Verwerkingsverantwoordelijke

1. Verwerkte gegevens

2. Rechtsgronden

Uitvoering overeenkomst (Art. 6(1)(b) AVG) · Wettelijke verplichting (Art. 6(1)(c) AVG) · Gerechtvaardigd belang (Art. 6(1)(f) AVG)

3. Bewaartermijnen

Accountgegevens: tot verwijdering + 12 maanden · Factuurgegevens: 7 jaar (wettelijke bewaarplicht) · Boetedocumenten en gegenereerde brieven: tot verwijdering van het dossier of uw account · Bezoekstatistieken (first-party): 30 dagen · Technische serverlogs: automatische rotatie

4. Doorgifte aan derden

Stripe (betalingen) · Mollie (betalingen tot september 2026) · Anthropic (AI-verwerking) · Combell (hosting EU/België) · Pingen (Pingen AG, Zwitserland — drukt en verstuurt uw brief wanneer u ons laat versturen; ontvangt daarvoor de brief zelf, met uw naam en adres en dat van de geadresseerde) · Brevo (Sendinblue SAS, Frankrijk, EU — verzending van transactionele e-mails; ontvangt uw e-mailadres en de berichtinhoud) · Open-Meteo (historische weergegevens — ontvangt enkel de coördinaten en datum/tijd van de overtredingslocatie, geen naam of andere persoonsgegevens) · Komoot GmbH (Photon-geocoder, Duitsland, EU — ontvangt de straat en gemeente van de overtreding als reserve wanneer Nominatim geen resultaat vindt, zonder naam) · Google (Google Ireland Ltd — analyse en advertentiemeting, enkel na toestemming; zie punt 7) · OpenStreetMap Foundation (kaartweergave — zie hieronder). Geen verkoop van persoonsgegevens.

Kaarten (OpenStreetMap)

Op de dossierpagina tonen wij — wanneer uw PV een locatie vermeldt — een kaart van de plaats van de vaststelling. Deze kaart maakt gebruik van kaarttegels van OpenStreetMap (OpenStreetMap Foundation, Verenigd Koninkrijk). Wanneer de kaart wordt geladen, verstuurt uw browser rechtstreeks een verzoek naar tile.openstreetmap.org. Daarbij worden uitsluitend de volgende technische gegevens gedeeld: uw IP-adres, user-agent (browser) en de coördinaten van het kaartbeeld dat u bekijkt. De locatie zelf wordt eenmalig server-side omgezet naar coördinaten via Nominatim (eveneens OSM-infrastructuur); deze opzoeking vertrekt vanaf onze server, niet vanaf uw apparaat. OpenStreetMap plaatst geen cookies en gebruikt geen tracking-pixels. Raadpleeg hun privacybeleid voor meer informatie.

Aanmelden via Google of Facebook

Als u ervoor kiest om in te loggen of te registreren via Google of Facebook, wordt u doorverwezen naar de betreffende aanbieder, die uw aanmelding verwerkt onder diens eigen privacybeleid. Na uw toestemming ontvangen wij van de aanbieder uitsluitend de gegevens die nodig zijn om uw account aan te maken en u te authenticeren: uw naam, uw e-mailadres en een uniek account-identificatienummer bij die aanbieder. Wij ontvangen géén wachtwoord en hebben geen toegang tot uw overige profiel, contacten of berichten. Deze gegevens worden uitsluitend gebruikt voor accountbeheer en authenticatie (Art. 6(1)(b) AVG). Google en Meta (Facebook) treden hierbij op als zelfstandige verwerkingsverantwoordelijken en kunnen gegevens buiten de EU verwerken onder passende waarborgen; raadpleeg hun respectieve privacybeleid. U kunt deze koppeling op elk moment ongedaan maken door uw account te verwijderen.

5. Uw rechten

Inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar. Verzoeken via info@pvresponse.be. Klacht indienen bij de Gegevensbeschermingsautoriteit.

7. Cookies & tracking

Wij gebruiken steeds strikt noodzakelijke cookies, waaronder een sessiecookie (pv_session) voor authenticatie en een cookie voor uw cookievoorkeuren (cookie_consent). Daarnaast gebruiken wij cookies voor analyse en advertentiemeting (Google) — deze worden uitsluitend geplaatst nadat u daarvoor uitdrukkelijk toestemming hebt gegeven via de cookiebanner. Zonder die toestemming worden geen Google-scripts geladen. Daarnaast tellen wij paginaweergaven uitsluitend geaggregeerd (aantal weergaven per pagina per dag), zonder cookies, zonder IP-adres en zonder enige identificatie — deze telling bevat geen persoonsgegevens. Raadpleeg ons Cookiebeleid voor meer informatie.

8. Geautomatiseerde verwerking & AI

Uw geüploade documenten worden verwerkt door kunstmatige intelligentie (Anthropic Claude) voor tekstherkenning (OCR) en het opstellen van bezwaarschriften. Er worden geen volledig geautomatiseerde beslissingen genomen met rechtsgevolgen in de zin van Art. 22 AVG. U behoudt te allen tijde de controle: het gegenereerde bezwaarschrift kan door u worden aangepast, aangevuld of verworpen alvorens het te gebruiken.

9. Gegevensbeveiliging

Wij nemen passende technische en organisatorische maatregelen om uw gegevens te beschermen:

• Bestandsversleuteling at rest — alle geüploade documenten (PV's, handtekeningen) en alle gegenereerde PDF's worden met AES-256-GCM versleuteld alvorens ze naar schijf worden geschreven. De sleutel staat uitsluitend in een omgevingsvariabele (niet in de database, niet in de broncode).
• Kolomversleuteling at rest voor gevoelige databankvelden — de volgende inhoud wordt vóór opslag op kolomniveau met AES-256-GCM versleuteld (prefix enc:v1:): rijksregisternummers, de volledige tekst van elk bezwaarschrift (inclusief versies en chat-bewerkingen), de tekst en HTML van elke ontvangen of verzonden antwoordbrief, de tekst en HTML van elk e-mailbericht dat via onze infrastructuur loopt, en het rijksregisternummer binnen elke identificatiebrief-indiening. Een databankdump zonder de afzonderlijke encryptiesleutel levert enkel niet-leesbare cijfertekst op.
• Beveiligde verbinding via HTTPS/TLS — alle externe API-oproepen (Anthropic, Stripe, Mollie, Brevo, Nominatim) gebruiken TLS met authenticatie in de request-header, nooit in de URL.
• Wachtwoorden worden gehasht opgeslagen met Argon2 (nooit in leesbare vorm).
• Sessiebeheer met automatische verloopmechanismen (24 uur).
• Toegangscontrole: alleen geautoriseerde medewerkers hebben toegang tot persoonsgegevens; toegangslogboeken worden 30 dagen bewaard.

10. Internationale doorgifte

Anthropic (Verenigde Staten) verwerkt documentinhoud voor AI-analyse. Deze doorgifte is gedekt door Standard Contractual Clauses (SCC) conform Art. 46 AVG. Google LLC (Verenigde Staten) verwerkt analyse- en advertentiemetingsgegevens (enkel na toestemming); deze doorgifte valt onder het EU-VS Data Privacy Framework. Stripe Payments Europe Ltd (betalingen, Ierland), Mollie (betalingen) en Combell (hosting) opereren binnen de EU/EER. Pingen AG (Zwitserland) drukt en verstuurt de brieven die u ons laat versturen; Zwitserland beschikt over een adequaatheidsbesluit van de Europese Commissie (26 juli 2000), waardoor deze doorgifte geen aanvullende waarborgen vereist. OpenStreetMap Foundation (Verenigd Koninkrijk) levert kaarttegels; het VK beschikt over een adequaatheidsbesluit van de Europese Commissie (28 juni 2021), waardoor deze doorgifte geen aanvullende waarborgen vereist.

11. Kinderen

Onze dienst is niet bedoeld voor personen jonger dan 18 jaar. Wij verzamelen niet bewust persoonsgegevens van minderjarigen. Indien u vaststelt dat een minderjarige gegevens heeft verstrekt, neem dan contact met ons op zodat wij deze kunnen verwijderen.

12. Melding van datalekken

In geval van een inbreuk op de beveiliging van persoonsgegevens stellen wij de bevoegde toezichthoudende autoriteit in kennis binnen 72 uur, overeenkomstig Art. 33 AVG. Indien het datalek een hoog risico inhoudt voor uw rechten en vrijheden, wordt u zonder onredelijke vertraging op de hoogte gebracht overeenkomstig Art. 34 AVG.

13. Wijzigingen van dit beleid

Wij kunnen dit privacybeleid van tijd tot tijd bijwerken. Bij wezenlijke wijzigingen stellen wij u per e-mail op de hoogte. Voortgezet gebruik van de dienst na kennisgeving geldt als aanvaarding van het gewijzigde beleid. De meest recente versie is steeds beschikbaar op pvresponse.be/privacy.

14. Contact

info@pvresponse.be