1. Verwerkingsverantwoordelijke
Privacy Scanner B.V., gevestigd te Amsterdam, KvK 00000000, is verwerkingsverantwoordelijke voor de SaaS-applicatie. Voor inhoudelijke vragen over deze verklaring kunt u terecht bij de Functionaris Gegevensbescherming via fg@privacyscanner.nl.
2. Welke gegevens verwerken wij?
- Accountgegevens: naam, e-mailadres, organisatie, functie en rol.
- Documentgegevens: door u geüploade convenanten en bijlagen, uitsluitend ten behoeve van de gevraagde toetsing.
- Gebruiksstatistieken (alleen na toestemming): geanonimiseerde paginabezoeken.
- Technische logs: gehashte IP-adressen en tijdstempels in audit_log voor beveiliging en aansprakelijkheid.
3. Grondslag en doel
De verwerking is noodzakelijk voor de uitvoering van de overeenkomst (AVG art. 6 lid 1 sub b) en voor het naleven van wettelijke verplichtingen waaronder bewaarplicht (AVG art. 6 lid 1 sub c). Statistieken worden uitsluitend op basis van toestemming verwerkt (AVG art. 6 lid 1 sub a).
4. Bewaartermijnen
- Documentbestanden: standaard 30 dagen, configureerbaar per organisatie.
- Scan-resultaten en metadata: 7 jaar (audit-eis bij gemeentelijke FG's).
- audit_log: maximaal 7 jaar, voor controle door de FG.
5. Subverwerkers
Documenten worden uitsluitend verwerkt door de volgende subverwerkers, die door ons DPA-toetsingskader zijn beoordeeld:
- Supabase Inc. (database, auth, opslag) — Frankfurt, EU.
- Vercel Inc. (hosting) — Frankfurt, EU.
- Anthropic PBC (LLM-analyse) — EU-routing waar beschikbaar.
- Hostnet B.V. (verzending van uitgaande e-mail via SMTP) — Nederland.
- Functional Software, Inc. (Sentry, foutmeldingen uit de applicatie) — EU-regio (Duitsland). Er worden geen gebruikersgegevens, cookies, verzoekinhoud of AI-prompts meegestuurd, en wat wij zelf in een foutmelding zetten wordt vóór verzending geschoond: e-mailadressen en toegangslinks worden vervangen en lange teksten worden niet meegestuurd. Documentinhoud hoort daar dus niet in terecht te komen; van de foutmelding zelf gaat maximaal de eerste regel mee (tweehonderd tekens), omdat een melding zonder tekst onbruikbaar is.
6. Uw rechten
U heeft recht op inzage, correctie, verwijdering, beperking, dataportabiliteit en het maken van bezwaar (AVG art. 15-22). Een verwijderverzoek (AVG art. 17) kunt u indienen via /juridisch/avg-art-17.
U kunt te allen tijde een klacht indienen bij de Autoriteit Persoonsgegevens.
7. Beveiligingsmaatregelen
Encryptie at-rest (AES-256) en in-transit (TLS 1.3), Row Level Security per organisatie, token-bucket rate limiting, gehashte IP-logging, en BIO-conforme inrichting. Zie de uitgebreide beveiligingsverklaring.
8. Wijzigingen
Wij houden de versie en datum van deze verklaring bij. Bij materiële wijzigingen informeren wij u per e-mail.