Privacyverklaring

Normavix B.V. ("Normavix", "wij") verwerkt persoonsgegevens zorgvuldig en in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG). In deze privacyverklaring leggen wij uit welke persoonsgegevens wij verwerken, waarom wij dat doen, op welke grondslagen, met wie wij gegevens delen en welke rechten u heeft.

1. Contactgegevens

Normavix B.V.
Vestigingsplaats: Dronten, Nederland
Adres: De Drieslag 30, 8251 TJ Dronten, Nederland
E-mail: info@normavix.com
KvK: 99138328

2. Begrippen

AVG: Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679).

Betrokkene: De persoon van wie persoonsgegevens worden verwerkt (bijvoorbeeld een websitebezoeker, contactpersoon, gebruiker van het platform of een cliënt/relatie van een klant van Normavix).

Klant: De organisatie die het Normavix-platform afneemt en gebruikt.

Gebruiker: Een natuurlijke persoon die door of namens Klant is geautoriseerd om het platform te gebruiken.

Applicatie: De Normavix software als dienst (SaaS) voor risico-, kwaliteits- en compliancemanagement, inclusief dossier- en taakfunctionaliteit, audittrail en rapportages.

Diensten: De Applicatie, inclusief onboarding, ondersteuning, training, consultancy en aanverwante diensten.

Klantdata: Alle gegevens en bestanden die door of namens Klant in de Applicatie worden ingevoerd, gegenereerd of opgeslagen, waaronder persoonsgegevens.

Dit betreft persoonsgegevens die wij verwerken voor onze eigen bedrijfsvoering, zoals:

3. In welke rollen verwerken wij persoonsgegevens?

Dit betreft persoonsgegevens die wij verwerken voor onze eigen bedrijfsvoering, zoals:

Normavix verwerkt persoonsgegevens in twee hoofdrollen:
A. Als verwerkingsverantwoordelijke voor eigen bedrijfsvoering; en
B. Als verwerker wanneer Klanten persoonsgegevens in het platform verwerken.‍

4. Welke persoonsgegevens verwerken wij?

• websitebezoek, communicatie en marketing;
• verkoop, relatiebeheer en contractbeheer;
• administratie en facturatie;
• sollicitaties en personeelszaken;
• informatiebeveiliging, fraude- en misbruikpreventie en bedrijfscontinuïteit.

B. Normavix als verwerker (platformgebruik)

Wanneer Klanten de Applicatie gebruiken, verwerkt Normavix persoonsgegevens namens de Klant. In die situatie is de Klant doorgaans verwerkingsverantwoordelijke en is Normavix verwerker. De afspraken hierover zijn vastgelegd in de gegevensverwerkingsovereenkomst (DPA).

Dit omvat ook het verwerken van cliëntgegevens van de diensten van onze Klanten/gebruikers, bijvoorbeeld gegevens die nodig zijn voor cliëntenonderzoek en acceptatie, monitoring, dossiervorming, rapportage en audittrail in het kader van Wwft/AMLR- en CEAC-processen (afhankelijk van de inrichting door Klant).

Betrokkenen kunnen verzoeken over platformdata (zoals inzage of verwijdering) in beginsel richten aan de organisatie die Normavix gebruikt. Normavix ondersteunt de Klant bij de afhandeling van dergelijke verzoeken conform de DPA

4.1. Website, contact en marketing

Wij kunnen onder meer de volgende persoonsgegevens verwerken:

• naam, organisatie, functie en contactgegevens;
• inhoud van berichten (via contactformulier of e-mail);
• IP-adres, apparaat- en browsergegevens;
• websitegedrag (zoals bezochte pagina’s), uitsluitend voor niet-essentiële cookies na toestemming waar vereist.

4.2. Klantbeheer, contract en facturatie

Wij kunnen onder meer verwerken:

• naam en contactgegevens van (bevoegde) contactpersonen;
• contract- en correspondentiegegevens;
• facturatiegegevens (zoals factuuradres, IBAN en betaalstatus).

4.3. Sollicitaties (indien van toepassing)

Wij kunnen onder meer verwerken:

• CV-gegevens, motivatie, contactgegevens en correspondentie;
• eventuele aanvullende informatie die u vrijwillig verstrekt.

4.4. Platformgebruik (Klantdata, namens Klant)

Afhankelijk van de inrichting door Klant kan dit onder meer omvatten:

• gebruikersaccounts en autorisaties (rollen en rechten);
• dossier- en compliancegegevens die Klant invoert, uploadt of genereert;
• cliënt- en relatiegegevens (bijvoorbeeld cliënten, UBO’s, vertegenwoordigers, PEP’s), inclusief relevante documentatie en risicoclassificaties;
• log- en audittrailgegevens (wie/wat/wanneer, beheerhandelingen, exporthandelingen).
  

5. Waarom verwerken wij persoonsgegevens (doeleinden)?

Wij verwerken persoonsgegevens onder meer voor:

• het beantwoorden van vragen en contactverzoeken;
• het aangaan en uitvoeren van overeenkomsten en het leveren van de Diensten;
• klantbeheer, administratie en facturatie;
• het leveren, onderhouden en beveiligen van de Applicatie;
• het verbeteren van functionaliteit, betrouwbaarheid en gebruiksvriendelijkheid (met dataminimalisatie en waar passend geanonimiseerde of geaggregeerde inzichten);
• het voldoen aan wettelijke verplichtingen (bijvoorbeeld fiscale bewaarplicht);
• werving en selectie;
• marketingcommunicatie, zoals nieuwsbrieven, waar dit op basis van toestemming is vereist.
  

6. Op welke grondslagen verwerken wij persoonsgegevens?

Afhankelijk van het doel baseren wij verwerkingen op:

• uitvoering van een overeenkomst;
• wettelijke verplichting;
• gerechtvaardigd belang (zoals informatiebeveiliging, fraude- en misbruikpreventie, verbetering van onze dienstverlening, bedrijfscontinuïteit en geschilafhandeling);
• toestemming (bijvoorbeeld nieuwsbrief en niet-essentiële cookies/marketing, waar vereist).

Voor platformdata geldt: de rechtsgrond wordt door de Klant als verwerkingsverantwoordelijke bepaald; Normavix verwerkt uitsluitend op gedocumenteerde instructies van de Klant, conform de DPA

7. Met wie delen wij gegevens?

7.1. Als verwerkingsverantwoordelijke

Wij delen persoonsgegevens alleen als dat noodzakelijk is, bijvoorbeeld met:

• IT- en clouddienstverleners en communicatiedienstverleners (als verwerker voor Normavix);
• professionele adviseurs (zoals accountant of juridisch adviseur);
• bevoegde autoriteiten, wanneer wij daartoe wettelijk verplicht zijn.

Met verwerkers sluiten wij verwerkersovereenkomsten met afspraken over vertrouwelijkheid en beveiliging.

7.2. Als verwerker (platformgebruik)

Normavix verstrekt persoonsgegevens die namens Klant worden verwerkt niet aan derden, behalve op instructie van Klant of wanneer Normavix daartoe wettelijk verplicht is. Waar toegestaan informeren wij Klant vooraf over een wettelijke verplichting.

8. Gegevenslocatie en internationale doorgifte

8.1. Platformdata (Normavix als verwerker)

Hosting en primaire gegevenslocatie van Klantdata is binnen de Europese Economische Ruimte (EER), tenzij Klant en Normavix schriftelijk anders overeenkomen.
Normavix verricht geen doorgifte van platformdata buiten de EER zonder voorafgaande schriftelijke toestemming van Klant en passende waarborgen, zoals standaardcontractbepalingen (SCC’s) en waar relevant een doorgifterisicobeoordeling (TIA), conform de DPA.

8.2. Bedrijfsvoering en website (Normavix als verwerkingsverantwoordelijke)

Voor onze eigen bedrijfsvoering kan het voorkomen dat leveranciers (bijvoorbeeld clouddiensten of ondersteuningssoftware) incidenteel buiten de EER verwerken of toegang hebben. In dat geval zorgen wij voor passende waarborgen waar dit wettelijk vereist is (zoals SCC’s en aanvullende technische en organisatorische maatregelen).

9. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen, waaronder:

• toegangsbeheer op basis van rollen en minimale rechten;
• meervoudige verificatie (MFA) en eenmalige aanmelding (SSO) waar overeengekomen;
• logging en monitoring, inclusief audittrail;
• versleuteling tijdens transport (TLS) en waar passend versleuteling van opslag;
• back-ups en gecontroleerde herstelprocedures;
• beheer van kwetsbaarheden en wijzigingsbeheer.
  

10. Kunstmatige intelligentie, profilering en gebruik van gegevens

Normavix hanteert een strikt regime rondom het gebruik van kunstmatige intelligentie (AI):

1. Normavix verstrekt geen persoonsgegevens aan generieke AI-modellen en gebruikt persoonsgegevens niet voor (her)training van generieke modellen, tenzij schriftelijk anders overeengekomen.
2. Telemetrie en gebruiksstatistieken worden waar passend geanonimiseerd of geaggregeerd gebruikt voor kwaliteitsverbetering, zodat dit niet (of zo min mogelijk) herleidbaar is tot personen.
3. Normavix past geen geautomatiseerde besluitvorming of profilering toe die rechtsgevolgen heeft of u anderszins in aanmerkelijke mate treft.
   

11. Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan noodzakelijk. Indicatief hanteren wij:

• contactverzoeken en prospects: tot 24 maanden na het laatste contact (tenzij langer nodig voor opvolging of een geschil);
• contract- en klantbeheer: gedurende de overeenkomst en tot 24 maanden daarna (tenzij langer noodzakelijk, bijvoorbeeld bij een geschil of claim);
• financiële administratie: tot 7 jaar (fiscale bewaarplicht);
• nieuwsbrief: totdat u zich afmeldt; daarna bewaren wij een beperkte afmeldregistratie om u niet opnieuw ongevraagd te benaderen;
• beveiligingslogs (website/bedrijfsvoering): doorgaans 6 tot 12 maanden, tenzij langer nodig voor onderzoek of incidentafhandeling.

Platformdata (Klantdata) bewaren wij conform de DPA en de contractset. Na beëindiging van de overeenkomst wordt Klantdata in beginsel binnen 90 dagen verwijderd, behoudens wettelijke plichten of een overeengekomen alleen-lezen archiefdienst.

12. Uw rechten

U heeft (afhankelijk van de situatie) recht op:

• inzage, rectificatie en verwijdering;
• beperking van verwerking;
• bezwaar (met name bij verwerking op basis van gerechtvaardigd belang);
• gegevensoverdraagbaarheid;
• intrekking van toestemming (waar van toepassing).

Verzoeken over platformdata richt u in beginsel aan de Klant (de organisatie die Normavix gebruikt). Normavix ondersteunt de Klant bij de afhandeling conform de DPA. U kunt contact opnemen via info@normavix.com. Wij reageren in principe binnen één maand.

13. Cookies

Wij gebruiken cookies en vergelijkbare technieken voor:

• technische werking en beveiliging van de website;
• analyse van websitegebruik (bijvoorbeeld via Google Analytics);
• marketing en conversiemeting (bijvoorbeeld via Google Ads), indien ingeschakeld.

Niet-essentiële cookies plaatsen wij alleen na toestemming, waar dat wettelijk vereist is. U kunt uw voorkeuren wijzigen via de cookie-instellingen of via uw browserinstellingen.

14. Klachten

Heeft u een klacht over hoe wij met persoonsgegevens omgaan? Neem dan contact met ons op via info@normavix.com.

U heeft daarnaast het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.

‍