Privacybeleid

1. Wie we zijn

Domanda is een handelsnaam van Lorenzo Darsie, een eenmanszaak geregistreerd in Nederland.

• Geregistreerd adres: Hoogstraat 110, 3111 HL Schiedam, Nederland
• KVK-nummer: 74562568
• BTW-nummer: NL002499550B72

Neem voor privacygerelateerde vragen contact op via ons contactformulier en selecteer de AVG-categorie.

2. Op wie dit beleid van toepassing is

Dit beleid is van toepassing op twee verschillende groepen mensen:

• Accounthouders — mensen die zich registreren op Domanda om interviewconfiguraties te maken en te beheren. Voor deze gegevens is Domanda de verwerkingsverantwoordelijke.
• Respondenten — mensen die deelnemen aan een interview dat is gemaakt door een accounthouder. Voor respondentgegevens is de accounthouder (de onderzoeker die het interview heeft gemaakt) de verwerkingsverantwoordelijke en treedt Domanda op als verwerker namens hen. Respondenten dienen de privacyverklaring te lezen die aan het begin van elk interview wordt weergegeven en eventuele vragen te richten aan de onderzoeker die hen de interviewlink heeft gestuurd.

3. Gegevens die we verzamelen en waarom

Accounthouders

Respondenten

Wanneer iemand deelneemt aan een interview dat wordt gehost op Domanda, kunnen de volgende gegevens worden verzameld namens de accounthouder (de verwerkingsverantwoordelijke):

• Gespreksinhoud — de berichten die worden uitgewisseld tijdens het interview.
• Sessie-identifier — een tijdelijke identifier die wordt gebruikt om berichten binnen dezelfde sessie te koppelen. Deze is niet gekoppeld aan een naam, e-mailadres of een andere persoonlijke identifier, tenzij de respondent een Domanda-account heeft.
• Bronparameter — hoe de respondent is aangekomen (bijv. via een gedeelde link of QR-code), opgeslagen als een niet-identificerend label.

De accounthouder bepaalt het doel en de bewaring van respondentgegevens via de privacy-instellingen die ze voor elk interview configureren. Domanda verwerkt deze gegevens uitsluitend op hun instructies.

4. Derde partijen die je gegevens ontvangen

Google Cloud (Vertex AI) — subverwerker

Gespreksinhoud wordt verzonden naar Google Cloud Vertex AI om de AI-interviewmotor aan te sturen. Google verwerkt deze gegevens namens ons onder de Google Cloud Data Processing Addendum. Google is contractueel verboden om deze gegevens te gebruiken om zijn modellen te trainen. Gegevensoverdrachten vallen onder Standaard Contractuele Clausules (SCC's). Zie voor details de Data Processing Addendum van Google.

Mollie — onafhankelijke verwerkingsverantwoordelijke

Betalingen worden verwerkt door Mollie B.V., een erkende betaalinstelling die wordt gereguleerd door De Nederlandsche Bank. Mollie treedt op als onafhankelijke verwerkingsverantwoordelijke voor betalingsgegevens, onderworpen aan haar eigen wettelijke verplichtingen onder PSD2 en anti-witwasregelgeving. We delen je factuurgegevens met Mollie uitsluitend om betalingstransacties uit te voeren. Zie voor details over hoe Mollie je gegevens verwerkt Privacybeleid van Mollie.

Hostingprovider

Onze servers en database worden gehost door Hosting.com op infrastructuur die zich binnen de Europese Unie bevindt. Je gegevens verlaten de EU niet als onderdeel van onze hostingregeling.

E-mailbezorging

Transactionele e-mails (zoals facturen en ondersteuningsantwoorden) worden verzonden via de SMTP-service van onze hostingprovider. E-mailinhoud kan je naam en e-mailadres bevatten.

We gebruiken geen andere diensten van derden die persoonsgegevens ontvangen en we verkopen persoonsgegevens niet aan derden.

5. Internationale gegevensoverdrachten

Gespreksinhoud wordt verwerkt door Google Cloud Vertex AI. Hoewel Google wereldwijd actief is, worden overdrachten van persoonsgegevens buiten de Europese Economische Ruimte geregeld door Standaard Contractuele Clausules die zijn goedgekeurd door de Europese Commissie, wat een gelijkwaardig beschermingsniveau biedt als vereist door de AVG. Alle andere gegevensverwerking vindt plaats binnen de EU.

6. Gegevensbewaring

Gegevens van accounthouders

We bewaren je accountgegevens zolang je account actief is. Je kunt je account op elk moment verwijderen via de accountinstellingenpagina. Bij verwijdering worden je configuraties en alle bijbehorende gespreksgegevens permanent gewist. Sommige factureringsgegevens (facturen, transactielogboeken) kunnen tot 7 jaar worden bewaard om te voldoen aan de Nederlandse financiële administratieverplichtingen.

Respondentgegevens

De bewaring van respondentgespreksgegevens wordt bepaald door de accounthouder via de privacy-instellingen van elke interviewconfiguratie. Opties variëren van onbepaalde bewaring (totdat de accounthouder de gegevens verwijdert) tot automatische verwijdering na een vaste periode. Een gepland proces wordt dagelijks uitgevoerd om gespreksgegevens te verwijderen die het geconfigureerde bewaarvenster hebben overschreden.

7. Cookies

We gebruiken alleen strikt noodzakelijke cookies. Er worden geen analyse-, reclame- of trackingcookies ingesteld.

Omdat deze cookies strikt noodzakelijk zijn voor het functioneren van de dienst, is er geen toestemmingsbanner vereist op grond van de Nederlandse Telecomwet.

8. Jouw rechten

Als Domanda-accounthouder heb je de volgende rechten onder de AVG:

• Inzage (Art. 15) — je kunt een kopie opvragen van de persoonsgegevens die we over je bewaren.
• Rectificatie (Art. 16) — je kunt ons vragen onjuiste gegevens te corrigeren.
• Verwijdering (Art. 17) — je kunt je account en alle bijbehorende gegevens op elk moment verwijderen via de accountinstellingenpagina. Voor specifieke verwijderingsverzoeken gebruik je ons contactformulier.
• Overdraagbaarheid (Art. 20) — accounthouders kunnen interviewreactiegegevens exporteren in CSV- of JSON-formaat vanuit het dashboard (beschikbaar voor configuraties met de juiste privacy-instellingen). Voor een kopie van je eigen accountgegevens kun je contact met ons opnemen via het contactformulier.
• Beperking (Art. 18) — je kunt ons vragen de verwerking van je gegevens in bepaalde omstandigheden te beperken.
• Bezwaar (Art. 21) — je kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.

Om een van deze rechten uit te oefenen, gebruik je ons contactformulier en selecteer de AVG-categorie. We reageren binnen 30 dagen. Je hebt ook het recht om een klacht in te dienen bij de Nederlandse toezichthoudende autoriteit, de Autoriteit Persoonsgegevens.

9. Rechten voor interviewrespondenten

Als je hebt deelgenomen aan een interview dat wordt gehost op Domanda, is de accounthouder (de onderzoeker die het interview heeft gemaakt en gedeeld) de verwerkingsverantwoordelijke voor je antwoorden. Je AVG-rechten met betrekking tot die gegevens dienen aan hen te worden gericht, niet aan Domanda.

Domanda bewaart je naam, e-mailadres of een andere directe identifier niet in verband met je antwoorden. Omdat we je niet kunnen identificeren aan de hand van de gegevens die we bewaren, zijn we niet in staat om rechtstreeks aan rechtsverzoeken te voldoen (AVG Art. 11 en overweging 57). De accounthouder kan je gegevens mogelijk identificeren en verwijderen als je contact met hem opneemt met voldoende informatie om je antwoorden te vinden.

Als je later een Domanda-account hebt aangemaakt, kun je je rechten uitoefenen door in te loggen en de functie voor accountverwijdering te gebruiken, waarmee alle gesprekken die aan je account zijn gekoppeld worden gewist.

10. Gegevensbeveiliging

We implementeren de volgende technische en organisatorische maatregelen om je gegevens te beschermen:

• Al het verkeer wordt in transit versleuteld via HTTPS (TLS). HTTP-verzoeken worden automatisch omgeleid naar HTTPS in productie.
• Sessie- en CSRF-cookies worden ingesteld met de Secure vlag zodat ze nooit worden verzonden via niet-versleutelde verbindingen.
• Wachtwoorden worden opgeslagen als eenrichtingscryptografische hashes en worden nooit opgeslagen of gelogd als platte tekst.
• Cross-site request forgery (CSRF)-bescherming wordt afgedwongen op alle verzoeken die de status wijzigen.
• Clickjacking-bescherming wordt afgedwongen via X-Frame-Options headers.
• Een Content Security Policy wordt toegepast op alle pagina's om de bronnen te beperken van waaruit scripts en stijlen kunnen worden geladen.
• Transactionele e-mails worden verzonden via TLS-versleutelde SMTP-verbindingen.
• Toegang tot persoonsgegevens is beperkt tot uitsluitend bevoegd personeel.

11. Datalekken

In het geval van een datalek zullen we de Autoriteit Persoonsgegevens binnen 72 uur op de hoogte stellen zoals vereist door AVG Art. 33, en zullen we getroffen gebruikers informeren waar vereist door Art. 34.

12. Wijzigingen in dit beleid

We kunnen dit beleid van tijd tot tijd bijwerken. We zullen geregistreerde accounthouders per e-mail op de hoogte stellen van significante wijzigingen voordat ze van kracht worden. De versiegeschiedenis hieronder registreert alle gepubliceerde versies.

13. Neem contact met ons op

Voor vragen over dit privacybeleid of om je rechten uit te oefenen, gebruik je ons contactformulier en selecteer de AVG-categorie. We streven ernaar binnen 5 werkdagen te reageren.