Privacybeleid

Kringwacht is een platform voor het monitoren en beheren van waterinstallaties. Het is bestemd voor eigen medewerkers en voor medewerkers van klantorganisaties die door Kringwacht geautoriseerd zijn om werkzaamheden te monitoren en te beheren.

Verwerkingsverantwoordelijke:
Kringwacht
De Wel 15, 3871 MT Hoevelaken, Nederland

Afhankelijk van de context treedt Kringwacht op als verwerkingsverantwoordelijke (voor gegevens van eigen medewerkers) of als verwerker (voor persoonsgegevens die klantorganisaties via het platform beheren). In het laatste geval geldt een aparte verwerkersovereenkomst tussen Kringwacht en de klantorganisatie.

Dit privacybeleid geldt voor alle gebruikers van het platform en de bijbehorende marketingwebsite:

• Eigen medewerkers monteurs en andere medewerkers die de mobiele app gebruiken voor werkregistratie.
• Klant-gebruikers medewerkers van klantorganisaties die via de webapplicatie locaties, werkbonnen en monitoringdata raadplegen of beheren.
• Beheerders interne of klant-beheerders met toegang tot het beheerpaneel.
• Websitebezoekers bezoekers van de marketingwebsite die het contactformulier invullen of de livechat gebruiken.
• Bewoners bewoners van woningen waar werkzaamheden plaatsvinden en die via een persoonlijke link zelf een afspraak inplannen. Zij hebben geen account op het platform.

Voor alle gebruikers (webapp en mobiele app):

• Accountgegevens: gebruikersnaam, e-mailadres en versleuteld wachtwoord.
• Sessiegegevens: inlogmoment, IP-adres (geanonimiseerd naar /24 subnet, bijv. 192.168.1.0 in plaats van uw exacte IP), apparaattype en laatste activiteit (voor beveiligingsdoeleinden en user management).
• Beveiligingslogboek: bij een geweigerd verzoek (niet ingelogd, geen toegang, niet gevonden of te veel verzoeken) bewaren we van een steekproef het tijdstip, het opgevraagde pad (zonder zoekparameters of links met een code) en het IP-adres geanonimiseerd naar /24 subnet, om aanvallen te herkennen. Alleen zichtbaar voor de beheerders van het platform; na 30 dagen automatisch verwijderd.
• In-app notificaties: de inhoud van ontvangen meldingen, verstuurde admin-berichten en de status (gelezen/ongelezen) hiervan.
• Werkgegevens: ingevoerde meetwaarden, formulierantwoorden, statusupdates en handtekeningen die horen bij werkbonnen of inspecties.
• Ondertekening van rapporten: zet u een ondertekeningsblok in een PDF-meetrapport, dan gebruiken we de ingevulde naam, functie en plaats en (als u digitaal tekent) de handtekening als afbeelding alleen om dat rapport te maken. Het rapport wordt direct aan u teruggegeven; naam en handtekening worden niet bewaard. Tekent iemand anders dan uzelf, vraag diegene dan vooraf of dat goed is.
• Oefenresultaten (inregelsimulator): de scores, het aantal aanpassingen en de eindstand van ingediende oefenopdrachten, de antwoorden op de kennistoetsen bij de lessen (gekozen antwoorden, aantal goed, wanneer gestart en afgerond), en de zandbakmodellen die u zelf tekent. Zandbakmodellen zijn alleen voor uzelf zichtbaar, tenzij u zelf een kopie deelt met een collega binnen uw organisatie (die krijgt dan een eigen kopie; het delen wordt gelogd). Scores, het aantal goede antwoorden per kennistoets en de ingediende eindstand zijn zichtbaar voor beheerders met de permissie voor opdrachtbeheer binnen uw eigen organisatie, die het voortgangsoverzicht (naam, gebruikersnaam, beste score, geslaagd, aantal pogingen) als CSV kunnen exporteren voor hun opleidingsadministratie.
• Inregeltool-projecten: de projecten die u in de Inregeltool maakt, met de projectgegevens die u invult (projectnaam, adres, plaats, opdrachtgever, installateur, wie de berekening uitvoert en opmerkingen), de uitgangspunten, de getekende installatie en het berekende ideale ontwerp (varianten), de stand van het stappenplan en een logboek van gemaakte rapporten (kenmerk, datum en gekozen delen) en, als u in het veld meet, de meetrondes (meetwaarden per ventiel en bij de ketel, tijdstip, instellingen en korte opmerkingen). Projecten zijn alleen voor uzelf zichtbaar, tenzij u ze zelf deelt met een collega binnen uw organisatie: als kopie (die krijgt dan een eigen kopie, inclusief de projectgegevens en varianten) of blijvend (die ziet en bewerkt dan hetzelfde project, met alle projectgegevens, metingen, foto's en handtekeningen, totdat u de toegang intrekt of hij het project verlaat; leden van een project zien elkaars naam en gebruikersnaam). Delen, toegang geven en intrekken worden gelogd. Wat een collega in een met hem gedeeld project invult, wordt in uw project bewaard. Een inregelrapport (PDF) wordt op de server gemaakt en direct aan u teruggegeven, niet bewaard. Meet u met de mobiele app, dan staan de projectnaam, de meetrondes en de berekende inregelstaat (instellingen en berekende waarden per ventiel, zonder adres- of opdrachtgevergegevens) versleuteld op uw toestel, ook om zonder verbinding te kunnen meten; nog niet verstuurde metingen worden verstuurd zodra er verbinding is. Bij uitloggen of 'Cache wissen' worden ze van het toestel verwijderd. Bij het meten kunt u foto's als bewijs bij een meting voegen (bijvoorbeeld van een handwiel of het display van een meter; de server haalt locatiegegevens (GPS) uit de foto). Het rapport kan op locatie digitaal worden ondertekend: per rol (uitgevoerd door, installateur, opdrachtgever) bewaren we naam, plaats, datum, de handtekening als afbeelding en het tijdstip van ondertekenen; ook de handtekening van iemand buiten uw organisatie (bijvoorbeeld de opdrachtgever) wordt zo bij uw project bewaard, dus vraag diegene vooraf of dat goed is. Kiest u 'Mail rapport', dan gaat het rapport (met handtekeningen en foto's als u die erin zet) per e-mail naar de adressen die u opgeeft; die adressen en het tijdstip komen in het logboek van rapporten en in het e-maillog. Foto's en handtekeningen gaan niet mee met een kopie of een gedeelde kopie. Met de mobiele app gemaakte foto's en handtekeningen staan, tot ze verstuurd zijn, versleuteld op uw toestel. Bij een verzoek om inzage zitten uw projecten in de export van uw gegevens (onderdeel inregeltool_projecten, met de gebruikersnamen van de collega's met wie u een project blijvend deelt). Daarnaast bewaart de Inregeltool versies van een project (de tekeningen, de uitgangspunten en de stand van het stappenplan, zonder metingen, foto's en handtekeningen) om later naar terug te kunnen gaan, met het tijdstip en wie de versie maakte; wie toegang heeft tot het project ziet die naam bij de versie.
• Onderleggers (Inregeltool en zandbak): een tekening die u onder het tekenvel legt (een pagina uit een pdf, een scan of foto, of de lijnen uit een DWG, DXF of 3D-model (OBJ), die uw browser zelf leest). Uw browser maakt er één afbeelding van (hoogstens 4096 pixels per zijde) en die wordt met de bestandsnaam op de server bewaard; locatiegegevens (GPS) in een foto worden eerst verwijderd. Het originele bestand wordt niet geüpload; bij een 3D-model worden ook de getekende lijnen bewaard (alleen coördinaten, zonder lagen of namen) voor de 3D-weergave. Een onderlegger is alleen voor uzelf zichtbaar; deelt u een project of zandbakmodel met een collega, dan krijgt die een eigen kopie. Hij wordt verwijderd zodra geen enkel project of model van u hem nog gebruikt (bijvoorbeeld als u hem weghaalt of het project verwijdert) en met uw account. Bij een verzoek om inzage staat in de export welke onderleggers er zijn (onderdeel onderleggers: naam, grootte, datum en of er 3D-lijnen bij staan).
• Eigen ventielen (Inregeltool en zandbak): inregelventielen die u zelf invoert omdat ze niet in de catalogus staan: fabrikaat, type, DN en de Kv-waarden (per voorinstelling, of de kentallen van een thermostatisch ventiel). Ze staan in uw eigen ventielbibliotheek op de server en zijn alleen voor uzelf zichtbaar. Een project of model waarin u zo'n ventiel kiest, bewaart een kopie van fabrikaat, type en Kv-waarden; die gaat mee als u het deelt met een collega. U kunt een eigen ventiel zelf verwijderen; met uw account worden ze allemaal verwijderd. Bij een verzoek om inzage staan ze in de export (onderdeel eigen_ventielen).

Aanvullend voor beheerders:

• API-sleutels (optioneel): beheerders kunnen API-sleutels aanmaken voor programmatische toegang. De sleutel wordt Fernet-versleuteld opgeslagen; alleen een HMAC-vingerafdruk wordt gebruikt voor verificatie. De sleutel zelf is na aanmaken niet meer leesbaar.

Aanvullend voor mobiele app-gebruikers:

• Camerabeelden en foto's: foto's gemaakt of geselecteerd ter documentatie van werkzaamheden (zie sectie 5).
• Locatietoegang (optioneel): de app vraagt toegang tot uw huidige locatie om werkbonnen op nabijheid te sorteren. Coördinaten worden uitsluitend tijdelijk in het werkgeheugen van uw apparaat verwerkt en worden niet opgeslagen in de app-database, niet verstuurd naar de server en niet gedeeld met derden.
• Pushmeldingentoken: een anoniem apparaattoken voor het ontvangen van taakmeldingen.
• App-versie: bij het opstarten meldt de app welke versie, build en app-update er op uw apparaat draait, met het platform (iOS of Android). Alleen beheerders zien dit, om te weten wie nog een verouderde versie gebruikt. Het wordt bij uw account bewaard en overschreven bij een nieuwe melding.
• Biometrisch (optioneel): als u Face ID of vingerafdruk inschakelt als appvergrendeling, verwerkt de app zelf geen biometrische data - dit wordt volledig afgehandeld door het besturingssysteem van uw apparaat en nooit naar de server verstuurd.
• Tweefactorauthenticatie (optioneel): als u TOTP-authenticatie inschakelt (bijv. via Google Authenticator), wordt een versleutelde TOTP-configuratiesleutel opgeslagen op de server. Eenmalige codes worden gegenereerd door uw authenticator-app en worden nooit door ons opgeslagen.

Voor websitebezoekers (marketingwebsite):

• Contactformulier: naam, bedrijfsnaam, e-mailadres, telefoonnummer (optioneel), aantal locaties (optioneel), onderwerp en bericht. Tevens wordt uw IP-adres geanonimiseerd geregistreerd ter bescherming tegen misbruik.
• Livechat: naam, e-mailadres, de inhoud van chatberichten en uw IP-adres (geanonimiseerd). Uw IP-adres wordt eenmalig gebruikt om uw geschatte locatie (stad en land) op te halen via een geolocatiedienst (zie sectie 8), uitsluitend ten behoeve van het servicegesprek.

Voor bewoners (afspraken inplannen):

• Contactgegevens: naam, e-mailadres en eventueel telefoonnummer, aangeleverd door de opdrachtgever of ingevoerd door een planner. Deze gegevens worden versleuteld opgeslagen en zijn in het beheerscherm uitsluitend afgeschermd zichtbaar (bijvoorbeeld 'J•• d• V••••' of '06••••••78'); er is geen functie om ze daar weer leesbaar te maken. Alleen de monteurs die aan de werkzaamheden zijn gekoppeld, kunnen op de dag van de afspraak vanuit de app uw telefoonnummer opvragen om u te bellen (bijvoorbeeld bij vertraging of als u niet thuis lijkt te zijn). Het nummer wordt daarbij niet op het toestel van de monteur bewaard, en elke opvraag wordt vastgelegd.
• Afspraakgegevens: het gekozen tijdstip, de woning of ruimte waar het om gaat, een eventuele notitie en de taal waarin u de pagina gebruikt. Vraagt u binnen 48 uur voor de afspraak om contact, dan sturen wij het telefoonnummer en het bericht dat u invult per e-mail door aan de planner; wij slaan ze verder niet op.
• Gebruik van de persoonlijke link: het moment waarop de link voor het eerst is geopend, uw IP-adres (geanonimiseerd opgeslagen) en de browserinformatie van uw apparaat. Dit gebruiken wij om misbruik van een gedeelde link tegen te gaan. Van de link zelf bewaren wij een versleutelde versie, zodat een herinnering dezelfde link kan bevatten.
• Registratie van een niet-doorgegaan bezoek: kon het bezoek niet doorgaan, dan legt de monteur vast waarom (bijvoorbeeld 'niet thuis' of 'geen toegang'), eventueel met een toelichting en een foto van de situatie ter plaatse — bijvoorbeeld van een gesloten deur of een achtergelaten kaartje. Deze foto dient als verantwoording naar de opdrachtgever. Personen worden hierbij niet doelbewust gefotografeerd.
• E-mailberichten: de uitnodiging, bevestiging, wijziging, herinnering en annulering die wij u sturen, inclusief het verzendmoment en of de bezorging is geslaagd.

Diagnostische gegevens (alle gebruikers):

• Error-logging (server): bij een technische fout registreert het systeem automatisch het tijdstip, het verzoekpad, de foutmelding, uw IP-adres (geanonimiseerd naar /24 subnet), browserinformatie (user agent) en - indien u bent ingelogd - uw gebruikersnaam. E-mailadressen in foutmeldingen worden automatisch gemaskeerd (bijv. u***@domein.nl). Deze gegevens worden uitsluitend gebruikt voor foutopsporing en systeemonderhoud.
• Crash reporting en gebruiksanalytics (mobiele app): de mobiele app verstuurt gepseudonimiseerde gebruiksdata (gekoppeld aan uw gebruikersnaam, zonder naam of e-mailadres) (bezochte schermen, interacties) via PostHog en crash reports (inclusief stack traces) via Sentry. Stack traces bevatten technische informatie over de app-toestand op het moment van de crash; ze bevatten geen inhoudelijke gebruikersgegevens. De mobiele app maakt geen session replays (schermopnames). Deze verwerking vindt plaats op basis van gerechtvaardigd bedrijfsbelang.
• E-mail-logging: bij door het platform verstuurde e-mails (wachtwoord-reset, inlogmelding, chatnotificatie, contactbevestiging) wordt het e-mailadres van de ontvanger, het type e-mail, de status (verzonden/mislukt) en het tijdstip geregistreerd. De inhoud van de e-mail wordt niet opgeslagen.

Niet verwerkt:

• Advertentie-ID's of commerciële profieldata.
• Gegevens van derden buiten het werkproces.
• Persistente locatiegeschiedenis of achtergrond-GPS (de app leest locatie uitsluitend eenmalig in de voorgrond wanneer u de werkbonnen-lijst opent).

• Authenticatie en veilige toegang tot het platform.
• Het weergeven, invullen en beheren van werkbonnen, inspectieformulieren en locatiedata.
• Synchronisatie van werkgegevens tussen mobiele app en webportaal.
• Registratie van legionella-beheersingsronden, tappuntmetingen en risicobeoordelingen conform wettelijke verplichtingen (o.a. Drinkwaterbesluit, RIVM-richtlijnen).
• Het versturen van in-app notificaties (monitoring alerts) en admin-berichten.
• Pushmeldingen bij toewijzing van nieuwe taken (mobiele app).
• Audit-logging en activiteitsmonitoring voor beveiliging, systeembeheer en foutopsporing.
• Wachtwoord-reset via e-mail.
• Het inplannen van afspraken met bewoners: het versturen van een uitnodiging met een persoonlijke link, het bevestigen, wijzigen, herinneren en annuleren van een afspraak, en het bijhouden van de agenda van de monteur.
• Het vastleggen waarom een bezoek niet is doorgegaan, zodat de planner kan besluiten of de bewoner opnieuw wordt uitgenodigd en de opdrachtgever verantwoording krijgt over de uitgevoerde pogingen.
• Afhandeling van contactaanvragen ingediend via het contactformulier op de marketingwebsite.
• Livechat-communicatie op de marketingwebsite ter beantwoording van vragen van bezoekers.
• Geanonimiseerde gebruiksstatistieken via PostHog en crash reporting via Sentry voor het verbeteren van de gebruikerservaring van het platform. In de webapplicatie uitsluitend na uw toestemming via de cookiebanner; in de mobiele app op basis van gerechtvaardigd bedrijfsbelang (B2B-platform).

Grondslagen (AVG art. 6):

• Uitvoering van de overeenkomst (lid 1 sub b) - voor accountbeheer, toewijzing van taken en toegang tot het platform.
• Gerechtvaardigd bedrijfsbelang (lid 1 sub f) - voor audit-logging, beveiliging, efficiënte werkuitvoering, foutopsporing en het afhandelen van contactaanvragen en livechatgesprekken. Kringwacht heeft hierbij de belangen afgewogen en geconcludeerd dat de verwerking proportioneel is.
• Wettelijke verplichting (lid 1 sub c) - voor zover wet- en regelgeving (o.a. Arbowet, fiscale bewaarplichten) de vastlegging van werkgerelateerde gegevens vereist.
• Toestemming (lid 1 sub a) - voor analytische verwerking via PostHog in de webapplicatie. U geeft toestemming via de cookiebanner en kunt deze te allen tijde intrekken via uw profielinstellingen of de cookiebanner. Voor de mobiele app (B2B) geldt gerechtvaardigd bedrijfsbelang als grondslag.

Wij gebruiken uw gegevens niet voor advertenties, commerciële profilering of verkoop aan derden. Wel kunnen wij u productnieuwsbrieven over het platform sturen; onderaan elke nieuwsbrief staat een afmeldlink.

De app vraagt toestemming voor de camera en fotobibliotheek uitsluitend om werkzaamheden te documenteren als onderdeel van de taakinvulling. Concreet:

• U maakt of selecteert een foto op het moment dat u dat zelf kiest. Er worden nooit automatisch of op de achtergrond foto's gemaakt.
• Foto's worden tijdelijk opgeslagen op uw apparaat en bij synchronisatie geüpload naar de beveiligde Kringwacht-server.
• Foto's van geplaatste sensoren (optioneel): bij het plaatsen van een FactoryLab-sensor kunt u een foto maken van de sensor op zijn plek, zodat hij later terug te vinden is. Deze foto's zijn zichtbaar voor collega's met het recht om sensoren te plaatsen op die locatie, worden bewaard tot ze worden verwijderd en gaan mee in de back-up van de locatie. Fotografeer bij voorkeur alleen de installatie, geen personen.
• Foto's worden niet gedeeld met derden en niet voor andere doeleinden gebruikt dan taakinvulling.

De webapplicatie gebruikt noodzakelijke functionele cookies voor de werking van het platform. Optioneel, na uw toestemming, worden analytische cookies geplaatst via PostHog (EU cloud) voor gepseudonimiseerde gebruiksstatistieken (gekoppeld aan uw gebruikersnaam, zonder naam of e-mailadres). Zie de Cookieverklaring voor een volledig overzicht.

• Server: alle platformdata wordt opgeslagen op beveiligde servers binnen de EU (Kringwacht-infrastructuur). Verbindingen verlopen via HTTPS/TLS.
• Mobiele app - lokale cache: werkdata wordt offline gecached in een versleutelde SQLite-database. Inloggegevens worden bewaard in iOS Keychain of Android Keystore. De cache kan worden gewist via "Cache wissen" in de app-instellingen.
• Toegangsbeheer: gebruikers hebben alleen toegang tot data van de eigen organisatie. Beheerders kunnen gebruikers aanmaken en verwijderen.
• Audit-logging: inlogpogingen en beheeracties worden gelogd ten behoeve van beveiliging. IP-adressen worden geanonimiseerd opgeslagen (/24 subnet) en e-mailadressen in logberichten worden automatisch gemaskeerd.
• Toestemmingsregistratie: het platform registreert wanneer u het privacybeleid en de voorwaarden accepteert (datum, versie, geanonimiseerd IP-adres). U kunt uw toestemmingen inzien en intrekken via uw profielinstellingen.

Bewaartermijnen:

• Accountgegevens - bewaard zolang het account actief is; na verwijdering binnen 30 dagen gewist.
• Werkgegevens (formulieren, meetwaarden, statusupdates) - bewaard gedurende de looptijd van de locatie plus 7 jaar na locatieafsluiting, conform de fiscale bewaarplicht en gangbare documentatieverplichtingen.
• Oefenresultaten en zandbakmodellen (inregelsimulator) - bewaard zolang het account actief is; zandbakmodellen kunt u zelf op elk moment verwijderen. Bij verwijdering van het account worden ze direct mee verwijderd.
• Inregeltool-projecten - bewaard totdat u ze zelf verwijdert (met hun varianten, foto's en handtekeningen) of uw account wordt verwijderd; dan worden ze direct mee verwijderd. Foto's van een meetronde verdwijnen met die ronde; een handtekening kunt u zelf weghalen. Al gemailde rapporten staan bij de ontvangers en vallen buiten deze termijn. Versies van een project: de laatste 50 automatische en tot 100 benoemde versies; ze verdwijnen met het project. Wordt het account verwijderd van wie een versie maakte, dan blijft de versie staan zonder naam.
• Foto's en bijlagen - bewaard gedurende de looptijd van de locatie plus 10 jaar na locatieafsluiting, ten behoeve van garantiedocumentatie en eventuele aansprakelijkheidsvragen.
• Audit-logs (IP-adressen, loginmomenten) - bewaard gedurende 12 maanden, waarna automatisch verwijderd.
• Pushmeldingtokens - verwijderd bij uitloggen of deïnstallatie van de app.
• Contactformulier-inzendingen - bewaard gedurende 12 maanden na inzending, ten behoeve van opvolging en kwaliteitsbewaking, waarna verwijderd.
• Livechat-gesprekken - bewaard gedurende 30 dagen na sluiting van het chatgesprek, waarna het gesprek en de bijbehorende berichten automatisch worden verwijderd.
• Error-logs - bewaard gedurende 90 dagen, waarna automatisch verwijderd.
• E-mail-logs - bewaard gedurende 90 dagen, waarna automatisch verwijderd.
• PostHog analytics-events - bewaard conform de retentie-instellingen van het PostHog-project; standaard 1 jaar voor events en 3 maanden voor session replays (alleen webapplicatie).
• Sentry crash reports (mobiele app) - bewaard conform de retentie-instellingen van het Sentry-project; standaard 90 dagen, waarna automatisch verwijderd door Sentry.
• Contactgegevens van bewoners - naam, e-mailadres en telefoonnummer worden definitief gewist zodra de betreffende werklijst wordt gearchiveerd. De afspraak zelf (datum, tijd en status) blijft daarna bestaan als planninghistorie, zonder gegevens die naar u herleidbaar zijn.
• Foto's bij een niet-doorgegaan bezoek - bewaard als onderdeel van het werkdossier van de locatie, met dezelfde termijn als overige foto's en bijlagen.

Na het verstrijken van de bewaartermijn worden gegevens verwijderd of geanonimiseerd. Klantorganisaties kunnen in de verwerkersovereenkomst afwijkende termijnen overeenkomen indien hun sector langere bewaarverplichtingen kent.

Wij delen persoonsgegevens niet met derden voor commerciële doeleinden. De volgende sub-verwerkers/diensten worden ingezet:

• Expo (pushnotificaties): het pushmeldingentoken van de mobiele app wordt verwerkt via de Expo Push Notification Service. Expo is een Amerikaans bedrijf; Expo neemt deel aan het EU-VS Data Privacy Framework, waardoor voor de doorgifte naar de VS een adequaatheidsbesluit geldt. Aanvullend zijn Standaard Contractbepalingen (SCC's) conform AVG art. 46 lid 2 sub c overeengekomen als terugvalmechanisme. Overige platformdata wordt uitsluitend opgeslagen op servers binnen de EER. Zie expo.dev/privacy.
• Nominatim / OpenStreetMap (geocoding): voor de kaartweergave in de webapplicatie worden adressen omgezet naar coördinaten via de open-source Nominatim-dienst van OpenStreetMap. Alleen het adres wordt naar de dienst verstuurd; er worden geen persoonsgegevens doorgegeven. Resultaten worden lokaal gecacht om herhaalde verzoeken te beperken.
• 3D BAG (gebouwen rond de locatie): voor de omgeving in de 3D-weergave van een installatieschema worden de gebouwen rond de projectlocatie opgehaald uit 3D BAG, een open dataset van de TU Delft en 3DGI met de footprints en hoogtes van Nederlandse gebouwen. Alleen een rechthoek van coördinaten rond de projectlocatie wordt naar de dienst verstuurd; er worden geen persoonsgegevens doorgegeven. Resultaten worden een week lokaal gecacht.
• ipwho.is (geolocatie bij livechat): Bij het starten van een livechat-gesprek én bij een login vanaf een nieuwe locatie wordt het IP-adres eenmalig naar ipwho.is gestuurd om de geschatte stad en het land op te halen. Bij de livechat helpt dat de medewerker die het gesprek aanneemt; bij een login maakt het de melding 'nieuwe inloglocatie' begrijpelijk. Beheerders kunnen deze opvraag uitschakelen in de beveiligingsinstellingen.
• Cloudflare Turnstile (bescherming tegen misbruik) Bij het inloggen, het versturen van het contactformulier en het starten van een livechat controleert Cloudflare Turnstile of het verzoek van een mens komt. Daarbij worden uw IP-adres en een technisch token naar Cloudflare, Inc. gestuurd. Deze controle is noodzakelijk om het platform tegen geautomatiseerd misbruik te beschermen; er worden geen advertentie- of volgcookies geplaatst.
• Google Maps (kaart op de contactpagina): de kaart op de contactpagina van de website wordt pas geladen als u op 'Kaart tonen' klikt. Uw browser maakt dan verbinding met Google (Google Ireland Ltd.), dat uw IP-adres ontvangt en cookies kan plaatsen. Zonder die klik gaat er niets naar Google.
• E-mailprovider: wachtwoord-reset e-mails, inlogmeldingen, chatnotificaties en contactbevestigingen worden verstuurd via de e-mailinfrastructuur van Kringwacht.
• Microsoft Entra ID (optionele SSO): als uw organisatie single sign-on heeft ingeschakeld, worden authenticatieverzoeken verwerkt via de Microsoft Entra ID (Azure AD) dienst van Microsoft Corporation. Bij inloggen via SSO worden het e-mailadres, de naam en een uniek Azure-object-ID uitgewisseld met de Microsoft-loginpagina (login.microsoftonline.com). Microsoft is gevestigd in de VS; doorgifte naar de VS is gedekt door het EU-VS Data Privacy Framework. SSO is optioneel; wanneer SSO niet is ingeschakeld vindt geen uitwisseling met Microsoft plaats.
• PostHog (gebruiksanalytics): gepseudonimiseerde gebruiksstatistieken (gekoppeld aan uw gebruikersnaam, zonder naam of e-mailadres) (bezochte pagina's, interacties) en, alleen in de webapplicatie, session replays worden verwerkt via PostHog Inc. In de webapplicatie uitsluitend na uw toestemming; in de mobiele app op basis van gerechtvaardigd bedrijfsbelang. PostHog is een Amerikaans bedrijf; wij gebruiken uitsluitend de EU cloud-instantie (eu.i.posthog.com), waarbij data wordt opgeslagen op servers in de Europese Economische Ruimte. Doorgifte naar de VS valt onder Standaard Contractbepalingen (SCC's) conform AVG art. 46 lid 2 sub c. IP-adressen worden door PostHog geanonimiseerd vóór opslag. posthog.com/privacy.
• Sentry (crash reporting mobiele app): crash reports en stack traces van de mobiele app worden verwerkt via Sentry, Inc. Sentry is een Amerikaans bedrijf; doorgifte naar de VS valt onder Standaard Contractbepalingen (SCC's) conform AVG art. 46 lid 2 sub c. Stack traces bevatten technische app-toestandsdata en geen inhoudelijke gebruikersgegevens. Verwerking vindt plaats op basis van gerechtvaardigd bedrijfsbelang. sentry.io/privacy.

Klantorganisaties die het platform gebruiken zijn zelf verwerkingsverantwoordelijk voor de persoonsgegevens van hun medewerkers. Tussen Kringwacht en de klantorganisatie geldt een verwerkersovereenkomst conform AVG art. 28.

Als betrokkene heeft u de volgende rechten, die u deels zelf kunt uitoefenen via uw profielinstellingen (tabblad "Privacy"):

• Inzage - opvragen welke gegevens wij van u verwerken. Via uw profiel kunt u direct een volledige export downloaden als ZIP-bestand.
• Correctie - onjuiste gegevens laten aanpassen. Uw naam en e-mailadres kunt u zelf wijzigen in uw profiel.
• Verwijdering - verzoeken om verwijdering van uw gegevens (voor zover verenigbaar met wettelijke bewaarplichten). Via uw profiel in de webapplicatie kunt u zelf uw account verwijderen; dat gebeurt direct en onomkeerbaar. Gegevens die u in het kader van uw werk heeft vastgelegd — ingevulde formulieren, metingen, foto's en handtekeningen — blijven daarbij met uw naam bewaard zolang wettelijke en contractuele bewaarplichten dat vereisen.
• Beperking - de verwerking tijdelijk laten beperken.
• Bezwaar - bezwaar maken tegen de verwerking op basis van gerechtvaardigd belang. Voor e-mailnotificaties kunt u zich uitschrijven via de uitschrijflink onderaan iedere notificatie-e-mail of via uw notificatievoorkeuren in uw profiel.
• Overdraagbaarheid - uw gegevens in een gestructureerd formaat ontvangen. De self-service export levert JSON-bestanden in een ZIP-archief.
• Intrekken van toestemming - wanneer de verwerking is gebaseerd op uw toestemming, kunt u deze te allen tijde intrekken via uw profielinstellingen of de cookiebanner. Het intrekken laat de rechtmatigheid van de verwerking vóór de intrekking onverlet.

Verzoeken kunt u richten aan het hierboven vermelde postadres van de verwerkingsverantwoordelijke. Wij reageren binnen één maand (30 dagen). U heeft ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Wij kunnen dit privacybeleid aanpassen. Bij materiële wijzigingen informeren wij gebruikers via de applicatie of via de beheerder van uw organisatie. De meest actuele versie staat altijd op deze pagina.