Privacybeleid

1. Verwerkingsverantwoordelijke

Infragilis LLC is de verwerkingsverantwoordelijke voor uw persoonsgegevens die via Legati worden verwerkt. Voor vragen over uw gegevens kunt u contact opnemen met onze functionaris gegevensbescherming via dpo@legati.co.

↑ Top

2. Gegevens die wij verzamelen

Wij verzamelen de volgende persoonsgegevens wanneer u zich registreert en Legati gebruikt:

• Identiteitsgegevens: voornaam, achternaam, geboortedatum
• Contactgegevens: e-mailadres, telefoonnummer, postadres
• Accountgegevens: versleutelde wachtwoordhash, unieke versleutelingssleutel, gebruikerscode
• Gebruiksgegevens: inlogtijdstempels, IP-adressen (bewaard voor beveiliging)
• Bestandsmetadata: bestandsnamen, grootten, uploaddatums (bestandsinhoud is versleuteld en voor ons ontoegankelijk)

↑ Top

3. Doeleinden van verwerking

• Aanmaken en beheren van accounts (contractuele noodzaak)
• Verlenen van versleutelde bestandsopslagdiensten (contractuele noodzaak)
• Beveiligingsmonitoring en fraudepreventie (gerechtvaardigd belang)
• Communicatie over uw account en service-updates (gerechtvaardigd belang)

↑ Top

4. Rechtsgrondslag

• Uitvoering van de overeenkomst: verwerking die noodzakelijk is om de dienst te leveren waarop u zich heeft geabonneerd
• Gerechtvaardigd belang: beveiligingsmonitoring, inlogregistratie en serviceverbetering
• Toestemming: u stemt in met ons privacybeleid en onze algemene voorwaarden bij registratie

↑ Top

5. Cookies

Legati gebruikt uitsluitend strikt noodzakelijke sessiecookies voor authenticatie en CSRF-bescherming; deze zijn essentieel voor het functioneren van de dienst en kunnen niet worden geweigerd zonder toegang tot uw account te verliezen. Wij gebruiken geen trackingcookies. Analyse- en advertentietags (Google Analytics 4, Bing) worden alleen geladen nadat u onze toestemmingsbanner accepteert en worden onderdrukt als u Global Privacy Control (GPC) in uw browser instelt (Sec-GPC: 1) of toestemming weigert. Weigeren heeft nooit invloed op de kernfunctionaliteit.

↑ Top

6. Gegevensbewaartermijn

Uw accountgegevens worden bewaard zolang uw account actief is. Bezoekerslogboeken worden automatisch na 90 dagen gewist. Inloggeschiedenis bewaart alleen de 5 meest recente vermeldingen. Wanneer u uw account verwijdert, worden alle persoonsgegevens, bestanden en gerelateerde records permanent gewist.

↑ Top

7. Gegevenslocatie

Wij zetten ons in om uw gegevens binnen uw regio te bewaren. Gegevens van gebruikers in de Europese Economische Ruimte (EER) worden uitsluitend opgeslagen in Europese datacenters en worden in de normale gang van zaken niet buiten de EER overgedragen. Wanneer een verdere doorgifte aan een verwerker in een derde land nodig is (bijvoorbeeld een betalings- of support-subverwerker), vertrouwen wij op passende waarborgen, waaronder de standaardcontractbepalingen (SCC) van de Europese Commissie en toepasselijke adequaatheidsbesluiten. Gegevens van gebruikers in de Verenigde Staten worden opgeslagen in Amerikaanse datacenters. Wij voldoen aan alle toepasselijke lokale wetgeving inzake gegevenslocatie om ervoor te zorgen dat uw gegevens binnen het rechtsgebied blijven waar ze zijn ontstaan.

↑ Top

8. Delen met derden

Wij verkopen, verhuren of delen uw persoonsgegevens niet voor advertentiedoeleinden. Versleutelde bestandsbundels worden opgeslagen op beveiligde infrastructuur maar vóór upload versleuteld. Betalingsverwerking voor website-aankopen verloopt via Stripe. In-app aankopen worden verwerkt via Apple App Store of Google Play onder hun respectieve platformvoorwaarden en privacybeleiden.

↑ Top

9. Uw rechten (AVG)

Onder de AVG heeft u de volgende rechten:

• Recht op inzage: vraag een kopie van uw persoonsgegevens aan (gebruik "Mijn gegevens exporteren" in uw profiel)
• Recht op rectificatie: werk uw persoonlijke informatie bij in uw profiel op elk moment
• Recht op vergetelheid: verwijder uw account en alle bijbehorende gegevens permanent
• Recht op overdraagbaarheid: exporteer uw gegevens in machineleesbaar JSON-formaat
• Recht van bezwaar: neem contact op met onze functionaris gegevensbescherming om bezwaar te maken tegen specifieke verwerkingen
• Recht om een klacht in te dienen: u kunt een klacht indienen bij uw lokale gegevensbeschermingsautoriteit

↑ Top

10. Versleutelde back-ups

Bestandsbundels die naar beveiligde opslag worden geüpload, worden vóór overdracht versleuteld met uw persoonlijke versleutelingssleutel. Deze bundels bevatten geen persoonlijk identificeerbare informatie in hun bestandsnamen. Wanneer u uw account verwijdert, wissen wij de gekoppelde versleutelde bundels en archiefrecords, behalve waar wij beperkte gegevens moeten bewaren om wettelijke, fiscale, fraude-preventie- of beveiligingsredenen.

↑ Top

11. Functionaris gegevensbescherming

U kunt contact opnemen met onze functionaris gegevensbescherming voor vragen of verzoeken met betrekking tot uw persoonsgegevens: dpo@legati.co of gebruik ons AVG-contactformulier op /contact/dpo. Wij reageren binnen 30 dagen.

↑ Top

13. Californische privacyrechten (CCPA/CPRA)

Als u inwoner bent van Californië, biedt de California Consumer Privacy Act (CCPA), zoals gewijzigd door de California Privacy Rights Act (CPRA), u aanvullende rechten met betrekking tot uw persoonlijke informatie.

Categorieën van verzamelde persoonlijke informatie

• Identificatiegegevens: naam, e-mailadres, telefoonnummer, postadres, gebruikerscode
• Accountinformatie: versleutelde wachtwoordhash, versleutelingssleutel, geboortedatum
• Commerciële informatie: abonnementsplan, betalingsgeschiedenis (via Stripe)
• Internet-/elektronische activiteit: inlogtijdstempels, IP-adressen, browser- en apparaatinformatie
• Bestandsmetadata: bestandsnamen, grootten, uploaddatums (bestandsinhoud is versleuteld en voor ons ontoegankelijk)

Zakelijke doeleinden voor verzameling

• Leveren en onderhouden van de versleutelde bestandsopslagdienst
• Aanmaken van accounts, authenticatie en beveiligingsmonitoring
• Verwerken van betalingen en beheren van abonnementen

Geen verkoop of deling van persoonlijke informatie

Legati verkoopt, verhuurt of deelt uw persoonlijke informatie niet met derden voor cross-context gedragsadvertenties of enig ander doel. Analyse- en advertentietags worden alleen na uw toestemming geladen en worden onderdrukt wanneer uw browser het Global Privacy Control-signaal (GPC) (Sec-GPC: 1) verzendt. Wij hebben in de afgelopen 12 maanden geen persoonlijke informatie verkocht.

Uw Californische consumentenrechten

• Recht op informatie: u kunt verzoeken dat wij de categorieën en specifieke stukken persoonlijke informatie onthullen die wij over u hebben verzameld.
• Recht op verwijdering: u kunt verzoeken dat wij de persoonlijke informatie verwijderen die wij van u hebben verzameld. U kunt ook uw account rechtstreeks vanuit uw profiel verwijderen.
• Recht op correctie: u kunt verzoeken dat wij onjuiste persoonlijke informatie corrigeren. U kunt ook uw profiel rechtstreeks bijwerken.
• Recht op opt-out van verkoop: niet van toepassing — Legati verkoopt uw persoonlijke informatie niet. U kunt ook Global Privacy Control (GPC) in uw browser instellen; wij respecteren dit als een mondiale opt-out.
• Recht op non-discriminatie: wij zullen u niet discrimineren voor het uitoefenen van uw CCPA-rechten.

Hoe een verzoek in te dienen

Om uw Californische privacyrechten uit te oefenen, dient u een verzoek in via ons CCPA-verzoekformulier of gebruik onze contactpagina. U kunt ook een gemachtigde agent aanwijzen om een verzoek namens u in te dienen.

Verificatie en reactietermijn

Wij verifiëren uw identiteit voordat wij uw verzoek verwerken door de informatie die u verstrekt te vergelijken met onze gegevens. Wij reageren binnen 45 kalenderdagen op verifieerbare consumentenverzoeken. Als wij meer tijd nodig hebben, stellen wij u op de hoogte van de verlenging en de reden.

↑ Top

14. Gezondheidsinformatie privacy (HIPAA)

Legati is ontworpen om te voldoen aan de beveiligingsvereisten van de Health Insurance Portability and Accountability Act (HIPAA). Hoewel Legati een algemene versleutelde bestandsopslagdienst is, kunnen gebruikers die beschermde gezondheidsinformatie (PHI) opslaan vertrouwen op de volgende waarborgen.

Technische waarborgen

• AES-256-CBC-versleuteling: alle bestanden worden versleuteld in rust met unieke versleutelingssleutels per gebruiker
• Toegangscontrole: wachtwoordbeveiligde accounts met optionele tweefactorauthenticatie (SMS of hardwarebeveiligingssleutel)
• Auditcontrole: inloggeschiedenis bijgehouden met IP-adressen en tijdstempels
• Transmissiebeveiliging: alle gegevens worden verzonden via TLS/SSL-versleutelde verbindingen
• Integriteitscontrole: bestanden worden geverifieerd tijdens upload en download om ongeautoriseerde wijziging te voorkomen

Beschermde gezondheidsinformatie

Legati opent, bekijkt of verwerkt de inhoud van uw versleutelde bestanden niet. Bestandsinhoud wordt versleuteld met uw persoonlijke versleutelingssleutel vóór opslag, waardoor deze ontoegankelijk is voor personeel en systemen van Legati. Alleen bestandsmetadata (naam, grootte, uploaddatum) is zichtbaar voor het systeem.

Uw HIPAA-rechten

• Recht op toegang: u kunt uw bestanden downloaden en uw accountgegevens op elk moment exporteren vanuit uw profiel.
• Recht op wijziging: u kunt uw persoonlijke informatie bijwerken via uw profielinstellingen.
• Recht op beperking: u kunt beperkingen aanvragen op het gebruik van uw informatie door contact met ons op te nemen.
• Recht op overzicht van openbaarmakingen: u kunt een overzicht aanvragen van openbaarmakingen van uw informatie.
• Recht op melding van datalek: u wordt binnen 60 dagen op de hoogte gesteld als er een datalek plaatsvindt dat uw gegevens betreft.

Hoe een HIPAA-verzoek in te dienen

Om uw HIPAA-rechten uit te oefenen, dient u een verzoek in via ons HIPAA-verzoekformulier of gebruik onze contactpagina. Wij reageren binnen 30 dagen op verzoeken.

Melding datalek

In geval van een datalek dat beschermde gezondheidsinformatie betreft, zal Legati getroffen personen binnen 60 dagen op de hoogte stellen, zoals vereist door de HIPAA Breach Notification Rule. Melding wordt verzonden per e-mail en, waar van toepassing, per aangetekende post.

↑ Top

15. Wijzigingen in dit beleid

Wij kunnen dit privacybeleid van tijd tot tijd bijwerken. Wijzigingen worden op deze pagina gepubliceerd met een bijgewerkte herzieningsdatum. Voortgezet gebruik van Legati na wijzigingen vormt aanvaarding van het herziene beleid.

↑ Top

Nalevingsstatus

Op toestemming gebaseerde advertenties zijn volledig actief: analyse- en advertentietags (Google Analytics 4, Bing) worden alleen na acceptatie geladen en worden onderdrukt door Global Privacy Control (GPC) of weigering. Grensoverschrijdende doorgiften buiten de EER worden gedekt door standaardcontractbepalingen en toepasselijke adequaatheidsbesluiten.

Resterende punten: Twee nalevingspunten zijn nog in behandeling en worden hierboven nog niet weerspiegeld: (1) het voltooien van de volledige verwijdering van betalingsgerelateerde records (payment_errors, payment_refunds) bij het verwijderen van het account, en (2) de documentatie van het SCC-/doorgiftemechanisme (DPA) met subverwerkers. Ze worden gevolgd in onze openbare nalevingsbacklog en worden uit deze noot verwijderd zodra ze zijn voltooid.

↑ Top