Privacyverklaring

Wie is de verwerkingsverantwoordelijke?

De verwerkingsverantwoordelijke voor de persoonsgegevens die via deze applicatie worden verwerkt is:

Huijbregts Advies B.V. bepaalt het doel en de middelen van de gegevensverwerking die verband houdt met de werking van de webapplicatie Aanbesteding plannen.

Huijbregts Advies B.V. heeft geen Functionaris voor Gegevensbescherming (FG) aangesteld. Vragen over gegevensbescherming kunt u richten aan bovenstaand e-mailadres.

Welke persoonsgegevens verwerken wij?

De applicatie verwerkt zo weinig mogelijk persoonsgegevens. Onderstaande tabel beschrijft alle categorieën gegevens die door de applicatie worden verwerkt, inclusief de opslaglocatie.

Doeleinden en rechtsgrondslag

Wij verwerken persoonsgegevens uitsluitend voor de hieronder genoemde doeleinden, elk met een uitdrukkelijke rechtsgrondslag als bedoeld in artikel 6 AVG.

3.1 Authenticatie en toegangsbeheer

Doel: Het verifiëren van uw identiteit via een éénmalige toegangscode (OTP) per e-mail, en het in stand houden van uw sessie zolang uw browser open is. Sluit u de browser af of meldt u zich af, dan logt u de volgende keer opnieuw in met een nieuwe code.

Rechtsgrondslag: Uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG). Het e-mailadres en de sessie-token zijn technisch noodzakelijk voor het leveren van de afgesproken dienst (toegang tot de abonnementsapplicatie).

Gegevens: e-mailadres, sessie-token, éénmalige toegangscode (tijdelijk).

3.2 Misbruikbeperking

Doel: Het voorkomen van geautomatiseerde aanvallen, brute-force pogingen en misbruik van het aanmeldformulier.

Rechtsgrondslag: Gerechtvaardigd belang (art. 6 lid 1 sub f AVG). Het beveiligen van de applicatie en de gegevens van alle gebruikers weegt zwaarder dan het belang bij het niet verwerken van het IP-adres.

Gegevens: IP-adres (maximaal 10 minuten bewaard voor het beperken van aanmeldpogingen). Daarnaast houdt de applicatie een beveiligingslogboek bij: bij een mislukte inlogpoging of een geweigerde beheeractie worden het gebruikte e-mailadres, het IP-adres en het tijdstip vastgelegd, en bij elke wijziging door een beheerder de naam van de beheerder, de handeling en het IP-adres. Dit logboek is alleen in te zien door de beheerder en wordt maximaal 180 dagen bewaard.

3.3 Abonnementsbeheer en ondersteuning

Doel: Het bijhouden van welke accounts actief zijn, het beheren van proefperiodes en abonnementen, en het bieden van klantenondersteuning.

Rechtsgrondslag: Uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG) en gerechtvaardigd belang (art. 6 lid 1 sub f AVG) voor zover het gaat om aggregeerde gebruiksstatistieken ten behoeve van de dienstverlening.

Gegevens: e-mailadres, logingeschiedenis, logingebeurtenissen.

Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan noodzakelijk voor het doel waarvoor ze zijn verzameld (beginsel van opslagbeperking, art. 5 lid 1 sub e AVG).

Verstrekking aan derden

Wij verkopen uw persoonsgegevens nooit aan derden en verstrekken ze uitsluitend aan partijen die technisch noodzakelijk zijn voor de werking van de applicatie (sub-verwerkers), of wanneer wij daartoe wettelijk verplicht zijn.

Sub-verwerkers

Wettelijke verstrekking

Wij kunnen verplicht zijn gegevens te verstrekken aan toezichthouders of opsporingsdiensten op grond van een rechterlijk bevel of wettelijke verplichting. Wij verstrekken in dat geval uitsluitend de gegevens waartoe wij wettelijk verplicht zijn.

Doorgifte buiten de Europese Economische Ruimte

Bij het invullen van het inlogformulier en van het formulier om een proefperiode te starten maakt de applicatie gebruik van Cloudflare Turnstile (CAPTCHA-bescherming). Hierbij worden uw IP-adres en browser-kenmerken verwerkt door Cloudflare, Inc., een onderneming gevestigd in de Verenigde Staten. Het script van Cloudflare wordt pas geladen zodra u in zo'n formulier begint te typen of te klikken; wie al is ingelogd of het formulier niet gebruikt, maakt geen verbinding met Cloudflare.

Voor deze doorgifte naar de VS geldt de volgende waarborg:

• Cloudflare, Inc. is gecertificeerd onder het EU-U.S. Data Privacy Framework (DPF), waarmee een adequaat beschermingsniveau als bedoeld in art. 45 AVG is gewaarborgd.
• Aanvullend zijn Standard Contractual Clauses (SCC's) van toepassing conform Uitvoeringsbesluit (EU) 2021/914.

Alle overige gegevensverwerking vindt uitsluitend plaats op servers in Nederland.

Gegevensbeveiliging

Wij nemen passende technische en organisatorische maatregelen om uw persoonsgegevens te beschermen tegen onbevoegde toegang, verlies of vernietiging (art. 32 AVG). De belangrijkste maatregelen zijn:

• HTTPS met HSTS: alle communicatie is versleuteld (TLS); de browser wordt via HTTP Strict Transport Security (HSTS, 1 jaar) verplicht altijd een beveiligde verbinding te gebruiken.
• Éénmalige toegangscodes: aanmelding verloopt via een code van acht tekens die maximaal 15 minuten geldig is en na 5 verkeerde pogingen ongeldig wordt.
• Cryptografisch sterke tokens: sessie-tokens worden gegenereerd met een cryptografisch willekeurige generator (random_bytes(32)).
• Rate-limiting: maximaal 5 aanmeldpogingen per IP-adres per 10 minuten.
• Bot-bescherming: Cloudflare Turnstile op het inlogformulier.
• Content Security Policy: strikte CSP-headers voorkomen cross-site scripting (XSS).
• Toegangsbeperking databestanden: server-side databestanden zijn niet direct toegankelijk via de browser.
• Minimale externe afhankelijkheden: lettertypes, stijlen en scripts worden lokaal geserveerd; de enige externe aanroep is Cloudflare Turnstile voor botbescherming op het inlogformulier en het proefformulier, en alleen zodra u dat formulier gebruikt (zie “Doorgifte buiten de Europese Economische Ruimte”).
• Automatische gegevensverwijdering: persoonsgegevens worden na afloop van de bewaartermijn automatisch verwijderd.

Uw rechten als betrokkene

Op grond van de AVG heeft u de volgende rechten ten aanzien van uw persoonsgegevens. U kunt deze rechten uitoefenen door een verzoek te sturen naar info@huijbregtsadvies.nl.

Grondslag, toestemming en geautomatiseerde besluitvorming

Wij verwerken uw accountgegevens omdat dat nodig is voor de uitvoering van de overeenkomst waarmee u de applicatie gebruikt (art. 6 lid 1 onder b AVG), en de gegevens voor beveiliging en misbruikbeperking op grond van ons gerechtvaardigd belang bij een veilige dienst (art. 6 lid 1 onder f AVG). Wij verwerken geen gegevens op basis van toestemming; er is dus geen toestemming die u hoeft in te trekken. Zonder e-mailadres kunt u niet inloggen: het verstrekken daarvan is een noodzakelijke voorwaarde om de applicatie te gebruiken.

Er vindt geen geautomatiseerde besluitvorming of profilering plaats als bedoeld in art. 22 AVG. De planning die de applicatie berekent is een hulpmiddel voor uw eigen werk en geen besluit over een persoon.

Hoe dient u een verzoek in?

Stuur een e-mail naar info@huijbregtsadvies.nl met als onderwerp "AVG-verzoek". Vermeld daarin uw naam, het e-mailadres waarmee u bent aangemeld en het type verzoek. Om uw identiteit te verifiëren kunnen wij u om aanvullende informatie vragen.

Wij reageren binnen één maand op uw verzoek (art. 12 lid 3 AVG). Bij complexe of meerdere verzoeken kan deze termijn met maximaal twee maanden worden verlengd; wij informeren u hierover.

Klachtrecht bij de Autoriteit Persoonsgegevens

Indien u van mening bent dat wij uw persoonsgegevens niet conform de AVG verwerken, heeft u het recht een klacht in te dienen bij de toezichthoudende autoriteit:

Wij verzoeken u echter eerst contact met ons op te nemen via info@huijbregtsadvies.nl, zodat wij de kans hebben het probleem samen op te lossen.

Verwerkersovereenkomst voor organisaties

Huijbregts Advies B.V. treedt op als verwerker in de zin van art. 28 AVG voor organisaties (gemeenten, provincies, waterschappen, etc.) die een abonnement afnemen op Aanbesteding plannen. De organisatie is in dat geval de verwerkingsverantwoordelijke voor de persoonsgegevens van haar medewerkers.

Wij stellen een verwerkersovereenkomst (VOK) beschikbaar die voldoet aan de vereisten van art. 28 AVG. De VOK bevat onder meer:

• De aard, het doel en de duur van de verwerking;
• De categorieën betrokkenen en persoonsgegevens;
• Verplichtingen en rechten van de verwerkingsverantwoordelijke;
• Beveiligingsmaatregelen (technisch en organisatorisch);
• Gebruik en toestemming voor sub-verwerkers (Cloudflare, hostingprovider);
• Bijstand bij het uitoefenen van rechten van betrokkenen;
• Meldplicht bij datalekken;
• Verwijdering of teruggave van gegevens bij contracteinde.

Neem contact op via info@huijbregtsadvies.nl om de verwerkersovereenkomst aan te vragen en te ondertekenen voordat uw organisatie de applicatie in gebruik neemt.

Wijzigingen in deze verklaring

Wij kunnen deze privacyverklaring van tijd tot tijd aanpassen, bijvoorbeeld wanneer de applicatie wordt uitgebreid, wet- of regelgeving wijzigt, of wanneer onze werkwijze verandert.

De datum van de meest recente versie staat vermeld in de kop van dit document. Bij ingrijpende wijzigingen informeren wij u via het e-mailadres waarmee u bent aangemeld. Wij raden u aan deze verklaring periodiek te raadplegen.

De actuele versie van deze privacyverklaring is altijd beschikbaar via aanbestedingplannen.nl/planner/privacy.html.