Privacybeleid

Kendis Oy is een in Finland gevestigde vennootschap met ondernemingsnummer 2874062-5 en statutaire zetel aan de Lapinlahdenkatu 16, 00180 Helsinki, Finland. Kendis Oy is de verwerkingsverantwoordelijke voor de in dit Privacybeleid beschreven verwerking, behalve waar Artikel 2 anders bepaalt.

Privacyvragen: privacy@kendis.io. Beveiligingsmeldingen: security@kendis.io.

Kendis verwerkt persoonsgegevens in twee verschillende hoedanigheden. Welke van toepassing is, hangt af van de betrokken gegevens.

Gebruikt u de Dienst via een account dat door uw werkgever of een andere organisatie wordt beheerd, dan is die organisatie de verwerkingsverantwoordelijke voor de Licentienemergegevens en bepaalt zij hoe deze worden gebruikt. Vragen en verzoeken tot uitoefening van rechten over Licentienemergegevens moeten aan die organisatie worden gericht; wij staan haar bij voor zover het DPA dat vereist.

Optionele AI-functies. De Dienst bevat optionele AI-functies die standaard uitgeschakeld zijn en alleen door een beheerder van de klant kunnen worden ingeschakeld. Op het gebruik ervan zijn de Kendis AI Terms of Use van toepassing. Zijn de AI-functies ingeschakeld, dan verwerkt Kendis de betreffende Licentienemergegevens als verwerker op instructie van de klant, en wordt elke ingeschakelde AI-subverwerker vermeld in de Bijlage.

Wij verzamelen niet bewust bijzondere categorieën van persoonsgegevens (bijvoorbeeld gezondheidsgegevens of gegevens waaruit politieke opvattingen blijken) en verzoeken u dergelijke gegevens niet aan ons te verstrekken.

Waar wij ons op een gerechtvaardigd belang baseren, hebben wij beoordeeld dat onze belangen niet zwaarder worden getroffen door uw rechten en vrijheden. U kunt zich op elk moment verzetten tegen verwerking op grond van een gerechtvaardigd belang (Artikel 11).

Klanten kiezen een Hostingregio bij het bestellen van de Dienst. Licentienemergegevens worden uitsluitend in de gekozen Hostingregio opgeslagen en verwerkt, back-ups inbegrepen. De Hostingregio kan na het aanmaken van het account niet meer worden gewijzigd.

Is de Hostingregio Duitsland gekozen, dan is de toegang tot Licentienemergegevens beperkt tot bevoegd personeel van Kendis en diens Subverwerkers dat zich bevindt in de Europese Economische Ruimte, het Verenigd Koninkrijk of Zwitserland, zoals uiteengezet in Artikel 6 van de Bijlage.

Accountgegevens worden verwerkt in de bedrijfssystemen van Kendis (klantrelatiebeheer, support, facturatie, e-mail en productiviteitstools), ongeacht de Hostingregio. Sommige van deze systemen worden beheerd door aanbieders buiten de EER; zij worden vermeld in Artikel 5 van de Bijlage, samen met het gebruikte doorgiftemechanisme.

Wij delen persoonsgegevens uitsluitend waar dat nodig is voor de doeleinden in Artikel 4, met:

• Subverwerkers en dienstverleners. Hosting- en database-infrastructuur voor elke Hostingregio, contentlevering en edgebeveiliging, verzending van transactionele e-mail, klantrelatiebeheer, klantsupport en messaging, betaalverwerking, kantoortoepassingen en documentopslag, website- en productanalyse, marketing-e-mail, publicatie van nieuwsbrieven en ons klanttrainingsportaal. De actuele lijst, met van elke aanbieder de rechtspersoon, de locatie, de ontvangen gegevens en het gebruikte doorgiftemechanisme, wordt bijgehouden in de Bijlage op trust.kendis.io/subprocessors. Klanten worden overeenkomstig het DPA geïnformeerd over toevoegingen of vervangingen.
• Integratiepartners, op uw aanwijzing. Wanneer een klant de Dienst koppelt aan Jira, Azure DevOps of een ander hulpmiddel, stromen gegevens tussen de Dienst en dat hulpmiddel volgens de configuratie van de klant. De overeenkomst van de klant met de integratieaanbieder beheerst de verwerking door die aanbieder.
• Professionele adviseurs en certificeringsinstanties. Accountants, boekhouders, juridisch adviseurs en onze ISO/IEC 27001-certificeringsinstantie, gebonden aan geheimhouding.
• Autoriteiten. Rechterlijke instanties, toezichthouders en opsporingsdiensten wanneer verstrekking wettelijk verplicht is. Betreft een verzoek Licentienemergegevens, dan verwijzen wij de verzoekende autoriteit, tenzij dat wettelijk verboden is, door naar de klant en stellen wij de klant overeenkomstig het DPA op de hoogte.
• Bedrijfsoverdrachten. Een koper of beoogd koper van ons bedrijf of een deel daarvan, met inachtneming van dit Privacybeleid en passende geheimhoudingswaarborgen.

Wij verkopen geen persoonsgegevens en delen deze niet met derden voor hun eigen marketing.

De Website en de Dienst gebruiken cookies en vergelijkbare technieken. Voordat niet-essentiële cookies worden geplaatst, vragen wij uw toestemming via onze cookiebanner, in overeenstemming met de e-Privacyrichtlijn (2002/58/EG) zoals in Finland omgezet bij de Wet inzake elektronischecommunicatiediensten (917/2014). U kunt uw keuzes op elk moment wijzigen of intrekken via de banner of uw browserinstellingen. Het blokkeren van strikt noodzakelijke cookies kan ertoe leiden dat delen van de Dienst niet werken.

De cookies die momenteel worden gebruikt, staan in de Cookiebijlage aan het einde van dit Privacybeleid.

Kendis is gevestigd in Finland. Of persoonsgegevens de Europese Economische Ruimte verlaten, hangt af van de betrokken gegevens:

• Licentienemergegevens, Hostingregio Duitsland: worden niet buiten de EER doorgegeven.
• Licentienemergegevens, Hostingregio Verenigde Staten: worden in de Verenigde Staten verwerkt door Amazon Web Services, Inc. en MongoDB, Inc. op grond van de EU-standaardcontractbepalingen (Uitvoeringsbesluit (EU) 2021/914 van de Commissie). Amazon Web Services is daarnaast gecertificeerd onder het EU-VS Data Privacy Framework.
• Accountgegevens, alle Hostingregio’s: sommige van de in Artikel 5 van de Bijlage genoemde aanbieders bevinden zich in, of verwerken gegevens in, de Verenigde Staten of andere landen buiten de EER.

Voor elke doorgifte buiten de EER baseren wij ons op een van de volgende waarborgen uit Hoofdstuk V van de AVG: (i) een adequaatheidsbesluit van de Europese Commissie, waaronder het EU-VS Data Privacy Framework voor daaronder gecertificeerde ontvangers; of (ii) de EU-standaardcontractbepalingen, ondersteund door een doorgifte-effectbeoordeling en aanvullende maatregelen zoals versleuteling tijdens transport en in rust en toegangsbeperkingen. Doorgiften naar het Verenigd Koninkrijk en Zwitserland vallen onder adequaatheidsbesluiten. Het per aanbieder gebruikte doorgiftemechanisme staat vermeld in de Bijlage, en een kopie van de toepasselijke standaardcontractbepalingen is op verzoek beschikbaar.

Gegevens kunnen na verwijdering uit de productiesystemen nog gedurende een beperkte periode in versleutelde back-ups aanwezig blijven en worden daarna in de gebruikelijke back-upcyclus overschreven.

Kendis hanteert een managementsysteem voor informatiebeveiliging dat is gecertificeerd volgens ISO/IEC 27001. De maatregelen omvatten versleuteling van gegevens tijdens transport (TLS) en in rust, single sign-on en meervoudige authenticatie, rolgebaseerde toegangscontrole, persoonsgebonden accounts zonder gedeelde inloggegevens, logging van beheerderstoegang, kwetsbaarhedenbeheer, regelmatige back-ups en een beproefd incidentresponsproces. Onze Subverwerkers zijn gebonden aan schriftelijke overeenkomsten met gelijkwaardige verplichtingen.

Bij een inbreuk in verband met persoonsgegevens stellen wij de betrokken klanten op de hoogte zoals het DPA vereist, en de toezichthoudende autoriteit binnen 72 uur waar de AVG dat voorschrijft. Denkt u dat uw gegevens zijn gecompromitteerd, neem dan contact op via security@kendis.io.

Onder de voorwaarden van de AVG hebt u het recht om:

• inzage te krijgen in de persoonsgegevens die wij over u hebben en daarvan een kopie te ontvangen;
• onjuiste of onvolledige gegevens te laten corrigeren;
• uw gegevens te laten wissen;
• onze verwerking van uw gegevens te laten beperken;
• de door u aan ons verstrekte gegevens te ontvangen in een gestructureerd, machineleesbaar formaat en deze te laten overdragen aan een andere verwerkingsverantwoordelijke;
• bezwaar te maken tegen verwerking op grond van een gerechtvaardigd belang, waaronder directe marketing; en
• uw toestemming op elk moment in te trekken wanneer de verwerking op toestemming berust, zonder dat dit afbreuk doet aan verwerking die vóór de intrekking heeft plaatsgevonden.

Wij nemen geen besluiten die uitsluitend op geautomatiseerde verwerking berusten en die rechtsgevolgen hebben of u anderszins in aanmerkelijke mate treffen.

Om een van deze rechten uit te oefenen, mailt u naar privacy@kendis.io. Mogelijk moeten wij uw identiteit verifiëren. Wij reageren binnen één maand, met een verlenging van twee maanden voor complexe verzoeken, en brengen geen kosten in rekening tenzij een verzoek kennelijk ongegrond of buitensporig is. Betreft een verzoek Licentienemergegevens, dan verwijzen wij het door naar de klant die deze gegevens beheert en staan wij die klant bij zoals het DPA vereist.

Bent u ontevreden over hoe wij met uw gegevens omgaan, dan kunt u een klacht indienen bij het Bureau van de Finse Ombudsman voor gegevensbescherming (Tietosuojavaltuutetun toimisto, tietosuoja.fi) of bij de toezichthoudende autoriteit in de EER-lidstaat waar u woont of werkt.

Wij sturen marketingmails, nieuwsbrieven en uitnodigingen voor evenementen naar zakelijke contacten die daarvoor toestemming hebben gegeven of, waar de wet dat toestaat, wier organisatie een klant- of potentiële klantrelatie met ons heeft. Elke marketingmail bevat een afmeldlink, en u kunt zich ook afmelden door te mailen naar privacy@kendis.io. Afmelden voor marketing stopt niet de dienstgerelateerde berichten die nodig zijn om uw account te laten werken, zoals beveiligingsmeldingen en kennisgevingen over wijzigingen van Subverwerkers.

De Website en de Dienst zijn gericht op bedrijven en niet bedoeld voor kinderen jonger dan 16 jaar. Wij verzamelen niet bewust persoonsgegevens van kinderen. Denkt u dat een kind ons persoonsgegevens heeft verstrekt, neem dan contact met ons op, dan verwijderen wij deze.

De Website en de Dienst bevatten links naar websites en diensten van derden, waaronder integratiepartners. Wij zijn niet verantwoordelijk voor hun privacypraktijken en dit Privacybeleid is daarop niet van toepassing.

Wij kunnen dit Privacybeleid van tijd tot tijd bijwerken. Elke versie draagt een versienummer en een ingangsdatum. Wezenlijke wijzigingen worden vóór de inwerkingtreding per e-mail of in de Dienst gemeld aan de accountbeheerders van klanten, en de geldende versie wordt altijd gepubliceerd op kendis.io/privacy-policy.

Kendis Oy, Lapinlahdenkatu 16, 00180 Helsinki, Finland. Ondernemingsnummer 2874062-5.

Privacy: privacy@kendis.io. Beveiliging: security@kendis.io.

Op dit Privacybeleid is Fins recht van toepassing.

De cookies die momenteel door de Website en de Dienst worden geplaatst. Denkt u dat deze lijst onvolledig is, laat het ons dan weten via privacy@kendis.io.