Privacyverklaring

1. Wie zijn wij

TransferGuard is een handelsnaam van PVG Technologies B.V., gevestigd in Hoef en Haag, ingeschreven bij de Kamer van Koophandel onder nummer 99645939. U bereikt ons via info@transferguard.eu. De volledige bedrijfsgegevens staan op de pagina Wie zijn wij.

Wij hebben geen functionaris voor gegevensbescherming (FG) aangesteld. Met vragen over privacy kunt u terecht bij info@transferguard.eu.

2. Onze rollen

Wij verwerken persoonsgegevens in verschillende rollen. Welke rol geldt, bepaalt wie u kunt aanspreken.

Voor de rol als verwerker geldt de verwerkersovereenkomst. Een gebruiker gaat daarmee akkoord bij het aanmaken van een account. TransferGuard is er alleen voor bedrijven en beroepsbeoefenaars in de Europese Unie; consumenten kunnen geen account aanmaken.

3. Bezoekers van de website

Wij plaatsen op de website geen advertentie-, tracking- of analysecookies en gebruiken geen diensten van derden voor bezoekersstatistieken.

• Technische verzoekgegevens. Bij elk bezoek ontvangt onze server uw IP-adres, het opgevraagde adres, tijdstip en browsergegevens. Dat is nodig om de pagina te tonen en misbruik te beperken (bijvoorbeeld het begrenzen van het aantal verzoeken per minuut). Grondslag: gerechtvaardigd belang bij een werkende en veilige website (art. 6 lid 1 onder f AVG). Onze webserver houdt geen logboek bij van alle bezoeken. Bij fouten en beveiligingsgebeurtenissen schrijft onze applicatie technische meldingen weg, soms met een IP-adres. Die meldingen blijven op onze eigen server en alleen onze beheerders kunnen ze inzien. Wij bewaren deze meldingen 30 dagen.
• Statistieken. Om te zien welke pagina's worden bezocht en waar bezoekers vandaan komen, meten wij bezoekersstatistieken met software die op onze eigen server draait. Er gaat niets naar derden en wij plaatsen er geen cookies voor. Wij meten alleen bezoeken aan onze openbare pagina's, zoals de homepage, de prijzen en de blog, en niet de pagina's waar u bestanden opent of uw account gebruikt. Per bezoek slaan wij op: de bezochte pagina, de verwijzende website (bij een andere site alleen het domein), tijdstip, browser, besturingssysteem, soort apparaat, schermgrootte, taal, en het land, de regio en de plaats die onze server uit uw IP-adres afleidt. Uw IP-adres zelf slaan wij niet op. Om bezoeken binnen een maand te kunnen tellen, maakt de software een onomkeerbare sleutelwaarde van uw IP-adres en browser, met een sleutel die elke maand wisselt. Stuurt uw browser het signaal 'Do Not Track', dan meten wij niets. Grondslag: gerechtvaardigd belang bij het verbeteren van de website (art. 6 lid 1 onder f AVG). Wij bewaren deze gegevens 25 maanden.
• Contact. Stuurt u ons een bericht via het contactformulier of per e-mail, dan gebruiken wij uw naam, e-mailadres, eventueel uw bedrijf, het onderwerp en uw bericht om te antwoorden. Bent u ingelogd, dan zien wij ook bij welk account en kantoor het bericht hoort. Om misbruik van het formulier te beperken, bewaren wij een onomkeerbare sleutelwaarde van uw IP-adres, niet het adres zelf. Grondslag: gerechtvaardigd belang, of de uitvoering van een overeenkomst als u klant bent. Wij bewaren de correspondentie tot 2 jaar na het laatste bericht.

Zie hoofdstuk 13 voor de gegevens die de website in uw browser opslaat.

Vragen om feedback. Heeft u een gratis account, dan vragen wij u in de eerste weken hooguit een paar keer per e-mail wat u van TransferGuard vindt, of wat u tegenhield: een dag na het aanmelden, na 3 dagen als u nog niets heeft verstuurd, en na 30 dagen zonder gebruik. Hooguit één mail per 14 dagen. Uw antwoord gebruiken wij om de dienst te verbeteren. Grondslag: gerechtvaardigd belang (art. 6 lid 1 onder f AVG). In elke mail staat een link om u af te melden.

Korte enquête. Soms vragen wij op de website of in de app of u drie korte vragen wilt beantwoorden, bijvoorbeeld waarvoor u TransferGuard zoekt of hoe waarschijnlijk het is dat u ons aanraadt. Meedoen is vrijwillig. Wij bewaren uw antwoorden, een eventuele toelichting, de pagina, de aanleiding, of u een telefoon of computer gebruikt, de taal en een willekeurig nummer uit uw browser. Wij bewaren geen IP-adres en vragen geen naam of e-mailadres. Bent u ingelogd, dan koppelen wij de antwoorden aan uw account, zodat wij u niet nog eens vragen. Wij bewaren de antwoorden 24 maanden. Grondslag: gerechtvaardigd belang bij het verbeteren van de dienst (art. 6 lid 1 onder f AVG).

4. Gebruikers en medewerkers

Als verwerkingsverantwoordelijke verwerken wij de volgende gegevens van gebruikers en van medewerkers van bedrijfsaccounts:

• Account: voornaam, achternaam, e-mailadres, of het e-mailadres is bevestigd, eventueel bedrijfsnaam, wachtwoord (alleen als bcrypt-hash), taalvoorkeur en, bij een bedrijfsaccount, uw rol en uitnodigingen.
• Bedrijfsaccount: juridische naam, eventueel KVK-nummer, weergavenaam, het eigen adres (subdomein), logo en huisstijlkleur.
• Tweestapsverificatie: gegevens van de authenticator-app (TOTP), toegangssleutels (openbare sleutel) en herstelcodes. Tweestapsverificatie is verplicht voor elke medewerker van een bedrijfsaccount.
• Inloggen en sessies: tijdstip, IP-adres, user agent, browser, besturingssysteem, soort apparaat, geslaagd of niet, reden van mislukken en of tweestapsverificatie is gebruikt. Wij bepalen geen locatie: er gaat geen IP-adres naar een geolocatiedienst en wij leiden geen land of plaats af. Browser, besturingssysteem en soort apparaat halen wij uit de user agent op onze eigen server. Bij actieve sessies bewaren wij ook IP-adres, user agent en laatst gebruikt. Om u te waarschuwen bij inloggen vanaf een nieuw apparaat bewaren wij per account een onomkeerbare sleutelwaarde (HMAC) van een willekeurige code uit een cookie in uw browser, met browser en besturingssysteem zonder versie en de datum van eerste en laatste gebruik; na 400 dagen zonder gebruik vervalt die. Het inloglogboek bewaren wij 24 maanden.
• Akkoord: tijdstip, IP-adres en versies van de voorwaarden, de verwerkersovereenkomst en deze privacyverklaring die u bij het aanmaken van uw account accepteerde.
• Gebruik: per kalendermaand het aantal transfers, het volume aan uploads, de actieve opslag en de gebruikte identiteitscontroles, om de limieten van uw abonnement toe te passen.
• Handelingen: het logboek legt vast welke gebruiker (via een intern nummer) een transfer maakte, verstuurde of introk, een rapport opvroeg of een instelling wijzigde.
• Badge Geverifieerde afzender: laat u uw eigen identiteit controleren (gratis, 1 keer per geldigheidsperiode), dan bewaren wij uw naam zoals die op uw identiteitsbewijs staat, de datum van de controle, de vervaldatum van de badge en de status van mislukte pogingen. Wij bewaren geen foto's, geen documentnummer, geen geboortedatum en geen burgerservicenummer. Uw ontvangers zien uw naam van het identiteitsbewijs en de maand van de controle, in de uitnodiging en op de pagina waar zij uw bestanden openen. Dat leest u vóór de controle. U kunt de badge zelf verwijderen. In het rapport van een transfer staat de datum van uw controle als u op het moment van versturen een geldige badge had. De controle zelf verloopt via onze verificatiepartner Didit, zoals beschreven in hoofdstuk 6.
• E-mail: servicemails (bijvoorbeeld een bevestigingscode, een melding dat uw bestanden zijn ontvangen, uitnodigingen en herinneringen) en een verzendlogboek met tijdstip, soort mail, taal, status en berichtnummer van de verzender, zonder inhoud.

Doelen en grondslagen: het leveren van de dienst en het beheren van het account (uitvoering van de overeenkomst, art. 6 lid 1 onder b AVG); beveiliging, het voorkomen van misbruik en het kunnen aantonen van wie wat deed (gerechtvaardigd belang, art. 6 lid 1 onder f AVG). Voor de badge Geverifieerde afzender zie hoofdstuk 7.

5. Abonnement en betalen

Voor het abonnement Certified Delivery rekenen wij per maand vooraf af, per bedrijfsaccount. Daarvoor verwerken wij:

• Betaalmethode: klantnummer en machtiging bij onze betaaldienstverlener, soort betaalmethode, merk en de laatste vier cijfers van de kaart of een gemaskeerd rekeningnummer of e-mailadres. Volledige kaartgegevens ontvangen of bewaren wij niet; die verwerkt de betaaldienstverlener.
• Factuurgegevens: naam, adres, postcode, plaats, land, KVK- of handelsregisternummer en btw-nummer, met de uitkomst van de controle van het btw-nummer in het VIES-systeem van de Europese Commissie (status, datum, raadplegingsnummer en geregistreerde naam).
• Abonnement en betalingen: uw akkoord met het abonnement (wie en wanneer), of het abonnement automatisch verlengt, per betaalde maand de begin- en einddatum, het bedrag, de btw-behandeling en de betaalstatus, en een eventuele gratis periode (bijvoorbeeld het lanceringsaanbod) met begin- en einddatum.

Grondslagen: uitvoering van de overeenkomst (art. 6 lid 1 onder b AVG) en de wettelijke bewaarplicht voor de administratie (art. 6 lid 1 onder c AVG, art. 52 Algemene wet inzake rijksbelastingen).

6. Ontvangers van bestanden

Stuurt iemand u bestanden via TransferGuard, of vraagt iemand u om bestanden, dan is die afzender verwerkingsverantwoordelijke. De afzender bepaalt hoe u toegang krijgt en of een identiteitscontrole nodig is. TransferGuard verwerkt uw gegevens in opdracht van de afzender. Voor de herbruikbare identiteit, de toegangssleutel en de badge Geverifieerd, verderop in dit hoofdstuk, zijn wij zelf verwerkingsverantwoordelijke, met uw toestemming (zie hoofdstuk 2).

Wat de afzender invoert

• Uw e-mailadres, als de afzender kiest voor een e-mailcode of een identiteitscontrole. Bij toegang voor iedereen met de link voert de afzender geen gegevens van u in.
• Uw mobiele nummer, als de afzender kiest voor E-mail en sms. U krijgt de link dan per e-mail en de code per sms op dat nummer. Wij bewaren het nummer versleuteld en tonen het alleen gemaskeerd (bijvoorbeeld +31 6 •••• 12 34).
• Bij een identiteitscontrole: uw naam en eventueel uw geboortedatum, om die te vergelijken met uw identiteitsbewijs. De geboortedatum die de afzender invoert, bewaren wij versleuteld en wissen wij na de uitslag, of als de transfer wordt ingetrokken of verloopt.
• Eventueel een korte toelichting voor u (ten hoogste 300 tekens, zonder links of telefoonnummers). Die toelichting wordt niet in de browser versleuteld; wij tonen hem in de uitnodiging en op de pagina waar u de bestanden opent. Wij wissen de toelichting samen met het rapport.

Bestanden ontvangen en downloaden

De bestanden en bestandsnamen worden in de browser van de afzender versleuteld. Standaard mailen wij u de link en bewaren wij de sleutel versleuteld op onze server tot u zich bevestigt met de e-mailcode of de identiteitscontrole. Kiest de afzender ervoor de link zelf te delen, dan staat de sleutel alleen in die link en komt hij nooit op onze server; alleen die route is end-to-end versleuteld. Wij zien niet de inhoud of de namen van de bestanden.

Wel verwerken wij: uw e-mailadres, de tijdstippen van de stappen, de grootte van de bestanden en een SHA-256-vingerafdruk per bestand. Als uw browser een bestand volledig heeft ontsleuteld en gecontroleerd, bewaren wij versleuteld uw IP-adres en uw browser en soort apparaat (zoals Safari op een iPhone). Die gegevens staan in het rapport voor de afzender.

Bestanden aanleveren

Vraagt een bedrijf u om bestanden, dan bevestigt u uw e-mailadres met een code en uploadt u de bestanden op een pagina in de huisstijl van dat bedrijf. Ook dan worden de bestanden en bestandsnamen in uw browser versleuteld, voordat ze onze server bereiken.

Identiteitscontrole

Vraagt de afzender om een identiteitscontrole, dan maakt u in de browser een foto van uw identiteitsbewijs en een selfie. Onze verificatiepartner Didit controleert het identiteitsbewijs, of er een levend persoon voor de camera zit (live-controle) en of uw gezicht overeenkomt met de foto op het document, en analyseert apparaat en IP-adres. Voordat de controle start, ziet u een toestemmingsstap die uitlegt wat er gebeurt en naar deze privacyverklaring verwijst. Voor de doelen waarvoor Didit zelf verantwoordelijk is, geldt de privacyverklaring van Didit. U heeft per transfer ten hoogste 3 pogingen.

Bij de gezichtsvergelijking worden biometrische gegevens verwerkt. Dat is een bijzondere categorie persoonsgegevens (art. 9 AVG). Dat gebeurt alleen met uw uitdrukkelijke toestemming (art. 9 lid 2 onder a AVG). Die vragen wij namens de afzender in de toestemmingsstap vóór de controle. Zonder uw toestemming start de controle niet; u kunt de afzender dan vragen de bestanden op een andere manier te sturen.

Na een geslaagde controle bewaren wij versleuteld: uw naam, uw geboortedatum, de soort van uw identiteitsbewijs, het documentnummer en het land van afgifte, zoals die op het document staan. Die gegevens staan in het rapport dat de afzender kan downloaden. Met het documentnummer kan de afzender bij fraude aangifte doen. Uw burgerservicenummer, uw nationaliteit en de foto's van uw document en gezicht bewaren wij niet. Dat leest u ook vóór de controle. Zodra de definitieve uitslag binnen is, laten wij de sessie bij Didit verwijderen.

Herbruikbare identiteit en toegangssleutel

Na een geslaagde controle vragen wij apart of u uw identiteit wilt bewaren voor volgende keren. Dat is vrijwillig: zonder die keuze opent u het huidige bestand gewoon. Kiest u ervoor, dan bewaren wij uw naam, uw geboortedatum, de soort van uw identiteitsbewijs en het land van afgifte 1 jaar versleuteld bij uw e-mailadres, en stelt u een toegangssleutel in. Het documentnummer bewaren wij hiervoor niet. Dat doen wij als verwerkingsverantwoordelijke, met uw toestemming (art. 6 lid 1 onder a AVG), omdat u deze gegevens bij meerdere afzenders kunt gebruiken. Uw e-mailadres staat daar niet leesbaar bij, alleen als onomkeerbare sleutelwaarde (HMAC). Uw vingerafdruk of gezicht blijft voor de toegangssleutel op uw eigen apparaat; die ontvangen wij niet. Opent u daarna een transfer van een andere afzender, dan ziet die afzender in het rapport uw naam, uw geboortedatum, de soort document, het land van afgifte en de datum van uw controle. U kunt uw toestemming altijd intrekken: via de link Bewaarde identiteit verwijderen onderaan onze e-mails aan u, of op de pagina waar u bestanden opent. Wij wissen de gegevens en uw toegangssleutels dan direct.

Badge Geverifieerd voor ontvangers

Is uw identiteitscontrole bij een transfer gelukt, dan krijgt uw e-mailadres de badge Geverifieerd. Vult een andere afzender later uw e-mailadres in, dan ziet die afzender de badge en de maand van uw laatste controle. Die afzender ziet uw naam, geboortedatum en andere gegevens niet. Ook in de lijst van eigen transfers van een afzender staat de badge bij uw e-mailadres.

Kiest u ervoor uw identiteit te bewaren, dan kunt u daarbij ook het vinkje Laat afzenders zien dat u geverifieerd bent aanzetten. Het staat standaard uit; zonder uw keuze ziet geen andere afzender de badge. Later kan dat ook via de link Badge verbergen onderaan onze e-mails aan u. Die link werkt zonder account en u kunt de badge daar ook weer aanzetten. Wij bewaren of de badge aan of uit staat en wanneer u dat wijzigde. Om het massaal opvragen van adressen te beperken, kan een afzender maximaal 60 adressen per uur opzoeken. Het tonen van de badge aan andere afzenders doen wij als verwerkingsverantwoordelijke, op basis van uw toestemming. U kunt die op elk moment intrekken door de badge te verbergen.

Logboek en e-mail

Elke stap komt in een logboek met tijdstempels, zonder namen of e-mailadressen (alleen interne nummers). E-mails aan u, zoals een uitnodiging of een code, versturen wij via onze e-maildienst; in het verzendlogboek staat alleen een gemaskeerd e-mailadres. Een code per sms versturen wij via dezelfde dienst. In ons eigen sms-logboek staan geen telefoonnummer en geen code, alleen het tijdstip en of de sms is verstuurd.

7. Doelen en grondslagen als verwerkingsverantwoordelijke

Waar wij ons baseren op gerechtvaardigd belang, kunt u bezwaar maken (zie hoofdstuk 14). Heeft u toestemming gegeven, dan kunt u die intrekken.

8. Geautomatiseerde besluitvorming

De identiteitscontrole is geautomatiseerd: de uitslag van onze verificatiepartner bepaalt of u de bestanden krijgt. Dat is een geautomatiseerd besluit in de zin van artikel 22 AVG. Het gebeurt alleen met uw uitdrukkelijke toestemming, die u geeft in de toestemmingsstap vóór de controle (art. 22 lid 2 onder c AVG).

Is de controle afgewezen, dan kunt u het opnieuw proberen, tot 3 keer per transfer. Klopt de uitslag volgens u niet, dan kunt u op de pagina direct vragen om een beoordeling door een mens. De afzender krijgt dat verzoek, bekijkt zelf uw situatie en kan de bestanden op een andere manier geven. Zo beslist altijd een mens over een alternatief. U kunt de uitslag ook betwisten en uw standpunt geven via info@transferguard.eu.

Wij nemen geen ander besluit over u. Een badge is geen oordeel over een persoon.

9. Ontvangers en subverwerkers

Wij verkopen geen persoonsgegevens. Wij delen gegevens alleen met partijen die nodig zijn voor de dienst:

Voor afzenders zijn Didit, Hetzner, Cloudflare en Brevo subverwerkers voor de gegevens van ontvangers. Sectigo ontvangt geen persoonsgegevens. Mollie is geen subverwerker: Mollie treedt voor betaalgegevens op als zelfstandige verwerkingsverantwoordelijke en verwerkt alleen gegevens van het bedrijf zelf. Facturen maken wij in onze boekhouding bij Moneybird en sturen wij u per e-mail. Moneybird verwerkt alleen gegevens van betalende bedrijven, niet van ontvangers.

Didit treedt volgens de eigen privacyverklaring voor een aantal eigen doelen op als zelfstandige verwerkingsverantwoordelijke: beveiliging, misbruikpreventie, de werking van de eigen dienst, auditlogboeken, wettelijke verplichtingen, het trainen van fraudemodellen en rechtsvorderingen. Wij hebben het gebruik van onze verificatiegegevens voor training uitgezet.

Wij kunnen gegevens verstrekken als een wet of een bevoegde instantie dat verplicht.

10. Gegevens buiten de Europese Economische Ruimte

Onze server, database, bestandsopslag en back-ups staan in de EU. Toch kunnen gegevens buiten de EER terechtkomen:

• Cloudflare. De bestanden staan in de EU-jurisdictie van R2. Cloudflare, Inc. is een Amerikaanse onderneming en verzoeken naar de opslag kunnen buiten de EU worden afgehandeld. Wij beloven daarom EU-opslag, geen verwerking uitsluitend in de EU. De bestanden en back-ups die wij daar opslaan zijn versleuteld. Cloudflare is gecertificeerd onder het EU-VS Data Privacy Framework; daarnaast gelden de standaardcontractbepalingen van de Europese Commissie.
• Didit. Didit verwerkt in de EU, in Ierland. Schakelt Didit een subverwerker buiten de EER in, dan gelden waar nodig de standaardcontractbepalingen van de Europese Commissie uit 2021.
• Brevo. Brevo host e-mail en sms in de EU, maar subverwerkers van Brevo kunnen gegevens in de Verenigde Staten verwerken. Daarvoor gelden het EU-VS Data Privacy Framework en standaardcontractbepalingen.

11. Bewaartermijnen

12. Beveiliging

Wij nemen onder meer deze maatregelen:

• Alle verbindingen met de website en de dienst lopen via TLS.
• Bestanden en bestandsnamen worden in de browser versleuteld. Bij automatisch versturen bewaren wij de sleutel versleuteld op onze server, gebonden aan één transfer, tot de ontvanger zich bevestigt; deelt de afzender de link zelf, dan komt de sleutel nooit op onze server en is de overdracht end-to-end versleuteld.
• Gevoelige gegevens bij een transfer (de gegevens van de identiteitscontrole, het mobiele nummer bij een code per sms, IP-adres en apparaat bij ontvangst, en de bewaarde sleutel) versleutelen wij op de server met AES-256-GCM. Dit is versleuteling op de server, geen end-to-end-versleuteling: onze systemen kunnen deze gegevens ontsleutelen om de dienst te leveren.
• Tweestapsverificatie (authenticator-app of toegangssleutel) is verplicht voor iedere medewerker van een bedrijfsaccount en voor onze beheerders.
• Wachtwoorden bewaren wij alleen als bcrypt-hash; na herhaald foutief inloggen wordt een account tijdelijk vergrendeld en het aantal verzoeken is begrensd.
• Bedrijfsaccounts zijn in de applicatie van elkaar gescheiden: een medewerker ziet alleen transfers van het eigen bedrijf.
• Het logboek is een hashketen die de database alleen laat aanvullen, met onafhankelijke tijdstempels volgens RFC 3161.
• Ons beheerscherm toont geen gegevens van ontvangers; een technische controle weigert antwoorden die zulke gegevens bevatten.

Geen maatregel is volledig waterdicht. Vermoedt u een beveiligingsprobleem, meld het dan via info@transferguard.eu.

13. Cookies en opslag in uw browser

Op onze eigen pagina's gebruiken wij alleen functionele cookies en browseropslag die nodig zijn voor de dienst. Daarvoor is geen toestemming nodig. Er zijn geen advertentie- of trackingcookies. Het verificatievenster van Didit valt hierbuiten; zie hieronder.

Op de pagina voor de identiteitscontrole laden wij het verificatievenster van Didit. In dat venster zet Didit eigen cookies en browseropslag: een apparaat-id en een kenmerk van uw apparaat om fraude te voorkomen, en voor eigen doelen van Didit ook productanalyse (PostHog, met mogelijk een opname van de sessie en korte enquêtes) en foutmonitoring (Sentry, ook met verwerking in de Verenigde Staten). Wij hebben daar geen invloed op; Didit is daarvoor zelf verantwoordelijk. Meer leest u in de privacyverklaring van Didit.

14. Uw rechten

U heeft het recht op inzage, rectificatie, verwijdering, beperking van de verwerking, overdraagbaarheid van gegevens en bezwaar tegen verwerking op grond van gerechtvaardigd belang. Heeft u toestemming gegeven, dan kunt u die intrekken.

• Heeft iemand u bestanden gestuurd of om bestanden gevraagd? Richt uw verzoek aan die afzender; die is verantwoordelijk. Komt uw verzoek bij ons binnen, dan sturen wij het zonder onnodige vertraging door naar de afzender en helpen wij bij de afhandeling. Voor uw herbruikbare identiteit, toegangssleutel en badge Geverifieerd zijn wij zelf verantwoordelijk; daarvoor mailt u ons. De badge kunt u ook zelf verbergen via de link in onze e-mails.
• Uw account verwijderen. Log in, klik linksonder op uw naam, kies Uw account en daarna Account verwijderen. Wij wissen uw gegevens dan binnen 30 dagen, behalve facturen en betaalgegevens, die wij 7 jaar moeten bewaren.
• In alle andere gevallen mailt u naar info@transferguard.eu. Wij reageren binnen een maand. Wij kunnen u vragen aan te tonen wie u bent, zodat wij gegevens niet aan de verkeerde persoon geven.

15. Klachten

Bent u niet tevreden over hoe wij met uw gegevens omgaan, laat het ons dan eerst weten. U kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.

16. Wijzigingen

Wij passen deze verklaring aan als de dienst of de wet verandert. De datum bovenaan geeft de laatste versie aan. Bij belangrijke wijzigingen informeren wij gebruikers per e-mail.