Privacybeleid

1. Wie we zijn (verwerkingsverantwoordelijke)

Deze website (en gerelateerde diensten) wordt beheerd door ELSOUL LABO B.V. (Amsterdam, Nederland) ("wij", "ons", "onze").

Kamer van Koophandel (KvK) nummer: 80297625 Privacycontact: [email protected]

Wij vallen niet onder de categorieen organisaties waarvoor het aanstellen van een Functionaris Gegevensbescherming (FG) verplicht is op grond van artikel 37 van de AVG. Wij beoordelen deze inschatting jaarlijks opnieuw op grond van artikel 37(1) van de AVG.

2. Reikwijdte van dit beleid

Dit beleid is van toepassing wanneer u:

onze openbare websites bezoekt zonder in te loggen, en
functies gebruikt die alleen voor leden toegankelijk zijn en authenticatie vereisen (bijv. ERPC-dashboards / accountfuncties).

3. Gegevens die wij verwerken

Op openbare pagina's gebruiken wij zelf geen analysetools zoals Google Analytics, advertentietags of cookies voor gedragsvolging.

Echter, om de website te bieden, kunnen infrastructuurproviders zoals hosting-/CDN-providers technische toegangslogs verwerken voor beveiliging en incidentrespons, zoals:

IP-adres en user-agent (browser/OS, enz.)
Tijdstempel, opgevraagde URL, referrer
Responsstatus en beveiligingsgerelateerde metadata

Wij gebruiken Cloudflare als onze hosting- en CDN-provider, maar wij maken geen gebruik van de gedragsanalyse-producten van Cloudflare. De rol van Cloudflare beperkt zich tot het exploiteren van de infrastructuur; gedragsmatige tracking valt niet binnen die rol.

3.2 Contact

Als u per e-mail contact met ons opneemt, verwerken wij de informatie die u verstrekt (zoals uw e-mailadres en bericht) om te reageren.

3.3 Ledenaccounts / inlogvereiste diensten

Als u een account aanmaakt of inlogt (bijv. via Discord), kunnen wij het volgende verwerken om de dienst te leveren:

Accountidentificatoren (bijv. e-mailadres, Discord-gebruikers-ID, gebruikersnaam)
Authenticatie-/sessie-informatie (bijv. tokens, API-sleutels)
Dienstconfiguratie en -gebruik noodzakelijk voor het leveren van de dienst (bijv. plan, abonnementsstatus, toegestane IP's, snelheidslimiet- en misbruikpreventielogs)
Ondersteuningsgeschiedenis en communicatie

Gebruiksanalyse (klantondersteuning en dienstkwaliteit)

Doel: Om de dienstkwaliteit te verbeteren en klantondersteuning te bieden, kunnen wij logs verzamelen van paginanavigatie, functiegebruik en interactiegebeurtenissen die u uitvoert terwijl u bent ingelogd op ledendiensten, en deze intern analyseren.

Rechtsgrond: Artikel 6(1)(f) AVG — gerechtvaardigde belangen die wij nastreven door betrouwbare klantondersteuning te bieden en de dienst te verbeteren. Wij hebben een gerechtvaardigd-belangen-toets (LIA) uitgevoerd waarin deze belangen zijn afgewogen tegen uw rechten en vrijheden; de LIA is op verzoek beschikbaar.

Wat wij verzamelen:

Paginatransities (navigatiepaden binnen het dashboard, genormaliseerd zodat resource-identificatoren worden verwijderd — bijv. /user/baremetal/:id in plaats van /user/baremetal/<actual-id>)
Categorieën van functiegebruik (resourcebeheer, instellingenwijzigingen, authenticatie, enz. — de volledige lijst wordt naast deze clausule onderhouden)
Interne resource-identificatoren (bijv. baremetal-/VPS-/RPC-instance-ID's) wanneer u een actie uitvoert op een specifieke resource, bewaard als interne pseudoniemen voor dezelfde bewaartermijn als paginatransitie-events
Tijdstempels van handelingen
Apparaatfamilie + hoofdversie, browserfamilie + hoofdversie en locale
IP-adressen, uitsluitend opgeslagen als gesalte hash (de salt wordt nooit geroteerd en wordt beheerd als tier-1-geheim)

Wat wij NIET verzamelen:

Inhoud van requests (request bodies)
Zoekquery-strings
API-sleutels of authenticatietokens
Ruwe IP-adressen

Ontvangers / verwerkers: Cloudflare, Inc. (Verenigde Staten) treedt op als onze verwerker voor opslag en verwerking van deze logs, op grond van een Data Processing Agreement en EU Standaardcontractbepalingen (SCCs). Voor deze doorgifte is een Transfer Impact Assessment (TIA) gedocumenteerd. Zie Sectie 7 voor meer details over internationale doorgiften.

Geen geautomatiseerde besluitvorming met juridische of vergelijkbaar significante gevolgen: Wij kunnen AI-ondersteunde analyse gebruiken om gedragspatronen samen te vatten voor intern ondersteuningspersoneel, maar er wordt geen geautomatiseerd besluit genomen dat juridische gevolgen voor u heeft of u op vergelijkbare wijze in aanmerkelijke mate treft (artikel 22 AVG).

Bewaring: Logs die voor dit doel zijn verzameld, worden in beginsel binnen 30 dagen verwijderd (zie Sectie 8).

Recht van bezwaar: U kunt op grond van artikel 21 AVG te allen tijde bezwaar maken tegen deze verwerking door contact op te nemen met [email protected]. Wij zullen de verwerking van uw gegevens voor dit doel staken, tenzij wij dwingende gerechtvaardigde gronden aantonen die zwaarder wegen dan uw rechten.

Recht op verwijdering: Bij een verwijderverzoek op grond van artikel 17 AVG verwijderen wij alle aan u verbonden events, sessies en presence-state. Wij bewaren een gepseudonimiseerd record (HMAC-SHA256 van uw gebruikersidentificator met een afzonderlijke sleutel) in onze auditlog tot maximaal 12 maanden op grond van artikel 6(1)(f) AVG voor beveiligings- en verantwoordingsdoeleinden. Dit gepseudonimiseerde record blijft persoonsgegevens in de zin van artikel 4(1) AVG.

Gegevensbeschermingseffectbeoordeling (DPIA): Voor deze verwerking is een DPIA voltooid (artikel 35 AVG). Op verzoek beschikbaar via [email protected].

Activatiestatus: Deze gebruiksanalyse-pijplijn is momenteel uitsluitend actief in onze staging-omgeving. Productie-activatie is afhankelijk van het voltooien van de Phase 0-documentatie (DPIA / LIA / ROPA) en het omzetten van een feature-flag, op een tijdlijn die onafhankelijk is van de publicatiedatum van dit Privacybeleid. De publicatie van deze versie van het Privacybeleid vormt onze informatieverstrekking op grond van artikel 13 AVG voor de beoogde verwerking.

3.4 Betalingen (Stripe)

Betalingen voor betaalde plannen worden verwerkt door Stripe. Wij slaan geen betaalkaartgegevens op.

Stripe verwerkt betalingsgerelateerde persoonsgegevens als onafhankelijke verwerkingsverantwoordelijke. Voor zover noodzakelijk voor facturering en contractbeheer, kunnen wij informatie van Stripe ontvangen zoals klant-ID's, abonnementsstatus, facturen/bonnen en betalingsmetadata.

4. Doeleinden en rechtsgronden (AVG)

Wij verwerken persoonsgegevens alleen wanneer wij een rechtsgrond hebben onder toepasselijke wetten (inclusief de AVG), zoals:

Overeenkomst: het leveren van ledendiensten, accountbeheer en ondersteuning
Gerechtvaardigde belangen: het exploiteren en onderhouden van onze websites/diensten, beveiliging, fraude-/misbruikpreventie, probleemoplossing
Wettelijke verplichting: boekhoudkundige en fiscale naleving, en andere wettelijke vereisten
Toestemming: optionele communicatie (bijv. marketing), waar van toepassing (u kunt uw toestemming te allen tijde intrekken)

5. Cookies en vergelijkbare technologieen

Openbare pagina's: wij gebruiken zelf geen cookies voor analyse/advertenties.
Ledenfuncties: wij gebruiken strikt noodzakelijke cookies (bijv. sessies) om u ingelogd te houden. Het uitschakelen hiervan kan sommige functionaliteiten verstoren.
Diensten van derden: Stripe en Discord kunnen hun eigen cookies/technologieen gebruiken (buiten onze controle).

6. Delen en verwerkers

Wij verkopen geen persoonsgegevens.

Wij kunnen persoonsgegevens delen met dienstverleners (bijv. hosting/infrastructuur, e-mailbezorging, betalingen (Stripe), authenticatie (Discord)) voor zover noodzakelijk. Wij sluiten verwerkersovereenkomsten af met dergelijke providers in overeenstemming met toepasselijke wetten.

7. Internationale doorgifte

Wij zijn gevestigd in de Europese Economische Ruimte (EER), maar onze dienstverleners (bijv. Stripe, Discord) en infrastructuurlocaties kunnen verwerking buiten de EER omvatten (bijv. de Verenigde Staten).

In dergelijke gevallen gebruiken wij passende waarborgen zoals Standaardcontractbepalingen (SCCs) en minimaliseren wij de doorgegeven gegevens. Wij maken geen gebruik van dienstverleners met als doel persoonsgegevens opzettelijk door te geven aan of op te slaan in jurisdicties die als hoog-risico worden beschouwd.

Voor de in Sectie 3.3 beschreven gebruiksanalyse-verwerking is onze verwerker Cloudflare, Inc. (hoofdkantoor in de Verenigde Staten). Hoewel Cloudflare edge-infrastructuur in de EU-regio aanbiedt, behandelen wij toegang door het Amerikaanse moederbedrijf op grond van toepasselijk Amerikaans recht (bijv. CLOUD Act) als een internationale doorgifte.

Sommige verwerkingen omvatten doorgifte naar de Verenigde Staten (Cloudflare). Dergelijke doorgiften vallen onder de adequaatheidsbeslissing van het EU-US Data Privacy Framework (Uitvoeringsbesluit (EU) 2023/1795 van de Commissie van 10 juli 2023) en worden aanvullend beschermd door Standaardcontractbepalingen. Wij baseren ons op de Standaardcontractbepalingen 2021/914 van de Europese Commissie, Module 2 (verwerkingsverantwoordelijke aan verwerker), opgenomen onder de Cloudflare Data Processing Addendum, als het primaire mechanisme voor deze doorgifte, met de adequaatheidsbeslissing van het EU-US Data Privacy Framework van 2023 als secundair vangnet. Wij hebben een Transfer Impact Assessment (TIA) uitgevoerd waarin aanvullende technische maatregelen zijn vastgelegd (versleuteling in rust en tijdens overdracht, toegangsaudit, geen openbare bucket-toegang).

8. Bewaring

Wij bewaren persoonsgegevens alleen zo lang als noodzakelijk voor de hierboven beschreven doeleinden:

Technische logs: bewaard voor een beperkte periode voor beveiliging/probleemoplossing
Accountgegevens: bewaard zolang uw account actief is; verwijderd of geanonimiseerd waar passend na sluiting
Boekhouding/facturering: bewaard voor de door de Nederlandse wet vereiste periode (doorgaans 7 jaar), enz.
Gebruiksanalyse-logs (Sectie 3.3): in beginsel binnen 30 dagen verwijderd.
Dagelijkse geaggregeerde gebruikssamenvattingen (Sectie 3.3): bewaard tot maximaal 90 dagen, gebruikt voor interne trendanalyse.
Auditlogs (registratie van verwijderverzoeken en toegangsaudits; gebruikersidentificatoren opgeslagen als HMAC-pseudoniemen — gepseudonimiseerde persoonsgegevens, niet anoniem): bewaard tot maximaal 12 maanden (gerechtvaardigd belang op grond van artikel 6(1)(f) AVG).
Dead-letter-queue inspectie-bucket (Sectie 3.3): bewaard tot maximaal 7 dagen, toegang beperkt tot aangewezen beheerders.

9. Uw rechten

Afhankelijk van uw locatie en toepasselijk recht (inclusief AVG), kunt u het recht hebben om te verzoeken om:

Inzage, rectificatie, wissing
Beperking van verwerking, bezwaar
Gegevensoverdraagbaarheid
Intrekking van toestemming (wanneer verwerking is gebaseerd op toestemming)

Om uw rechten uit te oefenen, neem contact met ons op via [email protected]. U heeft ook het recht om een klacht in te dienen bij de Nederlandse toezichthouder (Autoriteit Persoonsgegevens) of uw lokale autoriteit.

Wij voeren geen geautomatiseerde besluitvorming of profilering uit die juridische of vergelijkbaar significante gevolgen voor u heeft.

10. Wijzigingen

Wij kunnen dit beleid van tijd tot tijd bijwerken door een nieuwe versie op deze pagina te publiceren.

Laatst bijgewerkt: 2026-05-10