Privacybeleid | Sourevo

Welke gegevens wij verwerken, waarvoor, op welke rechtsgrondslag, aan wie ze worden verstrekt, hoe lang en hoe u uw rechten uitoefent, overeenkomstig de AVG (Verordening (EU) 2016/679) en de Spaanse organieke wet 3/2018 inzake gegevensbescherming (LOPDGDD).

Deze Nederlandse tekst is een vertaling die voor uw gemak wordt aangeboden. Alleen de Spaanse versie is bindend; bij verschillen gaat die voor.

Vooraf: twee verschillende rollen

Sourevo verwerkt persoonsgegevens in twee rollen, en het is goed die te scheiden, omdat de rechten worden uitgeoefend bij degene die daarvoor verantwoordelijk is:

Als verwerkingsverantwoordelijke verwerken wij de gegevens van bezoekers van de website, van de gebruikers van klantaccounts en van leveranciers die zelf een account aanmaken in het portaal. Daarover gaat dit beleid.
Als verwerker verwerken wij de gegevens die elke klantorganisatie (importeur, marktdeelnemer of expediteur) in haar omgeving laadt of gebruikt: haar leveranciers, percelen en bewijsstukken, de gegevens van de marktdeelnemer voor TRACES NT en de inhoud van de verklaringen die zij indient. Daarvoor is die organisatie verwerkingsverantwoordelijke en volgen wij alleen haar instructies, volgens de verwerkersovereenkomst.

Wanneer een leverancier besluit een perceel met een klant te delen, gebruikt die klant het voortaan voor zijn eigen zorgvuldigheidseisen en is hij voor dat gebruik zelf verwerkingsverantwoordelijke.

Bent u leverancier of producent en heeft een klant van Sourevo uw gegevens geladen, dan moet die klant u te woord staan. Weet u niet welke klant het is, schrijf ons dan en wij helpen u zich tot hem te wenden.

1. Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke: Juan Cantón Rodríguez, zelfstandig ondernemer, handelend onder het merk «Francodesystems».
NIF: 45492167F
Adres: Carrer de Pau Casals 19, 4º 2ª, 08213 Polinyà (Barcelona), España
E-mail: juan.canton@sourevo.com

Wij hebben geen functionaris voor gegevensbescherming aangewezen, omdat de activiteit niet valt onder de gevallen van artikel 37 van de AVG en artikel 34 van de LOPDGDD. Gebruik voor elke privacyvraag het vermelde e-mailadres.

2. Welke gegevens wij als verwerkingsverantwoordelijke verwerken

Gebruikers van klantaccounts: naam, e-mailadres, wachtwoord (alleen opgeslagen als hash met argon2id, nooit leesbaar), de organisatie waartoe zij behoren (bedrijfsnaam en fiscaal identificatienummer of btw-nummer) en hun rol daarin.
Leveranciers met een eigen account in het portaal: naam, e-mailadres, wachtwoord (alleen hash), voorkeurstaal, verificatie van het e-mailadres, het opgegeven fiscaal identificatienummer (type, nummer en land), het resultaat van de validatie daarvan en het daaruit voortvloeiende vertrouwensniveau.
Gegevens die de leverancier in zijn portaal opgeeft: gegevens van de leverancier (naam, land, e-mailadres, telefoon), zijn percelen (naam, land, oppervlakte en geolocatie als punt of polygoon), de bewijsstukken die hij bijvoegt en met welke klanten hij elk perceel besluit te delen. De geolocatie van het perceel van een kleine producent kan een persoonsgegeven zijn.
Beveiliging en traceerbaarheid: een auditlog van de handelingen (wat er is gedaan, waarop, wanneer en door welk type gebruiker), eenmalige codes om het e-mailadres te verifiëren of het wachtwoord opnieuw in te stellen (wij bewaren alleen de hash ervan), het IP-adres, dat enkele minuten in het geheugen wordt gebruikt om inlogpogingen te beperken (het wordt niet in de database opgeslagen) en de technische logs van de server.
Ondersteuning en contact: wat u ons per e-mail of WhatsApp vertelt.

Wij vragen geen bijzondere categorieën van persoonsgegevens (art. 9 AVG). Wij gebruiken geen analyse, reclame of trackers van derden.

Waar de gegevens vandaan komen. Bijna alle gegevens verstrekt u zelf. Er zijn drie uitzonderingen: als de beheerder van uw organisatie u uitnodigt, geeft hij ons uw naam en uw e-mailadres; als een klant u als leverancier uitnodigt, geeft hij ons uw naam en uw e-mailadres om u de uitnodiging te sturen (daarbij treden wij op als zijn verwerker), en het resultaat van de validatie van uw fiscaal identificatienummer is afkomstig van het geraadpleegde openbare register (VIES of CNPJ).

3. Waarvoor en op welke rechtsgrondslag

Doel	Gegevens	Rechtsgrondslag
Uw account aanmaken en onderhouden, u identificeren en de afgenomen of gevraagde dienst verlenen	Klant- of leveranciersaccount, organisatie	Uitvoering van de overeenkomst (art. 6, lid 1, onder b), AVG). Als u het account gebruikt als werknemer van een klantonderneming: het gerechtvaardigd belang bij het onderhouden van de relatie met die onderneming (art. 6, lid 1, onder f), AVG en art. 19 LOPDGDD)
De percelen die u als leverancier opgeeft ter beschikking stellen van de klanten die u kiest	Gegevens van de leverancier, percelen, bewijsstukken	Uitvoering van de overeenkomst met de leverancier (art. 6, lid 1, onder b), AVG)
Het fiscaal identificatienummer van de leverancier valideren in openbare registers en zijn vertrouwensniveau berekenen	Fiscaal identificatienummer en resultaat van de validatie	Gerechtvaardigd belang bij de betrouwbaarheid van de informatie in de toeleveringsketen, waar de leverancier zelf naar streeft door haar op te geven (art. 6, lid 1, onder f), AVG)
E-mails van de dienst versturen: verificatie, uitnodigingen, wachtwoordherstel, accountmeldingen	Naam, e-mailadres, taal	Uitvoering van de overeenkomst (art. 6, lid 1, onder b), AVG)
Beveiliging, voorkoming van misbruik en auditlog	Audit- en technische logs, IP-adres in het geheugen	Gerechtvaardigd belang bij het beschermen van de dienst en bij het kunnen aantonen wie elke wijziging heeft aangebracht (art. 6, lid 1, onder f), AVG)
Wettelijke verplichtingen nakomen: fiscale en boekhoudkundige verplichtingen wanneer er wordt gefactureerd, en verzoeken van autoriteiten beantwoorden	Factuurgegevens en de gegevens die worden gevraagd	Wettelijke verplichting (art. 6, lid 1, onder c), AVG)
Vragen en ondersteuningsverzoeken behandelen	Wat u ons vertelt	Uitvoering van de overeenkomst of precontractuele maatregelen (art. 6, lid 1, onder b), AVG) en, voor algemene vragen, gerechtvaardigd belang (art. 6, lid 1, onder f), AVG)

U kunt bezwaar maken tegen verwerkingen op basis van gerechtvaardigd belang (zie punt 8). Op dit moment versturen wij geen nieuwsbrieven of commerciële berichten. Het vertrouwensniveau van de leverancier is een indicator op basis van objectieve controles; het is geen geautomatiseerd besluit met rechtsgevolgen voor u (art. 22 AVG): het besluit om al dan niet met een leverancier samen te werken, neemt elke klant zelf.

De gegevens die in de formulieren als verplicht zijn gemarkeerd, zijn nodig om de dienst te verlenen; zonder die gegevens kunnen wij het account niet aanmaken of de handeling niet uitvoeren.

Het voorbereiden, indienen, wijzigen of intrekken van verklaringen in TRACES NT staat niet in deze tabel, omdat wij dat als verwerker doen, in opdracht van de klantorganisatie: het doel en de rechtsgrondslag bepaalt zij.

4. Aan wie de gegevens worden verstrekt

Europese Commissie (TRACES NT): wanneer een klantorganisatie, of haar gemachtigde vertegenwoordiger, opdracht geeft een DDS in te dienen, worden de gegevens van de verklaring (marktdeelnemer, producten, hoeveelheden, geolocatie van de percelen en referenties) verzonden naar het informatiesysteem van de EUDR dat door de Europese Commissie wordt beheerd. Dat doen wij als verwerker van die klant. Vanaf daar zijn de gegevens toegankelijk voor de bevoegde autoriteiten van de lidstaten en voor de douane. De Commissie verwerkt ze volgens haar eigen regelgeving inzake gegevensbescherming (Verordening (EU) 2018/1725).
Openbare fiscale registers: om het fiscaal identificatienummer van een leverancier te valideren, raadplegen wij de VIES-dienst van de Europese Commissie (btw-nummers in de EU) of het openbare CNPJ-register van Brazilië. Wij verzenden alleen het nummer en het land.
Klanten van Sourevo: de percelen en gegevens die een leverancier besluit te delen met een bepaalde klant, en alleen met die klant. Die klant gebruikt ze als verwerkingsverantwoordelijke voor zijn eigen zorgvuldigheidseisen.
Dienstverleners (verwerkers): de in punt 5 vermelde dienstverleners, met een verwerkersovereenkomst in de zin van artikel 28 AVG.
Autoriteiten en rechtbanken, wanneer een wet ons daartoe verplicht.

Wij verkopen geen gegevens en verstrekken ze niet voor commerciële doeleinden.

5. Dienstverleners die ons helpen de dienst te verlenen

Hetzner Online GmbH (Duitsland): hosting van de server, die zich in zijn datacenter in Finland (Europese Unie) bevindt, met de database en de bestanden. Het deploymentplatform (Coolify) beheren wij zelf op die server; het is geen derde partij.
Resend, Inc. (Verenigde Staten): verzending van de e-mails van de dienst. Ontvangt het bestemmingsadres, de naam en de inhoud van de e-mail en bewaart die in de Verenigde Staten.
Mollie B.V. (Nederland): betaling per kaart en SEPA-incasso. Ontvangt de factuurgegevens, de naam van de rekeninghouder en de IBAN of de kaartgegevens, die wij zelf niet bewaren. Voor de betaalgegevens treedt Mollie ook op als verwerkingsverantwoordelijke, met een eigen privacybeleid.
Holded Technologies S.L. (Spanje): facturatiesoftware. Ontvangt de factuurgegevens van betalende klanten (bedrijfsnaam, fiscaal identificatienummer, adres en e-mailadres) en de gefactureerde bedragen.
Google Cloud EMEA Limited (Ierland), met Google Workspace: de mailbox van juan.canton@sourevo.com. Ontvangt wat u ons per e-mail schrijft.
Cloudflare, Inc. (Verenigde Staten): alleen DNS-resolutie van het domein sourevo.com. Het verkeer van de website loopt niet via Cloudflare (geen proxy), dus Cloudflare ontvangt de inhoud van uw bezoeken of uw gegevens niet.

Als u ons via WhatsApp schrijft, wordt die dienst verleend door WhatsApp Ireland Limited, met eigen voorwaarden en een eigen privacybeleid. Gebruik WhatsApp niet om ons gegevens van derden te sturen; gebruik daarvoor e-mail.

6. Internationale doorgiften

De gegevens van de dienst worden in de Europese Unie gehost. In de volgende gevallen is er sprake van doorgifte buiten de Europese Economische Ruimte:

Resend, Inc. (VS): gebaseerd op de modelcontractbepalingen van de Europese Commissie die zijn opgenomen in zijn verwerkersovereenkomst en daarnaast op het adequaatheidsbesluit inzake het EU-VS-kader voor gegevensbescherming (Data Privacy Framework), waarvoor Resend gecertificeerd is.
Google (Workspace): de overeenkomst is gesloten met een Ierse onderneming, maar Google kan gegevens in andere landen verwerken, waaronder de VS. Die doorgiften zijn gebaseerd op de modelcontractbepalingen in zijn verwerkersovereenkomst en op het EU-VS-kader voor gegevensbescherming.
Cloudflare, Inc. (VS): beperkt tot technische gegevens van DNS-resolutie, gebaseerd op hetzelfde EU-VS-kader voor gegevensbescherming en op modelcontractbepalingen.
CNPJ-register van Brazilië: er wordt een Braziliaans bedrijfsidentificatienummer geraadpleegd, om de identiteit te valideren die de leverancier zelf heeft opgegeven.

U kunt ons via juan.canton@sourevo.com om meer informatie over deze waarborgen vragen.

7. Hoe lang wij ze bewaren

Account: zolang het actief is. Na de opzegging worden de gegevens geblokkeerd (art. 32 LOPDGDD) gedurende de termijnen waarin aansprakelijkheid kan worden ingeroepen (in het algemeen 5 jaar voor contractuele vorderingen en tot 6 jaar voor de boekhoudkundige en fiscale documentatie), en daarna verwijderd.
Verklaringen (DDS) en gegevens die een klant laadt: die bewaren wij als verwerker, volgens de instructies van de klant en de bepalingen van de verwerkersovereenkomst. Standaard wordt het archief van verklaringen geblokkeerd bewaard gedurende 5 jaar na elke indiening, de minimumtermijn die de EUDR aan de marktdeelnemer oplegt.
Auditlog: zolang het gegeven waarop het betrekking heeft bestaat en ten hoogste 5 jaar.
Eenmalige codes: totdat zij verlopen of worden gebruikt.
IP-adres voor het beperken van pogingen: alleen in het geheugen, gedurende het controlevenster (minuten).
Technische logs van de server: zo lang als strikt nodig is voor de beveiliging en het oplossen van incidenten, en ten hoogste 30 dagen.
Proefaccounts zonder abonnement: worden binnen een redelijke termijn na het einde van de proefperiode verwijderd, na voorafgaande kennisgeving.
Ondersteuningsvragen: zolang de vraag loopt en tot een jaar daarna.

8. Uw rechten

U kunt uw recht op inzage, rectificatie, wissing, bezwaar, beperking van de verwerking en overdraagbaarheid uitoefenen, en het recht om niet te worden onderworpen aan besluiten die uitsluitend op geautomatiseerde verwerking zijn gebaseerd, door te schrijven naar juan.canton@sourevo.com. Wij vragen u alleen uw identiteit aan te tonen als wij redelijke twijfel hebben. Wij antwoorden binnen een maand; in complexe gevallen kan die termijn met twee maanden worden verlengd (wij zouden u dat laten weten).

Als u vindt dat wij uw verzoek niet goed hebben behandeld, kunt u een klacht indienen bij de Spaanse gegevensbeschermingsautoriteit, de Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid, www.aepd.es), of bij de toezichthoudende autoriteit van het land waar u woont of werkt.

Als uw gegevens door een klant van Sourevo zijn geladen, wend u dan tot die klant; als uw verzoek bij ons binnenkomt, sturen wij het aan hem door.

9. Beveiliging

Wij nemen technische en organisatorische maatregelen die passen bij het risico: versleutelde verbindingen (HTTPS), wachtwoorden met argon2id-hash, inloggegevens voor TRACES NT versleuteld met AES-256-GCM, ondertekende sessiecookies met HttpOnly en Secure, afscherming van de gegevens van elke organisatie bij elke databasequery, door de leverancier beheerde zichtbaarheid van percelen, een historiek van verklaringen waaraan alleen kan worden toegevoegd, beperking van inlogpogingen en toegang beperkt tot het strikt noodzakelijke. Wij verbinden ons er bovendien toe back-ups van de database binnen de Europese Unie te bewaren.

Geen enkel systeem is onfeilbaar. Als wij te maken krijgen met een inbreuk in verband met persoonsgegevens die uw gegevens betreft, melden wij die aan de AEPD in de gevallen en binnen de termijnen van artikel 33 van de AVG en stellen wij u op de hoogte als die een hoog risico voor u met zich meebrengt (art. 34 AVG).

10. Minderjarigen

Sourevo is een professionele dienst en is niet gericht op personen jonger dan 18 jaar. Wij verzamelen niet bewust gegevens van minderjarigen; als wij vaststellen dat een account van een minderjarige is aangemaakt, verwijderen wij het.

11. Wijzigingen in dit beleid

Als wij dit beleid op relevante punten wijzigen (bijvoorbeeld een nieuwe dienstverlener of een nieuw doel), stellen wij u daarvan per e-mail of in de applicatie op de hoogte voordat de wijziging geldt. De datum van de laatste bijwerking staat bovenaan.