1.Wie wij zijn

BlackFigures is een dienst van Hoek-Steen.nl (KvK-nummer 70868263), Kanaalpark 157, 2321 JW Leiden. Bij het gebruik van onze website en van BlackFigures verwerken wij persoonsgegevens. In dit Privacy Statement leggen we uit welke gegevens dat zijn, waarvoor we ze gebruiken, hoe lang we ze bewaren en met wie we ze delen. We passen daarbij de Algemene Verordening Gegevensbescherming (AVG) toe.

Contactpersoon voor privacyzaken is Leonard van Avesaath, bereikbaar via compliance@blackfigures.nl.

We werken dit Privacy Statement bij wanneer de wet verandert of wanneer we een verwerking toevoegen of beëindigen. De meest recente versie staat altijd op deze pagina.

2.Welke gegevens we verwerken, en waarom

Voor de verwerkingen hieronder is Hoek-Steen.nl de verwerkingsverantwoordelijke. Per verwerking staat welke gegevens het betreft, met welk doel, op welke grondslag en hoe lang we ze bewaren.

Wij verkopen je gegevens nooit aan derden en gebruiken ze niet voor andere doelen dan hierboven beschreven.

3.BlackFigures als verwerker

De gegevens die je organisatie zelf in BlackFigures zet — begrotingen, formatie, roosters, prognoses — kunnen persoonsgegevens van medewerkers en andere relaties bevatten. Voor die gegevens is je organisatie de verwerkingsverantwoordelijke en zijn wij de verwerker. Wat wij daarmee wel en niet doen, leggen we vast in de verwerkersovereenkomst die we met je organisatie sluiten.

4.Als de samenwerking eindigt

Zolang je organisatie klant is, bewaren we de gegevens die in BlackFigures staan.

Wanneer de samenwerking eindigt, stopt de toegang tot de app meteen. De beheerders van je organisatie kunnen daarna nog 30 dagen inloggen om de gegevens te downloaden — alleen daarvoor; de rest van de app is dan niet meer bereikbaar. Je krijgt bericht wanneer die termijn ingaat, en nog een keer kort voordat hij afloopt.

Na afloop van die termijn worden de gegevens uit de app verwijderd, ook de gebruikersaccounts en de vastlegging van wijzigingen aan accounts. Wat blijft staan: voor facturen en overeenkomsten geldt de wettelijke bewaartermijn van 7 jaar, en daarvoor bewaren we ook de naam en het adres van je organisatie, omdat die op een factuur horen te staan. Staat er een naam van een persoon in een overeenkomst — degene met wie die is gemaakt — dan blijft die staan zolang de overeenkomst wordt bewaard.

Van elke verwijdering leggen we vast dát en wanneer die heeft plaatsgevonden, wie hem heeft uitgevoerd, en aan wie we het bericht daarover hebben gestuurd — inclusief de naam en het e-mailadres van die persoon. Dat is een persoonsgegeven. We bewaren het omdat de vastlegging zonder de ontvanger niet aantoont dat we je hebben geïnformeerd. Deze vastlegging bewaren we net zo lang als de facturen waar zij bij hoort.

Onze back-ups kunnen om veiligheidsredenen niet worden gewijzigd, zodat ze na een storing of een aanval bruikbaar blijven. Verwijderde gegevens komen daardoor nog voor in back-ups die eerder zijn gemaakt. Die verlopen vanzelf: uiterlijk 90 dagen na de verwijdering staan ze ook daar niet meer.

Moeten we iets uit een gesprek met support langer bewaren dan 3 maanden, dan leggen we dat vast bij je organisatie in de app — dan verdwijnt het samen met de rest van jullie gegevens als jullie weggaan, in plaats van in een mailbox te blijven staan.

Vanaf een paar adressen versturen wij alleen — voor facturen, meldingen en accountberichten. Daar komen automatische antwoorden op terug, zoals foutmeldingen en afwezigheidsberichten, en die kunnen je e-mailadres bevatten. Wat op die adressen binnenkomt bewaren we maximaal 30 dagen.

5.Met wie we gegevens delen

We delen gegevens alleen met partijen die ze in onze opdracht verwerken, en alleen voor zover dat voor onze dienstverlening nodig is, of als de wet ons daartoe verplicht. Dit zijn onze verwerkers:

De e-mail die BlackFigures verstuurt — uitnodigingen, wachtwoordherstel, meldingen en facturen — gaat via MXroute in de Verenigde Staten. Daarbij worden de naam en het e-mailadres van de ontvanger verwerkt, en de inhoud van het bericht. Voor de Verenigde Staten bestaat het EU-VS Data Privacy Framework, maar MXroute is daarbij niet aangesloten. We beperken de berichten daarom tot wat nodig is om ze te laten aankomen: de begrotingen en prognoses zelf gaan nooit per e-mail.

We stappen zo snel mogelijk over op uitsluitend diensten binnen de Europese Unie, omdat we de bescherming van de gegevens van onze klanten serieus nemen.

6.Jouw rechten

De wet geeft je bepaalde rechten ten aanzien van de verwerking van je persoonsgegevens: het recht op inzage, rectificatie, verwijdering, beperking, bezwaar en dataportabiliteit.

Recht op inzage

Je kunt ons vragen welke persoonsgegevens we van je verwerken.

Recht op rectificatie

Zijn de gegevens die we van je verwerken onjuist, dan corrigeren we ze op je verzoek.

Recht op verwijdering

Verwerken we gegevens van je die we voor het doel niet (meer) nodig hebben en kun je ze zelf niet verwijderen, dan kun je ons vragen ze te wissen.

Recht op beperking

Je kunt ons vragen de verwerking op te schorten wanneer:

• je vindt dat de gegevens die we van je verwerken niet juist zijn, of dat de verwerking onrechtmatig of onnodig is maar de gegevens in verband met je juridische positie niet gewist kunnen worden;
• je bezwaar hebt gemaakt tegen de verwerking.

We slaan de gegevens dan — uitzonderingen daargelaten — alleen nog op tot duidelijk is of je standpunt terecht is. Dat geldt ook voor onze verwerkers, die wij daarover informeren.

Recht op bezwaar

Je kunt bezwaar maken tegen verwerkingen die we doen op grond van ons gerechtvaardigd belang. We stoppen de verwerking dan, tenzij we dwingende gerechtvaardigde gronden hebben om door te gaan. Voor de nieuwsbrief volstaat afmelden.

Recht op dataportabiliteit

De beheerders van je organisatie kunnen alle gegevens die in BlackFigures staan op elk moment zelf downloaden, in een gangbaar formaat. Dat kan ook nog 30 dagen nadat de samenwerking is geëindigd (zie 4).

Veel kun je zelf regelen: je naam en wachtwoord wijzigen in je account, je e-mailadres laten aanpassen door de beheerder van je organisatie, en de gegevens van je organisatie downloaden. Voor al het andere stuur je een verzoek naar compliance@blackfigures.nl. We controleren eerst je identiteit en reageren binnen een maand.

Weigeren we een verzoek, dan leggen we uit waarom. Een reden kan zijn dat we door je verzoek uit te voeren onze eigen rechten niet meer kunnen uitoefenen of een wettelijke plicht niet meer kunnen nakomen.

Je kunt altijd een klacht indienen bij de Autoriteit Persoonsgegevens.

7.Contact

Vragen over dit Privacy Statement of over hoe we met je gegevens omgaan? Neem contact op met Leonard van Avesaath, contactpersoon voor privacyzaken, via compliance@blackfigures.nl. Voor andere vragen kun je terecht bij info@blackfigures.nl.