Privacybeleid
Laatst bijgewerkt: 14 oktober 2026
Artikel 1 - Algemeen
1.1 Dit privacybeleid beschrijft hoe KARTIS omgaat met persoonsgegevens van bezoekers van de website en klanten van de dienst.
1.2 Voor persoonsgegevens van websitebezoekers en contactverzoeken is KARTIS verwerkingsverantwoordelijke. Bij een onderzoeksopdracht kan KARTIS, afhankelijk van de opdracht, als verwerker handelen volgens de gedocumenteerde instructies van de opdrachtgever.
1.3 KARTIS respecteert de privacy van alle betrokkenen en draagt er zorg voor dat persoonsgegevens vertrouwelijk en conform de toepasselijke wet- en regelgeving worden verwerkt.
Artikel 2 - Verzameling van persoonsgegevens
2.1 Via het contactformulier op de website worden naam, e-mailadres, organisatie en uw bericht verwerkt ten behoeve van beantwoording van uw vraag of aanvraag voor een scopegesprek.
2.2 KARTIS verwerkt daarnaast persoonsgegevens die u actief verstrekt in het kader van een onderzoeksopdracht of toegang tot de onderzoeksomgeving:
- E-mailadres: vereist voor authenticatie via inloglinks en transactionele berichten.
- Naam: voor identificatie binnen de opdracht en onderzoeksomgeving.
- Organisatie: om aan te geven namens welke opdrachtgever u handelt.
- Opdrachtgegevens: scope, looptijd, status en leveringsgegevens van uw onderzoeksopdracht.
2.3 Voor persoonlijke accounts gebruikt KARTIS tijdelijke inloglinks die per e-mail worden verstuurd. Voor afzonderlijk afgeschermde pagina’s kan een andere toegangsbeveiliging gelden.
Artikel 3 - Gebruik van persoonsgegevens en rechtsgrondslagen
3.1 KARTIS verwerkt persoonsgegevens uitsluitend voor de volgende doeleinden:
- Uitvoering van de overeenkomst (AVG artikel 6(1)(b)): beantwoording van contactverzoeken, totstandkoming en uitvoering van onderzoeksopdrachten, authenticatie en toegang tot geleverde rapporten via de onderzoeksomgeving.
- Wettelijke verplichtingen (AVG artikel 6(1)(c)): het bewaren van administratieve en financiële gegevens conform fiscale wetgeving.
- Gerechtvaardigd belang (AVG artikel 6(1)(f)): gepseudonimiseerde logging van gebruik voor servicekwaliteit en misbruikpreventie (zie artikel 5) en het meten van bezorg-, open- en klikpercentages van transactionele e-mails ter verbetering van de communicatie.
3.2 Bijzondere categorieën van persoonsgegevens (artikel 9 AVG), zoals gegevens waaruit een politieke, religieuze of levensbeschouwelijke overtuiging zou kunnen blijken, vormen geen zelfstandig doel van het onderzoek van KARTIS. Ook het vastleggen van een functie of relatie kan zulke informatie impliceren. Als verwerking daarvan in een concreet geval noodzakelijk aan de orde is beoordeelt en documenteert KARTIS vooraf of naast een grondslag uit artikel 6 AVG een zelfstandige wettelijke uitzondering van artikel 9 lid 2 AVG geldt. Zonder die basis verwerkt of deelt KARTIS de betreffende gegevens niet. Voor strafrechtelijke persoonsgegevens geldt afzonderlijk artikel 10 AVG; ook daarvoor is een specifieke wettelijke basis en passende waarborg vereist.
Artikel 4 - Derden en verwerkers
4.1 KARTIS toetst per actieve gegevensroute welke leverancier wordt gebruikt, welke gegevenscategorie daarbij past en welke afspraken en waarborgen nodig zijn. Waar artikel 28 AVG van toepassing is, zijn passende afspraken per relatie vereist.
4.2 KARTIS gebruikt de volgende diensten voor de genoemde functies. Welke diensten opdrachtinformatie verwerken, hangt af van de opdracht en de afgesproken verwerking. De tabel noemt per dienst de contractpartij, de locatie van opslag of verwerking en de doorgiftegrond. De Perplexity-vermelding is beoordeeld op 14 oktober 2026. De overige leveranciersgegevens hebben peildatum 5 oktober 2026.
| Categorie | Dienst en contractpartij | Functie en locatie | Doorgiftegrond |
|---|---|---|---|
| Database, accounts en objectopslag | Supabase Supabase Pte. Ltd., Singapore | Database, authenticatie en private opslag. Locatie: EU West (eu-west-1), Ierland | Standard Contractual Clauses |
| Hosting en services | Railway Railway Corporation, Verenigde Staten | Webapplicatie en gedeployde ondersteunende diensten. Locatie: EU West, Amsterdam (Nederland) | Standard Contractual Clauses (getekende verwerkersovereenkomst) |
| E-mailverzending | Resend Plus Five Five, Inc., Verenigde Staten | Inloglinks, ontvangstbevestigingen en systeemberichten. Locatie: Verenigde Staten | EU-VS Data Privacy Framework en Standard Contractual Clauses |
| Domeinbeheer en webverkeer | Cloudflare Cloudflare, Inc., Verenigde Staten | DNS-resolutie, domeinbeheer en afhandeling van webverkeer. Locatie: wereldwijd netwerk | EU-VS Data Privacy Framework en Standard Contractual Clauses |
| AI-ondersteuning | Anthropic en OpenAI Anthropic Ireland, Limited en OpenAI Ireland Ltd, Ierland | AI-functies in daarvoor ingerichte werkstromen. Locatie: contractpartij in de EER, verwerking mede buiten de EER | Standard Contractual Clauses voor verdere doorgifte |
| AI-ondersteuning en bronverkenning | Perplexity Perplexity AI, Inc., Verenigde Staten | Zoeken en verkennen van openbare bronnen en, in daarvoor ingerichte werkstromen, inhoudelijke beoordeling van vooraf geschoond en voor deze verwerking vrijgegeven onderzoeksbewijs. De verwerkingslocatie en eventuele modelleveranciers hangen af van de gebruikte dienst en worden per gegevensroute beoordeeld. | Standard Contractual Clauses volgens de toepasselijke Data Processing Addendum. De toepasselijkheid op de gebruikte dienst en de feitelijke doorgifte wordt vooraf geverifieerd. |
| Documenten en gesprekken | Google Workspace, Drive en Meet Google, Verenigde Staten (Google LLC) | Documenten, e-mail, gesprekken en eventuele opnamen binnen een opdracht. Locatie: wereldwijde Google-infrastructuur | EU-VS Data Privacy Framework en Standard Contractual Clauses (Cloud Data Processing Addendum) |
| Code en geautomatiseerde taken | GitHub en GitHub Actions GitHub, Inc., Verenigde Staten | Privérepository, ontwikkelwerk en geautomatiseerde taken. Locatie: Verenigde Staten | EU-VS Data Privacy Framework en Standard Contractual Clauses |
| Werk- en besluitregistratie | Linear Linear Orbit, Inc., Verenigde Staten | Interne werkregistratie en besluiten. Locatie: Verenigde Staten | Standard Contractual Clauses |
4.3 Een vestiging, verwerking of mogelijke toegang buiten de Europese Economische Ruimte kan een internationale doorgifte opleveren, ook wanneer primaire opslag in een EU-datacenter plaatsvindt. KARTIS verifieert daarom per verwerker de feitelijke gegevensroute, de toepasselijke doorgiftegrond en de benodigde aanvullende maatregelen.
De doorgiftegrond per dienst staat in de tabel bij 4.2. De waarborgen houden het volgende in:
- EU-VS Data Privacy Framework: uitsluitend als de betreffende organisatie en dienst aantoonbaar binnen een geldige certificering vallen.
- Standard Contractual Clauses (SCC's): waar passend volgens Commissiebesluit (EU) 2021/914 en aangevuld met een beoordeling van de doorgifte.
- Verwerkersovereenkomst: voor zover artikel 28 AVG op de betreffende relatie van toepassing is.
- Technische en organisatorische maatregelen: afgestemd op de feitelijke route en het risico.
De afspraken over gegevenslocatie, toegang, bewaring en eventuele internationale doorgifte worden afgestemd op de gebruikte dienst en de opdracht.
4.4 KARTIS deelt geen persoonsgegevens met derden voor marketing- of commerciële doeleinden.
Artikel 5 - Gebruiksregistratie
5.1 KARTIS registreert gebruiks- en beveiligingsgegevens voor beheer, servicekwaliteit, misbruikpreventie en incidentafhandeling. Op publieke pagina’s omvat dit onder meer bezochte pagina’s, gemeten interacties, verwijzende website, campagnekenmerken en het type browser en apparaat. Een dagelijks wisselende sessiecode wordt afgeleid van het IP-adres en de browserkenmerken.
5.2 Waar identificerende gegevens voor analyse niet nodig zijn, past KARTIS dataminimalisatie en passende technische maatregelen toe. Pseudonimisering blijft persoonsgegevensbescherming en maakt gegevens niet automatisch anoniem.
5.3 Voor publieke gebruiksregistratie geldt een beleidsmaximum van 90 dagen. Toegangs-, audit- en beveiligingslogs hebben volgens het vastgestelde beleid een bewaartermijn van maximaal 12 maanden. Een voor een incident relevante set kan gericht langer worden bewaard wanneer dat noodzakelijk is.
Artikel 5a - Feitenarchief (bronnen.kartis.nl)
5a.1 KARTIS onderhoudt een feitenarchief van publiek beschikbare bronnen op bronnen.kartis.nl. Dit archief vormt het bewijsmateriaal achter de feitendossiers van KARTIS en bestaat uit gearchiveerde kopieën van overheidspublicaties (jaarverslagen, Staatscourant, Tweede Kamer-stukken), publieke registers (ABD, ANBI, KvK) en publieke profielen (zoals LinkedIn voor functionarissen in een publieke rol).
5a.2 Rechtsgrondslag: gerechtvaardigd belang (AVG artikel 6(1)(f)). KARTIS heeft een gerechtvaardigd belang bij verifieerbare bronarchivering ten behoeve van feitenonderzoek voor democratische controle, lobby, journalistiek en juridische procedures. Een balanceringstoets (LIA) wordt onderhouden waarin de proportionaliteit en noodzakelijkheid per broncategorie is vastgelegd. Als de verwerking bijzondere categorieën van persoonsgegevens omvat geldt daarnaast de afzonderlijke toets en uitzondering uit artikel 3.2 van dit privacybeleid.
5a.3 Beperking tot publieke rol: alleen informatie over personen in een publieke functie wordt gearchiveerd. Geen privé-adressen, BSN, telefoonnummers of niet-publieke contactgegevens.
5a.4 Bewaartermijn: inhoudelijke snapshots worden volgens het vastgestelde beleid maximaal 12 maanden na eindoplevering of stopzetting bewaard. Daarna blijven alleen noodzakelijke gegevens voor herleidbaarheid behouden, zoals URL, datum, hash en bronclassificatie. Een kortere contractuele, wettelijke of doelgebonden termijn gaat voor.
5a.5 Toegang: toegang tot niet-publieke bronarchieven wordt beperkt op basis van de opdracht en de vereiste rol. KARTIS beoordeelt toegang en logging per gegevensroute.
5a.6 Verwijderingsverzoek: betrokkenen kunnen een verzoek indienen via contact@kartis.nl. KARTIS beoordeelt het verzoek volgens de AVG, de rol van KARTIS en eventuele toepasselijke bewaarplicht of gerichte legal hold.
Artikel 6 - Beveiliging van persoonsgegevens
6.1 KARTIS richt de informatiebeveiliging in met technische en organisatorische maatregelen die passen bij de gegevens, de opdracht en het risico.
- Beperking van toegang op basis van taak en rol.
- Bescherming van gegevens tijdens transport en opslag.
- Beoordeling van invoer, logging en technische wijzigingen als onderdeel van het beheer.
- Beperking van toegang tot productiegegevens tot technisch noodzakelijke handelingen.
6.2 Een gegevenslocatie of leveranciersvestiging op zichzelf bewijst niet de volledige verwerkingsketen. KARTIS toetst daarom per actieve route de gegevenslocatie, toegang, retentie en eventuele internationale doorgifte.
Artikel 7 - Bewaartermijnen
7.1 KARTIS bewaart persoonsgegevens niet langer dan noodzakelijk:
- Klantdossierinput: uiterlijk 90 dagen na finale oplevering of opdrachtbeëindiging retourneren of verwijderen.
- Onderzoeksbronnen en snapshots: maximaal 12 maanden na eindoplevering of stopzetting; daarna alleen noodzakelijke herleidbaarheidsgegevens.
- Claims, citaten, analyse, opleveringen en essentiële klantcommunicatie: doorgaans maximaal vijf jaar na finale oplevering, dossierafsluiting of contracteinde.
- Publieke gebruiksregistratie: maximaal 90 dagen.
- Toegangs-, audit- en beveiligingslogs: maximaal 12 maanden.
- Back-ups en herstelartefacten: maximaal 90 dagen.
- Fiscaal relevante administratie: zeven jaar.
7.2 Deze termijnen zijn beleidsmaxima. Een kortere contractuele, wettelijke of doelgebonden termijn gaat voor. Een gerichte legal hold of wettelijke verplichting kan alleen de relevante gegevens langer laten bewaren. Bij verwijdering worden ook afgeleide informatie en kopieën betrokken. Voor back-ups geldt de hierboven genoemde afzonderlijke termijn.
Artikel 8 - Cookies en lokale opslag
8.1 Cookies en lokale browseropslag ondersteunen functies zoals inloggen en het onthouden van instellingen. Per route wordt beoordeeld welke opslag strikt noodzakelijk is en welke informatie daarover aan bezoekers moet worden gegeven.
8.2 De volgende cookies en lokale opslag worden gebruikt:
| Type | Naam | Doel | Bewaartermijn |
|---|---|---|---|
| Cookie | sb-*-auth-token | Authenticatie: bewaart de inlogstatus | Tot uitloggen of verlopen van de sessie; de browsercookie kan langer aanwezig blijven |
| Lokale opslag | cookie-banner-dismissed | Onthoudt dat de cookiemelding is gesloten | Tot verwijdering van de lokale browseropslag |
| Lokale opslag | Gebruikersvoorkeuren | Interface-instellingen zoals weergavevoorkeur | Tot verwijdering van de lokale browseropslag |
8.3 Authenticatiecookies ondersteunen de inlogfunctie. De beveiligingskenmerken worden per authenticatieroute bepaald.
8.4 Voor essentiële cookies is geen voorafgaande toestemming vereist op grond van artikel 11.7a Telecommunicatiewet, aangezien deze strikt noodzakelijk zijn voor de door u gevraagde dienst. Lokale opslag valt onder hetzelfde wettelijke kader.
8.5 KARTIS beoordeelt analytische, marketing- en externe trackingtechnologie per route voordat deze wordt toegepast. De informatie op deze pagina wordt bijgewerkt wanneer de gebruikte opslag of tracking wijzigt.
8.6 U kunt cookies verwijderen via de instellingen van uw browser. Het verwijderen van de authenticatiecookie heeft als gevolg dat u wordt uitgelogd.
Artikel 9 - Rechten van betrokkenen
9.1 Op grond van de AVG heeft u de volgende rechten:
- Inzage (artikel 15 AVG): u kunt opvragen welke persoonsgegevens KARTIS van u verwerkt.
- Rectificatie (artikel 16 AVG): u kunt verzoeken om correctie van onjuiste of onvolledige gegevens.
- Verwijdering (artikel 17 AVG): u kunt verzoeken om verwijdering van uw persoonsgegevens.
- Beperking van verwerking (artikel 18 AVG): u kunt verzoeken om beperking van de verwerking.
- Bezwaar (artikel 21 AVG): u kunt bezwaar maken tegen verwerking op grond van gerechtvaardigd belang.
- Gegevensoverdraagbaarheid (artikel 20 AVG): u kunt uw gegevens ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat.
9.2 U kunt uw rechten uitoefenen door een e-mail te sturen naar contact@kartis.nl. KARTIS reageert binnen 30 dagen op uw verzoek.
9.3 Indien u van mening bent dat uw persoonsgegevens niet correct worden verwerkt, heeft u het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.
Artikel 10 - Wijzigingen
10.1 KARTIS behoudt zich het recht voor dit privacybeleid te wijzigen. De meest actuele versie is te raadplegen op kartis.nl/privacy. Bij materiële wijzigingen worden actieve klanten via e-mail geïnformeerd.
Artikel 11 - Contact
Voor vragen over dit privacybeleid of de verwerking van uw persoonsgegevens kunt u contact opnemen via:
KARTIS
KvK-nummer: 96257008
BTW-nummer: NL867533602B01
E-mail: contact@kartis.nl