Privacybeleid #

Ingangsdatum: 17 februari 2026 Laatst bijgewerkt: 28 oktober 2026

1. Inleiding #

EthicsPortal (“wij”, “ons”, “onze”) is een handelsnaam die wordt gebruikt door Yaroslav Shmarov, een eenmanszaak (jednoosobowa działalność gospodarcza) geregistreerd in Polen (NIP: 5272755790), gevestigd op ul. Obrzeżna 1A, 02-691 Warschau, Polen. Dit privacybeleid beschrijft hoe wij uw persoonlijke gegevens verzamelen, gebruiken, opslaan en beschermen wanneer u EthicsPortal gebruikt op ethicsportal.eu (de “dienst”).

Dit beleid legt onze verwerking van persoonsgegevens uit; het is geen verzoek om toestemming. De enige verwerking op basis van toestemming betreft optionele marketing-e-mails, waarvoor u zich afzonderlijk aanmeldt en waarvoor u uw toestemming op elk moment kunt intrekken.

Contact: privacy@ethicsportal.eu

Basisgegevens over de contractpartij zijn gepubliceerd op de vertrouwenspagina.

2. Informatie die wij verzamelen #

2.1 Accountinformatie #

Wanneer u een account aanmaakt, verzamelen wij:

• E-mailadres
• Weergavenaam (indien opgegeven)
• Taalvoorkeur

Medewerkers loggen in zonder wachtwoord — wij gebruiken magic links (eenmalige codes die naar uw e-mail worden gestuurd), dus wij verzamelen of bewaren geen wachtwoorden van medewerkers. Een melder die zijn melding online wil volgen, krijgt een wachtwoord dat door het systeem wordt gegenereerd en dat uitsluitend als bcrypt-digest wordt opgeslagen.

We gebruiken informatie over de herkomst van registraties om te begrijpen hoe klanten EthicsPortal ontdekken en de effectiviteit van onze marketing te meten.

2.2 Betaalinformatie #

Abonnements- en factuurbetalingen worden afgehandeld via de door Stripe gehoste Checkout en Billing Portal. Wij verstrekken Stripe het e-mailadres van het account en interne organisatie- en klantidentificatoren die nodig zijn om het abonnement aan te maken en te beheren. Stripe verzamelt rechtstreeks de naam van de betaler, het factuuradres, het fiscaal identificatienummer en de gegevens van de betaalmethode. Wij ontvangen of bewaren geen volledige kaart- of bankrekeningnummers.

Voor het faciliteren van betalingen verwerkt Stripe persoonsgegevens namens ons. Stripe verwerkt bepaalde gegevens ook als zelfstandig verwerkingsverantwoordelijke voor door Stripe bepaalde doeleinden, waaronder fraudepreventie, naleving van regelgeving en de werking van betalingsnetwerken. Op die activiteiten is het privacybeleid van Stripe van toepassing.

2.3 Serverlogs #

Onze servers registreren automatisch informatie wanneer u de dienst benadert, waaronder:

• IP-adres
• Browsertype en -versie
• Bezochte pagina’s en tijdstempels
• Verwijzende URL

Serverlogs worden gebruikt voor beveiligingsmonitoring en foutopsporing. Ze worden niet gebruikt voor reclame of tracking.

Specifiek voor het meldkanaal bevatten de applicatielogs geen IP-adressen van melders. De TLS-proxy vóór de applicatie houdt voor beveiligingsdoeleinden kortstondige verbindingslogs bij, inclusief IP-adressen.

2.4 Klokkenluidersmeldgegevens #

Wanneer een klokkenluider een melding indient via het meldkanaal van een organisatie, verzamelen wij:

• Meldingsbeschrijving, categorie en bron
• Naam en contactgegevens van de melder (indien vrijwillig opgegeven)
• Berichten die tussen de melder en de organisatie worden uitgewisseld

Meldingsbeschrijvingen, namen van melders, contactgegevens van melders en berichtinhoud worden versleuteld in de database met versleuteling op applicatieniveau. IP-adressen van melders worden niet opgeslagen bij meldingen, berichten of auditvermeldingen. Snelheidsbeperking gebruikt een gepseudonimiseerde, gesleutelde hash van het IP-adres die alleen gedurende het venster van de snelheidsbeperking wordt bewaard. Applicatielogs voor het meldkanaal bevatten geen IP-adressen.

2.5 Persoonsgegevens van derden die in meldingen worden genoemd #

Een klokkenluidersmelding kan persoonsgegevens over andere personen bevatten — bijvoorbeeld de persoon die een melding betreft, of getuigen. Voor deze meldgegevens treedt EthicsPortal op als verwerker namens de klantorganisatie, die de verwerkingsverantwoordelijke is. De organisatie is verantwoordelijk voor de rechtmatigheid van deze verwerking en voor het verstrekken van alle informatie die op grond van artikel 14 AVG aan de betrokken personen is vereist.

In lijn met artikel 14, lid 5, onder b, AVG en de vertrouwelijkheidseisen van de EU-klokkenluidersrichtlijn (2019/1937) kan het informeren van een genoemd individu worden uitgesteld of beperkt wanneer dit een onderzoek zou schaden of de bescherming van de identiteit van de klokkenluider in gevaar zou brengen.

3. Hoe wij uw informatie gebruiken en onze rechtsgrond #

Wanneer wij ons op gerechtvaardigd belang baseren, kunt u op elk moment bezwaar maken (sectie 8). Wij verkopen uw persoonlijke gegevens niet. Wij gebruiken uw gegevens niet voor gepersonaliseerde reclame. Wij maken geen gebruik van geautomatiseerde besluitvorming die rechtsgevolgen of vergelijkbare aanzienlijke gevolgen voor u heeft.

4. Diensten van derden #

Wij delen gegevens met de volgende diensten van derden, alleen voor zover noodzakelijk om de dienst te leveren:

Elke dienst van derden wordt beheerst door zijn eigen privacybeleid. Wij raden u aan deze te bekijken.

5. Cookies en websiteanalyse #

De applicatie (secure.ethicsportal.eu) gebruikt alleen first-party-cookies die nodig zijn om u aan te melden, aangemeld te houden en uw instellingen te onthouden:

Wij gebruiken geen trackingcookies of reclamecookies van derden.

De openbare website plaatst geen cookies. De bereikmeting (Plausible, sectie 4) werkt zonder cookies, en u kunt uw bezoeken in deze browser uitsluiten:

6. Gegevensopslag en beveiliging #

• Serverlocatie: de kernapplicatiegegevens worden gehost door Hetzner in Neurenberg, Duitsland (Europese Unie)
• Versleuteling tijdens transport: alle verbindingen gebruiken HTTPS/TLS
• Versleuteling in rust: klokkenluidersmeldgegevens (beschrijvingen, namen van melders, contactgegevens, berichten) worden versleuteld in de database met Active Record Encryption
• Inloggen zonder wachtwoord voor medewerkers: medewerkers gebruiken magic links, dus er worden geen wachtwoorden van medewerkers opgeslagen. Wachtwoorden van melders worden door het systeem gegenereerd en uitsluitend als bcrypt-digest opgeslagen
• Toegangscontrole: databasetoegang is beperkt tot uitsluitend geautoriseerd personeel

Hoewel wij redelijke maatregelen treffen om uw gegevens te beschermen, is geen enkele methode van overdracht of opslag 100% veilig. Als u een beveiligingskwetsbaarheid ontdekt, neem dan contact met ons op via security@ethicsportal.eu.

7. Gegevensbewaring #

• Accountgegevens worden bewaard zolang uw account actief is
• Organisatiegegevens worden bewaard zolang uw organisatie actief is
• Klokkenluidersmeldingen — gesloten of afgewezen meldingen worden automatisch verwijderd na de door de klantorganisatie ingestelde bewaartermijn (12, 24, 36, 48 of 60 maanden). Actieve en lopende meldingen worden bewaard tot ze worden gesloten; een melding die 18 maanden zonder activiteit blijft, wordt automatisch gesloten, waarmee de bewaartermijn begint
• E-mailverzendregistraties — voor uitnodigingen en notificaties aan medewerkers: het versleutelde adres van de ontvanger, het soort e-mail en het tijdstip van verzending, nooit het onderwerp of de inhoud. Registraties die bij een organisatie horen, worden met die organisatie verwijderd; registraties die bij geen enkele organisatie horen, worden 90 dagen na verzending verwijderd. Inlogmails en e-mails aan melders worden niet geregistreerd
• Serverlogs worden overschreven zodra ze vol zijn. Het proxylog, dat IP-adressen bevat, wordt momenteel na ongeveer twee dagen overschreven. Applicatielogs bevatten geen IP-adressen
• Betaalregistraties worden bewaard zoals vereist door de toepasselijke belasting- en boekhoudwetgeving
• Auditlogs — gedefinieerde meldings- en accountgebeurtenissen worden bewaard, inclusief welke behandelaar welke melding heeft ingezien (één registratie per behandelaar per melding per 24 uur); leesacties op andere pagina’s worden niet gelogd. Auditvermeldingen worden bewaard zolang de organisatie bestaat en worden met de organisatie verwijderd

Wanneer u uw account sluit, worden de toegangsgegevens verwijderd. Beperkte toegeschreven registraties kunnen blijven bestaan op grond van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, toepasselijke wettelijke verplichtingen of voor de instelling, uitoefening of onderbouwing van een rechtsvordering. Sectie 9 beschrijft wat blijft bestaan en waarom.

8. Uw rechten onder de AVG #

Omdat wij in de Europese Unie zijn gevestigd, is de Algemene Verordening Gegevensbescherming (AVG) van toepassing. U hebt het recht op:

• Inzage — een kopie aanvragen van de persoonsgegevens die wij over u bewaren
• Rectificatie — correctie aanvragen van onjuiste gegevens
• Wissing — verwijdering van uw gegevens aanvragen (“recht om vergeten te worden”)
• Beperking — aanvragen dat wij de verwerking van uw gegevens beperken
• Gegevensoverdraagbaarheid — uw gegevens aanvragen in een gestructureerd, machineleesbaar formaat
• Bezwaar — bezwaar maken tegen de verwerking van uw gegevens
• Toestemming intrekken — toestemming op elk moment intrekken waar de verwerking op toestemming is gebaseerd
• Klacht indienen — een klacht indienen bij een toezichthoudende autoriteit voor gegevensbescherming, met name in het EU-land waar u woont of werkt, of bij onze leidende toezichthoudende autoriteit, de voorzitter van het Poolse Bureau voor de bescherming van persoonsgegevens (UODO, ul. Stawki 2, 00-193 Warschau)

Hoe u uw rechten uitoefent: u kunt de meeste van uw gegevens rechtstreeks beheren via uw accountinstellingen. Om uw account te verwijderen, gaat u naar de pagina met accountinstellingen. Voor alle andere verzoeken mailt u ons via privacy@ethicsportal.eu.

Als u een klokkenluidersmelding hebt ingediend: de organisatie wier meldkanaal u hebt gebruikt, is de Verwerkingsverantwoordelijke en EthicsPortal treedt op als haar Verwerker. U kunt via het online meldformulier een kopie inzien en downloaden met uw zaak-ID en wachtwoord. Voeg voor correctie een bericht toe; neem voor andere verzoeken contact op met de organisatie (wij assisteren haar als Verwerker). Wissing kan worden beperkt door de gedocumenteerde bewaarbeslissing van de Verwerkingsverantwoordelijke en toepasselijke wettelijke verplichtingen of uitzonderingen voor rechtsvorderingen.

Contact voor gegevensbescherming: vragen over onze gegevensbeschermingspraktijken kunnen worden gericht aan privacy@ethicsportal.eu.

9. Account- en gegevensverwijdering #

U kunt uw account op elk moment sluiten via uw accountinstellingen. Uw e-mailadres wordt vervangen door een niet-bezorgbaar plaatsvervangend adres, en uw tweefactorgegevens, actieve sessies, API-tokens, taalvoorkeur en marketingvoorkeuren worden permanent verwijderd. U kunt niet meer inloggen en wij kunnen u niet meer via de Dienst bereiken.

Als uw account nooit binnen een organisatie heeft gehandeld, wordt het record volledig verwijderd. Zo niet, dan worden uw lidmaatschappen gedeactiveerd en blijven de toegeschreven dossiernotities, berichten en auditvermeldingen bewaard om de toeschrijving van vastgelegde handelingen te behouden. De Verwerkingsverantwoordelijke bepaalt de bewaartermijn volgens zijn gedocumenteerde instructies en het toepasselijke recht; het recht op gegevenswissing uit de AVG blijft onderworpen aan toepasselijke uitzonderingen voor wettelijke verplichtingen of rechtsvorderingen.

Drie zaken overleven de sluiting daarom:

• Uw profielfoto wordt verwijderd wanneer u het account sluit. Uw naam blijft gekoppeld aan toegeschreven activiteiten zolang de betrokken organisatie dat nalevingsdossier bewaart. De naam wordt uitsluitend bewaard om vast te leggen wie de geregistreerde activiteit behandelde, niet voor authenticatie of contact.
• Auditvermeldingen behouden uw naam, e-mailadres en, voor geauthenticeerde handelingen, het IP-adres van het verzoek. IP-adressen van melders worden uitgesloten. Organisatiebeheerders kunnen het alleen-toevoegen-logboek niet bewerken of afzonderlijke vermeldingen verwijderen; vermeldingen worden met de organisatie verwijderd.
• Data-exports die vóór uw verzoek zijn gemaakt, blijven maximaal 7 dagen bestaan en worden daarna automatisch verwijderd.

Verwijdering wordt geweigerd zolang u eigenaar bent van een organisatie, de enige beheerder of de aangewezen compliance officer. Draag de rol eerst over.

10. Privacy van kinderen #

Klantaccounts zijn niet gericht op kinderen onder de 16 jaar. Het meldkanaal van een organisatie kan niettemin een melding van een minderjarige ontvangen wanneer de organisatie het daarvoor beschikbaar stelt. De organisatie is Verwerkingsverantwoordelijke voor de meldingsgegevens en beslist over een verwijderingsverzoek; wij assisteren haar als Verwerker. Neem voor persoonsgegevens waarvoor wij rechtstreeks verantwoordelijk zijn contact op via privacy@ethicsportal.eu; wij beoordelen en behandelen het verzoek volgens toepasselijk recht.

11. Internationale gegevensdoorgiften #

Mailjet en AppSignal zijn in de EU gevestigd. Wanneer hun eigen dienstverleners gegevens buiten de EER verwerken, gelden voor die doorgiften de waarborgen van hoofdstuk V AVG (zie de verwerkersovereenkomst).

De kerngegevens van meldingen worden opgeslagen op servers in Duitsland (EU). De openbare marketingwebsite wordt geleverd via Cloudflare (Verenigde Staten); het meldkanaal en het behandelaarsportaal niet. Deze verwerking van de openbare website valt buiten de door de klant opgedragen verwerkingsketen voor meldingsgegevens die door de verwerkersovereenkomst wordt gedekt. Voor doorgiften van gegevens van de openbare website vanuit de EER naar de Verenigde Staten verklaart Cloudflare zich te baseren op het EU—VS Data Privacy Framework en, als de certificering verloopt of ongeldig wordt, op standaardcontractbepalingen met aanvullende maatregelen volgens de Cloudflare Customer DPA.

Onze e-mail, klantgegevens en de agenda voor het boeken van demo’s worden door Zoho gehost in de Verenigde Staten. Voor doorgiften aan Zoho gelden de waarborgen van hoofdstuk V AVG.

Stripe Payments Europe is gevestigd in Ierland, maar Stripe kan facturerings- en betalingsgegevens in andere landen verwerken. Stripe verklaart de toepasselijke rechtmatige doorgiftemechanismen te gebruiken, waaronder adequaatheidsbesluiten en standaardcontractbepalingen, zoals beschreven in de gegevensverwerkingsovereenkomst van Stripe.

12. Sollicitanten #

Wanneer u solliciteert naar een functie bij ons (bijvoorbeeld door te mailen naar careers@ethicsportal.eu), verzamelen en verwerken wij:

• Uw naam en contactgegevens
• Uw cv, sollicitatiebericht en alles wat u ervoor kiest ons over uw ervaring te vertellen
• Aantekeningen van eventuele gesprekken of contacten tijdens het wervingsproces

Rechtsgrond: de verwerking is noodzakelijk om op uw verzoek stappen te ondernemen voorafgaand aan het sluiten van een overeenkomst, alsmede ons gerechtvaardigd belang bij het beoordelen van kandidaten en het voeren van een eerlijk wervingsproces. Wij vragen niet om, en verzoeken u geen, bijzondere categorieën gegevens (zoals gezondheid, religie of vakbondslidmaatschap) of uw salarisgeschiedenis uit eerdere functies te sturen.

Bewaring: wij bewaren sollicitatiegegevens alleen zolang als nodig is om uw sollicitatie te beoordelen en de functie te vervullen. Als u niet wordt aangenomen, verwijderen wij uw sollicitatiegegevens nadat het proces is afgesloten, tenzij u ons vraagt deze voor toekomstige functies te bewaren, in welk geval wij deze tot 12 maanden bewaren.

U hebt dezelfde AVG-rechten op uw sollicitatiegegevens als uiteengezet in sectie 8. Om deze uit te oefenen, of om ons te vragen uw sollicitatie te verwijderen, mailt u privacy@ethicsportal.eu.

13. Wijzigingen in dit beleid #

Wij kunnen dit privacybeleid van tijd tot tijd bijwerken. Wanneer wij wezenlijke wijzigingen aanbrengen, stellen wij u hiervan op de hoogte per e-mail of via een in-app-melding. De datum “Laatst bijgewerkt” bovenaan deze pagina geeft aan wanneer het beleid voor het laatst is herzien.

Dit beleid is een kennisgeving, geen overeenkomst, en vereist geen aanvaarding. Wijzigingen gelden vanaf de vermelde ingangsdatum of datum van de laatste bijwerking, met inachtneming van elke kennisgeving die het toepasselijke recht vereist.

14. Contact #

Als u vragen hebt over dit privacybeleid of uw gegevensrechten wilt uitoefenen, neem dan contact met ons op via:

Algemeen: support@ethicsportal.eu Privacy / AVG-rechten: privacy@ethicsportal.eu Contact voor gegevensbescherming: privacy@ethicsportal.eu Beveiligingsmeldingen: security@ethicsportal.eu Juridisch / verwerkersovereenkomst: legal@ethicsportal.eu Locatie: Warschau, Polen

Laatst bijgewerkt: 30 oktober 2026