Wat we verzamelen, en waarom.

1. Wie is verantwoordelijk?

Verantwoordelijke in de zin van artikel 4 lid 7 AVG is:

• LexDesk, eenmanszaak naar Nederlands recht
• KvK-nummer: 42054633
• Vestigingsnummer: 000065580397
• Postadres: Oder 20, Box E9979, 2491DC 's-Gravenhage
• E-mail (KvK-geregistreerd): [email protected]
• E-mail privacy en algemene vragen: [email protected]
• Website: www.lexdesk.nl

Het bezoekadres is bij de Kamer van Koophandel afgeschermd op grond van artikel 51 Handelsregisterbesluit. Post bereikt ons via het bovenstaande postadres.

LexDesk is niet wettelijk verplicht een Functionaris voor Gegevensbescherming aan te stellen, omdat de kernactiviteit geen grootschalige verwerking van bijzondere persoonsgegevens of regelmatige stelselmatige observatie betreft. Voor alle privacy-vragen kun je rechtstreeks bij de eigenaar terecht via bovenstaand e-mailadres.

LexDesk is gevestigd in Nederland en daarmee binnen de Europese Unie. Een EU-vertegenwoordiger op grond van artikel 27 AVG is daarom niet vereist.

2. Welke gegevens verwerken we via deze website?

2.1 Wachtlijst-aanmelding

Als je je e-mailadres achterlaat in het wachtlijst-formulier op de homepage, slaan we het volgende op:

• je e-mailadres;
• het tijdstip van aanmelding;
• een gehasht IP-adres (HMAC-SHA256, niet herleidbaar tot het echte IP), voor anti-spam en rate-limiting;
• de browser-user-agent string, voor anti-spam.

Doel: je één e-mail sturen zodra LexDesk in besloten bèta gaat. Geen marketingmails, geen tussendoor-updates, geen verkoop of deling met derden.
Grondslag: jouw toestemming (art. 6 lid 1 sub a AVG).
Bewaartermijn: tot 30 dagen na de openbare release of tot je je uitschrijft, wat eerder is. Uitschrijven kan via de link onderaan de bevestigingsmail.

2.2 Anonieme statistieken (altijd aan)

We gebruiken Umami, een privacy-vriendelijke analytics-tool die we zelf hosten op insights.lexdesk.nl. Umami plaatst geen cookies, gebruikt geen browser-fingerprinting en verstuurt geen gegevens naar derden. We zien aggregatiegetallen zoals pagina's, browsers en geografische regio (op land-niveau). IP-adressen worden direct na ontvangst gehasht en niet bewaard.

Doel: begrijpen hoe de site gebruikt wordt om hem te kunnen verbeteren.
Grondslag: gerechtvaardigd belang in een werkende, meetbare website (art. 6 lid 1 sub f AVG). Hiervoor is geen toestemming vereist onder de AVG, omdat de verwerking niet identificeerbaar is.
Bewaartermijn: aggregatiegegevens 24 maanden, ruwe events 30 dagen.

2.3 Google Analytics 4 (alleen met toestemming)

Bij je eerste bezoek vragen we via een banner of we Google Analytics 4 mogen activeren. Dit gebruikt cookies en stuurt gegevens naar Google in de Verenigde Staten. We gebruiken Google Consent Mode v2, waardoor er bij standaard-stand niets persoonlijks naar Google gaat. Pas wanneer je op "Accepteren" klikt, schakelen we volledige tracking in.

Je keuze (geaccepteerd of geweigerd) wordt opgeslagen in localStorage onder de sleutel lexdesk_consent_v1. Wijzig je keuze.

Doel: verkeersbronnen, conversiepaden en campagne-effectiviteit van de marketingsite meten.
Grondslag: jouw expliciete toestemming (art. 6 lid 1 sub a AVG en artikel 11.7a Telecommunicatiewet).
Bewaartermijn: standaard 14 maanden in Google Analytics, daarna automatisch verwijderd.

2.4 Beveiliging, Cloudflare Turnstile

Het wachtlijst-formulier en eventuele andere formulieren op de site zijn beveiligd met Cloudflare Turnstile, een privacy-vriendelijk anti-bot-mechanisme. Turnstile gebruikt geen cookies en geen herkenbare fingerprinting; het stuurt anonieme signalen naar Cloudflare om bots te onderscheiden van mensen. Cloudflare verwerkt deze gegevens als verwerker namens ons.

Doel: spam en geautomatiseerd misbruik van formulieren tegengaan.
Grondslag: gerechtvaardigd belang in een veilige, werkende website (art. 6 lid 1 sub f AVG).
Bewaartermijn: conform Cloudflare's standaardtermijnen, doorgaans korte tot middellange termijn voor anti-abuse.

2.5 Serverlogs

Onze webserver legt automatisch beperkte technische gegevens vast bij elk verzoek aan lexdesk.nl:

• tijdstip, opgevraagde URL, HTTP-statuscode en responsgrootte;
• browser-user-agent en referrer;
• een gehasht IP-adres (HMAC-SHA256), nooit het ruwe IP.

Doel: foutopsporing, capaciteitsplanning en het detecteren van aanvallen.
Grondslag: gerechtvaardigd belang in een werkende, veilige dienst (art. 6 lid 1 sub f AVG).
Bewaartermijn: 30 dagen, daarna automatisch vernietigd. Beveiligingsincidenten kunnen langer worden bewaard zolang dat nodig is voor de afhandeling.

2.6 E-mail- en supportcorrespondentie

Wanneer je ons mailt op [email protected] of [email protected], of een bericht stuurt via een contactformulier op de website, slaan we je e-mailadres, naam (als je die meestuurt) en de inhoud van je bericht op om je vraag te kunnen beantwoorden.

Doel: jouw vraag beantwoorden en eventuele follow-up afhandelen.
Grondslag: gerechtvaardigd belang om vragen van bezoekers en geïnteresseerden te beantwoorden (art. 6 lid 1 sub f AVG), of jouw toestemming als je ons spontaan benadert (art. 6 lid 1 sub a AVG).
Bewaartermijn: 24 maanden na de laatste reactie, daarna verwijderd. Correspondentie met juridische of fiscale relevantie bewaren we conform de geldende wettelijke termijnen.

3. Cookies en lokale opslag

Een overzicht van wat we plaatsen in jouw browser bij een bezoek aan deze website:

Functionele cookies en lokale opslag zijn altijd actief omdat de site zonder die items niet correct werkt of omdat ze nodig zijn om jouw cookie-keuze te respecteren. Voor deze categorie is geen toestemming vereist op grond van artikel 11.7a lid 3 Telecommunicatiewet. Voor analytische cookies (Google Analytics) vragen we wel toestemming.

4. Wat we niet doen

• Geen advertentie-tracking, geen retargeting, geen pixels van Facebook, TikTok of vergelijkbaar.
• Geen verkoop van data aan derden, punt.
• Geen profilering of geautomatiseerde besluitvorming met rechtsgevolgen.
• Geen e-mail buiten wat je expliciet hebt aangevraagd.

5. Bijzondere en strafrechtelijke persoonsgegevens

We vragen, verzamelen of verwerken via deze website geen bijzondere categorieën van persoonsgegevens in de zin van artikel 9 AVG (zoals gegevens over gezondheid, etniciteit, religie of seksuele geaardheid) en geen strafrechtelijke gegevens in de zin van artikel 10 AVG. Stuur dergelijke gegevens dus ook niet ongevraagd mee in correspondentie.

6. Geautomatiseerde besluitvorming en profilering

We nemen geen besluiten over jou op basis van uitsluitend geautomatiseerde verwerking, en we doen niet aan profilering met juridische of vergelijkbaar wezenlijke gevolgen, in de zin van artikel 22 AVG.

7. Bron van gegevens

Het meeste verwerken we van jou rechtstreeks. In een paar gevallen ontvangen we gegevens van onze verwerkers, in de zin van artikel 14 AVG:

• Cloudflare Turnstile: een score die aangeeft of een verzoek waarschijnlijk van een mens of een bot komt.
• Google Analytics 4: aggregatie van je sitegebruik (alleen na jouw toestemming).
• Resend: aflever- en bounce-status van mails die we naar jou hebben gestuurd.

8. Verplichting tot verstrekking

Het verstrekken van gegevens aan deze website is volledig vrijwillig. Het invullen van het wachtlijst-formulier is geen wettelijke of contractuele verplichting; je kunt de site bezoeken en gebruiken zonder je e-mailadres af te geven. Het enige praktische gevolg van niet-verstrekken is dat we je dan niet kunnen mailen wanneer LexDesk in bèta gaat.

9. Verwerkers en doorgifte buiten de EU

De volgende partijen verwerken namens of voor ons gegevens. Met elke partij is een verwerkersovereenkomst gesloten of geldt een Data Processing Addendum.

Voor doorgifte naar de Verenigde Staten baseren we ons op de standaardcontractbepalingen van de Europese Commissie (Standard Contractual Clauses, Uitvoeringsbesluit 2021/914), aangevuld met technische en organisatorische maatregelen, en waar mogelijk op het EU-VS Data Privacy Framework.

10. Beveiliging

We nemen passende technische en organisatorische maatregelen om jouw gegevens te beschermen, waaronder:

• TLS op al het verkeer tussen jouw apparaat en onze servers, met moderne ciphers;
• versleuteling at-rest op database en backups;
• strikte Content Security Policy en Trusted Types op de website;
• least-privilege toegangsbeleid, met audit-logging op productie;
• periodieke kwetsbaarheidsscans en dependency-updates;
• Cloudflare als netwerklaag voor DDoS-mitigatie en WAF.

11. Datalekken

Als zich onverhoopt een datalek voordoet dat een risico oplevert voor jouw rechten en vrijheden, melden we dat binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, conform artikel 33 AVG. Als het lek een hoog risico oplevert, informeren we jou ook rechtstreeks per e-mail, voor zover we over je adres beschikken.

12. Jouw rechten onder de AVG

• Inzage (art. 15): weten welke gegevens we van je hebben.
• Rectificatie (art. 16): laten corrigeren als iets niet klopt.
• Verwijdering (art. 17, "recht op vergetelheid"): laten verwijderen.
• Beperking (art. 18): tijdelijke pauze op verwerking.
• Bezwaar (art. 21): tegen verwerking op basis van gerechtvaardigd belang.
• Dataportabiliteit (art. 20): je gegevens in een gangbaar formaat opvragen.
• Intrekken van toestemming (art. 7 lid 3): waar we toestemming als grondslag gebruiken (zoals voor GA4 en de wachtlijst), kun je die op elk moment intrekken.
• Klacht indienen bij de Autoriteit Persoonsgegevens.

Stuur een mail naar [email protected]. We reageren in beginsel binnen 30 dagen, en voor de zekerheid van jouw identiteit kunnen we om aanvullende verificatie vragen voordat we gevoelige gegevens delen.

13. Kinderen

LexDesk richt zich op rechtenstudenten en is niet bedoeld voor kinderen jonger dan 16 jaar. We verzamelen niet bewust gegevens van kinderen onder die leeftijd via de website. Als je vermoedt dat we toch gegevens van een minderjarige hebben verwerkt, laat het ons weten en we verwijderen ze.

14. Wijzigingen

Materiële wijzigingen aan deze verklaring kondigen we vooraf aan via e-mail (als we je e-mailadres hebben) en/of via een banner op deze pagina. De datum bovenaan toont altijd wanneer we voor het laatst hebben bijgewerkt. Een eerdere versie kun je opvragen via [email protected].