Privacyverklaring

1. Verwerkingsverantwoordelijke

EAS International

Urs Zimmermann

Klybeckstr. 141

4057 Basel

Schweiz

E-mail: info@batteriepass-online.eu

Wij zijn niet verplicht een functionaris voor gegevensbescherming aan te wijzen op grond van art. 37 AVG. Stuur verzoeken over gegevensbescherming naar het bovenstaande e-mailadres.

1a. Vertegenwoordiger in de EU (art. 27 AVG)

Urs Zimmermann

Eichacker 2

79418 Schliengen

Germany

E-mail: info@batteriepass-online.eu

Betrokkenen en toezichthoudende autoriteiten in de EU kunnen zich voor alle vragen over de verwerking tot de vertegenwoordiger wenden; de vertegenwoordiger treedt op namens de verwerkingsverantwoordelijke.

2. Onze rol: verwerkingsverantwoordelijke of verwerker

Voor klantaccounts, facturering, beveiliging en de exploitatie van de website zijn wij verwerkingsverantwoordelijke. Deze verklaring beschrijft die verwerkingen.

De inhoud van batterijpaspoorten, geüploade documenten, contactpersonen bij leveranciers en toegangsaanvragen worden door onze klanten (de marktdeelnemers) in de software ingevoerd. Voor deze gegevens is de betreffende klant verwerkingsverantwoordelijke en zijn wij zijn verwerker in de zin van art. 28 AVG, op basis van onze verwerkersovereenkomst (/avv). Betrokkenen kunnen zich voor deze gegevens tot de in het paspoort vermelde marktdeelnemer wenden; wij sturen verzoeken door.

3. Bezoek aan de website

Wanneer je onze pagina’s opent, verwerkt onze server je IP-adres, het opgevraagde adres en de browseridentificatie (user agent) om de pagina te leveren en aanvallen af te weren (art. 6, lid 1, onder f), AVG). Onze voorgeschakelde webserver registreert IP-adres, tijdstip, opgevraagd adres, statuscode en user agent om aanvallen en misbruik te herkennen; dit serverlogboek wordt na zeven dagen automatisch gewist. Daarnaast wordt het IP-adres alleen verwerkt in de tellers voor de snelheidsbegrenzing (punt 5) en, ingekort en gehasht, in het toegangslogboek voor beschermde paspoortinhoud (punt 7).

Wij gebruiken geen analysetrackers, geen socialemediaplug-ins en geen externe lettertypen. Google Ads gebruiken wij alleen met je toestemming om het succes van onze advertenties te meten (punt 4).

4. Cookies

Technisch noodzakelijke cookies en opslagvermeldingen waarvoor geen toestemming nodig is (§ 25, lid 2, nr. 2, TDDDG):

• bpo_session: aanmelding bij de klantomgeving; levensduur 30 dagen, wordt bij afmelden gewist.
• bpo_access: onthoudt een toegangsrecht voor niet-openbare paspoortinhoud (rechtmatig belang of autoriteit); levensduur volgens het toegangsrecht.
• bpo_consent (lokale opslag van de browser): slaat je cookiekeuze op; levensduur 12 maanden.
• Google Ads (alleen met toestemming): als je in de cookiebanner toestemming geeft, laden wij de conversietracking van Google Ads (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ierland). Google plaatst daarvoor cookies (zoals _gcl_au, levensduur tot 90 dagen) en ontvangt je IP-adres, bezochte pagina’s, tijdstip en browsergegevens om te meten of een klik op onze advertentie tot een registratie of aankoop heeft geleid. De rechtsgrond is je toestemming (art. 6, lid 1, onder a), AVG, § 25, lid 1, TDDDG). Doorgiften aan Google LLC in de VS vallen onder het EU-VS-kader voor gegevensbescherming. Zonder toestemming wordt geen Google-code geladen. Je kunt je toestemming op elk moment met werking voor de toekomst intrekken via „Cookie-instellingen” in de voettekst. Privacybeleid van Google: https://policies.google.com/privacy

5. Klantaccount en organisatie

Bij de registratie verwerken wij naam, e-mailadres, bedrijf en een wachtwoord, dat wij alleen als hash (scrypt) opslaan. Voor de organisatie slaan wij de statutaire naam, het adres, het land, het btw-identificatienummer, het EORI-nummer en verdere bedrijfsidentificatiecodes (zoals handelsregister- of LEI-nummer) op die de klant voor paspoorten en de EU-registratie opgeeft, evenals abonnement en quota. Daarnaast registreren wij het tijdstip van de laatste aanmelding en de taalinstelling.

Het doel is het beschikbaar stellen van de klantomgeving, het toewijzen van paspoorten aan de marktdeelnemer en de facturering. De rechtsgrond is de uitvoering van de overeenkomst (art. 6, lid 1, onder b), AVG).

E-mailbevestigingen, aanmeld- en wachtwoordherstellinks worden verzonden via de e-maildienst van STRATO GmbH (Duitsland). Wij registreren verzonden e-mails met ontvanger, onderwerp, inhoud en afleverstatus om afleverproblemen te kunnen nagaan; het logboek wordt na twaalf maanden gewist.

Ter bescherming tegen misbruik beperken wij aanmeldpogingen, registraties en wachtwoordherstel per IP-adres en account. Daarvoor slaan wij tellers met het IP-adres ten hoogste 24 uur op (art. 6, lid 1, onder f), AVG). Aanmeldpogingen (geslaagd en mislukt) registreren wij met tijdstip, e-mailadres, resultaat, volledig IP-adres en user agent gedurende 90 dagen, om aanvallen op accounts te herkennen en te onderscheiden van een klant die zijn eigen wachtwoord verkeerd intypt. Dit logboek ziet alleen de exploitant in het interne beheerdersdashboard, waar het standaard achter een weergaveknop verborgen is.

6. Betaling en facturering

Betaalde abonnementen worden afgehandeld via Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Ierland. Stripe ontvangt naam, e-mailadres, bedrijfsadres, btw-nummer en de betaalgegevens; kaart- en rekeninggegevens worden uitsluitend door Stripe verzameld en komen nooit op onze servers. Wij slaan de Stripe-klant-ID, de abonnementsstatus en factuurgegevens op.

Stripe is voor de betalingsverwerking zelfstandig verwerkingsverantwoordelijke; het privacybeleid van Stripe is van toepassing (https://stripe.com/privacy). Doorgiften aan Stripe Inc. in de VS vallen onder het EU-VS-kader voor gegevensbescherming en standaardcontractbepalingen.

De rechtsgronden zijn de uitvoering van de overeenkomst (art. 6, lid 1, onder b), AVG) en onze wettelijke bewaarplichten (art. 6, lid 1, onder c), AVG). Factuurgegevens bewaren wij tien jaar.

7. Openbare batterijpaspoorten

Gepubliceerde batterijpaspoorten zijn wereldwijd via hun adres (QR-code) op te vragen. Welke gegevens openbaar zijn, alleen zichtbaar voor personen met een rechtmatig belang of alleen voor autoriteiten, is voorgeschreven in bijlage XIII van Verordening (EU) 2023/1542; de software implementeert deze niveaus technisch. Tot de openbare gegevens behoren naam en contactgegevens van de marktdeelnemer; gaat het daarbij om een natuurlijke persoon, dan is de marktdeelnemer daarvoor verantwoordelijk.

Toegang tot niet-openbare paspoortinhoud registreren wij voor de klant met tijdstip, toegangsniveau, ingekort gehasht IP-adres en user agent. Dit toegangslogboek wordt na 90 dagen gewist.

Wie als autoriteit of als persoon met een rechtmatig belang toegang tot beschermde inhoud aanvraagt, geeft e-mailadres, organisatie, rol, doel en in voorkomend geval bewijsstukken op. Deze gegevens ziet de klant, die over de toegang beslist; wij verwerken ze in opdracht van de klant.

8. Leveranciersformulieren, API en webhooks

Klanten kunnen leveranciers via een e-maillink om productgegevens vragen. Daarvoor slaan wij in opdracht van de klant het door de klant ingevoerde e-mailadres van de leverancier, de verwerkingsstatus en de ingediende waarden op.

Voor de API slaan wij API-sleutels alleen als hash op, samen met het tijdstip van het laatste gebruik. Webhookadressen en -geheimen worden door de klant opgegeven; geheimen worden versleuteld opgeslagen. Afleverpogingen registreren wij met tijdstip, statuscode en een fragment van het antwoord gedurende 30 dagen.

9. Hosting en ontvangers

Wij maken gebruik van de volgende dienstverleners, die in onze opdracht gegevens verwerken (art. 28 AVG):

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Duitsland: servers voor de applicatie, de database en de documentopslag in de datacenters Falkenstein en Neurenberg.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlijn, Duitsland: verzending van systeem-e-mails.
• Stripe Payments Europe Ltd., Dublin, Ierland: betalingsverwerking (als zelfstandig verwerkingsverantwoordelijke, zie punt 6).

10. Doorgifte naar derde landen

Wij zijn in Zwitserland gevestigd. De Europese Commissie heeft erkend dat Zwitserland een passend beschermingsniveau biedt (adequaatheidsbesluit 2000/518/EG, bevestigd in 2024), zodat toegang vanuit Zwitserland tot de in Duitsland opgeslagen gegevens is toegestaan. Afgezien van de betalingsverwerking via Stripe (punt 6) vinden geen doorgiften naar andere derde landen plaats.

11. Bewaartermijnen

• Gegevens van klantaccount en organisatie: tot verwijdering van het account, daarna 30 dagen blokkering; factuurgegevens tien jaar.
• Aanmeldsessies: 30 dagen; aanmeld- en herstellinks: tot 24 uur.
• Webserverlogboek: zeven dagen. Tellers voor snelheidsbegrenzing: 24 uur. Aanmeldlogboek: 90 dagen. Toegangslogboeken voor beschermde paspoortinhoud: 90 dagen. E-maillogboek: twaalf maanden. Logboek van webhookleveringen: 30 dagen.
• Batterijpaspoorten en documenten: gedurende de wettelijke bewaartermijn op grond van art. 77, lid 8, Verordening (EU) 2023/1542. Na het einde van de overeenkomst blijven paspoorten ten minste 15 jaar en daarna tot de melding van recycling in alleen-lezenmodus beschikbaar; verwijdering volgens onze algemene voorwaarden (punt 8).
• Wijzigingslogboek (auditlog) van de klantomgeving: gedurende de looptijd van de overeenkomst, om de verificatieketen van de paspoorten te kunnen aantonen.

12. Beveiliging

Alle verbindingen zijn met TLS versleuteld. Wachtwoorden worden als scrypt-hash opgeslagen, geheimen versleuteld. De toegang is rolgebaseerd, aanmeldpogingen zijn beperkt en wijzigingen van paspoorten worden in een hashketen vastgelegd. De database is alleen vanuit het privénetwerk bereikbaar. Back-ups worden dagelijks gemaakt en 30 dagen bewaard.

13. Je rechten

Je hebt recht op inzage (art. 15 AVG), rectificatie (art. 16), gegevenswissing (art. 17), beperking van de verwerking (art. 18), overdraagbaarheid van gegevens (art. 20) en bezwaar tegen verwerking op basis van gerechtvaardigde belangen (art. 21). Neem contact op via info@batteriepass-online.eu. Wij antwoorden binnen een maand.

Je kunt een klacht indienen bij een toezichthoudende autoriteit voor gegevensbescherming, in Zwitserland bij de Federale functionaris voor gegevensbescherming en openbaarheid (FDPIC/EDÖB), in de EU bij de autoriteit van je woon- of werkplaats.

Wij nemen geen geautomatiseerde individuele besluiten en gebruiken je gegevens niet zonder je voorafgaande toestemming voor reclame.

14. Wijzigingen

Wij werken deze verklaring bij wanneer onze verwerkingen of de rechtssituatie veranderen. De actuele versie staat altijd onder /datenschutz; over wezenlijke wijzigingen informeren wij klanten per e-mail.