Juridisch

Privacy statement

CybearSquad B.V. respecteert uw privacy en verwerkt persoonsgegevens uitsluitend conform de Algemene Verordening Gegevensbescherming (AVG/GDPR). Wij houden de hoeveelheid gegevens die wij verwerken zo klein mogelijk.

1. Wie is verantwoordelijk, en waarvoor

CybearSquad B.V., gevestigd te Rijswijk, ingeschreven bij de Kamer van Koophandel onder nummer 86522027.

Er zijn twee situaties, met een verschillende rol:

• Onze eigen verwerkingen: bezoek aan cybeareye.nl, intake-aanvragen, wachtlijst, e-mail en klantadministratie. Daarvoor zijn wij verwerkingsverantwoordelijke en geldt deze verklaring.
• De gegevens die u in het platform zet: daarvoor is uw eigen organisatie verwerkingsverantwoordelijke en zijn wij verwerker. Die verwerking is geregeld in de verwerkersovereenkomst, die onderdeel is van de overeenkomst.

Contact voor privacy- en AVG-vragen: privacy@cybeareye.nl.

2. Welke gegevens verwerken wij

Bezoekers van cybeareye.nl

• IP-adres, browser-type, datum en tijd van bezoek, opgevraagde pagina (server-logs)
• Anonieme, geaggregeerde statistieken via Plausible (cookieloos, EU): welke pagina's bekeken worden, waar bezoekers vandaan komen, bijvoorbeeld een advertentie of LinkedIn, en welke knoppen zij gebruiken

Intake-aanvragen, wachtlijst-aanmeldingen en e-mail-correspondentie

• Intake-formulier: naam, organisatie, KvK-nummer (optioneel), aantal medewerkers, e-mailadres en telefoonnummer (optioneel)
• Wachtlijst: uw e-mailadres
• Eventuele aanvullende informatie die u zelf in uw bericht opneemt (vraag, context)

Deze gegevens gebruiken wij uitsluitend om contact met u op te nemen over uw aanvraag. Intake- en wachtlijst-gegevens bewaren wij tot 12 maanden na het laatste contact.

Klantadministratie

• Bedrijfsnaam, adres, KvK-nummer, btw-nummer, contactpersoon en factuurgegevens
• Betaalstatus en incassogegevens, verwerkt door onze betaaldienstverlener. Wij zien zelf geen volledige rekening- of kaartgegevens

Het CybearEye-platform (app.cybeareye.nl)

Wanneer uw organisatie klant is, verwerken wij in het platform de gegevens die u zelf invoert:

• Accountgegevens: naam, e-mailadres, functie en rol van de gebruikers die u uitnodigt
• Inhoud van uw ISMS: assets, processen, risico's, incidenten, leveranciers, documenten en taken, inclusief de personen die u daaraan als eigenaar koppelt
• Audit-trail: wie welke wijziging heeft gedaan en wanneer. Dat is een eis vanuit de normen waarop het platform is gebouwd en is niet uit te zetten
• Gegevens uit koppelingen: alleen wanneer uw organisatie een koppeling aanzet, bijvoorbeeld met de personeelsadministratie, Microsoft 365 of Google Workspace

Voor deze verwerking zijn wij verwerker. Uw organisatie bepaalt welke gegevens erin komen en met welk doel.

Cookies en tracking

Wij plaatsen geen cookies en gebruiken geen tracking-pixels op cybeareye.nl. Voor bezoekersstatistieken gebruiken wij Plausible: dat werkt zonder cookies, slaat geen IP-adressen op, volgt u niet over andere websites en stuurt geen gegevens naar de Verenigde Staten. De verwerking vindt volledig binnen de EU plaats. Voor het platform op app.cybeareye.nl gebruiken wij wel functionele sessie-cookies, alleen actief tijdens een actieve login-sessie.

3. Doelen

• Intake, wachtlijst en e-mail: contact met u opnemen over uw aanvraag, u op de hoogte houden van de lancering, uw vraag of verzoek beantwoorden, en eventueel een proefperiode of contract aanbieden
• Klantadministratie: het contract uitvoeren, factureren en voldoen aan onze fiscale en administratieve verplichtingen
• Server-logs: technische beschikbaarheid en security-monitoring
• Plausible-statistieken: begrijpen welke pagina's en campagnes bezoekers naar ons brengen en waar zij afhaken, om de website te verbeteren

4. Grondslag

• Intake, wachtlijst, e-mail, contractgesprekken: uw toestemming, of de noodzaak om uitvoering te geven aan een (toekomstige) overeenkomst (artikel 6 lid 1 sub a en b AVG)
• Klantadministratie en facturatie: uitvoering van de overeenkomst en onze wettelijke plicht tot het voeren van een administratie (artikel 6 lid 1 sub b en c AVG)
• Server-logs en security-monitoring: ons gerechtvaardigd belang om de dienst beschikbaar en veilig te houden (artikel 6 lid 1 sub f AVG)
• Plausible-statistieken: ons gerechtvaardigd belang om te weten hoe de website wordt gebruikt, zonder cookies en zonder herleidbare gegevens (artikel 6 lid 1 sub f AVG)

5. Bewaartermijnen

• Intake- en wachtlijst-gegevens: tot 12 maanden na het laatste contact, of eerder wanneer u zich uitschrijft of om verwijdering vraagt
• E-mail-correspondentie: tot 24 maanden na laatste contact, daarna verwijderd
• Facturen en administratie: 7 jaar, op grond van de fiscale bewaarplicht
• Server-logs: maximaal 30 dagen
• Plausible-statistieken: alleen geaggregeerd, zonder gegevens die tot een persoon te herleiden zijn
• Platformgegevens: zolang de overeenkomst loopt. Na beëindiging heeft u 30 dagen om te exporteren, daarna verwijderen wij de gegevens
• Backups: maximaal 30 dagen. Verwijdert u gegevens, dan verdwijnen die binnen die termijn ook uit onze backups

6. Doorgifte buiten de EU

Wij geven uw gegevens niet door aan partijen buiten de EU. Onze infrastructuur staat in Nederland, onze AI-leverancier (Mistral) in Parijs, onze statistiekenleverancier (Plausible) in Tallinn. Wij maken geen gebruik van Amerikaanse cloud-leveranciers en hebben geen blootstelling aan de CLOUD Act.

Koppelt uw organisatie CybearEye aan Microsoft 365 of Google Workspace, of logt u daarmee in, dan is dat uw eigen leverancier. Die partijen zijn geen verwerkers van ons. CybearEye haalt er alleen de gegevens op die de koppeling nodig heeft.

7. Verwerkers

Voor de uitvoering van onze dienstverlening schakelen wij de onderstaande verwerkers in. Dit is de volledige lijst: er zijn er niet meer, en er zit geen partij buiten de EU tussen.

Met al deze partijen hebben wij verwerkersovereenkomsten gesloten conform artikel 28 AVG. Willen wij een verwerker toevoegen of vervangen, dan melden wij dat minimaal 30 dagen vooraf aan onze klanten, zodat zij daar bezwaar tegen kunnen maken. De volledige afspraken staan in onze verwerkersovereenkomst.

8. Kunstmatige intelligentie

Het platform bevat AI-ondersteuning die u helpt bij het invullen en beoordelen van uw ISMS. Daarvoor gelden vier harde regels:

• Op uw actie, met één uitzondering. Een analyse start wanneer u erom vraagt. De uitzondering is een overeenkomst die u in de Bibliotheek uploadt: die leest CybearAI direct, zodat u meteen ziet waar die afwijkt van uw leveranciersbeleid. Dat staat standaard aan en een beheerder zet het uit in Instellingen, onder Bibliotheek. Verder draait er niets op de achtergrond mee.
• Zo min mogelijk gegevens. Bij asset-analyses sturen wij alleen categorieën en ja/nee-kenmerken, dus geen namen, locaties, eigenaren of vrije tekst. Bij andere analyses sturen wij de inhoud van het object waar u op dat moment aan werkt. Zet daar geen bijzondere persoonsgegevens in.
• Binnen de EU, niet voor training. De verwerking loopt via Mistral AI in Parijs. Wij gebruiken uw gegevens niet om modellen te trainen en hebben dat contractueel ook zo met onze AI-leverancier vastgelegd.
• Advies, geen besluit. AI-uitvoer is een voorstel dat u overneemt of weggooit. Er worden geen geautomatiseerde besluiten genomen met rechtsgevolg of vergelijkbare gevolgen, zoals bedoeld in artikel 22 AVG.

9. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om uw gegevens te beschermen. Een overzicht van onze maatregelen vindt u op de security-pagina.

10. Datalekken

Ontdekken wij een datalek, dan onderzoeken en beperken wij dat direct. Raakt het lek gegevens van een klant, dan informeren wij die klant zonder onnodige vertraging, met de informatie die nodig is om te beoordelen of melding aan de Autoriteit Persoonsgegevens en aan betrokkenen verplicht is. Voor onze eigen verwerkingen melden wij zelf binnen 72 uur aan de Autoriteit Persoonsgegevens wanneer de AVG dat vereist.

11. Uw rechten

U heeft het recht om:

• Inzage te krijgen in de gegevens die wij van u verwerken
• Onjuiste gegevens te laten corrigeren
• Uw gegevens te laten verwijderen
• Uw gegevens in een gestructureerd formaat te ontvangen of aan een andere partij over te laten dragen
• Bezwaar te maken tegen de verwerking
• Uw toestemming op elk moment in te trekken

Stuur uw verzoek naar privacy@cybeareye.nl. Wij reageren binnen vier weken, en in elk geval binnen de wettelijke termijn van één maand. Om misbruik te voorkomen kunnen wij u vragen het verzoek te bevestigen vanaf het e-mailadres dat bij ons bekend is. Een kopie van uw identiteitsbewijs vragen wij niet.

Gaat uw verzoek over gegevens in het platform, dan is uw eigen werkgever of opdrachtgever de verantwoordelijke. Richt uw verzoek dan aan die organisatie. Wij ondersteunen onze klanten daarbij: beheerders kunnen in het platform zelf een volledige export maken en gegevens laten verwijderen.

12. Klacht

Als u meent dat wij uw gegevens niet correct verwerken, hopen wij dat u eerst contact met ons opneemt zodat wij dit kunnen oplossen. U heeft daarnaast het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens, autoriteitpersoonsgegevens.nl.

13. Wijzigingen

Wij kunnen dit privacy statement aanpassen, bijvoorbeeld bij gewijzigde wetgeving of nieuwe diensten. Wijzigingen publiceren wij op deze pagina met een nieuwe datum bovenaan. Bij een wijziging die onze klanten raakt, melden wij dat ook per e-mail.