Privacybeleid

Wie wij zijn

Savicor is bedrijfssoftware voor kleine en middelgrote bedrijven, gemaakt en beheerd vanuit Nederland. In dit beleid betekenen "wij" en "ons" Savicor; "jij" is de persoon om wiens gegevens het gaat, en "je organisatie" is het bedrijf dat Savicor gebruikt.

Over alles in dit beleid kun je contact met ons opnemen via het contactformulier op deze website. Kies als onderwerp Privacy en mijn gegevens, zodat je bericht bij de juiste persoon terechtkomt.

Twee rollen

Voor de gegevens van accounthouders en websitebezoekers zijn wij de verwerkingsverantwoordelijke: wij bepalen waarvoor en hoe ze worden gebruikt.

Voor de gegevens die je organisatie in Savicor opslaat, zoals contactpersonen, bedrijven, e-mails, deals, facturen, projecten en roosters van medewerkers, is je organisatie de verwerkingsverantwoordelijke en zijn wij de verwerker. We verwerken die gegevens alleen in opdracht van je organisatie en alleen om de dienst te leveren. Vragen over die gegevens, zoals een verzoek om ze in te zien of te verwijderen, gaan eerst naar de organisatie die ze bewaart; wij helpen die organisatie met het antwoord.

Welke gegevens we verzamelen

Accountgegevens:

• Naam en e-mailadres, en eventueel een profielfoto en telefoonnummer.
• Je wachtwoord, dat onze authenticatieprovider gehasht opslaat. Wij zien of bewaren het nooit in leesbare vorm.
• Instellingen voor tweestapsverificatie en de apparaten waarop je bent ingelogd.
• De organisaties waar je bij hoort en je rol in elk daarvan.

Gegevens die ontstaan terwijl je de dienst gebruikt:

• Wat jij en je collega's invoeren: records, notities, bestanden, e-mails, facturen enzovoort.
• Een auditlog van belangrijke wijzigingen binnen je organisatie, zoals wie een rol heeft gewijzigd, gegevens heeft geëxporteerd of een record heeft verwijderd.
• Technische gegevens die nodig zijn om de dienst te laten werken en te beschermen: IP-adres, browsertype, inlogtijden en foutmeldingen. We gebruiken ze voor beveiliging, het begrenzen van het aantal verzoeken (rate limiting) en het oplossen van storingen, niet voor profilering.

Als je een persoonlijke Gmail- of Outlook-mailbox koppelt:

• De e-mails die horen bij contactpersonen in je CRM, zodat ze bij het juiste record verschijnen. We vragen de beperktste toegang die de provider aanbiedt en bewaren het koppelingstoken versleuteld. Je kunt de koppeling op elk moment verbreken, waarmee alle toegang stopt.

Op deze website:

• Wat je in het contactformulier invult, alleen gebruikt om je te antwoorden.
• Geen tracking voor analyse of advertenties. Zie Cookies hieronder.

Waarvoor we ze gebruiken en op welke grondslag

• Om de dienst te leveren waarvoor jij of je organisatie zich heeft aangemeld: uitvoering van een overeenkomst.
• Om de dienst en je gegevens veilig te houden, misbruik te voorkomen en storingen op te lossen: ons gerechtvaardigd belang bij een veilige en goed werkende dienst.
• Om service-e-mails te sturen, zoals inlogcodes, uitnodigingen, beveiligingsmeldingen en berichten over wijzigingen in deze voorwaarden: uitvoering van een overeenkomst en gerechtvaardigd belang.
• Om vragen te beantwoorden die je ons stuurt: gerechtvaardigd belang, of maatregelen die je vraagt voordat je een overeenkomst sluit.
• Om aan wettelijke plichten te voldoen, zoals het bewaren van de financiële administratie: wettelijke verplichting.

We verkopen geen persoonsgegevens, gebruiken ze niet voor advertenties en gebruiken de gegevens die je organisatie opslaat niet om AI-modellen te trainen.

Wie er nog meer met gegevens werkt

We gebruiken een klein aantal dienstverleners om de dienst te laten draaien. Met elk van hen is een verwerkersovereenkomst gesloten, en zij mogen de gegevens alleen gebruiken om hun deel van de dienst te leveren:

• Supabase: database, authenticatie en bestandsopslag, in Frankfurt, Duitsland.
• Vercel: hosting van de applicatie en deze website, in de EU-regio (Frankfurt).
• Resend: versturen en ontvangen van e-mail voor de dienst.
• Upstash: begrenzen van het aantal verzoeken (rate limiting), in de EU.
• Inngest: uitvoeren van achtergrondtaken, zoals ingeplande e-mails en automatiseringen.
• Google of Microsoft: alleen als je je eigen mailbox koppelt, onder de voorwaarden van die provider.

Zodra de betaalde abonnementen openen, voegen we een betaalprovider toe en vermelden we die hier. We laten organisaties vooraf weten wanneer de lijst verandert op een manier die voor hen van belang is.

We delen gegevens alleen met overheidsinstanties als de wet dat verplicht, en we verzetten ons tegen verzoeken die verder gaan dan dat.

Waar gegevens worden opgeslagen

Savicor is zo ingericht dat de gegevens van je organisatie in de Europese Unie worden opgeslagen. Sommige dienstverleners hierboven zijn bedrijven uit de Verenigde Staten. Waar gegevens hen buiten de EU kunnen bereiken, valt die doorgifte onder het EU-VS Data Privacy Framework of onder de standaardcontractbepalingen van de Europese Commissie, met extra waarborgen zoals versleuteling.

Hoe lang we gegevens bewaren

• Accountgegevens: zolang je account bestaat. Als je ons vraagt je account te verwijderen, doen we dat binnen 30 dagen, behalve wat we wettelijk moeten bewaren.
• De gegevens van je organisatie: zolang de organisatie de dienst gebruikt. Gearchiveerde records blijven herstelbaar tot iemand ze verwijdert. Als een organisatie wordt verwijderd, verdwijnen haar gegevens direct uit de live database en uit back-ups zodra die verlopen, binnen 30 dagen.
• Het auditlog: zolang de organisatie bestaat, zodat eigenaren en beheerders kunnen zien wie wat heeft gewijzigd. Technische logs bij onze hostingproviders worden maar kort bewaard.
• Berichten via het contactformulier: zolang nodig is om de vraag af te handelen.
• Facturen en andere stukken die we volgens de belastingwet moeten bewaren: 7 jaar.

Hoe we gegevens beschermen

Gegevens zijn versleuteld tijdens verzending en bij opslag. Elke tabel met organisatiegegevens is beveiligd met Row Level Security, zodat de ene organisatie nooit de gegevens van een andere kan lezen, en geautomatiseerde tests controleren dit bij elke wijziging. Elke gebruiker logt in met tweestapsverificatie. Onze eigen medewerkers hebben alleen toegang voor zover dat nodig is om de dienst te laten draaien en te ondersteunen. Meer details staan op de pagina Beveiliging.

Als een datalek je persoonsgegevens raakt, informeren we de betrokken organisaties en, waar de wet dat vereist, de Autoriteit Persoonsgegevens, zonder onnodige vertraging.

Je rechten

Op grond van de AVG heb je het recht om:

• de persoonsgegevens die we over je hebben in te zien en er een kopie van te krijgen;
• onjuiste gegevens te laten corrigeren;
• je gegevens te laten verwijderen, tenzij we ze wettelijk moeten bewaren;
• te beperken hoe we ze gebruiken, of bezwaar te maken tegen gebruik op basis van ons gerechtvaardigd belang;
• je gegevens in een gangbaar formaat te krijgen om ze elders te gebruiken. Eigenaren en beheerders kunnen de records van hun organisatie op elk moment als CSV exporteren vanuit de app;
• je toestemming in te trekken, als we daarom hebben gevraagd, zonder dat dit gevolgen heeft voor wat daarvoor is gebeurd.

Stuur je verzoek via het contactformulier. We antwoorden binnen één maand en kunnen je eerst vragen te bevestigen wie je bent. Horen de gegevens bij een organisatie die onze dienst gebruikt, dan sturen we je verzoek naar die organisatie door.

Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens, of bij de toezichthouder in het EU-land waar je woont.

Cookies

We gebruiken alleen cookies en vergelijkbare opslag die de site en de app nodig hebben om te werken. Er zijn geen cookies voor analyse, advertenties of tracking door derden, dus we vragen geen toestemming; we vertellen je er één keer over, bij je eerste bezoek.

• sb-…-auth-token: Houdt je ingelogd in de app, ingesteld door onze authenticatieprovider. Blijft bewaard tot je uitlogt.
• ankor_org: Onthoudt welke organisatie je het laatst hebt geopend. Blijft één jaar bewaard.
• ankor-setup-dismissed-…: Onthoudt dat je de checklist om aan de slag te gaan hebt verborgen. Blijft één jaar bewaard.
• ankor_mailbox_connect: Beveiligt de stap waarin je je Gmail- of Outlook-mailbox koppelt. Blijft 10 minuten bewaard.
• theme (browseropslag): Onthoudt of je de lichte of donkere modus hebt gekozen. Blijft bewaard tot je het wist.
• savicor-cookie-notice (browseropslag): Onthoudt dat je de cookiemelding hebt gezien. Blijft bewaard tot je het wist.

Je kunt ze op elk moment verwijderen in de instellingen van je browser. Doe je dat, dan word je uitgelogd. Als we ooit cookies willen gebruiken die niet strikt noodzakelijk zijn, vragen we eerst je toestemming en kun je nee zeggen.

Kinderen

Savicor is een tool voor bedrijven en is niet bedoeld voor iemand jonger dan 16. We verzamelen niet bewust gegevens van kinderen.

Wijzigingen in dit beleid

Als we dit beleid wijzigen, passen we de datum bovenaan aan. Is een wijziging van belang voor hoe je gegevens worden gebruikt, dan laten we accounthouders dat per e-mail of in de app weten voordat de wijziging ingaat.