We verzamelen zo weinig mogelijk. Kaarten zetten geen cookies en we slaan het IP-adres van bezoekers niet op. Hieronder staat precies wat we wel doen. De Engelse tekst is de bindende versie.
1. Wie is verantwoordelijk en welke wet geldt
Verantwoordelijk voor je gegevens is MP Agency, dat heresmine beheert en uitvoert. Geregistreerd in Dubai, Verenigde Arabische Emiraten. Adres: volgt na registratie. Handelslicentie: volgt na registratie. E-mail: info@heresmine.app.
Omdat we in de VAE zitten, is de privacywet van de VAE onze thuiswet: Federal Decree-Law No. 45 of 2021 (PDPL). Woon je in de EU, dan geldt daarnaast de AVG; woon je in het Verenigd Koninkrijk, dan de UK GDPR. We houden ons aan alle drie en je krijgt altijd de rechten van de wet die voor jou geldt.
Een vertegenwoordiger in de EU (artikel 27 AVG) hebben we nog niet benoemd. Zodra dat is gebeurd, zetten we naam en adres hier. Tot die tijd kun je met alles rechtstreeks bij ons terecht. Een vertegenwoordiger in het VK (artikel 27 UK GDPR) hebben we ook nog niet benoemd.
Voor de contacten die via een kaart binnenkomen en voor de statistieken van een kaart is de eigenaar van die kaart verantwoordelijk. Daarover gaat artikel 4.
2. Welke gegevens
Van klanten: naam, e-mailadres, telefoonnummer, bedrijf, factuuradres, btw-nummer als je dat opgeeft, het verzendadres voor NFC-kaarten en wat je op je kaart zet, zoals foto en logo. Betaalgegevens gaan rechtstreeks naar Stripe; wij zien geen kaartnummers.
Bij het inloggen: je e-mailadres. Supabase, ons inlogsysteem, houdt inloglogboeken bij met je IP-adres, om inloggen te beveiligen.
In de heresmine-app: je e-mailadres en je inlogsessie (die blijft op je telefoon), wat je aan je kaart verandert, zoals teksten en de foto's die je kiest, de naam, het e-mailadres en de functie van collega's die je als teambeheerder uitnodigt, en de tijdzone van je telefoon, om je statistieken per dag te tellen. De app heeft geen analytics, geen advertenties en volgt je niet.
Bij vrienden uitnodigen: je uitnodigingscode, wie via jouw link bestelde, of die bestelling betaald is en welk tegoed je daarvoor kreeg. Wie je link opent, ziet je voornaam; jij ziet alleen hoeveel vrienden bestelden, niet wie.
Van bezoekers van een kaart bewaren we per bezoek: datum en tijd, hoe ze binnenkwamen (QR, NFC, link of Wallet), land en stad, het soort apparaat (telefoon, tablet of computer) met het besturingssysteem, en op welke knop ze tikten. Land en stad leiden we af van het netwerk, dus ze zijn niet precies. We zetten geen cookies, slaan geen IP-adres op en geven bezoekers geen ID.
Van wie gegevens achterlaat via een kaart: wat diegene invult (naam, e-mail, telefoon, bedrijf, notitie) en het moment van toestemming.
Van wie ons contactformulier gebruikt: wat je invult.
Tegen misbruik tellen formulieren hoeveel verzoeken er van één netwerkadres komen. Dat adres bewaren we alleen gepseudonimiseerd, als gezouten hash, en die tellers verwijderen we binnen een dag.
Van bezoekers van deze website: om prijzen in je eigen valuta te tonen, vraagt je browser bij onze host Vercel uit welk land de verbinding komt. Alleen de landcode komt terug. We slaan die niet op en koppelen hem aan niemand.
3. Waarom en op welke grond
Om je bestelling uit te voeren en je account en kaart te laten werken: uitvoering van de overeenkomst. Dat geldt ook voor de korting en het tegoed als je via een uitnodiging bestelt of zelf vrienden uitnodigt.
Om misbruik tegen te gaan, inloggen te beveiligen en de site betrouwbaar te houden: ons gerechtvaardigd belang.
Om de kaarteigenaar statistieken te tonen zonder bezoekers te volgen: het gerechtvaardigd belang van de kaarteigenaar.
Om gegevens die je via een kaart achterlaat door te geven aan de eigenaar: jouw toestemming. Die kun je altijd intrekken.
Om je vraag via het contactformulier te beantwoorden: ons gerechtvaardigd belang, of de voorbereiding van een overeenkomst.
Om onze administratie te voeren en belasting af te dragen: een wettelijke plicht.
Onder de PDPL van de VAE gelden dezelfde gronden: de overeenkomst, een wettelijke plicht, je toestemming, en waar de wet dat toestaat ons belang. We verkopen je gegevens niet en gebruiken ze niet voor advertenties of profilering.
4. Contact uitwisselen via een kaart
Laat je via een kaart je gegevens achter, dan is de eigenaar van die kaart verantwoordelijk voor die gegevens. Bij een kaart van het pakket Teams is dat het bedrijf. heresmine bewaart ze in hun opdracht en stuurt de eigenaar een e-mail met je gegevens. Voor de statistieken van een kaart werken we ook in opdracht van de eigenaar. De afspraken daarover staan in onze verwerkersovereenkomst.
Bij een team op het pakket Teams kunnen de beheerders van het team de contacten van alle kaarten in dat team zien.
Wil je dat je gegevens worden verwijderd? Vraag het de eigenaar van de kaart, of mail ons op info@heresmine.app. Dan regelen wij het.
5. Hoe lang
Je account: tot je het verwijdert. Dat kan zelf via Dashboard → Instellingen of in de app via Instellingen → Account verwijderen. Je account, kaarten, contacten, statistieken en foto's zijn dan meteen weg.
Bestellingen en facturen: zo lang als de belastingwet voorschrijft, minstens vijf jaar. Ook als je je account verwijdert.
Bestellingen die niet betaald worden, met de foto's die je daarvoor uploadde: we verwijderen ze zodra de betaallink verloopt, meestal binnen een dag, en uiterlijk na zeven dagen.
Kaarten die gepauzeerd zijn omdat het abonnement stopte: zes maanden na de pauze verwijderen we ze, samen met hun contacten en statistieken.
Statistieken van kaarten: 24 maanden.
Contacten die via een kaart zijn achtergelaten: tot de kaarteigenaar ze verwijdert, het account wordt verwijderd of de kaart na een pauze wordt gewist.
Accounts die in de app zijn aangemaakt maar nooit gebruikt (nooit ingelogd, geen kaart): na zeven dagen verwijderd.
Berichten via het contactformulier: twaalf maanden. Tellers tegen misbruik: minder dan een dag.
Betaalmeldingen van Stripe: daarvan bewaren we alleen het kenmerk, 90 dagen, om een dubbele melding te herkennen. Er staan geen persoonsgegevens in.
De verzoeklogboeken van Vercel en de inloglogboeken van Supabase worden kort bewaard, volgens de termijnen van die partijen.
7. Waar je gegevens naartoe gaan
Onze database staat in Frankfurt, in de EU. MP Agency zit in Dubai en werkt van daaruit met de gegevens: wie bij ons support of beheer doet, opent ze vanuit de VAE. NFC-kaarten voor adressen in de EU worden in Europa gemaakt, alle andere in Dubai.
Woon je in de EU of het VK, dan betekent dit dat je gegevens bij een bedrijf buiten de EU en het VK terechtkomen. De VAE hebben geen adequaatheidsbesluit van de Europese Commissie of van het VK. De AVG en de UK GDPR gelden wel rechtstreeks voor ons, omdat we onze dienst in de EU en het VK aanbieden, en je houdt alle rechten uit artikel 9.
Ben je klant in de EU of het VK en verwerken wij de contacten en statistieken van jouw kaart in jouw opdracht, dan horen de standaardcontractbepalingen van de Europese Commissie (besluit 2021/914, module twee) en het Britse International Data Transfer Addendum bij onze verwerkersovereenkomst.
Voor onze Amerikaanse verwerkers Vercel, Resend en Stripe geldt het EU-VS Data Privacy Framework, en de Britse uitbreiding daarvan, of gelden de standaardcontractbepalingen die in hun verwerkersovereenkomsten zijn opgenomen.
Onder de PDPL van de VAE mogen gegevens de VAE alleen verlaten met passende waarborgen. Die regelen we met elke partij hierboven contractueel; het UAE Data Office heeft nog geen lijst van goedgekeurde landen of eigen modelbepalingen gepubliceerd.
8. Beveiliging
Alle verbindingen zijn versleuteld. In de database kan elke klant alleen bij zijn eigen gegevens. Alleen medewerkers die het nodig hebben voor hun werk kunnen in het beheer, en elke actie daar controleert dat opnieuw. Ontdekken we een datalek dat jou raakt, dan melden we dat aan de toezichthouder en aan jou zoals de wet voorschrijft; kaarteigenaren horen het binnen 48 uur na ontdekking.
9. Je rechten
Je mag je gegevens inzien, laten verbeteren of verwijderen, de verwerking laten beperken, bezwaar maken tegen een verwerking, je gegevens meenemen en bezwaar maken tegen een besluit dat alleen door een computer is genomen (dat nemen we niet). Heb je toestemming gegeven, dan kun je die altijd intrekken. Deze rechten heb je onder de PDPL, de AVG en de UK GDPR.
Veel kun je zelf: je gegevens downloaden als bestand en je account verwijderen in Dashboard → Instellingen of in de app, je contacten exporteren als CSV in je dashboard.
Voor de rest mail je ons op info@heresmine.app. We reageren binnen een maand en vragen je soms eerst te bewijzen wie je bent. Het kost niets.
Ben je het niet eens met hoe we met je gegevens omgaan, dan kun je een klacht indienen: in de VAE bij het UAE Data Office, in de EU bij de toezichthouder van je land (in Nederland de Autoriteit Persoonsgegevens) en in het Verenigd Koninkrijk bij de ICO. Liever eerst bij ons? Dat mag altijd.
10. Kinderen
heresmine is niet bedoeld voor kinderen. Bestellen kan alleen als je 18 of ouder bent. Ben je jonger dan 16, laat dan geen gegevens achter via een kaart. Merken we dat we gegevens van een kind hebben, dan verwijderen we ze.
12. Wijzigingen
Verandert er iets belangrijks, dan passen we deze verklaring aan en melden we het aan klanten per e-mail. De versie en de datum staan bovenaan.