Privacybeleid

xed, gevestigd aan Louvre 6, 2761 MT Zevenhuizen, ingeschreven bij de Kamer van Koophandel onder nummer 42122513 (hierna: "wij" of "ons"), biedt bedrijven en particulieren ("tenants") een platform om websites te maken, te publiceren en te beheren. Dit privacybeleid legt uit welke persoonsgegevens we verwerken, met welke rechtsgrond en met welk doel, welke (sub)verwerkers we inschakelen en welke rechten je hebt. Dit geldt zowel wanneer je zelf een xed-account hebt of zonder account een website maakt, als wanneer je een website bezoekt die een tenant met xed heeft gemaakt. Begrippen die in dit beleid met een hoofdletter worden geschreven, hebben de betekenis die daaraan is gegeven in onze algemene voorwaarden.

1. Wie is verantwoordelijk?

Voor persoonsgegevens die een tenant in zijn website opneemt en voor gegevens van bezoekers van die website is de tenant, die de website met xed heeft gemaakt en gepubliceerd, de verwerkingsverantwoordelijke in de zin van de AVG. xed treedt daarbij op als verwerker en verwerkt die gegevens uitsluitend in opdracht van en volgens instructies van de tenant, vastgelegd in een verwerkersovereenkomst tussen xed en de tenant. Voor gegevens over tenants zelf (accountgegevens, facturatie, gebruik van het platform) en voor bezoekers van onze eigen website, onder wie bezoekers die daar zonder account een website maken, is xed de verwerkingsverantwoordelijke. Vragen over de verwerking van je gegevens door een specifieke tenant richt je in eerste instantie aan die tenant zelf. Neemt een tenant in zijn website een andere dienst op, zoals een offerteflow van Offerteflow, dan geldt voor de gegevens die je daarin invult het privacybeleid van die dienst.

2. Welke gegevens verwerken we

• Accountgegevens: naam, e-mailadres en wachtwoord (gehasht, nooit in leesbare vorm opgeslagen) van tenants.
• Websitegegevens: de bedrijfsnaam en branche die je opgeeft om een website te laten genereren, en de Content van je websites, waaronder teksten, contactgegevens, openingstijden, geüploade afbeeldingen en gekoppelde domeinnamen. Persoonsgegevens van anderen die een tenant in zijn website opneemt, verwerken we namens die tenant.
• Betaalgegevens: verwerkt door onze betaalprovider (Stripe); wijzelf slaan geen volledige kaart- of rekeninggegevens op, alleen het type betaalmiddel en de laatste vier cijfers daarvan.
• Gebruiksgegevens: technische logs, IP-adressen en sessietokens, ook van bezoekers van websites die met xed zijn gemaakt.
• Communicatiegegevens: berichten die je ons per e-mail stuurt, inclusief je naam en e-mailadres, en het e-mailadres waarnaar je de link naar een website zonder account laat mailen.
• Meldingen van misbruik: wie via Misbruik melden een website meldt, geeft ons het adres van die website, een toelichting en, als je dat wilt, je e-mailadres. Je IP-adres gebruiken we alleen om te veel meldingen tegen te houden; we bewaren het niet bij de melding.

3. Op welke grondslag

We verwerken persoonsgegevens uitsluitend op basis van een wettelijke grondslag: uitvoering van de overeenkomst (accountbeheer, het leveren van de Dienst, waaronder het genereren, bewaren en publiceren van websites, en verwerking van betaalgegevens), gerechtvaardigd belang (beveiliging, misbruikpreventie, productverbetering op basis van geaggregeerde gegevens) en wettelijke verplichting (fiscale bewaarplicht voor facturen).

4. Doeleinden

We gebruiken deze gegevens om: het platform te leveren en te onderhouden, websites te genereren, te bewaren en te publiceren, de link naar een website zonder account te mailen, abonnementen te beheren en te factureren, vragen per e-mail te beantwoorden, misbruik te voorkomen (o.a. botdetectie op formulieren), en te voldoen aan wettelijke verplichtingen.

5. Geautomatiseerde besluitvorming

Bij het genereren van een website kiest de Dienst automatisch een ontwerp, teksten en foto's op basis van de opgegeven bedrijfsnaam en branche. Dit betreft geen geautomatiseerde besluitvorming met rechtsgevolgen in de zin van artikel 22 AVG: de gegenereerde website is een voorstel, en de tenant beoordeelt en past zelf de website aan voordat deze wordt gepubliceerd. De botdetectie op formulieren beoordeelt geautomatiseerd of een formulier door een mens wordt verstuurd; word je daardoor ten onrechte geweigerd, neem dan contact met ons op.

6. Subverwerkers

Om het platform te laten werken schakelen we de volgende categorieën subverwerkers in, met wie steeds een verwerkersovereenkomst is gesloten voor zover zij persoonsgegevens verwerken:

• Hostingpartij: voor het draaien van het platform en het opslaan van gegevens.
• E-mailprovider: voor het versturen van account- en contactmails en van de link naar een website zonder account.
• Stripe: voor betalingsverwerking, uitsluitend wanneer een tenant een abonnement afsluit.
• Cloudflare: voor botdetectie (Cloudflare Turnstile) op de formulieren waarmee je zonder account een website of een account maakt.
• Monitoring- en loggingdienst: voor technische foutopsporing en prestatiebewaking van het platform.

Daarnaast laadt je browser in de editor foto's rechtstreeks bij Pexels, en op websites die met xed zijn gemaakt en in de editor lettertypen bij Bunny Fonts; deze partijen ontvangen daarbij je IP-adres.

Een actuele lijst met de exacte subverwerkers is op verzoek beschikbaar via info@xed.nl.

7. Doorgifte buiten de EER

Sommige subverwerkers (waaronder Stripe en Cloudflare) kunnen gegevens verwerken op servers buiten de Europese Economische Ruimte, onder meer in de Verenigde Staten. In dat geval zorgen we voor passende waarborgen, zoals de Standard Contractual Clauses van de Europese Commissie of een vergelijkbaar mechanisme, en delen we nooit meer gegevens dan noodzakelijk voor het betreffende doel.

8. Cookies

xed gebruikt functionele cookies en vergelijkbare technieken die noodzakelijk zijn voor het platform (inloggen, sessiebeheer, beveiliging van formulieren, het onthouden van de websites die je zonder account in je browser hebt gemaakt, voorkeuren in de editor en botdetectie op formulieren). Deze vallen onder de wettelijke uitzondering van artikel 11.7a, derde lid, van de Telecommunicatiewet en vereisen geen toestemming.

We gebruiken geen analytische cookies, trackingcookies of advertentiecookies. Websites die met xed zijn gemaakt, plaatsen zelf geen cookies. Neemt een tenant in zijn website een andere dienst op, zoals een offerteflow, dan kan die dienst wel cookies of vergelijkbare technieken gebruiken; de tenant is daarvoor verantwoordelijk.

9. Bewaartermijnen

We bewaren gegevens niet langer dan noodzakelijk voor het doel waarvoor ze zijn verzameld:

• Onze eigen factuur- en boekhoudgegevens (de facturatie van het xed-abonnement van de Tenant): zeven (7) jaar, conform de fiscale bewaarplicht.
• Accountgegevens: zolang het account actief is, en tot maximaal dertig (30) dagen na opzegging, tenzij een langere wettelijke bewaarplicht geldt.
• Websites van tenants: tot de Tenant deze zelf verwijdert, wat op elk moment vanuit het dashboard kan, en uiterlijk tot dertig (30) dagen na opzegging van het Account. Van een gepubliceerde website bewaren we daarnaast de laatste 20 gepubliceerde versies, zodat de Tenant een eerdere versie kan terugzetten.
• Websites die zonder account zijn gemaakt, inclusief het e-mailadres waarnaar de link is gemaild: tot dertig (30) dagen na de laatste wijziging. Wordt de website in die tijd aan een account gekoppeld, dan verwijderen we het e-mailadres direct.
• Technische logs: maximaal negentig (90) dagen, tenzij langer bewaard nodig is voor beveiligingsonderzoek.
• Gegevens uit e-mailcontact: tot twee (2) jaar na het laatste contact.
• Meldingen van misbruik: tot twee (2) jaar nadat we de melding hebben afgehandeld.

10. Beveiliging

We nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies of onrechtmatige verwerking, waaronder versleuteling van gegevens tijdens verzending, gehashte wachtwoorden, toegangsbeperking op basis van functie ("need to know"), en periodieke beoordeling van onze beveiligingsmaatregelen.

11. Datalekken

Mocht zich onverhoopt een datalek voordoen dat een risico oplevert voor de rechten en vrijheden van betrokkenen, dan melden we dit binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, en informeren we betrokken tenants en, indien het risico voor andere betrokkenen hoog is, die betrokkenen zonder onredelijke vertraging.

12. Jouw rechten

Je hebt recht op inzage, rectificatie, verwijdering en beperking van je persoonsgegevens, het recht om bezwaar te maken tegen de verwerking ervan, en het recht op gegevensoverdraagbaarheid (dataportabiliteit). Wil je een van deze rechten uitoefenen, neem dan contact op via info@xed.nl; we reageren binnen één maand na ontvangst van je verzoek. Gaat je verzoek over gegevens op of via een website van een tenant, dan kunnen we je verzoek doorzetten naar de betreffende tenant, die als verwerkingsverantwoordelijke het verzoek afhandelt. Ben je niet tevreden over hoe we met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

13. Kinderen

De Dienst is niet gericht op en niet bedoeld voor personen jonger dan 16 jaar. We verzamelen niet bewust persoonsgegevens van kinderen. Vermoed je dat we onbedoeld gegevens van een kind hebben verwerkt, neem dan contact met ons op zodat we deze kunnen verwijderen.

14. Wijzigingen in dit beleid

We kunnen dit privacybeleid van tijd tot tijd aanpassen, bijvoorbeeld bij wijzigingen in de Dienst of toepasselijke wetgeving. Bij materiële wijzigingen informeren we tenants via e-mail of een melding in het dashboard. De datum bovenaan deze pagina geeft aan wanneer het beleid voor het laatst is bijgewerkt.

15. Contact

Vragen over dit privacybeleid of over de verwerking van je persoonsgegevens? Neem contact op via info@xed.nl; we reageren zo snel mogelijk.