Deze vertaling is er voor uw gemak. Bij verschillen is de Engelse versie de tekst die geldt, behalve waar dwingend consumentenrecht anders bepaalt.

Privacyverklaring

Geldt voor: de beheerde Ownpace-dienst op ownpace.eu, en deze website.
Versie: 1.0
Laatst bijgewerkt: 2026-10-19

Draait u Ownpace zelf, dan geldt deze verklaring niet voor u en valt er voor ons niets te verklaren: de software draait op uw eigen infrastructuur, uw gegevens bereiken ons nooit, en wij ontvangen niets — geen telemetrie, geen gebruikscijfers, geen foutrapporten. De broncode is openbaar, dus dat is controleerbaar in plaats van beloofd.

Tijdens de Alpha gelden ook de Voorwaarden voor de Alpha. Zeggen die iets anders dan deze verklaring, dan gaan die voor.

---

1. Wie wij zijn

Archico B.V., handelend onder de naam Ownpace, KvK 73922706, btw NL8597.110.06.B01.

Contact over alles in deze verklaring, inclusief uw rechten onder de AVG: support@ownpace.eu. Wij corresponderen per e-mail. Een mens leest wat daar binnenkomt. We streven naar antwoord binnen vijf werkdagen en zijn gebonden aan de termijn van één maand die de AVG stelt voor verzoeken over uw rechten.

2. Wat Ownpace doet, want dat bepaalt al het onderstaande

Ownpace migreert uw e-mail, contacten, agenda's en bestanden van de ene aanbieder naar de andere, en houdt de kopie bij tot u besluit over te stappen. Het leest uw bronaccount, schrijft naar uw doelaccount, en houdt bij wat het heeft gemigreerd zodat een tweede ronde niets dupliceert.

Wij zijn geen opslagdienst. Uw berichten en bestanden gaan via Ownpace naar het doel dat u hebt gekozen. We slaan ze niet op: elk bericht of bestand gaat alleen door de dienst heen terwijl het wordt gekopieerd, en we houden er geen kopie van. Wat we per item wel bewaren, staat in §4.2.

3. Onze rol, die afhangt van wie u bent

Voor uw account bij ons — aanmelden, facturatie, contact met support — zijn wij de verwerkingsverantwoordelijke, wie u ook bent.

Voor de inhoud van uw migratie — uw e-mail, bestanden, contacten en agenda-items — hangt het ervan af wie er migreert:

• Bent u een organisatie, dan bent u de verwerkingsverantwoordelijke en zijn wij uw verwerker. Wij handelen op uw gedocumenteerde instructies, en die instructies zijn de migraties die u instelt. Onze verwerkersovereenkomst maakt deel uit van uw overeenkomst — op aanvraag beschikbaar via support@ownpace.eu tot die hier gepubliceerd is.
• Bent u een particulier die de eigen accounts of die van het gezin migreert, dan betekent de huishoudelijke uitzondering van de AVG (art. 2 lid 2 sub c) dat u geen plichten als verwerkingsverantwoordelijke hebt voor wat u migreert — en die uitzondering strekt zich niet uit tot ons (overweging 18). Voor de inhoud van uw migratie treden wij daarom op als verwerkingsverantwoordelijke, op grond van de overeenkomst tussen ons (art. 6 lid 1 sub b), en draagt deze verklaring de toezeggingen die een zakelijke klant uit een verwerkersovereenkomst zou halen: we verwerken de inhoud uitsluitend om de migratie uit te voeren die u instelde (§5), de subverwerkerslijst in §7 en de bewaartermijnen in §9 gelden onverkort voor u, en de beloften van §2 blijven staan.

Tijdens de Alpha doen alleen huishoudens mee (§1 van de Voorwaarden voor de Alpha). Voor de inhoud van uw migratie geldt dus het tweede geval, en er speelt geen verwerkersovereenkomst.

Een mailbox bevat ook andere mensen — de correspondenten die u schreven, en de mensen in uw contacten en agenda's — en bij een migratie kan een gezinslid betrokken zijn, of mensen met wie u bestanden deelde. Zij hebben nooit een overeenkomst met ons gesloten. Wat wij bewaren dat hen raakt is wat §4 beschrijft (§4.6 somt het op) en niets meer, het wordt beschermd door dezelfde §7–§9, en de rechten in §10 zijn ook de hunne, zonder dat daar een account voor nodig is.

4. Wat we werkelijk bewaren

Beschreven op het niveau waarop de software echt werkt, omdat een vager antwoord minder bruikbaar zou zijn en niet eerlijker.

4.1 Toegangsgegevens voor uw accounts

Wat nodig is om de bron te lezen en naar het doel te schrijven: een OAuth-vernieuwingstoken, of een gebruikersnaam met een app-wachtwoord, of een serviceaccountsleutel. Versleuteld opgeslagen met AES-256-GCM, onder een sleutel die apart van de database wordt bewaard: in de eigen configuratie van de dienst, en in de instellingen van de achtergrondtaken die de migraties uitvoeren, allebei op dezelfde machine.

We vragen de smalste toegang die elke aanbieder biedt. Waar een aanbieder niets smals biedt — het IMAP-eindpunt van Google accepteert alleen een toestemming die neerkomt op volledige toegang tot uw mail — zeggen we dat, in plaats van iets anders te suggereren. De connectors die uw e-mail, contacten, agenda's en bestanden lezen, kunnen helemaal niet naar de bron schrijven.

U kunt onze toegang op elk moment bij uw aanbieder intrekken, zonder het ons te vragen, en dan stopt de migratie.

4.2 Het migratieregister — metagegevens, geen inhoud

Voor elk item dat we migreren bewaren we een regel met: een kenmerk dat de bron er zelf aan gaf (voor e-mail de Message-ID-header; voor een bestand het pad; voor een afspraak of een contact de UID), een hash van dat kenmerk, een hash van de inhoud, de omvang in bytes, de map, agenda of het adresboek waarin het staat, de kenmerken die de bron en het doel ervoor gebruiken, tijdstempels, en of de kopie lukte. Zodat de app u kan laten zien om welk item het gaat, bewaart de regel ook de naam waaronder u het kent: de onderwerpregel van een bericht (zodra het bericht is opgehaald), de titel van een afspraak of taak, de naam van een contact, de naam van een bestand. Mislukt een item, dan bewaart de regel de reden zoals de aanbieder die formuleerde; die tekst kan een map, een bestand of een adres noemen. Met dit register slaat een tweede ronde over wat er al staat, in plaats van uw mailbox te verdubbelen.

Het register bevat geen berichtinhoud, geen bijlagen, geen bestandsinhoud. Het bevat wel metagegevens die op zichzelf veelzeggend kunnen zijn — onderwerpregels, namen, map- en bestandsnamen, de fouttekst van de aanbieder, en hashes die van inhoud zijn afgeleid — en dat zeggen we liever ronduit dan het te omschrijven als "technische gegevens".

Bij elke migratie bewaren we daarnaast welke mappen ze koppelt, hoe ver elke ronde kwam, de beslissingen die u over items nam, de uitkomsten van haar controles, en de lijst van wat er gedeeld was (§4.6). Bij uw organisatie bewaren we de distributielijsten die een migratie vond, met de adressen van hun leden.

4.3 De telling bij het controleren van uw migratie

Wanneer u uw migratie controleert, leest Ownpace uw bron om te tellen wat er staat. Die telling is gratis. Daarvan worden aantallen, omvang en totalen per map bewaard — geen inventaris van afzonderlijke items — en de reden van de aanbieder als iets niet te tellen was. Kenmerken van items komen pas in het register terecht wanneer de migratie echt begint. De tellingen horen bij de migratie waarvoor ze zijn geteld: ze blijven daarbij bewaard en verdwijnen wanneer u die migratie verwijdert of uw gegevens worden gewist (§9).

4.4 Uw aanvraag voor toegang, en uw account

Uw aanvraag voor toegang. Tijdens de Alpha wordt niemand tot de dienst toegelaten zonder het ons eerst te vragen, tenzij iemand die er al in zit die persoon uitnodigt (§4.6). Het aanvraagformulier bewaart wat u invult: uw e-mailadres, en als u die geeft, uw naam, een organisatie, een toelichting en het pakket dat u voor ogen had; en uw taal. Daarna bewaart het ons besluit, wie het nam en wanneer. We gebruiken dit om over uw aanvraag te beslissen en u te antwoorden. Over elke nieuwe aanvraag krijgen we een e-mail met uw adres en de organisatie en het pakket die u noemde, maar zonder uw toelichting. Een aanvraag maakt nog geen account aan.

Uw inlogaccount. Aanmelden loopt via een inlogdienst die we zelf draaien, op dezelfde machine als de dienst. Uw inlogaccount staat daar, niet bij een ander bedrijf; §7 zegt waar uw verbinding ermee doorheen gaat. Het bevat uw voor- en achternaam, uw e-mailadres, een gebruikersnaam, een hash van uw wachtwoord (nooit het wachtwoord zelf) en uw sessies: wanneer u zich aanmeldde, en de browser en het IP-adres waarmee u zich aanmeldde. Die dienst houdt ook een geschiedenis bij van elke wijziging aan uw inlogaccount (§9). Iedereen kan op onze inlogpagina een inlogaccount aanmaken, maar dat opent niets zolang we die persoon niet hebben toegelaten. Mail van de inlogdienst aan u, zoals een inlogcode of een link om uw wachtwoord opnieuw in te stellen, gaat via onze e-mailaanbieder (§7).

Tweestapsverificatie. Naast uw wachtwoord biedt onze inlogdienst u bij het aanmelden een tweede stap aan: een authenticatie-app of een beveiligingssleutel. Die tweede stap is niet verplicht. U kunt ook een passkey toevoegen; daarmee meldt u zich aan zonder wachtwoord. Voegt u een authenticatie-app toe, dan bewaart de inlogdienst versleuteld de geheime sleutel waarmee die app uw codes maakt. Voegt u een beveiligingssleutel of een passkey toe, dan bewaart hij de openbare sleutel ervan en de naam die u eraan geeft; de privésleutel die erbij hoort, krijgen wij nooit. De inlogdienst legt elke mislukte poging vast: een verkeerd wachtwoord, een verkeerde code uit uw authenticatie-app, of een beveiligingssleutel of passkey die niet wordt herkend. Hij bewaart daarbij het tijdstip, en bij een aanmeldpoging ook de browser en het IP-adres. Het wachtwoord of de code die werd geprobeerd, bewaart hij nooit. Na 10 verkeerde wachtwoorden op rij blokkeert hij uw inlogaccount, tot wij het op uw verzoek weer vrijgeven. Dit alles dient om uw inlogaccount te beschermen. Een tweede stap of passkey blijft bewaard tot u die verwijdert, of tot uw inlogaccount wordt verwijderd. Wat de inlogdienst daarvan bijhoudt in de geschiedenis van uw inlogaccount, blijft zo lang als §9 zegt; dat geldt ook voor elke mislukte poging.

Uw account bij ons. Uw e-mailadres, het kenmerk dat onze inlogdienst u geeft, de organisatie waartoe u behoort (in de app heet de omgeving van uw huishouden een organisatie), uw rol daarin (tijdens de Alpha eigenaar of beheerder), wanneer u werd uitgenodigd en wanneer u lid werd, en welke versies van de Voorwaarden voor de Alpha, de servicevoorwaarden en deze verklaring u hebt aanvaard, in welke taal, en wanneer.

Tijdens de Alpha, uw Google-adres. Wilt u een Google-account koppelen, dan geeft u ons het adres daarvan, en zetten wij het op de lijst van testgebruikers die Google voor onze app bijhoudt (§6).

Facturen en de gebruikscijfers eronder — hoeveel migraties tegelijk liepen, en hoeveel gegevens er zijn gemigreerd. Tijdens de Alpha wordt niets in rekening gebracht: er zijn geen facturen, en u legt geen betaalwijze vast. Zodra er betalingen zijn, lopen die via onze betaaldienstverlener (§7); wij vragen of bewaren uw kaartnummer niet. Vult u op de pagina Facturering toch factuurgegevens in — een naam, een adres, een btw-nummer, het e-mailadres waarheen uw facturen worden gestuurd — dan bewaren we die tot uw gegevens worden gewist, en laat u de app een btw-nummer controleren, dan gebeurt dat bij de VIES-dienst van de Europese Commissie.

4.5 Support en operationele logs

Supportmail. Alles wat u naar support@ownpace.eu stuurt. Het komt aan in een mailbox die onze e-mailaanbieder voor ons bewaart (§7). Dezelfde mailbox bewaart een kopie van de mail die de dienst verstuurt, zoals inlogcodes, voortgangsoverzichten en de berichten die u ons laat sturen.

Een probleem melden. Tijdens de Alpha stuurt Een probleem melden in het menu van de app uw melding als e-mail naar support@ownpace.eu, via onze e-mailaanbieder (§7). De mail bevat wat u schreef en uw inlogadres, zodat we u kunnen antwoorden, en deze feiten, die het formulier opsomt voordat u verstuurt: de pagina waarop u was (zonder het geheime deel van een link), de referentie en soort van een fout als die er was, het kenmerk en de status van uw organisatie, uw rol, de versie van de dienst, de stand van de migratie op die pagina en van elk gegevenstype daarin, of er via een link toegang is gegeven, bij welke aanbieders de twee accounts ervan zijn en of hun laatste test slaagde, of de dienst is gepauzeerd of de planner stilstaat, de naam die uw browser zichzelf geeft, en wat uw browser het formulier vertelt: de taal van het scherm, uw tijdzone, de breedte van het venster, de versie van de app in uw browser als die niet die van de dienst is, het gegevenstype, de kant en de migratie van de foutregel waar u vandaan kwam, en de referentie van een fout die de app tegenkwam in de vijf minuten voordat u het formulier opende. Voegt u een schermafbeelding toe, dan gaat die mee. Een schermafbeelding toont wat er op uw scherm stond, zoals onderwerpregels, namen en adressen: bekijk haar dus voordat u verstuurt. Deze link melden, op een pagina die iemand via een toegangslink of een voortgangslink bereikte, stuurt op dezelfde manier wat die persoon schreef en de gegevens van die link: de organisatie en de migratie, wie hem maakte, de twee accounts, en of er toegang is gegeven; en alleen een adres als die persoon er een opgeeft. Een melding bevat de inhoud van uw mail, bestanden of agenda's, een onderwerpregel, een mapnaam of een foutmelding van een aanbieder alleen als u die zelf in uw tekst of op de schermafbeelding zet.

Serverlogs leggen vast dát er verzoeken waren, voor de app en voor deze website: het tijdstip, uw IP-adres, dat NetBird aan ons doorgeeft (§7), de gevraagde pagina (zonder het geheime deel van een link), de pagina waar u vandaan kwam, wat uw browser over zichzelf zegt, en foutcodes. NetBird houdt daarnaast een eigen log bij van elk verzoek; §7 zegt wat daarin staat. Logs zijn zo geschreven dat toegangsgegevens en berichtinhoud er niet in voorkomen. Vrij van namen zijn ze niet. Mislukt een stap van een migratie, dan komt de fouttekst van de aanbieder zelf in het log van het proces dat de fout tegenkwam, naast een referentie, zodat we u ermee kunnen helpen; die tekst kan een map, een bestand of een adres noemen. En een aanvraag voor toegang wordt gelogd met het e-mailadres dat erin staat, net als ons besluit erover.

Uit deze logs tellen we ook bezoeken aan deze website (pagina's, de site waar u vandaan kwam, het soort browser), alleen als totalen, die niemand identificeren.

Wat de mensen die de dienst draaien kunnen zien. Om de dienst te kunnen leveren en ondersteunen, kunnen de mensen aan onze kant die de dienst draaien — tijdens de Alpha één persoon — op onze supportschermen dienstmetadata over uw account inzien: de naam en status van uw organisatie; de adressen en rollen van haar leden, en het kenmerk dat onze inlogdienst ieder van hen geeft; de namen van uw koppelingen en migraties (een koppeling heet naar de gebruikersnaam of het adres van het account, tenzij u haar anders noemt); de toestand en foutcategorie van elke migratie; factuuroverzichten; hoeveel items op een beslissing van u wachten; en het logboek van uw organisatie, met wie wat deed en wanneer, zonder de details. Ze kunnen ook opzoeken bij welke organisatie een adres hoort, en het logboek van wie wat deed downloaden, met de details, waarin elk adres en elke bestandsnaam door een pseudoniem is vervangen. De supportschermen kunnen uw inhoud niet tonen. Berichtteksten en onderwerpregels, map- en bestandsnamen, agenda-items, toegangsgegevens en opgeslagen foutteksten verschijnen op geen enkel supportscherm — de schermen zijn zonder toegang daartoe gebouwd, en dat is in de broncode na te lezen in plaats van aan te nemen. Elke inzage wordt zelf vastgelegd — wie keek, bij welk account, naar welk scherm en wanneer, en bij een zoekopdracht waarop werd gezocht — in een log dat de app niet kan veranderen. Wat het over uw account vastlegt, verdwijnt wanneer uw gegevens worden gewist. Een zoekopdracht op adres en een download van het logboek worden zonder organisatie vastgelegd; die blijven daarna staan, en worden 12 maanden na het vastleggen verwijderd (§9). Vraag het ons, en we sturen u wat dat log over uw account vastlegt. Onze verwerkersovereenkomst (§5 daar) doet organisaties dezelfde toezegging.

Buiten die schermen. Wie de machine beheert, kan technisch bij de database, en bij de sleutel die uw toegangsgegevens beschermt. Die toegang is er om de dienst draaiend te houden en te herstellen. Zoeken we een probleem uit, dan kan die ons tonen wat §4.2 bewaart, zoals een onderwerpregel of een bestandsnaam, en we kijken niet verder dan het probleem vraagt. Toegang op die manier wordt niet vastgelegd in het log hierboven.

Niemand bij Ownpace leest uw e-mail, bestanden, contacten of agenda's. De uitzonderingen zijn die welke §6 voor Google-gegevens noemt, en ze gelden voor elke aanbieder: uw eigen uitdrukkelijke verzoek over bepaalde items (een schermafbeelding bij een melding is er zo een), wat beveiliging of de wet noodzakelijk maakt, en geaggregeerde cijfers waarin niemand herkenbaar is.

4.6 Mensen die geen klant van ons zijn

Een migratie raakt mensen die zich nooit bij ons hebben aangemeld. Dit bewaren we over hen.

• De mensen voor wie u migreert. Om iemands migraties bij elkaar te houden, geeft u die persoon een naam, en als u wilt een e-mailadres voor de toegangslinks. We bewaren beide tot u die persoon verwijdert of uw gegevens worden gewist.
• Een gezinslid van wie u het account migreert. Stuurt u die persoon een toegangslink, dan logt die zelf in bij de eigen aanbieder en geeft die Ownpace zelf toegang, vanaf een pagina die zegt wie het vroeg, van welk account en naar waar. Wij bewaren die toegang (versleuteld, §4.1), het adres van dat account, en wanneer de link werd gemaakt, gebruikt en beëindigd. Die persoon kan de toegang op elk moment intrekken. Op de eigen voortgangspagina verwijdert dat haar hier, en trekt het haar ook in bij de aanbieder, waar die dat toestaat. Bij de aanbieder maakt het wat wij bewaren onbruikbaar, en verwijderen we haar wanneer u de migratie verwijdert of uw gegevens worden gewist. Om een Google-account te koppelen, moet het adres ook op de lijst van testgebruikers bij Google staan (§6).
• Mensen met wie u bestanden, mappen of agenda's deelde. Laat u de app uw delingen nakijken, dan houdt die een lijst bij van wie bij uw oude aanbieder toegang had tot wat: hun adres, de naam van het bestand, de map of de agenda, en hun rol. Laat u de app hen vertellen waar hun gedeelde items naartoe zijn gegaan, dan krijgt ieder van hen een e-mail van support@ownpace.eu per soort item dat met hen gedeeld was, zoals agenda's of bestanden, zodra u voor die soort bent overgestapt, met uw toelichting en de namen van de items; en nog eens alleen als u die opnieuw laat versturen. Van elk van die e-mails blijft een kopie in onze supportmailbox staan, zo lang als §9 zegt (§4.5). De lijst verdwijnt wanneer u de migratie verwijdert waar die bij hoort, of wanneer uw gegevens worden gewist.
• Mensen die u uitnodigt in uw organisatie: hun adres, hun rol, en of ze lid werden. Ieder van hen krijgt een e-mail van support@ownpace.eu die zegt wie hen voor welke organisatie uitnodigde en waar ze zich aanmelden; en nog eens alleen als u die opnieuw laat versturen. Van elk van die e-mails blijft een kopie in onze supportmailbox staan, zo lang als §9 zegt (§4.5).
• Mensen die een link melden die ze kregen: zie §4.5.
• Correspondenten, en iedereen verder in uw e-mail, contacten en agenda's: alleen wat §4.2 per item bewaart. Hun naam of adres kan daar staan in een onderwerpregel, als naam van een contact of in een fouttekst, en een distributielijst bewaart de adressen van haar leden.

5. Waarom we het bewaren, in AVG-termen

We gebruiken uw gegevens niet voor advertenties, we stellen geen profielen op, en we verkopen of verhuren uw gegevens aan niemand. Er zit geen analysetracker in de applicatie of op deze website; bezoeken aan deze website tellen we alleen uit onze serverlogs (§4.5). De app bewaart uw aanmelding in de eigen opslag van uw browser tot u zich afmeldt, en onthoudt daar uw taal en een paar keuzes; zelf plaatst ze geen cookie, en deze website ook niet. Onze inlogpagina plaatst de cookies die nodig zijn voor het aanmelden. Deze website laadt niets van andere servers.

We nemen geen besluit over u dat alleen op geautomatiseerde verwerking berust: over elke aanvraag voor toegang beslist een mens. Alleen de blokkering na 10 verkeerde wachtwoorden op rij (§4.4) gebeurt vanzelf, en die heffen wij op als u daarom vraagt. Om mee te doen, geeft u ons uw e-mailadres; om tijdens de Alpha een Google-account te koppelen, geeft u ons ook het adres daarvan. Zonder die gegevens kunnen we u niet toelaten, of dat account niet koppelen.

6. Google-gebruikersgegevens — de concrete toezeggingen

Het gebruik door Ownpace van informatie die via Google-API's is ontvangen, voldoet aan de Google API Services User Data Policy, inclusief de Limited Use-eisen. Concreet, in onze eigen woorden:

• We gebruiken Google-gebruikersgegevens uitsluitend om de migratie uit te voeren die u hebt ingesteld — uw bronaccount lezen en wegschrijven naar het doel dat u koos — en om u de voortgang te tonen.
• We dragen Google-gebruikersgegevens niet over aan wie dan ook, behalve aan het migratiedoel dat u zelf hebt gekozen; aan mensen aan wie u ons zelf vraagt te laten weten waar een gedeeld item is gebleven (§4.6); aan NetBird GmbH, die uw verbindingen naar ons doorgeeft, en aan de aanbieder die de mail van de dienst vervoert (§7), elk alleen daarvoor; en waar de wet dat verplicht.
• We gebruiken Google-gebruikersgegevens niet voor advertenties, in welke vorm dan ook.
• We laten Google-gebruikersgegevens niet door mensen lezen. De uitzonderingen zijn die welke het beleid toestaat en geen andere: uw eigen uitdrukkelijke verzoek om bepaalde items, wat noodzakelijk is voor beveiliging of om aan de wet te voldoen, en geaggregeerde cijfers waarin niemand herkenbaar is.
• We gebruiken Google-gebruikersgegevens niet om enig machine-learning- of AI-model te trainen, algemeen of anderszins.

Ownpace biedt Google alleen als bron aan: er is geen Google-doel om te kiezen.

Tijdens de Alpha: de lijst van testgebruikers bij Google. Zolang de app van Ownpace bij Google in de testfase van Google staat, laat Google een account alleen koppelen als het adres op de lijst van testgebruikers van die app staat. Voordat u een Google-account koppelt, geeft u ons daarom het adres, en zetten wij het op die lijst bij Google. Dat geldt ook voor het Google-account van een gezinslid aan wie u een toegangslink stuurt. Wij halen uw adres van de lijst wanneer uw gegevens worden gewist. Het adres van een gezinslid gaat er tegelijk af, of eerder als u of die persoon erom vraagt (§10 van de Voorwaarden voor de Alpha). In de testfase beëindigt Google een koppeling ook na ongeveer zeven dagen; u koppelt dan opnieuw (§9 daar).

U kunt de toegang van Ownpace tot uw Google-account op elk moment intrekken op myaccount.google.com/permissions, of door het app-wachtwoord te verwijderen dat u hebt aangemaakt.

7. Wie er verder bij komt

Tijdens de Alpha draaien de dienst, de databases, onze inlogdienst en deze website op een machine die we zelf beheren, in Nederland.

Deze tabel is de volledige lijst van onze subverwerkers. Gaat de dienst na de Alpha over naar een hostingaanbieder, dan noemen we die hier, en laten we het u weten, voordat er gegevens van u naartoe gaan (§11 van de Voorwaarden voor de Alpha). Zakelijke klanten worden geïnformeerd voordat een subverwerker wordt toegevoegd, met het recht van bezwaar zoals vastgelegd in de verwerkersovereenkomst; alle anderen krijgen dezelfde wijzigingsmelding via §13.

Mollie B.V. (Nederland, EU) verzorgt kaart- en incassobetalingen. Als vergunninghoudende betaalinstelling verwerkt Mollie uw betaalgegevens onder eigen verantwoordelijkheid en eigen privacyverklaring — een zelfstandige verwerkingsverantwoordelijke, geen subverwerker van ons. Wij vragen of bewaren uw kaartnummer niet. Tijdens de Alpha wordt niets in rekening gebracht, dus Mollie ontvangt niets over u.

Binnen uw organisatie is wat de dienst bewaart zichtbaar voor de eigenaar en de beheerders; de Voorwaarden voor de Alpha vragen u niemand uit te nodigen (§8 daar). Een voortgangslink toont wie hem heeft de aantallen en statussen van één migratie, nooit de inhoud.

De bron en het doel van uw migratie zijn geen subverwerkers van ons — dat zijn uw eigen accounts, en uw relatie met die aanbieders is de uwe.

Buiten wat deze verklaring noemt, geven we uw gegevens alleen aan anderen door waar de wet ons daartoe verplicht.

8. Waar het staat, en waar niet

De dienst draait in de Europese Unie. Eén partij in de tabel hierboven zit daarbuiten: onze e-mailaanbieder, Proton AG, zit in Zwitserland. De Europese Commissie heeft besloten dat Zwitserland persoonsgegevens passend beschermt (art. 45 AVG; Beschikking 2000/518/EG van de Commissie), dus de AVG vraagt voor die doorgifte geen extra waarborg. Tijdens de Alpha is er nog één stap, waar u zelf om vraagt: om u een Google-account te laten koppelen, zetten wij het adres daarvan op de lijst van testgebruikers die Google voor onze app bijhoudt (§6). Verder, en afgezien van een doel buiten de EU dat u kiest (hieronder), vindt er door ons geen doorgifte van uw gegevens plaats naar de Verenigde Staten of enig ander derde land.

Twee dingen die u zelf kiest, kunnen in de Verenigde Staten terechtkomen. Meldt u een kwetsbaarheid via ons formulier op GitHub (§11), dan bewaart GitHub uw melding, in de VS. En staat uw mailbox, of die van iemand aan wie u ons laat schrijven, bij een Amerikaanse aanbieder, dan wordt onze mail daar afgeleverd.

Dat is geen formaliteit maar de kern van het product: wie weggaat bij een Amerikaanse aanbieder, heeft weinig aan een migratietool die zelf in de VS draait. Daarom draait de onze daar niet.

Ligt het doel van uw migratie buiten de EU, dan gaan uw gegevens daarheen omdat u dat doel koos. We laten u het doel zien voordat er iets wordt weggeschreven.

9. Hoe lang we het bewaren

Tijdens de Alpha maken we geen back-ups, op de kopie vlak voor een update na, in de tabel hierboven (§6 van de Voorwaarden voor de Alpha). Tijdens de Alpha sluiten we uw account binnen 7 dagen na uw verzoek, en laten we u weten op welke datum uw gegevens worden gewist (§10 daar). Het wissen verwijdert uit de database van de dienst alles wat deze tabel bewaart tot uw gegevens worden gewist; uw inlogaccount en de Google-adressen op de lijst bij Google volgen dezelfde dag, met de hand. Wat volgens de tabel na het wissen blijft, blijft zoals die zegt. Verder blijft er alleen een vastlegging dat er gewist is, met datums en aantallen en zonder naam of adres. Stoppen we ooit met de dienst, dan staat in §11 van de servicevoorwaarden wat u krijgt.

10. Uw rechten

Inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar, en het intrekken van toestemming waar toestemming de grondslag is. Schrijf naar support@ownpace.eu; we brengen er niets voor in rekening en vragen niet waarom. We kunnen u vragen te bevestigen dat een verzoek van u komt, bijvoorbeeld door te schrijven vanaf het adres van uw account. Deze rechten gelden jegens ons overal waar §3 ons verwerkingsverantwoordelijke maakt — en de mensen in een gemigreerde mailbox, en iedereen die §4.6 noemt, die nooit een account hadden, kunnen naar hetzelfde adres schrijven.

Uw recht van bezwaar. Waar we op een gerechtvaardigd belang steunen (§5) — onze logs, de vastlegging van mislukte pogingen (§4.4), het auditlog, de vastlegging van wat wij bij uw account inzagen, de kopie vlak voor een update, en de gegevens van andere mensen in een migratie — kunt u op elk moment bezwaar maken, om redenen die met uw situatie te maken hebben. We stoppen dan, tenzij we dwingende gerechtvaardigde gronden hebben die zwaarder wegen dan uw belangen, rechten en vrijheden, of de gegevens nodig hebben voor een rechtsvordering.

Overdraagbaarheid verdient een opmerking. Dit product bestaat juist omdat uw eigen gegevens tussen aanbieders verplaatsen moeilijker is dan het zou moeten zijn. Wilt u uw gegevens uit Ownpace, dan hebt u ze al — ze staan in het doelaccount waar we ze naartoe hebben geschreven. Wat wij zelf over u bewaren (§4), sturen we u op verzoek in een gangbaar bestandsformaat.

U kunt een klacht indienen bij een toezichthouder, in het bijzonder in het land waar u woont of werkt. In Nederland is dat de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

11. Beveiliging

Toegangsgegevens versleuteld met AES-256-GCM, onder een sleutel die apart van de database met die gegevens wordt bewaard: in de eigen configuratie van de dienst, en in de instellingen van de achtergrondtaken, allebei op dezelfde machine. Verbindingen met uw aanbieders zijn versleuteld met TLS, en het certificaat van de aanbieder wordt gecontroleerd. Een adres dat u zelf typt en dat begint met http://, wordt bereikt zoals getypt, en die verbinding is niet versleuteld. Organisaties worden in de database zelf van elkaar gescheiden via row-level security (beveiliging per rij), voor de verzoeken van de app en voor de achtergrondtaken die de migraties uitvoeren. Onze supportschermen lezen via views die daar bewust buiten vallen, en elk van die views controleert dat de lezer een van de mensen is die de dienst draaien (§4.5). De geplande taken die over organisaties heen lopen, werken er nog niet onder; daar houdt het eigen filter van elke query op uw organisatie ze gescheiden. Logs zijn zo geschreven dat toegangsgegevens en berichtinhoud er niet in staan (§4.5 zegt wat ze nog wel kunnen noemen).

Als er een datalek is. Raakt een beveiligingsincident uw persoonsgegevens, dan melden we dat aan de Autoriteit Persoonsgegevens waar de wet dat vereist, en melden we het u.

Geen enkel systeem is perfect. Vindt u een kwetsbaarheid, meld die dan vertrouwelijk via ons formulier op GitHub of, als u geen GitHub-account hebt, via support@ownpace.eu. We bevestigen de ontvangst binnen vijf werkdagen. Vraag ons toestemming voordat u de dienst zelf test: die bewaart de toegang van anderen tot hun accounts. We zullen u niet bedreigen omdat u het meldt.

12. Kinderen

De dienst richt zich niet op kinderen onder de 16 en we maken niet bewust accounts voor hen aan. Een ouder die een migratie voor het gezin instelt, kan daarin uiteraard het account van een kind meenemen — dat is het huishoudelijke geval dat §3 beschrijft, en de ouder blijft degene die de migratie instelt. Een toegangslink voor een kind onder de 16 rondt de ouder samen met het kind af. Het Google-adres van het kind komt op verzoek van de ouder op de lijst van testgebruikers bij Google (§6).

13. Wijzigingen

Wezenlijke wijzigingen melden we per e-mail aan accounthouders, minstens 30 dagen voordat ze ingaan, en elke versie van deze verklaring blijft beschikbaar in haar geschiedenis op GitHub, zodat u kunt zien wat er is veranderd. Die geschiedenis toont ook concepten die nooit zijn gepubliceerd; hun versieregel zegt dat. Het versienummer en de datum bovenaan deze pagina laten zien welke versie geldt.

Tijdens de Alpha bepalen de Voorwaarden voor de Alpha (§11 daar) hoe u hoort wat erna komt, ook een overgang naar een andere hostingaanbieder: minstens 7 dagen van tevoren, per e-mail. Er gaan geen gegevens van u naartoe als u de nieuwe voorwaarden niet aanvaardt.