Privacybeleid

1. Wie zijn wij?

Verwerkingsverantwoordelijke: Protegara BV, geregistreerd in België onder KBO BE 0XXX.XXX.XXX. Wij bieden een B2B PPE-intelligence platform aan voor industriële werkgevers in de Benelux.

Contactpersoon voor privacyzaken: privacy@protegara.be

2. Welke gegevens verzamelen wij?

2.1 Gegevens die u zelf verstrekt

• Naam en e-mailadres (bij registratie of auditformulier)
• Bedrijfsnaam en sector
• Functietitel en operationeel land
• PPE-gerelateerde informatie ingevuld in de audit (activiteiten, gevaren, besteding)
• Bestelgegevens (producten, hoeveelheden, leveringsadres)

2.2 Automatisch verzamelde gegevens

• IP-adres en browsertype (geanonimiseerd via Vercel Analytics)
• Paginaweergaven en klikgedrag (geaggregeerd, niet individueel herleidbaar)
• Sessiecookies voor authenticatie (HttpOnly, Secure)

Wij verzamelen geen gevoelige categorieën persoonsgegevens (gezondheid, etnische afkomst, etc.).

3. Waarvoor gebruiken wij uw gegevens?

• Dienstverlening: uitvoeren van de AI-audit, genereren van TCO-rapporten, beheren van uw portalaccount en bestellingen
• Communicatie: auditresultaten, orderbevestigingen, compliance-alerts, kwartaalreviews
• Kwaliteitsverbetering: analyse van geaggregeerde audit- en portaldata om de AI-modellen te verbeteren
• Wettelijke verplichtingen: boekhouding, factuuradministratie, BTW-aangifte

4. Rechtsgrond voor verwerking

• Uitvoering van een overeenkomst (art. 6(1)(b) AVG): verwerking noodzakelijk voor de dienstverlening
• Gerechtvaardigd belang (art. 6(1)(f) AVG): serviceverbeteringen en veiligheidsmonitoring
• Wettelijke verplichting (art. 6(1)(c) AVG): boekhoudkundige en fiscale verplichtingen
• Toestemming (art. 6(1)(a) AVG): marketing-e-mails (u kunt u op elk moment afmelden)

5. Bewaartermijnen

• Klantaccount- en portaldata: gedurende de contractperiode + 2 jaar na beëindiging
• Factuurgegevens: 7 jaar (wettelijke boekhoudplicht)
• Auditgegevens (niet gekoppeld aan account): 3 jaar
• Marketingconsent: tot intrekking + 1 jaar bewijs
• Logbestanden (beveiliging): 90 dagen

6. Delen met derden

Wij verkopen uw gegevens nooit. Wij delen gegevens uitsluitend met:

• Supabase Inc. (VS, EU-serverlocatie via AWS eu-west-1): hosting van database en authenticatie — DPA aanwezig, Standard Contractual Clauses van toepassing
• Vercel Inc. (VS): hosting van de website — DPA aanwezig, alleen geaggregeerde analytics
• Portwest / Delta Plus: leveringsadressen voor orderafhandeling — strikt beperkt tot noodzakelijke bestelgegevens
• Resend / Postmark (e-mailprovider): verzending van transactionele e-mails — geen marketing, DPA aanwezig

Alle verwerkers zijn gebonden aan een verwerkersovereenkomst en mogen uw gegevens niet voor eigen doeleinden gebruiken.

7. Uw rechten

Onder de AVG heeft u de volgende rechten:

• Recht op inzage — u kunt opvragen welke gegevens wij van u verwerken
• Recht op rectificatie — onjuiste gegevens kunnen worden gecorrigeerd
• Recht op verwijdering ("recht op vergetelheid") — u kunt verzoeken uw gegevens te wissen
• Recht op beperking van verwerking — in bepaalde omstandigheden kunt u verwerking laten beperken
• Recht op dataportabiliteit — u kunt een exportbestand van uw gegevens opvragen
• Recht van bezwaar — u kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang
• Recht om toestemming in te trekken — voor verwerking op basis van toestemming (marketing)

Verzoeken worden binnen 30 dagen behandeld. Zie de GDPR-pagina voor de procedure.

8. Beveiliging

• Alle verbindingen zijn TLS 1.2+ versleuteld (HTTPS)
• Wachtwoorden worden nooit opgeslagen — authenticatie via Supabase Auth (bcrypt)
• Row Level Security (RLS) actief op alle Supabase-tabellen met gebruikersdata
• API-sleutels worden nooit in de frontend opgenomen
• Jaarlijkse OWASP-beveiligingsaudit
• Datalekken worden binnen 72 uur gemeld aan de GBA conform art. 33 AVG

9. Cookies

Zie ons cookiebeleid voor een volledig overzicht van de cookies die wij plaatsen.

10. Contact en klachten

Bent u niet tevreden met onze afhandeling? U heeft het recht een klacht in te dienen bij de Belgische Gegevensbeschermingsautoriteit (GBA):

• Website: gegevensbeschermingsautoriteit.be
• Adres: Drukpersstraat 35, 1000 Brussel
• E-mail: contact@apd-gba.be