Privacybeleid

OmniMessage is een messaging-gateway die onder het merk GridStudio wordt aangeboden en wordt geleverd door de op uw factuur vermelde groepsmaatschappij van GridStudio (wij, ons). In dit beleid wordt uitgelegd hoe wij omgaan met persoonsgegevens in verband met de website, de console en de API van OmniMessage.

Wij treden op in twee verschillende rollen, en het verschil is van belang voor uw rechten:

• Als verwerkingsverantwoordelijke bepalen wij hoe en waarom persoonsgegevens worden gebruikt wanneer wij onze eigen onderneming voeren: de gegevens van personen die de website bezoeken, een account aanmaken, lid zijn van een account, ons betalen of ons schrijven. Dit wordt beschreven in de artikelen 2 tot en met 9.
• Als verwerker behandelen wij de berichten die onze klanten verzenden en ontvangen, en de identificatoren van de personen aan wie zij berichten sturen, uitsluitend volgens de instructies van de klant. De klant is de verwerkingsverantwoordelijke voor die gegevens. Dit wordt beschreven in artikel 4.

• Accountgegevens: uw naam, e-mailadres, wachtwoord (uitsluitend opgeslagen als hash), de naam van uw werkruimte en bedrijf, uw land, uw rol in het account en de taal van uw interface.
• Inloggegevens van Google, Apple of Facebook, alleen als u ervoor kiest met een van deze aanbieders in te loggen: de identificator die die aanbieder u voor onze dienst toekent, uw naam, uw e-mailadres en of de aanbieder dat heeft geverifieerd. Apple kan ons in plaats van uw eigen adres een privérelay-adres verstrekken. Wij ontvangen uw wachtwoord bij die aanbieder niet, evenmin als uw contacten of iets wat u plaatst, en wij bewaren de toegangstokens van de aanbieder niet.
• Factureringsgegevens: uw e-mailadres voor facturering, uw betalingsgeschiedenis, factuurnummers en betaalbewijzen, en de identificatoren die onze betalingsverwerker ons verstrekt voor uw klantrecord en uw betalingen. Kaartgegevens worden ingevoerd op de pagina’s van de betalingsverwerker; wij ontvangen of bewaren geen volledige kaartnummers.
• Gebruiks- en beveiligingsgegevens: het IP-adres en het browsertype van uw sessies, inlogtijdstippen, het tijdstip waarop een API-sleutel voor het laatst is gebruikt, registraties van mislukte inlogpogingen en een auditlogboek van de handelingen die leden in het account verrichten.
• Technische gegevens: de cookies en soortgelijke opslag die in het Cookiebeleid zijn beschreven, en de informatie die een browser met elk verzoek meestuurt.
• Correspondentie: wat u ons toestuurt wanneer u om support of verkoopinformatie vraagt.

Wij ontvangen deze gegevens van u, van de andere leden van uw account, bijvoorbeeld wanneer een van hen u uitnodigt, en van onze betalingsverwerker.

• Om de dienst te leveren: het aanmaken en beveiligen van uw account, het authenticeren van verzoeken, het verwerken van betalingen, het tonen van saldi en verbruik, het verzenden van service-e-mails zoals verificatielinks, meldingen over een laag saldo en betaalbewijzen, en het verlenen van support. De grondslag is onze overeenkomst met u of met de organisatie waartoe u behoort.
• Om de dienst veilig en werkend te houden: het voorkomen van fraude en misbruik, het handhaven van snelheidslimieten, het onderzoeken van incidenten, het bijhouden van auditregistraties en het verbeteren van de betrouwbaarheid. De grondslag is ons gerechtvaardigd belang bij het exploiteren van een veilige dienst.
• Om aan wettelijke verplichtingen te voldoen: het bewaren van boekhoudkundige en fiscale administratie en het beantwoorden van rechtmatige verzoeken van autoriteiten.

Wij verkopen geen persoonsgegevens, wij gebruiken ze niet voor reclame, en wij nemen geen besluiten over u langs geautomatiseerde weg die rechtsgevolgen hebben of u anderszins in aanmerkelijke mate treffen.

De website en de console gebruiken geen analyse- of advertentietrackers.

Wanneer een klant via OmniMessage berichten verzendt of ontvangt, verwerken wij namens de klant: de inhoud van de berichten, met inbegrip van de media waarnaar zij verwijzen; de identificatoren van afzenders en ontvangers, zoals telefoonnummers, chat-ID’s en gebruikers-ID’s van platforms; aflever- en leesstatussen; de referenties en metadata die de klant toevoegt; en de webhook-events waarmee deze informatie aan de klant wordt doorgegeven.

Wij gebruiken deze gegevens uitsluitend om de berichten af te leveren en te ontvangen, om de status ervan te melden, om de klant te factureren, om de dienst veilig te houden en om aan de wet te voldoen. De voorwaarden zijn opgenomen in de Verwerkersovereenkomst.

De toegangsgegevens, toegangstokens en autorisatiecodes waarmee een klant een kanaal koppelt, worden doorgestuurd naar ons afleverplatform en worden door de gateway niet opgeslagen of gelogd.

Als u een bericht hebt ontvangen van een bedrijf dat OmniMessage gebruikt en u wilt weten hoe uw gegevens worden gebruikt, geen berichten meer wilt ontvangen of uw rechten wilt uitoefenen, neem dan contact op met dat bedrijf. Als u contact met ons opneemt, geven wij uw verzoek door aan de betrokken klant, voor zover wij die kunnen identificeren.

Wij delen persoonsgegevens uitsluitend met de volgende categorieën ontvangers, en alleen voor zover elk van hen de gegevens nodig heeft:

• Betalingsverwerking: Stripe, dat kaartbetalingen verwerkt en betaalbewijzen afgeeft.
• Hosting en infrastructuur: de aanbieders die onze servers, databases en back-ups hosten.
• E-mailaflevering: de aanbieder die onze service-e-mails verzendt.
• Inlogaanbieders: Google, Apple of Meta (Facebook), alleen als u ervoor kiest met een van deze aanbieders in te loggen. De aanbieder komt te weten dat en wanneer u bij OmniMessage bent ingelogd, en handelt op grond van zijn eigen voorwaarden en privacybeleid.
• Berichtennetwerken: de kanaalaanbieders die een klant koppelt, zoals Meta voor WhatsApp, Messenger en Instagram, Telegram, TikTok, Twilio en andere SMS-aanbieders en mobiele providers. Zij ontvangen de berichten die de klant verzendt en handelen op grond van hun eigen voorwaarden en privacybeleid.
• Groepsmaatschappijen van GridStudio die het afleverplatform exploiteren en de dienst ondersteunen.
• Adviseurs en autoriteiten: professionele adviseurs, en rechterlijke instanties, toezichthouders of rechtshandhavingsinstanties wanneer de wet dat vereist of wanneer dat nodig is voor de instelling of onderbouwing van een rechtsvordering of de verdediging daartegen.

Als de onderneming wordt gereorganiseerd of overgedragen, kunnen persoonsgegevens overgaan op de rechtsopvolger, die aan dit beleid gebonden blijft.

Berichtenverkeer is naar zijn aard internationaal, en sommige van de hierboven genoemde ontvangers zijn gevestigd buiten het land waar u woont. Wanneer de wet de doorgifte van persoonsgegevens aan een ander land beperkt, baseren wij ons op een mechanisme dat de wet erkent, zoals een adequaatheidsbesluit of door de bevoegde autoriteit goedgekeurde standaardcontractbepalingen, waar nodig aangevuld met aanvullende waarborgen. U kunt ons om nadere informatie vragen via support@omnimessage.co.

Wij bewaren persoonsgegevens zolang dat nodig is voor de hierboven beschreven doeleinden, en verwijderen of anonimiseren ze daarna:

• Accountgegevens worden bewaard zolang het account geopend is, en daarna zolang als nodig is om het account naar behoren af te sluiten en vorderingen af te handelen.
• De koppeling tussen uw account en een inlog via Google, Apple of Facebook wordt bewaard totdat u die in de instellingen ontkoppelt, totdat u de aanbieder vraagt de koppeling te beëindigen (Apple en Facebook vragen ons dan die te verwijderen), of totdat het account wordt gesloten.
• Factureringsgegevens en boekhoudkundige administratie worden bewaard gedurende de termijn die de belasting- en boekhoudwetgeving voorschrijft.
• Berichtgegevens en de aflevergeschiedenis die wij voor klanten verwerken, worden bewaard zolang het account van de klant geopend is, zodat het berichtenlogboek en de verbruiksrapporten werken, tenzij de klant om eerdere verwijdering verzoekt.
• Beveiligings- en auditregistraties worden bewaard zolang als nodig is om incidenten te onderzoeken en aan te tonen hoe het account is gebruikt.
• Een inlogsessie eindigt wanneer u uitlogt en verloopt na 30 dagen zonder gebruik. Idempotentiesleutels die met API-verzoeken worden meegestuurd, worden 24 uur bewaard.

De maatregelen die wij toepassen, omvatten onder meer:

• versleuteling van gegevens tijdens het transport met TLS;
• wachtwoorden die uitsluitend worden opgeslagen als hashes met salt op basis van Argon2id, en sessietokens en API-sleutels die uitsluitend als hashes worden opgeslagen;
• versleuteling in rust, met AES-256-GCM, van geheimen zoals de ondertekeningsgeheimen van webhooks en de sleutels die een account aan het afleverplatform koppelen;
• toegangsgegevens en tokens van kanalen die aan het afleverplatform worden doorgegeven zonder door de gateway te worden opgeslagen of gelogd;
• op rollen gebaseerde toegang binnen een account, API-sleutels die door scope en door IP-adres worden beperkt, snelheidslimieten en een tijdelijke blokkering na herhaalde mislukte inlogpogingen;
• een auditlogboek van beheerhandelingen en van handelingen die voor de facturering van belang zijn;
• ondertekende webhooks, en controles die verhinderen dat webhookadressen naar privénetwerken verwijzen.

Geen enkel systeem is volkomen veilig. Als een inbreuk in verband met persoonsgegevens gevolgen voor u heeft, stellen wij u en de bevoegde autoriteiten daarvan in kennis zoals de wet vereist.

Afhankelijk van waar u woont, verleent het gegevensbeschermingsrecht u rechten met betrekking tot de persoonsgegevens die wij als verwerkingsverantwoordelijke bewaren. Op grond van de Algemene verordening gegevensbescherming van de EU en van het VK, de Turkse wet op de bescherming van persoonsgegevens (KVKK), de wet op de bescherming van persoonsgegevens van de VAE en soortgelijke wetten omvatten deze doorgaans het recht om:

• te vernemen of wij uw persoonsgegevens verwerken en daarvan een kopie te verkrijgen;
• onjuiste of onvolledige gegevens te laten rectificeren;
• gegevens te laten wissen wanneer er voor ons geen reden meer is om ze te bewaren;
• de verwerking te laten beperken of er bezwaar tegen te maken, in het bijzonder tegen verwerking op basis van onze gerechtvaardigde belangen;
• de gegevens die u ons hebt verstrekt in een overdraagbaar formaat te ontvangen, of ze aan een andere aanbieder te laten toezenden;
• een klacht in te dienen bij de gegevensbeschermingsautoriteit van het land waar u woont of werkt.

Wilt u een recht uitoefenen, schrijf dan naar support@omnimessage.co. Het kan nodig zijn dat wij uw identiteit bevestigen voordat wij gevolg geven aan uw verzoek. Leden van een account kunnen de meeste accountgegevens zelf in de console corrigeren.

Wanneer wij uw gegevens namens een klant verwerken, verzoeken wij u uw verzoek aan die klant te richten, zoals uitgelegd in artikel 4.

De dienst is bestemd voor bedrijven. De dienst is niet op kinderen gericht, en wij verzamelen als verwerkingsverantwoordelijke niet bewust persoonsgegevens van personen jonger dan 18 jaar.

Wij werken dit beleid bij wanneer onze werkwijze verandert. De datum bovenaan geeft de laatste versie aan, en wij laten het de eigenaren van een account per e-mail weten wanneer een wijziging ingrijpend is.

De verwerkingsverantwoordelijke is de op uw factuur vermelde groepsmaatschappij van GridStudio. Voor vragen en verzoeken over privacy kunt u schrijven naar support@omnimessage.co.

Ons postadres is op uw facturen vermeld en is op verzoek verkrijgbaar.