Privacyverklaring

1 Wie uw gegevens verwerkt

smedr wordt geleverd door Elfrink Consulting, ingeschreven bij de Kamer van Koophandel onder nummer 17254008, gevestigd aan Berkstraat 24, 5492 EB Sint-Oedenrode.

Vragen over privacy, verzoeken over uw gegevens en meldingen van een mogelijk datalek gaan naar info@smedr.nl.

2 Twee verschillende rollen

Er zijn twee soorten gegevens, waarvoor verschillende regels en verschillende documenten gelden:

Gegevens die u in smedr vastlegt

Uw relaties, contactpersonen, offertes, facturen en abonnementen. U bepaalt welke gegevens dat zijn en hoe lang ze bewaard blijven. U bent verwerkingsverantwoordelijke, wij zijn verwerker; dat is geregeld in de verwerkersovereenkomst. Sluit u andere systemen op smedr aan, dan bepaalt u waar die gegevens terechtkomen; zie de verwerkersovereenkomst.

Gegevens van u als klant of bezoeker

Uw gebruikersaccount, uw inloggeschiedenis, onze facturatie aan u, en wat u invult op een formulier op onze website. Daarvoor zijn wij verwerkingsverantwoordelijke. Deze verklaring gaat daarover.

3 Welke gegevens wij verwerken, en waarom

Voor de gegevens die u zelf in smedr vastlegt — uw relaties, offertes, facturen en abonnementen — bepaalt u de bewaartermijnen. De afspraken over bewaren, teruggeven en verwijderen staan in de verwerkersovereenkomst, inclusief wat er na een opzegging gebeurt: die gegevens blijven 90 dagen beschikbaar voor export en worden daarna verwijderd. Wij verkopen geen gegevens, stellen geen profielen op en nemen over u geen besluiten die uitsluitend geautomatiseerd tot stand komen.

4 Hoe lang wij gegevens bewaren

5 Wie de gegevens namens ons verwerkt

Wij schakelen andere partijen in om smedr te laten werken. Zij mogen de gegevens uitsluitend gebruiken voor de taak die daarbij staat vermeld en zijn daaraan contractueel gebonden.

De webfonts op onze website staan op onze eigen servers. Er wordt daarvoor geen verbinding gemaakt met Google of een ander lettertypeplatform.

6 Cookies en meten

Wij houden eenvoudige bezoekersstatistieken bij van onze website, om te zien welke pagina’s gelezen worden en welke daarvan tot een aanvraag leiden. Daarvoor gebruiken wij Google Analytics. Dat plaatst een cookie op uw apparaat, en daarvoor vragen wij eerst uw toestemming.

Bij uw eerste bezoek verschijnt onderaan het scherm een keuze. Weigert u, of maakt u geen keuze, dan wordt er niets geplaatst en niets gemeten: de meetcode wordt in dat geval niet eens geladen, zodat er ook geen verbinding met Google tot stand komt. Accepteert u, dan worden vastgelegd: de pagina’s die u opvraagt, de website of zoekmachine waar u vandaan komt, uw locatie op het niveau van land en regio, en het type apparaat, browser en schermformaat. Uw IP-adres wordt daarbij verkort en niet opgeslagen.

U kunt uw keuze op elk moment herzien via Cookievoorkeuren onderaan elke pagina. Trekt u uw toestemming in, dan verwijderen wij de geplaatste cookies en stopt de meting.

Wij hebben Google Analytics zo ingericht dat het uitsluitend dient om onze eigen website te verbeteren: Google Signals staat uit, er wordt geen advertentieprofiel van u opgebouwd, wij volgen u niet over andere websites en wij delen de gegevens niet met Google voor diens eigen doeleinden. De gegevens worden 14 maanden bewaard. Google verwerkt ze namens ons op grond van de gegevensverwerkingsvoorwaarden van Google en kan daarbij gegevens doorgeven naar de Verenigde Staten; die doorgifte berust op het adequaatheidsbesluit van de Europese Commissie voor het EU-VS Data Privacy Framework.

Verder plaatsen wij het volgende, waarvoor geen toestemming nodig is omdat het noodzakelijk is om de dienst te leveren:

• Uw keuze over de meting hierboven wordt in uw browser bewaard, zodat u die niet bij elk bezoek opnieuw hoeft te maken.
• De software op app.smedr.nl bewaart in uw browser wat nodig is om u aangemeld te houden en om uw voorkeuren te onthouden. Dat is functioneel en vervalt zodra u uitlogt of uw browsergegevens wist.
• Op de formulieren van onze website staat Cloudflare Turnstile, een controle op geautomatiseerde inzendingen. Die verwerkt daarvoor uw IP-adres en enkele technische kenmerken van uw browser.

7 Hoe wij het beveiligen

Op hoofdlijnen; details die een aanvaller behulpzaam zijn horen niet in een openbaar document.

• Alle verbindingen lopen over HTTPS, met HSTS en een strikte Content Security Policy.
• Gegevens van verschillende organisaties zijn in de database van elkaar gescheiden met row-level security: de scheiding wordt op één plek in de database afgedwongen, niet per zoekopdracht opnieuw.
• Wachtwoorden worden gehasht opgeslagen, nooit leesbaar. Tweefactor-authenticatie (authenticator-app) is beschikbaar en per organisatie verplicht te maken.
• Na te veel mislukte inlogpogingen wordt een account tijdelijk vergrendeld. Sessies zijn centraal te beëindigen.
• Wachtwoorden, sleutels en verbindingsgegevens staan buiten de programmacode, in de beveiligde instellingen van het platform.
• Gegevens staan versleuteld op de opslag van de hostingpartij (encryptie at rest) en back-ups worden door die partij gemaakt en bewaard.
• Toegang tot de productieomgeving is beperkt tot de personen die deze toegang nodig hebben, met meervoudige verificatie.
• Toegang via de programmeerkoppeling (API) loopt over een sleutel die per organisatie geldt, alleen de rechten heeft die eraan zijn gegeven, in te trekken is en kan verlopen. Het verkeer is per sleutel begrensd, en van elke sleutel wordt bijgehouden wanneer hij voor het laatst is gebruikt.

8 Uw rechten

U kunt opvragen welke gegevens wij van u verwerken, en verzoeken die te corrigeren, te verwijderen of de verwerking daarvan te beperken. Daarnaast kunt u uw gegevens in een gangbaar bestandsformaat ontvangen en bezwaar maken tegen een verwerking op grond van gerechtvaardigd belang. Stuur uw verzoek naar info@smedr.nl; wij reageren binnen een maand.

Betreft uw verzoek gegevens die een klant van ons in smedr heeft vastgelegd — bijvoorbeeld omdat u als contactpersoon op een offerte staat — richt u zich dan tot die klant. Wij mogen die gegevens niet zelfstandig wijzigen of verwijderen, maar ondersteunen onze klant bij het uitvoeren van uw verzoek.

Bent u niet tevreden over de wijze waarop wij met uw gegevens omgaan, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens.

9 Datalekken

Vermoedt u een datalek of een kwetsbaarheid, meld dat dan op info@smedr.nl. Wij onderzoeken elke melding. Is er sprake van een datalek met risico voor betrokkenen, dan melden wij dat binnen 72 uur na kennisname aan de Autoriteit Persoonsgegevens en informeren wij de betrokken klanten zonder onnodige vertraging.

10 Doorgifte buiten de EU

Onze hosting, database, bestandsopslag en e-mailverzending bevinden zich in de Europese Unie. Er is één uitzondering: Cloudflare Turnstile werkt op een wereldwijd netwerk, waarbij verkeer uit Europa in de regel door Europese datacenters wordt afgehandeld. Waar toch gegevens buiten de EU verwerkt kunnen worden, gebeurt dat op basis van de standaardcontractbepalingen van de Europese Commissie.

11 Wijzigingen

Verandert er iets wezenlijks — bijvoorbeeld een nieuwe partij die gegevens namens ons verwerkt — dan passen wij deze verklaring aan en werken wij de datum bovenaan bij. Heeft een wijziging gevolgen voor u, dan stellen wij u daarvan op de hoogte.