Dossalis › Privacy
Privacybeleid
Laatst bijgewerkt: 20 september 2026
Welke gegevens we verwerken, op welke rechtsgrond, hoe lang en wie ze nog meer te zien krijgt. Geen overgeschreven standaardclausules: alleen wat er bij Dossalis echt gebeurt.
Opgesteld om te voldoen aan Verordening (EU) 2016/679 (de AVG) en aan de Spaanse Ley Orgánica 3/2018 (de Spaanse wet op de gegevensbescherming), en zo geschreven dat u het in één keer begrijpt.
1. Twee verschillende rollen, en die haalt u beter niet door elkaar
Dossalis verwerkt gegevens in twee situaties die de wet uit elkaar houdt, en waarvoor we op een verschillende manier verantwoordelijk zijn:
- Als verwerkingsverantwoordelijke, voor uw gegevens als u deze website bezoekt, de test doet of informatie vraagt, en voor de gegevens van uw account in het dashboard: de aanmelding, de personen die inloggen en het overzicht van de logins. Daar beslissen wij wat er met die gegevens gebeurt, en dit beleid is erop van toepassing.
- Als verwerker, voor de gegevens die een klant in zijn dashboard invoert: contactgegevens van zijn leveranciers, de medewerkers die de controles uitvoeren. Die gegevens blijven van het klantbedrijf: wij verwerken ze alleen in zijn opdracht en volgens zijn instructies, op grond van de verwerkersovereenkomst van artikel 28 van de Verordening, die deel uitmaakt van de voorwaarden en wordt aanvaard bij het aanmaken van de account. Bent u medewerker of leverancier van een van onze klanten en wilt u een recht uitoefenen, dan moet u zich tot dat bedrijf richten, niet tot ons; wij staan het bedrijf daarbij bij.
2. Wie uw gegevens verwerkt
| Verwerkingsverantwoordelijke | Oscar Escanez Abad |
|---|---|
| Fiscaal nummer (NIF) | 23302634T |
| Maatschappelijke zetel | Calle Trece de Septiembre, n.º 10, 1.º, 30310 Cartagena (Murcia), España |
| E-mail voor privacyvragen | info@dossalis.com |
We zijn niet verplicht een functionaris voor gegevensbescherming aan te stellen. Verandert dat, dan publiceren we hier diens contactgegevens.
3. Wat we precies verwerken
| Wat | Waarvoor | Rechtsgrond | Hoe lang |
|---|---|---|---|
| Naam, e-mailadres, telefoonnummer als u dat opgeeft, bedrijf en activiteit | Uw vraag of aanvraag beantwoorden | Uw toestemming bij het verzenden van het formulier | 1 jaar na het laatste contact |
| Antwoorden op de test en e-mailadres | U het resultaat sturen en, als u dat aanvinkt, de wekelijkse e-mail | Uw toestemming, die u met één klik kunt intrekken | Tot u ze intrekt; maximaal 2 jaar zonder interactie |
| Account: naam van de vestiging, e-mailadres, activiteit, regio en of u importeert | U inschrijven en de dienst leveren, gratis of betaald | Uitvoering van de overeenkomst | Zolang de account openstaat. Een aanmelding die niemand bevestigt, wordt na 7 dagen gewist; een gesloten account na 30 dagen; een gratis account waarop 24 maanden niemand inlogt, wordt gesloten na een waarschuwing per e-mail 30 dagen vooraf |
| Personen die inloggen op het dashboard: e-mailadres, naam als die wordt opgegeven, toegangsrecht en datum van de laatste login | Ervoor zorgen dat iedereen een eigen toegang heeft en dat die kan worden ingetrokken | Uitvoering van de overeenkomst | Zolang de persoon toegang heeft; wordt gewist samen met de account |
| Als u inlogt met Google: de identificatiecode die Google aan uw account toekent, uw geverifieerde e-mailadres en uw naam | Inloggen zonder wachtwoord | Uitvoering van de overeenkomst, op uw verzoek wanneer u op „Inloggen met Google” klikt | Zolang de account openstaat |
| Gegevens over uw bedrijf, producten, leveranciers, controles en bewijsstukken | De dienst leveren (hier treden we op als verwerker van de klant) | Uitvoering van de overeenkomst | Zolang de account openstaat; na het sluiten nog 30 dagen, daarna worden ze gewist. Met „Alles downloaden” neemt u ze vooraf mee |
| Verificatiebewijzen: naam van de vestiging, datum, soort document en vingerafdruk (hash) van het document | Wie een verificatiebewijs ontvangt, kan het met de bijbehorende code op de website controleren | Uitvoering van de overeenkomst, op verzoek van de klant die het bewijs uitgeeft | Zolang de account openstaat. De controlepagina toont alleen die vier gegevens, en alleen aan wie de code heeft |
| Activiteitenlogboek: wat er is gedaan, wanneer en vanaf welk netwerk (ingekort) | Beveiliging, en kunnen aantonen wat er wanneer is gecontroleerd | Gerechtvaardigd belang bij de beveiliging en de bewijskracht van de dienst | Wordt als keten bewaard, omdat het wissen van één regel het bewijs van alle andere zou breken. Het bevat niet de inhoud van het dossier, en na het wissen van de account is het niet langer gekoppeld aan namen of e-mailadressen |
| Facturatie | Voldoen aan fiscale en boekhoudkundige verplichtingen | Wettelijke verplichting | 6 jaar (art. 30 van het Spaanse Wetboek van Koophandel, Código de Comercio) |
| Technische gegevens van de verzending: netwerk van herkomst, datum en tijd, browser | Spam en misbruik van de formulieren tegengaan | Gerechtvaardigd belang bij een dienst die blijft draaien | Worden automatisch geroteerd en gewist |
| Back-ups | De dienst herstellen als de server uitvalt | Gerechtvaardigd belang en de beveiligingsverplichting van artikel 32 | 60 dagen. Wat gewist is, verdwijnt binnen die termijn uit de back-ups; gewiste bewijsstukken de volgende dag |
Een detail dat bijna niemand vermeldt, maar wij wel: van uw IP-adres bewaren we niet het volledige adres. Het wordt ingekort tot het netwerk voordat het wordt opgeslagen (de eerste drie groepen bij IPv4), omdat dat volstaat om een bot van een klant te onderscheiden en we zo geen gegeven bewaren dat u identificeert.
4. Wat we niet doen
- We volgen u niet. Deze website plaatst geen enkele cookie, gebruikt geen lokale opslag en bevat geen analysetools: geen Google Analytics, geen advertentiepixels, geen knoppen van sociale netwerken. Het dashboard gebruikt alleen de technische cookies die nodig zijn om uw sessie open te houden en de cookie die de gekozen taal onthoudt; ze staan allemaal in het cookiebeleid.
- We laden niets van buitenaf. Lettertypen en afbeeldingen komen van onze eigen server, dus deze website openen leidt niet tot één enkel verzoek aan een ander domein. Uw IP-adres gaat hier niet weg.
- We verkopen uw gegevens niet en geven ze aan niemand door, ook niet in geaggregeerde vorm.
- Geen profilering en geen geautomatiseerde besluiten met rechtsgevolgen. De test en het dashboard berekenen een resultaat op basis van wat u invoert; dat is indicatief en kent niets toe of weigert niets.
- We sturen geen ongevraagde e-mails en voeren geen verkoopgesprekken per telefoon. We schrijven alleen wie ons daarom heeft gevraagd, en elke commerciële e-mail bevat een link om u af te melden. De e-mails van het dashboard (links om in te loggen, vervalmeldingen en regelgevingsnieuws bij de betaalde plannen) horen bij de dienst en gaan alleen naar wie een account heeft.
5. Met wie we gegevens delen, en waarom
Alleen met wie nodig is om de dienst te laten werken:
- Hosting van de website en het dashboard, binnen de Europese Economische Ruimte, als onze verwerker.
- Uitgaande e-mail, binnen de Europese Economische Ruimte, als onze verwerker, om u de links om in te loggen, de meldingen, het testresultaat en de wekelijkse e-mail te sturen.
- Betaalplatform (Stripe), alleen als u overstapt naar een betaald plan: het verwerkt de kaartgegevens rechtstreeks, wij krijgen ze nooit te zien, en het doet dat als verwerkingsverantwoordelijke volgens zijn eigen privacybeleid, dat ook zijn waarborgen voor doorgiften buiten de Europese Economische Ruimte bevat.
- Google, alleen als u kiest voor „Inloggen met Google”: Google identificeert u op zijn eigen pagina en stuurt ons uw identificatiecode, uw geverifieerde e-mailadres en uw naam terug. Wat er op die pagina gebeurt, valt onder het beleid van Google. Klikt u niet op die knop, dan vertelt het dashboard Google niets: zelfs het logo wordt niet van de servers van Google geladen.
Als we ooit van leverancier veranderen of er een toevoegen, wordt deze lijst eerst bijgewerkt.
6. Gezondheidsgegevens: wat het dashboard niet bewaart
Dossalis documenteert producten en leveranciers, geen patiënten. Het dashboard heeft geen patiëntendossier, geen veld voor een diagnose en geen medische voorgeschiedenis, en is niet ontworpen om gezondheidsgegevens te verwerken. Een klachtregistratie noteert dat er een incident was met een bepaalde referentie en een bepaald lot, niet bij wie het product werd gebruikt.
We vragen u dat zo te houden: schrijf geen gezondheidsgegevens of gegevens waarmee een patiënt te identificeren is in de vrije tekstvelden. Komen ze er toch in terecht, dan blijven ze de verantwoordelijkheid van het klantbedrijf en verwerken wij ze als verwerker met dezelfde geheimhoudingsplicht — maar het verstandigste is dat ze er nooit in komen.
7. Beveiliging: wat we doen en wat nog niet
Wat we vandaag doen: de verbinding is versleuteld (HTTPS); de gegevens van de formulieren worden buiten de openbare map van de server bewaard, waar een browser niet bij kan; de website gebruikt beveiligingsheaders die verhinderen dat code van een ander domein wordt uitgevoerd of dat de website in een vreemde pagina wordt ingesloten; er gelden limieten per adres en een algemene rem, zodat niemand het formulier kan overspoelen of platleggen; de dossiers die het dashboard aanmaakt, worden verzegeld met hun SHA-256-vingerafdruk en hun datum, zodat een latere wijziging kan worden opgespoord.
In het dashboard: geen wachtwoorden voor klanten (u logt in met Google of met een eenmalige link die na vijftien minuten vervalt); verplichte tweede factor voor beheerdersaccounts; iedere persoon met een eigen toegang, die de accounthouder meteen kan intrekken; bescherming tegen vervalste verzoeken op alle formulieren; een activiteitenlogboek dat via SHA-256-vingerafdrukken aan elkaar is geketend; een dagelijkse back-up van de database en de bewijsstukken, die bij het maken wordt gecontroleerd.
Wat nog niet: we hebben geen ISO 27001-certificering of een vergelijkbaar keurmerk, en we gaan niet beweren dat we die hebben zolang dat niet zo is. De back-ups staan nog op dezelfde server en worden niet afzonderlijk versleuteld; zodra ze naar een andere plek gaan, vermelden we dat hier, met de datum.
8. Uw rechten
U kunt ons op elk moment en kosteloos vragen om inzage in uw gegevens, om ze te corrigeren of te wissen, om de verwerking te beperken, om bezwaar te maken tegen de verwerking en om een kopie te krijgen in een formaat dat u kunt meenemen. Hebt u een account, dan liggen twee van die rechten binnen één klik in het dashboard, onder „Mijn plan”: Alles downloaden (een volledige kopie in een ZIP-bestand) en Mijn account sluiten (wordt na 30 dagen gewist). U kunt ook een gegeven toestemming intrekken, zonder dat dat gevolgen heeft voor wat eerder is gebeurd.
Schrijf naar info@dossalis.com en vermeld welk recht u wilt uitoefenen. We antwoorden binnen maximaal één maand. Krijgt u geen antwoord, of overtuigt het antwoord u niet, dan kunt u een klacht indienen bij de Agencia Española de Protección de Datos, de Spaanse gegevensbeschermingsautoriteit (aepd.es), kosteloos en zonder advocaat. Woont u in een ander land van de Europese Unie, dan kunt u ook een klacht indienen bij de gegevensbeschermingsautoriteit van uw land (in België: de Gegevensbeschermingsautoriteit).
9. Minderjarigen en wijzigingen
De dienst is bedoeld voor bedrijven en professionals. Hij is niet bedoeld voor personen jonger dan veertien jaar en we verzamelen niet bewust gegevens van personen van die leeftijd.
Wijzigen we iets wezenlijks, dan laten we het u per e-mail weten voordat het ingaat. De datum bovenaan geeft altijd de geldende versie aan.