstip en IP-adres van de laatste keer inloggen, en, als e-mail aan je adres onbestelbaar terugkwam, wanneer dat gebeurde en de reden die de ontvangende mailserver opgaf.

Aanmeldsessies: per apparaat waarmee je bent ingelogd bewaren wij een sessiekenmerk, het IP-adres en de browser, zodat een sessie kan worden ingetrokken.

Auditlogboek: handelingen rond accounts en toegang (iemand uitnodigen, een rol wijzigen, een account deactiveren of heractiveren, een medewerker van ons die meekijkt, een aanvraag om het account te verwijderen), met wie het deed, wanneer, vanaf welk IP-adres en met welke browser, en waar de handeling over ging, bijvoorbeeld het e-mailadres van wie werd uitgenodigd. Dat logboek bestaat om achteraf te kunnen vaststellen wat er met accounts is gebeurd. De applicatie kan het niet wijzigen of verwijderen; een afzonderlijke onderhoudstaak wist elke regel twaalf maanden nadat hij is geschreven.

Verzonden meldingen: het e-mailadres waar een melding naartoe ging en of die is aangekomen.

Bedrijfs- en factuurgegevens: de juridische naam en het adres van je organisatie zoals je die in de applicatie invult. Sluit je een abonnement af, dan geef je bij het afrekenen naam, e-mailadres, factuuradres en eventueel een btw-nummer op. Die gegevens gaan naar Stripe, dat de betaling verwerkt, en naar Moneybird, waarin wij de factuur maken; zie §5. Je betaalgegevens (rekening of kaart) voer je in bij Stripe; wij zien en bewaren ze niet. Wij bewaren zelf per betaling het bedrag, de datum, de btw-behandeling en de verwijzingen naar Stripe en Moneybird.

Advertentieklikken: kom je via een advertentie van Google of Microsoft op onze aanmeldpagina, dan staat er een klik-kenmerk in de webadresregel (bijvoorbeeld gclid of msclkid), samen met de naam van de campagne. Wij bewaren dat kenmerk alleen als je op het aanmeldformulier het aparte vakje daarvoor aanvinkt; dat vakje staat niet vooraf aan. Vink je het niet aan, dan bewaren wij niets. Wij plaatsen hiervoor geen cookies en slaan hiervoor niets op in je browser.

Verwijderverzoek: vraagt een beheerder in de applicatie om verwijdering van het account, dan leggen wij het tijdstip vast; wie het aanvroeg staat in het auditlogboek.

Supportberichten: stuur je een e-mail naar ons supportadres, dan bewaren wij je naam, je e-mailadres, het onderwerp, de tekst van het bericht, de naam en grootte van bijlagen, en onze antwoorden.

Feedback in de applicatie: ben je ingelogd, dan geeft de applicatie je naam, je e-mailadres en de naam van je organisatie door aan de feedbackknop. Stuur je via die knop feedback in, dan gaan die gegevens met je bericht naar onze eigen feedbackdienst, zodat wij weten van wie het komt en je kunnen antwoorden.

Wij verwerken geen bijzondere persoonsgegevens en doen niet aan geautomatiseerde besluitvorming over personen.

3. Wat wij van winkelsites ophalen

De kern van priceq is het volgen van prijzen op webwinkels. Van een productpagina bewaren wij de prijs, de beschikbaarheid, de productaanduiding en het tijdstip van meten. Meer niet. Wij bewaren geen namen, geen beoordelingen en geen verkopersgegevens. Wij bezoeken alleen pagina's die voor iedere bezoeker zonder inloggen zichtbaar zijn.

Dat zijn marktgegevens, geen persoonsgegevens; de AVG is er niet op van toepassing. Kom je in je gegevens toch iets tegen dat tot een persoon herleidbaar is, meld het op het adres hierboven: wij verwijderen het.

4. Waarom wij deze gegevens verwerken

Wij versturen geen commerciële e-mail zonder je toestemming of een bestaande klantrelatie.

5. Met wie wij delen, en waar het staat

Wij verkopen geen gegevens en delen ze niet met derden voor hun eigen doelen. Wij schakelen wel dienstverleners in die voor ons werken: hosting, e-mail, foutmonitoring, opslag van back-ups, betalingen, boekhouding en de supportmailbox. De volledige lijst, met per partij het doel, de gegevenscategorie, het land en het doorgiftemechanisme, staat in de subverwerkerslijst. Wijzigingen kondigen wij dertig dagen vooraf aan.

Betalen, boekhouding en support. Hiervoor zijn wij zelf verwerkingsverantwoordelijke, en deze partijen werken voor ons, niet namens jouw organisatie:

• Stripe verwerkt de betaling en krijgt daarvoor naam, e-mailadres, factuuradres, het btw-nummer als je dat opgeeft, en je betaalgegevens. Stripe is een Amerikaans concern; doorgifte naar de Verenigde Staten gebeurt op basis van standaardcontractbepalingen en het EU-VS Data Privacy Framework.
• Moneybird (Nederland) maakt en verstuurt de factuur en krijgt daarvoor bedrijfsnaam, e-mailadres, adres en btw-nummer.
• Vimexx (zxcs) (Nederland) host de mailbox van ons supportadres en krijgt daarmee de naam, het e-mailadres en de inhoud van de berichten die je ons stuurt.

Websitebezoek. Accepteer je op de website de cookiebalk, dan verwerkt Google Ireland Limited je bezoekgegevens voor ons met Google Analytics. Google kan die gegevens ook in de Verenigde Staten verwerken, op basis van standaardcontractbepalingen en het EU-VS Data Privacy Framework. Google meet voor ons ook of een klik op een van onze Google-advertenties eindigt in een klik op de aanmeldknop; die meetgegevens delen wij met Google Ads. Wij gebruiken geen gepersonaliseerde advertenties en geen remarketing. Weiger je, dan gebeurt er niets van dit alles.

Advertentieklikken. Vink je bij het aanmelden het vakje voor advertentieklikken aan, dan geven wij het klik-kenmerk door aan Google Ireland Limited respectievelijk Microsoft Ireland Operations Limited, zodat zij ons kunnen tonen welke advertentie tot een proefaccount of een abonnement heeft geleid. Zonder dat vinkje gebeurt dat niet. Je kunt je toestemming op elk moment intrekken via [email protected]; wij wissen het kenmerk dan meteen.

Waar het staat. De applicatie en de database draaien binnen de EU, bij Hetzner in Nürnberg. Van de back-ups gaat een kopie naar opslagpartijen buiten de EU. Die back-ups worden versleuteld vóórdat zij het Duitse cluster verlaten; de opslagpartij ontvangt uitsluitend cijfertekst en heeft de sleutel niet. E-mail (meldingen, bevestigingen, berichten over je abonnement en onze antwoorden op supportvragen) loopt via een partij in de Verenigde Staten, op basis van standaardcontractbepalingen en het EU-VS Data Privacy Framework.

6. Hoe lang wij bewaren

7. Je rechten

Je hebt recht op inzage, correctie, verwijdering, beperking, bezwaar en overdraagbaarheid. Ben je gebruiker van de applicatie, richt je verzoek dan eerst aan de organisatie die je account heeft aangemaakt: die is verwerkingsverantwoordelijke. Wij helpen daarbij. Een beheerder kan alle gegevens van zijn organisatie zelf exporteren in de applicatie.

Je kunt een klacht indienen bij de Autoriteit Persoonsgegevens.

8. Beveiliging

Wij nemen passende technische en organisatorische maatregelen. Kort samengevat: gegevens van verschillende klanten zijn in de database van elkaar gescheiden en die scheiding wordt door de database zelf afgedwongen, met één bewuste uitzondering: de gebruikersaccounts en de eenmalige codes voor uitnodigingen en wachtwoordherstel, die bij het inloggen worden opgezocht voordat bekend is bij welke klant iemand hoort; daar filtert de applicatie expliciet op het klantnummer of gebruikersnummer uit de ingelogde sessie. Verder: wachtwoorden zijn voor ons niet leesbaar; al het verkeer is versleuteld; er wordt dagelijks een versleutelde back-up gemaakt; de applicatie kan het auditlogboek niet wijzigen; en toegang tot de productieomgeving is beperkt tot een kleine groep beheerders.

Een uitgebreide beschrijving van de maatregelen sturen wij op verzoek toe; zij staat ook in Bijlage III van de verwerkersovereenkomst. Geen enkele maatregel biedt absolute zekerheid; zie ook artikel 8 van de algemene voorwaarden.

9. Cookies en scripts

In de applicatie bewaren wij in je browser alleen wat nodig is om de dienst te laten werken: een cookie dat je ingelogd houdt, en je voorkeuren (je taal, je thema en je weergave-instellingen). Daarvoor is geen toestemming vereist. De applicatie gebruikt geen analytische of marketingcookies.

Op de website vragen wij het eerst. Bij je eerste bezoek verschijnt een balk met twee knoppen. Kies je "Accepteren", dan laden wij Google Analytics, dat cookies plaatst (_ga en _ga_<code>) om te zien welke pagina's bezocht worden en hoe bezoekers door de site lopen. Die cookies verlopen na zes maanden. Google meet in dat geval ook of een klik op een van onze Google-advertenties eindigt in een klik op de aanmeldknop, en deelt die meting met Google Ads; daarvoor komt er één cookie bij, _gcl_aw, dat na 90 dagen verloopt. Wij zetten Google daarbij niet in voor gepersonaliseerde advertenties of remarketing. Kies je "Alleen wat nodig is", dan laden wij Analytics niet en wissen wij zulke cookies als die er nog van een eerdere keuze stonden. Je keuze zelf bewaren wij in de opslag van je browser, niet in een cookie, en na zes maanden vragen wij opnieuw. Je kunt je keuze altijd wijzigen via de link "Cookies" onderaan elke pagina.

Daarnaast meten wij bezoekaantallen met Cloudflare Web Analytics. Dat werkt zonder cookie en zonder kenmerk dat jou herkent: wij zien aantallen per pagina, per land en per apparaatsoort, niet wie je bent. Daarvoor vragen wij dus geen toestemming, en die telling loopt ook als je hierboven "Alleen wat nodig is" kiest.

Twee onderdelen die wij niet in de applicatie zelf meeleveren, laden wij wel, elk voor één functie: de botbescherming van Cloudflare (Turnstile) op het aanmeldformulier, en in de applicatie de feedbackknop van onze eigen feedbackdienst (zie §2). Daarnaast meldt de applicatie fouten die in je browser optreden aan onze foutmonitoring, zonder persoonsgegevens.

10. Wijzigingen

Wij passen deze verklaring aan als de dienst verandert. De actuele versie staat altijd op onze website, met de datum bovenaan.

Vingerafdruk van deze tekst (SHA-256): 647e824a2242c8ea0ce73f0043517153a2a165b7dcded4a117aacac51d403f25