AVG-beleid

1. De AVG in het kort en onze inzet

De Algemene verordening gegevensbescherming (AVG) is een omvattende privacywet die regelt hoe persoonsgegevens van personen binnen de Europese Economische Ruimte (EER) worden verzameld, verwerkt en opgeslagen.

PrintedIn zet zich volledig in om aan de AVG te voldoen. Wij verwerken persoonsgegevens rechtmatig, behoorlijk en transparant. Wij verzamelen gegevens uitsluitend voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden, en zorgen dat ze toereikend en ter zake dienend zijn en beperkt blijven tot wat noodzakelijk is.

2. Gegevens van de verwerkingsverantwoordelijke

Onder de AVG treedt PrintedIn op als verwerkingsverantwoordelijke voor de persoonsgegevens van onze gebruikers. Dat betekent dat wij het doel van en de middelen voor de verwerking van persoonsgegevens vaststellen.

3. Grondslag voor de verwerking

Op grond van artikel 6 van de AVG verwerken wij persoonsgegevens op de volgende gronden:

Waar wij ons op toestemming baseren, heb je het recht die toestemming op elk moment in te trekken. Intrekking doet geen afbreuk aan de rechtmatigheid van de verwerking vóór de intrekking.

4. Categorieën persoonsgegevens

Wij verwerken de volgende categorieën persoonsgegevens:

5. Rechten van betrokkenen

Op grond van de AVG heb je de volgende rechten met betrekking tot je persoonsgegevens. Wij reageren op alle geldige verzoeken binnen 30 dagen (met 60 dagen te verlengen bij complexe verzoeken):

5.1 Recht op inzage (Art. 15)

Je hebt het recht bevestiging te krijgen of wij je persoonsgegevens verwerken, en een kopie van je gegevens op te vragen in een gangbaar elektronisch formaat.

5.2 Recht op rectificatie (Art. 16)

Je hebt het recht te verzoeken om correctie van onjuiste persoonsgegevens of om aanvulling van onvolledige gegevens. De meeste gegevens kun je zelf direct aanpassen via je profielinstellingen.

5.3 Recht op gegevenswissing (Art. 17)

Je hebt het recht te verzoeken om verwijdering van je persoonsgegevens ("recht op vergetelheid"), behoudens geldende wettelijke verplichtingen (bijvoorbeeld fiscale administratie die bewaard moet blijven).

5.4 Recht op beperking (Art. 18)

Je kunt verzoeken om beperking van de verwerking terwijl wij de juistheid van je gegevens controleren, ons gerechtvaardigd belang afwegen, of wanneer de verwerking onrechtmatig is maar je je tegen wissing verzet.

5.5 Recht op dataportabiliteit (Art. 20)

Je hebt het recht je persoonsgegevens te ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat (JSON of CSV), en deze over te dragen aan een andere verwerkingsverantwoordelijke.

5.6 Recht van bezwaar (Art. 21)

Je hebt het recht bezwaar te maken tegen verwerking op basis van gerechtvaardigd belang of ten behoeve van direct marketing. Wij staken de verwerking, tenzij wij dwingende gerechtvaardigde gronden kunnen aantonen die zwaarder wegen dan jouw belangen.

5.7 Rechten bij geautomatiseerde besluitvorming (Art. 22)

Wij maken geen gebruik van geautomatiseerde besluitvorming of profilering met rechtsgevolgen of vergelijkbare aanmerkelijke gevolgen voor jou.

6. Verwerkingsactiviteiten

Wij houden een register van verwerkingsactiviteiten bij, zoals artikel 30 van de AVG vereist. Onze belangrijkste verwerkingen zijn:

• Registratie van gebruikers: Verwerking van naam, e-mailadres en wachtwoord om een account aan te maken.
• Productontwerp: Verwerking van geüploade afbeeldingen en tekst om ontwerpvoorbeelden te maken.
• Uitvoering van bestellingen: Verwerking van adressen en betaalgegevens voor het drukken en verzenden.
• Klantenservice: Verwerking van berichten en accountgegevens om vragen af te handelen.
• Marketing: Verwerking van e-mailadressen voor het versturen van de nieuwsbrief (op basis van toestemming).
• Analyse: Verwerking van gebruiksgegevens om onze diensten te verbeteren (op basis van toestemming).
• Advertenties: Verwerking van paginabezoeken en aankopen om advertenties te meten en doelgroepen op te bouwen (op basis van toestemming).

6.1 Subverwerkers

Wij schakelen de volgende categorieën subverwerkers in, steeds met passende verwerkersovereenkomsten:

7. Internationale doorgifte van gegevens

Wij slaan persoonsgegevens hoofdzakelijk op en verwerken ze binnen de Europese Economische Ruimte (EER). Wanneer doorgifte buiten de EER nodig is, waarborgen wij passende bescherming via:

• Adequaatheidsbesluiten: Doorgifte naar landen waarvoor de EU een adequaatheidsbesluit heeft genomen.
• Modelcontractbepalingen (SCC's): Door de EU goedgekeurde contractvoorwaarden die een gelijkwaardig beschermingsniveau waarborgen.
• Aanvullende maatregelen: Extra technische en organisatorische maatregelen waar nodig (versleuteling, pseudonimisering).

8. Maatregelen voor gegevensbescherming

Overeenkomstig artikel 32 van de AVG treffen wij passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen:

8.1 Technische maatregelen

• TLS 1.3-versleuteling van begin tot eind voor alle gegevens onderweg
• AES-256-versleuteling voor opgeslagen persoonsgegevens
• Wachtwoord-hashing met bcrypt en een aanpasbare kostenfactor
• Regelmatige geautomatiseerde beveiligingsscans en -tests
• Netwerksegmentatie en firewallbescherming
• Logging en monitoring van databasetoegang

8.2 Organisatorische maatregelen

• Training en bewustwordingsprogramma’s over gegevensbescherming voor medewerkers
• Toegangsbeheer volgens het beginsel van minimale bevoegdheden
• Geheimhoudingsovereenkomsten met alle medewerkers en opdrachtnemers
• Gegevensbeschermingseffectbeoordelingen (DPIA’s) bij verwerkingen met een hoog risico
• Periodieke evaluaties en audits van verwerkingsactiviteiten
• Procedures voor incidentrespons en escalatieprotocollen

9. Melding van datalekken

Overeenkomstig de artikelen 33 en 34 van de AVG hebben wij procedures vastgesteld voor het afhandelen van datalekken:

• Toezichthoudende autoriteiten: Wij melden een inbreuk in verband met persoonsgegevens die waarschijnlijk een risico oplevert voor de rechten en vrijheden van personen binnen 72 uur nadat wij daarvan kennis hebben genomen bij de bevoegde toezichthoudende autoriteit. Voor betrokkenen in het Verenigd Koninkrijk is dat het Information Commissioner’s Office (ICO). Voor betrokkenen in de Europese Economische Ruimte is dat de bevoegde autoriteit in de betrokken lidstaat — wij zijn niet in de EU gevestigd, dus de melding verloopt niet via één leidende autoriteit.
• Betrokken personen: Wij stellen betrokkenen zonder onredelijke vertraging op de hoogte wanneer een inbreuk waarschijnlijk een hoog risico oplevert voor hun rechten en vrijheden.
• Vastlegging: Alle datalekken worden, ongeacht de ernst, vastgelegd in ons datalekregister, met de feiten, de gevolgen en de genomen maatregelen.

10. Functionaris voor gegevensbescherming

Wij hebben een functionaris voor gegevensbescherming (FG) aangesteld die binnen onze organisatie toeziet op naleving van de AVG. Je kunt onze FG benaderen met vragen of zorgen over gegevensbescherming:

11. Toezichthouder en klachten

Meen je dat onze verwerking van je persoonsgegevens in strijd is met de privacywetgeving, dan heb je het recht een klacht in te dienen bij een toezichthoudende autoriteit (artikel 77). Welke autoriteit dat is, hangt af van waar jij bent, niet van waar wij zijn:

11.1 Als je je in de Europese Economische Ruimte bevindt

Je kunt een klacht indienen bij de toezichthoudende autoriteit van de lidstaat waar je woont, waar je werkt of waar de vermeende inbreuk heeft plaatsgevonden. Omdat wij in het Verenigd Koninkrijk zijn gevestigd en niet in de Unie, treedt geen enkele autoriteit voor ons op als leidende autoriteit — je eigen nationale autoriteit is bevoegd; in Nederland is dat de Autoriteit Persoonsgegevens. Het Europees Comité voor gegevensbescherming publiceert de actuele contactgegevens van elke nationale autoriteit:

11.2 Als je je in het Verenigd Koninkrijk bevindt

Het Information Commissioner’s Office is de toezichthouder voor het Verenigd Koninkrijk. De onderstaande gegevens zijn die van het ICO zelf — het zijn niet onze contactgegevens; om ons te bereiken, zie het onderdeel over de functionaris voor gegevensbescherming hierboven.

Het uitoefenen van dit recht kost je niets en je hoeft daarvoor niet eerst contact met ons op te nemen — maar wij lossen een probleem liever op dan dat het zover komt. Schrijf je naar privacy@printedin.com, dan antwoorden wij binnen 30 dagen.