Privacyverklaring.

Wie zijn wij?

Bommel Visuals is de eenmanszaak van Bjorn van Bommel. Ik maak foto's, video's, websites en systemen voor ondernemers.

• Vestigingsplaats: Nieuw-Vennep
• KvK-nummer: 97266019
• E-mail: info@bommel-visuals.nl

Ik ben verantwoordelijk voor wat er met je gegevens gebeurt via bommel-visuals.nl, het klantportaal en mijn eigen administratie. In deze verklaring lees je welke gegevens ik gebruik, waarom, hoe lang, en wat je rechten zijn.

Bouw of beheer ik de website van jouw bedrijf? Dan verwerk ik gegevens van jouw klanten in jouw opdracht. Daarover maken we aparte afspraken in een verwerkersovereenkomst. Die gegevens vallen niet onder deze verklaring.

In het kort

• Ik verkoop je gegevens nooit en gebruik ze niet voor advertenties.
• De openbare website gebruikt geen cookies en geen Google Analytics.
• Ik bewaar gegevens niet langer dan nodig.
• Je kunt altijd vragen wat ik van je heb, en het laten aanpassen of verwijderen.

1. Contact- en aanvraagformulieren

Welke gegevens: je naam en e-mailadres. Als je die invult ook je telefoonnummer, bedrijfsnaam en je bericht of antwoorden. Daarnaast sla ik op via welke pagina en welke bron je op de site kwam (bijvoorbeeld "google", "instagram" of de naam van een campagne). Dat is geen IP-adres en geen cookie.

Waarom: om je vraag te beantwoorden en je een voorstel te doen. De bron gebruik ik om te zien welke kanalen werken.

Wat er gebeurt:

• Je bericht komt als e-mail bij mij binnen en wordt opgeslagen in mijn klantadministratie (database bij mijn hosting).
• Je krijgt automatisch een bevestigingsmail.
• Ik krijg een melding op mijn telefoon (zie punt 11).
• Heb ik na een paar dagen nog niet gereageerd, dan krijg ik zelf een herinnering. Jij merkt daar niets van.

WhatsApp en bellen: kies je voor WhatsApp, of stuur je me zelf een WhatsApp-bericht, dan loopt dat gesprek via WhatsApp (Meta) en geldt ook de privacyverklaring van WhatsApp. Ik gebruik WhatsApp alleen om met je te praten over je vraag of opdracht. Bel je me, dan zie ik je nummer in mijn telefoon; dat bewaar ik alleen als we verder gaan.

Grondslag: stappen vóór een overeenkomst, op jouw verzoek (AVG art. 6 lid 1 sub b). Voor algemene vragen en de bron van je bezoek: mijn gerechtvaardigd belang om te reageren en mijn bedrijf te verbeteren (sub f).

Bewaartermijn: zolang je vraag loopt. Wordt het geen opdracht, dan verwijder ik je gegevens uiterlijk 12 maanden na het laatste contact. Word je klant, dan gaan je gegevens over naar punt 2.

2. Offertes, opdrachten en facturen

Welke gegevens: naam, bedrijfsnaam, adres, e-mailadres, telefoonnummer, KvK- en btw-nummer, wat we hebben afgesproken, offertes en facturen. Accepteer je een offerte online, dan bewaar ik ook de naam die je invult, de datum en tijd en je IP-adres, als bewijs van je akkoord.

Waarom: om de opdracht uit te voeren, te factureren en mijn boekhouding te doen.

Wat er gebeurt:

• Offertes en facturen stuur ik per e-mail en zet ik in het klantportaal.
• Reageer je niet op een offerte, dan stuurt het systeem je maximaal twee korte herinneringen (standaard na ongeveer 4 en 10 dagen). Offertes die ouder zijn dan 60 dagen worden niet meer opgevolgd.
• Facturen worden geboekt in mijn boekhoudpakket Jortt.
• Je kunt betalen via een betaallink van Mollie.

Grondslag: uitvoering van de overeenkomst (sub b) en de wettelijke bewaarplicht voor de administratie (sub c). Het IP-adres bij een akkoord: mijn gerechtvaardigd belang om te kunnen aantonen dat de offerte is geaccepteerd (sub f).

Bewaartermijn: facturen en de administratie 7 jaar (wettelijke fiscale bewaarplicht). Overige klantgegevens tot 2 jaar na de laatste opdracht. Het IP-adres bij een geaccepteerde offerte bewaar ik net zo lang als de offerte zelf.

3. Klantportaal en bestanden die je aanlevert

Welke gegevens: je e-mailadres om in te loggen, en de bestanden die je uploadt (bijvoorbeeld een briefing, logo, teksten of foto's). Daarin kunnen ook persoonsgegevens staan.

Hoe het werkt:

• Je logt in met een link die ik naar je e-mail stuur. Die link werkt één keer en is 7 dagen geldig. Er is geen wachtwoord.
• Bestanden staan in een afgeschermde map op de server. Alleen jij (via het portaal) en ik (via mijn beheeromgeving) kunnen erbij.
• Je kunt een bestand zelf weghalen zolang ik het nog niet heb bekeken. Daarna mail je me, dan haal ik het weg.

Grondslag: uitvoering van de overeenkomst (sub b).

Bewaartermijn: inloglinks 7 dagen. Aangeleverde bestanden tot 12 maanden na de laatste oplevering van het project.

4. Foto's, video's en toestemming (portretrecht)

Sta je op beelden die ik maak? Dan vraag ik je toestemming voordat ik ze laat zien. Dat gaat via een online formulier.

Welke gegevens: je naam, e-mailadres, telefoonnummer en eventueel je geboortedatum. Bij het tekenen bewaar ik je keuzes (waarvoor ik de beelden mag gebruiken), je naam, je handtekening, datum en tijd, je IP-adres en het type apparaat. Ben je jonger dan 18, dan tekent een ouder of voogd. Ik bewaar dan ook de naam van die persoon en wat hij of zij van je is.

Waarom: om de beelden alleen te gebruiken waarvoor jij toestemming gaf, en om dat later te kunnen aantonen.

Grondslag:

• Het gebruik van de beelden (portfolio, social media, gebruik door de opdrachtgever, advertenties): jouw toestemming (sub a). Je kiest per onderdeel.
• Het bewaren van het bewijs (handtekening, IP-adres, tijdstip): mijn gerechtvaardigd belang om aan te tonen wat is afgesproken (sub f).

Intrekken: dat kan altijd, helemaal of per onderdeel, zonder reden. Een mail naar info@bommel-visuals.nl is genoeg. Ik gebruik de beelden dan niet meer voor nieuwe dingen en haal ze weg waar ik dat zelf kan. Wat al gedrukt of verspreid is, kan ik niet terughalen.

Bewaartermijn: zolang de beelden gebruikt worden, en daarna nog 2 jaar als bewijs. Trek je je toestemming in of weiger je, dan bewaar ik dat ook 2 jaar, zodat ik kan aantonen dat ik me eraan houd.

Portfolio-foto's zonder formulier: sta je op een foto op deze website en wil je dat hij weggaat? Mail me, dan haal ik hem eraf.

5. Galerijen via Pic-Time

Foto's en video's van opdrachten lever ik deels op via Pic-Time, een online galerijdienst. Een deel van mijn portfolio staat daar ook openbaar. Pic-Time bewaart de beelden en, als je een privégalerij krijgt, je naam en e-mailadres.

Grondslag: uitvoering van de overeenkomst (sub b); voor openbare portfoliobeelden: toestemming (zie punt 4).

Bewaartermijn: zolang de galerij online staat. Voor wat Pic-Time zelf met gegevens doet, zie de privacyverklaring van Pic-Time.

6. Instagram en social media

Ik plaats posts op Instagram via de officiële koppeling van Meta. Komen daar mensen in beeld, dan alleen met hun toestemming (punt 4). Wat je op Instagram ziet of doet (liken, reageren, berichten sturen), valt onder de privacyverklaring van Meta. Meta is daarvoor zelf verantwoordelijk.

7. Websiteklanten: online-check en maandelijkse check-in

Bouw en beheer ik je website, dan:

• Controleer ik elk half uur of je website online is. Ik kijk alleen of de site reageert, hoe snel en tot wanneer het SSL-certificaat geldig is. Daarbij worden geen persoonsgegevens verwerkt. Deze metingen bewaar ik 120 dagen.
• Stuur ik je ongeveer één keer per maand een korte check-in per e-mail. Daarin staan de status van je site, wat er is veranderd, en drie knoppen om aan te geven hoe tevreden je bent. Ik kijk elke mail na voordat hij weggaat.
• Klik je op een knop of schrijf je een toelichting, dan sla ik je score, je tekst en het tijdstip op bij je website. Ik krijg daar een melding van.

Grondslag: uitvoering van de overeenkomst voor websitebeheer (sub b), en mijn gerechtvaardigd belang om mijn service te verbeteren (sub f). Wil je de check-ins niet meer? Laat het weten, dan zet ik ze uit.

Bewaartermijn: check-ins en feedback tot 2 jaar na afloop van het beheercontract.

8. Verzoek om een review

Een paar dagen na een oplevering kan ik je één e-mail sturen met de vraag om een Google-review. Dat gebeurt maximaal één keer per zes maanden. Of je een review schrijft, bepaal je zelf. Klik je op de link, dan ga je naar Google en geldt de privacyverklaring van Google.

Grondslag: mijn gerechtvaardigd belang (sub f). Wil je zulke mails niet meer? Antwoord op de mail, dan stop ik ermee.

Bewaartermijn: ik leg vast dát ik het verzoek heb gestuurd, zodat je het niet dubbel krijgt. Dat bewaar ik zolang je klant bent, met een maximum van 2 jaar.

9. Bezoekstatistieken (zonder cookies)

Ik tel bezoeken met een eigen teller. Er zijn geen cookies en geen diensten van anderen (zoals Google Analytics) bij betrokken.

Wat ik opsla per paginaweergave: welke pagina, de datum en tijd, van welke website of campagne je kwam, en of je op een telefoon of computer kijkt.

Wat ik níet opsla: je IP-adres. Om je op één dag niet dubbel te tellen, maak ik van je IP-adres en browsertype een korte versleutelde code (een "hash"). Daarvoor gebruik ik een geheime sleutel die elke dag wordt vervangen en weggegooid. De volgende dag ben je dus niet meer te herkennen.

In je browser: tijdens je bezoek onthoudt je browser (in "sessionStorage") via welke pagina en bron je binnenkwam. Dat is weg zodra je het tabblad sluit. Het wordt alleen naar mij gestuurd als je een formulier verstuurt (zie punt 1).

Grondslag: mijn gerechtvaardigd belang om te zien hoe de website gebruikt wordt (sub f).

Bewaartermijn: 13 maanden; daarna worden de tellingen automatisch verwijderd. Ik deel ze met niemand.

10. Cookies

• Openbare website: geen cookies.
• Klantportaal: als je inlogt, wordt één functionele sessiecookie geplaatst om je ingelogd te houden. Die verdwijnt als je je browser sluit. Hiervoor is geen toestemming nodig.
• Er zijn geen tracking-, advertentie- of social-media-cookies.

11. Meldingen op mijn telefoon

Bij een nieuwe aanvraag, een geaccepteerde offerte, een betaling of feedback krijg ik een pushmelding op mijn eigen apparaten. Daarin kan een korte samenvatting staan, zoals een naam of onderwerp. Pushmeldingen gaan versleuteld via de meldingsdienst van de browser (bijvoorbeeld Apple of Google). Die dienst kan de inhoud niet lezen.

12. Met wie deel ik gegevens?

Ik verkoop nooit gegevens. Ik werk wel met een paar bedrijven die gegevens voor mij verwerken. Met hen heb ik (of geldt) een verwerkersovereenkomst.

Mollie: bij een betaallink stuur ik Mollie alleen het factuurnummer en het bedrag. Je betaalgegevens vul je zelf in bij Mollie. Voor de betaling zelf is Mollie (deels) zelf verantwoordelijk; zie de privacyverklaring van Mollie.

Wettelijke plicht: als de wet dat verplicht, bijvoorbeeld bij een controle van de Belastingdienst, kan ik gegevens moeten delen.

13. Gegevens buiten de EU

Ik kies zoveel mogelijk voor diensten in de EU. Meta (Instagram en WhatsApp) kan gegevens verwerken in de Verenigde Staten. Meta is aangesloten bij het EU-VS Data Privacy Framework; daarmee is doorgifte toegestaan volgens de Europese regels.

14. Hoe beveilig ik je gegevens?

• Alle verbindingen met de website en het portaal gaan via HTTPS (versleuteld).
• Mijn account in de beheeromgeving is beschermd met een wachtwoord en tweestapsverificatie (2FA). Na te veel mislukte inlogpogingen wordt inloggen een kwartier geblokkeerd. Wachtwoorden worden alleen versleuteld (gehasht) opgeslagen.
• Het klantportaal werkt met eenmalige inloglinks die na 7 dagen verlopen.
• Aangeleverde bestanden en back-ups staan in mappen die niet via internet bereikbaar zijn.
• Elke dag wordt een back-up van de database gemaakt. Ik bewaar de laatste 14 dagelijkse en daarnaast 8 wekelijkse back-ups. Daarna worden ze automatisch verwijderd. Verwijder ik op jouw verzoek gegevens, dan zijn die dus na ongeveer 10 weken ook uit de back-ups verdwenen.

• Bij inlogpogingen wordt je IP-adres 1 dag bewaard, om misbruik te voorkomen.

• Eén keer per week gaat er een extra kopie van de database naar een adres buiten de hosting. Die kopie is sterk versleuteld (AES-256 met een RSA-sleutel) en alleen te openen met een sleutel die niet op de server staat.

15. Automatische beslissingen

Ik neem geen beslissingen over jou die alleen door een computer worden genomen. De automatische mails (bevestigingen, herinneringen, check-ins) zijn gewone berichten; er wordt niets over jou besloten.

16. Jouw rechten

Je mag:

• inzien welke gegevens ik van je heb;
• gegevens laten aanpassen als ze niet kloppen;
• gegevens laten verwijderen;
• de verwerking laten beperken;
• bezwaar maken tegen verwerking op basis van mijn gerechtvaardigd belang (bijvoorbeeld de bronmeting of reviewverzoeken);
• je gegevens meekrijgen in een gangbaar bestand (overdraagbaarheid);
• je toestemming intrekken, op elk moment. Wat ik vóór het intrekken deed, blijft geldig.

Stuur je verzoek naar info@bommel-visuals.nl. Ik reageer binnen een maand. Soms vraag ik je eerst om te bevestigen dat jij het bent.

Let op: factuurgegevens moet ik 7 jaar bewaren. Die kan ik niet eerder verwijderen.

17. Klacht?

Kom je er met mij niet uit? Dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens, via autoriteitpersoonsgegevens.nl.

18. Wijzigingen

Verandert er iets in hoe ik met gegevens omga, dan pas ik deze verklaring aan. Bovenaan staat altijd de datum van de laatste versie.