Privacyverklaring

1. Wie zijn wij?

Verwerkingsverantwoordelijke is Mendox, handelend onder de naam ISDEscan, KvK 42076146, gevestigd te Keurenplein 41, Box C8983, 1069 CD Amsterdam. Contact: contact@isdescan.nl.

2. Welke gegevens we verwerken

• · Contactgegevens: uw e-mailadres (voor het rapport en terugvinden).
• · Documentinhoud: de geüploade factuur/offerte, inclusief daarin voorkomende gegevens zoals naam, (werf)adres, IBAN en installateursgegevens.
• · Auditresultaat: het door ons gegenereerde rapport en daaruit afgeleide gegevens.
• · Betaalgegevens: betaalbevestiging en een betaalreferentie. Wij ontvangen of bewaren geen volledige kaartgegevens, die verwerkt Stripe rechtstreeks.
• · Technische gegevens: een gepseudonimiseerd (gehasht) IP-adres voor misbruikpreventie. Het ruwe IP-adres slaan wij nooit op of loggen wij.

Upload alleen documenten waarvoor u gerechtigd bent en neem geen onnodige bijzondere persoonsgegevens op. Wij verwerken bewust geen bijzondere categorieën persoonsgegevens (artikel 9 AVG).

3. Doeleinden en grondslagen

• · De controle uitvoeren en uw rapport leveren, uitvoering van de overeenkomst (art. 6 lid 1 sub b).
• · De resultaat-/herstellink mailen en uw rapport laten terugvinden, uitvoering van de overeenkomst.
• · Betaling afhandelen en administratie voeren, overeenkomst en wettelijke verplichting.
• · Misbruik voorkomen / scans beperken (gepseudonimiseerd IP), gerechtvaardigd belang (sub f).
• · Eenmalig herinneren aan een niet-afgeronde scan, gerechtvaardigd belang; u kunt hiertegen bezwaar maken.
• · Cookieloze gebruiksstatistieken om de dienst te verbeteren en te beveiligen, gerechtvaardigd belang; u kunt hiertegen bezwaar maken.

4. Derden en AI-verwerking

Voor het leveren van de dienst schakelen wij verwerkers in, met wie wij verwerkersovereenkomsten hebben:

• · Google Cloud / Vertex AI, de inhoud van uw document wordt door een AI-model geanalyseerd om de controle uit te voeren. Let op: dit model draait op dit moment via het global endpoint van Google; daardoor kan deze AI-verwerking (deels) buiten de Europese Economische Ruimte (EER) plaatsvinden, met passende waarborgen (zie §5). Wij claimen dus niet dat alle verwerking uitsluitend binnen de EER plaatsvindt.
• · Google Cloud (hosting & opslag), applicatie en database draaien in de regio Nederland (europe-west4). Uw document en rapport worden versleuteld opgeslagen.
• · Stripe, betalingsverwerking (kan buiten de EER, onder passende waarborgen).
• · Resend, verzending van de transactionele e-mail met uw rapportlink.
• · PostHog (EU), privacyvriendelijke, cookieloze gebruiksstatistieken (paginaweergaven en gebeurtenissen) om de dienst te verbeteren. De verwerking vindt plaats binnen de EU; wij gebruiken geen autocapture of sessie-opnames.

Wij verkopen uw gegevens nooit en delen ze niet voor marketingdoeleinden.

5. Doorgifte buiten de EER

Een deel van de verwerking (de AI-analyse via Vertex AI en de betaalverwerking via Stripe) kan buiten de EER plaatsvinden. Voor zulke doorgiften baseren wij ons op de standaardcontractbepalingen (SCC's) van de Europese Commissie en/of de gegevensverwerkingsvoorwaarden van de betreffende dienstverlener, aangevuld met technische en organisatorische maatregelen. Een kopie van de relevante waarborgen kunt u bij ons opvragen.

6. Hoe lang we gegevens bewaren

• · Geüploade PDF: uiterlijk 90 dagen na de controle automatisch en onomkeerbaar verwijderd; het rapport blijft daarna via uw link beschikbaar, zonder de originele PDF.
• · Rapport en e-mailadres: uiterlijk 365 dagen na de controle volledig verwijderd.
• · Direct op verzoek: via de verwijderknop in uw rapport of door ons te mailen, onmiddellijk en onomkeerbaar.
• · Financiële gegevens: zolang wettelijk verplicht (fiscale bewaarplicht van 7 jaar).
• · Gepseudonimiseerd IP: alleen voor het tellen binnen de limietvensters; niet langer dan nodig.

7. Uw rechten

U heeft recht op inzage, rectificatie, verwijdering, beperking, bezwaar, en gegevensoverdraagbaarheid. Een gegeven toestemming kunt u intrekken. Stuur uw verzoek naar contact@isdescan.nl; wij reageren binnen één maand. U kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

8. Beveiliging

Wij nemen passende maatregelen, waaronder versleuteling van opgeslagen documenten, pseudonimisering van IP-adressen vóór opslag, en het beginsel dat documentinhoud nooit in onze applicatielogboeken terechtkomt. Let op: uw rapport is bereikbaar via een unieke, niet te raden link, iedereen met die link kan het rapport zien, dus deel hem niet met onbevoegden.

9. Cookies

Wij gebruiken uitsluitend functionele en strikt noodzakelijke cookies/opslag om de dienst te laten werken. Voor het meten van websitegebruik gebruiken wij privacyvriendelijke, cookieloze statistieken (PostHog, EU); wij plaatsen daarvoor geen tracking- of marketingcookies van derden.