Privacyverklaring

01Wie is verantwoordelijk voor je gegevens?

Voor accountbeheer, beveiliging van de dienst, communicatie met KeyInOut en de werking van de KeyInOut-website is de verwerkingsverantwoordelijke Alexander Arfs, Zweden, exploitant van KeyInOut. Vragen over privacy kunnen worden gestuurd naar privacy@keyinout.com. Algemene supportvragen kunnen worden gestuurd naar support@keyinout.com.

Voor persoonsgegevens die een klantorganisatie in haar werkruimte invoert — bijvoorbeeld gegevens van medewerkers of opdrachtnemers, gegevens over sleutelhouders en sleutelactiviteit — bepaalt de klantorganisatie doorgaans waarom en hoe die gegevens worden gebruikt en is zij daarom verwerkingsverantwoordelijke. KeyInOut verwerkt die werkruimtegegevens namens de klant als verwerker. De Verwerkersovereenkomst beschrijft deze relatie.

02Persoonsgegevens die we verwerken

• Account- en teamgegevens: naam, e-mailadres, rol, accountstatus en verificatiegegevens.
• Werkruimtegegevens: naam van organisatie/werkruimte, locaties, sleutelrecords en instellingen.
• Persoons- en sleutelhoudergegevens: namen en, indien door de klant verstrekt, e-mailadressen en telefoonnummers.
• Operationele loggegevens: uitgiftes, retouren, verwachte retourtijden, notities, momentopnamen van houders en audit-/geschiedenisrecords.
• Technische en beveiligingsgegevens: authenticatiepogingen, IP-gerelateerde beveiligingslogs wanneer gelogd, tijdstempels, sessie-/beveiligingsinformatie en administratieve auditgebeurtenissen.
• Communicatie- en facturatiecontactgegevens: informatie die je verstrekt wanneer je contact met ons opneemt en een facturatie-e-mailadres wanneer ingesteld. Verwerking van kaartbetalingen is momenteel niet ingeschakeld.

Wachtwoorden worden niet leesbaar opgeslagen; alleen wachtwoordhashes worden bewaard. Geheimen voor verificatie, wachtwoordherstel en uitnodigingen worden waar van toepassing als hashes opgeslagen.

03Waarom we gegevens verwerken en onze rechtsgronden

Wanneer KeyInOut optreedt als verwerkingsverantwoordelijke, worden account- en dienstgegevens verwerkt om de gevraagde dienst te leveren en accounts te beheren (uitvoering van een overeenkomst of stappen op verzoek vóór het sluiten van een overeenkomst). Beveiligingslogs, misbruikpreventie, betrouwbaarheid van de dienst en bepaalde operationele logs worden verwerkt wanneer dit nodig is voor ons gerechtvaardigd belang om KeyInOut te beschermen en te exploiteren. Gegevens kunnen ook worden verwerkt wanneer dit nodig is om aan een wettelijke verplichting te voldoen.

Wanneer KeyInOut als verwerker voor een klantorganisatie optreedt, bepaalt de klant het doel en de toepasselijke rechtsgrond. Klanten zijn verantwoordelijk voor een geldige rechtsgrond voor persoonsgegevens die zij in KeyInOut invoeren en voor het verstrekken van de vereiste informatie aan medewerkers, opdrachtnemers of andere betrokkenen.

04E-mails en herinneringen

KeyInOut verstuurt transactionele berichten die nodig zijn voor accountverificatie, wachtwoordherstel, uitnodigingen en de werking van de dienst. Een werkruimte kan ook herinneringen voor te late sleutels instellen. Ontvangers en instellingen voor herinneringen worden door de werkruimte beheerd. KeyInOut verstuurt momenteel geen advertenties van derden via de dienst.

05Openbare retourinformatie via QR

Een werkruimte kan optioneel bepaalde contactinformatie voor retouren openbaar maken aan iemand die een KeyInOut-label scant. Deze functie staat uit tenzij de werkruimte haar instelt. De openbare retourpagina is ontworpen om geen sleutelnaam, houder, locatie, haakpositie, vervaldatum of overdrachtsstatus te tonen.

06Dienstverleners en ontvangers

Persoonsgegevens worden alleen gedeeld wanneer dat nodig is om de dienst te leveren, aan de wet te voldoen, de dienst te beschermen of instructies van een klant uit te voeren. KeyInOut gebruikt momenteel infrastructuurproviders voor web-/databasehosting en transactionele e-mail. Onze huidige infrastructuur wordt gehost via Simply.com. We gebruiken momenteel geen Google Analytics of andere gedragsanalyse van derden, en betalingsverwerking is niet ingeschakeld.

Onze lijst met verwerkers/subverwerkers kan veranderen naarmate KeyInOut zich ontwikkelt. Belangrijke wijzigingen die klantgegevens in werkruimtes raken, worden in deze verklaring en, waar van toepassing, in DPA-/subverwerkerinformatie opgenomen.

07Internationale doorgiften

KeyInOut wordt vanuit Zweden geëxploiteerd. We streven ernaar infrastructuur te gebruiken die geschikt is voor een EU/EER-dienst. Als een provider persoonsgegevens buiten de EU/EER moet doorgeven, zullen waar nodig een rechtsgeldig doorgiftemechanisme onder de AVG en passende waarborgen worden gebruikt. We werken deze verklaring bij wanneer nieuwe providers de doorgiftesituatie wezenlijk veranderen.

08Bewaartermijnen

Account- en werkruimtegegevens worden doorgaans bewaard zolang de werkruimte bestaat. Eigenaren kunnen gegevens exporteren en de werkruimte verwijderen via KeyInOut. Verwijdering haalt werkruimtegegevens uit de actieve applicatie, met inachtneming van technische back-upcycli, beveiligingslogs die beperkt bewaard moeten blijven en eventuele wettelijke bewaarplichten. Authenticatie-, overdrachts- en beveiligingslogs worden alleen bewaard zolang redelijkerwijs nodig is voor hun operationele of beveiligingsdoel.

Bewaartermijnen voor logs en back-ups worden bepaald op basis van technische, beveiligings- en wettelijke behoeften. Gegevens worden alleen bewaard zolang dat redelijkerwijs nodig is voor het betreffende doel.

09Je privacyrechten

Wanneer KeyInOut/Alexander Arfs verwerkingsverantwoordelijke is, kun je onder de AVG rechten hebben zoals inzage, rectificatie, verwijdering, beperking, gegevensoverdraagbaarheid en bezwaar, afhankelijk van de omstandigheden en rechtsgrond. Neem contact op via privacy@keyinout.com om een verzoek in te dienen.

Als je verzoek betrekking heeft op gegevens die door je werkgever of een andere klantorganisatie zijn ingevoerd, neem dan eerst contact op met die organisatie omdat zij doorgaans de verwerkingsverantwoordelijke is. KeyInOut ondersteunt de klant overeenkomstig de DPA.

Je hebt ook het recht een klacht in te dienen bij de Zweedse gegevensbeschermingsautoriteit (Integritetsskyddsmyndigheten, IMY) of een andere bevoegde toezichthouder.

10Cookies en analyse

KeyInOut gebruikt technische browser-/sessiemechanismen die nodig zijn om gebruikers veilig ingelogd te houden en de dienst te laten werken. KeyInOut gebruikt momenteel geen Google Analytics of andere gedragsanalyse van derden. Als later optionele analyse wordt toegevoegd, werken we deze verklaring en de benodigde toestemmings-/cookiecontroles bij voordat dergelijke tracking wordt ingeschakeld wanneer toestemming vereist is.

11Beveiliging

We gebruiken technische en organisatorische maatregelen om persoonsgegevens te beschermen. Voorbeelden zijn toegangsbeperking per werkruimte, rolgebaseerde rechten, HTTPS, versterkte sessies, CSRF-bescherming, voorbereide databasequeries en gegevensminimalisatie in QR-codes. Meer informatie staat op de beveiligingspagina. Geen enkele online dienst kan absolute beveiliging garanderen.

12Wijzigingen en contact

We kunnen deze verklaring bijwerken naarmate KeyInOut zich ontwikkelt, bijvoorbeeld wanneer nieuwe infrastructuur-, analyse- of betalingsproviders worden toegevoegd. Belangrijke wijzigingen worden zichtbaar door de bijgewerkte datum hierboven. Vragen over privacy kunnen worden gestuurd naar privacy@keyinout.com.