Privacybeleid

NAKO Agency („wij”, „ons”, „het Bedrijf”) treedt op als verwerkingsverantwoordelijke voor de persoonsgegevens die via deze website worden verzameld.

Website: nakoagency.com.

Dit privacybeleid geldt voor alle gebruikers wereldwijd, ongeacht hun locatie.

Wij zijn werkzaam in de volgende rechtsgebieden: Moldavië, Roemenië, Oekraïne, Polen, Duitsland, Italië, Rusland en Kazachstan.

Van toepassing zijnde regelgeving inzake gegevensbescherming: de Algemene verordening gegevensbescherming (AVG) voor de Europese Unie; wet nr. 195/2024 inzake de bescherming van persoonsgegevens (Moldavië); wet nr. 2297-VI inzake de bescherming van persoonsgegevens (Oekraïne).

Persoonsgegevens die u via formulieren verstrekt: naam, e-mailadres, telefoonnummer, Telegram-gebruikersnaam, bedrijfsnaam en projectomschrijving.

Automatisch verzamelde gegevens: IP-adres (door Google ingekort voor gebruikers in de EU — het inkorten vermindert de nauwkeurigheid, maar de gegevens blijven persoonsgegevens), browsertype, apparaatgegevens, bezochte pagina's en verwijzende URL.

Cookies: wij gebruiken noodzakelijke cookies en, alleen met uw toestemming, analytische cookies. Marketingcookies gebruiken wij niet. Zie ons cookiebeleid voor de details.

Diensten van derden die gegevens kunnen verzamelen: Google Analytics 4 en Microsoft Clarity (alleen met uw toestemming voor analyse) en Cloudflare Turnstile (botcontrole bij het inloggen).

Verwerking van formulierinzendingen, om op uw verzoek te reageren — rechtsgrondslag: op uw verzoek genomen precontractuele maatregelen (art. 6, lid 1, onder b, AVG). Toestemming voor marketingberichten staat hier los van (zie hieronder) en is geen voorwaarde voor ons antwoord.

Communicatie over projecten en diensten — grondslag: noodzaak voor de uitvoering van een overeenkomst (art. 6, lid 1, onder b, AVG).

Analyse van hoe de site wordt gebruikt, om die te verbeteren — rechtsgrond: uw toestemming (art. 6, lid 1, onder a, AVG). Zonder uw toestemming start de analyse niet, en u kunt die op elk moment intrekken, net zo eenvoudig als u die hebt gegeven.

Naleving van wettelijke verplichtingen — grondslag: wettelijke verplichting (art. 6, lid 1, onder c, AVG).

Marketingcommunicatie (uitsluitend met uw uitdrukkelijke toestemming) — grondslag: toestemming (art. 6, lid 1, onder a, AVG). U kunt uw toestemming op elk moment intrekken door ons te schrijven op hello@nakoagency.com; na de intrekking sturen wij u dergelijke berichten niet meer. De intrekking heeft geen gevolgen voor berichten die eerder zijn verzonden op basis van de gegeven toestemming. Uw toestemming voor marketingcommunicatie wordt pas geldig nadat u deze heeft bevestigd via de link in de e-mail die wij u sturen. Tot de bevestiging sturen wij u geen marketingcommunicatie; een onbevestigd verzoek verloopt na 7 dagen en wordt automatisch verwijderd.

Beveiligingslogboek (technische en activiteitsgegevens: het account dat de handeling uitvoerde, inclusief het e-mailadres, het IP-adres, de browser, de uitgevoerde handeling en het onderwerp ervan) — rechtsgrondslag: ons gerechtvaardigd belang om de dienst te beveiligen en misbruik en fraude te voorkomen (art. 6, lid 1, onder f, AVG). U kunt op elk moment bezwaar maken tegen deze verwerking om redenen die verband houden met uw specifieke situatie (art. 21 AVG). Dezelfde rechtsgrondslag, en hetzelfde recht van bezwaar, gelden voor de automatische botcontrole bij het inloggen (Cloudflare Turnstile), beschreven in de sectie ‘Delen van gegevens’.

IP-adres ter bescherming tegen misbruik. Wanneer u het auditformulier verstuurt, inlogt of een wachtwoordreset aanvraagt, gebruiken wij het IP-adres van uw apparaat om het aantal pogingen te beperken en onze dienst te beschermen tegen misbruik, zoals geautomatiseerde inzendingen of herhaalde pogingen om een wachtwoord te raden. De rechtsgrondslag is ons gerechtvaardigd belang om de dienst veilig te houden (art. 6, lid 1, onder f, AVG). Wij bewaren het IP-adres niet in leesbare vorm: wij bewaren alleen een pseudoniem dat daaruit wordt berekend met een geheime sleutel die apart wordt bewaard. Het pseudoniem wordt automatisch binnen uiterlijk 26 uur verwijderd. U kunt bezwaar maken tegen deze verwerking, zoals beschreven in het gedeelte over uw rechten.

Wij gebruiken twee categorieën cookies: noodzakelijk (altijd actief) en analytisch (alleen met uw toestemming).

Op onze website is Google Consent Mode v2 geïmplementeerd; de signalen voor advertenties blijven altijd uitgeschakeld.

Voordat u toestemming geeft, worden er geen niet-noodzakelijke cookies geplaatst.

U kunt uw cookievoorkeuren beheren via de cookiemelding die bij uw eerste bezoek verschijnt, of op elk moment via de link „Cookie-instellingen” in de voettekst van de website.

Zie onze pagina met het cookiebeleid voor een volledig overzicht van de cookies die wij gebruiken, hun doel en hun bewaartermijn.

Als u analytische cookies accepteert, gebruiken wij Google Analytics 4 en Microsoft Clarity om te begrijpen hoe de site wordt gebruikt: bezochte pagina's, de herkomst van het bezoek, het type apparaat en browser, het geschatte land dat uit het IP-adres wordt afgeleid en, via Clarity, sessie-opnames (klikken, scrollen, bewegingen). De grondslag is uw toestemming (art. 6, lid 1, onder a): zolang u die niet geeft, plaatsen de analysescripts geen enkele cookie en versturen zij geen enkele identificatie; u kunt de toestemming op elk moment intrekken via de cookiebanner, met onmiddellijke werking.

Wij gebruiken deze gegevens niet om u persoonlijk te identificeren, combineren ze niet met uw accountgegevens en gebruiken ze niet voor gepersonaliseerde advertenties.

De aanbieders zijn Google en Microsoft, die als onze verwerkers optreden. De gegevens kunnen buiten de Europese Unie worden doorgegeven, ook naar de Verenigde Staten. De doorgifte berust op de door de AVG voorziene waarborgen die elke aanbieder in zijn verwerkersvoorwaarden verklaart — een erkend beschermingskader en, bij gebreke daarvan, de door de Europese Commissie goedgekeurde modelcontractbepalingen. U kunt op elk moment een kopie van deze waarborgen opvragen, door ons te schrijven op hello@nakoagency.com.

Wanneer u inlogt in de klantomgeving, geldt daar, alleen met uw toestemming, een aanvullende meting van het gebruik, die apart wordt beschreven in het analysebeleid van de klantomgeving.

Wij verkopen uw persoonsgegevens onder GEEN ENKELE omstandigheid.

Wij delen gegevens met de volgende dienstverleners (verwerkers): Vercel Inc. (hosting, Verenigde Staten — beschermd door de modelcontractbepalingen van de EU); Resend Inc. (e-mailbezorging, Verenigde Staten — beschermd door de modelcontractbepalingen van de EU); Fastmail Pty Ltd (hosting van de mailbox van het bureau, waarin de melding van een nieuwe aanvraag binnenkomt en die uw contactgegevens kan bevatten; Verenigde Staten); Google (analyse) — gegevens kunnen buiten de Europese Unie worden verwerkt, ook in de Verenigde Staten, op basis van de doorgiftemechanismen van de aanbieder; Supabase Inc. (database en authenticatie — accounts en inloggen — in de Europese Unie, Frankfurt); Microsoft Corporation (Microsoft Clarity — gedragskaarten en sessie-opnames op de site, VS). Daarnaast gebruiken wij Sentry (foutmonitoring, met gegevens die in de Europese Unie worden gehost): voor klanten met een eigen account fouten van de applicatie; op de openbare website alleen fouten van onze eigen server, zonder uw IP-adres en zonder de inhoud van formulieren. In uw browser draait Sentry niet. Om het inloggen in de klantomgeving en in uw Nako ID-account tegen bots te beschermen, gebruiken wij daarnaast Cloudflare, Inc. (Cloudflare Turnstile, Verenigde Staten).

Botcontrole bij het inloggen. Wanneer u inlogt met een wachtwoord, een verificatiecode of inloglink aanvraagt, een account aanmaakt of uw wachtwoord herstelt, controleert Cloudflare Turnstile automatisch dat het verzoek niet van een bot komt. Daarvoor verwerkt Cloudflare uw IP-adres en technische signalen van uw browser en van het verzoek (bijvoorbeeld de User-Agent-header van de browser en kenmerken van de verbinding); Cloudflare heeft geen toegang tot wat u in het formulier invult. Rechtsgrondslag: ons gerechtvaardigd belang om accounts te beschermen tegen geautomatiseerde aanvallen en misbruik (art. 6, lid 1, onder f, AVG). Aan onze kant is de controle vluchtig: het resultaat is een token voor eenmalig gebruik dat na 5 minuten verloopt, en wij bewaren het niet. Cloudflare verwerkt deze signalen als onze verwerker; om zijn botdetectie te verbeteren treedt Cloudflare op als zelfstandige verwerkingsverantwoordelijke, onder zijn eigen Turnstile Privacy Addendum. De controle geldt voor elke aanmelding via Nako ID — het NAKO-account waarmee u inlogt in de klantomgeving en in de NAKO-apps die met Nako ID zijn verbonden.

Wij kunnen gegevens verstrekken aan bevoegde autoriteiten op rechtmatig verzoek.

De verwerking bij deze dienstverleners vindt plaats onder de verwerkersvoorwaarden die elk van hen publiceert. Wij beweren niet met elke dienstverlener een afzonderlijk ondertekende verwerkersovereenkomst te hebben.

Onze website draait bij Vercel Inc. (VS/EU). Wanneer u een formulier verstuurt, gaan uw gegevens naar onze e-mail ÉN worden ze vastgelegd in ons CRM-systeem, dat bij Supabase draait met de database in de Europese Unie (Frankfurt, eu-central-1). Aanvragen worden 24 maanden na het laatste contact bewaard en daarna automatisch verwijderd.

Diensten van derden en hun locatie: Vercel Inc. (VS/EU) — hosting en verwerking van formulieren tijdens doorgifte; Google — analyse (Google Analytics 4), verwerking buiten de EU mogelijk; Resend Inc. (VS) — e-mailbezorging; Fastmail Pty Ltd (VS) — mailbox van het bureau, waarin meldingen van aanvragen binnenkomen; Supabase Inc. (EU — Frankfurt) — database en authenticatie (accounts en inloggen); Microsoft Corporation (VS) — Microsoft Clarity, gedragskaarten en sessie-opnames; Cloudflare, Inc. (VS) — botcontrole bij het inloggen (Cloudflare Turnstile).

Waarborgen voor inwoners van de EU: waar wij met de dienstverlener modelcontractbepalingen van de EU hebben gesloten (Vercel, Resend), berust de doorgifte daarop; voor de overige dienstverleners gelden hun eigen doorgiftemechanismen. Cloudflare, Inc. verklaart te steunen op zijn certificering onder het EU-U.S. Data Privacy Framework (art. 45 AVG), en zijn verwerkersovereenkomst omvat daarnaast de modelcontractbepalingen van de EU (art. 46 AVG). Alle gegevens zijn tijdens doorgifte versleuteld (TLS 1.2 of hoger).

Voor inwoners van Moldavië, Oekraïne, Polen, Duitsland, Italië en Roemenië gelden de waarborgen van de AVG (verordening (EU) 2016/679) en de betreffende nationale wetgeving.

Als we samen aan een project werken, bewaren we de gegevens die uit die relatie voortkomen: uw naam, de contactgegevens die in het project zijn gebruikt, uw bedrijf (indien van toepassing), wat we wanneer hebben geleverd, facturen en bedragen, en de correspondentie over het project. We ontvangen ze van u tijdens de looptijd van de overeenkomst. We voegen geen gegevens uit andere bronnen toe.

Grondslagen: uitvoering van de overeenkomst (art. 6, lid 1, onder b, AVG); wettelijke verplichting tot het voeren van een administratie (art. 6, lid 1, onder c, AVG); ons gerechtvaardigd belang om de relatie vast te leggen en ons te verdedigen bij een geschil (art. 6, lid 1, onder f, AVG). Tegen verwerking op grond van gerechtvaardigd belang kunt u altijd bezwaar maken (art. 21 AVG). We gebruiken deze gegevens niet voor marketing.

We bewaren de gegevens zolang de overeenkomst loopt. Daarna bewaren we de boekhoudkundige stukken zolang de boekhoud- en belastingwetgeving van de Republiek Moldavië dat vereist, en de overige vastlegging van de relatie tot de verjaringstermijn voor vorderingen uit de overeenkomst is verstreken.

Alleen de medewerkers van NAKO Agency die met klanten werken hebben toegang tot deze gegevens, en Supabase Inc., de verwerker die onze database en authenticatie (accounts en inloggen) host, in de Europese Unie, Frankfurt.

Ingezonden formulieren: twee jaar bewaard vanaf de datum van inzending, daarna definitief verwijderd.

Analysegegevens: maximaal veertien maanden bewaard (het maximum bij standaard Google Analytics 4).

Cookies: de bewaartermijn verschilt per type; zie ons cookiebeleid voor de precieze duur.

Vastlegging van cookietoestemming: drie jaar bewaard, als bewijs van naleving van de AVG.

Verzoeken tot verwijdering van een account: er geldt een hersteltermijn van negentig dagen voordat de persoonsgegevens worden geanonimiseerd, zodat een account kan worden teruggezet als het verzoek per ongeluk is gedaan.

Beveiligingslogboek: 24 maanden bewaard, daarna automatisch verwijderd. De rechtsgrondslag staat in de sectie ‘Doeleinden en rechtsgrondslag’. Als u in deze periode om verwijdering van uw gegevens vraagt, kunnen we de vermeldingen bewaren die nodig zijn voor de instelling, uitoefening of onderbouwing van een rechtsvordering (art. 17, lid 3, onder e, AVG).

Verzoeken waarmee u uw rechten uitoefent (bijvoorbeeld op inzage of verwijdering): een niet-bevestigd of ongebruikt verzoek wordt 30 dagen nadat de bevestigingslink is verlopen automatisch verwijderd. Van een uitgevoerd verzoek bewaren wij alleen de registratie — het soort verzoek, een interne identificatie en de data waarop het is ontvangen, bevestigd en uitgevoerd, zonder uw e-mailadres — gedurende 3 jaar, als bewijs dat wij hebben gereageerd, en verwijderen die daarna automatisch. De rechtsgrondslag is ons gerechtvaardigd belang om te kunnen aantonen dat wij uw verzoek hebben uitgevoerd (art. 6, lid 1, onder f, AVG).

Wanneer u de website bezoekt of een e-mail opent die bronnen van onze servers laadt, registreert onze hostinginfrastructuur (Vercel en Supabase) automatisch technische gegevens: uw IP-adres, de datum en het tijdstip van het verzoek, de opgevraagde bron, het type browser of client en de responscode. Deze logs worden bij elk verzoek aangemaakt, zoals bij elke webserver.

Doel: de werking, beveiliging en stabiliteit van de dienst — probleemoplossing en het voorkomen en opsporen van misbruik en aanvallen. Rechtsgrond: ons gerechtvaardigd belang (art. 6, lid 1, onder f, AVG) bij een veilige werking van de dienst. Wij gebruiken deze logs niet voor profilering, reclame of om uw gedrag te meten.

Verwerkers en bewaartermijnen:

Vercel Inc. (hosting van de website en de applicatie): logs van verzoeken zijn ten hoogste 30 dagen beschikbaar.

Supabase Inc. (database en authenticatie — accounts en inloggen — in de Europese Unie, Frankfurt): logs van verzoeken aan de dienst zijn 90 dagen beschikbaar.

Sentry (foutrapportage): voor klanten met een eigen account technische gegevens over een fout, samen met een interne accountidentificatie; op de openbare website alleen technische gegevens over een fout van onze eigen server, zonder enige identificatie van de bezoeker. In beide gevallen zonder uw IP-adres; ze worden ten hoogste 90 dagen bewaard.

Dit zijn de termijnen waarin de logs voor ons beschikbaar zijn. Aanbieders kunnen bepaalde gegevens langer bewaren voor hun eigen beveiliging, overeenkomstig hun verwerkersovereenkomsten.

Alle gebruikers hebben het recht om: hun persoonsgegevens in te zien, rectificatie van onjuiste gegevens te vragen, verwijdering van hun gegevens te vragen, en hun toestemming voor de verwerking in te trekken.

Inwoners van de EU hebben op grond van de AVG daarnaast recht op: overdraagbaarheid van gegevens, beperking van de verwerking, bezwaar tegen de verwerking, en het recht niet te worden onderworpen aan uitsluitend geautomatiseerde besluitvorming. Toezichthouders van de rechtsgebieden waarin wij werkzaam zijn: ANSPDCP (Roemenië), UODO (Polen), BfDI (Duitsland), Garante per la protezione dei dati personali (Italië). U hebt te allen tijde het recht een klacht in te dienen bij de toezichthoudende autoriteit voor gegevensbescherming van het land waar u woont of werkt, of waar de vermeende inbreuk plaatsvond (art. 77 AVG).

Inwoners van Moldavië hebben op grond van wet nr. 195/2024 rechten die gelijkwaardig zijn aan die van de AVG. Toezichthouder: het Nationaal Centrum voor de Bescherming van Persoonsgegevens (NCPDP).

Inwoners van Oekraïne hebben op grond van wet nr. 2297-VI recht op: inzage, correctie en verwijdering van persoonsgegevens, en op het intrekken van hun toestemming. Toezichthouder: de Commissaris voor de Mensenrechten van het Oekraïense parlement (Ombudsman van Oekraïne).

Wilt u een van uw rechten uitoefenen, neem dan contact met ons op via hello@nakoagency.com. Wij reageren binnen dertig dagen na ontvangst van uw verzoek.

Alle gegevens worden tijdens doorgifte versleuteld met HTTPS/TLS.

Toegang tot persoonsgegevens is beperkt tot daartoe bevoegde medewerkers.

Wij voeren regelmatig beveiligingsbeoordelingen uit op onze systemen en processen.

Geen enkele manier van elektronische doorgifte of opslag is volledig veilig. Doet zich een inbreuk in verband met persoonsgegevens voor, dan stellen wij de betrokken gebruikers binnen 72 uur op de hoogte, zoals de AVG voorschrijft.

Wij richten ons niet tot minderjarigen en verzamelen hun gegevens niet bewust. Waar het recht van uw rechtsgebied toestemming van een ouder of voogd vereist, verwerken wij dergelijke gegevens niet zonder die toestemming. Verneemt u dat een minderjarige ons gegevens heeft verstrekt, schrijf dan naar hello@nakoagency.com en wij verwijderen ze.

Wij kunnen dit privacybeleid van tijd tot tijd bijwerken. Wijzigingen worden van kracht zodra ze op de website zijn gepubliceerd.

Bij ingrijpende wijzigingen worden gebruikers via een melding op de website geïnformeerd.

De datum van de laatste wijziging staat boven aan dit document.

Verwerkingsverantwoordelijke: NAKO Agency.

E-mail: hello@nakoagency.com.

Website: nakoagency.com.

Voor vragen die specifiek de AVG betreffen, schrijft u naar: hello@nakoagency.com.