Privacyverklaring

Twee rollen

Voor bezoekers van deze website en houders van een Cloudpliant-account zijn wij verwerkingsverantwoordelijke: wij bepalen hoe accountgegevens (naam, e-mail, inloggegevens) worden gebruikt.

Voor de personen die onze klanten screenen (hun cliënten en UBO's) zijn wij verwerker: de klant, de Wwft-instelling, is verantwoordelijke en geeft ons via het product instructies. Haar grondslag is doorgaans de wettelijke verplichting van art. 6 lid 1 sub c AVG die uit de Wwft volgt. Verzoeken over deze gegevens richt je aan de instelling die je heeft gescreend; wij ondersteunen haar op basis van onze verwerkersovereenkomst.

Wat wij verwerken

• Accountgegevens: naam, e-mailadres, wachtwoord-hash, gekoppelde OAuth-identiteiten (Google, Exact Online, HubSpot).
• Screeninggegevens (als verwerker): namen, geboortedata, land, KvK-gegevens, resultaten uit het insolventieregister, resultaten uit het curatele- en bewindregister (de maatregel, de data en de benoemde vertegenwoordiger, nooit de grond waarop hij is ingesteld), sanctie-/PEP-matchresultaten en de rapporten die daaruit worden opgebouwd.
• Identiteitsverificatiegegevens (als verwerker, alleen als jouw organisatie digitale identiteitsverificatie gebruikt): de gegevens die de gekozen methode bevestigt, zoals naam, geboortedatum, adres of documentnummer, en het verificatieresultaat. Nooit de documentbeelden of biometrische gegevens zelf.
• Technische gegevens: serverlogs (IP-adres, tijdstip), kort bewaard voor beveiliging en misbruikpreventie, en bezoekcijfers van deze website (gelezen pagina's, aangeklikte knoppen, browser en land), gemeten op onze eigen servers zonder cookie en zonder profiel.

Waar en hoe lang

Alle productiedata wordt binnen de Europese Unie opgeslagen. Accountgegevens bewaren we zolang je account bestaat. Screeninggegevens worden bewaard volgens de bewaartermijn die de verantwoordelijke instelling instelt (standaard 5 jaar, het Wwft-minimum van art. 33) en daarna automatisch verwijderd.

Subverwerkers

• Hetzner Online GmbH (Duitsland, EU): hosting van applicatie en database, en documentopslag (ISO 27001-gecertificeerde datacenters)
• OpenSanctions Datenbanken GmbH (Duitsland, EU): matching tegen sanctie- en PEP-lijsten
• Brevo (Frankrijk, EU): transactionele e-mail (verificatie, alerts, uitnodigingen)
• Didit Identity Spain, S.L. (Spanje, EU; verwerking in een EU-regio): digitale identiteitsverificatie via een scan van het identiteitsbewijs met een liveness-check. De biometrische vergelijking vindt plaats bij deze subverwerker; Cloudpliant bewaart alleen de uitkomst en de bevestigde gegevens, nooit de beelden. Alleen ingeschakeld als jouw organisatie digitale identiteitsverificatie gebruikt.
• CM.com (Nederland, EU): identiteitsbevestiging via de eigen bank van de cliënt of itsme (iDIN): naam, geboortedatum en adres zoals bevestigd door de bank. Alleen ingeschakeld als jouw organisatie digitale identiteitsverificatie gebruikt.
• Authologic sp. z o.o. (Polen, EU): broker voor identiteitsverificatie (bank, Europese eID of identiteitsbewijs). Alleen ingeschakeld als jouw organisatie digitale identiteitsverificatie gebruikt.

Cookies

De applicatie plaatst één strikt noodzakelijke cookie, de inlogsessie, plus een paar kleine voorkeuren die je browser onthoudt. De marketingsite plaatst helemaal niets op je apparaat en onze bezoekcijfers draaien op onze eigen servers zonder cookies, daarom zie je ook geen cookiebanner. In de cookieverklaring staan de details.

Jouw rechten

Je kunt je accountgegevens altijd inzien, corrigeren of verwijderen via Instellingen of via privacy@cloudpliant.com. Let op: transparantierechten van gescreende personen kunnen beperkt zijn waar de Wwft een tipping-off-verbod kent (art. 23 AVG). Klachten kun je indienen bij de Autoriteit Persoonsgegevens.