1. Verwerkingsverantwoordelijke
CyberVelvet, handelend onder de naam PEIL, ingeschreven bij de Kamer van Koophandel onder nummer 92348726 is verwerkingsverantwoordelijke voor de persoonsgegevens die in deze verklaring worden beschreven.
Privacyvragen en verzoeken kunnen worden gestuurd naar privacy@cybervelvet.nl. Algemene support is bereikbaar via hello@cybervelvet.nl.
2. Reikwijdte
Deze privacyverklaring geldt voor de openbare website, het contactformulier, openbare Quickscans, openbare betaalde upgrades, accounts, Organisaties, websites, scans, Monitoring, Rapporten en PDF's, betalingen, abonnementen, facturatie, transactionele e-mail, support, auditregistratie en administratief beheer van CyberVelvet.
Voor persoonsgegevens die CyberVelvet uitsluitend namens een zakelijke klant verwerkt in klantgestuurde scaninhoud, screenshots of andere website-inhoud, kan CyberVelvet verwerker zijn. Waar nodig worden daarover afzonderlijke verwerkersafspraken gemaakt.
3. Openbare website en technisch gebruik
Bij gebruik van de website kan CyberVelvet technische gegevens verwerken zoals IP-adres, user-agent, sessiegegevens, beveiligingsinformatie, tijdstippen, rate-limitgegevens en technische foutinformatie.
Deze gegevens worden gebruikt om de website te laten functioneren, misbruik te voorkomen, beveiliging te handhaven en storingen te onderzoeken.
4. Openbare Quickscan
Een openbare Quickscan kan zonder account worden gestart. Daarbij verwerkt CyberVelvet onder meer:
de ingevoerde domeinnaam en genormaliseerde domeinnaam;
IP-adres en user-agent;
het tijdstip van de aanvraag;
technische rate-limit- en cooldowninformatie;
een willekeurig toegangstoken, waarvan CyberVelvet een cryptografische hash opslaat;
de vervaldatum van de openbare scansessie;
het bewijs van de verklaring dat de gebruiker bevoegd is om het domein te laten scannen.
De openbare resultaatlink is in beginsel zeven dagen geldig. Wanneer een betaalde upgrade wordt gestart, kan deze geldigheid tijdelijk worden verlengd om de Checkout af te ronden.
De resultaatlink functioneert als toegangsbewijs. Een gebruiker die de link deelt, kan daarmee ook toegang tot het bijbehorende openbare scanresultaat delen.
5. Account- en Organisatiegegevens
Bij registratie en gebruik van een account verwerkt CyberVelvet onder meer:
naam en e-mailadres;
gehashte wachtwoordgegevens en authenticatiestatus;
Organisatienaam, facturatie-e-mailadres, taal- en tijdzonegegevens;
Organisatielidmaatschappen, rollen, uitnodigingen en bevoegdheden;
accountstatus, sessie- en beveiligingsgegevens;
gegevens over juridische acceptaties en relevante auditgebeurtenissen.
6. Website-, scan- en rapportgegevens
Afhankelijk van het gekozen profiel verwerkt CyberVelvet technische informatie over het opgegeven domein en publiek bereikbare onderdelen van de website.
Dit kan onder meer bestaan uit:
DNS-, SSL- en certificaatinformatie;
HTTP-statussen, redirects en responseheaders;
robots.txt, sitemap en technische SEO-signalen;
PageSpeed- en performancegegevens;
MX-, SPF- en DMARC-informatie;
interne links en crawlresultaten;
formulierstructuur en beveiligingskenmerken, zonder formulieren inhoudelijk in te vullen;
cookies, tracker- en toestemmingssignalen;
toegankelijkheidsbevindingen;
desktop- en mobiele screenshots;
scores, bevindingen, aanbevelingen, foutmeldingen en beperkingen;
webrapporten en gegenereerde PDF-rapporten.
Een Volledige scan is in de huidige opzet begrensd tot de homepage en maximaal vier aanvullende gevonden interne pagina's.
7. Bevoegdheids- en juridisch bewijs
CyberVelvet legt bewijs vast van acceptatie van juridische documenten en van de bevoegdheid om een website te scannen of monitoren.
Afhankelijk van de context kan dit omvatten:
documentsoort en documentversie;
verklaringstekst, verklaringversie en hash van de verklaring;
Organisatie, website, domein, scanprofiel en doel;
gebruiker, medewerker of openbare scansessie;
IP-adres en user-agent;
datum en tijd van acceptatie.
Deze gegevens worden gebruikt voor verantwoording, fraudepreventie, misbruikonderzoek en de vaststelling, uitoefening of verdediging van rechtsvorderingen.
8. Bestel-, betaal-, abonnements- en factuurgegevens
Bij betaalde diensten verwerkt CyberVelvet gegevens over product, prijs, btw, valuta, aantal, bestelling, betaalstatus, Stripe-referenties, factuurreferenties, scanrechten en, bij Monitoring, abonnementsstatus en abonnementsperiode.
Bij een openbare upgrade van een Quickscan verwerkt CyberVelvet het door de koper opgegeven e-mailadres en koppelt dit aan de bestelling en upgrade.
Stripe verwerkt de Checkout en kan een factuuradres, bedrijfsnaam, betaalmethode en belasting- of btw-identificatienummer opvragen.
CyberVelvet ontvangt en bewaart de gegevens en referenties die nodig zijn voor betaling, facturatie, abonnementen, reconciliatie, support en de financiële administratie.
CyberVelvet ontvangt via de eigen applicatie geen volledige betaalkaartnummers of kaartbeveiligingscodes.
9. Contactformulier en correspondentie
Wanneer iemand het contactformulier gebruikt, verwerkt CyberVelvet de opgegeven naam, e-mailadres, optioneel telefoonnummer, onderwerp en bericht.
Daarnaast worden IP-adres, user-agent en een technisch honeypotsignaal verwerkt om spam en misbruik te bestrijden.
CyberVelvet verwerkt daarnaast de inhoud en metadata van support- en andere zakelijke correspondentie voor beantwoording, opvolging, dienstverlening en waar nodig bewijs van afspraken.
10. Transactionele e-mail
Voor transactionele e-mail kan CyberVelvet gegevens verwerken zoals ontvanger, onderwerp, berichttype, interne en providerreferenties, verzendstatus, afleverstatus, vertragingen, bounces, klachten en foutinformatie.
Wanneer de e-mailprovider open- of klikgebeurtenissen aanlevert en deze functie daadwerkelijk is ingeschakeld, kan CyberVelvet ook dergelijke technische afleveringsgebeurtenissen verwerken.
CyberVelvet gebruikt deze gegevens niet voor advertentieprofilering.
11. Doeleinden en grondslagen
CyberVelvet verwerkt persoonsgegevens voor de volgende doeleinden:
het leveren van Quickscans, betaalde scans, Monitoring en Rapporten;
het beheren van accounts, Organisaties, rollen en toegang;
het uitvoeren van overeenkomsten en precontractuele verzoeken;
het verwerken van bestellingen, betalingen, abonnementen, belastingen en facturen;
het sturen van transactionele berichten en beantwoorden van contact- en supportverzoeken;
het beveiligen van het platform en voorkomen van fraude, spam, misbruik en onbevoegde scans;
het vastleggen van juridische acceptatie en scanbevoegdheid;
het onderzoeken en herstellen van storingen en het bewaken van de kwaliteit van de dienstverlening;
het voldoen aan fiscale, administratieve en andere wettelijke verplichtingen;
het vaststellen, uitoefenen en verdedigen van rechtsvorderingen.
Afhankelijk van de verwerking gebruikt CyberVelvet als grondslag de uitvoering van een overeenkomst of precontractuele maatregelen, een wettelijke verplichting of een gerechtvaardigd belang in beveiliging, fraudepreventie, bewijsvoering en betrouwbare dienstverlening.
Wanneer toestemming wettelijk vereist is, bijvoorbeeld voor toekomstige niet-noodzakelijke marketing- of trackingtechnieken, wordt deze afzonderlijk gevraagd en kan zij voor toekomstige verwerking worden ingetrokken.
12. AI-verwerking
Bij daarvoor geschikte scanprofielen kan CyberVelvet OpenAI gebruiken om technische controles begrijpelijker toe te lichten.
Daarbij worden het domein en begrensde, genormaliseerde samenvattingen van afgeronde controles verwerkt.
CyberVelvet stuurt voor deze functie niet bewust accountwachtwoorden, volledige betaalkaartgegevens, volledige interne klantdocumenten of volledige ruwe website-inhoud mee.
De AI-uitleg wijzigt de deterministische CyberVelvet-score niet en wordt niet gebruikt voor uitsluitend geautomatiseerde beslissingen met rechtsgevolgen voor personen.
13. Dienstverleners en ontvangers
CyberVelvet kan voor de dienstverlening onder meer de volgende categorieën partijen inzetten:
hosting-, serverbeheer-, database-, opslag- en back-upproviders;
Stripe voor betalingen, belastingberekening, abonnementen, billingportal en facturen;
Resend voor transactionele e-mail en afleveringswebhooks;
Google PageSpeed Insights voor performance-analyse van de opgegeven website;
OpenAI voor aanvullende AI-uitleg;
browser- en scaninfrastructuur voor geautomatiseerde websitecontroles, screenshots en toegankelijkheidsmetingen;
professionele adviseurs en bevoegde autoriteiten wanneer dit noodzakelijk of wettelijk verplicht is.
CyberVelvet verkoopt geen persoonsgegevens aan adverteerders.
14. Internationale doorgiften
Sommige dienstverleners kunnen persoonsgegevens buiten de Europese Economische Ruimte verwerken.
Wanneer daarvoor op grond van de AVG een doorgiftemechanisme nodig is, gebruikt CyberVelvet een toepasselijke waarborg, zoals een adequaatheidsbesluit, een geldig adequaatheidskader of door de Europese Commissie goedgekeurde standaardcontractbepalingen.
CyberVelvet beperkt doorgiften tot gegevens die voor de betreffende dienst nodig zijn en beoordeelt waar passend aanvullende maatregelen.
15. Bewaartermijnen
CyberVelvet bewaart persoonsgegevens niet langer dan nodig voor het doel waarvoor zij zijn verwerkt.
De huidige technische uitgangspunten zijn:
Openbare resultaatlink: in beginsel 7 dagen. Bij een gestarte betaalde upgrade kan de toegang tijdelijk langer geldig blijven om de Checkout af te ronden.
Voltooide scans, bevindingen, scores en webrapporten: in beginsel 24 maanden.
PDF-rapporten en screenshots: in beginsel 12 maanden.
Mislukte en geannuleerde scans en bijbehorende diagnostiek: in beginsel 30 dagen.
Operationele accountgegevens na definitieve verwijdering: in beginsel 30 dagen, behoudens gegevens waarvoor een langere termijn nodig is.
Juridische acceptaties en bewijs van scan- of Monitoringbevoegdheid: in beginsel 5 jaar na beëindiging van de relevante klantrelatie, of langer wanneer dit nodig is voor een lopend geschil of rechtsvordering.
Orders, betalingen, facturen en financiële basisgegevens: in beginsel 7 jaar of de langere termijn die in een concreet geval wettelijk geldt.
Contact- en supportcorrespondentie: zolang nodig voor behandeling en redelijke opvolging, en langer wanneer de correspondentie onderdeel wordt van een klantrelatie, overeenkomst, geschil of wettelijke administratie.
Gegevens kunnen langer worden bewaard wanneer dit noodzakelijk is voor een wettelijke verplichting, fraude- of beveiligingsonderzoek, een chargeback, een lopend geschil of de vaststelling, uitoefening of verdediging van rechtsvorderingen.
Verwijderde gegevens kunnen gedurende een beperkte periode nog in beveiligde back-ups aanwezig zijn en worden daar niet opnieuw voor reguliere doeleinden uit teruggeplaatst.
16. Cookies en lokale opslag
CyberVelvet gebruikt noodzakelijke cookies en lokale opslag voor sessies, authenticatie, beveiliging en interfacevoorkeuren, zoals de gekozen weergavemodus.
Deze technieken zijn nodig om het platform veilig en bruikbaar te laten functioneren.
Niet-noodzakelijke analytics-, marketing- of trackingtechnieken worden alleen gebruikt wanneer daarvoor een geldige grondslag bestaat en, waar vereist, vooraf toestemming is verkregen.
17. Beveiliging
CyberVelvet neemt passende technische en organisatorische maatregelen die passen bij de aard en risico's van de verwerking.
Deze maatregelen omvatten onder meer:
toegangscontrole en organisatiegebonden autorisatie;
gescheiden klant- en beheeraccounts;
gehashte wachtwoorden;
HTTPS;
beveiligde opslag van providercredentials;
beperkte toegang tot Rapporten en artefacten;
webhookverificatie;
logging en monitoring;
back-ups en incidentafhandeling.
Geen enkel systeem kan alle beveiligingsrisico's volledig uitsluiten. Gebruikers blijven verantwoordelijk voor het geheimhouden van inloggegevens en openbare resultaatlinks.
18. Rechten van betrokkenen
Betrokkenen kunnen, voor zover de AVG dat in hun situatie geeft, verzoeken om inzage, rectificatie, verwijdering, beperking van verwerking en overdraagbaarheid van persoonsgegevens en bezwaar maken tegen verwerking op grond van een gerechtvaardigd belang.
Een verzoek kan worden gestuurd naar privacy@cybervelvet.nl.
CyberVelvet kan aanvullende informatie vragen wanneer dit redelijkerwijs nodig is om de identiteit van de verzoeker of diens bevoegdheid te controleren.
CyberVelvet handelt het verzoek af binnen de daarvoor geldende wettelijke termijn en informeert de betrokkene wanneer een wettelijke verlenging van toepassing is.
Een recht op verwijdering is niet absoluut. Gegevens kunnen worden behouden wanneer een wettelijke bewaarplicht, betaling, fraudepreventie, beveiligingsbelang, bewijs van scanbevoegdheid of rechtsvordering dat vereist.
19. Gegevens van personen op een gescande website
Publiek bereikbare webpagina's, formulieren en screenshots kunnen persoonsgegevens van medewerkers, klanten of andere personen bevatten.
CyberVelvet selecteert deze gegevens niet als zelfstandig doel, maar zij kunnen technisch onderdeel worden van scanresultaten of artefacten.
De opdrachtgever is verantwoordelijk voor de rechtmatigheid van de scanopdracht en voor de bevoegdheid om de betreffende website te laten verwerken.
CyberVelvet gebruikt dergelijke inhoud niet voor advertentieprofilering of een zelfstandig commercieel dossier over de personen die op de website voorkomen.
20. Geautomatiseerde verwerking
CyberVelvet berekent geautomatiseerd technische scores en prioriteiten. Deze uitkomsten zijn informatief en hebben op zichzelf geen rechtsgevolg of vergelijkbaar aanzienlijk gevolg voor natuurlijke personen.
AI-uitleg is aanvullend en heeft geen zelfstandige invloed op betaling, contractstatus, toegang of de deterministisch berekende score.
21. Minderjarigen en bijzondere persoonsgegevens
De dienstverlening is niet specifiek gericht op minderjarigen.
CyberVelvet vraagt gebruikers niet bewust om bijzondere persoonsgegevens, strafrechtelijke gegevens of burgerservicenummers voor het uitvoeren van een reguliere scan.
Wanneer dergelijke gegevens publiek zichtbaar zijn op een door de opdrachtgever aangewezen website, kunnen zij incidenteel technisch in een scan of screenshot voorkomen. CyberVelvet gebruikt deze gegevens niet voor een zelfstandig doel.
22. Klacht bij de Autoriteit Persoonsgegevens
Privacyvragen of klachten kunnen eerst worden gemeld via privacy@cybervelvet.nl
Betrokkenen hebben daarnaast het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.
23. Wijzigingen
CyberVelvet kan deze privacyverklaring aanpassen wanneer de dienstverlening, gegevensverwerkingen, providers of wetgeving wijzigen.
Iedere gepubliceerde versie krijgt een eigen versienummer en publicatiedatum.
Bij een wezenlijke wijziging kan CyberVelvet gebruikers informeren en opnieuw laten bevestigen dat zij de nieuwe versie hebben gelezen.