Privacyverklaring

Wie is verantwoordelijk voor wat

Voor de gegevens die in de woningfoto’s en de projectgegevens van een woning zitten, is het makelaarskantoor de verwerkingsverantwoordelijke. Domove is in dat geval de verwerker: wij verwerken de gegevens namens het kantoor en volgens zijn instructies.

Voor de accountgegevens van het kantoor zelf, zoals naam en e-mailadres, en voor de gegevens die je achterlaat als je een demo aanvraagt, is Domove de verwerkingsverantwoordelijke.

Als je een demo aanvraagt

Het formulier op de contactpagina vraagt om je naam, je kantoornaam, je e-mailadres en het aantal woningen dat je per maand in de verkoop hebt. Die gegevens gebruiken we alleen om contact met je op te nemen. We bewaren ze in ons eigen logboek en sturen ze als e-mail naar onszelf via Brevo, een Franse dienst, dus binnen de EU. Ze gaan niet naar een advertentieplatform en we verkopen ze niet door.

Subverwerkers

We zetten de volgende subverwerkers in. De laatste kolom zegt of die partij vandaag daadwerkelijk gegevens van ons ontvangt. Dat zijn ze nog niet allemaal: Anthropic en Higgsfield staan wel klaar maar krijgen nu nog niets. Wijzigingen kondigen we vooraf aan met een redelijke termijn. Eén naam in de tabel is geen verwerker van ons: bij Microsoft bepalen wij niet wat er met de gegevens gebeurt. Waarom dat zo is en wat het voor jou betekent, staat onder de tabel.

Anthropic en Higgsfield staan er omdat de koppeling in onze code zit, maar de verwerkingsdienst die hen aanroept is nog in aanbouw, dus ze krijgen vandaag niets.

Google, Meta en Microsoft staan er om een andere reden. We willen op de website Google Tag Manager gebruiken, en die laadt alleen bij bezoekers die daar in de balk onderaan het scherm op Alles accepteren hebben geklikt. Kies je Alleen noodzakelijk, of heb je nog niets gekozen, dan gaat er geen enkel verzoek naar Google, en ook geen naar Meta of Microsoft. In het klantportaal, in het beheer, op de pagina achter een deellink, op de pagina waarop je een uitnodiging aanneemt en op de inlogpagina laden we hem sowieso niet, ook niet met toestemming. Die inlogpagina hoort in dat rijtje omdat het adres van de portaalpagina waar je heen wilde in de link naar de inlogpagina staat. Hoe dat werkt en wat we van je keuze bewaren, staat op de cookiepagina.

Meta hangt achter diezelfde tagmanager. De Meta pixel is een script van Meta dat we via die container laden, en daar zit in de container nog een controle voor: de pixel vuurt alleen bij een bezoeker die ook toestemming voor advertentiecookies heeft gegeven. Geen tagmanager betekent dus geen pixel. Van onze eigen servers gaat er niets naar Meta: de serverkoppeling die Meta daarvoor aanbiedt, de Conversions API, hebben we bewust uit laten staan, en daar zijn op dit moment ook geen plannen voor.

Microsoft hangt achter diezelfde tagmanager, en doet meer dan bezoeken tellen. Microsoft Clarity maakt terugkijkbare opnames van een bezoek en heatmaps van waar er geklikt en gescrold wordt. In de container zit daar een eigen controle op je toestemming voor analysecookies voor, dus zonder Alles accepteren komt het script er niet doorheen. De maskering staat op Strict, de zwaarste stand die Clarity heeft: alle tekst op de pagina wordt onleesbaar gemaakt voordat er iets wordt verstuurd. Dat is geen overdrijving. In de standaardstand maskeert Clarity alleen cijfers en e-mailadressen, en al het andere op het scherm gaat leesbaar mee de opname in, tot en met wat je zelf in het demoformulier tikt: je naam en de naam van je kantoor. Op Strict hoeven we niet per pagina af te wegen wat er in een opname terecht mag komen, en hoeft dat ook niet opnieuw zodra er iets bij komt te staan.

Bij Microsoft ligt de verhouding anders dan bij elke andere naam in de tabel. Microsoft schrijft in zijn eigen documentatie over Clarity dat het daarbij verwerkingsverantwoordelijke is en geen verwerker. Wij laten Microsoft dit dus niet namens ons doen: Microsoft bepaalt zelf wat er met die gegevens gebeurt en wij kunnen dat niet met een instructie sturen. Daar hoort één gevolg bij dat je moet weten voordat je op accepteren klikt. Microsoft kan de gegevens van één bezoeker niet apart verwijderen; volgens diezelfde documentatie moet daarvoor het hele project weg, en losse opnames zijn ook niet te verwijderen. Microsoft bewaart een opname zelf 30 dagen, en langer, tot negen maanden, voor opnames die als favoriet zijn gemarkeerd en voor een steekproef; heatmapgegevens houdt Microsoft tot negen maanden.

Verder draait er geen foutmonitoringdienst, en in het portaal draait ook geen statistieken- of analysedienst: de drie hierboven laden daar niet, ook niet met toestemming. De betaalprovider in de tabel hierboven is Mollie; wat daar precies heen gaat, staat hieronder bij het betalen.

Als je een woning van Funda importeert

Plak je een Funda-link, dan halen onze servers de openbare pagina van die woning op en kopiëren we de foto’s en de plattegrond naar onze eigen opslag, met de verkoopbrochure erbij als de advertentie er een heeft, zodat we er een rondgang van kunnen maken. Daarnaast nemen we het adres, de postcode, de plaats en de vraagprijs uit de advertentie over. De tekst van de advertentie kopiëren we niet. We halen alleen op wat op die pagina publiek staat, en alleen voor het project waar je de link in plakt.

Als je voor een rondgang betaalt

Het betalen zelf gebeurt bij Mollie, een Nederlands bedrijf. Je kiest je bank op hun scherm en vult daar je gegevens in, niet bij ons. Wij zien je rekeningnummer niet en bewaren geen bank- of kaartgegevens.

Wat wij wel naar Mollie sturen: het bedrag, ons eigen betaalkenmerk, het adres waar je na afloop terugkomt, en een omschrijving. Die omschrijving is het adres van de woning waar de rondgang over gaat, of bij de eenmalige verificatiebetaling van een cent het e-maildomein van je kantoor. Dat is met opzet leesbaar: het is de regel die je later op je bankafschrift terugziet.

Wat wij van Mollie terugkrijgen en bewaren: of de betaling gelukt is, het bedrag, de btw, het moment van betalen en het betaalkenmerk van Mollie zelf. Die gegevens komen op je factuur en vallen daarmee onder de wettelijke bewaarplicht van zeven jaar.

Als je een collega uitnodigt

Je geeft ons dan het e-mailadres van iemand anders. We bewaren dat adres bij de uitnodiging en sturen er via Brevo een bericht heen met een link om mee te doen. De link werkt 14 dagen en je kunt hem eerder intrekken.

De uitnodiging zelf blijft daarna staan, ook als hij verloopt of wordt ingetrokken. Hij legt vast wie wie tot het kantoor heeft toegelaten, en dat is precies de vraag die je later wilt kunnen beantwoorden als je nagaat wie een woningdossier heeft kunnen inzien.

Van de twee berichten die we over een rondgang sturen, dat hij klaar is en dat hij mislukt is, bewaren we aan wie hij gericht was en of hij is aangekomen. Zonder dat log kunnen we niet beantwoorden waarom iemand zo’n bericht niet gekregen heeft. Van de uitnodiging hierboven bewaren we alleen het adres bij de uitnodiging zelf, en niet of hij is aangekomen.

Als je een rondgang deelt met een link

Een deellink werkt zonder inloggen: iedereen die de link heeft kan de video bekijken. Behandel hem dus als de video zelf. Je bepaalt zelf hoe lang hij geldig is, van 1 tot 90 dagen, standaard 30. Intrekken kan op elk moment en gaat in bij het eerstvolgende verzoek, ook bij iemand die de pagina al open had staan.

We tellen hoe vaak de link geopend is en wanneer dat voor het laatst gebeurde, zodat je ziet of er iets mee gedaan wordt. Van de bezoeker zelf leggen we niets vast: geen IP-adres, geen browsergegevens en geen cookie. Op die pagina laden we ook geen tagmanager en geen statistiekendienst, en we vragen er niets: de balk over cookies verschijnt daar niet, ook niet bij iemand die op de rest van de site ja heeft gezegd. Wie zo’n link krijgt is geen bezoeker die bij ons langskwam, en die hoort niet gevraagd te worden of hij gemeten mag worden.

Doorgifte buiten de EU

De videoprovider en het visiemodel staan buiten de EU. Google Tag Manager loopt via Google Ireland Limited, de Meta pixel via Meta Platforms Ireland Limited en Clarity via Microsoft Ireland Operations Limited, alle drie Ierse vestigingen, maar ook daar gaan gegevens naar de Verenigde Staten; die doorgifte gebeurt alleen bij bezoekers die daarvoor toestemming hebben gegeven. Meta leunt voor die stap op het EU-US Data Privacy Framework, waarvoor Meta Platforms, Inc. bij het Amerikaanse ministerie van Handel staat geregistreerd. Microsoft doet het anders, en schrijft dat zelf ook zo op: de Ierse vestiging heeft standaardcontractbepalingen met Microsoft Corporation in de Verenigde Staten, en op die bepalingen rust de doorgifte. Doorgifte is toegestaan met de juiste grondslag, en we leggen die grondslag vast. Waar we kunnen kiezen, kiezen we een EU-regio, zoals bij Supabase en bij de opslag op Cloudflare R2.

Bewaartermijnen

• Originele foto’s en video’s: zolang het project loopt, daarna 30 dagen.
• Tussenbestanden en losse opnames: 30 tot 90 dagen na oplevering.
• Eindvideo en de exports per formaat: zolang je een account bij ons hebt.
• Projectgegevens (ruimtes, opnames, instellingen): zolang je klant bent.
• Gegevens uit het demoformulier: 12 maanden, of eerder op verzoek.
• Uitnodiging aan een collega: de link 14 dagen, de uitnodiging zelf zolang het kantoor bestaat, als vastlegging van wie is toegelaten.
• Deellink: zolang de looptijd loopt die je zelf koos, en daarna de ingetrokken of verlopen link met zijn teller, zolang het kantoor bestaat.
• Verzendlog van e-mail (aan wie, en of het aankwam): zolang het kantoor bestaat.
• Aanvraag van een inloglink: 30 dagen, alleen om misbruik te kunnen zien.
• Financiële gegevens, waaronder de betalingen en de facturen: 7 jaar, wettelijke bewaarplicht.
• Bevestiging van beeldrechten: 7 jaar, als bewijs bij een geschil.
• Logboek van acties in het systeem: geen vaste termijn, met twee uitzonderingen die hierboven apart in deze lijst staan. Hieronder staat wat dat logboek is en waarom dat verschil er is.

Dat logboek verdient uitleg, want een lijst met bewaartermijnen die op één punt geen termijn noemt, hoort te zeggen waarom. Het legt vast wie wanneer wat in het systeem heeft gedaan: een woning aangemaakt, ruimtes bevestigd, een rondgang gestart, een woning verwijderd. Bijna elke regel erin bevat alleen verwijzingen, naar een account, naar een kantoor, naar een woning, en geen naam en geen e-mailadres. Samen zijn die regels onze administratie en ons dossier als er ooit een geschil komt. Van een woning die verwijderd is, is de regel in dit logboek bovendien de enige plek waar daarna nog staat wat er voor die woning gemaakt is en wat dat gekost heeft, en dat is precies wat een factuur of een geschil jaren later vraagt. Eén termijn over het logboek als geheel zou dat bewijs weggooien, terwijl deze lijst hierboven voor de financiële regels en de rechtenbevestiging een veel langere bewaarplicht noemt.

Twee soorten regels horen daar niet bij, en die ruimen we wel op. De aanvraag van een inloglink bestaat alleen om te kunnen zien of er te veel inloglinks achter elkaar worden aangevraagd. Je e-mailadres staat er niet leesbaar in, wel een reeks tekens die eruit is berekend; die reeks wijst nog steeds naar jou, en we behandelen hem daarom ook als een persoonsgegeven. Een aanvraag van een inloglink gaat na 30 dagen weg, want dan kan die regel de vraag waarvoor hij bestaat toch niet meer beantwoorden. De tweede uitzondering is het demoformulier: dat levert de enige regel in het logboek op met een naam, een kantoornaam en een leesbaar e-mailadres van iemand die nog geen klant is. Wat je in het demoformulier invult gaat 12 maanden na je aanvraag weg, of eerder als je daarom vraagt.

Deze termijnen zijn ons beleid. Het automatisch opruimen na afloop bouwen we mee met de verwerkingsdienst, die nog niet live is. Zolang die niet draait, verwerken we ook nog geen woningdossiers van klanten. Vraag je nu iets te verwijderen, dan doen we dat met de hand.

Een verwijderverzoek doen

Neem contact met ons op via de contactpagina om je persoonsgegevens te laten verwijderen. We verwijderen dan je naam, e-mailadres, IP-adres en browsergegevens uit de rechtenbevestiging, wissen wat je in het demoformulier hebt achtergelaten, en anonimiseren het logboek van acties. Staat er nog een uitnodiging voor je adres open, dan trekken we die in en halen we je adres uit ons verzendlog. Financiële regels die we wettelijk moeten bewaren, laten we staan met een verwijzing naar een verwijderde gebruiker, zodat onze administratie kloppend blijft.

Eén ding kunnen we niet per persoon wegnemen, en dat zeggen we liever vooraf dan achteraf. Heeft Clarity ooit een opname van jouw bezoek gemaakt, dan kan Microsoft die niet los verwijderen: volgens Microsofts eigen documentatie moet het hele project weg om de gegevens van één gebruiker te wissen. Dat kunnen we doen, maar het treft dan alle bezoekers tegelijk. Zolang de tagmanager niet is ingevuld, bestaat er trouwens nog geen enkele opname, want er is nog nooit iets naar Microsoft gegaan.