Privacybeleid

1. Wie zijn wij?

Verwerkingsverantwoordelijke: Protegara BV, geregistreerd in België onder KBO BE 0XXX.XXX.XXX. Wij bieden een B2B PBM-intelligence (PBM: persoonlijke beschermingsmiddelen) platform aan voor industriële werkgevers in de Benelux.

Contactpersoon voor privacyzaken: privacy@protegara.be

2. Welke gegevens verzamelen wij?

2.1 Gegevens die u zelf verstrekt

• Naam en e-mailadres (bij registratie of intakedossierformulier)
• Bedrijfsnaam en sector
• Functietitel en operationeel land
• PBM-gerelateerde informatie ingevuld in het intakedossier (activiteiten, gevaren, besteding)
• Bestelgegevens (producten, hoeveelheden, leveringsadres)

2.2 Automatisch verzamelde gegevens

• Bezoekstatistieken via Vercel Web Analytics, zonder cookies: bezochte pagina, verwijzende website, locatie (land, regio, stad), besturingssysteem, browser en type toestel. Een bezoek wordt herkend aan een code die na 24 uur vervalt; wij zien alleen geaggregeerde cijfers.
• Alleen met uw toestemming (cookiebanner): bezoekstatistieken via Google Analytics 4. Google Analytics 4 slaat geen IP-adressen op. Weigert u, dan wordt Google Analytics niet geladen. Zie het cookiebeleid.
• Paginaweergaven en klikgedrag (geaggregeerd, niet individueel herleidbaar)
• Zoektermen in de kennisbank, met het aantal gevonden artikelen en de gekozen filters. Anoniem: zonder IP-adres, cookie of account. Zoektermen die op persoonsgegevens lijken (e-mailadres, telefoonnummer, link, rekeningnummer) worden niet bewaard.
• Bij gebruik van de risicoanalyse: een versleutelde vingerafdruk van uw IP-adres, om misbruik te voorkomen. Het IP-adres zelf wordt niet bewaard.
• Sessiecookies voor authenticatie (HttpOnly, Secure)

Wij verzamelen geen gevoelige categorieën persoonsgegevens (gezondheid, etnische afkomst, etc.).

3. Waarvoor gebruiken wij uw gegevens?

• Dienstverlening: opstellen van het intakedossier, genereren van TCO-rapporten (TCO: totale eigendomskost), beheren van uw portaalaccount en bestellingen
• Communicatie: intakedossier, orderbevestigingen, compliance-alerts, kwartaalreviews
• Kwaliteitsverbetering: analyse van geaggregeerde intakedossier- en portaaldata om onze modellen te verbeteren
• Inhoudsplanning: anonieme zoektermen in de kennisbank tonen welke artikelen nog ontbreken
• Beveiliging: misbruik van de risicoanalyse tegengaan (te veel aanvragen kort na elkaar)
• Wettelijke verplichtingen: boekhouding, factuuradministratie, BTW-aangifte

4. Rechtsgrond voor verwerking

• Uitvoering van een overeenkomst (art. 6(1)(b) AVG): verwerking noodzakelijk voor de dienstverlening
• Gerechtvaardigd belang (art. 6(1)(f) AVG): serviceverbeteringen en veiligheidsmonitoring
• Wettelijke verplichting (art. 6(1)(c) AVG): boekhoudkundige en fiscale verplichtingen
• Toestemming (art. 6(1)(a) AVG): marketing-e-mails (u kunt u op elk moment afmelden) en Google Analytics (cookiebanner)

5. Bewaartermijnen

• Klantaccount- en portaaldata: gedurende de contractperiode + 2 jaar na beëindiging
• Factuurgegevens: 7 jaar (wettelijke boekhoudplicht)
• Intakedossiergegevens (niet gekoppeld aan account): 3 jaar
• Marketingconsent: tot intrekking + 1 jaar bewijs
• Logbestanden (beveiliging): 90 dagen
• Zoektermen kennisbank: 180 dagen
• Google Analytics: 14 maanden
• Versleutelde vingerafdruk van het IP-adres (risicoanalyse): maximaal 1 uur

6. Delen met derden

Wij verkopen uw gegevens nooit. Wij delen gegevens uitsluitend met:

• Supabase Inc. (VS, EU-serverlocatie via AWS eu-west-1): hosting van database en authenticatie — DPA aanwezig, Standard Contractual Clauses van toepassing
• Vercel Inc. (VS): hosting van de website en Vercel Web Analytics (zonder cookies, geaggregeerd) — DPA aanwezig
• Google Ireland Limited: bezoekstatistieken via Google Analytics 4, alleen met uw toestemming — onder het EU-VS Data Privacy Framework; niet gedeeld met advertentienetwerken
• Portwest / Delta Plus: leveringsadressen voor orderafhandeling — strikt beperkt tot noodzakelijke bestelgegevens
• Resend / Postmark (e-mailprovider): verzending van transactionele e-mails — geen marketing, DPA aanwezig

Alle verwerkers zijn gebonden aan een verwerkersovereenkomst en mogen uw gegevens niet voor eigen doeleinden gebruiken.

7. Uw rechten

Onder de AVG heeft u de volgende rechten:

• Recht op inzage — u kunt opvragen welke gegevens wij van u verwerken
• Recht op rectificatie — onjuiste gegevens kunnen worden gecorrigeerd
• Recht op verwijdering ("recht op vergetelheid") — u kunt verzoeken uw gegevens te wissen
• Recht op beperking van verwerking — in bepaalde omstandigheden kunt u verwerking laten beperken
• Recht op dataportabiliteit — u kunt een exportbestand van uw gegevens opvragen
• Recht van bezwaar — u kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang
• Recht om toestemming in te trekken — voor verwerking op basis van toestemming (marketing, Google Analytics)

Verzoeken worden binnen 30 dagen behandeld. Zie de GDPR-pagina voor de procedure.

8. Beveiliging

• Alle verbindingen zijn TLS 1.2+ versleuteld (HTTPS)
• Wachtwoorden worden nooit opgeslagen — authenticatie via Supabase Auth (bcrypt)
• Row Level Security (RLS) actief op alle Supabase-tabellen met gebruikersdata
• API-sleutels worden nooit in de frontend opgenomen
• Jaarlijkse OWASP-beveiligingsaudit
• Datalekken worden binnen 72 uur gemeld aan de GBA conform art. 33 AVG

9. Cookies

Zie ons cookiebeleid voor een volledig overzicht van de cookies die wij plaatsen.

10. Contact en klachten

Bent u niet tevreden met onze afhandeling? U heeft het recht een klacht in te dienen bij de Belgische Gegevensbeschermingsautoriteit (GBA):

• Website: gegevensbeschermingsautoriteit.be
• Adres: Drukpersstraat 35, 1000 Brussel
• E-mail: contact@apd-gba.be