Privacyverklaring — BestPixel Portal
Versie 2026-07-22. Dit interne ontwikkelaarsportaal verwerkt persoonsgegevens conform de Algemene verordening gegevensbescherming (AVG/GDPR) en de Uitvoeringswet AVG.
1. Verwerkingsverantwoordelijke
BestPixel is de verwerkingsverantwoordelijke voor de in deze verklaring beschreven verwerkingen. Vragen over privacy of gegevensbescherming: [email protected].
2. Welke gegevens en met welk doel
| Categorie | Gegevens | Doel | Rechtsgrond |
|---|---|---|---|
| Account | naam, e-mailadres, rol, functietitel, wachtwoord (gehasht) | toegang tot en gebruik van het portaal | uitvoering van de (arbeids-/samenwerkings)overeenkomst |
| Beveiliging | 2FA-status, versleuteld TOTP-geheim, passkey-gegevens, inlogpogingen | beveiligen van accounts (2FA, passkeys, brute-force-preventie) | gerechtvaardigd belang (informatiebeveiliging) + wettelijke plicht (art. 32 AVG) |
| Logging | audit-log (handelingen, tijdstip, IP-adres, browser) | beveiliging, misbruikdetectie, verantwoording | gerechtvaardigd belang |
| Werkinhoud | tickets, bugs, kanban-kaarten, opmerkingen die je aanmaakt | het interne werkproces | uitvoering van de overeenkomst |
We verwerken niet meer gegevens dan nodig (dataminimalisatie) en gebruiken de gegevens niet voor marketing, profilering of geautomatiseerde besluitvorming.
3. Cookies
Het portaal plaatst uitsluitend één strikt noodzakelijke, functionele sessie-cookie
(bp_portal) om je ingelogde sessie te onthouden en CSRF-aanvallen te voorkomen. Hiervoor is
op grond van de ePrivacy-richtlijn en de Telecommunicatiewet geen toestemming vereist.
Er worden geen tracking-, analytics- of advertentiecookies geplaatst.
4. Bewaartermijnen
- Accountgegevens: zolang je account actief is; na deactivatie verwijderd of geanonimiseerd, tenzij een wettelijke bewaarplicht geldt.
- Audit-/beveiligingslogs: maximaal 12 maanden, daarna verwijderd.
- Inlogpogingen (brute-force): kortstondig, automatisch opgeschoond.
5. Ontvangers en doorgifte
Gegevens worden verwerkt binnen de portal-hosting (EU/EER). Er is geen doorgifte naar landen buiten de EER. We verkopen geen gegevens en delen ze niet met derden, behoudens verwerkers (hosting) op basis van een verwerkersovereenkomst of wanneer een wettelijke verplichting daartoe noopt.
6. Beveiliging
We nemen passende technische en organisatorische maatregelen (art. 32 AVG): versleutelde verbinding (TLS/HTTPS), HSTS, Content-Security-Policy, gehashte wachtwoorden (min. 10 tekens), versleutelde 2FA-geheimen, tweefactor- authenticatie en passkeys, sessie-hardening (fingerprint-binding, regeneratie), brute-force-throttling, CSRF-bescherming en een audit-log.
7. Jouw rechten
Je hebt recht op inzage, rectificatie, verwijdering, beperking, bezwaar en dataportabiliteit. In het portaal kun je zelf:
- je gegevens exporteren (JSON) via Beveiliging → Mijn gegevens;
- een verwijderverzoek indienen;
- je profiel bijwerken en 2FA/passkeys beheren.
Verzoeken kunnen ook via [email protected]. Je hebt tevens het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.
8. Datalekken
Bij een datalek handelen we conform art. 33/34 AVG: beoordeling, waar vereist melding bij de Autoriteit Persoonsgegevens binnen 72 uur, en informeren van betrokkenen bij hoog risico.
9. Wijzigingen
Deze verklaring kan worden bijgewerkt. De actuele versie staat altijd op deze pagina; het versienummer bovenaan geeft de laatste wijziging aan.
10. Verantwoorde openbaarmaking (security)
Beveiligingsproblemen melden? Zie /.well-known/security.txt of mail [email protected].