Privacyverklaring
Deze verklaring legt uit welke persoonsgegevens Meridiaan ID verwerkt. Ik houd mij aan de Algemene Verordening Gegevensbescherming (AVG). Ik verzamel zo weinig mogelijk en verkoop of deel niets met adverteerders.
1. Wie is verantwoordelijk
Noordlicht Werkplaats (een projectnaam van een particulier; geen bedrijf en geen rechtspersoon) is de verwerkingsverantwoordelijke. Contact: support@hmmanager.one. Zie ook het Impressum.
2. Welke gegevens, waarom en op welke grondslag
| Gegevens | Doel | Grondslag (AVG art. 6) |
|---|---|---|
| Gebruikersnaam, wachtwoord-hash, optioneel tweestapsgeheim | Account en inloggen | Uitvoering van de overeenkomst (lid 1 b) |
| Bestanden en bijbehorende gegevens die jij opslaat | De opslagdienst leveren | Uitvoering van de overeenkomst (lid 1 b) |
| IP-adres en tijdstip van verzoeken, tijdelijk | Beveiliging: misbruik en gokpogingen tegengaan (beperken van inlogpogingen) | Gerechtvaardigd belang (lid 1 f) |
| Leeftijd (zelfopgave bij het inloggen) | Controleren dat je minstens 16 jaar bent | Gerechtvaardigd belang: kinderen beschermen (lid 1 f) |
| Functionele cookies en lokale opslag | Ingelogd blijven en voorkeuren onthouden | Noodzakelijk voor de dienst (lid 1 b/f) |
Voordat je bent ingelogd worden er geen cookies en geen lokale opslag op je apparaat geplaatst en wordt er niets bewaard van wat je intikt, behalve wat nodig is voor de inlogpoging zelf. Pas bij een geslaagde inlog plaats ik één sessiecookie om je ingelogd te houden. Ik gebruik geen analytics, advertentiecookies, trackers of profilering, en ik neem geen geautomatiseerde besluiten over jou.
3. Wat er op de server wordt bewaard
- Je accountgegevens: naam, gebruikersnaam, functie, afdeling, leidinggevende, bedrijfsrollen en groepen. Deze vult personeelszaken of IT in.
- Als de beheerder dat invult: een persoonlijk e-mailadres (alleen voor uitnodigingen en wachtwoordlinks; apps krijgen dit adres nooit), een einddatum van je toegang en een korte notitie voor beheer.
- Je wachtwoord als scrypt-hash. Het wachtwoord zelf wordt niet bewaard.
- Bij tweestapsverificatie: het geheim voor de codes (versleuteld opgeslagen) en je herstelcodes (alleen als hash).
- Per ingelogd apparaat: wanneer je inlogde en voor het laatst actief was, een ingekort IP-adres (de laatste cijfers weggelaten), browser en besturingssysteem (bijvoorbeeld "Firefox op Windows") en welke apps je via die sessie hebt geopend.
- Uitnodigingen en wachtwoordlinks: alleen een hash van de link en tot wanneer hij geldig is.
- Een auditlog van wat er met accounts gebeurt (inloggen, mislukte pogingen, apps openen, wijzigingen door beheerders), met tijdstip en ingekort IP-adres. Standaard 365 dagen bewaard. Nooit wachtwoorden, codes of je leeftijd.
- Je leeftijd wordt bij elke inlog gecontroleerd en nergens opgeslagen.
- Alleen in het werkgeheugen (niet op schijf): je volledige IP-adres, maximaal een uur, om te veel inlogpogingen te kunnen tegenhouden.
Beheerders met het juiste recht (eigenaar, IT, beveiliging, personeelszaken) zien de accountgegevens en het auditlog van het bedrijf in Hoofdkantoor. Wat zij doen wordt zelf ook in het auditlog vastgelegd.
4. Gevoelige gegevens
Ik vraag niet om gevoelige gegevens (zoals gezondheid, geloof of burgerservicenummer) en de dienst is daar niet voor bedoeld. Ik sla geen wachtwoorden, betaalgegevens of API-sleutels op in de frontend. Wachtwoorden staan alleen als versleutelde hash op de server.
5. Wie verwerkt welke gegevens
Dit overzicht klopt met wat de software feitelijk doet, per functie. Verzoeken aan externe partijen komen van mijn server: jouw IP-adres, je account en je browsergegevens worden niet meegestuurd.
| Functie | Wie verwerkt het | Wat wordt verstuurd | Wanneer |
|---|---|---|---|
| Inloggen bij een app ("Inloggen met Meridiaan") | De app zelf (alle apps draaien op dezelfde server) | Je naam, gebruikersnaam, zakelijk mailadres (als je een mailbox hebt), groepen, bedrijfsrollen, je rol in die app en de bedrijfsnaam. Nooit je persoonlijke e-mailadres of je leeftijd. | Elke keer dat je via Meridiaan een app opent |
| Uitnodiging of wachtwoordlink per e-mail | Mijn eigen mailserver, daarna de mailprovider van het ontvangende adres | Je naam, gebruikersnaam en de link | Alleen als een beheerder kiest voor versturen per e-mail |
| Afmelden bij apps | De apps waar je via Meridiaan was ingelogd | Een ondertekend afmeldbericht met een sessienummer en je account-id | Bij uitloggen, schorsen of het beëindigen van een sessie |
6. Hosting en overige partijen
- Hosting: Een gehuurde virtuele server (VPS) bij netcup GmbH in Duitsland (EU). Het bedrijf levert de infrastructuur en kan technisch bij de server.
- Cloudflare: verzorgt alleen de DNS (adresboek) van het domein. Het verkeer van de site loopt niet via Cloudflare.
- Let's Encrypt: geeft het beveiligingscertificaat uit. Daarbij gaan geen gegevens van bezoekers naar hen.
- Verder deel ik gegevens alleen als de wet dat eist.
Er worden geen lettertypen, scripts of afbeeldingen van externe servers geladen. Alles komt van deze site zelf.
7. Bewaartermijnen
- Sessies en cookies: zie de cookiepagina.
- IP-adressen voor het beperken van inlogpogingen: alleen in het geheugen van de server, tot enkele minuten tot uren; niet op schijf.
- Serverlogboeken van de webserver (met IP-adres, tijdstip en gevraagde pagina): ongeveer 4 weken, daarna worden ze overschreven of verwijderd.
- Account- en bestandsgegevens: zolang je account bestaat. Verwijderde bestanden staan eerst in de prullenbak (30 dagen) en worden daarna definitief gewist.
- Back-ups: de dagelijkse server-back-up bevat ook je gegevens en wordt maximaal ongeveer 3 maanden bewaard.
8. Beveiliging
Ik beveilig de dienst onder meer met versleutelde verbindingen (HTTPS), strikte cookies (HttpOnly, SameSite, Secure), beperking van inlogpogingen, controle van alle invoer op de server, een strikt Content Security Policy en een afgeschermde serveromgeving. API-sleutels staan alleen op de server, nooit in de pagina. Geen systeem is volledig veilig. Zie ook de Disclaimer.
9. Datalekken
Als er een datalek is dat risico's voor jou oplevert, meld ik dat binnen de wettelijke termijn bij de Autoriteit Persoonsgegevens (binnen 72 uur) en, als het risico hoog is, ook aan jou.
10. Jouw rechten
Je hebt het recht op inzage, correctie, verwijdering ("vergeten worden"), beperking van de verwerking, overdraagbaarheid en bezwaar. Mail support@hmmanager.one. Ik reageer binnen een maand en kan eerst vragen om te bewijzen dat je het bent. Vind je dat ik je rechten niet respecteer? Dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.
11. Kinderen en leeftijd
De dienst is niet bedoeld voor kinderen onder de 16 jaar. Bij elke inlog vraag ik je leeftijd en weiger ik toegang onder de 16. Die leeftijd controleer ik alleen op het moment van inloggen en bewaar ik niet: niet op de server, niet in een logboek en niet in je browser. Omdat het een zelfopgave is, kan ik niet uitsluiten dat iemand een onjuiste leeftijd invult.
12. Wijzigingen
Verandert er iets aan mijn verwerking, dan pas ik deze tekst aan en verandert de datum bovenaan.