Privacybeleid

Op deze pagina

• Wie wij zijn
• Welke wetten gelden
• Wat wij verzamelen
• Waarom, en op welke grondslag
• Toestemming en intrekking
• Wie het nog meer verwerkt
• Internationale doorgifte
• Bewaring en verwijdering
• Uw rechten (India)
• Uw rechten (EER / VK)
• Hoe u ze uitoefent
• Gegevens van kinderen
• Hoe wij het beschermen
• Datalekken
• Geen profilering of advertentietracking
• Gegevens die wij voor klanten verwerken
• Wijzigingen in deze verklaring
• Vragen

1. Wie wij zijn

Contensu (‘wij’, ‘ons’, ‘onze’) is een bureau voor softwareontwikkeling op maat, gevestigd in India. Wij bouwen CRM-systemen, zakelijke websites, interne tools, leerplatformen en webapplicaties op maat voor klanten wereldwijd.

Voor de persoonsgegevens die in deze verklaring worden beschreven zijn wij de Data Fiduciary onder de Indiase Digital Personal Data Protection Act 2023 (‘DPDP Act’) en de verwerkingsverantwoordelijke onder de Algemene verordening gegevensbescherming van de EU en het VK (‘AVG’). Dat betekent dat wij bepalen wat er wordt verzameld en waarom, en dat wij daarvoor verantwoording afleggen.

Contact met ons over uw gegevens

• E-mail — contact@contensu.com (zet ‘Verzoek gegevensrechten’ of ‘Privacy’ in het onderwerp, dan komt het bij de juiste persoon terecht)
• Postadres — wij zijn een klein team dat op afstand werkt en publiceren geen straatadres. Wij verstrekken het schriftelijk op verzoek, ook aan een toezichthouder of aan de Data Protection Board of India.

Hetzelfde adres geldt als ons gepubliceerde contactpunt voor vragen en klachten over gegevensbescherming op grond van artikel 8, lid 9, van de DPDP Act. Wij zijn geen Significant Data Fiduciary en hoeven op grond van artikel 37 AVG geen functionaris voor gegevensbescherming aan te stellen; achter het bovenstaande adres zit een echt mens dat vragen over onze omgang met uw gegevens kan beantwoorden.

Wij zijn buiten de EER gevestigd en onze verwerking van gegevens uit de EER en het VK is incidenteel, beperkt tot zakelijke contactgegevens, betreft geen bijzondere categorieën gegevens en levert waarschijnlijk geen risico op voor iemands rechten. Op die grond beroepen wij ons op de uitzondering van artikel 27, lid 2, AVG en hebben wij geen vertegenwoordiger in de EU of het VK aangesteld. Gaat onze verwerking ooit verder dan dat, dan stellen wij er een aan en noemen wij die hier.

2. Welke wetten deze verklaring bestrijkt

Wij hebben één verklaring geschreven die voldoet aan de strengste eisen die op ons van toepassing zijn, in plaats van een apart beleid per regio. Welke van onderstaande op u van toepassing is: de hele verklaring geldt voor u.

• India — de DPDP Act 2023 en de Digital Personal Data Protection Rules 2025 (bekendgemaakt op 13 november 2025, met een gefaseerde invoering van de inhoudelijke verplichtingen tot 13 mei 2027). Wij werken nu al volgens deze eisen. De onderdelen 3 tot en met 5, 9 en 10 hieronder vormen de uitgesplitste verklaring die artikel 5 van de wet en Rule 3 van de Rules vereisen.
• EER — de AVG (verordening 2016/679), die op grond van artikel 3, lid 2, op ons van toepassing is omdat wij diensten aanbieden aan bedrijven in de EER.
• Verenigd Koninkrijk — de UK GDPR en de Data Protection Act 2018.
• e-Privacy- en cookieregels — zie ons Cookiebeleid. Wij plaatsen geen cookies waarvoor toestemming nodig is, en daarom ziet u geen cookiebanner.
• Elders — Zwitserland (herziene FADP) en Amerikaanse privacywetten van afzonderlijke staten, zoals de CCPA/CPRA. Wij verkopen of delen geen persoonsgegevens voor context-overstijgende gedragsadvertenties, en wij honoreren inzage- en verwijderingsverzoeken van iedereen, waar diegene ook woont.

3. Welke persoonsgegevens wij verzamelen

Een uitgesplitste lijst van alles wat wij verzamelen, waar het vandaan komt en waarom wij dat specifieke gegeven nodig hebben:

Wat wij bewust niet verzamelen

• Geen enkel statistieken- of analysepakket, niet van onszelf en niet van derden.
• Geen advertentiepixels, conversietags, remarketinglijsten of advertentie-id’s.
• Geen volgcookies en geen fingerprinting.
• Geen bijzondere categorieën of gevoelige gegevens (gezondheid, biometrie, politieke of religieuze opvattingen, enzovoort). Stuur ons die alstublieft niet.
• Geen lettertypen, scripts of insluitingen van derden die laden voordat u erom vraagt — de enige uitzondering is Cloudflare Turnstile op het contactformulier, dat er is om spam buiten te houden.

Het verstrekken van al deze gegevens is volledig vrijwillig. Er is geen wettelijke of contractuele verplichting om ze te geven. Het enige gevolg van niet verstrekken is dat wij u niet kunnen antwoorden.

4. Waarom wij het verwerken, en onze grondslag

Wij hergebruiken uw gegevens niet voor andere doelen. Willen wij ze ooit gebruiken voor iets dat hierboven niet staat, dan vragen wij dat eerst aan u.

5. Toestemming, en hoe u die intrekt

Bij het versturen van het contactformulier vinkt u een vakje aan waarmee u bevestigt dat u deze verklaring heeft gelezen en ermee instemt dat wij die gegevens gebruiken om te antwoorden. Dat vakje staat nooit vooraf aangevinkt, is niet gebundeld met iets anders, en zonder dat vinkje wordt het formulier niet verstuurd. Wij bewaren de exacte zin waarmee u akkoord ging, de taal waarin die werd getoond, de versie ervan en het tijdstip, samen met uw aanvraag, zodat wij allebei een vastlegging hebben van wat is afgesproken.

Intrekken is net zo eenvoudig als geven. Mail contact@contensu.com met ‘Toestemming intrekken’ in het onderwerp — één zin volstaat, en u hoeft geen reden op te geven. Wij stoppen de verwerking bij ontvangst en wissen uw gegevens, tenzij wij wettelijk verplicht zijn een specifieke vastlegging te bewaren, zoals een factuur. Intrekking maakt verwerking die eerder rechtmatig plaatsvond niet ongedaan.

Het intrekken van uw toestemming kan betekenen dat wij u niet langer kunnen helpen — wij kunnen bijvoorbeeld geen aanvraag beantwoorden nadat wij die hebben verwijderd. Dat is het enige gevolg.

6. Wie uw gegevens nog meer verwerkt

Wij houden de lijst met derden zo kort mogelijk. Elke partij hieronder treedt op als onze verwerker op basis van een schriftelijke verwerkersovereenkomst, mag de gegevens uitsluitend gebruiken om haar dienst aan ons te leveren en mag ze niet voor eigen doeleinden gebruiken.

Daarbuiten geldt: wij kunnen gegevens verstrekken aan onze accountants of juridisch adviseurs waar dat moet, en aan een overheidsinstantie wanneer een geldig, bindend rechtmatig verzoek ons daartoe dwingt. Gebeurt dat, dan laten wij het u weten, tenzij het ons verboden is.

Wij verkopen geen persoonsgegevens, verhuren of ruilen ze niet, delen ze niet met datahandelaren, advertentienetwerken of sociale platforms, en gebruiken ze niet om machine-learningmodellen te trainen.

7. Internationale doorgifte

Wij zijn gevestigd in India, dus schrijft u ons vanuit de EER of het VK, dan worden uw gegevens doorgegeven naar India en naar de hierboven genoemde verwerkers in de EU en de Verenigde Staten. Voor India geldt, net als voor de Verenigde Staten, geen adequaatheidsbesluit van de Europese Commissie dat onze activiteit dekt.

Bij doorgifte van gegevens uit de EER of het VK beroepen wij ons op de modelcontractbepalingen van de Europese Commissie op grond van artikel 46, lid 2, onder c, AVG — en voor Britse gegevens op het International Data Transfer Addendum van het VK — die deel uitmaken van onze overeenkomsten met elke verwerker, of op het EU-VS Data Privacy Framework wanneer de ontvanger daaronder gecertificeerd is. Wij vullen die aan met praktische maatregelen: versleuteling tijdens verzending, geen onnodige kopieën, dataminimalisatie en toegang beperkt tot de mensen die die werkelijk nodig hebben.

Op grond van artikel 16 van de DPDP Act is doorgifte vanuit India toegestaan, behalve naar landen die de Indiase centrale overheid bij besluit beperkt. Geen van de hier beschreven doorgiftes betreft een beperkt land. Verandert dat, dan passen wij onze afspraken aan in plaats van de doorgifte voort te zetten.

U kunt ons via contact@contensu.com om een kopie van de betreffende waarborgen voor doorgifte vragen.

8. Hoe lang wij het bewaren, en wanneer wij het wissen

Als een bewaartermijn afloopt, wissen wij de gegevens in plaats van ze te archiveren. Er is geen CRM, geen leadsdatabase en geen kopie in een spreadsheet — een aanvraag bestaat uitsluitend als e-mail in onze mailbox. Wissen betekent dus dat het bericht en eventuele bijlagen worden verwijderd, ook uit de prullenbak, zodat er niets achterblijft in een back-up van een systeem dat wij niet zelf beheren.

9. Uw rechten als u zich in India bevindt

Als Data Principal onder de DPDP Act heeft u het recht om:

• Een overzicht op te vragen (artikel 11) — welke persoonsgegevens van u wij verwerken, wat wij ermee doen, en met welke andere Data Fiduciaries of verwerkers wij ze hebben gedeeld, inclusief wat die bewaren.
• Correctie, aanvulling, actualisering en verwijdering (artikel 12) — onjuiste gegevens laten corrigeren, onvolledige gegevens laten aanvullen, en gegevens laten wissen waar wij ze niet langer nodig hebben voor het doel waarvoor u ze gaf.
• Klachtafhandeling (artikel 13) — rechtstreeks bij ons klagen over alles in deze verklaring. Wij streven ernaar klachten binnen 30 dagen af te handelen en in geen geval later dan 90 dagen, de uiterste termijn uit de DPDP Rules 2025. Onze klachtenroute eerst gebruiken is een stap die u zet voordat u zich tot de Board wendt.
• Iemand aanwijzen (artikel 14) — een persoon aanwijzen die deze rechten namens u uitoefent als u overlijdt of wilsonbekwaam wordt. Mail ons de naam en contactgegevens van die persoon en wij leggen dat vast.
• Uw toestemming intrekken (artikel 6) — op elk moment, net zo eenvoudig als u die gaf. Zie onderdeel 5 hierboven.

Handelen wij uw klacht niet af, dan kunt u zich wenden tot de Data Protection Board of India via het online loket. Voor klachten gelden de termijnen uit de wet en de Rules, dus wacht er niet te lang mee.

De wet legt ook plichten op aan Data Principals (artikel 15): doe zich alstublieft niet voor als iemand anders, verzwijg geen wezenlijke informatie en dien geen lichtvaardige of onjuiste klacht in — er kunnen ook voor u sancties gelden, niet alleen voor ons.

10. Uw rechten als u zich in de EER, het VK of Zwitserland bevindt

Onder de AVG en de UK GDPR heeft u recht op:

• Inzage (artikel 15) — een kopie van de persoonsgegevens die wij over u bewaren, en de informatie uit deze verklaring zoals die specifiek voor u geldt.
• Rectificatie (artikel 16) — onjuiste gegevens laten corrigeren of onvolledige gegevens laten aanvullen.
• Verwijdering (artikel 17) — het ‘recht op vergetelheid’, waar wij geen rechtmatige reden meer hebben om de gegevens te bewaren.
• Beperking (artikel 18) — de verwerking laten pauzeren terwijl een geschil over juistheid of rechtmatigheid wordt uitgezocht.
• Overdraagbaarheid (artikel 20) — de gegevens die u ons gaf ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat, of ze door ons naar een ander laten sturen.
• Bezwaar (artikel 21) — bezwaar maken tegen verwerking die wij op een gerechtvaardigd belang baseren. Maakt u bezwaar, dan stoppen wij, tenzij wij dwingende gronden kunnen aantonen die zwaarder wegen dan uw rechten.
• Intrekking van toestemming (artikel 7, lid 3) — op elk moment, zonder dat dit afdoet aan de rechtmatigheid van wat daarvoor gebeurde.
• Niet onderworpen worden aan geautomatiseerde besluitvorming (artikel 22) — wat hier eenvoudig ligt, omdat wij die niet toepassen. Zie onderdeel 15.

U heeft ook het recht een klacht in te dienen bij een toezichthouder — doorgaans die in het EER-land waar u woont of werkt. In Nederland is dat de Autoriteit Persoonsgegevens, in België de Gegevensbeschermingsautoriteit, in het VK de Information Commissioner’s Office (ICO) en in Zwitserland de Federal Data Protection and Information Commissioner. U hoeft niet eerst bij ons te zijn, al zouden wij dat wel prettig vinden — dat gaat meestal sneller.

11. Hoe u een van deze rechten uitoefent

Mail contact@contensu.com met ‘Verzoek gegevensrechten’ in het onderwerp. Vertel ons wat u wilt en, als u dat weet, welk e-mailadres u gebruikte om contact met ons op te nemen — dat helpt ons de juiste gegevens te vinden.

• Kosten — gratis. Wij brengen alleen kosten in rekening voor een verzoek dat kennelijk buitensporig of herhaaldelijk is, en wij laten dat vooraf weten.
• Termijn — wij reageren binnen 30 dagen. Onder de AVG kunnen wij bij een complex verzoek met maximaal twee maanden verlengen, en wij leggen binnen de eerste maand uit waarom. Klachten onder de DPDP Act handelen wij uiterlijk binnen 90 dagen af.
• Verificatie — kunnen wij werkelijk niet vaststellen dat een verzoek van u komt, dan vragen wij om voldoende informatie om dat te bevestigen. Wij eisen geen identiteitsbewijs wanneer het antwoordadres al het adres is waarvandaan u ons benaderde.
• Afwijzingen — kunnen wij niet doen wat u vroeg, dan zeggen wij dat, leggen wij de juridische reden uit en vertellen wij hoe u daartegen kunt opkomen.

12. Gegevens van kinderen

Dit is een zakelijke site die niet op kinderen is gericht. Wij verzamelen niet bewust gegevens van personen onder de 18 (de grens in de DPDP Act) of onder de 16 (de grens die in verschillende EER-landen wordt gehanteerd), en wij hebben geen manier om gegevens van een kind te verwerken met verifieerbare toestemming van een ouder, zoals artikel 9 van de DPDP Act zou vereisen.

Wij volgen kinderen nooit, tonen hun nooit gedragsadvertenties — wij tonen niemand gedragsadvertenties — en doen niets wat schadelijk kan zijn voor het welzijn van een kind. Ontdekken wij dat iemand onder die leeftijden ons persoonsgegevens heeft gestuurd, dan wissen wij die. Denkt u dat dit is gebeurd, mail dan contact@contensu.com en wij pakken het direct op.

13. Hoe wij uw gegevens beschermen

Zowel artikel 8, lid 5, van de DPDP Act als artikel 32 AVG vereisen redelijke beveiligingsmaatregelen. In ons geval zijn dat:

• Versleuteling tijdens verzending — de hele site werkt uitsluitend via HTTPS. Gewone HTTP-verzoeken worden doorgestuurd, en wij sturen HTTP Strict Transport Security mee zodat browsers weigeren terug te vallen.
• Minder verzamelen, minder bewaren — er is geen leadsdatabase en geen klantportaal om binnen te dringen. Inzendingen van het contactformulier worden in onze mailbox bezorgd en bestaan alleen daar.
• Streng browserbeleid — een strikt Content Security Policy, geen scripts van derden behalve de antispamvoorziening, het insluiten van onze pagina’s geblokkeerd, en camera-, microfoon- en betaal-API’s uitgeschakeld.
• Misbruikbeperking — Cloudflare Turnstile op het formulier en een serverzijdige limiet van vijf inzendingen per minuut per IP-adres. Inzendingen worden op de server gevalideerd en geëscaped voordat ze in iemands inbox belanden.
• Geen aanknopingspunt voor tracking door derden — zelf gehoste lettertypen, geen statistieken, en insluitingen van derden die pas laden als u daarvoor kiest.
• Toegangsbeheer — alleen de mensen die aanvragen moeten lezen kunnen dat, met sterke, unieke inloggegevens op accounts die met meervoudige authenticatie zijn beveiligd waar de aanbieder dat ondersteunt.
• Meldingen van kwetsbaarheden — zie security.txt. Wij horen liever van een probleem dan niet.

Geen enkel systeem is volmaakt veilig, en wij doen niet alsof. Wat wij wel kunnen zeggen: wij bewaren zo weinig mogelijk, zo kort mogelijk.

14. Als er een datalek is

Worden persoonsgegevens die wij bewaren getroffen door een lek, dan handelen wij in plaats van af te wachten. Op grond van artikel 8, lid 6, van de DPDP Act en de DPDP Rules 2025 informeren wij elke getroffen Data Principal onverwijld, met een beschrijving van de aard van het lek, de waarschijnlijke gevolgen, wat wij eraan hebben gedaan en wat u kunt doen om uzelf te beschermen, en dienen wij binnen 72 uur na kennisname een uitgebreid rapport in bij de Data Protection Board of India.

Waar de AVG van toepassing is, melden wij het binnen 72 uur bij de bevoegde toezichthouder op grond van artikel 33 en informeren wij betrokkenen rechtstreeks op grond van artikel 34, wanneer het lek waarschijnlijk een hoog risico voor hun rechten en vrijheden oplevert.

15. Geen geautomatiseerde besluiten, geen profilering, geen advertentietracking

Wij nemen geen geautomatiseerde besluiten over u en stellen geen profiel van u op. Een mens leest elke aanvraag en bepaalt of wij kunnen helpen. Er is geen scoring, geen segmentatie, geen dienst die u opzoekt om leads te verrijken, geen tracking over websites heen en geen advertentiedoelgroep die uit uw gegevens wordt opgebouwd.

Wij voeren uw aanvragen of projectgegevens ook niet toe aan de training van machine-learningmodellen. Gebruiken wij een AI-hulpmiddel bij de uitvoering van een project, dan spreken wij dat vooraf met de klant af in de overeenkomst.

16. Gegevens die wij namens klanten verwerken

Deze verklaring gaat over gegevens die u ons geeft. Bouwen of onderhouden wij een systeem voor een klant en gaat het daarbij om persoonsgegevens van de klanten, medewerkers of gebruikers van die klant, dan is die klant de Data Fiduciary of verwerkingsverantwoordelijke en treden wij op als hun verwerker.

In die rol handelen wij uitsluitend op de gedocumenteerde instructies van de klant, sluiten wij een verwerkersovereenkomst — inclusief de modelcontractbepalingen of het Britse addendum waar de klant die nodig heeft —, maken wij elke subverwerker bekend en vragen wij daarvoor toestemming, houden wij de gegevens vertrouwelijk, helpen wij bij verzoeken van betrokkenen en meldingen van datalekken, en geven wij de gegevens terug of verwijderen wij ze zodra de samenwerking eindigt. De commerciële kant hiervan staat in onze Algemene voorwaarden, en wij ondertekenen graag de eigen verwerkersovereenkomst van een klant in plaats van de onze.

Bent u een particulier van wie een klant van ons gegevens bewaart, neem dan contact op met die klant — die heeft er zeggenschap over, en wij mogen niet zonder hun instructie op hun gegevens handelen. Laat het ons toch weten als u hen niet kunt bereiken, dan geven wij het door.

17. Wijzigingen in deze verklaring

Wij werken deze verklaring bij wanneer wat wij doen verandert — niet om stilletjes op te rekken wat wij mogen. De versie en datum boven aan de pagina geven altijd de huidige tekst weer. Raakt een wijziging wezenlijk aan de manier waarop wij gegevens gebruiken die u ons al gaf, dan nemen wij daarover rechtstreeks contact met u op in plaats van erop te vertrouwen dat u deze pagina opnieuw leest.

Deze versie vervangt de versie van 1 april 2025. Zij voegt de DPDP-verklaring, de tabellen met grondslagen en bewaartermijnen en de lijst met verwerkers toe, en corrigeert een eerdere bewering dat er geen gegevens automatisch werden verzameld — technische gegevens worden, en werden altijd al, in onze infrastructuurlaag verwerkt om de site te leveren en te beveiligen. Vraag ons op elk moment om een kopie van een eerdere versie.

Vragen

Wat dan ook over deze verklaring of over gegevens die wij bewaren — mail contact@contensu.com. Er antwoordt een mens.