Privacybeleid

1. Verwerkingsverantwoordelijke

NIS2Certify ("wij", "ons", "onze") is verantwoordelijk voor de verwerking van persoonsgegevens zoals beschreven in dit privacybeleid, in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG / EU-Verordening 2016/679, ook bekend als de GDPR). U kunt ons bereiken via privacy@nis2certify.org.

NIS2Certify
Doddegras 7, 3994NL Houten
KVK: 76172872

2. Welke gegevens verwerken wij

Wij verwerken de volgende categorieën persoonsgegevens:

• Accountgegevens: naam, emailadres, wachtwoord (versleuteld), organisatienaam
• Organisatiegegevens: bedrijfsnaam, KVK-nummer, BTW-nummer, adres, sector, aantal medewerkers
• Assessment-data: antwoorden op NIS2 compliance vragen, scores, compliance-niveaus
• Betalingsgegevens: factuuradres, abonnementstype (betalingsgegevens worden door Stripe verwerkt)
• Gebruiksgegevens: IP-adres, browsertype, paginabezoeken, tijdstip van toegang
• Vragen aan de NIS2-assistent: vragen die u aan onze NIS2-assistent stelt worden door OpenAI (via de API; niet gebruikt om modellen te trainen) verwerkt om het antwoord te genereren, en worden maximaal 90 dagen bewaard samen met een gehasht IP-adres om de kwaliteit van de antwoorden te verbeteren. Voer geen persoonsgegevens in uw vragen in
• Sessie-opnames: op onze publieke marketingpagina's (inclusief de gratis Quick Scan en de NIS2-assistent) nemen wij klikken, scrollgedrag en muisbewegingen op, samen met de opbouw van de pagina, als sessie-replays en heatmaps. Alle tekst op de pagina en alles wat u typt wordt gemaskeerd (het "strict"-niveau van Umami), zodat dit niet zichtbaar is in de opnames. In het ingelogde dashboard en de assessment-omgeving nemen wij nooit op. De opname start pas nadat u toestemming geeft via de cookiebanner

3. Doeleinden van verwerking

• Het aanmaken en beheren van uw account
• Het uitvoeren van NIS2 compliance assessments en het genereren van rapporten
• Het verwerken van betalingen en het beheren van abonnementen
• Het versturen van service-gerelateerde emails (uitnodigingen, rapporten, wachtwoord-resets)
• Het verbeteren van onze dienstverlening en het oplossen van technische problemen
• Het voldoen aan wettelijke verplichtingen

4. Rechtsgrondslag

Wij verwerken uw gegevens op basis van:

• Uitvoering van de overeenkomst: voor het leveren van onze diensten
• Gerechtvaardigd belang: voor het verbeteren van onze dienstverlening en beveiliging
• Wettelijke verplichting: voor fiscale en administratieve verplichtingen
• Toestemming: voor marketing-communicatie (indien van toepassing) en voor sessie-opnames op onze publieke marketingpagina's

5. Verwerkers en derden

Wij maken gebruik van de volgende verwerkers:

• Supabase (VS/EU): hosting van database en authenticatie
• Stripe (VS/EU): betalingsverwerking en abonnementsbeheer
• Resend (VS): verzending van transactionele emails
• Vercel/Hosting provider: hosting van de webapplicatie
• Google Analytics (VS/EU): websitestatistieken en gebruiksanalyse (alleen na uw toestemming)
• OpenAI Ireland Limited (Ierland): genereren van antwoorden voor de NIS2-assistent; gegevens kunnen in de Verenigde Staten worden verwerkt op basis van standaardcontractbepalingen of een adequaatheidsbesluit, conform de verwerkersovereenkomst van OpenAI
• Umami (zelf gehost, EU): sessie-opnames (replays en heatmaps) op onze publieke marketingpagina's, door NIS2Certify zelf gehost op een server in de EU via analytics.nis2certify.org (alleen na uw toestemming)

Met al onze verwerkers hebben wij verwerkersovereenkomsten gesloten conform de AVG.

6. Bewaartermijnen

• Accountgegevens: tot het account wordt verwijderd
• Assessment-data en rapporten: tot het account wordt verwijderd of tot 2 jaar na laatste gebruik
• Betalingsgegevens: 7 jaar na factuurdatum (wettelijke bewaarplicht)
• Logbestanden: maximaal 90 dagen
• Sessie-opnames (Umami): maximaal 30 dagen

7. Uw rechten

Op grond van de AVG heeft u de volgende rechten:

• Recht op inzage: u kunt opvragen welke gegevens wij van u verwerken
• Recht op rectificatie: u kunt onjuiste gegevens laten corrigeren
• Recht op verwijdering: u kunt verzoeken uw gegevens te verwijderen
• Recht op beperking: u kunt verzoeken de verwerking te beperken
• Recht op overdraagbaarheid: u kunt uw gegevens in een gangbaar formaat ontvangen
• Recht van bezwaar: u kunt bezwaar maken tegen bepaalde verwerkingen

U kunt uw rechten uitoefenen door contact met ons op te nemen via privacy@nis2certify.org. Wij reageren binnen 30 dagen op uw verzoek.

8. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om uw persoonsgegevens te beschermen tegen ongeoorloofde toegang, verlies of misbruik. Dit omvat onder meer versleuteling van gegevens in transit en in rust, toegangsbeheer op basis van rollen, en regelmatige beveiligingsaudits.

9. Cookies

Wij gebruiken strikt noodzakelijke cookies voor het functioneren van de applicatie, en analytics cookies (Google Analytics) die alleen worden geplaatst na uw uitdrukkelijke toestemming via de cookiebanner. Met dezelfde toestemming maken wij met Umami sessie-opnames op onze publieke marketingpagina's (zie sectie 2); daarvoor worden geen cookies geplaatst.

Lees ons volledige cookiebeleid voor meer informatie over hoe wij cookies gebruiken en hoe u deze kunt beheren.

10. Klachten

Indien u een klacht heeft over de verwerking van uw persoonsgegevens, kunt u contact met ons opnemen via privacy@nis2certify.org. U heeft ook het recht een klacht in te dienen bij een toezichthoudende autoriteit. Voor Nederland is dit de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl). Bent u gevestigd in een andere EU-lidstaat, dan kunt u ook een klacht indienen bij de toezichthouder in uw eigen land.