1. Wie is verantwoordelijk voor uw gegevens

Deze privacyverklaring is van toepassing op het gebruik van het bestelplatform Shop Cantatore, bereikbaar via shop.studiocantatore.nl. De verwerkingsverantwoordelijke voor de verwerking van uw persoonsgegevens is Studio Cantatore, ingeschreven bij de Kamer van Koophandel onder nummer [KvK-nummer], met BTW-nummer [BTW-nummer] en gevestigd op [postadres]. Voor vragen over deze privacyverklaring of over de verwerking van uw gegevens kunt u contact opnemen via [contact-e-mailadres] of telefonisch via [telefoonnummer].

2. Welke persoonsgegevens wij verwerken

Afhankelijk van uw rol op het platform verwerken wij de volgende categorieën persoonsgegevens:

• Accountgegevens: naam, e-mailadres, wachtwoord (uitsluitend versleuteld opgeslagen als bcrypt-hash), rol, de organisatie waartoe u behoort en de datum van uw laatste inlog.
• Organisatiegegevens: naam, e-mailadres, telefoonnummer, adres, KvK-nummer, BTW-nummer en IBAN van de organisatie.
• Bestelgegevens: afleveradres, gewenste leverdatum, opmerkingen en de contactpersoon voor de bestelling (naam, e-mailadres en telefoonnummer).
• Subsidieaanvragen: motivering en overige vrije tekst, en de gegevens uit het aanvraagformulier, waaronder plaatsingslocaties met adressen en coördinaten.
• Geüploade bestanden: kaartfragmenten, foto's op locatie en begeleidende brieven. Deze bestanden worden opgeslagen op onze eigen server en zijn uitsluitend toegankelijk na inloggen en autorisatie.
• Factuurgegevens.
• Een logboek van verzonden e-mailnotificaties (ontvanger, onderwerp en status).
• Een audit- en statuswijzigingslogboek waarin wordt vastgelegd wie wat wanneer heeft gewijzigd.
• De registratie van uw acceptatie van de algemene voorwaarden.
• Wachtwoordresettokens (versleuteld opgeslagen en maximaal één uur geldig).

Het platform legt zelf geen IP-adressen vast. Accounts worden aangemaakt door de beheerder van het platform ten behoeve van medewerkers van een organisatie; de bijbehorende gegevens ontvangen wij van de organisatie of werkgever. Er is geen open registratie.

3. Doeleinden en rechtsgronden

Wij verwerken uw persoonsgegevens voor de volgende doeleinden en op de volgende rechtsgronden:

• Uitvoering van de overeenkomst: het beheren van accounts, het verwerken van bestellingen en subsidieaanvragen, facturatie en het versturen van transactionele e-mail.
• Voldoen aan een wettelijke verplichting: het bewaren van factuur- en administratiegegevens in verband met de fiscale bewaarplicht.
• Behartiging van een gerechtvaardigd belang: het beveiligen van het platform, foutopsporing en monitoring, het bijhouden van een auditlogboek en het voorkomen van misbruik.

Wij verwerken uw gegevens niet voor marketingdoeleinden en baseren geen verwerkingen op uw toestemming.

4. Ontvangers en verwerkers

Voor de uitvoering van onze dienstverlening schakelen wij een aantal verwerkers in. Met hen zijn de vereiste afspraken gemaakt over de bescherming van uw gegevens.

• Moneybird (boekhouding en facturatie): ontvangt de contactgegevens van de organisatie, zoals bedrijfsnaam, adres, e-mailadres, BTW-nummer en KvK-nummer.
• Resend (verzending van transactionele e-mail): ontvangt de naam en het e-mailadres van de ontvanger en de inhoud van het bericht.
• Sentry (foutmonitoring): is zo geconfigureerd dat persoonsgegevens worden geminimaliseerd. Er worden standaard geen persoonsgegevens meegestuurd; sessieopnames worden uitsluitend bij fouten gemaakt en zijn volledig gemaskeerd.
• De hostingpartij van onze eigen server: wij beheren de server (VPS), de PostgreSQL-database en de bestandsopslag in eigen beheer, met dagelijkse back-ups.

Kaartweergave verloopt via OpenStreetMap. Wanneer een kaart wordt getoond, haalt uw browser de kaarttegels rechtstreeks op bij de servers van OpenStreetMap; daarbij ziet OpenStreetMap uw IP-adres. Het opzoeken van adressen (geocoding) verloopt daarentegen via onze eigen server, zodat alleen coördinaten en niet uw IP-adres naar OpenStreetMap/Nominatim worden gestuurd.

Voor zover verwerkers, zoals Resend en Sentry, gegevens buiten de Europese Economische Ruimte (EER) verwerken, gebeurt dit op basis van passende waarborgen uit hoofdstuk V van de AVG, zoals standaardcontractsbepalingen. Wij maken geen gebruik van analyse-, tracking- of advertentiecookies van derden.

5. Cookies

Het platform plaatst uitsluitend functionele, strikt noodzakelijke cookies die nodig zijn voor het inlogsysteem: een sessiecookie, een cookie voor CSRF-beveiliging en een callback-cookie. Wij plaatsen geen tracking- of analysecookies. Om die reden is er geen cookiebanner.

6. Bewaartermijnen

Wij bewaren uw gegevens niet langer dan noodzakelijk. Accountgegevens en organisatiegegevens bewaren wij zolang het account of de organisatie actief is en daarna niet langer dan nodig. Factuur- en administratiegegevens bewaren wij zeven jaar in verband met de fiscale bewaarplicht. Wachtwoordresettokens vervallen na maximaal één uur. Back-ups worden periodiek overschreven. Voor subsidiebestanden en auditlogboeken geldt een bewaartermijn van [bewaartermijn].

7. Uw rechten

U heeft het recht op inzage in uw persoonsgegevens en op rectificatie, verwijdering en beperking van de verwerking. Daarnaast heeft u het recht om bezwaar te maken tegen de verwerking en het recht op overdraagbaarheid van uw gegevens (dataportabiliteit). U kunt een verzoek indienen via [contact-e-mailadres].

Bent u van mening dat wij uw gegevens niet correct verwerken, dan heeft u het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens (www.autoriteitpersoonsgegevens.nl).

8. Geautomatiseerde besluitvorming

Wij maken geen gebruik van geautomatiseerde besluitvorming of profilering.

9. Verstrekking van gegevens

Het verstrekken van uw accountgegevens is noodzakelijk om het platform te kunnen gebruiken. Zonder deze gegevens kunnen wij geen account aanmaken en kunt u geen gebruikmaken van het platform.

10. Wijzigingen van deze privacyverklaring

Wij kunnen deze privacyverklaring van tijd tot tijd wijzigen. Bij een wijziging passen wij het versienummer bovenaan deze verklaring aan. Wij raden u aan deze pagina periodiek te raadplegen.