Privacy- en cookieverklaring

1. Wie zijn wij

SubstrX is een dienst van ProjectNet (eenmanszaak), Meidoornlaan 3, 4286 CV Almkerk, KvK 98078062. Voor vragen over privacy: privacy@substrx.com. Voor andere vragen: support@substrx.com.

In deze verklaring leggen wij uit welke persoonsgegevens wij verwerken, waarom, hoe lang en welke rechten je hebt.

2. Twee rollen

Verwerkingsverantwoordelijke: voor accountgegevens van gebruikers, gegevens voor beveiliging en misbruikpreventie, en communicatie met ons.

Verwerker: voor de gegevens die bureaus zelf in de dienst invoeren, zoals projecten, contactpersonen van opdrachtgevers, foto's en rapporten. Het bureau is daarvoor verantwoordelijk; wij verwerken die gegevens alleen in opdracht van het bureau, volgens de verwerkersovereenkomst in onze algemene voorwaarden. Ben je contactpersoon van een bureau of opdrachtgever, neem dan voor vragen eerst contact op met dat bureau.

3. Welke gegevens, waarvoor en op welke grondslag

Account: naam, e-mailadres, wachtwoord (alleen versleuteld opgeslagen), taal, rol in het bureau, het moment waarop je de voorwaarden hebt aanvaard en, als je tweestapsverificatie gebruikt, de geheime sleutel voor de codes (bij Supabase). Doel: je account aanmaken en beheren en je toegang geven. Grondslag: uitvoering van de overeenkomst.

Bureau- en profielgegevens: bedrijfsnaam, adres, land, registratienummer (zoals het KvK-nummer) en btw-nummer, telefoonnummer, website, logo, huisstijl, kwalificaties en certificaten van inspecteurs en, als een inspecteur die tekent, diens handtekening (die komt op rapporten die hij of zij definitief maakt). Doel: deze gegevens tonen in je rapporten. Grondslag: uitvoering van de overeenkomst.

E-mail: bevestigingsmails, wachtwoordherstel, uitnodigingen voor collega's, rapportmails, herinneringen als een kalibratie of certificaat binnen 30 dagen verloopt of is verlopen, en voor de eigenaar van een nieuw bureau een welkomstmail en één mail halverwege de proefperiode met uitleg over het gebruik. Doel: de dienst laten werken. Grondslag: uitvoering van de overeenkomst. Wij sturen geen nieuwsbrieven of reclame zonder je toestemming.

Wijzigingslog: bij inspecties, testen, foto's en bijlagen leggen wij vast wie wat wanneer heeft gewijzigd. Doel: herleidbaarheid van rapporten en bewijs bij een geschil. Grondslag: gerechtvaardigd belang van het bureau en uitvoering van de overeenkomst. Van notities en metingen leggen wij alleen vast dát ze zijn gewijzigd, niet de inhoud. Bewaartermijn: zolang het bureau een account heeft; van een verwijderde inspectie nog 90 dagen.

Uitnodigingen: het e-mailadres van een collega die wordt uitgenodigd. Doel: de uitnodiging versturen. Grondslag: gerechtvaardigd belang van het uitnodigende bureau en van ons. Een uitnodiging verloopt na 14 dagen.

Beveiliging en misbruikpreventie: IP-adres, browser- en apparaatgegevens, tijdstippen van inloggen en acties, en tellers voor limieten. Doel: de dienst beveiligen, inbraak, spam en overbelasting voorkomen. Grondslag: gerechtvaardigd belang.

Bij aanmelden, inloggen, het accepteren van een uitnodiging en wachtwoordherstel gebruiken wij Cloudflare Turnstile. Dat beoordeelt aan de hand van technische gegevens van je browser en je IP-adres of je een mens bent. Grondslag: gerechtvaardigd belang (bescherming tegen geautomatiseerd misbruik).

Contact en ondersteuning: wat je ons stuurt, ook via de meldknop in de app (je melding, je naam en bureau en de pagina waarop je was). Doel: je vraag beantwoorden en de dienst verbeteren. Grondslag: gerechtvaardigd belang of uitvoering van de overeenkomst. Meldingen via de meldknop bewaren wij maximaal een jaar.

Facturatie: bedrijfsgegevens (naam, adres, land, registratienummer en btw-nummer) en betaalgegevens. Kaart- en rekeninggegevens gaan rechtstreeks naar Stripe; wij zien alleen het soort betaalmethode en de laatste cijfers. Als de eigenaar een collega uitnodigt of verwijdert, leggen wij vast dat de eigenaar akkoord ging met de aanpassing van het abonnement (wie, wanneer en voor welk e-mailadres), zolang het bureau een account heeft. Btw-nummers van klanten in de EU controleren wij in VIES, het btw-informatiesysteem van de Europese Commissie; daarbij geven wij alleen het btw-nummer door. Doel: factureren, de juiste btw toepassen en de administratie bijhouden. Grondslag: uitvoering van de overeenkomst en wettelijke verplichting.

Wij verkopen geen persoonsgegevens, gebruiken ze niet voor advertenties en maken geen profielen. Er vindt geen geautomatiseerde besluitvorming plaats.

4. Deellinks en rapportmails

Een bureau kan een rapport, de afwijkingenlijst of het opleverdossier van een project delen via een link of laten mailen naar contactpersonen. Wie een deellink opent, heeft geen account nodig; wij plaatsen daarbij geen cookies. Voor de beveiliging verwerkt onze hosting het IP-adres en technische gegevens van het verzoek.

De adressen waar een rapport naartoe is gemaild, zijn alleen zichtbaar voor het bureau zelf, niet via de deellink.

5. Met wie wij gegevens delen

Wij schakelen de volgende verwerkers in. Met elk van hen zijn verwerkersafspraken gemaakt.

Supabase Inc. (VS): database, bestandsopslag en inloggen. Gegevens staan in een datacenter in de EU (Frankfurt, Duitsland).

Vercel Inc. (VS): hosting van de website en de app. Verwerking vindt waar mogelijk plaats in de EU (Frankfurt); het wereldwijde netwerk van Vercel kan verzoeken via andere locaties afhandelen.

Resend Inc. (VS): verzenden van e-mails, zoals bevestigingen, uitnodigingen en rapportmails.

Cloudflare Inc. (VS): beveiligingscontrole (Turnstile) tegen geautomatiseerd misbruik bij aanmelden en inloggen, en opslag van een dagelijkse reservekopie van bestanden (foto's, documenten, logo's) in een datacenter in de EU.

GitHub Inc. (VS, onderdeel van Microsoft): beheer van de broncode en het uitvoeren van de dagelijkse back-uptaak. Bestanden worden daarbij alleen doorgezet naar de back-up, niet bij GitHub bewaard.

Stripe Payments Europe, Ltd. (Ierland): betalingen, abonnementen en facturen. Betaalgegevens gaan rechtstreeks naar Stripe; voor de verwerking van betaalgegevens en fraudepreventie is Stripe zelfstandig verwerkingsverantwoordelijke.

Een deel van deze partijen is gevestigd in de Verenigde Staten. Doorgifte gebeurt op basis van het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie, met aanvullende maatregelen waar nodig.

Wij geven gegevens verder alleen aan anderen als de wet ons daartoe verplicht.

6. Hoe lang wij gegevens bewaren

Account-, bureau- en inspectiegegevens: zolang de overeenkomst loopt. Na het einde kun je nog 30 dagen bij je gegevens; daarna verwijderen wij ze binnen 60 dagen, ook uit back-ups.

Back-up van bestanden: een bestand dat je verwijdert, blijft nog 30 dagen in de back-up en wordt daarna ook daaruit verwijderd.

Beveiligingslogs: maximaal 90 dagen. Tellers voor limieten: maximaal 2 dagen. Uitnodigingen die niet zijn gebruikt: 30 dagen na het verlopen.

Onbevestigde aanmeldingen: wij verwijderen accounts waarvan het e-mailadres na 30 dagen niet is bevestigd.

Facturen en de daarvoor nodige gegevens: 7 jaar, vanwege de wettelijke bewaarplicht.

7. Beveiliging

Wij beveiligen gegevens met onder meer versleutelde verbindingen (HTTPS), versleuteld opgeslagen wachtwoorden, strikte scheiding van gegevens per bureau in de database, een CAPTCHA tegen geautomatiseerd misbruik, limieten op het aantal acties, en opslag in datacenters in de EU. Toegang tot beheerfuncties is beperkt tot wie dat nodig heeft.

8. Cookies en opslag in je browser

Wij gebruiken alleen functionele cookies en browseropslag die nodig zijn om de dienst te laten werken. Daarvoor is geen toestemming nodig. Wij gebruiken geen analytische, tracking- of advertentiecookies en laden geen lettertypen of scripts van advertentie- of analysediensten.

Inlogsessie (cookies sb-…-auth-token, van Supabase): houdt je ingelogd. Blijft bewaard tot je uitlogt of de sessie verloopt.

Taalkeuze (cookie locale): onthoudt de gekozen taal. Bewaartermijn 1 jaar.

Na aanmelden (cookie substrx_sent_to): onthoudt 10 minuten naar welk adres de bevestigingsmail is gestuurd, om dat op de bedankpagina te tonen.

Beveiligingscontrole (Cloudflare Turnstile): verwerkt technische gegevens van je browser om misbruik te herkennen, alleen op de pagina's voor aanmelden, inloggen, uitnodigingen en wachtwoordherstel. Turnstile gebruikt geen cookies voor tracking of advertenties.

Takenlijst (lokale opslag substrx-setup-collapsed): onthoudt of je de takenlijst hebt ingeklapt.

Taalmelding in rapporten (sessie-opslag): onthoudt of je een melding over de rapporttaal hebt weggeklikt; wordt gewist als je de browser sluit.

Je kunt cookies en browseropslag verwijderen via de instellingen van je browser. Zonder de inlogcookie kun je niet ingelogd blijven.

9. Jouw rechten

Je hebt het recht om je persoonsgegevens in te zien, te laten corrigeren of verwijderen, de verwerking te laten beperken, bezwaar te maken tegen verwerking op grond van gerechtvaardigd belang, en je gegevens in een gangbaar formaat te ontvangen (dataportabiliteit). Een groot deel van je gegevens kun je zelf in de app aanpassen of verwijderen.

Een verzoek kun je sturen naar privacy@substrx.com. Wij reageren binnen een maand. Wij kunnen je vragen je identiteit aan te tonen.

Gaat het om gegevens die een bureau in de dienst heeft ingevoerd, dan sturen wij je verzoek door naar dat bureau.

Heb je een klacht over hoe wij met je gegevens omgaan, laat het ons dan weten. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl) of de toezichthouder in je eigen land.

10. Wijzigingen

Wij kunnen deze verklaring aanpassen, bijvoorbeeld als wij een nieuwe verwerker inschakelen. De actuele versie staat altijd op deze pagina. Bij belangrijke wijzigingen informeren wij gebruikers per e-mail of in de app.