Privacyverklaring
DepotFlow — het operationele platform voor logistieke service partners
Verantwoordelijke: PrimeSelects (h.o.d.n. DepotFlow), KvK 94933898, BTW NL005118556B18, Zambezistroom 13, 2721 DC Zoetermeer · [email protected]
In het kort
- Wij verwerken jouw gegevens om DepotFlow te leveren: het aanvraagformulier, jouw account, jouw chauffeurs‑administratie en jouw facturatie.
- Wij delen alleen met partijen die nodig zijn voor de dienst (hosting, betaling, e‑mail) — zie §4 voor de volledige lijst.
- De meeste gegevens bewaren wij zo lang als de overeenkomst loopt; fiscaal‑relevante data bewaren wij 7 jaar (wettelijke plicht).
- Je hebt het recht op inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar — en je kunt klagen bij de Autoriteit Persoonsgegevens.
- Vragen of een verzoek? Mail [email protected] — wij reageren binnen 30 dagen.
1. Wie is verantwoordelijk?
DepotFlow is een handelsnaam van PrimeSelects, een eenmanszaak ingeschreven bij de Kamer van Koophandel onder nummer 94933898 (BTW NL005118556B18), gevestigd te Zambezistroom 13, 2721 DC Zoetermeer.
Voor vragen over deze privacyverklaring of over de verwerking van jouw persoonsgegevens kun je contact opnemen via [email protected].
2. Welke persoonsgegevens verwerken wij?
2.1 Marketing‑aanvraagformulier (depotflow.nl/aanvraag)
Wanneer je via het aanvraagformulier op onze marketingsite contact met ons opneemt, verwerken wij: bedrijfsnaam, KvK‑nummer, jouw naam, e‑mailadres, telefoonnummer, aantal chauffeurs (in een bereik), een eventueel bericht, jouw IP‑adres en de browser‑identificatie.
Grondslag: artikel 6 lid 1 onder b AVG (precontractuele uitvoering — wij hebben de gegevens nodig om je te kunnen terugbellen). Retentie: maximaal 90 dagen, daarna automatisch verwijderd.
2.2 SP‑account in het DepotFlow Portaal
Wanneer je service partner wordt en een account krijgt, verwerken wij: jouw e‑mailadres, naam, gehashte wachtwoord (bcrypt), bedrijfsgegevens (KvK, BTW, IBAN, adres), branding (logo, kleurstelling), audit‑log van mutaties, sessietokens met IP‑adres en globale locatie (land/stad/ASN) op basis van IP‑lookup voor beveiligingsdoeleinden, en eventuele foutmeldingen die het platform genereert.
Grondslag: artikel 6 lid 1 onder b AVG (uitvoering van de overeenkomst) en artikel 6 lid 1 onder f AVG (gerechtvaardigd belang voor beveiliging, fraudepreventie en incidentonderzoek).
2.3 Bezorgersgegevens — ZZP‑chauffeurs
Voor ZZP‑chauffeurs die door jou (de SP) zijn aangemeld in het Platform, verwerken wij: naam, adres, e‑mailadres, telefoonnummer, KvK‑nummer, BTW‑status, IBAN, rijbewijsgegevens (nummer, geldigheid, categorie, land), voertuiggegevens, contracten, KPI‑historie, beschikbaarheid, schade‑meldingen (inclusief foto en GPS‑locatie van het incident) en declaraties.
Wij verwerken voor ZZP‑chauffeurs geen BSN, geen identiteitsdocument en geen geboortedatum — dit is op platform‑niveau afgedwongen.
Grondslag: artikel 6 lid 1 onder b AVG (uitvoering van de overeenkomst tussen jou en je chauffeur, waarbij DepotFlow als verwerker namens jou optreedt) en artikel 6 lid 1 onder f AVG (gerechtvaardigd belang voor beveiliging).
2.4 Bezorgersgegevens — loondienst‑chauffeurs
Uitsluitend wanneer jij als SP de loondienst‑module hebt geactiveerd, verwerken wij voor loondienst‑chauffeurs aanvullend: geboortedatum, Burgerservicenummer (BSN), contract‑startdatum en de indicatie loonheffingskorting. Het BSN wordt versleuteld opgeslagen via envelope encryption met Google Cloud Key Management Service (zie §7).
Wij slaan geen kopie of scan van een identiteitsdocument op. De Wet identificatieplicht legt de identificatieverplichting bij jou als werkgever; jij bewaart die kopie zelf in jouw eigen administratie.
Grondslag: artikel 6 lid 1 onder c AVG (wettelijke verplichting van de SP onder de Wet op de loonbelasting 1964), met DepotFlow als verwerker namens de SP.
Grondslag specifiek voor BSN: artikel 87 UAVG (verwerking van nationale identificatienummers) juncto de Wet algemene bepalingen burgerservicenummer (Wabb), in het kader van de loonadministratie van de SP.
2.5 Telematica‑ en voertuiggegevens (gekoppelde voertuigen)
Uitsluitend wanneer jij als SP een voertuig actief koppelt aan het Platform, ontvangen wij periodiek de telematicagegevens van dat voertuig via de connected‑car dienst van de voertuigfabrikant: kilometerstand, locatie (GPS‑coördinaten), accu‑ of brandstofniveau, laadstatus, snelheid, rijstatus (rijdt/geparkeerd/laden) en technische voertuigdiagnostiek. Wij koppelen een voertuig alleen wanneer jij daartoe gerechtigd bent en, waar vereist, de bestuurder of eigenaar daarvoor toestemming heeft gegeven.
Wij gebruiken deze gegevens uitsluitend voor jouw eigen vlootoverzicht en kostenanalyse: het tonen van jouw voertuigen op kaart, een geschatte wekelijkse energie‑ of brandstofkost per voertuig (kilometerstand × verbruik × prijs) en de daaruit afgeleide marge per voertuig. Deze bedragen zijn altijd schattingen en wijzigen nooit een factuur, de btw of een reeds vastgestelde marge.
Omdat locatiegegevens betrekking kunnen hebben op de chauffeur die het voertuig bestuurt, kunnen deze gegevens persoonsgegevens van de chauffeur vormen. Als SP ben je ervoor verantwoordelijk de betrokken chauffeur hierover vooraf te informeren.
Grondslag: artikel 6 lid 1 onder f AVG (gerechtvaardigd belang van de SP bij vlootbeheer, kostenbeheersing en operationele sturing), waarbij DepotFlow als verwerker namens jou optreedt. Retentie: de actuele momentopname wordt bij elke update overschreven; de kilometerstand‑ en telemetrie‑historie die nodig is voor de wekelijkse berekening bewaren wij maximaal 90 dagen. Je kunt een voertuig op elk moment ontkoppelen, waarna de verzameling direct stopt.
3. Cookies en vergelijkbare technieken
Op de marketingsite (depotflow.nl) plaatsen wij uitsluitend functionele en beveiligingscookies — geen analytische of marketingcookies, en daarom geen toestemmingsbanner. In het ingelogde Portaal plaatsen wij een sessietoken om je ingelogd te houden. Voor de volledige lijst zie onze Cookieverklaring.
4. Subverwerkers
Voor de uitvoering van de dienst maken wij gebruik van de volgende subverwerkers:
| Subverwerker | Doel | Locatie |
|---|---|---|
| Hetzner Online GmbH | Hosting van het Platform (VPS in Nederland/Duitsland) | EU |
| Cloudflare, Inc. | DDoS‑bescherming, DNS, Tunnel en anti‑bot (Turnstile) | EU/VS (SCCs) |
| Mollie B.V. | SEPA‑incasso en betalingen | EU (NL) |
| Resend, Inc. | Verzending transactionele e‑mails (wachtwoord‑reset, factuur, contractnotificaties) | EU/VS (SCCs) |
| Google Cloud EMEA Limited (Cloud KMS) | Sleutelbeheer voor versleuteling van het Burgerservicenummer; alleen voor loondienst‑chauffeurs | EU (regio europe‑west4, datacenter Eemshaven NL) |
Wij informeren je minimaal 30 dagen vóór toevoeging of vervanging van een subverwerker. Je hebt het recht bezwaar te maken; bij gegrond bezwaar wordt de overeenkomst zonder kosten beëindigd.
5. Internationale doorgifte
Doorgifte van persoonsgegevens buiten de EER (Cloudflare en Resend hebben hoofdkantoor in de VS) vindt uitsluitend plaats op basis van Standard Contractual Clauses (SCCs) als bedoeld in Uitvoeringsbesluit (EU) 2021/914, met aanvullende technische en organisatorische maatregelen waar nodig.
6. Bewaartermijnen
| Gegevenscategorie | Bewaartermijn |
|---|---|
| Marketing‑aanvragen | 90 dagen (hard delete) |
| SP‑account + operationele bedrijfsdata | Looptijd overeenkomst + 60 dagen, tenzij wettelijke bewaarplicht |
| Fiscaal‑relevante bedrijfsdata (facturen, specs, KPI, contracten) | 7 jaar (artikel 52 lid 4 AWR) |
| Loonadministratie (BSN, loondienstcontracten) | 7 jaar na uitdiensttreding (artikel 52 lid 4 AWR) |
| Communicatie (transactionele e‑mails) | 2 jaar |
| Inloggegevens (sessies) | Periodiek opgeschoond na deactivering |
| Voertuig‑telemetrie (kilometerstand‑historie van gekoppelde voertuigen) | 90 dagen; actuele momentopname overschreven bij elke update |
7. Beveiliging
Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen:
- TLS 1.3 voor alle verbindingen (HTTPS afgedwongen)
- bcrypt‑hashing voor wachtwoorden
- JWT‑gebaseerde authenticatie met korte vervaltermijn (24 uur)
- Strikte multi‑tenancy:
depot_iduit de JWT, nooit uit de request body;safe_pathvalidatie voor alle bestandsoperaties - Envelope‑encryptie van het Burgerservicenummer (BSN): per loondienst‑chauffeur wordt een unieke data‑sleutel gegenereerd die het BSN versleutelt met AES‑256‑GCM. Die data‑sleutel wordt zelf versleuteld door een hoofdsleutel in Google Cloud Key Management Service (regio europe‑west4, Eemshaven NL). De hoofdsleutel verlaat KMS nooit en wordt jaarlijks automatisch geroteerd. Het servernetwerk waarop het Platform draait heeft géén toegang tot de hoofdsleutel; een ontsleuteling vereist een afzonderlijke API‑aanroep naar KMS die door Google onafhankelijk wordt geregistreerd.
- Audit‑log van iedere ontsleuteling van een BSN: per ontsleuteling wordt vastgelegd welke gebruiker, welk IP‑adres, welk land/stad, welke admin‑impersonatie (indien actief) en welke KMS‑sleutel‑versie betrokken was.
- Cloudflare Tunnel zonder publiek aanvalsoppervlak op de origin
- Audit‑log van iedere mutatie in het Platform
- Dagelijkse backups van bestandsopslag
8. Jouw rechten
Op grond van de AVG heb je het recht op:
- Inzage — een kopie van de persoonsgegevens die wij van jou verwerken
- Rectificatie — correctie van onjuiste gegevens
- Verwijdering — verwijdering van jouw gegevens (voor zover geen wettelijke bewaarplicht geldt)
- Beperking — tijdelijke stopzetting van de verwerking
- Overdraagbaarheid — een gestructureerde export van jouw gegevens (JSON/CSV)
- Bezwaar — tegen verwerking op basis van gerechtvaardigd belang
Om een van deze rechten uit te oefenen, mail je naar [email protected]. Wij verifiëren je identiteit en reageren binnen 30 dagen. Aan dit verzoek zijn geen kosten verbonden.
Je hebt daarnaast het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl) als je vindt dat wij niet correct met jouw gegevens omgaan.
9. Verwerkingsregister
Voor clickwrap‑acceptaties (algemene voorwaarden en verwerkersovereenkomst) houdt DepotFlow een sluitend logboek met IP‑adres, tijdstip, browser‑identificatie en versie van het geaccepteerde document. Voor overige verwerkingsactiviteiten houdt DepotFlow waar nodig een intern register conform artikel 30 AVG en stelt dit op verzoek beschikbaar aan de Autoriteit Persoonsgegevens.
10. Wijzigingen van deze privacyverklaring
Wij kunnen deze privacyverklaring eenzijdig aanpassen. Wezenlijke wijzigingen worden minimaal 30 dagen vóór ingangsdatum aangekondigd via een banner in het Platform en per e‑mail aan het contactadres van de SP. De actuele versie staat altijd op deze pagina, met onderaan het versienummer en de ingangsdatum.
11. Contact
Voor vragen, verzoeken of klachten:
PrimeSelects (h.o.d.n. DepotFlow)
Zambezistroom 13, 2721 DC Zoetermeer
KvK 94933898 · BTW NL005118556B18
[email protected]
12. Chrome‑extensie DepotFlow KPI Sync
De Chrome‑extensie DepotFlow KPI Sync haalt KPI‑gegevens van chauffeurs op uit het DHL Service Partner Portaal en synchroniseert deze met jouw DepotFlow‑account. De extensie verwerkt:
- Het DHL‑authenticatietoken — tijdelijk in de browser, maximaal 5 minuten geldig, nooit gedeeld met derden
- KPI‑gegevens van chauffeurs (PDA‑gebruik, tijdvakbelevering, klanttevredenheid)
- Chauffeursnaam en personeelsnummer (zoals beschikbaar in het DHL Portaal), voor koppeling aan jouw DepotFlow‑administratie
De extensie communiceert uitsluitend met servicepartner.dhlecommerce.nl (om de gegevens op te halen, met jouw eigen DHL‑inloggegevens) en met depotflow.app (om de gegevens in jouw account op te slaan). Verwijdering van de extensie wist alle lokaal opgeslagen gegevens; voor verwijdering van KPI‑data uit DepotFlow kun je contact opnemen via [email protected]. Voor het specifieke privacybeleid van de extensie zie depotflow.app/privacy‑extension.