Privacy- en cookieverklaring
Hoe de MKI Rekentool met uw gegevens omgaat, en welke cookies en lokale opslag daarbij worden gebruikt.
Cookies en lokale opslag
De MKI Rekentool gebruikt één cookie en twee vormen van lokale opslag in uw browser. Alle drie zijn functioneel: ze zijn nodig om u ingelogd te houden en om uw eigen instellingen binnen het scherm te onthouden.
| Naam | Soort | Doel | Bewaartermijn |
|---|---|---|---|
| __Host-session | Cookie | Houdt u ingelogd. Zonder deze cookie kunt u de tool niet gebruiken. | De cookie verdwijnt zodra u uw browser afsluit. Uw sessie verloopt daarnaast na 4 uur zonder gebruik, en uiterlijk 24 uur na aanmelden. |
| mengsels-inzichten-collapsed | localStorage | Onthoudt of u de kolom Kostenopbouw open of dicht had staan. | Tot u de opslag van uw browser wist |
| vergelijken-slots | sessionStorage | Onthoudt welke mengsels u aan het vergelijken was. | Tot u het tabblad sluit |
Geen analytics, geen trackers, geen cookies van derden. De tool plaatst niets om uw gedrag te volgen, deelt niets met advertentie- of statistiekpartijen, en laadt geen scripts, lettertypen of afbeeldingen van andere websites. Alles wat u hierboven ziet, komt van ons eigen domein.
Waarom ziet u geen cookiebanner? De sessiecookie is strikt noodzakelijk voor het laten functioneren van de applicatie. Hiervoor geldt geen toestemmingsplicht (artikel 11.7a lid 3 Telecommunicatiewet). Via deze pagina informeren wij u hierover.
U kunt de cookie en de lokale opslag altijd zelf verwijderen via de instellingen van uw browser. U wordt dan uitgelogd en uw schermvoorkeuren zijn hersteld naar de standaardinstelling.
Welke gegevens, waarvoor en op welke grondslag
Hieronder staat per soort gegeven waarom wij het verwerken, op welke grondslag uit de AVG dat gebeurt en hoe lang wij het bewaren. De lijst beschrijft wat de tool feitelijk vastlegt, niets meer.
| Gegeven | Waarvoor | Grondslag | Bewaartermijn |
|---|---|---|---|
| Voornaam en achternaam | Uw account herkenbaar maken, u persoonlijk aanspreken in e-mail, en vastleggen wie een grondstof of mengsel heeft aangemaakt of gewijzigd. | Gerechtvaardigd belang: het kunnen leveren van de dienst aan de Afnemer (art. 6 lid 1 sub f AVG) | Zolang uw account bestaat. Bij verwijdering wordt uw account gewist of geanonimiseerd, zie hieronder. Na verwijdering staat de informatie nog maximaal 30 dagen in de back-ups. |
| E-mailadres | Inloggen, u uitnodigen voor uw eerste aanmelding, uw wachtwoord kunnen herstellen, en contact met u opnemen over de dienst. | Gerechtvaardigd belang: het kunnen leveren van de dienst aan de Afnemer (art. 6 lid 1 sub f AVG) | Zolang uw account bestaat. Bij verwijdering wordt uw account gewist of geanonimiseerd, zie hieronder. Na verwijdering staat de informatie nog maximaal 30 dagen in de back-ups. |
| Wachtwoord, uitsluitend als niet-omkeerbare afgeleide (argon2) | U kunnen laten inloggen. Het wachtwoord zelf wordt nergens bewaard. | Gerechtvaardigd belang: het kunnen leveren van de dienst aan de Afnemer (art. 6 lid 1 sub f AVG) | Tot u het wachtwoord wijzigt of uw account wordt verwijderd. Na verwijdering staat de informatie nog maximaal 30 dagen in de back-ups. |
| Uw rol en de asfaltcentrale of aannemer waaraan u gekoppeld bent | Bepalen welke gegevens u mag inzien, aanmaken en wijzigen. | Gerechtvaardigd belang: het kunnen leveren van de dienst aan de Afnemer (art. 6 lid 1 sub f AVG) | Zolang uw account bestaat. Na verwijdering staat de informatie nog maximaal 30 dagen in de back-ups. |
| Aantal mislukte inlogpogingen en het moment tot wanneer uw account geblokkeerd is | Uw account beschermen tegen het geautomatiseerd raden van wachtwoorden. | Gerechtvaardigd belang: beveiliging (art. 6 lid 1 sub f, zie ook art. 32 AVG) | De teller wordt bij een geslaagde inlog op nul gezet; een blokkade vervalt na 15 minuten. Na verwijdering staat de informatie nog maximaal 30 dagen in de back-ups. |
| Moment van uw laatste inlog | Beheerders laten zien welke accounts ongebruikt zijn, zodat licentieplaatsen kunnen worden opgeschoond. | Gerechtvaardigd belang: beheer van de dienst (art. 6 lid 1 sub f AVG) | Alleen het laatste moment, zolang uw account bestaat. Na verwijdering staat de informatie nog maximaal 30 dagen in de back-ups. |
| Sessiegegevens: een niet-omkeerbare afgeleide van uw sessiesleutel, uw IP-adres (versleuteld opgeslagen), aanmaak- en verloopmoment, en als uw sessie is beëindigd ook het moment en de reden daarvan | U ingelogd houden; uw sessie beëindigen zodra uw IP-adres wijzigt of zodra er elders met uw account wordt ingelogd, omdat er per account maar één sessie actief kan zijn; en misbruik van een account kunnen onderzoeken. | Gerechtvaardigd belang: beveiliging (art. 6 lid 1 sub f, zie ook art. 32 AVG) | Een verlopen sessie wordt automatisch verwijderd; een sessie verloopt na 4 uur zonder gebruik en uiterlijk 24 uur na aanmelden. Een beëindigde sessie wordt 30 dagen bewaard om misbruik te kunnen onderzoeken, en daarna verwijderd. Na verwijdering staat de informatie nog maximaal 30 dagen in de back-ups. |
| Uitnodigings- en herstelcodes, uitsluitend als niet-omkeerbare afgeleide, met verloop- en gebruiksmoment | Uw eerste aanmelding en het herstellen van een vergeten wachtwoord mogelijk maken. | Gerechtvaardigd belang: beveiliging (art. 6 lid 1 sub f, zie ook art. 32 AVG) | Verwijderd 30 dagen nadat de code is gebruikt of verlopen. Na verwijdering staat de informatie nog maximaal 30 dagen in de back-ups. |
| De versie van de gebruiksvoorwaarden die u heeft aanvaard, en het moment daarvan | Kunnen aantonen welke versie u heeft aanvaard. | Gerechtvaardigd belang: bewijspositie (art. 6 lid 1 sub f AVG) | Alleen de laatste aanvaarding, zolang uw account bestaat. Na verwijdering staat de informatie nog maximaal 30 dagen in de back-ups. |
| Toegangslogboek van de webserver: IP-adres, tijdstip, opgevraagde pagina en browserkenmerken | De tool beschikbaar en veilig houden, en storingen of misbruik kunnen onderzoeken. | Gerechtvaardigd belang: beveiliging en beschikbaarheid (art. 6 lid 1 sub f AVG) | 30 dagen, daarna wordt het logbestand automatisch overschreven |
| Beveiligingsgebeurtenissen in het applicatielogboek: uw gebruikersnummer, en bij een gewijzigd IP-adres beide IP-adressen | Vastleggen wanneer een account is geblokkeerd of een sessie is beëindigd, zodat wij kunnen nagaan of dat terecht gebeurde. Zonder deze gegevens is niet te achterhalen waarom u bent uitgelogd. | Gerechtvaardigd belang: beveiliging (art. 6 lid 1 sub f, zie ook art. 32 AVG) | 30 dagen, daarna wordt de logregel automatisch verwijderd |
| Foutmeldingen van de applicatie | Storingen vinden en oplossen. Wij leggen hierin bewust geen persoonsgegevens vast, maar een foutmelding kan er incidenteel toch een bevatten. | Gerechtvaardigd belang: goed werkende dienst (art. 6 lid 1 sub f AVG) | 30 dagen, daarna wordt de logregel automatisch verwijderd |
Van de hele database wordt dagelijks een back-up gemaakt, en die back-ups worden 30 dagen bewaard. Daarom staat achter iedere bewaartermijn hierboven dat de informatie daarna nog maximaal 30 dagen in de back-ups staat, ook waar de termijn zelf korter is. De twee logboeken en de foutmeldingen vallen daarbuiten: die staan niet in de database en dus niet in de back-ups, en zijn na 30 dagen echt weg.
De grondstoffen, mengsels en berekeningen die u in de tool invoert zijn bedrijfsgegevens van uw werkgever, geen persoonsgegevens. Van elke regel wordt wel vastgelegd welke gebruiker die heeft aangemaakt of gewijzigd, zodat binnen uw organisatie navolgbaar is wie wat heeft gedaan.
Wij verwerken geen bijzondere persoonsgegevens, doen niet aan profilering of geautomatiseerde besluitvorming, en verkopen of verhuren uw gegevens niet.
Wat er gebeurt als uw account wordt verwijderd
Heeft u niets aangemaakt of gewijzigd in de tool, dan wordt uw account echt verwijderd. Uw naam, e-mailadres, wachtwoordafgeleide, sessies, favorieten en koppelingen verdwijnen daarbij in één keer.
Heeft u wel grondstoffen, EPD's of mengsels aangemaakt of gewijzigd, dan blijft de regel in de administratie bestaan maar wordt uw account geanonimiseerd: uw naam wordt vervangen door "Verwijderde gebruiker", uw e-mailadres wordt gewist, lopende sessies worden ingetrokken en uw favorieten en koppelingen worden verwijderd. Wat overblijft is dat er ooit iemand was die dat mengsel heeft gemaakt, zonder dat daar nog een persoon aan te koppelen is. Dat doen wij omdat uw werkgever moet kunnen blijven zien hoe een berekening tot stand is gekomen.
Wie uw gegevens verder verwerkt
De MKI Rekentool draait op een server van een Nederlandse hostingprovider. Ook de e-mail die de tool verstuurt, namelijk uitnodigingen en het herstellen van een wachtwoord, loopt via de mailserver van diezelfde partij. Uw naam en e-mailadres worden daarbij verwerkt. Onderdeel van de overeenkomst met de hostingpartij is een verwerkersovereenkomst. Deze is op verzoek beschikbaar.
Deze partij schakelt op haar beurt andere bedrijven in voor de server en de back-ups. Voor de onderdelen die de MKI Rekentool gebruikt, zitten die allemaal in Nederland of elders in de Europese Unie. Verder schakelen wij zelf geen partijen in: uw gegevens worden niet doorgegeven buiten de Europese Economische Ruimte.
Wij noemen hier de categorie en niet de naam. Wilt u weten met welke partij wij precies werken, of welke bedrijven zij inschakelt, dan noemen wij die op verzoek. Gebruik daarvoor het contactadres onderaan deze verklaring.
Als u een wachtwoord kiest, controleert de tool bij de dienst Have I Been Pwned of dat wachtwoord in een bekend datalek voorkomt. Daarbij worden geen persoonsgegevens gedeeld: alleen de eerste vijf tekens van een niet-omkeerbare afgeleide van het wachtwoord worden opgevraagd.
Beveiliging van uw gegevens
De tool is uitsluitend bereikbaar via een beveiligde verbinding (HTTPS). Uw naam, e-mailadres en het IP-adres van uw sessie worden versleuteld opgeslagen in de database. Wachtwoorden worden als een niet-omkeerbare afgeleide (argon2) opgeslagen. Uw e-mailadres komt niet in onze logboeken terecht. Na vijf mislukte inlogpogingen wordt een account vijftien minuten geblokkeerd.
Verwerkingsverantwoordelijke en contact
Heeft u een vraag over deze verklaring of over de manier waarop wij met uw gegevens omgaan, dan kunt u terecht bij ons aanspreekpunt privacy via privacy@mki-rekentool.nl.
Nog aan te leveren: de verwerkingsverantwoordelijke (statutaire naam, adres, KvK-nummer), en wie het aanspreekpunt privacy is. De postbus privacy@mki-rekentool.nl moet in gebruik zijn genomen voordat deze verklaring live gaat.
Uw rechten
U heeft het recht om in te zien welke persoonsgegevens wij van u verwerken, om ze te laten corrigeren als ze onjuist zijn, om ze te laten verwijderen, en om de verwerking te laten beperken zolang een verzoek of bezwaar loopt. Verwijderen levert niet altijd volledig verdwijnen op: heeft u iets in de tool aangemaakt of gewijzigd, dan wordt uw account geanonimiseerd in plaats van gewist, zoals hierboven beschreven onder "Wat er gebeurt als uw account wordt verwijderd".
Omdat wij uw accountgegevens verwerken op grond van een gerechtvaardigd belang, heeft u daarnaast het recht om bezwaar te maken tegen die verwerking. Doet u dat, dan stoppen wij ermee, tenzij wij aantonen dat ons belang zwaarwegender is dan dat van u. Het recht op overdraagbaarheid van gegevens geldt hier niet: dat recht hoort bij verwerking op grond van toestemming of een overeenkomst met u, en daar berust deze verwerking niet op.
Een verzoek doet u via privacy@mki-rekentool.nl. Wij reageren binnen een maand. Is uw verzoek ingewikkeld, dan mogen wij die termijn met twee maanden verlengen; u hoort dat dan binnen de eerste maand. Wij kunnen u om aanvullende gegevens vragen om vast te stellen dat u het echt bent. Let op: veel van wat u in de tool ziet is bedrijfsgegeven van uw werkgever en geen persoonsgegeven. Daarvoor kunt u bij uw werkgever terecht.
Bent u het oneens met hoe wij met uw gegevens omgaan, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens. Wij stellen het op prijs als u het eerst bij ons meldt, maar dat is geen voorwaarde.