Privacy

Kalmo is een eenmanszaak in Harderwijk, gerund door Hessel. Kalmo bepaalt zelf welke gegevens er worden vastgelegd en waarvoor, en is daarmee de verwerkingsverantwoordelijke in de zin van de AVG.

Er is geen functionaris voor gegevensbescherming. Dat hoeft ook niet: die is verplicht voor overheden en voor bedrijven die op grote schaal mensen volgen of bijzondere gegevens verwerken, en dat doet Kalmo geen van beide.

Vragen over deze verklaring gaan rechtstreeks naar Hessel. Zie onderaan de pagina.

Het contactformulier. Je naam en telefoonnummer zijn verplicht; bedrijfsnaam, e-mailadres, bedrijfsgrootte, waar je op vastloopt en je bericht zijn dat niet. Doel: contact met je opnemen over je aanvraag. Grondslag: op jouw verzoek stappen zetten voorafgaand aan een overeenkomst (artikel 6 lid 1 sub b AVG).

De chat. Wat je typt, wanneer je het typte, en op welke pagina je zat. Doel: je vraag beantwoorden en het gesprek terug kunnen lezen. Grondslag: dezelfde — je begint het gesprek zelf. Typ er geen dingen in die je niet zou opschrijven; het staat er daarna echt.

Het klantportaal. Je e-mailadres om in te loggen, en de gegevens van je bedrijf die je zelf invult: bedrijfsnaam, KvK-nummer, adres, factuuradres, het nummer waarnaar wordt doorgeschakeld. Doel: de dienst leveren. Grondslag: uitvoering van de overeenkomst.

De automatiseringen zelf. Draait Kalmo voor jou, dan gaan er gegevens van jóuw klanten doorheen: telefoonnummers van bellers, berichten, afspraken. Daarvan is Kalmo niet de baas maar de verwerker — jij bepaalt wat ermee gebeurt, en dat leggen we vast in een verwerkersovereenkomst voordat er iets gaat draaien.

Een onomkeerbare afdruk van je IP-adres als je het formulier verstuurt of een chat begint — geen IP-adres, een hash met een geheime toevoeging. Doel: voorkomen dat één bezoeker het formulier honderd keer verstuurt. Grondslag: gerechtvaardigd belang (artikel 6 lid 1 sub f), namelijk een site die blijft werken. Na een uur is de afdruk nergens meer voor nodig.

Serverlogboeken. Vercel legt bij elk verzoek vast welk adres welke pagina opvroeg. Daar zit een IP-adres in. Kalmo schrijft er zelf niets in en zet er nooit namen, nummers of berichten in; ze zijn er om te zien of de site het doet.

Koude e-mail. Benadert Kalmo jouw bedrijf uit zichzelf, dan komt dat uit openbare zakelijke bronnen: bedrijfsnaam, plaats, algemeen e-mailadres. Alleen zakelijke adressen, nooit privéadressen. Grondslag: gerechtvaardigd belang. In elke mail staat een afmeldregel, en één keer nee is voorgoed nee.

Er staan geen trackers op de site. Geen Google Analytics, geen advertentiepixels, geen knoppen van sociale media die stiekem meekijken. De lettertypen komen van de eigen server, dus je browser legt geen contact met Google.

Je gegevens worden niet verkocht, niet verhuurd, niet geruild en niet gebruikt voor reclame van anderen. Er gaat geen nieuwsbrief uit waar je ongevraagd in staat.

Er wordt niet automatisch over je besloten. Een aanvraag krijgt wel een score — een optelsom van bedrijfsgrootte, waar je op vastloopt, en of je er iets bij hebt geschreven. Die score bepaalt alleen in welke volgorde er wordt teruggebeld. Wie er belt is een mens, en die kijkt naar wat er staat en niet naar het getal.

Supabase. De database: aanvragen, klanten, chatgesprekken, afspraken. — Ierland (EU).

Vercel. De server waarop de site draait, en de logbestanden daarvan. — Europese servers; het moederbedrijf zit in de Verenigde Staten.

n8n Cloud. De automatiseringen: het bericht dat een beller krijgt, het nabellen van een offerte. — Europese Unie (regio ingesteld op Europa).

Resend. Het versturen van e-mail, zodra Kalmo namens jou mailt. — Europese servers; het moederbedrijf zit in de Verenigde Staten.

Twee van die bedrijven zijn Amerikaans, maar de gegevens staan op Europese servers. Voor het geval er toch iets de EU uit gaat, gelden de modelcontracten van de Europese Commissie.

Verder ziet niemand het. Geen boekhouder die in de leads kijkt, geen marketingbureau, geen partner. Moet er ooit iets naar de Belastingdienst of een andere instantie omdat de wet dat eist, dan gebeurt dat en niet meer dan dat.

Alles gaat versleuteld over de lijn. De database is per rij afgeschermd: als klant kun je alleen je eigen gegevens opvragen, ook als er ergens in een scherm een fout zou zitten. Dat zit in de database zelf en niet in de pagina's, want een pagina kan een fout hebben.

De beheeromgeving is alleen voor Kalmo zelf. Persoonsgegevens komen niet in logregels en niet in webadressen terecht, omdat je die twee nooit helemaal onder controle hebt.

Gaat er ondanks alles iets mis waarbij jouw gegevens betrokken zijn, dan hoor je dat van Kalmo — en niet pas als het toevallig uitkomt. Bij een datalek met risico voor jou is dat ook wettelijk verplicht, binnen 72 uur aan de Autoriteit Persoonsgegevens.

Een aanvraag die niets wordt: maximaal twee jaar. Lang genoeg om je te herkennen als je later terugbelt, kort genoeg om niet eindeloos een lijst met nummers te bewaren.

Chatgesprekken: een jaar. Daarna zijn ze alleen nog nut voor de statistiek en dat weegt niet op tegen wat erin staat.

Klantgegevens: zolang de samenwerking loopt. Facturen en wat daarbij hoort daarna nog zeven jaar, omdat de Belastingdienst dat voorschrijft.

Afmeldingen voor koude mail: die blijven. Dat is het enige waarvan het bewaren jóu beschermt: zonder die lijst kun je opnieuw worden aangeschreven.

Vraag je eerder om verwijdering, dan gebeurt dat, behalve voor wat wettelijk bewaard moet blijven. Je hoeft niet uit te leggen waarom.

Inzage: een kopie van alles wat er over je is vastgelegd. Correctie: staat er iets fout, dan wordt het rechtgezet. Verwijdering: weg ermee.

Beperking: laat staan, maar doe er niets mee zolang er iets loopt. Bezwaar: tegen alles wat op gerechtvaardigd belang berust, en tegen koude mail zonder opgaaf van reden.

Overdraagbaarheid: wat je zelf hebt aangeleverd, in een bestand dat een ander programma kan lezen.

Een mail of een telefoontje is genoeg; er is geen formulier voor. Je krijgt binnen een week antwoord en uiterlijk binnen een maand is het geregeld — die maand is de wettelijke termijn, de week is wat Kalmo zichzelf oplegt.

Kom je er met Kalmo niet uit, dan kun je klagen bij de Autoriteit Persoonsgegevens. Dat recht heb je altijd, ook zonder eerst hier te klagen.