1.Wie verantwoordelijk is voor jouw gegevens
Greener Ahead is de verwerkingsverantwoordelijke voor de verwerking die in dit beleid wordt beschreven.
- Gevestigd op: Philitelaan 59 57, 5617 AK Eindhoven, Nederland
- Kamer van Koophandel (KvK): 85351660
- btw-nummer: NL004086201B68
- Privacyvragen en verzoeken: privacy@greenerahead.com
We hebben geen functionaris voor gegevensbescherming aangesteld, omdat we daar op grond van artikel 37 AVG niet toe verplicht zijn. Het bovenstaande privacyadres bereikt de personen die verantwoordelijk zijn voor gegevensbescherming.
2.Wanneer dit beleid van toepassing is, en wanneer dat van je werkgever geldt
Dit beleid is van toepassing op persoonsgegevens waarvan wij bepalen hoe en waarom ze worden verwerkt. Dat is het geval wanneer je:
- https://greenerahead.com bezoekt,
- ons e-mailt, toegang tot een proefversie aanvraagt of op een andere manier contact met ons opneemt,
- een account hebt in de Greener Ahead-applicatie op https://app.greenerahead.com, voor de gegevens die we nodig hebben om je account te laten werken, je organisatie te factureren, je te ondersteunen en de service veilig te houden,
- een uitnodiging, enquête of gedeelde rapportlink ontvangt van een klant, voor de technische gegevens die we nodig hebben om die veilig te leveren.
Het is niet van toepassing op de inhoud die onze klanten in hun werkruimte plaatsen. Een bedrijf dat in Greener Ahead een VSME-rapport, CO₂-voetafdruk, klimaatstrategie of levenscyclusanalyse opstelt, bepaalt zelf wat daarin komt, inclusief gegevens over zijn medewerkers, leveranciers en contacten. Voor die inhoud is de klant verwerkingsverantwoordelijke en zijn wij verwerker onder de Verwerkersovereenkomst in onze Servicevoorwaarden. Ben je werknemer, leverancier of zakelijke contactpersoon van een van onze klanten en wil je weten wat zij over jou hebben ingevoerd, of wil je dat laten corrigeren of verwijderen, vraag dat dan aan dat bedrijf. We helpen hen reageren.
Voorbeeld. Als je werkgever je vraagt een woon-werkverkeersenquête in te vullen via een Greener Ahead-link, behoren je antwoorden tot de voetafdruk van je werkgever. Je werkgever is de verwerkingsverantwoordelijke. Wij slaan de antwoorden voor hen op en gebruiken ze nergens anders voor.
3.Welke persoonsgegevens we verwerken
Websitebezoekers
Optionele cookies worden alleen geplaatst nadat je ze hebt toegestaan in het cookiedialoogvenster; zie hieronder Cookies en vergelijkbare technologieën en de Cookieverklaring. We meten paginabezoeken, het downloaden van bronnen en klikken op productlinks met PostHog alleen nadat je toestemming hebt gegeven voor statistieken en onze service je keuze heeft bevestigd. Je kunt dit in hetzelfde dialoogvenster intrekken. We verzamelen geen formulierinhoud en maken geen sessie-opnames op de website. Fonts worden vanaf ons eigen domein geleverd. Onze hostingprovider bewaart standaard serverlogs met je IP-adres, de opgevraagde pagina's, het tijdstip en je browsertype, die we alleen gebruiken om de site beschikbaar en veilig te houden.
Mensen die contact met ons opnemen of een proefversie aanvragen
Wanneer je ons e-mailt: het e-mailadres, je naam, je bedrijf en wat je schrijft. Wanneer je toegang tot een proefversie aanvraagt, daarnaast de bedrijfsgegevens die nodig zijn om een werkruimte in te richten.
Accounthouders in de applicatie
- Identiteit en aanmelding: naam, zakelijk e-mailadres, de identificatiecode die is toegewezen door onze aanmeldingsprovider, de aanmeldmethode die je gebruikt (wachtwoord of single sign-on van je organisatie), sessietokens en het tijdstip en IP-adres van aanmeldingen.
- Lidmaatschap van de werkruimte: bij welke werkruimte en welk bedrijf je hoort, je rol en rechten, uitnodigingen die je hebt verstuurd of geaccepteerd.
- Activiteitenhistorie: de handelingen die je in de werkruimte uitvoert (bijvoorbeeld een disclosure beantwoorden, een rapport goedkeuren, een bestand exporteren of een link delen), de betreffende bron en het tijdstip. Deze historie is een functie van het product: beheerders van de werkruimte kunnen die zien, en die bestaat zodat een rapport kan worden teruggevoerd naar wie wat heeft gewijzigd.
- Voorkeuren: taal, thema en vergelijkbare instellingen, opgeslagen in je browser.
- Support: de inhoud van supportgesprekken en de technische context die jij of de applicatie met ons deelt om die op te lossen.
- Productanalyse: als je dat in Instellingen toestaat, de productacties die je in de applicatie uitvoert, onder een willekeurige identifier die voor die toestemming is aangemaakt in plaats van je naam, e-mailadres of account-ID. Eerdere versies konden gebruiksgebeurtenissen en accountidentificaties verzenden, inclusief namen en e-mailadressen; die gegevens en je rechten daarop blijven onder dit beleid vallen. Zie sectie 10.
- Meldingen: als je browsermeldingen inschakelt, het push-abonnement dat je browser afgeeft.
Facturatiecontacten
De naam, het e-mailadres, de bedrijfsnaam, het factuuradres en het btw-nummer die bij het afrekenen zijn opgegeven, factuurhistorie en betaalstatus. Betaalkaartgegevens worden rechtstreeks ingevoerd bij onze betaaldienstverlener, Stripe, en bereiken onze systemen nooit; wij ontvangen alleen het type betaalmethode, de laatste vier cijfers en de vervaldatum voor weergave.
Mensen die door een klant zijn uitgenodigd
Wanneer een klant je een verzoek, enquête of rapportlink stuurt, verwerken wij het e-mailadres dat zij voor jou hebben ingevoerd, het ondertekende token dat de pagina opent, het tijdstip waarop de link is geopend of beantwoord, je IP-adres en browsertype voor beveiliging, en wat je indient. Wat je indient is de inhoud van de klant (sectie 2). We maken voor jou geen account aan en nemen om onze eigen redenen geen contact met je op.
Geüploade documenten
Klanten kunnen facturen, meterstanden, salarissamenvattingen en vergelijkbaar bewijs uploaden. Deze documenten bevatten vaak persoonsgegevens, zoals de naam van een rekeninghouder of een chauffeur van het wagenpark. Ze worden namens de klant verwerkt zoals beschreven in sectie 2 en sectie 5.
4.Waarom we dit verwerken, en op welke rechtsgrond
De AVG vereist voor elk verwerkingsdoel een rechtsgrond. Die van ons staan hieronder. Waar we ons baseren op gerechtvaardigde belangen, hebben we die afgewogen tegen jouw belangen en rechten; je kunt ons om de beoordeling vragen.
| Doel | Gegevens | Rechtsgrond |
|---|---|---|
| De applicatie aan jouw organisatie leveren: accounts, aanmelding, rechten, werkruimtefuncties, exports | Identiteit, lidmaatschap, activiteitenhistorie, voorkeuren | Uitvoering van een overeenkomst met jouw organisatie (art. 6(1)(b)); als jij gebruiker bent maar niet de contractpartij, ons gerechtvaardigd belang om de door onze klant gekochte service te leveren (art. 6(1)(f)) |
| Een proefversie opzetten en laten werken | Contact- en bedrijfsgegevens | Stappen op jouw verzoek voorafgaand aan een overeenkomst, en uitvoering van de proefversie (art. 6(1)(b)) |
| Facturering, btw-bepaling, incasso en het factureringsportaal | Facturatiecontactgegevens, factuurhistorie | Uitvoering van een overeenkomst (art. 6(1)(b)); wettelijke verplichting om boekhoudgegevens te bewaren (art. 6(1)(c), art. 52 van de Nederlandse Algemene wet inzake rijksbelastingen en art. 2:10 van het Burgerlijk Wetboek) |
| Uitnodigingen, enquêtes en gedeelde rapportlinks veilig leveren, en registreren dat ze zijn gebruikt | E-mailadres, token, toegangstijd, IP-adres | Gerechtvaardigd belang van onze klant en van ons in een betrouwbare en traceerbare samenwerkingsfunctie (art. 6(1)(f)) |
| Een activiteitenhistorie bijhouden in de werkruimte | Handeling, actie, bron, tijd | Nakoming van een overeenkomst: traceerbaarheid maakt deel uit van het product (art. 6(1)(b)); ons gerechtvaardigd belang bij het aantonen van de integriteit van rapporten (art. 6(1)(f)) |
| Beveiliging: misbruik opsporen, accounts beschermen, incidenten onderzoeken, serverlogs bijhouden | IP-adres, inloggegevens, technische logs | Gerechtvaardigd belang bij de beveiliging van de dienst (art. 6(1)(f)); wettelijke verplichting om persoonsgegevens te beveiligen (art. 32 AVG) |
| Ondersteuning en het beantwoorden van vragen | Contactgegevens, inhoud van het gesprek | Nakoming van een overeenkomst of stappen voorafgaand daaraan (art. 6(1)(b)); anders gerechtvaardigd belang om mensen die ons schrijven te beantwoorden (art. 6(1)(f)) |
| Optionele productanalyse in de applicatie | Productacties onder een willekeurige identificatie per toestemming; eerder verzamelde gebruiksgebeurtenissen en accountidentificatoren | Toestemming (art. 6(1)(a) AVG en art. 11.7a Telecommunicatiewet); intrekking en andere privacyrechten blijven gelden voor eerder verzamelde gegevens |
| Servicemails: uitnodigingen, meldingen die u hebt ingeschakeld, wijzigingen in voorwaarden, beveiligingsmeldingen, facturen | E-mailadres, naam | Nakoming van een overeenkomst (art. 6(1)(b)); wettelijke verplichting voor bepaalde meldingen (art. 6(1)(c)) |
| Bestaande klanten per e-mail informeren over nieuwe producten en functies | Zakelijk e-mailadres | Gerechtvaardigd belang om klanten te informeren over vergelijkbare producten (art. 6(1)(f), art. 11.7(3) Telecommunicatiewet); elke dergelijke e-mail bevat een afmeldlink |
| De dienst verbeteren met behulp van geaggregeerde, gedeïdentificeerde gebruiksinformatie | Geaggregeerde statistieken die niemand identificeren | Geen persoonsgegevens meer nadat ze zijn geaggregeerd; de aggregatie zelf berust op gerechtvaardigd belang (art. 6(1)(f)) |
| Het vaststellen, uitoefenen of verdedigen van juridische vorderingen; voldoen aan rechtmatige verzoeken van autoriteiten | Alles wat relevant is voor de vordering of het verzoek | Wettelijke verplichting (art. 6(1)(c)); gerechtvaardigd belang (art. 6(1)(f)) |
We verkopen geen persoonsgegevens, gebruiken ze niet voor advertenties en nemen geen besluiten over u op basis van uitsluitend geautomatiseerde verwerking die rechtsgevolgen of vergelijkbare significante gevolgen hebben.
5.AI-ondersteunde functies
Sommige functies gebruiken tekstherkenning en taalmodellen om cijfers uit documenten te halen, categorieën voor te stellen, antwoorden op te stellen of door u gevraagde wijzigingen uit te voeren. Controleer gegenereerde inhoud en wijzigingen voordat u erop vertrouwt.
Wanneer een klant een AI-ondersteunde functie gebruikt, wordt het relevante document of tekstfragment voor dat doel verzonden naar de provider die in sectie 6 wordt genoemd. Tekstherkenning maakt gebruik van Google Cloud's Document AI via het Europese-Unie-eindpunt. Verzoeken aan taalmodellen gebruiken de OpenAI API. Het gepubliceerde API-beleid van OpenAI sluit training uit, tenzij de klant zich daarvoor aanmeldt; standaardretentie voor misbruikmonitoring kan tot 30 dagen bedragen, behoudens toepasselijke uitzonderingen. Sommige functies, waaronder promptcaching, hebben afzonderlijke bewaartermijnen. Een verzoek verzenden betekent niet dat de gegevens daarna meteen worden verwijderd. Zie OpenAI's data controls. Wij trainen geen eigen modellen op klantinhoud.
Omdat deze functies verwerken wat er in het document staat, schrijven de Algemene Voorwaarden van de klant voor dat zij AI-ondersteunde functies niet gebruiken op bijzondere categorieën van gegevens of gegevens over kinderen. Persoonsgegevens die incidenteel voorkomen, zoals een naam op een factuur, worden alleen verwerkt om de cijfers te extraheren en voor geen enkel ander doel gebruikt.
6.Wie uw gegevens ontvangt
We gebruiken een klein aantal dienstverleners die namens ons persoonsgegevens verwerken (subverwerkers). Met elk daarvan is een verwerkersovereenkomst gesloten die voldoet aan artikel 28 AVG. Op de ingangsdatum zijn dat:
| Verstrekker | Waarvoor | Waar | Doorgiftebescherming |
|---|---|---|---|
| Amazon Web Services EMEA SARL | Hosting, database, versleutelde bestandsopslag, transactionele e-mail (Amazon SES) | Frankfurt, Duitsland (eu-central-1) | EU-hostinglocatie; internationale toegang en overige verwerking worden apart behandeld in sectie 7 |
| WorkOS, Inc. | Inloggen, single sign-on en sessiebeheer (AuthKit) | Verenigde Staten | EU-standaardcontractbepalingen |
| Stripe Payments Europe, Ltd. | Betalingen, facturering, btw-berekening en het facturatieportaal | Ierland, met verwerking in de Verenigde Staten | EU Standard Contractual Clauses (binnen de groep) |
| Google Cloud EMEA Ltd. | Tekstherkenning (Document AI) op documenten die je uploadt om antwoorden vooraf in te vullen | Europese Unie (endpoint eu-documentai.googleapis.com) | EU-tekstherkenningsendpoint; internationale toegang en overige verwerking worden apart behandeld in sectie 7 |
| PostHog, Inc. | Optionele website- en applicatieanalyse | Europese Unie (PostHog Cloud EU, Frankfurt) | Opgeslagen in de EU; EU Standard Contractual Clauses dekken toegang door PostHog, Inc. vanuit de Verenigde Staten |
| OpenAI Ireland Ltd. | Schrijfsuggesties en documentextractie wanneer je een AI-ondersteunde functie gebruikt | Ierland, met verwerking in de Verenigde Staten | EU Standard Contractual Clauses; de OpenAI API-voorwaarden sluiten training op jouw gegevens uit |
Klanten met een workspace ontvangen ten minste 30 dagen van tevoren per e-mail bericht voordat we een subverwerker toevoegen of vervangen, zoals uiteengezet in de Verwerkersovereenkomst.
Naast subverwerkers kunnen persoonsgegevens worden ontvangen door:
- Uw eigen organisatie. Workspacebeheerders zien de leden, rollen en activiteitsgeschiedenis van hun workspace.
- Mensen met wie onze klanten delen. Wanneer een klant een rapportlink deelt met een bank, klant of auditor, ziet de ontvanger wat de klant heeft gekozen om bekend te maken. Dat beslist de klant, niet wij.
- Professionele adviseurs zoals onze accountant, advocaten en verzekeraars, onder geheimhouding, waar nodig.
- Autoriteiten wanneer wij daartoe wettelijk verplicht zijn, zoals de belastingdienst voor boekhoudkundige gegevens of op basis van een gerechtelijk bevel. We toetsen elk verzoek en verstrekken niet meer dan vereist.
- Een opvolger als ons bedrijf wordt verkocht of samengevoegd, onder dezelfde verplichtingen als dit beleid, met bericht aan u.
7.Internationale doorgiften
De applicatiedatabase en de bestandsopslag van de applicatie gebruiken de regio Frankfurt van Amazon Web Services. Tekstherkenning maakt gebruik van Google Cloud's EU-eindpunt. Deze hostinglocaties betekenen niet dat elke handeling van een leverancier of toegang tot persoonsgegevens binnen de Europese Economische Ruimte plaatsvindt.
Internationale verwerking omvat inloggegevens, factureringsgegevens, analysegegevens en de document- of tekstfragmenten die door AI-ondersteunde functies worden gebruikt, afhankelijk van de provider en de functie. Elke doorgifte buiten de Europese Economische Ruimte vereist een passende waarborg onder hoofdstuk V AVG, zoals een adequaatheidsbesluit of Standaardcontractbepalingen, met de beoordeling en aanvullende maatregelen die voor die doorgifte vereist zijn. Een EU-eindpunt van een provider of deelname aan een certificeringsregeling dekt op zichzelf niet elke verwerkingsactiviteit. U kunt informatie over de voor uw gegevens toepasselijke waarborgen aanvragen via privacy@greenerahead.com.
8.Hoe lang we het bewaren
We bewaren persoonsgegevens niet langer dan nodig is voor het doel waarvoor ze zijn verzameld en verwijderen of anonimiseren ze daarna. De belangrijkste termijnen zijn:
| Gegevens | Bewaartermijn |
|---|---|
| Account- en lidmaatschapsgegevens | Lidmaatschapsgegevens hebben betrekking op de relevante workspace. Het verwijderen van een lidmaatschap beëindigt de toegang tot die workspace; het sluit niet iemands globale account en verwijdert diens toegang tot andere organisaties niet. Het sluiten van een globaal account en het wissen van persoonsgegevens worden afzonderlijk afgehandeld, inclusief eventuele gerechtvaardigde bewaring en openstaande verwijderingsverplichtingen. Zie sectie 11 om een verzoek in te dienen. |
| Workspace-inhoud, inclusief activiteitsgeschiedenis en geüploade documenten | Totdat de klant deze verwijdert of het abonnement eindigt. Na afloop van een abonnement is de workspace 30 dagen alleen-lezen voor export, daarna wordt deze binnen 90 dagen verwijderd en binnen nog eens 35 dagen uit roterende back-ups verwijderd. Alleen-lezen proef-workspaces kunnen 90 dagen na het einde van de proefperiode worden verwijderd, met een kennisgeving van 14 dagen. |
| Uitnodigings-, enquête- en sharelinktokens en de bijbehorende toegangsgegevens | Totdat de link verloopt of wordt ingetrokken, daarna als onderdeel van de activiteitsgeschiedenis van de workspace. |
| Facturen en boekhoudkundige gegevens | 7 jaar na afloop van het boekjaar, zoals vereist door Nederlands fiscaal en boekhoudkundig recht. |
| Support- en contactmails | 2 jaar nadat het gesprek is afgesloten, tenzij het een contract of vordering betreft die langer loopt. |
| Proefaanvragen die niet tot een account leiden | 12 maanden. |
| Server- en beveiligingslogs | 90 dagen, langer alleen indien nodig voor een lopend onderzoek. |
| Productanalysegebeurtenissen | 12 maanden, daarna verwijderd of geaggregeerd. Eerder verwijderd wanneer u uw toestemming intrekt of uw account wordt verwijderd. |
| Browser push-abonnementen | Totdat u meldingen uitschakelt of uw account wordt verwijderd. |
| Gegevens die relevant zijn voor een juridische vordering | Totdat de vordering is afgewikkeld en de verjaringstermijn is verstreken. |
9.Hoe we het beschermen
We passen de technische en organisatorische maatregelen toe die zijn beschreven in Bijlage 2 van onze Servicevoorwaarden. Kort samengevat: hosting in de EU op privénetwerken, versleuteling tijdens transport en in rust, inclusief door Amazon S3 beheerde versleutelingssleutels voor bestandsopslag, strikte scheiding tussen klanten die in elke query wordt afgedwongen, op rollen gebaseerde toegang tot op het niveau van één gegevenspunt, ondertekende links voor één doel die verlopen en kunnen worden ingetrokken, een alleen-toevoegen-activiteitsgeschiedenis, dagelijkse back-ups, beoordeelde codewijzigingen en multifactorauthenticatie voor iedereen die de dienst beheert.
Wanneer wij als verwerkingsverantwoordelijke optreden, melden wij een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en, indien haalbaar, binnen 72 uur nadat wij daarvan kennis hebben genomen, aan de bevoegde toezichthoudende autoriteit, tenzij het onwaarschijnlijk is dat de inbreuk een risico vormt voor de rechten en vrijheden van betrokkenen. Als een inbreuk waarschijnlijk een hoog risico inhoudt, informeren wij ook de getroffen personen zonder onredelijke vertraging, met inachtneming van de uitzonderingen in artikel 34 AVG. Wanneer wij workspacegegevens van een klant namens die klant verwerken, stellen wij die klant zonder onredelijke vertraging en in ieder geval binnen de bestaande contractuele termijn van 48 uur na kennisneming op de hoogte. We verstrekken nadere informatie zodra die beschikbaar komt.
11.Uw rechten
Onder de AVG hebt u het recht om:
- inzage te krijgen in de persoonsgegevens die wij over u bewaren en een kopie te ontvangen (art. 15);
- rectificatie te krijgen van onjuiste of onvolledige gegevens (art. 16);
- uw gegevens te laten wissen in de omstandigheden die zijn vastgelegd in art. 17, bijvoorbeeld wanneer deze niet langer nodig zijn of wanneer u toestemming intrekt;
- de verwerking te beperken zolang een geschil over de juistheid of rechtmatigheid wordt opgelost (art. 18);
- de gegevens te ontvangen die u aan ons hebt verstrekt, in een gestructureerd, gangbaar en machineleesbaar formaat, en deze waar technisch haalbaar te laten doorgeven aan een andere aanbieder (art. 20);
- bezwaar te maken tegen verwerking op basis van gerechtvaardigde belangen vanwege uw specifieke situatie, en op elk moment bezwaar te maken tegen directe marketing (art. 21);
- toestemming in te trekken op elk moment, zonder dat dit gevolgen heeft voor verwerking die vóór de intrekking heeft plaatsgevonden (art. 7(3)).
Om een recht uit te oefenen, e-mailt u privacy@greenerahead.com vanaf het adres waarmee wij u kennen, of vanaf een ander adres met voldoende informatie zodat wij kunnen verifiëren dat u de betrokkene bent. Wij reageren zonder onredelijke vertraging en binnen één kalendermaand na ontvangst van het verzoek. Indien nodig wegens de complexiteit of het aantal verzoeken kunnen wij deze termijn met maximaal twee extra maanden verlengen; wij leggen de verlenging en de redenen daarvoor uit binnen de oorspronkelijke maand. Het uitoefenen van uw rechten is kosteloos, tenzij een verzoek kennelijk ongegrond of buitensporig is.
Als uw verzoek betrekking heeft op gegevens die een klant in zijn werkruimte heeft ingevoerd, sturen wij het door naar die klant, omdat die over die gegevens beslist (sectie 2), en ondersteunen wij hen bij het beantwoorden ervan.
U hebt ook het recht om een klacht in te dienen bij een toezichthoudende autoriteit. In Nederland is dat de Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl. U kunt ook klagen bij de autoriteit van het EU-land waar u woont of werkt. Wij stellen het op prijs als u ons eerst de kans geeft uw zorg weg te nemen.
12.Kinderen
De website en de applicatie zijn bedoeld voor bedrijven en hun personeel. Wij verwerken niet bewust persoonsgegevens van kinderen jonger dan 16 jaar voor onze eigen doeleinden. Als u denkt dat een kind persoonsgegevens aan ons heeft verstrekt, neem dan contact op met privacy@greenerahead.com en wij verwijderen deze.
13.Wijzigingen in dit beleid
Wij werken dit beleid bij wanneer onze verwerking verandert, bijvoorbeeld wanneer wij een product, een subverwerker of een functie toevoegen. Het versienummer en de ingangsdatum bovenaan laten zien welke versie u leest. Materiële wijzigingen worden vóórdat ze ingaan per e-mail of in de applicatie aan accounthouders aangekondigd. Eerdere versies zijn op verzoek beschikbaar.
14.Contact
Greener Ahead
Philitelaan 59 57, 5617 AK Eindhoven, Nederland
Kamer van Koophandel 85351660
Privacy: privacy@greenerahead.com
Beveiliging: security@greenerahead.com
Algemeen: hello@greenerahead.com