Privacybeleid

## 1. Wie is verantwoordelijk? MailEngine, de onderneming van Bram Lommers, is verantwoordelijk voor het gebruik van persoonsgegevens bij de eigen website, auditaanvragen en zakelijke contacten. De onderneming is ingeschreven als BLecom onder KvK-nummer 93193572. Adres: Bokkenheuvel 25, 5271 RX Sint-Michielsgestel, Nederland. Contact: bram@mailengine.agency, +31 6 2378 1504.

Bij werkzaamheden in opdracht van een klant kan MailEngine verwerker zijn. Voor het klantenbestand van die klant is de klant zelf doorgaans verantwoordelijk. Daarvoor maken we aparte verwerkingsafspraken.

2. Welke gegevens gebruiken we?

Bij een auditaanvraag vragen we je voornaam, merk of bedrijfsnaam, website, e-mailadres, WhatsApp-nummer en gemiddelde maandelijkse webshopomzet als bereik. Daarnaast gebruiken we het tijdstip van de aanvraag en de informatie die je daarna met ons deelt. Het omzetbereik helpt beoordelen welke verbeteringen bij jouw webshop passen.

Voor klanten verwerken we ook zakelijke contactgegevens, afspraken, factuurgegevens en informatie die nodig is voor de uitvoering. Voor beveiliging en werking kunnen technische gegevens zoals IP-adres, browserinformatie en serverlogs worden verwerkt. We vragen geen wachtwoorden via het auditformulier en vragen je geen bijzondere persoonsgegevens of onnodige klantgegevens te sturen.

Om dubbele aanvragen en misbruik te beperken, verwerken we het e-mailadres en telefoonnummer ook tot controlewaarden (hashes) met de aanvraagdag. Deze waarden zijn gepseudonimiseerd en worden niet gebruikt voor reclame of profilering. Een tweede aanvraag op dezelfde kalenderdag met hetzelfde e-mailadres of telefoonnummer kan automatisch worden geweigerd. Je kunt dan rechtstreeks contact met Bram opnemen. De openbare mailverbinding heeft geen functie om eerdere aanvragen of mailboxgegevens op te vragen.

3. Doelen en grondslagen

We behandelen je aanvraag, beoordelen je webshop en sturen een persoonlijke audit als video. We gebruiken e-mail en WhatsApp voor contact over de aanvraag en eventuele zakelijke vervolgstappen.

Als de betrokkene zelf een mogelijke contractspartij is, verwerken we noodzakelijke gegevens om op diens verzoek stappen te zetten voorafgaand aan een overeenkomst, of om die overeenkomst uit te voeren. Voor zakelijke contactpersonen die namens een andere onderneming handelen, baseren we noodzakelijk contact op ons gerechtvaardigde belang bij het behandelen van zakelijke verzoeken. We wegen dit belang af tegen de privacybelangen van de betrokkene en beperken gegevens en contact tot wat nodig is.

Beveiliging en beperkte technische logging dienen ons gerechtvaardigde belang bij een betrouwbare website. Financiele administratie verwerken we op basis van wettelijke verplichtingen. Toestemming gebruiken we alleen waar die daadwerkelijk nodig is, bijvoorbeeld voor niet noodzakelijke cookies of een afzonderlijke nieuwsbriefinschrijving. Het invullen van het formulier is geen algemene toestemming voor marketing.

Voor het voorkomen van misbruik, het vaststellen of verdedigen van concrete rechtsvorderingen en het behandelen van klachten kunnen wij noodzakelijke gegevens verwerken op basis van een gerechtvaardigd belang. Wij beoordelen per situatie de noodzaak en belangen van de betrokkene. Dit is geen grondslag om alle gegevens onbeperkt te bewaren of voor andere marketing te gebruiken.

Je kunt aangeven dat je geen verdere opvolging wilt of een ander contactkanaal wilt gebruiken. We sturen geen nieuwsbrief of losse reclamecampagnes uitsluitend omdat je een audit aanvraagt. We nemen geen beslissingen met juridische of vergelijkbaar belangrijke gevolgen uitsluitend via geautomatiseerde verwerking.

4. Waar komen aanvragen binnen en wie krijgt toegang?

Auditaanvragen worden verwerkt in onze zakelijke Gmail-mailbox en krijgen daar een apart label. Bram en uitsluitend bevoegde medewerkers die de aanvraag behandelen krijgen toegang. Er worden geen externe leads aan een gedeelde WhatsApp-groep toegevoegd. Herinneringen gebruiken alleen gegevens die nodig zijn om een openstaande aanvraag op te volgen.

We verkopen geen persoonsgegevens. Voor onze bedrijfsvoering gebruiken we Google voor e-mail en Google Apps Script voor het bezorgen van auditaanvragen in onze zakelijke mailbox, WhatsApp voor contact en Loom voor auditvideo's. Hosting is voorzien via Vercel. De website geeft formuliergegevens via een beveiligde serververbinding door aan het Google project. De geheime toegangscode staat niet in de openbare websitecode. Voor klantopdrachten kunnen we Klaviyo en andere afgesproken platforms gebruiken.

Niet elke leverancier is voor iedere verwerking uitsluitend verwerker. Voor eigen account-, beveiligings- of dienstdoeleinden kan een leverancier zelf verwerkingsverantwoordelijke zijn. Waar een leverancier namens ons verwerkt, sluiten we de vereiste verwerkersafspraken. We delen alleen gegevens die voor de taak nodig zijn. Auditvideo's bevatten geen onnodige persoonsgegevens van klanten van jouw webshop. We delen ze met de aanvrager en behandelen een afgeschermde videolink als vertrouwelijk.

5. Verwerking buiten de EER

Sommige leveranciers verwerken gegevens buiten de Europese Economische Ruimte. We controleren de toepasselijke doorgiftegrondslag, zoals een geldig adequaatheidsbesluit of passende contractuele waarborgen met noodzakelijke aanvullende maatregelen. We gaan niet uit van automatische bescherming alleen omdat een bekende leverancier wordt gebruikt. Je kunt via ons contactadres informatie opvragen over de toepasselijke waarborgen.

6. Bewaartermijnen

Auditaanvragen, bijbehorende correspondentie en auditvideo's bewaren we in beginsel maximaal zes maanden na afronding of het laatste inhoudelijke contact wanneer geen samenwerking ontstaat. Als een lopend verzoek, geschil of wettelijke verplichting langere bewaring nodig maakt, bewaren we alleen de daarvoor noodzakelijke gegevens en verwijderen die zodra de reden vervalt.

Controlewaarden voor de daglimiet worden los van de mailbox bewaard. De verzendverbinding verwijdert controlewaarden van eerdere dagen bij de volgende succesvolle aanvraag. Bij het buiten gebruik stellen van de verbinding worden resterende controlewaarden verwijderd. Kortdurende aanvraagtellers op de websiteserver vervallen na tien minuten en worden bij een volgende aanvraag opgeschoond.

Bij een samenwerking bewaren we uitvoeringsgegevens zolang nodig voor de overeenkomst en een redelijke afwikkeling. Wettelijk vereiste financiele administratie bewaren we doorgaans zeven jaar. Deze fiscale termijn geldt niet automatisch voor alle contactgegevens of video's. Technische beveiligingslogs bewaren we in beginsel maximaal dertig dagen, tenzij een concreet beveiligingsincident langere bewaring noodzakelijk maakt. Back-ups worden volgens de ingestelde bewaartermijnen overschreven en zijn niet bedoeld voor reguliere leadopvolging.

7. Cookies en externe inhoud

We plaatsen geen tracking- of marketingcookies zonder voorafgaande geldige toestemming. Noodzakelijke opslag kan worden gebruikt voor de werking van de website. Externe inhoud die niet noodzakelijk is en tracking kan veroorzaken, laden we pas na de vereiste toestemming. De huidige auditvideo wordt als link gedeeld, niet automatisch in de website afgespeeld. Als cookies of meettools worden toegevoegd, werken we deze uitleg en eventuele cookiekeuzes eerst bij.

Lettertypen en de getoonde afbeeldingen worden vanuit de website geladen. Er wordt voor het lettertype geen verbinding met Google Fonts gemaakt. Het openen van een externe videolink brengt je naar die leverancier, waar diens privacyinformatie ook geldt.

8. Beveiliging

We beperken toegang, gebruiken passende accountbeveiliging, versleutelde verbindingen en zorgvuldig toegangsbeheer. Geheime sleutels staan niet in openbare websitecode. Formuliergegevens horen niet thuis in publieke logs. We beoordelen incidenten en nemen waar nodig de wettelijk vereiste meldingsmaatregelen. Geen enkele techniek biedt absolute veiligheid; wij blijven verantwoordelijk voor passende maatregelen.

9. Jouw rechten

Afhankelijk van de verwerking kun je inzage, correctie, verwijdering, beperking of overdracht van gegevens vragen. Je kunt bezwaar maken tegen verwerking op gerechtvaardigd belang. Bij direct marketing kun je altijd bezwaar maken. Waar toestemming wordt gebruikt, kun je die intrekken zonder dat dit eerdere rechtmatige verwerking ongeldig maakt.

Stuur je verzoek naar bram@mailengine.agency. We reageren uiterlijk binnen een maand. Bij complexe of meerdere verzoeken kan de wettelijke termijn met maximaal twee maanden worden verlengd; we melden dit binnen de eerste maand met uitleg. We vragen alleen proportionele informatie om je identiteit te controleren. Een volledige kopie van je identiteitsbewijs is niet standaard nodig. Wettelijke bewaarplichten kunnen verwijdering van bepaalde gegevens beperken; we leggen dat dan uit.

Wij verstrekken bij een inzageverzoek geen gegevens van andere personen, geheime toegangscodes of beveiligingsinformatie waarvan verstrekking rechten van anderen zou schaden. Waar nodig verstrekken wij een afgeschermde kopie of toelichting. Dit beperkt de wettelijke privacyrechten niet. Bij kennelijk ongegronde of buitensporige verzoeken passen wij alleen de mogelijkheden toe die de AVG toestaat en onderbouwen wij onze beslissing.

Je kunt een klacht indienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl. Je mag ook eerst contact met ons opnemen zodat we een oplossing kunnen zoeken.

10. Wijzigingen

We houden dit beleid actueel. Bij belangrijke wijzigingen die bestaande betrokkenen raken, informeren we hen waar passend. Dit beleid beschrijft de feitelijke verwerking en is geen algemene toestemming voor nieuwe doeleinden.