Privacybeleid
Deze kennisgeving is van kracht sinds 16 november 2021 · Versie: 1.0
Het bedrijf SOOMA.COM – WEB SERVICES, LDA. verwerkt uw persoonsgegevens met respect, transparant en in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG). Uw gegevens worden verwerkt en opgeslagen op servers in Portugal en de back-ups worden bewaard in Berlijn, Duitsland, altijd binnen de Europese Unie.
1. Verwerkingsverantwoordelijke
SOOMA.COM – WEB SERVICES, LDA.
Rua Dom João I, 99
4450-143 Matosinhos
Portugal (EU)
Ondernemingsnummer (NIPC): 515 060 445
Telefoon: 210 205 164 of 220 280 335
Email: hello@sooma.com
Website: sooma.com
Contact: Fernando Costa
Functionaris voor gegevensbescherming: dpo@sooma.com
Er is formeel een functionaris voor gegevensbescherming aangesteld.
2. Persoonsgegevens die wij verzamelen
2.1. Gegevens die u rechtstreeks aan ons verstrekt
- Identificatiegegevens: naam, functie, bedrijf
- Contactgegevens: e-mailadres, telefoonnummer
- Accountgegevens: inloggegevens voor de dienst en het beheerpaneel
- Factuurgegevens: factuuradres, fiscaal identificatienummer (NIF/NIPC), betaalgegevens
- Communicatie: berichten verzonden via de contactformulieren en de ondersteuning
2.2. Gegevens die in het kader van de e-maildienst worden verwerkt
Als aanbieder van e-maildiensten slaat Sooma namens de klant de inhoud van berichten, bijlagen, contacten en agenda's in de mailboxen op en verzendt deze. Deze gegevens:
- worden uitsluitend verwerkt om de overeengekomen dienst te leveren;
- worden niet geanalyseerd voor commerciële, advertentie- of profileringsdoeleinden;
- vallen onder het wettelijke communicatiegeheim.
In de relatie met zakelijke klanten treedt Sooma op als verwerker (art. 28 AVG) voor de persoonsgegevens in de mailboxen; de klant is de verwerkingsverantwoordelijke. Een verwerkersovereenkomst (DPA) is beschikbaar, als bijlage bij de dienstverleningsovereenkomst, en wordt op verzoek verstrekt.
2.3. Automatisch verzamelde gegevens
- Gebruiksgegevens van de website: bezochte pagina's, sessieduur
- Technische gegevens en logbestanden: IP-adres, browsertype, verbindings- en e-mailbezorgingslogs (metadata), nodig voor de werking, de beveiliging en de bestrijding van misbruik
- Cookies en vergelijkbare technologieën: zoals beschreven in ons Cookiebeleid
3. Doeleinden en rechtsgronden van de verwerking
| Doel | Rechtsgrond |
|---|---|
| Levering van e-mail-, agenda- en contactendiensten | Uitvoering van een overeenkomst (art. 6, lid 1, onder b, AVG) |
| Afgifte en bewaring van het bewijs van Aangetekende e-mail (dienst voor elektronisch aangetekende bezorging, artikel 43 van eIDAS) | Uitvoering van een overeenkomst (art. 6, lid 1, onder b, AVG); gerechtvaardigd belang bij het bewaren van het bewijs (art. 6, lid 1, onder f, AVG) |
| Facturering en financieel beheer | Wettelijke verplichting (art. 6, lid 1, onder c, AVG) |
| Technische ondersteuning en klantenservice | Uitvoering van een overeenkomst / gerechtvaardigd belang |
| Netwerk- en informatiebeveiliging, voorkoming van misbruik en fraude | Gerechtvaardigd belang (art. 6, lid 1, onder f, AVG; overweging 49); naleving van cyberbeveiligingsverplichtingen (Richtlijn (EU) 2022/2555, NIS2) |
| Marketingcommunicatie (nieuwsbrief) | Toestemming (art. 6, lid 1, onder a, AVG) |
| Naleving van wettelijke verplichtingen en bevelen van autoriteiten | Wettelijke verplichting (art. 6, lid 1, onder c, AVG) |
4. Bewaartermijnen
Wij bewaren elke categorie gegevens niet langer dan nodig is voor het doel dat de verwerking rechtvaardigt, of zolang de wet dat vereist.
4.1. Account-, contract- en factuurgegevens
| Gegevens | Doel | Bewaartermijn | Toegang |
|---|---|---|---|
| Naam, e-mailadres, contact- en accountgegevens | Uitvoering van de overeenkomst en klantenondersteuning | Gedurende de looptijd van de overeenkomst en tot 10 jaar na afloop | Systeembeheer, klantenondersteuning, directie |
| Factuur- en betaalgegevens | Naleving van fiscale verplichtingen | 10 jaar | Boekhouding, directie |
| Communicatie met de klantenondersteuning | Bewijs en opvolging van het verzoek | 2 jaar na afsluiting van het verzoek | Klantenondersteuning, systeembeheer |
4.2. Inhoud van de dienst
| Gegevens | Doel | Bewaartermijn | Toegang |
|---|---|---|---|
| Inhoud van mailboxen, agenda's en contacten | Levering van de Dienst | Looptijd van de dienst; verwijdering 60 dagen na beëindiging | Geen toegang, behalve voor zover strikt noodzakelijk om de Dienst te leveren of op verzoek van de Klant |
| Bewijs van Aangetekende e-mail (certificaten van verzending en bezorging, met een gekwalificeerd tijdstempel) | Bewijs van verzending, bezorging en inhoud (dienst voor elektronisch aangetekende bezorging, artikel 43 van eIDAS) | 7 jaar vanaf afgifte, volgens de Algemene Voorwaarden; ter beschikking gesteld aan de Klant in een speciale map van zijn mailbox | Systeembeheer |
4.3. Technische logbestanden
Wij bewaren geen verkeersgegevens voor strafrechtelijk onderzoek. De onderstaande logbestanden dienen uitsluitend om de werking van de Dienst te waarborgen, misbruik te voorkomen en op beveiligingsincidenten te reageren.
| Systeem | Geregistreerde gegevens | Doel | Bewaartermijn | Toegang |
|---|---|---|---|---|
| Webmail en beheerpaneel | Datum, tijd en IP-adres van de toegang | Opsporing van ongeoorloofde toegang | 14 dagen | Systeembeheer, klantenondersteuning |
| SMTP-servers en antispamfilters | Afzender, ontvanger, berichtidentificatie en -grootte. Noch de inhoud noch het onderwerp wordt geregistreerd | Aantonen van bezorging of ontvangst bij een klacht; voorkomen van misbruik | 14 dagen | Systeembeheer, klantenondersteuning |
| IMAP- en POP3-servers | Account, datum, tijd en IP-adres van de verbinding | Controle op ongeoorloofde toegang | 14 dagen | Systeembeheer, klantenondersteuning |
| website sooma.com | Toegangsgegevens van de webserver | Beveiliging en werking van de website | 14 dagen | Systeembeheer |
Na afloop van deze termijnen worden de logbestanden verwijderd of geanonimiseerd, tenzij ze bewaard moeten blijven voor het onderzoek van een specifiek beveiligingsincident of om te voldoen aan een rechtmatig bevel van een bevoegde autoriteit met betrekking tot specifieke gegevens.
4.4. Overige
| Gegevens | Bewaartermijn |
|---|---|
| Marketingcommunicatie | Tot intrekking van de toestemming |
| Sollicitaties | Zie punt 9 |
5. Delen van gegevens met derden
Sooma verkoopt, verhuurt of verhandelt geen persoonsgegevens. Gegevens kunnen worden gedeeld met:
- Gekwalificeerde certificeringsinstanties (Asseco, Multicert): voor de afgifte van eIDAS-certificaten, uitsluitend de strikt noodzakelijke gegevens
- Betaalinstellingen: de gegevens die strikt noodzakelijk zijn om betalingen te verwerken, worden gedeeld met partnerbanken en parabancaire instellingen die in de Europese Unie zijn gevestigd
- Overheidsinstanties: wanneer de wet dat vereist of op grond van een geldig rechterlijk bevel van een bevoegde autoriteit naar Portugees of Europees recht
De servers van Sooma staan in datacenters in Portugal, op basis van een housing-overeenkomst (colocatie). De exploitant van de faciliteit levert uitsluitend ruimte, stroom, koeling en fysieke beveiliging en heeft geen toegang tot de apparatuur of tot de gegevens die erop zijn opgeslagen. Back-ups worden versleuteld bewaard in een datacenter in Berlijn, Duitsland, binnen de Europese Unie.
5.1. Wat wij niet doen
Voor alle duidelijkheid verklaren wij uitdrukkelijk dat Sooma niet:
- persoonsgegevens verkoopt, verhuurt of overdraagt aan derden;
- de inhoud van communicatie analyseert voor commerciële of advertentiedoeleinden;
- gebruikersprofielen opstelt (profilering) op basis van de verwerkte gegevens;
- geautomatiseerde besluiten neemt met rechtsgevolgen of vergelijkbare aanzienlijke gevolgen voor betrokkenen;
- gegevens gebruikt voor gedragsgerichte advertenties, voor zichzelf of voor derden.
6. Internationale doorgiften
Persoonsgegevens worden uitsluitend verwerkt en opgeslagen op servers in de Europese Unie: in Portugal en, voor back-ups, in Berlijn, Duitsland. Wij geven geen persoonsgegevens door aan derde landen. Sooma valt niet onder extraterritoriale toegangswetgeving van derde landen (zoals de Amerikaanse CLOUD Act).
7. Uw rechten
Op grond van de AVG: inzage (art. 15), rectificatie (art. 16), wissing (art. 17), beperking (art. 18), overdraagbaarheid (art. 20), bezwaar (art. 21) en het intrekken van toestemming op elk moment.
Overdraagbaarheid in de praktijk: de inhoud van mailboxen, agenda's en contacten kan op elk moment door de Klant zelf worden geëxporteerd via de open protocollen IMAP, CalDAV en CardDAV, in gangbare en machineleesbare formaten, zonder voorafgaand verzoek. Voor alle overige gegevens volstaat een verzoek aan de functionaris voor gegevensbescherming.
Om uw rechten uit te oefenen: dpo@sooma.com. Wij reageren binnen maximaal 30 dagen. U hebt ook het recht om een klacht in te dienen bij de Portugese toezichthouder voor gegevensbescherming, de CNPD (Comissão Nacional de Proteção de Dados,cnpd.pt).
8. Gegevensbeveiliging
Sooma heeft passende technische en organisatorische maatregelen getroffen (art. 32 AVG), waaronder:
- TLS 1.3-versleuteling tijdens de overdracht en AES-256-versleuteling in rust
- FIPS 140-2 Level 3 gecertificeerde Hardware Security Modules (HSM) voor het verzegelen van het bewijs van Aangetekende e-mail
- Rolgebaseerde toegangscontrole en registratie van toegang
- Regelmatige back-ups en redundante infrastructuur
- Continue beveiligingsmonitoring
Sooma is bezig met de invoering en certificering van een ISMS volgens ISO/IEC 27001 en met de afstemming op de eisen van Richtlijn (EU) 2022/2555 (NIS2).
Bij een inbreuk in verband met persoonsgegevens die waarschijnlijk een risico voor betrokkenen inhoudt, meldt Sooma dit binnen 72 uur aan de CNPD (art. 33 AVG) en, waar wettelijk vereist, aan de betrokkenen (art. 34).
9. Sollicitaties
- Persoonsgegevens die kandidaten toesturen, spontaan of in reactie op een vacature, worden uitsluitend verwerkt voor de wervingsprocedure, op grond van precontractuele stappen die op verzoek van de betrokkene worden genomen.
- Als een arbeidsovereenkomst wordt gesloten, worden de gegevens bewaard overeenkomstig de toepasselijke arbeidswetgeving.
- Als geen overeenkomst wordt gesloten, worden de gegevens binnen 6 maanden na mededeling van de beslissing verwijderd, tenzij de kandidaat uitdrukkelijk toestemt met bewaring voor toekomstige vacatures.
10. Gerelateerde documenten
Dit Beleid moet worden gelezen in samenhang met de Algemene Gebruiksvoorwaarden, het Antispambeleid en het Cookiebeleid, beschikbaar op sooma.com. In de relatie met zakelijke klanten en overheidsinstanties geldt daarnaast de verwerkersovereenkomst (DPA) die als bijlage bij de dienstverleningsovereenkomst is gevoegd.
11. Wijzigingen in dit Beleid
Dit beleid kan worden bijgewerkt. De geldende versie is altijd beschikbaar op sooma.com, met vermelding van de datum van de laatste wijziging. Wezenlijke wijzigingen worden aan klanten meegedeeld.