Privacybeleid

1. Wie wij zijn

UAB NVGroup Nummer rechtspersoon: 149942553 Btw-nummer: LT499425515 Statutaire zetel: Elektrinės g. 8, 03150 Vilnius, Litouwen Vragen over gegevensbescherming: privacy@demurrit.eu

Dit beleid is van toepassing op diensten die worden aangeboden op het domein demurrit.eu (hierna: de Dienst).

2. Onze rol: twee verschillende relaties

Wij verwerken persoonsgegevens op twee verschillende grondslagen, en daarvan hangt af tot wie u zich moet wenden met betrekking tot uw rechten.

In Deel A bepalen wij de doeleinden en middelen. Op dit deel zijn de hoofdstukken 3–5 van toepassing.

In Deel B worden de doeleinden en middelen bepaald door de klant – het transport-, expeditie- of ladingeigenaarsbedrijf dat de documenten uploadt. Wij handelen uitsluitend volgens diens instructies en op basis van een met hem gesloten verwerkersovereenkomst (art. 28 AVG). Op dit deel zijn de hoofdstukken 6–9 van toepassing.

Als u een chauffeur, contactpersoon of andere persoon bent van wie de gegevens voorkomen in een door de klant geüpload document, neem dan voor uw rechten contact op met het bedrijf dat u in dienst heeft of waarmee u een contractuele relatie heeft. Wij zullen dat bedrijf helpen om op uw verzoek te reageren, maar wij kunnen niet zelfstandig over deze gegevens beslissen.

Deel A. Gegevens waarvoor wij verwerkingsverantwoordelijke zijn

3. Verwerkte gegevens, doeleinden en rechtsgronden

Het gerechtvaardigd belang bestaat in dit geval uit de bescherming van de Dienst en de daarin opgenomen klantgegevens tegen ongeoorloofde toegang, alsook het vermogen om te reageren op zakelijke vragen. Wij hebben beoordeeld dat dit belang niet zwaarder weegt dan uw rechten, aangezien slechts een minimale hoeveelheid gegevens wordt verwerkt en deze niet worden gebruikt voor profilering of marketing.

4. Bewaartermijnen (Deel A)

5. Uw rechten (Deel A)

U heeft het recht op inzage in uw gegevens, rectificatie, verwijdering, beperking van de verwerking, gegevensoverdraagbaarheid en bezwaar tegen verwerking gebaseerd op een gerechtvaardigd belang.

Neem contact op via: privacy@demurrit.eu. Wij antwoorden binnen 30 dagen.

U heeft ook het recht om een klacht in te dienen bij de Litouwse Nationale Autoriteit voor Gegevensbescherming (L. Sapiegos g. 17, Vilnius, vdai.lrv.lt).

Deel B. Door klanten geüploade documenten

6. Hoe documenten worden verwerkt

De Dienst verwerkt transport- en douanedocumenten – CMR-vrachtbrieven, cognossementen, facturen van vervoerders, douaneaangiften, brandstofbonnen – en extraheert daaruit gestructureerde gegevens: data, bedragen, kentekens van voertuigen, landen en routegegevens. Documenten kunnen gegevens van derden bevatten, bijvoorbeeld van chauffeurs of contactpersonen.

6.1 Gelaagde verwerking

Documenten worden gelaagd verwerkt, waarbij elk document wordt verwerkt op het laagste niveau dat volstaat:

• Gestructureerde gegevens (XML, EDIFACT, formaten van douaneaangiften) – worden op deterministische wijze uitsluitend binnen de EU-infrastructuur verwerkt.
• Documenten met een tekstlaag – worden herkend aan de hand van vooraf gedefinieerde sjablonen van vervoerders en formulieren, uitsluitend binnen de EU-infrastructuur.
• Documenten die inhoudelijke interpretatie vereisen – gescande of niet-standaard documenten worden doorgestuurd naar de in hoofdstuk 7 genoemde verwerker.

Deze architectuur betekent dat het grootste deel van de documentenstroom wordt verwerkt zonder de EU te verlaten. Dit wordt toegepast als maatregel voor gegevensminimalisatie (art. 5 lid 1 sub c AVG).

6.2 Geautomatiseerde besluitvorming

Automatische extractie neemt geen besluiten die rechtsgevolgen hebben of u op vergelijkbare wijze wezenlijk treffen. Alle geëxtraheerde gegevens worden door een mens beoordeeld voordat ze worden gebruikt in een claim, aangifte of rapport. Art. 22 AVG is niet van toepassing.

7. Verwerkers

Met elke verwerker is een verwerkersovereenkomst gesloten of wordt een verwerkersovereenkomst gesloten conform art. 28 AVG.

Wijzigingen. Wijzigingen in de lijst van verwerkers melden wij aan klanten uiterlijk 30 kalenderdagen van tevoren. De klant heeft het recht om binnen 15 dagen gemotiveerd bezwaar te maken.

8. Doorgifte van gegevens buiten de EER

8.1 Akenes SA (Exoscale)

Back-ups worden fysiek opgeslagen in Wenen, Oostenrijk. De leverancier is een in Zwitserland geregistreerde onderneming, waardoor tijdens technisch onderhoud toegang vanuit Zwitserland mogelijk is.

Voor Zwitserland geldt het adequaatheidsbesluit van de Europese Commissie (26 juli 2000), waarvan de Commissie de voortzetting heeft bevestigd in haar evaluatierapport van 15 januari 2024. Aanvullende waarborgen zijn niet vereist.

8.2 Anthropic PBC

Documenten van niveau 3 als bedoeld in hoofdstuk 6.1 worden doorgegeven aan Anthropic PBC (VS).

Waarborg: door de Europese Commissie goedgekeurde standaard contractuele bepalingen (art. 46 lid 2 sub c AVG), opgenomen in de verwerkersovereenkomst van de leverancier.

Contractuele verplichtingen: de leverancier is contractueel verplicht om de doorgegeven inhoud niet te gebruiken voor het trainen van modellen en deze niet langer te bewaren dan noodzakelijk is voor de uitvoering van het verzoek.

Aanvullende maatregelen:

• gelaagde verwerking (hfdst. 6.1), waardoor de meeste documenten niet worden doorgegeven;
• versleuteling tijdens verzending (TLS) en tijdens opslag;
• er wordt alleen de inhoud van het document doorgegeven, zonder gegevens over account, facturering of koppeling met de klantorganisatie.

Effectbeoordeling. Er is een Transfer Impact Assessment uitgevoerd overeenkomstig de aanbevelingen van het Europees Comité voor Gegevensbescherming 01/2020. De beoordeling en een kopie van de standaardcontractbepalingen worden op gemotiveerd verzoek aan klanten en de toezichthoudende autoriteit verstrekt.

9. Bewaartermijnen (Deel B)

De termijnen worden door de klant vastgesteld in de verwerkersovereenkomst. Standaardtermijnen, tenzij in de overeenkomst anders is overeengekomen:

Juridische bewaarplicht (legal hold). Indien een document verband houdt met een onopgeloste claim of douaneprocedure, wordt het gemarkeerd voor bewaring en niet verwijderd tot de procedure is afgerond, ook niet na afloop van de genoemde termijn of na beëindiging van de overeenkomst. Deze uitzondering bestaat in het belang van de klant – het verwijderen van bewijsmateriaal zou een claim van haar grondslag beroven.

Na beëindiging van de overeenkomst worden gegevens op instructie van de klant teruggegeven of vernietigd, met inachtneming van de hierboven genoemde uitzondering. In back-ups worden gegevens vernietigd tijdens de rotatie van back-ups, uiterlijk binnen 31 dagen.

10. Beveiligingsmaatregelen

• Scheiding van organisaties op databaseniveau (row-level security): één organisatie kan technisch geen toegang krijgen tot de gegevens van een andere organisatie, zelfs niet bij een softwarefout.
• Versleuteling tijdens verzending (TLS) voor alle verbindingen.
• Versleuteling tijdens opslag in de documentopslag en de database.
• Back-ups worden aan klantzijde versleuteld voordat ze naar de opslag worden overgedragen; de opslagleverancier beschikt niet over de versleutelingssleutels.
• Originele documenten zijn beschermd tegen overschrijven en onbedoelde verwijdering (object lock), waarbij de mogelijkheid behouden blijft om te voldoen aan een verwijderingsverzoek van een betrokkene.
• Back-ups worden bewaard bij een andere leverancier dan de productie-infrastructuur, met gebruik van inloggegevens zonder verwijderingsrechten.
• In systeemlogboeken wordt geen documentinhoud opgeslagen – uitsluitend identificatoren van organisatie, document en handeling. Deze identificatoren zijn gepseudonimiseerde persoonsgegevens en worden 30 dagen bewaard.
• Toegangs- en wijzigingslogboek (append-only) voor elk document.

11. Cookies

Het gebruik van cookies wordt beschreven in een afzonderlijk Cookiebeleid.

12. Wijzigingen van dit beleid

Dit beleid wordt bijgewerkt wanneer de lijst van verwerkers of de verwerkingsdoeleinden wijzigen. Over materiële wijzigingen informeren wij klanten uiterlijk 30 dagen van tevoren. De geldende versie en de datum ervan worden altijd vermeld aan het begin van dit document.

13. Contact

Vragen over gegevensbescherming: privacy@demurrit.eu Algemene vragen: info@demurrit.eu