1. Wie zijn wij?
deXes is een data-intermediair en marktplaatsoperator gevestigd in Utrecht, die veilige en soevereine data-uitwisseling tussen organisaties mogelijk maakt op basis van open EU-dataspace-standaarden. deXes is officieel erkend als data-intermediair onder de EU Data Governance Act en is ISO 27001:2022-gecertificeerd.
Verwerkingsverantwoordelijke:
deXes B.V. — De Blend Offices, Vleutensevaart 100, 3532 AD Utrecht
+31 (0)30 2272 652 · [email protected]
2. Welke gegevens verzamelen wij?
Wij verzamelen persoonsgegevens in twee contexten: via deze website en via de operationele systemen die deXes voor zijn klanten beheert.
Website
- Contactformulier — uw naam, e-mailadres, organisatie (optioneel) en uw bericht.
- Sollicitaties — uw naam, e-mailadres, cv en motivatiebrief.
- Supporttickets — uw naam, e-mailadres en een beschrijving van uw probleem.
- Website-analyses — geanonimiseerde gebruikersdata (bezochte pagina's, browsertype, sessieduur) verzameld via Matomo Cloud (gehost binnen de EU) in een cookieloze modus. Er worden geen cookies geplaatst, IP-adressen zijn geanonimiseerd, het 'Do Not Track'-signaal wordt gerespecteerd en er worden geen persoonlijke identificeerders opgeslagen.
Operationele systemen
deXes exploiteert en beheert diverse dataservices namens zijn klanten, waaronder het DMI-ecosysteem, de deXes-marktplaats, OpenGDC en het Open Building Passport. Binnen deze systemen kunnen de volgende gegevens worden verwerkt, uitsluitend voor toegangsbeheer en identiteitsverificatie:
- Gebruikersnamen en wachtwoorden — gebruikt voor authenticatie bij het relevante platform. Wachtwoorden worden uitsluitend in gehashte vorm opgeslagen en zijn voor niemand leesbaar in platte tekst.
- Organisatienamen — gebruikt om de deelnemende organisatie binnen de dataspace te identificeren en de bijbehorende toegangsrechten te verifiëren.
Belangrijk: deXes verwerkt uitsluitend de metadata die noodzakelijk is om de data-uitwisseling te faciliteren, zoals identiteitsgegevens en toegangsrechten. deXes heeft géén toegang tot, slaat niet op, en verwerkt niet de daadwerkelijke data die klanten via deze systemen met elkaar delen. Dit is een fundamenteel kernprincipe van de rol van deXes als neutrale data-intermediair en een vereiste voor naleving van de EU Data Governance Act.
De verwerking binnen deze systemen vindt plaats op basis van een contract met de betreffende klantorganisatie, die in dit proces optreedt als de verwerkingsverantwoordelijke. deXes treedt hierbij op als verwerker en verwerkt persoonsgegevens uitsluitend volgens de gedocumenteerde instructies van deze verwerkingsverantwoordelijke.
3. Waarom gebruiken wij uw gegevens?
Voor elke categorie persoonsgegevens hanteren wij een specifiek doel en een juridische grondslag zoals bepaald in de AVG:
Reageren op contactverzoeken
Juridische grondslag: gerechtvaardigd belang (art. 6 lid 1 sub f AVG). Bewaartermijn: tot maximaal 1 jaar na het laatste contact.
Verwerken van sollicitaties
Juridische grondslag: precontractuele maatregelen (art. 6 lid 1 sub b AVG). Bewaartermijn: tot 4 weken nadat de vacature is ingevuld, of tot 1 jaar wanneer u hiervoor expliciet toestemming heeft gegeven.
Afhandelen van supportverzoeken
Juridische grondslag: uitvoering van een overeenkomst of gerechtvaardigd belang (art. 6 lid 1 sub b/f AVG). Bewaartermijn: tot 2 jaar.
Website-analyses
Aanbieder: Matomo Cloud (EU-gehost door InnoCraft Ltd). Configuratie: cookieloos, met geanonimiseerde IP-adressen, respect voor het 'Do Not Track'-signaal en zonder het gebruik van persoonlijke identificeerders. Juridische grondslag: gerechtvaardigd belang (art. 6 lid 1 sub f AVG) — dit is in lijn met de leidraad van de Autoriteit Persoonsgegevens voor cookieloze analyses. Bewaartermijn: wij bewaren uitsluitend geaggregeerde, geanonimiseerde data.
Toegangsbeheer binnen operationele systemen
deXes verwerkt gebruikersnamen, gehashte wachtwoorden en organisatienamen uitsluitend om gebruikers te authenticeren en toegangsrechten te beheren binnen de operationele platformen (zoals het DMI-ecosysteem, deXes-marktplaats, OpenGDC, Open Building Passport). deXes verwerkt nooit de daadwerkelijke data die tussen deelnemers worden uitgewisseld, maar enkel de metadata die benodigd is om de uitwisseling te controleren en faciliteren. Juridische grondslag: uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG) voor directe gebruikers; gerechtvaardigd belang (art. 6 lid 1 sub f AVG) voor de identificatie van organisaties. Bewaartermijn: voor de duur van het actieve account, plus maximaal 12 maanden na het sluiten van het account. Uitzondering: toegangslogs en transactiemetadata kunnen langer worden bewaard indien dit wettelijk verplicht is voor audits, geschillenbeslechting of de handhaving van vertrouwensafspraken onder de EU Data Governance Act of gerelateerde contractuele verplichtingen.
4. Delen met derden
Wij verkopen of verhandelen uw persoonsgegevens onder geen enkele voorwaarde. Wij delen gegevens mogelijk wel met de volgende categorieën verwerkers, die uitsluitend handelen op basis van onze strikte instructies:
- Providers van hosting- en cloudinfrastructuur (gevestigd binnen de EU)
- Aanbieders van e-maildiensten (voor de aflevering van berichten)
- Het platform voor supporttickets
- Governance- en auditpartijen, zoals accrediterende instanties, toezichthouders of auditors van vertrouwensframeworks. Dit gebeurt uitsluitend wanneer inzage vereist is om de naleving van de EU Data Governance Act of andere toepasselijke regelgeving aan te tonen.
Alle verwerkers zijn gebonden aan strenge, AVG-conforme verwerkersovereenkomsten. Wij dragen geen persoonsgegevens over naar landen buiten de Europese Economische Ruimte (EER).
5. Cookies
Deze website maakt uitsluitend gebruik van functionele cookies (die noodzakelijk zijn voor de werking van de website) en, met uw toestemming, analytische cookies om het gebruik van de site beter te begrijpen. Er worden géén advertentie- of trackingcookies geplaatst. Raadpleeg ons Cookiebeleid voor de volledige details.
6. Uw rechten (AVG)
Onder de Algemene Verordening Gegevensbescherming (AVG) heeft u de volgende rechten:
- Recht op inzage — u kunt een kopie opvragen van de persoonsgegevens die wij van u hebben.
- Recht op rectificatie — u kunt ons verzoeken om onjuiste of onvolledige gegevens aan te passen.
- Recht op gegevenswissing — u kunt verzoeken om verwijdering van uw gegevens, mits er geen andere wettelijke verplichting of grondslag is om deze te behouden.
- Recht op beperking van de verwerking — u kunt ons verzoeken om uw gegevens tijdelijk op een beperktere manier te gebruiken.
- Recht op dataportabiliteit — u heeft het recht om uw gegevens in een gestructureerd, veelgebruikt en machineleesbaar formaat te ontvangen.
- Recht van bezwaar — u kunt bezwaar maken tegen de verwerking van uw gegevens op basis van ons gerechtvaardigd belang.
- Recht om toestemming in te trekken — indien de verwerking is gebaseerd op uw toestemming, kunt u deze op elk gewenst moment intrekken.
Wilt u gebruikmaken van een van deze rechten? Stuur dan een e-mail naar [email protected]. Wij streven ernaar uw verzoek binnen 30 dagen in behandeling te nemen. Daarnaast heeft u altijd het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.
7. Beveiliging
deXes is ISO 27001:2022-gecertificeerd. Wij hebben robuuste technische en organisatorische maatregelen getroffen om uw persoonsgegevens te beschermen tegen onbevoegde toegang, verlies of onrechtmatige openbaarmaking. Dit omvat onder meer de versleuteling van data (encryptie) tijdens verzending, strikte toegangscontroles en regelmatige veiligheidsaudits.
8. Wijzigingen in dit privacybeleid
Wij behouden ons het recht voor om dit privacybeleid van tijd tot tijd te wijzigen. Wezenlijke aanpassingen zullen op deze pagina worden gepubliceerd, voorzien van een bijgewerkte mutatiedatum. Wij raden u aan om dit beleid regelmatig door te nemen.