Privacyverklaring

1.Wie verwerkt je gegevens

Verwerkingsverantwoordelijke in de zin van de AVG is:

• [nog in te vullen]
• [nog in te vullen]
• KvK-nummer: [nog in te vullen]
• Btw-identificatienummer: [nog in te vullen]
• E-mail voor privacyvragen: [nog in te vullen]

We hebben geen functionaris voor gegevensbescherming aangesteld; dat is voor een organisatie van deze omvang en met deze verwerkingen niet verplicht. Vragen over deze verklaring kun je rechtstreeks aan bovenstaand adres stellen.

2.Welke gegevens we verwerken

Je account. Je e-mailadres, optioneel je naam, een versleutelde weergave van je wachtwoord (geen leesbaar wachtwoord), je taalvoorkeur en of je e-mailadres is bevestigd.

Inloggen via een externe partij. Kies je voor inloggen met Google, GitHub of Microsoft, dan slaan we op welke partij dat was en het account-id dat die partij ons teruggeeft. We ontvangen daarbij geen wachtwoord.

Je organisatie. De naam van de organisatie, het gekozen plan, de rollen van de leden en uitnodigingen die je verstuurt (het e-mailadres van de uitgenodigde).

Betaalgegevens. Betalingen lopen via Stripe. Wij slaan zelf geen kaartgegevens op; we bewaren alleen het klantnummer dat Stripe ons geeft, zodat een abonnement aan de juiste organisatie gekoppeld blijft.

Gebruik van de dienst. De domeinen die je laat monitoren, eerdere versies van je SPF-records, de records die we voor je publiceren, je API-sleutels (versleuteld opgeslagen) en een logboek van beheerhandelingen: wie heeft wat gewijzigd en wanneer.

Publieke scans. Wanneer iemand een domein door de publieke scan haalt, bewaren we alleen het domein zelf, wanneer het voor het eerst en het laatst bekeken is, en hoe vaak. Bewust niet: wie de scan uitvoerde. Die koppeling bestaat niet in onze database.

Technische gegevens. Je IP-adres wordt gebruikt om misbruik van de publieke scans te beperken. Dat gebeurt uitsluitend in het werkgeheugen van de server en verdwijnt binnen enkele minuten; we leggen het niet vast in de database.

3.Waarvoor en op welke grondslag

Om de dienst te leveren. Een account aanmaken, domeinen monitoren, records publiceren en je laten inloggen. Grondslag: uitvoering van de overeenkomst met jou (artikel 6 lid 1 sub b AVG).

Om te kunnen factureren. Abonnementen, betalingen en facturen. Grondslag: uitvoering van de overeenkomst, en voor het bewaren van facturen een wettelijke verplichting (artikel 6 lid 1 sub c AVG).

Om je te bereiken over de dienst. Bevestigingsmails, wachtwoordherstel, en meldingen over domeinen die je laat monitoren. Grondslag: uitvoering van de overeenkomst.

Om de dienst te beveiligen. Het beperken van misbruik van de publieke scans, en het logboek van beheerhandelingen zodat te herleiden is wie welke wijziging heeft gedaan. Grondslag: ons gerechtvaardigd belang bij een veilige en werkende dienst (artikel 6 lid 1 sub f AVG).

We gebruiken je gegevens niet voor reclame, verkopen ze niet door, en zetten ze niet in voor profilering.

4.Cookies

SPF Pletter plaatst één cookie, en alleen nadat je bent ingelogd. Die cookie bevat je sessie, is niet uitleesbaar voor scripts in de browser (HttpOnly), wordt alleen over een beveiligde verbinding verstuurd en gaat niet mee naar andere websites (SameSite=Lax).

We gebruiken geen analytics, geen trackingpixels, geen advertentienetwerken en geen externe scripts die je gedrag volgen. Daarom zie je ook geen cookiebanner: voor een cookie die strikt noodzakelijk is om een dienst te leveren waar je zelf om hebt gevraagd, is geen toestemming vereist.

5.Hoe lang we gegevens bewaren

Je account en alles wat eraan hangt bewaren we zolang je het gebruikt. Vraag je om verwijdering, dan verwijderen we je account, je domeinen, je opgeslagen records en je API-sleutels direct.

Twee uitzonderingen, en waarom:

• Facturen en betaalgegevens bewaren we zeven jaar. Dat is geen keuze: de fiscale bewaarplicht (artikel 52 Algemene wet inzake rijksbelastingen) verplicht ons daartoe.
• Het logboek van beheerhandelingen blijft bestaan, maar we ontkoppelen het van jou: de vermelding wie iets deed wordt onherleidbaar gemaakt. Het logboek moet kunnen laten zien dát er iets is gewijzigd; wie het deed hoeft daarna niet bewaard te blijven.

Publieke scangegevens bevatten geen persoonsgegevens: er staat alleen een domeinnaam in, zonder wie ernaar keek. Antwoorden uit DNS bewaren we hooguit een uur, als tijdelijke cache.

6.Wie je gegevens nog meer ziet

We schakelen zo min mogelijk andere partijen in. Dit zijn ze, en dit is wat ze doen:

• Hetzner Online GmbH (Duitsland) — onze servers en database draaien daar. Gegevens blijven binnen de Europese Unie.
• Stripe Payments Europe Ltd (Ierland) — verwerkt betalingen en bewaart de kaartgegevens die wij bewust niet willen hebben.
• Google, GitHub of Microsoft — alleen als jij ervoor kiest om daarmee in te loggen. Dan weet die partij dat je hier inlogt; kies je voor een wachtwoord, dan is er geen contact met ze.

Onze e-mail versturen we via onze eigen mailserver. Er zit dus geen externe mailpartij tussen jou en een bevestigingsmail.

Verder verstrekken we gegevens alleen als we daartoe wettelijk verplicht zijn, bijvoorbeeld op vordering van een bevoegde autoriteit.

7.Doorgifte buiten de Europese Economische Ruimte

Onze eigen verwerking vindt volledig binnen de EU plaats. De enige structurele uitzondering is Stripe: het Ierse Stripe Payments Europe Ltd is onze contractspartij, maar binnen de Stripe-groep kunnen gegevens de Verenigde Staten bereiken.

Voor die doorgifte gelden de modelcontractbepalingen van de Europese Commissie (Standard Contractual Clauses), aangevuld met de maatregelen die Stripe daarbij treft. Wil je de details inzien, vraag er dan naar via [nog in te vullen].

8.Hoe we je gegevens beveiligen

Concreet, zodat je kunt beoordelen of het genoeg is:

• Al het verkeer loopt over HTTPS; onversleuteld verkeer wordt geweigerd.
• Wachtwoorden bewaren we alleen als eenrichtingsversleuteling. We kunnen ze niet teruglezen, ook niet als we dat zouden willen.
• API-sleutels worden op dezelfde manier opgeslagen: je ziet een sleutel één keer, bij het aanmaken.
• De sessiecookie is niet uitleesbaar voor scripts en gaat niet mee naar andere websites.
• Beheerhandelingen worden vastgelegd in een logboek waar niet in geschreven kan worden.
• De publieke scans hebben een limiet per IP-adres, zodat ze niet als aanvalsmiddel tegen anderen te gebruiken zijn.

Gaat er ondanks dat iets mis met je persoonsgegevens en is dat waarschijnlijk een risico voor jou, dan melden we dat bij de Autoriteit Persoonsgegevens en, waar de AVG dat vereist, ook rechtstreeks aan jou.

9.Je rechten

Je hebt onder de AVG de volgende rechten, en je kunt ze allemaal uitoefenen via [nog in te vullen]:

• Inzage: een kopie van de persoonsgegevens die we van je hebben.
• Rectificatie: onjuiste gegevens laten corrigeren.
• Verwijdering: je gegevens laten wissen, behalve waar we wettelijk moeten bewaren.
• Beperking: het gebruik van je gegevens tijdelijk laten stilleggen, bijvoorbeeld terwijl een correctie loopt.
• Bezwaar: bezwaar maken tegen verwerking die op ons gerechtvaardigd belang is gebaseerd.
• Overdraagbaarheid: je gegevens in een gangbaar bestandsformaat ontvangen.

We reageren binnen een maand. Om te voorkomen dat we gegevens aan de verkeerde persoon geven, kunnen we vragen om te bevestigen dat je bent wie je zegt; dat doen we zo terughoudend mogelijk.

Ben je het niet eens met hoe we met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl). We stellen het op prijs als je het eerst bij ons probeert.

10.Geautomatiseerde besluitvorming

We nemen geen besluiten over jou die uitsluitend op geautomatiseerde verwerking berusten en die rechtsgevolgen voor je hebben.

De score die een scan aan een domein geeft, is een beoordeling van dat domein — van DNS-records die publiek zijn — en niet van een persoon.

11.Wijzigingen in deze verklaring

Verandert de dienst, dan verandert deze verklaring mee. De datum bovenaan geeft aan wanneer dat voor het laatst gebeurde.

Bij een wijziging die echt uitmaakt voor jou — een nieuw doel, een nieuwe partij die gegevens ziet — laten we het je weten per e-mail, en niet alleen door deze pagina stilletjes aan te passen.

12.Contact

Vragen, verzoeken of klachten over je persoonsgegevens: [nog in te vullen].

Overige vragen over de dienst: [nog in te vullen].