Privacyverklaring

Versie: 2026-05-20 — Authentieke Nederlandse versie.

NIET RECHTSGELDIG — REDELIJK CONCEPT. Dit document wordt meegeleverd als startpunt en dient door een gekwalificeerd juridisch professional te worden beoordeeld en aangepast voordat het in productie wordt gebruikt. Beschouw het niet als juridisch advies.

Deze privacyverklaring beschrijft hoe Risk at Work B.V. ("wij", "ons", "onze") persoonsgegevens verwerkt via (a) onze marketing- en informatiewebsite en (b) de Stocktimal-dienst die wij als product aanbieden. Waar wij namens een klantorganisatie persoonsgegevens verwerken ten behoeve van haar gebruik van Stocktimal, treden wij op als verwerker; dan is onze Verwerkersovereenkomst (DPA) van toepassing in aanvulling op deze verklaring.

Wij houden ons aan de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679, "AVG") en de Nederlandse Uitvoeringswet AVG (UAVG).

Voor beide delen geldt: Deel C (rechten van betrokkenen, internationale doorgiften, beveiliging, klachten, contact en wijzigingen) is van toepassing.

Deel A — Bezoekers van onze website

Dit deel beschrijft de verwerkingen die plaatsvinden wanneer u onze marketingwebsite bezoekt zonder in te loggen op een account — bijvoorbeeld wanneer u onze productpagina's leest, een demo aanvraagt, het contactformulier invult of zich aanmeldt voor een nieuwsbrief.

A.1 Verwerkingsverantwoordelijke

Voor de verwerkingen in Deel A is Risk at Work B.V. de verwerkingsverantwoordelijke.

A.2 Categorieën persoonsgegevens en doeleinden

Categorie gegevens	Doeleinde	Rechtsgrondslag (AVG art. 6)
Naam, e-mailadres, telefoonnummer, organisatie, functie (via contactformulier of demo-aanvraag)	Beantwoorden van uw vraag, opvolgen van uw demo-aanvraag, voorbereiden van een commerciële relatie	Art. 6 lid 1 sub b (op uw verzoek treffen wij voorbereidende stappen vóór sluiting van een overeenkomst) en sub f (gerechtvaardigd belang: acquisitie en klantcontact)
E-mailadres en eventuele voorkeuren (bij nieuwsbriefaanmelding)	Versturen van periodieke nieuwsbrieven en productupdates	Art. 6 lid 1 sub a (toestemming); u kunt zich te allen tijde afmelden via de link in iedere nieuwsbrief
Inhoud van uw bericht / vraag	Inhoudelijke afhandeling	Art. 6 lid 1 sub b / sub f
IP-adres, user-agent, paginaverzoeken, verwijzende URL, tijdstempels	Beveiliging, foutopsporing, basale gebruiksstatistieken	Art. 6 lid 1 sub f (gerechtvaardigd belang: beveiliging en kwaliteitsborging van de site)
Cookie-identifiers (alleen voor strikt noodzakelijke en, indien u toestemming geeft, analytische cookies)	Functioneren van de site en gemeten gebruiksinzicht	Strikt noodzakelijke cookies: art. 11.7a Telecommunicatiewet (geen toestemming vereist). Overige cookies: art. 6 lid 1 sub a (toestemming) en art. 11.7a Tw

A.3 Cookies

Ons cookiebeleid is te vinden op /legal/cookies. Daar staat welke cookies wij plaatsen, door wie (eerste of derde partij), voor welk doel, en hoeveel dagen ze worden bewaard. U kunt uw cookievoorkeuren te allen tijde wijzigen via de cookiebanner of via de instellingen van uw browser.

A.4 Ontvangers van uw gegevens

Wij delen uw gegevens uitsluitend met:

Onze hostingprovider — host de website en verwerkingsinfrastructuur.
Onze e-mail- en marketingautomationleverancier — verzendt bevestigingen, demo-opvolging en nieuwsbrieven.
Onze analytics- en foutopsporingsleverancier — verzamelt geaggregeerde statistieken en technische foutlogs, afhankelijk van de cookievoorkeuren die u heeft opgegeven.
Professionele adviseurs (zoals juristen of accountants) wanneer dit redelijkerwijs noodzakelijk is.
Bevoegde autoriteiten wanneer dit wettelijk verplicht is.

Een actuele lijst van onze leveranciers die persoonsgegevens verwerken is op verzoek beschikbaar via info@raw-analytics.nl. Iedere leverancier is contractueel gehouden aan geheimhouding en passende beveiliging.

A.5 Bewaartermijnen

Categorie	Bewaartermijn
Contact- en demo-aanvragen zonder opvolging	12 maanden na het laatste contact
Commerciële correspondentie in aanloop naar of tijdens een klantrelatie	Duur van de relatie plus 7 jaar (fiscale bewaarplicht)
Nieuwsbriefinschrijvingen	Totdat u zich afmeldt; daarna ten hoogste 3 maanden ter verwerking van de afmelding
Servertoegangslogs	90 dagen, tenzij verlengd in verband met een beveiligingsincident
Analytics-gegevens	Ten hoogste 14 maanden, geaggregeerd en gepseudonimiseerd

A.6 Profilering en geautomatiseerde besluitvorming

Wij nemen op de marketingwebsite geen besluiten die uitsluitend gebaseerd zijn op geautomatiseerde verwerking en die rechtsgevolgen voor u hebben of u in aanmerkelijke mate treffen.

Deel B — Gebruikers van Stocktimal

Dit deel beschrijft de verwerkingen die plaatsvinden wanneer u inlogt op Stocktimal en de dienst gebruikt — als individuele gebruiker of als medewerker van een klantorganisatie die Stocktimal heeft afgenomen.

B.1 Rolverdeling: verwerkingsverantwoordelijke en verwerker

Voor verwerkingen in Stocktimal hanteren wij een dubbele rol:

Wij zijn verwerkingsverantwoordelijke voor gegevens die wij nodig hebben om het platform operationeel, veilig en gefactureerd te houden: uw account- en inlogkenmerken, factuur- en abonnementsgegevens, applicatie- en beveiligingslogs, en productanalytics. Voor deze verwerkingen is deze verklaring van toepassing.
Wij zijn verwerker voor persoonsgegevens die uw organisatie (de "klantorganisatie") in Stocktimal invoert of genereert en die betrekking hebben op haar eigen klanten, medewerkers of andere betrokkenen. Voor deze verwerkingen is uw klantorganisatie verwerkingsverantwoordelijke en is onze DPA van toepassing, beschikbaar op /legal/dpa/v1. Vragen van betrokkenen over deze gegevens zullen wij doorverwijzen naar de klantorganisatie.

B.2 Categorieën persoonsgegevens en doeleinden (rol: verwerkingsverantwoordelijke)

Categorie gegevens	Doeleinde	Rechtsgrondslag
Accountgegevens: e-mailadres, weergavenaam, taalvoorkeur, tijdzone, lidmaatschap van een organisatie (tenant) en daarbinnen toegekende rollen	Authenticatie en autorisatie; levering van de dienst aan u	Art. 6 lid 1 sub b (uitvoering gebruiksovereenkomst)
Authenticatiegegevens: gehashte wachtwoordgegevens of identity-provider-referenties, MFA-secrets, gesigneerde sessie- en refresh-tokens, inlogevents (tijdstip, IP, user-agent, uitkomst)	Veilig inloggen en sessiebeheer, fraude- en misbruikdetectie	Art. 6 lid 1 sub b en sub f (gerechtvaardigd belang: beveiliging van het platform)
Facturatie- en abonnementsgegevens: bedrijfsnaam, BTW-nummer, factuuradres, gekozen abonnement, facturen, betaalstatus	Facturatie, boekhouding, incassobeheer	Art. 6 lid 1 sub b en sub c (wettelijke plicht — boekhouding en fiscaal recht)
Operationele logs en telemetrie: systeem- en applicatielogs, audit-events, performance- en foutmetingen	Beschikbaarheid, beveiliging, probleemoplossing, capaciteitsplanning	Art. 6 lid 1 sub f (gerechtvaardigd belang: veilige en betrouwbare dienstverlening)
Productanalytics: feature-gebruiksstatistieken op geaggregeerd of gepseudonimiseerd niveau	Productverbetering, het plannen van nieuwe functionaliteit	Art. 6 lid 1 sub f
Supportcorrespondentie: berichten, tickets en bijlagen die u naar ons stuurt	Behandelen van uw supportverzoek	Art. 6 lid 1 sub b en sub f

B.3 Inhoud ingevoerd in Stocktimal (rol: verwerker)

Wanneer u of uw collega's inhoud in Stocktimal uploaden of aanmaken — bijvoorbeeld projecten, documenten, notities, bestanden, of opmerkingen — kunnen daarin persoonsgegevens voorkomen. Wij verwerken die gegevens in opdracht van uw klantorganisatie. De doeleinden, bewaartermijnen en rechtsgrondslagen worden door de klantorganisatie bepaald. Voor vragen over deze gegevens kunt u zich wenden tot uw organisatie; wij zullen op ons gerichte verzoeken aan de klantorganisatie doorgeven.

B.4 Cookies en soortgelijke technologieën in het product

Stocktimal gebruikt strikt noodzakelijke cookies of tokens voor authenticatie (inloggen, sessiebehoud, CSRF-bescherming) en voor het onthouden van uw UI-voorkeuren. Deze cookies zijn functioneel vereist om de dienst te kunnen leveren en vallen daarmee onder artikel 11.7a lid 3 van de Telecommunicatiewet (geen toestemming vereist). Binnen het product plaatsen wij geen tracking-cookies van derden voor reclamedoeleinden.

B.5 Ontvangers van uw gegevens

Om Stocktimal te leveren schakelen wij leveranciers in (zogeheten "subverwerkers" voor de onderdelen waar wij als verwerker optreden). Deze subverwerkers verwerken persoonsgegevens uitsluitend in onze opdracht en zijn contractueel gebonden aan geheimhouding en gelijkwaardige beveiligingsmaatregelen.

De actuele lijst van subverwerkers is beschikbaar op /trust/sub-processors. Daarnaast delen wij gegevens, waar noodzakelijk en op grond van een geldige rechtsgrondslag, met:

Professionele adviseurs (juristen, accountants, auditors), onder geheimhouding.
Bevoegde autoriteiten wanneer dit wettelijk vereist is.
Een verkrijger, in het geval van een fusie of overname waarbij wij betrokken zijn; in dat geval blijven de hier beschreven waarborgen van toepassing.

B.6 Bewaartermijnen

Categorie	Bewaartermijn
Accountgegevens	Duur van de overeenkomst plus 90 dagen na beëindiging (exportperiode); daarna wissen wij uw account en de gerelateerde gegevens, behoudens wettelijke bewaarplichten
Facturen en boekhoudkundige gegevens	7 jaar (fiscale bewaarplicht, art. 52 AWR)
Operationele logs en audit-events	90 dagen voor routinelogs; maximaal 12 maanden voor beveiligings- en audit-relevante events
Foutopsporingsmetingen	90 dagen
Supporttickets	24 maanden na sluiten van het ticket
Back-ups	In overeenstemming met onze reguliere back-upcyclus, in de regel maximaal 35 dagen; back-ups zijn versleuteld en uitsluitend toegankelijk voor herstel
Inhoud ingevoerd door uw organisatie (verwerkersrol)	Volgens instructies van uw klantorganisatie; bij beëindiging zoals bepaald in de DPA

B.7 Profilering en geautomatiseerde besluitvorming

Wij nemen binnen Stocktimal geen besluiten over u die uitsluitend gebaseerd zijn op geautomatiseerde verwerking en die rechtsgevolgen voor u hebben of u in aanmerkelijke mate treffen. Waar wij anomaliedetectie toepassen ter beveiliging van accounts, is er altijd menselijke beoordeling betrokken bij vervolgacties.

B.8 Verwijdering op uw verzoek

Als individuele gebruiker kunt u verwijdering van uw account verzoeken via de accountinstellingen of via info@raw-analytics.nl. Indien u lid bent van een klantorganisatie, kan verwijdering gevolgen hebben voor door u aan die organisatie geleverde bijdragen; in dat geval stemmen wij vooraf af met de klantorganisatie overeenkomstig haar instructies.

Deel C — Gemeenschappelijke bepalingen

C.1 Uw rechten

Onder de AVG heeft u de volgende rechten ten aanzien van uw persoonsgegevens:

Recht op inzage (art. 15 AVG) — u kunt een kopie opvragen van de persoonsgegevens die wij van u verwerken.
Recht op rectificatie (art. 16) — u kunt ons vragen onjuiste of onvolledige gegevens te corrigeren.
Recht op wissing (art. 17, "recht om vergeten te worden") — u kunt verzoeken om verwijdering wanneer de wettelijke voorwaarden daarvoor zijn vervuld.
Recht op beperking van de verwerking (art. 18).
Recht op gegevensoverdraagbaarheid (art. 20) — voor gegevens die u aan ons heeft verstrekt op basis van toestemming of een overeenkomst, in een gestructureerd, gangbaar en machineleesbaar formaat.
Recht van bezwaar (art. 21) — tegen verwerkingen op basis van een gerechtvaardigd belang.
Recht om toestemming in te trekken (art. 7 lid 3) — voor verwerkingen die op toestemming berusten; intrekking tast de rechtmatigheid van eerdere verwerking niet aan.
Recht om niet onderworpen te worden aan uitsluitend geautomatiseerde besluitvorming (art. 22).

Een verzoek kunt u richten aan info@raw-analytics.nl. Wij reageren binnen een maand na ontvangst, eventueel verlengd met twee maanden indien het verzoek complex is of wij meerdere verzoeken ontvangen. Om uw identiteit vast te stellen, kunnen wij u om aanvullende informatie vragen.

Wanneer het verzoek betrekking heeft op persoonsgegevens waarvoor een klantorganisatie verwerkingsverantwoordelijke is (zie §B.1 en §B.3), geven wij het verzoek zonder onredelijke vertraging aan de klantorganisatie door.

C.2 Internationale doorgiften

Wij streven ernaar persoonsgegevens te verwerken binnen de Europese Economische Ruimte (EER). Waar een subverwerker of leverancier zich buiten de EER bevindt en geen adequaatheidsbesluit van de Europese Commissie geldt, baseren wij de doorgifte op de modelcontractbepalingen van de Europese Commissie (Besluit 2021/914), aangevuld met passende aanvullende maatregelen (zoals versleuteling, pseudonimisering en beleid ten aanzien van verzoeken van buitenlandse overheden) waar die op grond van een doorgifte-effectbeoordeling vereist zijn. Actuele informatie per subverwerker vindt u op /trust/sub-processors.

C.3 Beveiliging

Wij nemen passende technische en organisatorische maatregelen ter bescherming van persoonsgegevens, waaronder:

Versleuteling in transit (TLS 1.2 of hoger) voor al het verkeer met onze diensten.
Versleuteling at rest (AES-256 of gelijkwaardig) voor persoonsgegevens in productiesystemen en back-ups.
Rolgebaseerde toegangscontrole volgens least-privilege-beginsel, met individuele accounts en verplichte meervoudige authenticatie voor administratieve toegang.
Periodieke beoordeling en automatische revocatie van toegangsrechten.
Logging en monitoring van toegang tot persoonsgegevens, met alerting op afwijkingen.
Geregistreerde incident-responseprocedures, met 48-uurs meldtermijn aan klantorganisaties bij een datalek dat hun persoonsgegevens raakt.
Periodieke beveiligingsreviews en pentests.
Beveiligingstraining voor al ons personeel, bij indiensttreding en periodiek daarna.

Een gedetailleerder overzicht van onze maatregelen is beschikbaar op /trust.

C.4 Datalekken

Indien zich een inbreuk in verband met persoonsgegevens voordoet die u raakt, zullen wij u daarvan zonder onredelijke vertraging informeren wanneer de AVG dat voorschrijft. Wanneer wij voor een klantorganisatie als verwerker optreden, lichten wij de klantorganisatie binnen 48 uur in; de klantorganisatie beoordeelt vervolgens de meldplicht jegens betrokkenen en de Toezichthoudende Autoriteit.

C.5 Klachten

Als u niet tevreden bent over de wijze waarop wij uw persoonsgegevens verwerken, horen wij dat graag eerst van u via info@raw-analytics.nl. U heeft tevens het recht een klacht in te dienen bij de Toezichthoudende Autoriteit. In Nederland is dit de Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl.

C.6 Contact

Voor vragen over deze privacyverklaring of over de verwerking van uw persoonsgegevens:

E-mail: info@raw-analytics.nl
Post: Risk at Work B.V., te Prinsenbeek (Nederland)
KvK-nummer: 72356219

C.7 Wijzigingen

Wij kunnen deze privacyverklaring van tijd tot tijd aanpassen, bijvoorbeeld wanneer wet- en regelgeving wijzigt of wanneer onze dienstverlening verandert. Wezenlijke wijzigingen kondigen wij aan via de website en, waar mogelijk, via e-mail aan houders van een account. Eerdere versies worden gearchiveerd en blijven op verzoek beschikbaar.

C.8 Taal

Deze privacyverklaring wordt gepubliceerd in het Nederlands en is beschikbaar in een Engelse hoffelijkheidsvertaling. Bij enige tegenstrijdigheid tussen de taalversies prevaleert de Nederlandse versie.

Privacybeleid