Privacybeleid

The Pareto Project is een handelsnaam van Disco Volante B.V., een in Nederland ingeschreven vennootschap. Disco Volante B.V. is de verwerkingsverantwoordelijke voor de persoonsgegevens die in dit beleid worden beschreven, en de partij tegenover wie je de rechten uit paragraaf 10 uitoefent.

Dit beleid gaat over onze website, onze eigen marketing en de aanvragen en sollicitaties die je ons stuurt. Het legt uit wat we verzamelen, waarom, hoe lang we het bewaren en wat je ons kunt vragen ermee te doen.

Eén onderscheid gaat aan alle details vooraf. Voor alles in dit beleid zijn wij verwerkingsverantwoordelijke: wij bepalen wat er wordt verzameld en waarom. Voor persoonsgegevens binnen klantprojecten zijn we dat niet. Daar is de klant verwerkingsverantwoordelijke, handelen wij in opdracht, en regelt een verwerkersovereenkomst die deel uitmaakt van de opdrachtovereenkomst hoe die gegevens worden behandeld, waar ze staan, wie erbij mag en wat er aan het einde van de opdracht met ze gebeurt.

Voor projectgegevens is die overeenkomst het document dat je moet lezen, niet dit beleid. Klanten en potentiële klanten kunnen onze standaardvoorwaarden altijd opvragen.

Je geeft ons rechtstreeks:

• Je naam, e-mailadres, bedrijfsnaam en functietitel wanneer je een contact- of sollicitatieformulier invult, plus alles wat je in het bericht zelf schrijft
• Bij "Apply as Expert": de professionele achtergrond die je wilt delen — ervaring, vaardigheden, links en al het andere dat je toevoegt
• Als je een account aanmaakt: je e-mailadres en een wachtwoord, dat we gehasht opslaan en nooit in leesbare vorm. Meld je je in plaats daarvan aan met Google, dan bevestigt Google je identiteit aan ons en geeft het je naam, e-mailadres en profielfoto door

Onze eigen meetsoftware legt per paginaweergave vast:

• Het pad van de pagina en de taal waarin je leest
• De site en het pad die je doorverwezen hebben, en eventuele campagneparameters in de link
• Je land en de bredere regio daarbinnen — een provincie of staat, bepaald door het hostingnetwerk aan de edge
• Apparaattype, browser, besturingssysteem en schermbreedte
• Een eenrichtings-dagelijkse bezoekershash en — alleen als je analytische cookies accepteert — een willekeurige bezoekersidentificatie

Wat we bewust niet vastleggen: je IP-adres, je stad of enige preciezere locatie, en je naam of e-mailadres naast gebruiksgegevens. Je IP-adres wordt eenmalig gebruikt om de dagelijkse hash uit paragraaf 11 te berekenen en in datzelfde verzoek weggegooid. Er staat geen enkele tracker van derden op deze site, dus geen andere partij ontvangt er iets van.

We gebruiken wat we verzamelen om:

• Je vraag te beantwoorden, een voorstel op te stellen en de diensten te leveren waarvoor je ons inschakelt
• Je sollicitatie te beoordelen en met je te praten over samenwerken
• De website te laten werken en veilig te houden — inlogsessies, je taalvoorkeur en het voorkomen van misbruik van onze formulieren
• Te begrijpen welke pagina’s echt gelezen worden, zodat we betere kunnen schrijven
• Af en toe een update over onze diensten te sturen, waar je altijd mee kunt stoppen
• Te voldoen aan onze wettelijke, fiscale en administratieve verplichtingen

Elk doel rust op een van vier grondslagen:

• Uitvoering van een overeenkomst, of stappen daaraan voorafgaand (art. 6 lid 1 sub b) — het beantwoorden van je vraag, het opstellen van een aanbieding, het uitvoeren van een opdracht en het behandelen van je sollicitatie
• Gerechtvaardigde belangen (art. 6 lid 1 sub f) — opvolging bij zakelijke contacten, het veilig houden van de site en het meten van gebruik in de anonieme vorm uit paragraaf 11. We wegen die belangen af tegen jouw belangen, en je kunt altijd bezwaar maken
• Toestemming (art. 6 lid 1 sub a) — analytische cookies, en niets anders. Je kunt die altijd intrekken via "Cookie-instellingen" in de footer
• Wettelijke verplichting (art. 6 lid 1 sub c) — de contract- en factuuradministratie die we verplicht moeten bewaren

Let ook op wat er niet in die lijst staat. Het versturen van een aanvraagformulier is geen toestemming: het is een stap richting een overeenkomst, dus er is geen toestemming die wij kunnen kwijtraken en geen die jij zou moeten intrekken. E-mailmarketing aan zakelijke contacten rust op gerechtvaardigd belang en het zakelijke opt-outregime van de Telecommunicatiewet, niet op toestemming. Elk bericht bevat een afmeldlink en daar handelen we direct naar.

Onze propositie is dat AI-agents het grootste deel van de uitvoering in software delivery doen. Daarmee is "wat gebeurt er met mijn gegevens" een terechte vraag en geen formaliteit. Drie toezeggingen, in gewone taal.

• Je persoonsgegevens worden niet gebruikt om AI-modellen te trainen — niet die van ons en niet die van een leverancier. We gebruiken commerciële API’s waarvan de voorwaarden training op ingezonden gegevens uitsluiten
• Persoonsgegevens die je via deze website verstuurt — een aanvraag, een sollicitatie, een account — komen niet in modelprompts terecht. Onze agents werken op code, specificaties en documentatie
• Waar AI binnen klantprojecten wordt gebruikt, regelt de verwerkersovereenkomst van de klant dat, inclusief welke leveranciers mogen worden gebruikt en onder welke voorwaarden

Er wordt geen enkel besluit over jou uitsluitend geautomatiseerd genomen. Een mens leest elke sollicitatie en beantwoordt elke vraag. Je bent niet onderworpen aan geautomatiseerde besluitvorming of profilering met rechtsgevolgen of vergelijkbaar aanmerkelijke gevolgen voor jou, in de zin van art. 22 AVG.

We verkopen geen persoonsgegevens en delen ze niet voor advertentiedoeleinden. Vier leveranciers verwerken gegevens voor ons, elk uitsluitend in onze opdracht als verwerker in de zin van art. 28 AVG:

• Vercel — hosting en levering van deze website
• Neon — de beheerde PostgreSQL-database met accounts en gebruiksgegevens, gehost in de Verenigde Staten (zie paragraaf 8)
• Resend — bezorging van transactionele e-mail zoals adresverificatie en wachtwoordherstel, en van formuliermeldingen aan ons eigen team
• Google — alleen als je kiest voor aanmelden met een Google-account, en alleen om je identiteit aan ons te bevestigen

Daarbuiten verstrekken we persoonsgegevens alleen wanneer de wet dat vereist — bijvoorbeeld op rechtsgeldig bevel van een bevoegde autoriteit. Gebeurt dat, dan laten we het je weten, tenzij dat ons juridisch verboden is. We werken deze lijst bij wanneer die verandert.

Onomwonden, want dit is de vraag die een security reviewer het eerst stelt: onze database staat in de Verenigde Staten — Amazon Web Services-regio us-east-1, in Noord-Virginia, in onze opdracht beheerd door Neon. Accounts, inloggegevens en de gebruiksgegevens uit paragraaf 3 worden dus buiten de Europese Economische Ruimte opgeslagen. De pagina’s van deze site worden geleverd via een contentnetwerk met Europese knooppunten, maar dat is caching; de database daarachter staat in de VS, en dat is de locatie die voor je gegevens telt.

Ook de andere leveranciers uit paragraaf 7 zijn Amerikaanse bedrijven. E-mailbezorging loopt via Resend, hosting via Vercel en aanmelden met Google via Google, waarbij elk toegang tot gegevens van buiten de EER kan inhouden.

Daarmee is dit een doorgifte die een eigen rechtsgrond nodig heeft. We baseren ons op de standaardcontractbepalingen van de Europese Commissie, opgenomen in onze overeenkomsten met deze leveranciers, en op het adequaatheidsbesluit van de Commissie van 10 juli 2023 voor het EU-U.S. Data Privacy Framework wanneer een leverancier daaronder gecertificeerd is. Daarnaast leunen we op technische maatregelen die beperken wat er überhaupt wordt blootgesteld: verbindingen zijn versleuteld, gegevens zijn versleuteld in opslag, wachtwoorden bestaan alleen als hash en — zoals paragraaf 3 beschrijft — er wordt nooit een IP-adres naar de database geschreven.

Beoordeel je ons als leverancier en wil je weten welk mechanisme voor een specifieke partij geldt, of wil je de subverwerkersgegevens op schrift, vraag het dan via privacy@pareto.ooo en we sturen het toe.

• Aanvragen en formulierberichten — die komen als e-mail bij ons binnen. We bewaren ze tot 24 maanden na ons laatste contact met je en verwijderen ze daarna
• Sollicitaties — vier weken nadat we je sollicitatie hebben afgerond, tenzij je uitdrukkelijk instemt dat we je gegevens in portefeuille houden; in dat geval twaalf maanden. Je kunt die instemming altijd intrekken en dan verwijderen we ze op verzoek
• Accounts — zolang je het account aanhoudt. Vraag je ons het te sluiten, dan verwijderen we je profielgegevens
• Contracten, facturen en administratie — zeven jaar, zoals de Nederlandse fiscale wetgeving van ons verlangt (art. 52 Algemene wet inzake rijksbelastingen). Dat is een wettelijke verplichting, dus deze gegevens kunnen we niet eerder op verzoek verwijderen
• Gebruiksmeting — de dagelijkse bezoekershash is niet naar jou te herleiden en blijft als langlopende geaggregeerde statistiek bewaard. De optionele bezoekersidentificatie gedraagt zich zoals beschreven in paragraaf 11

Je kunt ons vragen om:

• Inzage in de persoonsgegevens die we over je hebben (art. 15)
• Correctie als ze onjuist of onvolledig zijn (art. 16)
• Verwijdering, voor zover we geen zwaarder wegende verplichting hebben om ze te bewaren (art. 17)
• Beperking van de verwerking — het pauzeren van ons gebruik terwijl een geschil over de juistheid of over onze grondslag wordt opgelost (art. 18)
• Het staken van verwerking op grond van gerechtvaardigd belang, inclusief alle marketing (art. 21)
• Een overdraagbare kopie van de gegevens die je ons hebt gegeven (art. 20)
• Het intrekken van toestemming voor analytische cookies, wat je ook altijd zelf kunt doen via "Cookie-instellingen"

Schrijf naar privacy@pareto.ooo. We reageren binnen één maand, zoals art. 12 lid 3 AVG voorschrijft. Is een verzoek uitzonderlijk complex, dan kunnen we die termijn met twee maanden verlengen en laten we je binnen de eerste maand weten waarom. Er zijn geen kosten aan verbonden.

Ben je niet tevreden met ons antwoord, dan kun je een klacht indienen bij de Nederlandse toezichthouder — de Autoriteit Persoonsgegevens, autoriteitpersoonsgegevens.nl — of bij de toezichthouder in je eigen woonland. Je kunt de zaak ook aan de rechter voorleggen. We hebben liever dat je eerst bij ons komt, maar dat is jouw keuze en geen voorwaarde.

Noodzakelijke cookies houden de website werkend — inlogsessies, je taalvoorkeur en beveiliging. Deze staan altijd aan en vragen geen toestemming. We meten het gebruik van de site met onze eigen software, op onze eigen servers: er is geen Google Analytics, geen advertentiepixel en geen enkele tracker van derden, en gebruiksgegevens worden nooit gedeeld met of verkocht aan anderen. Anonieme meting slaat niets op je apparaat op: onze server telt een paginaweergave met een eenrichtings-hash van je IP-adres en browser, die dagelijks opnieuw wordt gegenereerd en niet naar jou te herleiden is. Je IP-adres zelf wordt nooit opgeslagen. Accepteer je daarnaast analytische cookies, dan bewaren we een willekeurige identificatie in je browser zodat een terugkerende lezer over meerdere dagen herkenbaar is; weiger je, dan wordt die niet aangemaakt, en trek je je toestemming in, dan wordt die verwijderd. Je kunt je keuze op elk moment wijzigen of intrekken via “Cookie-instellingen” in de footer.

Verkeer naar deze site is versleuteld tijdens transport. Wachtwoorden worden gehasht opgeslagen, nooit in leesbare vorm. Toegang tot de database en tot de mailboxen waarin je berichten binnenkomen is beperkt tot de mensen die die nodig hebben. Geen enkele methode van elektronische overdracht of opslag is volledig veilig, en we doen niet alsof dat anders is.

Doet zich een datalek voor dat waarschijnlijk een risico oplevert voor jouw rechten en vrijheden, dan melden we dat binnen 72 uur nadat we ervan op de hoogte zijn bij de Autoriteit Persoonsgegevens, zoals art. 33 AVG voorschrijft. Is het risico voor jou hoog, dan nemen we zonder onnodige vertraging rechtstreeks contact met je op en vertellen we wat er is gebeurd, welke gegevens erbij betrokken waren en wat we eraan doen.

We kunnen dit beleid bijwerken. Wezenlijke wijzigingen kondigen we op deze pagina aan en de ingangsdatum bovenaan verandert daarmee mee. Eerdere versies zijn op verzoek beschikbaar.

Dit beleid is gepubliceerd in het Nederlands en het Engels. Wijken de twee versies van elkaar af, dan prevaleert de Nederlandse versie, omdat we in Nederland zijn gevestigd en Nederlands recht op dit beleid van toepassing is.

Voor elke vraag over dit beleid, of om de rechten uit paragraaf 10 uit te oefenen, schrijf naar privacy@pareto.ooo of naar het onderstaande postadres. We zijn niet verplicht een functionaris voor gegevensbescherming aan te stellen; privacyvragen komen terecht bij de mensen die ze echt kunnen beantwoorden.