Privacy Statement

Neemt u via het contactformulier op de website contact op met WENDIX, dan verwerken wij de gegevens die u daarin invult. Het formulier vraagt alleen om de gegevens die nodig zijn om op uw bericht te reageren, zoals uw naam en e-mailadres.

Wij bewaren deze gegevens maximaal vijf jaar. Zo kunnen wij nagaan wanneer wij voor het laatst contact hadden, waarover dat ging en hoe u toen reageerde. De grondslag hiervoor is ons gerechtvaardigd belang om u goed van dienst te kunnen zijn.

WENDIX houdt bij hoeveel mensen de website bezoeken en welke onderwerpen worden gelezen, om de website te verbeteren. Daarvoor gebruiken wij Simple Analytics, een Nederlandse dienst die geen cookies plaatst, niets op uw apparaat opslaat en geen persoonsgegevens bewaart. Wij ontvangen alleen totaalaantallen. Daaruit kunnen wij niet afleiden wie u bent, en wij kunnen u niet herkennen bij een volgend bezoek of op een andere website.

Wij ontvangen de volgende aantallen:

• hoeveel mensen een pagina bekeken;
• via welke website of zoekmachine iemand binnenkwam;
• uit welk land het bezoek kwam;
• welk thema, project, bericht of product werd opengeklapt;
• welk formulier werd verstuurd.

De laatste twee worden apart geteld, omdat deze onderdelen geen eigen pagina hebben maar als uitklapblok op een pagina staan. Ook deze tellingen bevatten geen naam, adres of inhoud. Wij bewaren de cijfers zolang wij ze gebruiken om de website te verbeteren.

De website gebruikt één functionele cookie. Deze onthoudt welk onderdeel van de website u het laatst heeft bekeken. Er worden geen tracking- of advertentiecookies geplaatst, en het tellen van bezoek gebeurt zonder cookie. Meer informatie vindt u in het cookiebeleid.

DAM is gebaseerd op open overheidsdata: het wegennet, verkeersborden, ongevallen, openbaar vervoer, vaarwegen en cijfers van het CBS. Deze bronnen bevatten geen persoonsgegevens. DAM verwerkt alleen de persoonsgegevens die nodig zijn om u toegang te geven en uw werk te bewaren:

• uw naam en het e-mailadres waarmee u inlogt;
• uw organisatie, functie en telefoonnummer, voor zover u die bij de aanvraag heeft opgegeven, en de toelichting bij uw aanvraag;
• het gebied waarvoor uw account toegang heeft, en het type licentie;
• aanmeldgegevens: het tijdstip waarop u inlogt, uw IP-adres en uw browsertype;
• als u in twee stappen inlogt: gegevens over uw sleutels, zoals de naam die u een sleutel geeft en de datum waarop u die instelde. Uw vingerafdruk of gezicht blijft op uw eigen apparaat en komt nooit bij ons;
• de inhoud die u in DAM aanmaakt: dataprojecten, selecties, kaartbeelden, analyses en rapporten, en met wie u die deelt;
• bij een betaalde licentie: factuur- en betaalgegevens, zoals het bedrag, de datum en een eventueel inkoopnummer.

Vraagt u een proefweek, een gratis account of een betaalde licentie aan, dan gebruiken wij deze gegevens om te beoordelen of u tot de doelgroep behoort en om uw account in te richten. Het aanvraagformulier vult uw organisatie waar mogelijk vooraf in op basis van een openbaar register van overheidsorganisaties. Daarbij worden geen gegevens aan een andere partij verstrekt.

• Beoordelen van uw aanvraag, aanmaken van uw account en verlenen van toegang: uitvoering van de overeenkomst en de stappen die daaraan voorafgaan.
• Opslaan en weergeven van uw werk, en het delen ervan met anderen: uitvoering van de overeenkomst.
• Versturen van facturen en verwerken van betalingen: uitvoering van de overeenkomst, en voor de administratie een wettelijke verplichting.
• Beveiligen van de toegang en voorkomen van misbruik: ons gerechtvaardigd belang bij de bescherming van de dienst en van de gegevens van andere gebruikers.
• Opsporen en verhelpen van storingen: ons gerechtvaardigd belang bij een goed werkende dienst.
• Informeren over wijzigingen in de dienst of de voorwaarden: uitvoering van de overeenkomst.
• Incidenteel persoonlijk contact per e-mail over uw gebruik van DAM: ons gerechtvaardigd belang om te weten hoe DAM in de praktijk functioneert en om u te kunnen ondersteunen.

• Uw account, uw aanmeldgegevens en de inhoud die u in DAM heeft aangemaakt: zolang uw account bestaat, en daarna nog dertig dagen.
• Aanvragen: een afgewezen aanvraag twaalf maanden. Een aanvraag die niet wordt afgerond, vervalt met de aanmeldlink, na maximaal veertien dagen.
• Proefweken: het e-mailadres waarmee een proefweek is aangevraagd, 24 maanden. Zo is per e-mailadres eenmaal per jaar een proefweek mogelijk.
• Reservekopieën: maximaal dertig dagen.
• Facturen en de bijbehorende administratie: zeven jaar, op grond van de fiscale bewaarplicht.

Wat er met uw werk gebeurt als u een licentie opzegt of uw account beëindigt, staat in de gebruiksvoorwaarden.

DAM wordt gehost door Hetzner Online GmbH, in een datacenter in Duitsland dat gecertificeerd is volgens ISO/IEC 27001. Elke nacht wordt een reservekopie gemaakt, die ook in een tweede datacenter van Hetzner in Finland wordt bewaard.

U logt in zonder wachtwoord, met een eenmalige code of link die u per e-mail ontvangt. Beheerders, en organisaties en gebruikers die met vertrouwelijke gegevens werken, loggen in in twee stappen: na de code volgt een sleutel op een apparaat, een passkey of een authenticator-app. Wie toegang heeft tot uw mailbox, komt daarmee dus nog niet in DAM. Herstel zonder sleutel kan alleen met een herstelcode of na een wachttijd, nooit met de e-mail alleen. Uw organisatie kan ons vragen tweestaps inloggen voor al haar gebruikers aan te zetten.

Bij elk verzoek controleert de server of u toegang heeft tot de gevraagde gegevens, op basis van gebied, functionaliteit en rol. Uw werk is alleen zichtbaar voor de personen met wie u het zelf deelt. Valt uw account onder een organisatielicentie, dan kan de beheerder van uw organisatie inzien wanneer u voor het laatst bent ingelogd en hoe vaak in de afgelopen dertig dagen. Al het verkeer is versleuteld via HTTPS, en de ontwikkel-, test- en productieomgeving zijn van elkaar gescheiden.

DAM plaatst één functionele cookie, die uw sessie bijhoudt zolang u bent ingelogd. Logt u in twee stappen in, dan onthoudt een tweede functionele cookie dertig dagen dat u deze computer gebruikt, tenzij u aangeeft dat het een gedeelde computer is. Deze cookies zijn noodzakelijk om in te loggen en worden niet gebruikt om uw gedrag te volgen.

Voor de hierboven genoemde gegevens is WENDIX verwerkingsverantwoordelijke. Gebruikt u in DAM databronnen van uw eigen organisatie die persoonsgegevens bevatten, dan is uw organisatie daarvoor verwerkingsverantwoordelijke en treedt WENDIX op als verwerker. Uw organisatie sluit in dat geval met ons een verwerkersovereenkomst, voordat er persoonsgegevens uit eigen bronnen in DAM worden opgenomen.

Deze verwerkersovereenkomst is de Standaard Verwerkersovereenkomst Gemeenten van de VNG, ongewijzigd, met de bijlagen zoals WENDIX die invult en een addendum met de aanvullende afspraken van WENDIX. Wij sturen hem u op verzoek toe.

De Baseline Informatiebeveiliging Overheid (BIO) is van toepassing op uw organisatie. Hieronder staat per onderwerp waar het in dit hoofdstuk aan bod komt, zodat u het kunt meenemen in uw eigen beoordeling:

• Toegangsbeveiliging: zie *Hosting en beveiliging*: inloggen zonder wachtwoord, en in twee stappen (passkey of authenticator-app) waar het nodig is. Een beheerder binnen uw organisatie kent licenties toe en trekt ze in, en kan de sleutel van een collega resetten.
• Cryptografie: versleuteld verkeer via HTTPS met HSTS; inlogcodes, inloglinks en herstelcodes worden alleen als hash opgeslagen.
• Fysieke beveiliging: datacenters die gecertificeerd zijn volgens ISO/IEC 27001, zie *Hosting en beveiliging*.
• Beveiliging van bedrijfsvoering en communicatie: zie *Hosting en beveiliging*.
• Leveranciers: alle subverwerkers zijn gevestigd in de EU en werken onder een verwerkersovereenkomst. Een wijziging kondigen wij dertig dagen vooraf aan.
• Incidenten: een datalek melden wij binnen 24 uur. Een kwetsbaarheid kunt u melden via info@wendix.nl; de gebruiksvoorwaarden vragen gebruikers dat ook te doen.
• Continuïteit: elke nacht een reservekopie, die ook in een tweede datacenter wordt bewaard.

Heeft uw organisatie een eigen vragenlijst over informatiebeveiliging, of stelt u een DPIA op? Stuur deze naar info@wendix.nl; wij vullen hem graag in. Voor een gesprek met uw privacyfunctionaris of CISO kunt u contact met ons opnemen.

Heeft u toestemming gegeven voor een verwerking, bijvoorbeeld voor deelname aan een onderzoek, dan kunt u die toestemming op elk moment intrekken. Intrekken is even eenvoudig als het geven van toestemming en is kosteloos. De verwerking vóór de intrekking blijft rechtmatig; daarna beëindigen wij de verwerking.

Om te voorkomen dat gegevens aan de verkeerde persoon worden verstrekt, kunnen wij u vragen zich te legitimeren. Een verzoek tot verwijdering kan samenvallen met een wettelijke bewaarplicht: een factuur bewaren wij zeven jaar, ook als uw account is verwijderd.

Heeft u een klacht over de verwerking van uw persoonsgegevens, dan kunt u die indienen bij de toezichthouder, de Autoriteit Persoonsgegevens, via autoriteitpersoonsgegevens.nl of telefonisch op 088 - 1805 250. Wij stellen het op prijs als u uw klacht eerst aan ons voorlegt, zodat wij die zelf kunnen oplossen.