Privacyverklaring

Laatst bijgewerkt: augustus 2026

Klimaatlog (handelsnaam van Klimaatregie, Lauwers 9, 9405 BL Assen, KvK 71085890) levert administratiesoftware voor installatiebedrijven. Wij gaan zorgvuldig om met persoonsgegevens en verwerken niet meer dan nodig.

Welke gegevens we verwerken

• Aanmeldformulier: bedrijfsnaam, KvK-nummer, plaats, naam contactpersoon, e-mailadres, telefoonnummer, aantal te beheren installaties en (optioneel) een certificaatnummer. Doel: je aanmelding beoordelen, contact opnemen en je omgeving inrichten. Grondslag: uitvoering van de (aanstaande) overeenkomst.
• Contact per e-mail: de gegevens die je zelf meestuurt. Doel: je vraag beantwoorden.
• Technische logbestanden van de webserver (IP-adres, tijdstip, opgevraagde pagina). Doel: beveiliging en misbruikbestrijding. Grondslag: gerechtvaardigd belang.
• Spam- en misbruikpreventie bij aanmeldingen en hulpvragen. Om herhaald of geautomatiseerd misbruik te herkennen bewaren we bij een aanmelding of hulpvraag een versleutelde (gehashte) verwijzing naar je IP-adres, niet het IP-adres zelf. Doel: fraude- en spampreventie. Grondslag: gerechtvaardigd belang. Bewaartermijn: gelijk aan de aanmelding of hulpvraag (zie hieronder).

Wat we niet doen

• Geen advertentiecookies, geen profielen, geen doorverkoop van gegevens.
• Geen verkoop of deling van gegevens met derden voor commerciële doeleinden.
• Alleen functionele cookies die nodig zijn om ingelogd te blijven.

Waar je gegevens staan

Je administratie staat op servers binnen de Europese Unie: de server staat in Duitsland, de back-uplocatie staat in Duitsland en de mailverzending loopt via een Nederlandse partij. De betaalverwerking loopt via een Nederlandse partij. Eén dienst die wij inschakelen is gevestigd buiten de EU, en die noemen we met naam: Cloudflare, voor het verkeer naar en de beveiliging van de website. Cloudflare kan verkeersgegevens buiten de EU verwerken. Dat gebeurt onder de standaardcontractbepalingen van de Europese Commissie en, waar van toepassing, het EU-VS-privacyraamwerk (DPF).

Hoe je gegevens beveiligd zijn

Hieronder staat wat er feitelijk is ingericht. Wij noemen bewust ook wat het niet doet: een beveiligingsbelofte die alleen de mooie helft vertelt is geen belofte.

• Versleuteld onderweg. Al het verkeer loopt over TLS 1.3, met TLS 1.2 als terugval voor oudere telefoons. Zonder versleuteling is de site niet bereikbaar.
• Versleutelde back-ups. De nachtelijke kopie die de server verlaat is versleuteld met AES-256-GCM, in blokken met elk een eigen controlelabel, zodat er ook niet ongemerkt aan gesleuteld kan worden. Wie zo'n bestand in handen krijgt, ziet er niets in. De sleutel ligt bij ons en niet bij de opslagleverancier. De administratie op de server zelf is niet versleuteld: de software moet ermee kunnen werken.
• Logboek dat alleen aangroeit. Elke inlog, elke klanttoegang en elke wijziging wordt vastgelegd in een logboek waar alleen aan toegevoegd wordt. Elke regel draagt een controlegetal over zijn eigen inhoud plus dat van de vorige regel, dus een regel wijzigen of weghalen breekt de keten zichtbaar. Dat beschermt tegen sleutelen achteraf in een teruggezette back-up of via bestandstoegang; iemand die de server zelf overneemt kan de keten wel opnieuw berekenen.
• Gescheiden omgevingen. Elk bedrijf heeft een eigen omgeving met een eigen adres, eigen inloggegevens en een eigen gegevensmap, buiten de webmap. Klanten zitten niet bij elkaar in één database.
• IP-adressen gehasht. Bij aanmeldingen en hulpvragen bewaren we een onomkeerbare verwijzing naar het IP-adres, niet het adres zelf.

Cookies en volgtechnieken

Op deze website vragen wij toestemming voor bezoekstatistiek. In het portaal waar je werkt gebeurt dat niet. Concreet:

• Bezoekstatistiek na toestemming. Op onze website (klimaatlog.nl en de kennisbank) gebruiken wij Google Analytics 4 om te zien welke pagina's gelezen worden. Dat script laadt pas nadat je op Accepteren hebt geklikt, en nooit eerder. Weiger je, dan wordt er niets geladen en niets geplaatst. Je keuze staat in je eigen browser en is onderaan elke pagina te wijzigen.
• Wat Google Analytics verwerkt: welke pagina's je bekijkt, hoe lang, via welke bron je binnenkwam, en een verkort IP-adres. Wij hebben advertentiesignalen en advertentiepersonalisatie uitgezet. Google Ireland Limited is verwerker; er kan doorgifte naar de Verenigde Staten plaatsvinden op basis van het EU-VS Data Privacy Framework en standaardcontractbepalingen. Grondslag: jouw toestemming (artikel 6 lid 1 sub a AVG). Bewaartermijn bij Google: 14 maanden.
• Het portaal is uitgezonderd. In de omgeving waar jij en je monteurs werken zit geen enkele meting: geen Analytics, geen script van derden. De gegevens van jouw klanten komen daar dus nooit in terecht.
• Geen advertenties. Geen Tag Manager, geen Facebook-pixel, geen advertentienetwerken en geen externe lettertypen.
• Functionele opslag. De website onthoudt in je eigen browser of je de lichte of donkere weergave koos. Die voorkeur verlaat je apparaat niet.
• Inlogcookie. In het portaal en het beheerpaneel gebruiken we één cookie om je ingelogd te houden. Die is strikt noodzakelijk en wordt verwijderd als je uitlogt.

Voor beide categorieën geldt de uitzondering van artikel 11.7a lid 3 van de Telecommunicatiewet: er is geen toestemming vereist. Een cookiebanner zou hier alleen maar suggereren dat er iets te kiezen valt.

Bewaartermijnen

• Aanmeldingen die niet tot een overeenkomst leiden: maximaal 6 maanden. Aanmeldingen die wél tot een overeenkomst leiden: 30 dagen na het aanmaken van je omgeving; daarna staan je gegevens alleen nog in je eigen omgeving en in onze licentie-administratie.
• Hulpvragen: een afgehandelde hulpvraag bewaren we maximaal 6 maanden na sluiting. Een openstaande hulpvraag blijft staan tot hij is afgehandeld.
• Klantgegevens: zolang de overeenkomst loopt. Na opzegging kun je al je gegevens exporteren; daarna wordt de omgeving verwijderd. Wettelijke bewaarplichten (zoals de fiscale bewaarplicht en de bewaartermijnen uit de f-gassenregelgeving) rusten op jou als ondernemer; de export stelt je in staat daaraan te voldoen.

Jouw rechten

Je hebt recht op inzage, correctie, verwijdering en overdracht van je persoonsgegevens, en je kunt bezwaar maken tegen verwerking. Mail daarvoor naar service@klimaatlog.nl. Niet tevreden met de afhandeling? Je kunt een klacht indienen bij de Autoriteit Persoonsgegevens.

Verwerkers

Met elke partij die wij inschakelen sluiten we een verwerkersovereenkomst. Waar een partij buiten de EU verwerkt, gebeurt dat op basis van de standaardcontractbepalingen van de Europese Commissie en, waar van toepassing, het EU-VS-privacyraamwerk (DPF). Ben je zelf klant, dan sluit jij een verwerkersovereenkomst met ons: zie de verwerkersovereenkomst.

• Hosting en back-upopslag: Hetzner Online, Duitsland.
• E-mailverzending: Cloud86, Nederland.
• Betalingen en incasso: Mollie, Nederland.
• Verkeer en beveiliging van de website: Cloudflare, Verenigde Staten.
• Bezoekstatistiek website: Google Ireland Limited, Ierland (alleen na toestemming; niet in het portaal).

De inhoud van je administratie — klanten, installaties, werkbonnen — staat op de server in Duitsland en in de back-up in Duitsland. Wat wel langs een partij buiten de EU gaat: het verkeer naar de website en het portaal loopt via Cloudflare. Op de website komt daar Google Analytics bij, maar alleen als je daar toestemming voor geeft.

Wijzigingen

Bij wijzigingen van deze verklaring passen we de datum bovenaan aan. Wezenlijke wijzigingen melden we aan klanten per e-mail.