Privacybeleid

1. Wie verantwoordelijk is

De verwerkingsverantwoordelijke voor de hier beschreven verwerking, in de zin van art. 4, punt 7, AVG, is:

Wij zijn niet verplicht een functionaris voor gegevensbescherming aan te stellen en hebben er geen aangesteld. Schrijf voor alles wat in dit beleid staat naar het adres hierboven.

2. Waarop dit beleid van toepassing is

Op grantlark.com, de applicatie op app.grantlark.com, onze API en de e-mails die wij u sturen. Het geldt niet voor de aanbestedingsportalen waarnaar wij linken; die hebben hun eigen beleid.

3. Wat wij verzamelen, en waarom

3.1 Account

Uw e-mailadres, uw naam als u die opgeeft, een hash van uw wachtwoord als u er een instelt, en het tijdstip waarop u voor het laatst heeft ingelogd. Wij hebben deze gegevens nodig om u überhaupt een account te kunnen geven. Rechtsgrond: art. 6, lid 1, onder b, AVG, uitvoering van de overeenkomst.

Vraagt u ons om u een link te sturen waarmee u een nieuw wachtwoord kunt kiezen, dan bewaren wij een hash van het eenmalige token in die link en het tijdstip waarop deze verloopt, zodat de link kan worden gecontroleerd en daarna buiten gebruik wordt gesteld. Rechtsgrond: art. 6, lid 1, onder b, AVG.

3.2 Inloggen met Google of Microsoft

U kunt inloggen met een Google- of Microsoft-account in plaats van met een wachtwoord, en u kunt een dergelijk account koppelen aan een account dat u al heeft. Doet u dat, dan stuurt die aanbieder ons de accountidentificatie die hij voor u gebruikt, het e-mailadres daarvan, of de aanbieder dat adres heeft geverifieerd, en uw naam voor zover hij die verstrekt.

Wij bewaren de naam van de aanbieder, die identificatie en het e-mailadres zoals dat luidde toen u de koppeling maakte, zodat wij u de volgende keer herkennen en zodat de pagina met inlogmethoden u kan tonen welke accounts zijn gekoppeld. Het is de identificatie en niet het e-mailadres die u aan uw account verbindt, wat betekent dat het wijzigen van uw adres bij de aanbieder u niet buitensluit. Rechtsgrond: art. 6, lid 1, onder b, AVG.

Google en Microsoft zijn hierbij niet onze verwerkers. Zij bepalen zelf wat zij doen met het gegeven dat u heeft ingelogd, als afzonderlijke verwerkingsverantwoordelijken onder hun eigen privacybeleid, en wij hebben daarin geen aandeel. U kunt een aanbieder op elk moment ontkoppelen op de pagina met inlogmethoden, tenzij het de enige manier is waarop u kunt inloggen; stel in dat geval eerst een wachtwoord in.

3.3 Uw bedrijfsprofiel

Het profiel dat u opbouwt gaat over een bedrijf en niet over een persoon, maar het kan persoonsgegevens bevatten als u die erin zet: de bedrijfsnaam en de website, een beschrijving van wat u doet, uw capaciteiten, CPV-classificaties, de landen waarin u werkt, een bandbreedte voor de opdrachtwaarde, trefwoorden, uitsluitingen, en het adres waarnaar u het dagelijkse overzicht wilt laten sturen. Rechtsgrond: art. 6, lid 1, onder b, AVG.

3.4 Hoe u de feed gebruikt

Welke aankondigingen aan u zijn gematcht, welke u heeft bewaard of verborgen, en alle feedback die u op een match geeft. Wij gebruiken die feedback om de matching te verbeteren. Rechtsgrond: art. 6, lid 1, onder b, AVG voor de feed zelf, en art. 6, lid 1, onder f, AVG, ons gerechtvaardigd belang bij een dienst die beter matcht, voor de verbetering.

3.5 Betalingen

Neemt u een abonnement, dan bewaren wij uw abonnement, de status daarvan en de klant- en abonnementsidentificaties van Stripe. Uw zakelijke factuuradres, uw btw-identificatienummer en uw betaalgegevens worden door Stripe bewaard en niet door ons; wij ontvangen nooit uw volledige kaartnummer. Facturen worden door Stripe op basis van die gegevens opgemaakt. Rechtsgrond: art. 6, lid 1, onder b, AVG, en art. 6, lid 1, onder c, AVG voor de factuur- en belastingadministratie die wij verplicht zijn te bewaren.

3.6 E-mail die wij versturen

Wij sturen transactionele e-mail over uw account, zoals de bevestiging van een aankoop of een link om een nieuw wachtwoord te kiezen wanneer u daarom vraagt, en, als u dat instelt, een dagelijks overzicht naar het adres dat u heeft gekozen. Onze e-mailaanbieder registreert afleveringsgebeurtenissen zoals afgeleverd, onbestelbaar en als ongewenst gemeld, zodat wij kunnen vaststellen of een overzicht is aangekomen. Rechtsgrond: art. 6, lid 1, onder b, AVG.

3.7 E-mail die u ons stuurt

Wat u ons schrijft, en uw adres, zodat wij kunnen antwoorden en een dossier van de zaak kunnen bijhouden. Rechtsgrond: art. 6, lid 1, onder b, en art. 6, lid 1, onder f, AVG.

3.8 Technische logbestanden

Onze hostingaanbieders registreren voor elk verzoek de gebruikelijke informatie aan de serverzijde, waaronder het IP-adres, het tijdstip, het opgevraagde pad en de user agent. Wij gebruiken die om de dienst te laten draaien, om storingen op te sporen en om misbruik te herkennen. Rechtsgrond: art. 6, lid 1, onder f, AVG.

4. Persoonsgegevens van andere mensen

Aanbestedingsaankondigingen worden gepubliceerd door aanbestedende diensten en noemen vaak een contactpersoon bij de aanbestedende organisatie, met een zakelijk e-mailadres of telefoonnummer. Die gegevens bereiken ons als onderdeel van de openbare aankondiging, zij worden verwerkt zodat wij u de aankondiging kunnen tonen zoals zij is gepubliceerd, en onze rechtsgrond is art. 6, lid 1, onder f, AVG, het gerechtvaardigd belang van u en van de uitgever erbij dat de aankondiging potentiële inschrijvers bereikt.

Die contactgegevens worden gepubliceerd zodat leveranciers vragen kunnen stellen over een procedure. Ze gebruiken voor ongerelateerde marketing is zowel een schending van deze Voorwaarden als, in de meeste gevallen, onrechtmatig.

Voert u persoonsgegevens van iemand anders in een profiel in, dan bent u er verantwoordelijk voor dat u daarvoor een rechtsgrond heeft.

5. AI-verwerking

De matching gebeurt met hulp van AI-modellen die door derden worden geëxploiteerd. Er worden twee dingen naar hen gestuurd:

• De tekst van uw profiel en de tekst van een aanbestedingsaankondiging, naar een groot taalmodel, om de relevantie te beoordelen en de toelichting te schrijven die u ziet.
• Profiel- en aankondigingstekst, naar een embeddingsmodel, om de numerieke representaties te maken waarmee kandidaten worden voorgeselecteerd.

Het e-mailadres van uw account, uw wachtwoord, uw betaalgegevens en uw factuuradres worden nooit naar een modelaanbieder gestuurd. Beide aanbieders verwerken deze gegevens als onze verwerkers, onder hun API-voorwaarden, en geen van beide gebruikt ze om hun modellen te trainen.

Geen enkel geautomatiseerd besluit heeft rechtsgevolgen voor u. Een relevantiescore bepaalt de volgorde van een lijst die u leest; zij beslist niets over u in de zin van artikel 22 AVG.

6. Verwerkers die wij inschakelen

Deze aanbieders verwerken persoonsgegevens namens ons, elk onder een verwerkersovereenkomst. Waar gegevens de Europese Economische Ruimte verlaten, baseren wij ons op de standaardcontractbepalingen van de Europese Commissie en, waar de aanbieder gecertificeerd is, op het EU-U.S. Data Privacy Framework.

Wij verkopen uw gegevens niet, wij delen ze niet met adverteerders, en wij gebruiken uw profiel niet voor reclame.

7. Doorgiften buiten de EER

Onze database, onze API en onze matching-engine draaien in de Europese Unie. De modelaanbieders in artikel 6 verwerken in de Verenigde Staten, en sommige andere aanbieders verwerken wereldwijd. Voor elke doorgifte baseren wij ons op een of meer van de volgende: de standaardcontractbepalingen, Besluit (EU) 2021/914; certificering onder het EU-U.S. Data Privacy Framework waar de aanbieder gecertificeerd is; en aanvullende maatregelen zoals versleuteling tijdens verzending, versleuteling in rust en toegangsbeheer.

Schrijf naar hello@grantlark.com als u de details wilt van de waarborgen die op een bepaalde doorgifte van toepassing zijn.

8. Beveiliging

• TLS tijdens verzending, afgedwongen op elk Grantlark-domein.
• Versleuteling in rust voor de database.
• Wachtwoorden opgeslagen als bcrypt-hashes en nooit in leesbare vorm.
• Sessietokens in HTTP-only cookies met de attributen Secure en SameSite in productie, nooit in browseropslag die een script kan uitlezen.
• Secrets in Google Cloud Secret Manager, nooit in de broncode.
• Een procedure voor incidentrespons, met inbegrip van melding aan de toezichthoudende autoriteit binnen 72 uur op grond van artikel 33 AVG en aan getroffen gebruikers op grond van artikel 34 AVG waar het risico dat vereist.

Geen enkel systeem is volmaakt veilig. Vindt u een beveiligingsprobleem, schrijf dan naar hello@grantlark.com voordat u het openbaar maakt.

9. Cookies

Wij houden dit bewust klein. Grantlark plaatst drie eigen cookies:

Alle drie zijn strikt noodzakelijk en vrijgesteld van toestemming op grond van § 25 lid 2 nr. 2 TDDDG. De twee sessiecookies zijn precies wat een ingelogde dienst is, en de taalcookie legt een keuze vast die u heeft gemaakt en doet verder niets; geen van drieën wordt gebruikt om u over websites heen te herkennen of om een profiel op te bouwen. Alleen op de factureringspagina plaatst Stripe eigen cookies voor fraudepreventie, die even noodzakelijk zijn om een betaling veilig te kunnen uitvoeren.

Wij gebruiken geen analytics, geen advertentiecookies, geen retargetingpixels en geen sessieopnames, en wij slaan verder niets op uw apparaat op. Omdat wij niets plaatsen waarvoor toestemming nodig is, is er geen cookiebanner.

10. Hoe lang wij dingen bewaren

11. Uw rechten

Bevindt u zich in de EER, het Verenigd Koninkrijk of een ander rechtsgebied met vergelijkbare rechten, dan heeft u de volgende rechten:

• Inzage, artikel 15. Vraag om een kopie van de gegevens die wij over u bewaren.
• Rectificatie, artikel 16. Vraag ons om te corrigeren wat onjuist is.
• Gegevenswissing, artikel 17. Vraag ons uw account en de gegevens daarvan te verwijderen.
• Beperking, artikel 18. Vraag ons de verwerking te pauzeren terwijl iets wordt gecontroleerd.
• Overdraagbaarheid, artikel 20. Vraag om de gegevens die u ons heeft verstrekt in een gestructureerd, machineleesbaar formaat.
• Bezwaar, artikel 21. Maak bezwaar tegen verwerking op grond van een gerechtvaardigd belang.
• Klacht bij een toezichthoudende autoriteit, in het bijzonder de Berliner Beauftragte für Datenschutz und Informationsfreiheit (Berlin Commissioner for Data Protection and Freedom of Information), of de autoriteit van de plaats waar u woont of werkt.

Wanneer wij een account verwijderen, verwijderen wij het profiel, de matches en de feedback daarvan. Wij bewaren het kleine deel dat de belastingwetgeving ons verplicht te bewaren, zoals het verband tussen een factuur en de naam en het land van uw bedrijf.

12. Kinderen

Grantlark is een zakelijk hulpmiddel en is niet gericht op kinderen. Wij verzamelen niet bewust gegevens van personen onder de 18 jaar.

13. Wijzigingen in dit beleid

Wij kunnen dit beleid bijwerken en passen dan de datum bovenaan aan. Bij een wijziging die wezenlijk van invloed is op hoe wij uw persoonsgegevens verwerken, geven wij ten minste 30 dagen van tevoren bericht per e-mail of in de applicatie voordat de wijziging ingaat.

14. Contact