Privacy bij NISverstand

Nisverstand is een plek voor artikelen en professionele gesprekken over privacy, informatiebeveiliging en GRC in de praktijk. Bij een platform dat over privacy schrijft, hoort ook duidelijkheid over de persoonsgegevens die het platform zelf verwerkt.

In deze privacyverklaring legt Nisverstand uit welke persoonsgegevens worden verwerkt, waarom dat gebeurt en welke keuzes je daarbij hebt. De verklaring wordt bijgewerkt naarmate Nisverstand groeit; kijk voor de actuele versie altijd naar de datum onderaan de pagina.

Wie is verantwoordelijk voor je persoonsgegevens?

Nisverstand is een initiatief van Mark Oerlemans. Mark is verantwoordelijk voor de verwerking van persoonsgegevens via dit platform.

Vragen, verzoeken of opmerkingen over privacy kun je sturen naar mark@nisverstand.nl.

Welke persoonsgegevens verwerkt Nisverstand?

Reacties op artikelen

Onder gepubliceerde artikelen kun je een reactie plaatsen. Bij het insturen van een reactie worden verwerkt:

• De door jou opgegeven naam.
• Optioneel: een e-mailadres.
• De inhoud van je reactie.
• Het moment van insturen.
• Beperkte technische gegevens die nodig zijn om de reactie te verwerken en het platform te beschermen tegen misbruik.

Reacties worden niet direct openbaar. Elke reactie krijgt eerst een handmatige moderatie. Pas nadat een reactie is goedgekeurd, worden de opgegeven naam en de inhoud van de reactie publiek zichtbaar bij het bijbehorende artikel. Het insturen van een reactie is dus geen garantie dat de reactie ook wordt geplaatst.

Een e-mailadres invullen is niet verplicht. Als je wel een e-mailadres achterlaat, wordt dat nooit publiek getoond. Nisverstand kan het e-mailadres gebruiken om, waar dat redelijkerwijs nodig is, contact met je op te nemen over jouw ingestuurde reactie — bijvoorbeeld voor verduidelijking of om een moderatiebeslissing toe te lichten. Nisverstand gebruikt het e-mailadres niet voor nieuwsbrieven, marketing of andere ongerelateerde communicatie.

Goedgekeurde reacties blijven voorlopig zichtbaar zolang het bijbehorende artikel of de bijbehorende discussie gepubliceerd is. Afgewezen reacties worden voorlopig maximaal 90 dagen bewaard; als spam gemarkeerde reacties maximaal 30 dagen. Automatische verwijdering na deze termijnen is op dit moment nog niet ingericht; zolang die automatisering ontbreekt, worden de termijnen handmatig bewaakt.

De Praktijktafel

De Praktijktafel is een besloten online rondetafel waarin een kleine groep professionals één concreet vraagstuk bespreekt. Wanneer je je voor een specifieke Praktijktafel aanmeldt, verwerkt Nisverstand:

• Je naam.
• Je e-mailadres.
• Je zelf opgegeven professionele rol.
• Het door jou gekozen professionele perspectief (bijvoorbeeld privacy, informatiebeveiliging, zorg, juridisch, kwaliteit, governance of anders).
• Optioneel: je motivatie.
• De Praktijktafel waarvoor je je aanmeldt.
• Het moment van je aanmelding.
• De status van je aanmelding (nieuw, toegelaten, wachtlijst, afgewezen of ingetrokken).

Deze gegevens worden gebruikt om je aanmelding te beoordelen, een kleine professionele groep samen te stellen, met je te communiceren over je aanmelding, en toegelaten deelnemers de deelname-informatie te verstrekken. Je professionele rol is een zelfverklaring en wordt niet onafhankelijk gecontroleerd. Het gekozen perspectief helpt Mark bij het samenstellen van een tafel waarin verschillende invalshoeken vertegenwoordigd zijn.

Aanmelden geeft geen garantie op deelname. Deelnemersidentiteiten worden niet automatisch gepubliceerd; er is geen openbare deelnemerslijst. Het Tafelverslag dat na afloop kan verschijnen is een redactionele samenvatting van terugkerende perspectieven en openstaande vragen, geen woordelijk verslag en geen formeel advies.

Nisverstand neemt de Praktijktafel-gesprekken zelf op dit moment niet op, maakt hier zelf geen transcripties van en gebruikt zelf geen automatische AI-samenvattingen van de gesprekken. Voor het online samenkomen wordt een externe meeting-dienst gebruikt; die externe dienst kan aanvullende technische of deelname-gerelateerde gegevens verwerken. De concrete meeting-dienst die voor een specifieke Praktijktafel wordt gebruikt, wordt vóór deelname aan toegelaten deelnemers gecommuniceerd.

Aanmeldgegevens voor een Praktijktafel worden voorlopig maximaal drie maanden na afloop van de betreffende Praktijktafel bewaard. Automatische verwijdering is op dit moment nog niet ingericht; zolang die automatisering ontbreekt, wordt deze termijn handmatig bewaakt.

App-e-mail en afmelden

Nisverstand stuurt operationele app-e-mails vanuit het afzenderdomein notify.nisverstand.nl, bijvoorbeeld voor bevestigingen van een aanmelding voor de Praktijktafel of van een contactbericht. Bij deze verzending worden in Nisverstand zelf een aantal administratieve gegevens vastgelegd, waaronder het ontvangeradres, het soort bericht, tijdstempels en de verzend- of foutstatus.

De achterliggende e-mailinfrastructuur die deze berichten daadwerkelijk aflevert, verwerkt aflevergegevens die nodig zijn om e-mail betrouwbaar te bezorgen. Adressen die bouncen, waarover een klacht binnenkomt of die zich afmelden, kunnen op een suppressielijst worden geplaatst. Zolang een adres op die suppressielijst staat, worden automatische Nisverstand-appmails naar dat adres geblokkeerd. Afmelden kan er dus toe leiden dat je ook geen latere automatische berichten over een lopende Praktijktafel-aanmelding meer ontvangt; in dat geval kan Nisverstand alsnog handmatig contact opnemen vanuit mark@nisverstand.nl.

Nisverstand plaatst in deze operationele e-mails geen eigen open- of klik-trackingpixels. E-mailadressen die via het contactformulier, een reactie of een Praktijktafel-aanmelding zijn ontvangen, worden niet automatisch toegevoegd aan een nieuwsbrief of marketinglijst.

Beheer van Nisverstand

Het beheer van Nisverstand is afgeschermd met een inlogomgeving met verplichte tweefactor-authenticatie. Voor deze beheeromgeving worden persoonsgegevens en beveiligingsmetadata verwerkt die nodig zijn om veilig toegang te verlenen, waaronder:

• Het beheerdersaccount-e-mailadres.
• Authenticatie- en sessie-informatie.
• Metadata over ingerichte tweefactor-authenticatiefactoren.
• Registraties van in- en uitlogmomenten en beveiligingsgebeurtenissen.
• Informatie over wachtwoordherstel-verzoeken.
• Beperkte technische informatie die door de authenticatie- en beveiligingsinfrastructuur wordt vastgelegd.

Nisverstand deelt geen details over de precieze technische opzet van de beveiliging. De bewaartermijnen die door de onderliggende authenticatie- en beveiligingsinfrastructuur worden gehanteerd, worden voor een deel bepaald door de betreffende infrastructuurleveranciers; deze termijnen worden periodiek beoordeeld in het kader van leveranciersbeheer.

Technische gegevens

Om Nisverstand te kunnen aanbieden en beveiligen, kunnen door de applicatie, de hostingomgeving en beveiligingssystemen beperkte technische gegevens of logregels worden verwerkt. Deze gegevens kunnen bijvoorbeeld nodig zijn om:

• de website betrouwbaar te laten werken;
• de beheeromgeving te beschermen;
• misbruik of aanvallen te onderzoeken;
• de beschikbaarheid van het platform te waarborgen.

Nisverstand plaatst op dit moment geen eigen marketinganalyse-, advertentie- of profileringstrackers. Nisverstand maakt onderscheid tussen toepassingsgegevens die in de Nisverstand-database worden bijgehouden (zoals reacties, Praktijktafel-aanmeldingen en contactberichten) en technische log- of platformgegevens die door de onderliggende infrastructuur- en beveiligingsleveranciers worden verwerkt voor het aanbieden, beschikbaar houden en beveiligen van het platform. Die technische gegevens kunnen bijvoorbeeld IP-adressen, browser- of apparaatinformatie, opgevraagde pagina's of functies, tijdstempels, sessie- of apparaat-identificatoren, authenticatie- en beveiligingsgebeurtenissen en fout- of diagnosecodes omvatten. Op welke wijze en hoe lang deze technische log- en platformgegevens door de onderliggende leveranciers worden bewaard, wordt door die leveranciers vastgesteld en periodiek beoordeeld in het kader van leveranciersbeheer.

Contactformulier

Wanneer je het contactformulier op /contact gebruikt, verwerkt Nisverstand: je naam, e-mailadres, opgegeven onderwerp, gekozen contactcategorie, de inhoud van je bericht en het moment van insturen.

Deze gegevens worden gebruikt om je bericht te beoordelen en om, waar dat nodig is, contact met je op te nemen over dat specifieke bericht. Je e-mailadres wordt uitsluitend gebruikt voor communicatie over het door jou ingestuurde contactbericht. Contactgegevens worden niet automatisch toegevoegd aan een nieuwsbrief of aan een marketinglijst.

Na een succesvolle inzending kan Nisverstand een geautomatiseerde ontvangstbevestiging sturen via de eigen transactionele e-mailinfrastructuur, met notify.nisverstand.nl als afzendend domein. Mark ontvangt daarnaast een beperkte administratieve melding dat er een nieuw contactbericht is binnengekomen; de volledige inhoud van je bericht wordt uitsluitend in de afgeschermde beheeromgeving gelezen.

Om herhaalde of geautomatiseerde inzendingen te beperken, gebruikt het contactformulier eenvoudige controlegegevens, waaronder een afgeleide waarde van de recent ingestuurde tekst en een korte wachttijd tussen inzendingen vanaf hetzelfde e-mailadres. Nisverstand slaat voor deze cooldown- en duplicaatcontrole zelf geen IP-adressen permanent op.

Contactberichten worden voorlopig bewaard tot twaalf maanden nadat Mark een bericht als afgehandeld heeft gemarkeerd. Automatische verwijdering na die termijn is op dit moment nog niet ingericht; het opschonen gebeurt zolang die automatisering ontbreekt handmatig.

Je rechten

Op grond van de Algemene verordening gegevensbescherming (AVG) heb je, waar van toepassing, de volgende rechten met betrekking tot je persoonsgegevens:

• Inzage in de gegevens die Nisverstand over jou verwerkt.
• Rectificatie van onjuiste gegevens.
• Verwijdering (voor zover geen andere grondslag of verplichting bewaring vereist).
• Beperking van de verwerking.
• Bezwaar tegen de verwerking, in het bijzonder tegen verwerkingen die gebaseerd zijn op een gerechtvaardigd belang.
• Overdraagbaarheid van door jou aangeleverde gegevens.

Verzoeken kun je sturen naar mark@nisverstand.nl. Nisverstand beoordeelt elk verzoek zorgvuldig aan de hand van de eisen van de AVG, maar honoreert niet elk verzoek automatisch — bijvoorbeeld wanneer een wettelijke bewaarplicht of een zwaarwegend belang zich tegen verwijdering verzet, of wanneer een bezwaar tegen een verwerking op grond van een gerechtvaardigd belang na afweging niet gehonoreerd kan worden. In dat geval krijg je daar een uitleg over.

Ben je van mening dat Nisverstand niet zorgvuldig met je persoonsgegevens omgaat, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens. Je hoeft daarvoor niet eerst contact op te nemen met Nisverstand.

Op welke grondslag verwerkt Nisverstand persoonsgegevens?

Nisverstand verwerkt niet alle persoonsgegevens op dezelfde grondslag. Per verwerkingsdoel is beoordeeld welke grondslag uit de AVG passend is.

Gerechtvaardigd belang (artikel 6, lid 1, sub f AVG)

Voor de volgende verwerkingsdoelen beroept Nisverstand zich op een gerechtvaardigd belang:

• het mogelijk maken van inhoudelijke professionele discussie onder artikelen en het modereren van reacties;
• het beschermen van formulieren en het platform tegen misbruik en onnodige dubbele inzendingen;
• het beoordelen, samenstellen en organiseren van deelname aan De Praktijktafel;
• het versturen van operationele communicatie over een Praktijktafel-aanmelding;
• het ontvangen van en reageren op algemene contactberichten;
• het beschermen van de beheeromgeving en de daarin verwerkte persoonsgegevens tegen ongeautoriseerde toegang;
• het verwerken van beperkte administratieve gegevens en suppressie-informatie die nodig zijn om transactionele e-mail betrouwbaar af te leveren.

De gerechtvaardigde belangen van Nisverstand zijn het voeren en beheren van een inhoudelijk professioneel platform, het organiseren van kleinschalige professionele gesprekken, het kunnen reageren op mensen die zelf contact opnemen en het veilig en betrouwbaar beheren van het platform en de bijbehorende communicatie.

Voor elk van deze verwerkingsdoelen heeft Nisverstand intern een korte afweging gemaakt van de noodzaak, de redelijke verwachtingen van betrokkenen, de mogelijke impact op de persoonlijke levenssfeer en de getroffen waarborgen (zoals moderatie voor publicatie, optionele velden, tweefactor-authenticatie op de beheeromgeving, geen eigen open- of klik-tracking en handmatige selectie voor De Praktijktafel).

Je hebt het recht om bezwaar te maken tegen verwerking op grond van een gerechtvaardigd belang. Nisverstand beoordeelt zo'n bezwaar in het licht van de eisen van de AVG; een bezwaar leidt niet automatisch tot beëindiging van elke verwerking, maar wordt zorgvuldig en gemotiveerd behandeld.

Stappen vóór een mogelijke overeenkomst (artikel 6, lid 1, sub b AVG)

In een beperkt aantal situaties kan artikel 6, lid 1, sub b AVG van toepassing zijn: wanneer iemand zelf een concreet verzoek indient dat het noodzakelijk maakt om, op verzoek van die persoon, stappen te zetten vóór een mogelijke overeenkomst. Denk aan een concreet verzoek om een mogelijke professionele samenwerking of opdracht te bespreken. De inhoud en context van het bericht bepalen of deze grondslag daadwerkelijk van toepassing is; niet elk bericht in een bepaalde contactcategorie valt automatisch onder deze grondslag. De algemene verwerking van contactberichten blijft gebaseerd op het gerechtvaardigd belang.

Wettelijke verplichting (artikel 6, lid 1, sub c AVG)

Wanneer je een privacyrecht uitoefent (bijvoorbeeld een verzoek om inzage, rectificatie of verwijdering), verwerkt Nisverstand jouw verzoek en de informatie die redelijkerwijs nodig is om het verzoek te beoordelen en te beantwoorden. Deze verwerking is gebaseerd op de wettelijke verplichting die uit de AVG voortvloeit. Reguliere reacties, Praktijktafel-aanmeldingen of contactberichten worden niet op grond van een wettelijke verplichting verwerkt.

Nisverstand gebruikt toestemming (artikel 6, lid 1, sub a AVG) op dit moment niet als algemene grondslag voor de hierboven beschreven verwerkingen.

Aan wie geeft Nisverstand persoonsgegevens door?

Nisverstand maakt voor het aanbieden van het platform en de bijbehorende communicatie gebruik van externe dienstverleners. Deze dienstverleners verwerken persoonsgegevens uitsluitend voor de dienstverlening aan Nisverstand en op basis van een verwerkersovereenkomst of vergelijkbare voorwaarden.

Nisverstand maakt gebruik van dienstverleners voor:

• hosting en applicatie-infrastructuur;
• database en authenticatie;
• transactionele app-e-mail vanuit notify.nisverstand.nl;
• de e-mailinfrastructuur waarmee Mark vanuit mark@nisverstand.nl handmatig kan reageren en, waar nodig, handmatige Praktijktafel-uitnodigingen kan versturen;
• de online-meetingdienst waarmee een Praktijktafel-gesprek wordt gehouden.

De applicatie-infrastructuur (hosting, database, authenticatie en transactionele app-e-mail) draait op dit moment op Lovable Cloud. Lovable kan bij het leveren van deze dienst gebruikmaken van eigen subverwerkers; de actuele lijst met subverwerkers wordt door Lovable zelf onderhouden en door Mark periodiek beoordeeld in het kader van leveranciersbeheer. Voor de eigen mailbox mark@nisverstand.nl en het domeinbeheer maakt Nisverstand gebruik van TransIP. TransIP levert geen applicatie-hosting voor Nisverstand.

Voor het online samenkomen van een Praktijktafel wordt een externe meeting-dienst gebruikt. De concrete meeting-dienst die voor een specifieke Praktijktafel wordt gebruikt, wordt vóór deelname aan toegelaten deelnemers gecommuniceerd. Zolang er nog geen Praktijktafel is opengesteld, wordt in deze verklaring geen specifieke meeting-dienst genoemd.

Doorgifte buiten de Europese Economische Ruimte

Sommige infrastructuurdienstverleners of hun subverwerkers kunnen persoonsgegevens (mede) verwerken buiten de Europese Economische Ruimte. Voor de verwerkingen die via Lovable Cloud plaatsvinden, geldt de actuele verwerkersovereenkomst van Lovable; die overeenkomst bevat bepalingen over internationale doorgifte en neemt, waar van toepassing op doorgiften buiten de EER, de standaardcontractbepalingen van de Europese Commissie op. Nisverstand kan niet garanderen dat alle verwerkingen uitsluitend binnen Europa plaatsvinden of dat geen enkele subverwerker buiten de EER is gevestigd. Wil je meer weten over de van toepassing zijnde waarborgen bij een concrete verwerking, dan kun je dat opvragen via mark@nisverstand.nl. Voor de nog te selecteren meeting-dienst wordt op dit moment geen conclusie over internationale doorgifte gegeven; die beoordeling volgt zodra de dienst is gekozen.

Wijzigingen

Nisverstand kan deze privacyverklaring aanpassen wanneer de dienstverlening of het gebruik van externe dienstverleners verandert. De actuele versie is altijd te vinden op deze pagina.