Privacybeleid

De verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens in de zin van de Algemene verordening gegevensbescherming (AVG) is:

Dominic Stilma
Friedhofsweg 10, 49843 Uelsen, Duitsland
E-mail: contact@headpat.space

We werken als kleine onderneming (Kleinunternehmer) volgens § 19 UStG. Er bestaat geen wettelijke verplichting om een functionaris voor gegevensbescherming aan te stellen.

We verwerken persoonsgegevens uitsluitend op basis van de AVG, de Duitse federale wet inzake gegevensbescherming (BDSG) en de Duitse wet inzake gegevensbescherming bij telecommunicatie en digitale diensten (TDDDG). Persoonsgegevens zijn alle gegevens over een geïdentificeerde of identificeerbare natuurlijke persoon.

Hieronder leggen we uit welke gegevens we verwerken, voor welke doeleinden, op welke rechtsgrondslag, hoe lang we ze bewaren en welke rechten je hebt.

Voor eigen projecten van Headpat Space, zoals apps, geldt aanvullend een eigen privacybeleid. Je vindt het bij het betreffende project onder Projecten.

Serverlogbestanden. Wanneer je onze website bezoekt, worden automatisch de volgende gegevens vastgelegd: IP-adres, datum en tijd, opgevraagde URL, referrer, browser en besturingssysteem, HTTP-statuscode.

Rechtsgrondslag: art. 6 lid 1 sub f AVG. Ons gerechtvaardigd belang ligt in het veilige beheer van de website en het detecteren en afweren van aanvallen. Logbestanden worden na uiterlijk 14 dagen verwijderd of geanonimiseerd.

Contactformulier en e-mail. Wanneer je contact met ons opneemt, verwerken we je naam, e-mailadres, het onderwerp, de inhoud van je bericht, het gekozen thema en, als je die opgeeft, je klantnummer. Om misbruik tegen te gaan slaan we ook het IP-adres en de browsergegevens van de verzending op. Hetzelfde geldt voor het formulier om misbruik te melden, waarbij we de gegevens van je melding verwerken. Rechtsgrondslag: art. 6 lid 1 sub b AVG (precontractuele maatregelen) of art. 6 lid 1 sub f AVG bij algemene vragen en misbruikmeldingen. Bewaartermijn: de opgeslagen kopie van het bericht wordt uiterlijk na 90 dagen verwijderd.

Opzegformulier. Als je een overeenkomst opzegt via ons opzegformulier, verwerken we je naam, e-mailadres, de betreffende dienst, je klantnummer als je die opgeeft, de gewenste einddatum en je reden, plus het IP-adres en de browsergegevens van de verzending. Dat doen we om je opzegging te bevestigen en te kunnen aantonen wanneer die is ontvangen. Rechtsgrondslag: art. 6 lid 1 sub b en c AVG (§ 312k BGB). Bewaartermijn: als onderdeel van de contractgegevens (zie bewaartermijnen).

Nieuwsbrief / e-mailaanmelding. Als je je aanmeldt voor onze nieuwsbrief, verwerken we je e-mailadres om je de berichten te sturen. De aanmelding verloopt via een double-opt-in-procedure. Als bewijs van je toestemming slaan we het IP-adres, het tijdstip en de user-agent van de double-opt-in-bevestiging op (art. 7 lid 1 AVG). Rechtsgrondslag: art. 6 lid 1 sub a AVG. Je kunt je toestemming op elk moment intrekken via de afmeldlink in de nieuwsbrief.

Botbescherming (Cloudflare Turnstile). Op contact-, nieuwsbrief-, status- en opzegformulieren en bij het inloggen, registreren, wachtwoord opnieuw instellen en toegankelijkheidsfeedback in het klantportaal gebruiken we Cloudflare Turnstile om mensen van bots te onderscheiden. Daarbij worden je IP-adres en technische signalen doorgegeven aan Cloudflare, Inc. (VS). Cloudflare is gecertificeerd onder het EU-US Data Privacy Framework. Rechtsgrondslag: art. 6 lid 1 sub f AVG (voorkomen van spam en misbruik).

Klantaccount. Om onze diensten te gebruiken maken we een klantaccount voor je aan. We verwerken je naam, adres, e-mailadres en eventuele andere benodigde contactgegevens. Rechtsgrondslag: art. 6 lid 1 sub b AVG (uitvoering van een overeenkomst).

Domeinregistratiegegevens. Om namens jou een domein te registreren, geven we je gegevens (met name naam, adres, e-mailadres) door aan onze registrar Openprovider B.V. en aan de betreffende domeinregistry (bijv. DENIC eG voor .de-domeinen). Deze gegevens worden opgenomen in de databases van de registry en, waar van toepassing, in WHOIS-registers. De omvang, zichtbaarheid en bewaartermijn van deze gegevens worden bepaald door het beleid van elke registry en door ICANN-regels voor generieke TLD's.

Rechtsgrondslag: art. 6 lid 1 sub b AVG (uitvoering van een overeenkomst) en art. 6 lid 1 sub c AVG (wettelijke verplichting tegenover registries).

DNS-gegevens. Via onze nameservers (ns1.hpatdns.de, ns2.hpatdns.de) verwerken we de DNS-records die je voor je domein instelt. Door de aard van DNS zijn deze gegevens openbaar opvraagbaar. Rechtsgrondslag: art. 6 lid 1 sub b AVG.

Panelaccount. Voor je account in ons klantenpanel verwerken we je naam, e-mailadres, authenticatiegegevens en activiteits- en auditlogs. Rechtsgrondslag: art. 6 lid 1 sub b AVG.

Levering en beheer van de afgenomen diensten. We verwerken de gegevens die nodig zijn voor de levering en het beheer van de door jou afgenomen diensten: virtuele machines, containers, PaaS-apps (bijv. WordPress, databases), gameservers (beheerd via de gameserver-panelsoftware van de Aanbieder) en e-maildiensten. E-maildiensten worden geleverd op Microsoft 365-infrastructuur; ontvanger van de daarvoor benodigde gegevens is Microsoft Ireland Operations Ltd. (alleen bij e-mailklanten). Rechtsgrondslag: art. 6 lid 1 sub b AVG.

Inhoudsgegevens. Inhoud die je op de afgenomen diensten opslaat (bestanden, databases, back-ups, savegames), wordt verwerkt op infrastructuur die wij beheren. Back-ups worden opgeslagen op S3-compatibele opslag die wij beheren. Voor persoonsgegevens die je binnen je diensten verwerkt, blijf je zelf verantwoordelijk.

Meldingen. Account- en dienstmeldingen versturen we via mailinfrastructuur die wij beheren.

Bewaartermijn. Accountgegevens bewaren we voor de duur van de overeenkomst plus wettelijke bewaartermijnen. Inhoudsgegevens worden binnen 30 dagen na beëindiging van de dienst verwijderd.

Betalingen via Stripe. Betalingen voor al onze diensten worden verwerkt door Stripe Payments Europe Ltd, 1 Grand Canal Street Lower, Dublin, Ierland. Betaalgegevens (bijv. kaartgegevens) worden rechtstreeks aan Stripe doorgegeven en niet door ons opgeslagen. Stripe treedt voor betaalgegevens op als zelfstandige verwerkingsverantwoordelijke. Voor zover gegevens worden doorgegeven aan het moederbedrijf Stripe, Inc. in de VS, is dit gewaarborgd door EU-standaardcontractbepalingen dan wel het EU-US Data Privacy Framework. Rechtsgrondslag: art. 6 lid 1 sub b AVG. Privacyverklaring van Stripe.

Facturatie. Om te voldoen aan fiscale en handelsrechtelijke verplichtingen verwerken we je factuurgegevens. Rechtsgrondslag: art. 6 lid 1 sub c AVG juncto § 147 van het Duitse belastingwetboek (AO). Bewaartermijn: 10 jaar.

Jouw keuze. De cookiebanner onderscheidt de categorieën "Analytics", "Advertenties", "Foutdiagnose" en "Externe inhoud". Tot je toestemming geeft voor een categorie is alleen strikt noodzakelijke opslag actief. Je keuze geldt voor headpat.space en voor ons klantenpaneel op panel.headpat.space.

Strikt noodzakelijke cookies. We gebruiken cookies die nodig zijn voor de werking van de website (bijv. sessiebeheer). Je toestemmingskeuze wordt opgeslagen in de cookie "hp_consent", die geldt voor headpat.space en panel.headpat.space zodat beide dezelfde keuze gebruiken; de cookie verloopt na 12 maanden. Rechtsgrondslag: § 25 lid 2 nr. 2 TDDDG juncto art. 6 lid 1 sub f AVG.

Google Analytics. We gebruiken Google Analytics, een webanalysedienst van Google Ireland Ltd, Gordon House, Barrow Street, Dublin 4, Ierland ("Google"). Google Analytics gebruikt cookies waarmee een statistische analyse van je gebruik van de website mogelijk is. De door de cookie gegenereerde informatie wordt doorgaans doorgestuurd naar een server van Google LLC in de Verenigde Staten en daar opgeslagen. IP-anonimisering is ingeschakeld, zodat je IP-adres door Google binnen de EU/EER wordt ingekort voordat het wordt doorgestuurd.

De rechtsgrondslag voor het gebruik van cookies en de analyse daarmee is uitsluitend je toestemming volgens art. 6 lid 1 sub a AVG juncto § 25 lid 1 TDDDG. Google Analytics wordt bij elk bezoek geladen in de toestemmingsmodus van Google (Consent Mode), waarbij analyse-opslag standaard is geweigerd: zolang je geen toestemming hebt gegeven, plaatst en leest Google Analytics geen cookies en stuurt het alleen cookieloze signalen naar Google (zoals de bekeken pagina, het tijdstip, het browsertype en je ingekorte IP-adres), die Google gebruikt voor samengevoegde statistieken. Je kunt je toestemming op elk moment met werking voor de toekomst intrekken, bijvoorbeeld via de cookie-instellingen op onze website; Google Analytics werkt daarna weer zonder cookies.

Meting in het klantenpaneel. Met dezelfde keuze registreert Google Analytics in ons klantenpaneel wanneer een account wordt aangemaakt en wanneer een bestelling is betaald (bedrag, valuta en een bestelkenmerk). Namen, e-mailadressen en de inhoud van je diensten worden daarbij niet naar Google gestuurd.

Google Ads. We adverteren via Google Ads, een dienst van Google Ireland Ltd. Als je toestemming geeft voor de categorie "Advertenties", plaatst Google cookies (zoals _gcl_au en _gcl_aw) waarmee we zien of een bezoek via een van onze advertenties tot een registratie of aankoop leidde (conversiemeting). We gebruiken geen gepersonaliseerde advertenties en geen remarketing. De rechtsgrondslag is je toestemming volgens art. 6 lid 1 sub a AVG juncto § 25 lid 1 TDDDG. Zonder je toestemming worden geen advertentiecookies geplaatst; Google ontvangt dan alleen cookieloze signalen en schat conversies in samengevoegde vorm. Je kunt je toestemming op elk moment met werking voor de toekomst intrekken via de cookie-instellingen.

Doorgifte naar een derde land. De doorgifte van gegevens naar de Verenigde Staten is gebaseerd op het EU-US Data Privacy Framework (adequaatheidsbesluit van de Europese Commissie van 10 juli 2023), voor zover Google LLC onder het Framework gecertificeerd is, en aanvullend op standaardcontractbepalingen volgens art. 46 lid 2 sub c AVG. Privacyverklaring van Google.

Wij kunnen onderaan onze pagina's een beoordelingsvak van Trustpilot tonen. Aanbieder is Trustpilot A/S, Kopenhagen, Denemarken ("Trustpilot"). Het vak en het script erachter worden pas vanaf de servers van Trustpilot geladen nadat je via onze cookiebanner toestemming hebt gegeven voor de categorie "Externe inhoud". Tot die tijd wordt er geen verbinding met Trustpilot gemaakt.

Bij het laden stuurt je browser technische gegevens zoals je IP-adres, het browsertype en de bezochte pagina naar Trustpilot, en Trustpilot kan cookies plaatsen of uitlezen zoals beschreven in zijn privacyverklaring. De rechtsgrondslag is je toestemming op grond van art. 6 lid 1 sub a AVG in combinatie met § 25 lid 1 TDDDG. Je kunt je toestemming op elk moment met werking voor de toekomst intrekken, bijvoorbeeld via de cookie-instellingen op onze website. Privacyverklaring van Trustpilot.

Voor foutdiagnose en performancemonitoring draaien we een zelf gehoste Sentry-instantie op infrastructuur die wij beheren. Er worden geen gegevens doorgegeven aan Sentry Inc. of aan een derde land.

Dit omvat ook session replay: alle tekstinhoud wordt gemaskeerd en media worden geblokkeerd voordat gegevens worden verzonden - alleen interactie-metadata bereikt onze server. We verwerken technische foutcontext, een ingekort dan wel anonimiseerbaar IP-adres en browser en besturingssysteem.

Het browsergedeelte, inclusief session replay, start pas nadat je in onze cookiebanner toestemming hebt gegeven voor de categorie "Foutdiagnose" (art. 6 lid 1 sub a AVG in combinatie met § 25 lid 1 TDDDG). Foutmeldingen aan de serverzijde, waarbij niets op je apparaat wordt opgeslagen, berusten op art. 6 lid 1 sub f AVG (stabiel en veilig beheer van onze diensten). Bewaartermijn: 90 dagen.

We verstrekken je persoonsgegevens alleen aan de volgende categorieën ontvangers. Met onze verwerkers hebben we verwerkersovereenkomsten volgens art. 28 AVG gesloten:

• -Openprovider B.V., Hoogoorddreef 60, 1101 BE Amsterdam, Nederland (domeinregistrar)
• -DENIC eG, Theodor-Stern-Kai 1, 60596 Frankfurt am Main, Duitsland (registry voor .de-domeinen)
• -Overige domeinregistry's afhankelijk van de gekozen TLD (bijv. Verisign voor .com / .net, EURid voor .eu)
• -Stripe Payments Europe Ltd, 1 Grand Canal Street Lower, Dublin, Ierland (betalingsverwerking voor alle diensten)
• -Microsoft Ireland Operations Ltd, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ierland (e-maildiensten op Microsoft 365-infrastructuur, alleen bij e-mailklanten)
• -Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, VS (botbescherming Turnstile)
• -GitHub, Inc., 88 Colin P Kelly Jr St, San Francisco, CA 94107, VS (alleen als je een repository koppelt voor deployments)
• -Google Ireland Ltd, Gordon House, Barrow Street, Dublin 4, Ierland (webanalyse en advertentiemeting)
• -Trustpilot A/S, Kopenhagen, Denemarken (beoordelingsvak, alleen na je toestemming)
• -Jan Smyrek (PawHost), Gerichtstr. 15, 58540 Meinerzhagen, Duitsland (serverinfrastructuur en netwerk; de diensten draaien wij daar zelf op)
• -Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Duitsland (secundaire nameserver)
• -Belastingadviseurs en overheidsinstanties voor zover wettelijk vereist

Voor zover persoonsgegevens buiten de EU/EER worden doorgegeven - met name naar de Verenigde Staten in het kader van Google Analytics, Google Ads, Cloudflare Turnstile, GitHub en, waar van toepassing, Stripe - gebeurt dit op basis van het EU-US Data Privacy Framework en/of standaardcontractbepalingen volgens art. 46 lid 2 sub c AVG. Passende waarborgen voor je gegevens zijn daarmee gegarandeerd.

We bewaren persoonsgegevens alleen zolang dat nodig is voor de betreffende doeleinden of zolang wettelijke bewaarplichten gelden:

• -Serverlogbestanden: max. 14 dagen
• -Contactberichten en misbruikmeldingen: de opgeslagen kopie wordt uiterlijk na 90 dagen verwijderd
• -Nieuwsbriefgegevens: tot je je toestemming intrekt
• -Klantaccount en contractgegevens: voor de duur van de zakelijke relatie plus wettelijke bewaartermijnen
• -Inhoudsgegevens van afgenomen diensten: verwijdering binnen 30 dagen na beëindiging van de dienst
• -Foutdiagnosegegevens (Sentry): 90 dagen
• -Opzegverzoeken: als onderdeel van de contractgegevens
• -Activiteitenlogboeken van je account: 365 dagen
• -Fout- en systeemlogboeken: 180 dagen
• -Verlopen inlogsessies: verwijderd 90 dagen na verloop
• -Factuurgegevens: 10 jaar volgens § 147 AO
• -Domeinregistratiegegevens: volgens de vereisten van de betreffende registry

Geautomatiseerde besluitvorming gebruiken we alleen in de volgende gevallen:

• -Automatische opschorting van een dienst bij een mislukte verlengingsbetaling; we informeren je daarna en de opschorting vervalt zodra de betaling slaagt
• -Automatische verwijdering van diensten aan het einde van een opgezegde contractperiode
• -Automatische markering van ongebruikelijke terugbetalings- of herroepingspatronen ter voorkoming van fraude

Gemarkeerde gevallen worden door een mens beoordeeld voordat een besluit met rechtsgevolgen wordt genomen. Je kunt elk besluit altijd aanvechten via contact@headpat.space. Rechtsgrondslagen: art. 6 lid 1 sub b en f AVG.

Je hebt de volgende rechten met betrekking tot je persoonsgegevens:

• -Recht op inzage (art. 15 AVG)
• -Recht op rectificatie (art. 16 AVG)
• -Recht op gegevenswissing (art. 17 AVG)
• -Recht op beperking van de verwerking (art. 18 AVG)
• -Recht op overdraagbaarheid van gegevens (art. 20 AVG)
• -Recht van bezwaar (art. 21 AVG)
• -Recht om toestemming in te trekken met werking voor de toekomst (art. 7 lid 3 AVG)
• -Recht om een klacht in te dienen bij een toezichthoudende autoriteit (art. 77 AVG)

Om deze rechten uit te oefenen volstaat een informeel bericht aan contact@headpat.space.

Bevoegde toezichthoudende autoriteit: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, Duitsland - poststelle@lfd.niedersachsen.de

We treffen technische en organisatorische maatregelen om je gegevens te beschermen tegen ongeoorloofde toegang, verlies, wijziging of manipulatie. Alle overdrachten worden versleuteld via TLS. Onze servers staan hoofdzakelijk in datacenters binnen de Europese Unie. Kies je bij het bestellen van een dienst uitdrukkelijk een locatie buiten de EU, dan worden de inhoudsgegevens van die dienst in de gekozen regio verwerkt.

We behouden ons het recht voor dit privacybeleid aan te passen wanneer dat nodig is door nieuwe wettelijke vereisten of wijzigingen in onze diensten. De actuele versie is altijd op deze pagina beschikbaar.