Privacybeleid

1. Wie we zijn

Baktam is een clouddienst voor autowerkplaatsen, beheerd door Fatih Bilgiç (“Baktam”, “wij”, “ons”). Voor vragen over privacy bereik je ons via [email protected].

2. Onze rol: verwerkingsverantwoordelijke en verwerker

Wanneer Baktam verwerkingsverantwoordelijke is

Wij bepalen hoe en waarom persoonsgegevens worden verwerkt voor onze eigen doeleinden: gebruikersaccounts, abonnements- en factuurgegevens, supportverzoeken, berichten via ons contactformulier, websitebezoeken en de beveiliging van de dienst.

Wanneer Baktam verwerker is

Elke garage (onze klant, het “bedrijf”) bepaalt welke gegevens zij vastlegt over haar eigen klanten, voertuigen en medewerkers. Voor die gegevens is het bedrijf de verwerkingsverantwoordelijke en verwerkt Baktam ze namens het bedrijf en alleen om de dienst te leveren. Ben je klant van een garage en wil je je rechten uitoefenen, neem dan eerst contact op met die garage; wij helpen de garage bij het antwoord. Een verwerkersovereenkomst voor zakelijke klanten: [nog te bevestigen].

3. Welke gegevens we verwerken

• Accountgegevens: naam, telefoonnummer, e-mailadres, voorkeurstaal en een wachtwoord dat alleen als eenrichtingshash wordt opgeslagen.
• Bedrijfs- en factuurgegevens: bedrijfsnaam, adres, land, valuta, btw-nummer of ondernemingsnummer, pakket en betalingsgegevens.
• Gegevens die het bedrijf in Baktam vastlegt: namen, telefoonnummers, e-mailadressen en btw-nummers van klanten; voertuigen (kenteken, chassisnummer/VIN, merk, model, kilometerstand); werkorders, verkopen, betalingen, herinneringen, notities, foto's en handtekeningen.
• Openbare pagina's: wanneer een klant een afsprakenpagina gebruikt, ontvangen we de naam, het telefoonnummer, het kenteken en de notitie die hij invult; wanneer hij reageert op een goedkeuringslink voor een offerte, leggen we zijn beslissing, naam en handtekening vast.
• Technische gegevens: IP-adres, browser- of apparaatgegevens en inloggegevens, gebruikt om accounts te beveiligen, misbruik te beperken en fouten op te sporen. De mobiele apps slaan een token voor pushmeldingen op als je meldingen toestaat.

4. Waarvoor we de gegevens gebruiken en op welke grondslag

Op grond van de Algemene Verordening Gegevensbescherming (AVG) baseren we ons voor de gegevens waarvoor wij verantwoordelijk zijn op de volgende grondslagen:

• Uitvoering van een overeenkomst: je account aanmaken en beheren, de dienst en support leveren, en facturering.
• Wettelijke verplichting: facturen en boekhoudkundige gegevens bewaren zolang de wet dat voorschrijft.
• Gerechtvaardigd belang: de dienst beveiligen, fraude en misbruik voorkomen en fouten verhelpen, afgewogen tegen jouw rechten.
• Toestemming: marketingmails en eventuele optionele analyse. Je kunt je toestemming altijd intrekken.

We gebruiken persoonsgegevens niet voor geautomatiseerde besluiten met rechtsgevolgen of vergelijkbare aanzienlijke gevolgen.

5. Waar de gegevens worden opgeslagen

De clouddienst van Baktam wordt gehost in de Europese Unie, in datacenters in Duitsland. Dagelijkse back-ups worden een beperkte periode bewaard om herstel mogelijk te maken. Enterprise-klanten kunnen Baktam in plaats daarvan op hun eigen server draaien; de gegevens blijven dan op die server en het bedrijf is zelf verantwoordelijk voor hosting, back-ups en beveiliging.

Sommige dienstverleners die een bedrijf zelf koppelt (bijvoorbeeld sms- of WhatsApp-providers) kunnen gegevens buiten de EU verwerken. Worden gegevens buiten de Europese Economische Ruimte doorgegeven, dan baseren we ons op passende waarborgen zoals adequaatheidsbesluiten of modelcontractbepalingen (standard contractual clauses) [nog te bevestigen].

6. Dienstverleners (subverwerkers)

We delen persoonsgegevens alleen voor zover een dienstverlener ze nodig heeft voor zijn taak:

• Hosting: infrastructuurprovider met datacenters in Duitsland.
• E-mailverzending: een dienst voor het versturen van accountmails, zoals wachtwoordherstel en dagoverzichten.
• Berichten die het bedrijf kiest: sms via Twilio, of WhatsApp Business (Cloud API) van Meta, via het eigen account en contract van het bedrijf bij die provider. (Netgsm is alleen beschikbaar voor bedrijven in Turkije.)
• Pushmeldingen voor de mobiele apps: de pushdienst van Expo, die meldingen via Apple en Google aflevert.
• Websiteanalyse: Microsoft Clarity, alleen op de openbare website en alleen met je toestemming (zie punt 7).
• Foutmonitoring: Sentry, alleen als deze is ingeschakeld. Sentry is zo ingesteld dat standaard geen persoonsgegevens worden verstuurd; telefoonnummers en e-mailadressen worden gemaskeerd en cookies, autorisatieheaders en de inhoud van verzoeken worden verwijderd.

Een lijst van de specifieke dienstverleners is op verzoek beschikbaar. We kunnen gegevens verstrekken als de wet dat vereist of op grond van een geldig bevel van een rechter of overheidsinstantie.

7. Cookies en vergelijkbare technieken

Noodzakelijke cookies

Deze zijn nodig om de dienst te laten werken en vereisen geen toestemming: een sessiecookie die je ingelogd houdt, een cookie die je taal onthoudt, en baktam_consent, die je cookiekeuze 6 maanden bewaart. Het webpaneel slaat daarnaast een paar interfacevoorkeuren (zoals favorieten) op in de lokale opslag van je browser.

Analytische cookies (alleen met je toestemming)

Op onze openbare website (baktam.com, inclusief de Nederlandstalige pagina's onder /nl) gebruiken we Microsoft Clarity om te begrijpen hoe bezoekers de site gebruiken en om die te verbeteren. Clarity wordt pas geladen nadat je in de cookiebanner voor “Analytische cookies accepteren” kiest; zolang je geen keuze hebt gemaakt, of als je weigert, gaan er geen gegevens naar Clarity. Onze grondslag is je toestemming (art. 6 lid 1 sub a AVG en de toepasselijke cookieregels: in Nederland de Telecommunicatiewet, in België de wetgeving over elektronische communicatie).

• Wat het verzamelt: klikken, scrollen, muisbewegingen, bezochte pagina's, sessieduur, apparaat- en browsergegevens en je globale locatie. Tekst die je in formuliervelden typt, wordt gemaskeerd en nooit vastgelegd.
• Cookies: _clck (1 jaar) en _clsk (1 dag), geplaatst door Clarity. We weigeren opslag voor advertenties; wij gebruiken de gegevens niet voor advertenties.
• Wie het verwerkt: Microsoft Corporation, als onze dienstverlener; de gegevens kunnen buiten je land worden opgeslagen, ook in de Verenigde Staten.
• Waar het nooit draait: het webpaneel van Baktam, de inlogpagina's, de goedkeurings-, bon- en afsprakenlinks die garages naar hun klanten sturen, en afdrukpagina's.

Je kunt je toestemming altijd intrekken: open “Cookie-instellingen” onderaan de website en kies “Weigeren”. Clarity wordt dan gestopt, de cookies ervan worden verwijderd en het wordt bij latere bezoeken niet meer geladen. Het intrekken van je toestemming heeft geen invloed op de verwerking die daarvoor heeft plaatsgevonden.

We gebruiken geen advertentiecookies en geen cookies die je over verschillende websites volgen.

8. Hoe lang we gegevens bewaren

• Account- en bedrijfsgegevens: zolang het abonnement actief is.
• Na opzegging: de gegevens blijven 60 dagen beschikbaar voor export en worden daarna verwijderd, tenzij het bedrijf om eerdere verwijdering vraagt [nog te bevestigen].
• Back-ups: worden na een beperkte periode doorlopend overschreven [bewaartermijn nog te bevestigen].
• Facturen en factuurgegevens: zolang de fiscale en boekhoudkundige wetgeving dat voorschrijft.

Gegevens die een bedrijf over zijn eigen klanten vastlegt, worden bewaard volgens de instructies van dat bedrijf en verwijderd wanneer het bedrijf ze verwijdert of zijn account opheft.

9. Hoe we gegevens beschermen

• Alle verbindingen gebruiken versleuteld HTTPS (TLS).
• Wachtwoorden en API-sleutels worden alleen als eenrichtingshash opgeslagen.
• Goedkeuringslinks voor offertes en bonlinks gebruiken willekeurige tokens die alleen als hash worden opgeslagen. Openbare pagina's (goedkeuringen, bonnen, afspraken en gedeelde voertuighistorie) hebben een limiet op het aantal verzoeken en tonen persoonsgegevens gemaskeerd.
• Inloggegevens voor sms-, WhatsApp- en e-factuurproviders worden versleuteld (AES-256-GCM) in de database opgeslagen en worden nooit meer in de interface getoond of door de API teruggegeven.
• De gegevens van elk bedrijf zijn gescheiden van die van andere bedrijven, en rolgebaseerde bevoegdheden beperken wat elke gebruiker ziet: monteurs zien bijvoorbeeld geen prijzen of kosten.
• Belangrijke handelingen worden vastgelegd in een activiteitenlogboek, en gegevens worden dagelijks geback-upt.

Treft een datalek jouw gegevens, dan informeren we het betrokken bedrijf en, waar nodig, de bevoegde toezichthouder zonder onnodige vertraging.

10. Jouw rechten

Op grond van de AVG heb je het recht om je gegevens in te zien, te laten corrigeren of verwijderen, de verwerking te laten beperken of er bezwaar tegen te maken, je gegevens in een overdraagbaar formaat te ontvangen en je toestemming in te trekken.

Wil je een van deze rechten uitoefenen, mail dan naar [email protected]. We reageren binnen een maand. Je hebt ook het recht om een klacht in te dienen bij een toezichthouder: in Nederland de Autoriteit Persoonsgegevens, in België de Gegevensbeschermingsautoriteit (GBA), of de toezichthouder in het land waar je woont.

11. Kinderen

Baktam is een zakelijke dienst en is niet op kinderen gericht.

12. Wijzigingen in dit beleid

We kunnen dit beleid van tijd tot tijd aanpassen. Belangrijke wijzigingen kondigen we vooraf per e-mail aan bij de eigenaren van accounts.

13. Contact

Vragen over dit beleid of over je gegevens: [email protected].