Privacybeleid

1. Inleiding & wie wij zijn

OXIAE biedt een infrastructuur voor veilige klantwerving: een platform waarmee aanvragen (leads) controleerbaar worden verzameld, geverifieerd, gerouteerd en geleverd, met aantoonbare herkomst en toestemming. Bij die dienstverlening worden persoonsgegevens verwerkt. Dit beleid beschrijft hoe wij daarmee omgaan, in lijn met de Algemene verordening gegevensbescherming (AVG).

De verwerkingsverantwoordelijke voor de verwerkingen die in dit beleid worden beschreven is:

Voor sommige verwerkingen treedt OXIAE niet op als verwerkingsverantwoordelijke, maar als verwerker namens een klant. In dat geval bepaalt de klant het doel en de middelen van de verwerking en gelden de afspraken uit de verwerkersovereenkomst. In paragraaf 5 lichten wij dat onderscheid verder toe.

2. Welke persoonsgegevens wij verwerken

Wij verzamelen niet meer gegevens dan nodig is voor het doel waarvoor wij ze verwerken (dataminimalisatie). Welke gegevens dat zijn, hangt af van je relatie tot OXIAE.

2.1 Van bezoekers van onze website

• Technische en gebruiksgegevens zoals IP-adres (vaak verkort opgeslagen), browsertype, apparaat- en besturingssysteeminformatie, bezochte pagina’s, verwijzende URL en tijdstip van het bezoek.
• Gegevens die je zelf invult in een contact- of demoformulier, zoals je naam, e-mailadres, telefoonnummer, organisatie en de inhoud van je bericht.
• Gegevens uit cookies en vergelijkbare technieken, voor zover je daarvoor toestemming hebt gegeven. Zie paragraaf 8 en ons cookiebeleid.

2.2 Van aanvragers en leads

Wanneer iemand via een formulier, landingspagina of een aangesloten partner een aanvraag indient die via het OXIAE-platform wordt verwerkt, kunnen de volgende gegevens worden verwerkt:

• Contactgegevens zoals naam, e-mailadres, telefoonnummer en (post)adres.
• De inhoud van de aanvraag: het onderwerp, de hulpvraag of het product waarin de aanvrager geïnteresseerd is, en de eventueel toegelichte context.
• Toestemmings- en herkomstgegevens: het tijdstip waarop toestemming is gegeven, de getoonde toestemmingstekst, de bron of het kanaal van de aanvraag en de bijbehorende technische metadata.
• Verwerkingsgegevens: de status van de aanvraag, validatie- en kwaliteitsuitkomsten, de afnemer waaraan is geleverd en de logregels die de verwerking vastleggen.

Wij vragen aanvragers niet om bijzondere categorieën van persoonsgegevens. Wanneer onze klanten formulieren inrichten, is dataminimalisatie het uitgangspunt: alleen velden die nodig zijn voor het doel worden uitgevraagd.

2.3 Van klanten en gebruikers van het platform

• Account- en contactgegevens van de gebruikers binnen de klantorganisatie, zoals naam, zakelijk e-mailadres, telefoonnummer, functie en rol.
• Inloggegevens en beveiligingsgegevens, zoals een versleuteld wachtwoord en gegevens voor tweefactorauthenticatie.
• Gebruiks- en loggegevens over het gebruik van het platform, nodig voor beveiliging, ondersteuning en de audit trail.
• Administratieve en facturatiegegevens die nodig zijn om de overeenkomst uit te voeren en aan onze fiscale verplichtingen te voldoen.

3. Doeleinden & grondslagen

Wij verwerken persoonsgegevens uitsluitend voor concrete, vooraf bepaalde doeleinden en alleen wanneer daarvoor een geldige grondslag in de AVG bestaat. De belangrijkste verwerkingen en hun grondslag zijn:

Wanneer wij ons baseren op toestemming, kun je die op elk moment intrekken. Het intrekken laat de rechtmatigheid van de verwerking vóór de intrekking onverlet. Per aanvraag leggen wij vast welke grondslag van toepassing is, zodat een verwerking nooit losstaat van haar rechtvaardiging.

4. Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan noodzakelijk is voor de doeleinden waarvoor ze zijn verzameld, of zo lang als wettelijk vereist. Aan elke categorie gegevens is een bewaartermijn gekoppeld; na afloop worden de gegevens verwijderd of geanonimiseerd. De onderstaande termijnen zijn richtinggevend en kunnen per verwerking en per klantbeleid verschillen:

• Afgewezen aanvragen: kort bewaard voor controle en analyse en daarna automatisch verwijderd (richtlijn: 30 dagen).
• Geleverde aanvragen: bewaard zolang dat nodig is voor verantwoording, facturatie en eventuele garantie (richtlijn: tot 24 maanden).
• Aanvragen in dispuut: bevroren bewaard tot het dispuut is afgehandeld; de bewaartermijn hervat daarna.
• Contact- en demoverzoeken: bewaard zolang nodig om je vraag af te handelen en, indien relevant, voor opvolging.
• Account- en gebruiksgegevens van klanten: bewaard gedurende de looptijd van de overeenkomst en een redelijke periode daarna.
• Administratie en facturatie: bewaard conform de wettelijke fiscale bewaarplicht van zeven jaar.

Verlopen gegevens worden actief uit de opslag verwijderd. De audit trail houdt vast dát en wanneer een record is verlopen, zonder de verwijderde inhoud te bewaren.

5. Delen met derden & sub-verwerkers

Wij verkopen geen persoonsgegevens. Wij delen gegevens alleen wanneer dat nodig is voor de hierboven beschreven doeleinden of wanneer wij daartoe wettelijk verplicht zijn. Dit speelt in de volgende situaties:

• Afnemers van aanvragen: een aanvraag wordt geleverd aan de afnemer waarvoor de toestemming is gegeven en die past binnen de afgesproken routingregels. De afnemer wordt voor de verdere verwerking zelf verwerkingsverantwoordelijke.
• Sub-verwerkers: voor onderdelen zoals hosting, e-mailafhandeling, betalings- en analysediensten schakelen wij dienstverleners in die namens ons gegevens verwerken. Met elke sub-verwerker sluiten wij een verwerkersovereenkomst, waarin zij worden gebonden aan dezelfde verplichtingen.
• Bevoegde instanties: wanneer wij daartoe wettelijk verplicht zijn, bijvoorbeeld op grond van een rechtmatig verzoek van een toezichthouder of opsporingsdienst.

Voor verwerkingen die OXIAE namens een klant uitvoert, treedt OXIAE op als verwerker. De klant is dan verwerkingsverantwoordelijke en bepaalt het doel en de middelen; de wederzijdse afspraken zijn vastgelegd in een verwerkersovereenkomst. Een actueel overzicht van de ingeschakelde sub-verwerkers is op verzoek beschikbaar via privacy@oxiae.com.

6. Doorgifte buiten de EER

Wij streven ernaar persoonsgegevens binnen de Europese Unie en de Europese Economische Ruimte (EER) te verwerken en op te slaan. Mocht doorgifte naar een land buiten de EER toch noodzakelijk zijn, dan vindt die uitsluitend plaats met passende waarborgen zoals bedoeld in de AVG. Dat kan een adequaatheidsbesluit van de Europese Commissie zijn, of het gebruik van door de Commissie vastgestelde standaardcontractbepalingen (SCC’s), waar nodig aangevuld met aanvullende maatregelen. Op verzoek geven wij inzicht in de waarborgen die op een concrete doorgifte van toepassing zijn.

7. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies en tegen onrechtmatige verwerking. Daartoe behoren onder meer:

• Versleuteling van gegevens tijdens transport en, waar passend, in opslag.
• Toegangscontrole op basis van rollen en context, zodat gegevens alleen zichtbaar zijn voor wie ze nodig heeft.
• Logging en monitoring via een audit trail, waarin elke verwerkingsstap herleidbaar wordt vastgelegd.
• Tweefactorauthenticatie voor toegang tot het platform en periodieke evaluatie van onze beveiligingsmaatregelen.

Mocht zich ondanks deze maatregelen een datalek voordoen, dan handelen wij volgens een vooraf vastgelegde procedure en voldoen wij aan onze meld- en informatieverplichtingen onder de AVG, waaronder de melding aan de Autoriteit Persoonsgegevens binnen 72 uur waar dat vereist is.

8. Cookies

Onze website gebruikt cookies en vergelijkbare technieken. Functionele cookies zijn nodig om de site goed te laten werken; voor analytische en eventuele marketingcookies vragen wij vooraf je toestemming. Je kunt je voorkeuren op elk moment aanpassen of intrekken. Een volledige uitleg van de cookies die wij gebruiken vind je in ons cookiebeleid.

9. Jouw rechten als betrokkene

De AVG geeft je een aantal rechten over je eigen persoonsgegevens. Je kunt onder meer een beroep doen op:

• Recht op inzage: opvragen welke gegevens wij van je verwerken en met welk doel.
• Recht op rectificatie: onjuiste of onvolledige gegevens laten corrigeren of aanvullen.
• Recht op verwijdering: je gegevens laten wissen wanneer daar een geldige grond voor is (“recht op vergetelheid”).
• Recht op beperking: de verwerking tijdelijk laten stilleggen, bijvoorbeeld terwijl een verzoek of dispuut loopt.
• Recht van bezwaar: bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
• Recht op dataportabiliteit: de door jou aangeleverde gegevens ontvangen in een gangbaar, machineleesbaar formaat.
• Recht om toestemming in te trekken: een eerder gegeven toestemming op elk moment intrekken.

Je kunt een verzoek indienen via privacy@oxiae.com. Om je verzoek te kunnen behandelen, kunnen wij je vragen je identiteit aannemelijk te maken. Wij reageren in beginsel binnen één maand. Wanneer OXIAE de gegevens namens een klant verwerkt (als verwerker), verwijzen wij je verzoek door naar de betreffende verwerkingsverantwoordelijke en ondersteunen wij die bij de afhandeling.

10. Klacht indienen bij de Autoriteit Persoonsgegevens

Ben je van mening dat wij niet zorgvuldig met je persoonsgegevens omgaan, neem dan eerst contact met ons op via privacy@oxiae.com, zodat wij samen naar een oplossing kunnen zoeken. Je hebt daarnaast altijd het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens, de Nederlandse toezichthouder op het gebied van privacy. Meer informatie hierover vind je op de website van de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

11. Contact

Heb je vragen over dit privacybeleid of over de manier waarop wij met persoonsgegevens omgaan, neem dan contact met ons op:

12. Wijzigingen in dit privacybeleid

Wij kunnen dit privacybeleid van tijd tot tijd aanpassen, bijvoorbeeld wanneer onze dienstverlening of de regelgeving wijzigt. De meest actuele versie vind je altijd op oxiae.com, met de datum van de laatste wijziging bovenaan deze pagina. Bij ingrijpende wijzigingen informeren wij je waar dat passend is. Wij raden je aan dit beleid regelmatig te raadplegen.