Privacybeleid

BuiltSign is een geregistreerde handelsnaam van Crul.Dev, een eenmanszaak ingeschreven bij de Kamer van Koophandel onder nummer 97533114 ("wij", "ons" of "onze").

Wij zetten ons in voor de bescherming van uw privacy. Dit Privacybeleid legt uit hoe wij uw informatie verzamelen, gebruiken, openbaar maken en beschermen wanneer u ons platform voor documentondertekening gebruikt. Crul.Dev, handelend als BuiltSign, is de verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG).

Door BuiltSign te gebruiken, stemt u in met het verzamelen en gebruiken van informatie in overeenstemming met dit beleid. Als u niet akkoord gaat met de voorwaarden van dit privacybeleid, gebruik dan de dienst niet.

Persoonlijke informatie

Wij kunnen de volgende soorten persoonlijke informatie verzamelen:

• Accountinformatie: Naam, e-mailadres en wachtwoord wanneer u een account aanmaakt en, als u die toevoegt, uw bedrijfsnaam en telefoonnummer.
• Betalingsinformatie: Betaalgegevens en factuuradres (veilig verwerkt via Mollie). Bij een Nederlands factuuradres zoeken wij straat en plaats op in de openbare Basisregistratie Adressen en Gebouwen (BAG) van het Kadaster, via PDOK. Daarvoor sturen wij alleen de postcode en het huisnummer mee, zonder uw naam, e-mailadres of IP-adres.
• Gegevens voor de btw: Welk btw-tarief u betaalt, hangt af van het land waar u woont of gevestigd bent. Om dat land vast te stellen en aan de Belastingdienst te kunnen aantonen, leggen wij bij het afrekenen en bij elke betaling vast: het land van uw factuuradres, het land van uw IP-adres (dat geeft onze hostingpartij Vercel door), het land van uw betaalmethode zoals Mollie dat doorgeeft (het land waar uw kaart is uitgegeven, het land van uw bankrekening of, als die ontbreken, het land dat Mollie bij de betaling vaststelt) en het land van uw telefoonnummer. Hiervoor bewaren wij alleen landcodes, niet uw IP-adres en niet uw volledige rekeningnummer. Geeft u een btw-nummer op, dan controleren wij dat in VIES, het controlesysteem van de Europese Commissie, en bewaren wij de uitslag met de naam en het adres die VIES teruggeeft en het controlenummer. Grondslag: wettelijke verplichting (btw-wetgeving). Wij bewaren deze gegevens 7 jaar, of 10 jaar als wij de btw via het éénloketsysteem (OSS) afdragen. Klopt het vastgestelde land volgens u niet, mail dan naar legal@builtsign.com.
• Documenten: PDF-bestanden die u uploadt ter ondertekening, inclusief eventuele persoonsgegevens die daarin zijn opgenomen.
• Handtekeninggegevens: Elektronische handtekeningen, IP-adressen en tijdstempels gerelateerd aan ondertekeningsgebeurtenissen. Bij een getekende handtekening leggen we ook vast hoe die is getekend (positie, druk en timing van de penstreken); dat bewaren we alleen als bewijs voor het geval een handtekening wordt betwist.
• Identiteitscontrole van je account (vrijwillig): als je zelf kiest voor een ID-check van je account, verwerkt onze partner Didit B.V. (NL/EU) je ID-document en een selfie. BuiltSign bewaart daarvan alleen de naam op het document, het soort document en de datum van de controle, en toont die naam en datum aan ontvangers van je verzoeken en in het certificaat. Foto's, het documentnummer en je geboortedatum bewaren wij niet. Grondslag: je toestemming; je kunt de controle ook overslaan en BuiltSign gewoon blijven gebruiken.

Automatisch verzamelde informatie

• Apparaat- en browserinformatie
• IP-adres en geschatte locatie
• Gebruiksgegevens en analyses
• Cookies en vergelijkbare trackingtechnologieën
• Herkomst van je aanmelding: of je via een advertentie kwam en vanaf welke pagina (zonder kenmerk, voor iedereen), en na toestemming ook de campagne, de verwijzende site en de klik-id van Google Ads. We gebruiken dit alleen om te meten welke campagnes werken.

De plaats, regio en het land bij een IP-adres bepalen wij met een lokale database van DB-IP (db-ip.com, CC BY 4.0); uw IP-adres wordt daarvoor niet naar derden gestuurd.

Wij gebruiken de verzamelde informatie om:

• Onze diensten te verlenen, onderhouden en verbeteren
• Documentondertekentransacties te verwerken
• Audittrails te creëren en onderhouden voor wettelijke naleving
• Betalingen te verwerken en fraude te voorkomen
• Transactionele e-mails en meldingen te verzenden
• Klantenondersteuning te bieden
• Gebruikspatronen te analyseren om de gebruikerservaring te verbeteren
• Aan wettelijke verplichtingen te voldoen

Rechtsgrondslag voor verwerking

Wij verwerken uw persoonsgegevens op basis van de volgende rechtsgrondslagen onder artikel 6 van de AVG:

• Overeenkomst: Verwerking noodzakelijk voor de uitvoering van onze overeenkomst met u (het leveren van documentondertekeningsdiensten).
• Gerechtvaardigd belang: Verwerking voor onze legitieme zakelijke belangen (analyses, beveiliging, fraudepreventie) waar deze uw rechten niet overschrijden.
• Wettelijke verplichting: Verwerking noodzakelijk om aan wettelijke vereisten te voldoen (audittrails, belastingadministratie, vaststellen van het btw-land).
• Toestemming: Waar u expliciete toestemming heeft gegeven (marketingcommunicatie, optionele functies).

Uw documenten en gegevens worden veilig opgeslagen met behulp van industriestandaard encryptie. Wij gebruiken Amazon Web Services (AWS) S3 voor documentopslag met server-side encryptie. Alle gegevenstransmissies worden beschermd met TLS 1.3-encryptie.

Wij implementeren passende technische en organisatorische maatregelen om uw persoonsgegevens te beschermen tegen ongeautoriseerde toegang, wijziging, openbaarmaking of vernietiging.

Wij bewaren uw persoonlijke informatie zolang uw account actief is of als nodig om u diensten te verlenen. Ondertekende documenten en audittrails worden minimaal 7 jaar bewaard om aan wettelijke vereisten te voldoen. Vult u op onze website uw e-mailadres in om te registreren maar rondt u dit niet af, dan bewaren wij dat adres maximaal 30 dagen (grondslag: gerechtvaardigd belang) om u eenmalig een herinnering te sturen; daarna wordt het automatisch verwijderd. Afmelden kan direct via de link in die e-mail.

U kunt op elk moment verzoeken uw account en persoonsgegevens te verwijderen. Dit recht op wissing (art. 17 AVG) is echter niet absoluut. Wij mogen verwijdering weigeren voor gegevens die wij wettelijk verplicht zijn te bewaren, waaronder: (a) ondertekende documenten en audittrails die noodzakelijk zijn voor de instelling, uitoefening of onderbouwing van een rechtsvordering (art. 17 lid 3 sub e AVG); (b) financiële en administratieve gegevens die vallen onder de fiscale bewaarplicht van artikel 52 van de Algemene wet inzake rijksbelastingen (AWR), met een bewaartermijn van 7 jaar. Na afloop van de toepasselijke bewaartermijn worden uw gegevens permanent en onherroepelijk verwijderd.

QuickSign (ondertekenen zonder account): wij verwerken uw e-mailadres, een eenmalige bevestigingscode, het geüploade document, uw naam en handtekening zoals u die plaatst, het adres van de ontvanger en een eventueel bericht, en technische gegevens die tijdens het ondertekenen worden vastgelegd (uw IP-adres en de daaruit afgeleide plaats, regio en land, uw browser, apparaat en tijdzone, en tijdstippen). Doel: uw handtekening plaatsen, het getekende document afleveren en bewijs van de ondertekening vastleggen. Voor de daglimieten tegen misbruik gebruiken wij alleen een gehashte versie van uw e-mailadres en IP-adres. Grondslag: uitvoering van de overeenkomst en ons gerechtvaardigd belang bij bewijs en misbruikpreventie. Zeven dagen na de start van de sessie verwijderen wij automatisch het document, de getekende PDF en het bericht aan de ontvanger, en wissen wij uw e-mailadres en dat van de ontvanger uit de sessiegegevens. De bewijsgegevens van de ondertekening blijven bewaard zolang dat nodig is om de ondertekening te kunnen aantonen. Daartoe behoren uw naam, e-mailadres en handtekening, de documentnaam, het IP-adres met de daaruit afgeleide locatie, browser-, apparaat- en tijdzonegegevens, tijdstippen, het adres waarnaar u het document heeft gestuurd, het certificaat-ID en de hashes van het document.

Wij kunnen uw informatie delen met:

• Dienstverleners (sub-verwerkers): Externe leveranciers die ons platform ondersteunen, elk contractueel gebonden aan Standard Contractual Clauses (SCCs, uitvoeringsbesluit EU 2021/914) of adequaatheidsbesluiten waar van toepassing: Supabase, Inc. (database & authenticatie, EU Frankfurt, SCC); Amazon Web Services EMEA SARL (objectopslag, EU Stockholm, Adequacy EEA); Render Services Inc. (backend hosting, EU Frankfurt, SCC); Vercel, Inc. (frontend hosting, EU Frankfurt met wereldwijd CDN, SCC); Resend, Inc. (e-mailbezorging, EU Ierland, SCC); Twilio Ireland Ltd. (SMS-verificatie, EU Dublin, Adequacy EEA); DigiCert Inc. (vertrouwde tijdstempels, uitsluitend documenthash, VS, SCC); hCaptcha van Intuition Machines Inc. (botbescherming, EU edge, SCC); Mollie B.V. (betalingsverwerking, NL/EU, binnen EEA); Didit B.V. (identiteits- en biometrische verificatie, NL/EU, binnen EEA); Upstash, Inc. (snelheidsbegrenzing, EU Frankfurt, SCC); Functional Software, Inc. (Sentry) (foutmonitoring, alleen technische foutgegevens, EU Frankfurt, SCC). Een actuele lijst is beschikbaar op builtsign.com/legal/subprocessors.
• Ondertekeningspartijen: Andere partijen betrokken bij documentondertekeningsworkflows die u initieert.
• Wettelijke vereisten: Wanneer vereist door wet, regelgeving of juridisch proces.
• Bedrijfsoverdrachten: In verband met een fusie, overname of verkoop van activa.

Wij verkopen uw persoonlijke informatie niet aan derden voor marketingdoeleinden.

Wij gebruiken mobiele nummers alleen voor de sms-berichten die bij de Dienst horen, zoals beschreven in onze Algemene Voorwaarden. Wij verkopen of delen mobiele nummers en sms-toestemming niet met derden of gelieerde partijen voor hun marketing- of promotiedoeleinden. Twilio verwerkt mobiele nummers uitsluitend om onze berichten af te leveren.

Als u zich in de Europese Economische Ruimte (EER) bevindt, heeft u bepaalde gegevensbeschermingsrechten:

• Inzage: Verzoek om een kopie van uw persoonsgegevens.
• Rectificatie: Verzoek om correctie van onjuiste gegevens.
• Wissing: Verzoek om verwijdering van uw persoonsgegevens.
• Overdraagbaarheid: Ontvang uw gegevens in een gestructureerd, machineleesbaar formaat.
• Bezwaar: Bezwaar maken tegen bepaalde verwerking van uw gegevens.
• Beperking: Verzoek om beperking van verwerking.
• Toestemming intrekken: Trek uw toestemming op elk moment in waar verwerking op toestemming is gebaseerd.
• Klacht indienen: U heeft het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens of een andere toezichthoudende autoriteit in de EU.

Om deze rechten uit te oefenen, neem contact met ons op via legal@builtsign.com. Wij reageren binnen één maand op uw verzoek.

Uw informatie kan worden overgedragen naar en verwerkt in landen anders dan uw land van verblijf. Wij zorgen voor passende waarborgen, waaronder Standaard Contractuele Clausules goedgekeurd door de Europese Commissie.

Onze dienst is niet gericht op personen onder de 16 jaar. Wij verzamelen niet bewust persoonlijke informatie van kinderen. Als wij er achter komen dat wij gegevens van een kind hebben verzameld, zullen wij stappen ondernemen om deze onmiddellijk te verwijderen.

Wij kunnen dit Privacybeleid van tijd tot tijd bijwerken. Voor materiële wijzigingen zullen wij u minimaal 30 dagen voor de inwerkingtreding per e-mail op de hoogte stellen. Wij zullen ook de datum "Laatst bijgewerkt" op deze pagina aanpassen. Voortgezet gebruik na de kennisgevingsperiode geldt als aanvaarding voor verwerkingen op basis van overeenkomst of gerechtvaardigd belang. Voor verwerkingen op basis van toestemming vragen wij waar vereist door toepasselijk recht om vernieuwde toestemming.

Als u vragen heeft over dit Privacybeleid of onze gegevenspraktijken, neem dan contact op met de verwerkingsverantwoordelijke:

• E-mail: legal@builtsign.com
• Crul.Dev (handelend als BuiltSign)
• Mazustraat 28, 1363 RE Almere, Nederland
• KVK: 97533114
• BTW: NL005276049B01