Privacyverklaring
Laatst bijgewerkt op 23 oktober 2026
In deze verklaring leest u welke persoonsgegevens DPP Host verwerkt, waarom en hoelang: wanneer u dpphost.eu bezoekt, een productpaspoort op id.dpphost.eu opent, ons mailt, het dashboard op app.dpphost.eu, de API of de MCP-server gebruikt, of een leveranciersverzoek op forms.dpphost.eu beantwoordt. Voor een deel van die gegevens is het merk dat DPP Host gebruikt verantwoordelijk en verwerken wij ze namens dat merk; in de onderdelen hieronder staat waar dat het geval is.
Wie is verantwoordelijk
De verwerkingsverantwoordelijke is Qubites ApS, Ulsøparken 49, 2. 2660 Brøndby Strand, Denemarken (CVR 37061026), dat DPP Host exploiteert. Mail over uw persoonsgegevens naar privacy@dpphost.eu en over al het andere naar hello@dpphost.eu.
Wanneer een merk verantwoordelijk is
Merken, dat wil zeggen de bedrijven die DPP Host gebruiken, publiceren er productpaspoorten mee, vragen hun leveranciers om productgegevens en bieden met Premium diensten aan de eigenaren van hun producten. Voor de persoonsgegevens die daarbij worden verwerkt, is het merk de verwerkingsverantwoordelijke en DPP Host zijn verwerker: wat het merk in zijn paspoorten en pagina’s opneemt, de contactgegevens en antwoorden van zijn leveranciers, en de gegevens in zijn eigenaarsdiensten. Wij gebruiken die gegevens alleen volgens de instructies van het merk. Vragen daarover en verzoeken om inzage, rectificatie of wissing richt u aan het merk. Stuurt u ze naar ons, dan sturen wij ze door naar het merk.
Technische gegevens
Wanneer u een van onze websites opent of de API gebruikt, verwerkt Cloudflare, dat ze levert, uw IP-adres en technische gegevens over elk verzoek, zoals het opgevraagde adres, het tijdstip en uw browser, om de dienst te leveren en te beschermen tegen misbruik. Verzoeken die onze database bereiken, worden ook door Supabase gelogd. De API, de MCP-server en de leveranciersformulieren beperken hoeveel verzoeken één IP-adres per minuut kan doen; Cloudflare telt dat alleen voor de lopende minuut, en wij bewaren het adres niet. De aanbieders verwijderen deze logs na korte tijd. De rechtsgrond is ons gerechtvaardigd belang bij een veilige dienst (artikel 6, lid 1, onder f, AVG).
Op de pagina’s van het dashboard waar u inlogt, een account aanmaakt of een wachtwoord opnieuw instelt, ook bij het inloggen voor de eigenaarsdiensten van een merk, en wanneer u opnieuw inlogt vóór een gevoelige handeling, controleert Cloudflare Turnstile of het verzoek van een mens komt en niet van een geautomatiseerd programma; de meeste mensen merken niets van deze controle. Daarvoor verwerkt Cloudflare als onze verwerker uw IP-adres en technische signalen van uw browser en uw apparaat. De rechtsgrond is ons gerechtvaardigd belang bij het beschermen van accounts en het inloggen tegen geautomatiseerd misbruik (artikel 6, lid 1, onder f, AVG). Dezelfde controle beschermt het formulier waarmee u de eigenaar van een gevonden product een bericht stuurt.
Productpaspoorten
Elk productpaspoort op id.dpphost.eu wordt gepubliceerd door het merk dat verantwoordelijk is voor het product, en het merk bepaalt wat het paspoort toont. Elke nieuwe versie van een paspoort toont daarnaast de geverifieerde juridische naam en het land van het merk en, bij een vennootschap, het geverifieerde btw- of inschrijvingsnummer. Bij een eenmanszaak is de juridische naam de eigen naam van de ondernemer. Toont een paspoort persoonsgegevens, dan is het merk daarvoor verantwoordelijk en publiceren wij ze namens het merk. Gepubliceerde paspoorten blijven online zo lang als de EU-regels voorschrijven, en dat kan vele jaren zijn. Wilt u persoonsgegevens uit een paspoort laten verwijderen, neem dan contact op met het merk dat erin wordt genoemd, of met ons. Voor het openen van een paspoort is geen account nodig. Wij tellen hoe vaak paspoorten worden geopend, zonder persoonsgegevens: per dag, product (zonder serienummer), taal, land en of de huidige of een eerdere versie werd geopend. Wij registreren geen IP-adressen, browsergegevens, cookies of de pagina waar u vandaan kwam. Merken met Premium zien deze dagtotalen voor hun eigen producten. Cloudflare bewaart de tellingen 3 maanden; onze database bewaart de dagtotalen 25 maanden.
Toont een merk op zijn paspoortpagina een video van YouTube of Vimeo, dan toont de pagina eerst een stilstaand beeld van onze eigen servers, en wordt er niets van YouTube of Vimeo geladen tot u op afspelen drukt. Doet u dat, dan wordt de video afgespeeld vanaf YouTube (Google) in de modus met verbeterde privacy of vanaf Vimeo met de instelling “Do Not Track”, en ontvangt die aanbieder uw IP-adres en gegevens over uw browser en kan hij gegevens in uw browser opslaan, volgens zijn eigen privacyvoorwaarden. Links op een paspoortpagina, bijvoorbeeld naar documenten of de controle van een certificaat, openen andere websites pas als u erop klikt.
Als u ons mailt
Als u ons een e-mail stuurt naar hello@dpphost.eu of privacy@dpphost.eu, bijvoorbeeld om documenten te sturen voor een bedrijfscontrole, verwerken wij uw e-mailadres, uw naam en wat u schrijft, om u te antwoorden en uw vraag op te volgen. De rechtsgrond is ons gerechtvaardigd belang bij het beantwoorden van mensen die contact met ons opnemen (artikel 6, lid 1, onder f, AVG) en, voor verzoeken over uw rechten, onze wettelijke verplichting om ze te beantwoorden (artikel 6, lid 1, onder c, AVG). Wij bewaren deze e-mails zo lang als nodig is om u te antwoorden en uw vraag op te volgen, en hooguit 2 jaar na ons laatste contact.
Als u zich aanmeldt voor meldingen over EU-regels
Als u zich op dpphost.eu aanmeldt voor meldingen over EU-productregels, bewaren wij uw e-mailadres, het webadres van het bedrijf of product dat u opgeeft, de taal van de pagina en wanneer u zich hebt aangemeld en bevestigd. Wij sturen eerst een bevestigingsmail en pas na uw bevestiging meldingen: wanneer een paspoortregel voor producten zoals de uwe een datum krijgt, en nog een keer voordat die regel ingaat; nooit reclame. In elke e-mail staat een link om de meldingen stop te zetten. De rechtsgrond is uw toestemming (artikel 6, lid 1, onder a, AVG), die u met die link intrekt. Een adres dat niet binnen 7 dagen is bevestigd, wordt verwijderd, en uw gegevens worden 30 dagen nadat u de meldingen hebt stopgezet verwijderd. Onze registratie van elke e-mail die wij u sturen, wordt na 30 dagen verwijderd. Om misbruik van het formulier te beperken, bewaren wij in onze tellers hoogstens een dag een hash met sleutel van uw IP-adres, nooit het adres zelf.
Accounts in het dashboard
Wanneer u een account aanmaakt op app.dpphost.eu, verwerken wij uw naam, uw e-mailadres, een veilig gehasht wachtwoord als u er een instelt, uw taal, de organisaties waartoe u behoort met uw rol in elk daarvan, en een logboek van de handelingen die u daarin verricht. Supabase, dat ons inlogsysteem beheert, registreert daarnaast uw sessies en inlogmomenten met uw IP-adres en uw browser. Wij hebben deze gegevens nodig om de dienst te leveren waarvoor u of uw organisatie zich heeft aangemeld (artikel 6, lid 1, onder b, AVG); zonder naam en e-mailadres kunt u geen account hebben. U blijft hooguit 90 dagen ingelogd, en hooguit 30 dagen zonder gebruik. Wij bewaren uw account tot u het verwijdert op de pagina Account of ons vraagt het te verwijderen. Bij verwijdering verdwijnen uw lidmaatschappen, uw inloggegevens en het logboek van uw inlogmomenten meteen; de vermeldingen in de logboeken van uw organisaties over wat u daar deed blijven bestaan, onder een kenmerk dat niet meer naar uw account leidt. Voordat u het kunt verwijderen, maakt u een ander lid eigenaar van elke organisatie waarvan u de enige eigenaar bent en die andere leden heeft, mailt u ons om elke organisatie te sluiten waarvan u het enige lid bent, en verwijdert u elk eigenaarsaccount dat u bij een merk hebt. Het logboek van een organisatie wordt bewaard zolang de gepubliceerde paspoorten van die organisatie beschikbaar zijn, omdat daarin is vastgelegd wie ze heeft gepubliceerd en gewijzigd.
U kunt ook inloggen met Google, Apple of Microsoft. Doet u dat, dan bevestigt die aanbieder wie u bent volgens zijn eigen privacyvoorwaarden en deelt hij op uw verzoek uw e-mailadres, uw gebruikers-id bij die aanbieder en, als hij die meestuurt, uw naam en andere basisgegevens van uw profiel met ons. Wij bewaren die bij uw account zodat u op dezelfde manier opnieuw kunt inloggen, en de aanbieder komt te weten dat u bij DPP Host inlogt. Uw wachtwoord bij die aanbieder ontvangen wij nooit. Kiest u voor de functie “Verberg mijn e-mailadres” van Apple, dan ontvangen wij een adres bij Apple dat onze e-mails naar u doorstuurt. Zet u inloggen in twee stappen aan, dan wordt een geheime sleutel voor uw authenticator-app bij uw account bewaard (bij Supabase, in Frankfurt) en worden de momenten waarop u die gebruikt gelogd; u kunt het uitzetten op de pagina Account. De rechtsgrond voor beide is de overeenkomst met u of uw organisatie (artikel 6, lid 1, onder b, AVG).
Organisaties, bedrijfscontroles en GTIN’s
Een organisatie moet een bedrijfscontrole doorstaan voordat zij paspoorten kan publiceren. Een btw-nummer uit de EU wordt automatisch gecontroleerd in het btw-informatie-uitwisselingssysteem van de EU (VIES), dat de Europese Commissie met de nationale belastingdiensten beheert en dat de geregistreerde naam en het adres kan teruggeven; bevestigt VIES het nummer niet, dan wordt de controle afgewezen en kan de organisatie een nieuwe controle starten die onze medewerkers handmatig uitvoeren. Andere registers, zoals het Deense CVR, raadplegen onze medewerkers handmatig. Kan geen register het bedrijf bevestigen, bijvoorbeeld bij veel eenmanszaken en bedrijven buiten de EU, dan vragen onze medewerkers per e-mail om documenten zoals een uittreksel uit een register of een bedrijfsvergunning, en verwijderen zij die e-mail zodra over de controle is beslist. Wij bewaren het land, het nummer, de juridische naam en, als een register het geeft, het adres, een eventuele notitie van de organisatie, de uitkomst, en wie de controle aanvroeg en wie besliste. Onze medewerkers controleren de juridische naam ook aan de hand van de sanctielijsten van de EU. Bij een eenmanszaak zijn deze gegevens persoonsgegevens. Wij gebruiken ze om alleen echte bedrijven te laten publiceren, om elk bedrijf maar één geverifieerde organisatie toe te staan, om de geverifieerde gegevens in zijn paspoorten te tonen (zie “Productpaspoorten”; een nummer dat via de route voor eenmanszaken is gecontroleerd, wordt nooit getoond) en om paspoorten betrouwbaar te houden. De rechtsgronden zijn de overeenkomst met uw organisatie (artikel 6, lid 1, onder b, AVG), ons gerechtvaardigd belang bij het voorkomen van misbruik (artikel 6, lid 1, onder f, AVG) en, voor de sanctiecontrole, onze wettelijke verplichting (artikel 6, lid 1, onder c, AVG). Wij bewaren deze gegevens zolang de organisatie bij DPP Host bestaat, omdat ze laten zien waarom zij mocht publiceren.
Om paspoorten voor een GTIN (een barcodenummer) te publiceren, heeft een organisatie een claim op die GTIN nodig of toestemming van de organisatie die de claim heeft. Bij een claim hoort een bewijs, zoals de naam van de GS1-licentiehouder, een bewijs op het webdomein van de organisatie of een GS1 Digital Link-adres, dat onze medewerkers handmatig controleren. Wij bewaren de claim, de naam van de licentiehouder, het bewijs, een eventuele notitie of betwisting, en wie de claim aanvroeg en wie besliste. Deze gegevens zijn alleen persoonsgegevens als ze een persoon noemen, zoals de eigenaar van een eenmanszaak. Wij bewaren ze zolang de organisatie bestaat, om dezelfde redenen en op dezelfde rechtsgronden als de bedrijfscontrole. Om aan te tonen dat zij een webdomein beheert, voegt een organisatie een code toe aan de DNS-records van het domein, die wij via Cloudflare opvragen.
Teams, uitnodigingen en partners
Leden van een organisatie zien elkaars namen, e-mailadressen en rollen, sinds wanneer ze lid zijn en of ze inloggen in twee stappen gebruiken; beheerders zien daarnaast het logboek van de organisatie. Een beheerder nodigt iemand uit door een link te maken en te delen; wij sturen geen uitnodigingsmail. Wij bewaren het uitgenodigde e-mailadres samen met de organisatie en de rol tot de uitnodiging is aangenomen; gebeurt dat niet, dan verwijderen wij het binnen 30 dagen nadat de uitnodiging is verlopen of ingetrokken. De rechtsgrond is het gerechtvaardigde belang van de uitnodigende organisatie bij het toevoegen van haar team (artikel 6, lid 1, onder f, AVG). Een organisatie kan ook een ander bedrijf, zoals een bureau, als partner binnen de organisatie laten werken. De medewerkers van de partner zien dan wat leden met dezelfde rol zien, de leden van de organisatie zien hun namen en e-mailadressen, en het logboek legt vast wat zij doen. Bij de gegevens van de organisatie bewaren wij, even lang als haar logboek, welke partner door wie en wanneer is gekoppeld. De rechtsgrond is de overeenkomst met uw organisatie (artikel 6, lid 1, onder b, AVG). Een partner kan ook een organisatie voorbereiden voor een merk dat zich nog niet heeft aangesloten en het e-mailadres invullen van een contactpersoon bij dat merk, naar wie wij de verzoeken van de partner sturen om paspoorten goed te keuren. Wij bewaren dat adres en de taal van de e-mails tot de contactpersoon de organisatie overneemt; gebeurt dat nooit, dan verwijderen wij beide 90 dagen nadat het adres is ingevuld of nadat het laatste verzoek is verlopen, als dat later is. De medewerkers van de partner die daar verzoeken versturen, zien het adres. Elk verzoek blijft bij de gegevens van de organisatie: wie welke paspoorten wanneer heeft verstuurd, de beslissing van het merk, wie die nam en een eventueel opgegeven reden; de medewerkers van de partner die daar werken, zien dit. De rechtsgrond is het gerechtvaardigde belang om een merk de paspoorten te laten goedkeuren die een partner voor het merk heeft voorbereid (artikel 6, lid 1, onder f, AVG). Een merk dat eigenaarsdiensten gebruikt, kan ook een winkel per e-mail uitnodigen om de producten van het merk op naam van de klanten van de winkel te registreren. Wij bewaren het uitgenodigde adres en de taal ervan tot de uitnodiging is aangenomen of ingetrokken, en anders tot 29 dagen nadat ze is verlopen; wie de uitnodiging opent, ziet de naam van het merk en dat adres. De rechtsgrond is het gerechtvaardigde belang van het merk bij het toevoegen van de winkels die zijn producten verkopen (artikel 6, lid 1, onder f, AVG). Neemt een winkel de uitnodiging aan, dan bewaren wij welke organisatie welke versie van de Voorwaarden voor verkooppunten heeft aanvaard, wie ze heeft aanvaard en wanneer, op grond van de overeenkomst met die organisatie (artikel 6, lid 1, onder b, AVG). Een merk kan ook een distributeur koppelen voor de landen die hij bedient; de distributeur kan dan een winkel per e-mail uitnodigen voor de producten van het merk. Wij bewaren die uitnodiging zoals die van een merk, samen met de distributeur die haar stuurde; wie haar opent, ziet ook de naam van de distributeur, en het merk ziet elke winkel die een distributeur toevoegt. De rechtsgrond is het gerechtvaardigde belang van de distributeur en het merk bij het toevoegen van de winkels die de producten van het merk verkopen (artikel 6, lid 1, onder f, AVG). Stuurt een bedrijf producten van een merk via DPP Host naar een ander bedrijf, of markeert het producten uit zijn voorraad als verloren of gestolen, dan leggen wij vast welk lid dat deed, bij de gegevens van de betrokken bedrijven en het merk, zolang de organisatie van het merk bestaat of tot het account van dat lid wordt verwijderd, op grond van de overeenkomst met die organisaties (artikel 6, lid 1, onder b, AVG). Laat een winkel zijn facturatiesysteem een kopie van elke factuur naar zijn DPP Host-adres sturen, dan lezen wij de framenummers, het factuurnummer en de datum uit de kopie, bewaren die 24 maanden bij de verkoopgegevens van de winkel en verwijderen de kopie meteen (zij kan de naam en het adres van de koper bevatten; een kopie die wij niet kunnen lezen, wordt 7 dagen lang zonder inhoud vastgelegd), als verwerker van de winkel op grond van de Voorwaarden voor verkooppunten.
API-sleutels, AI-apps en webshops
Wanneer een beheerder een API-sleutel aanmaakt, bewaren wij de naam ervan, wie hem aanmaakte, de rechten en de vervaldatum, de eerste tekens, wanneer hij voor het laatst is gebruikt en een hash met sleutel ervan; de volledige sleutel wordt één keer getoond en nooit bewaard. Wij tellen de verzoeken van elke organisatie per dag en bewaren die tellingen 400 dagen. U kunt een AI-app, zoals een AI-assistent, via onze MCP-server op mcp.dpphost.eu aan DPP Host koppelen: u logt in en staat de app toe in één organisatie te werken, voor een periode naar keuze van hooguit 365 dagen. Wij bewaren de koppeling: uw gebruikers-id, de organisatie, de naam en het webadres van de app, de rechten, wanneer u de koppeling toestond en hoeveel de app elke dag wordt gebruikt; het dagelijkse gebruik bewaren wij 400 dagen. De koppeling wordt ook, deels versleuteld, bewaard in Cloudflare Workers KV, dat niet tot de EU beperkt is. Toegang is telkens 1 uur geldig, en een koppeling eindigt ook na 30 dagen zonder gebruik of wanneer u haar in het dashboard beëindigt. De beheerders van de organisatie zien wie welke app heeft gekoppeld. De app ontvangt de paspoort-, product- en conceptgegevens die zij binnen de door u gegeven rechten opvraagt, nooit gegevens over leden of eigenaren, en haar aanbieder verwerkt die gegevens volgens zijn eigen voorwaarden. Een AI-app kan niet publiceren: een mens keurt elke wijziging goed. Apps die zich bij onze MCP-server registreren, geven ons hun naam, hun webadres en, als ze dat willen, contactadressen; die bewaren wij tot 90 dagen nadat de app voor het laatst is gebruikt. Wanneer een beheerder een Shopify- of WooCommerce-webshop koppelt, bewaren wij wie de webshop heeft gekoppeld en goedgekeurd en het webadres van de webshop, en melden wij dat per e-mail aan de beheerders van de organisatie; de webshop stuurt ons alleen productgegevens, nooit gegevens over klanten, bestellingen of bezoekers. Gegevens over sleutels, koppelingen en webshops blijven ook na afloop bij de gegevens van de organisatie. De rechtsgrond is de overeenkomst met uw organisatie (artikel 6, lid 1, onder b, AVG).
Bij “Nieuw paspoort” kunt u bestanden over een product (pdf-bestanden of foto’s) neerzetten of een link naar de productpagina plakken. Wij sturen ze één keer naar Anthropic, waarvan het AI-model Claude ze leest om de waarden te vinden die het paspoort nodig heeft en waar elke waarde staat; foto’s sturen wij zonder hun locatie- en cameragegevens. Elke waarde blijft een voorstel totdat iemand die bevestigt. Wanneer een beheerder een licentiecertificaat of lidmaatschapsfactuur van GS1 aan een GTIN-claim toevoegt, sturen wij dat document op dezelfde manier één keer naar Anthropic om de bedrijfsgegevens te lezen die erop staan (wie het heeft uitgegeven, de licentiehouder, de bedrijfsprefixen en de datums); wij bewaren alleen die gegevens bij de claim, niet het bestand, en gebruiken ze om over de claim te beslissen. Wij bewaren de bestanden en de pagina niet: ze worden in het geheugen gelezen en met het verzoek weggegooid. Wij bewaren de gevonden waarden, elk met de bestandsnaam en een kort citaat dat laat zien waar de waarde is gevonden, en 400 dagen lang een telling van de leesbeurten van elke organisatie (wie, wanneer en hoeveel bestanden, zonder de inhoud), om de maandlimiet te bewaken. Anthropic verwerkt de bestanden in de Verenigde Staten of in een ander land waar het bedrijf zijn dienst aanbiedt, op basis van de standaardcontractbepalingen van de EU. Het verwijdert de bestanden en het antwoord binnen 30 dagen en gebruikt ze niet om modellen te trainen; alleen inhoud die zijn automatische controles markeren als in strijd met zijn gebruiksbeleid, kan langer worden bewaard, maximaal 2 jaar. In het dashboard helpt de Gids, een AI-assistent, de bewerkers van uw organisatie bij het maken van hun paspoorten. Als u de Gids schrijft, sturen we uw bericht, de eerdere berichten van het gesprek en de gegevens van het account van uw organisatie die nodig zijn om te antwoorden (abonnement, concepten en wat daarin ontbreekt, prijzen en AI-credits) naar Anthropic, waarvan het Claude-model het antwoord schrijft; een bestand dat u in de Gids toevoegt, wordt gelezen zoals bij “Nieuw paspoort”. De waarden die de Gids voorstelt, blijven suggesties in het concept tot een persoon ze bevestigt. We bewaren het gesprek, dat alleen u kunt zien, tot 30 dagen na het laatste bericht, en een telling van de berichten van elke persoon (wie, wanneer en hoeveel, zonder inhoud) 400 dagen lang, voor de uurlimiet en de AI-credits. Anthropic verwerkt ze zoals hierboven beschreven, verwijdert ze binnen 30 dagen en gebruikt ze niet om modellen te trainen. Verder zet DPP Host geen AI-modellen in op uw gegevens. De rechtsgrond is de overeenkomst met uw organisatie (artikel 6, lid 1, onder b, AVG).
E-mails die wij versturen
Wij versturen e-mails vanaf noreply@dpphost.eu via Resend, onze verwerker: inlogcodes en -links, bevestigingen van uw e-mailadres en e-mails om uw wachtwoord opnieuw in te stellen, en e-mails over het gebruik van DPP Host door uw organisatie, bijvoorbeeld over betalingen en mislukte betalingen, wijzigingen van het abonnement, beslissingen over bedrijfscontroles en GTIN-claims, certificaten die bijna verlopen, exports die klaar zijn, een herinnering aan een opgeslagen import als u daarom vraagt, antwoorden op leveranciersverzoeken, reparatieverzoeken van eigenaren, de uitnodiging van een merk of een distributeur aan een winkel, de link die een winkel ons naar zijn klant laat sturen, leveringen die een bedrijf ontvangt of die worden teruggenomen, terugroepacties en veiligheidswaarschuwingen van een merk over producten die een bedrijf op voorraad heeft, en problemen met webhooks of webshopkoppelingen. Ze gaan naar de betrokken persoon of, meestal, naar de eigenaren en beheerders van de organisatie; die over leveringen, terugroepacties en veiligheidswaarschuwingen gaan ook naar haar bewerkers. Wij versturen geen nieuwsbrieven of advertenties, en wij houden niet bij of u onze e-mails opent of op de links erin klikt. Resend verstuurt ze vanuit de EU (Ierland) en bewaart een kopie van elke e-mail en het verzendlogboek 30 dagen in de Verenigde Staten. Van elke e-mail die wij versturen, houden wij een registratie bij, met het adres waarnaar die ging, om te kunnen laten zien wat er is verstuurd en om dubbele verzending te voorkomen; de registraties van e-mails aan u worden met uw account verwijderd, de overige blijven bewaard zolang de organisatie waarop ze betrekking hebben bestaat. De rechtsgrond is de overeenkomst met u of uw organisatie (artikel 6, lid 1, onder b, AVG). Beantwoord deze e-mails niet; mail in plaats daarvan naar hello@dpphost.eu. Wanneer een vinder een bericht stuurt over een product dat de eigenaar als verloren of gestolen heeft gemarkeerd, laten wij de eigenaar per e-mail weten dat er een bericht is, zonder wat de vinder schreef. Als u ons om hulp vraagt bij een opgeslagen import, bewaren wij uw verzoek (uw bericht, als u er een schrijft, de aantallen van de import en wie erom vroeg) en sturen wij het met uw e-mailadres naar onze medewerkers, zodat wij u kunnen antwoorden; de leden van uw organisatie zien dat u om hulp hebt gevraagd, en wij verwijderen het verzoek 2 jaar nadat wij het hebben gesloten.
Betalingen
Wanneer een organisatie voor DPP Host betaalt, verloopt de betaling via Stripe. Wij geven Stripe de naam van de organisatie, haar factuur-e-mailadres (of het e-mailadres van de koper) en haar taal. Stripe verzamelt het factuuradres, een eventueel btw-nummer, dat Stripe controleert, en de betaalgegevens; volledige kaart- of rekeningnummers ontvangen wij nooit. Stripe berekent de btw, maakt de facturen op en beheert het klantenportaal, waar beheerders facturen inzien en betaalgegevens wijzigen. Wij bewaren de klantreferentie bij Stripe, het factuur-e-mailadres, het land, het btw-nummer en de status ervan, en de berichten van Stripe over betalingen. Stripe verwerkt de betaling als onze verwerker; voor fraudepreventie en om aan zijn eigen wettelijke verplichtingen te voldoen, zoals de regels tegen witwassen, is Stripe zelfstandig verwerkingsverantwoordelijke volgens zijn eigen privacybeleid. De rechtsgronden zijn de overeenkomst met uw organisatie (artikel 6, lid 1, onder b, AVG) en onze plicht om een boekhouding bij te houden (artikel 6, lid 1, onder c, AVG). De berichten van Stripe worden 400 dagen na ontvangst verwijderd, zodra wij ze hebben verwerkt. Wij bewaren de factuurgegevens zolang de organisatie bestaat, en facturen en andere boekhoudstukken zo lang als de Deense boekhoudwet (bogføringsloven) vereist, dat wil zeggen 5 jaar na het einde van het boekjaar. Stripe kan gegevens in de Verenigde Staten verwerken; die doorgifte valt onder het EU-VS-kader voor gegevensbescherming (EU-U.S. Data Privacy Framework) en onder de standaardcontractbepalingen van de Europese Commissie.
Als u een leveranciersverzoek beantwoordt
Een merk kan zijn leveranciers om productgegevens vragen met een link naar een formulier op forms.dpphost.eu, die het merk zelf verstuurt of die wij namens het merk per e-mail versturen, met hooguit twee herinneringen. Het merk is de verwerkingsverantwoordelijke en wij zijn zijn verwerker. Het merk geeft ons uw contactgegevens, zoals uw naam, e-mailadres, land en taal, en ontvangt uw antwoorden en de bestanden die u uploadt, zoals certificaten of foto’s; uit foto’s verwijderen wij locatie- en cameragegevens voordat wij ze bewaren. Het merk bepaalt hoe lang het uw contactgegevens en antwoorden bewaart. Bestanden die het merk in geen enkel paspoort heeft gebruikt, worden 90 dagen na het einde van het verzoek verwijderd, dat wil zeggen nadat het is ingetrokken of de link is verlopen. Voor het formulier is geen account nodig, en het plaatst geen cookies. Met vragen over uw gegevens in dat formulier kunt u terecht bij het merk dat het verzoek heeft gestuurd. Gebruikt u “Dit verzoek melden”, dan bewaren wij een hash van uw e-mailadres, zodat wij u geen verzoeken van dit merk meer sturen. Daarvoor zijn wij de verwerkingsverantwoordelijke, op grond van ons gerechtvaardigd belang bij het voorkomen van misbruik (artikel 6, lid 1, onder f, AVG), en wij bewaren de hash tot u ons vraagt hem te verwijderen.
Als u de eigenaarsdiensten van een merk gebruikt
Sommige merken laten eigenaren hun producten registreren op app.dpphost.eu/owner/…. In die eigenaarsomgeving is het merk de verwerkingsverantwoordelijke en verwerkt DPP Host uw gegevens namens het merk; de privacyinformatie van het merk staat daar, en vragen over uw artikelen, verzoeken of gegevens daar stelt u aan het merk. DPP Host is verantwoordelijk voor uw inloggegevens (uw e-mailadres en wanneer u het bevestigde), die u bij meerdere merken kunt gebruiken; wij hebben die nodig om u te laten inloggen zoals u hebt gevraagd (artikel 6, lid 1, onder b, AVG). U kunt in een eigenaarsomgeving ook inloggen met Apple of Google; wat die aanbieder deelt en wat wij daarvan bewaren, staat onder “Accounts in het dashboard”. Een naam die een eigenaar voor de eigen Wallet-kaart opgeeft, of die Apple of Google bij het inloggen deelt, staat op de eigen Wallet-kaart en productpagina van die eigenaar; de andere persoon bij een overdracht ziet alleen de voornaam en de eerste letter van de achternaam, net als daarna de Wallet-kaart van de vorige eigenaar; een registratiebewijs dat een eigenaar deelt, toont het product, het serienummer, sinds wanneer het geregistreerd is en de initialen van de eigenaar, of de volledige naam als de eigenaar dat kiest; het productpaspoort toont de naam nooit, en geen daarvan toont een e-mailadres, telefoonnummer of adres. Als een winkel die het merk heeft gekoppeld u een product overdraagt, worden de naam van de winkel en de verkoopdatum deel van uw registratie en uw garantie, en tonen uw Wallet-kaart en productpagina “Gekocht bij” met de naam van de winkel; de winkel ziet uw voornaam en de eerste letter van uw achternaam tot 30 dagen na de overdracht, en verder niets over u. Laat de winkel ons de link naar u mailen, dan wordt uw adres alleen voor die e-mail gebruikt. Het openen van een registratiebewijs wordt geteld; over u wordt daarbij niets bewaard. Wij bewaren uw inloggegevens zolang u bij een merk een eigenaarsaccount hebt of een account in het dashboard. Vraagt u een inloglink aan maar opent u nooit een eigenaarsaccount, of wordt uw laatste eigenaarsaccount verwijderd, dan verwijderen wij de inloggegevens na 30 dagen zonder gebruik. Vragen over uw inloggegevens: privacy@dpphost.eu.
Veiligheidsmeldingen: via de paspoortpagina van een product kunt u zonder eigenaarsaccount veiligheidsmeldingen over dat product aanvragen. Het merk bewaart dan uw e-mailadres, de taal ervan en het product, en gebruikt die alleen om u te informeren over veiligheidswaarschuwingen en terugroepacties (artikel 35 van Verordening (EU) 2023/988), nooit voor marketing; het ziet alleen hoeveel mensen erom hebben gevraagd. Geregistreerde eigenaren krijgen deze meldingen op het adres van hun account of op een apart adres dat zij opgeven. Elke melding bevat een link om ze stop te zetten, waarna het adres wordt verwijderd; een apart adres dat niet binnen 7 dagen wordt bevestigd, wordt ook verwijderd. De inloggegevens waarmee u uw adres bevestigt, worden direct daarna verwijderd, tenzij u een eigenaarsaccount of een account in het dashboard hebt.
Aankoopbewijzen: heeft een winkel die het merk heeft gekoppeld uw aankoopbewijs toegevoegd toen u een product kocht, en hebt u het bij de overdracht van het product gehouden, dan wordt het bij uw registratie bewaard en kunt alleen u het zien of downloaden. Het merk ziet het alleen als u het bij een reparatie- of garantieverzoek voegt, en alleen zolang dat verzoek openstaat. Het wordt verwijderd wanneer uw registratie eindigt, bijvoorbeeld wanneer u het product overdraagt, of wanneer u het verwijdert; de volgende eigenaar ziet het nooit. Het wordt in de EU opgeslagen, bij Cloudflare, en maakt geen deel uit van een back-up.
Fietsen en batterijen: als een fiets en de batterij ervan allebei op uw naam staan, leggen wij ook vast welke batterij in welke fiets zit, zodat elke Wallet-kaart het andere onderdeel noemt en een verkoop beide kan omvatten; het merk ziet dit niet, en de koppeling eindigt wanneer een onderdeel los wordt verkocht, als verloren of gestolen wordt gemarkeerd of los wordt gerecycled.
Verloren of gestolen: als u een product als verloren of gestolen markeert en vinders toestaat u een bericht te sturen, staat op de pagina van het productpaspoort dat de eigenaar het zoekt, met een knop om u een bericht te sturen; de pagina toont nooit uw naam of hoe u te bereiken bent. Wat een vinder stuurt, bereikt alleen u: op uw productpagina, op uw Wallet-kaart en in een e-mail die u laat weten dat er een bericht is. Het merk ziet het niet. Elk bericht wordt na 30 dagen verwijderd, wanneer u het meldt of wanneer uw registratie eindigt.
Als u de eigenaar van een gevonden product een bericht stuurt
Wanneer de eigenaar van een product het als verloren of gestolen heeft gemarkeerd en vinders toestaat hem een bericht te sturen, heeft de pagina van het productpaspoort een knop om de eigenaar een bericht te sturen. Het formulier op app.dpphost.eu vraagt waar het product is; u kunt ook uw locatie toevoegen (alleen als u dat wilt, en uw browser vraagt het u eerst), een manier om u te bereiken en een kort bericht. Wij geven dit alleen door aan de geregistreerde eigenaar van het product: alles op zijn productpagina, en de plaats die u hebt getypt op zijn Wallet-kaart; zijn e-mail zegt alleen dat er een bericht is. Het merk ziet uw bericht nooit, en het wordt voor niets anders gebruikt. Het merk is verwerkingsverantwoordelijke voor zijn eigenaarsdiensten, en DPP Host verwerkt uw bericht namens het merk (zie “Als u de eigenaarsdiensten van een merk gebruikt”); de rechtsgrond is het gerechtvaardigde belang van de eigenaar en van uzelf om het product weer bij de eigenaar te krijgen (artikel 6, lid 1, onder f, AVG). Uw bericht wordt na 30 dagen verwijderd, of eerder wanneer de eigenaar het meldt of zijn registratie eindigt.
Om eigenaren tegen misbruik te beschermen, controleert DPP Host als verwerkingsverantwoordelijke met Cloudflare Turnstile of het formulier door een mens wordt verstuurd, en beperkt het hoeveel berichten één netwerkadres kan sturen. Voor deze limieten bewaren wij een hash met sleutel van uw IP-adres, nooit het adres zelf: in onze tellers hoogstens een dag, en bij uw bericht zolang het wordt bewaard. Meldt de eigenaar uw bericht, dan wordt het verwijderd, en berichten van hetzelfde gehashte adres worden 7 dagen geweigerd. Links zijn in berichten niet toegestaan. Het formulier plaatst geen cookies en bewaart niets in uw browser. De rechtsgrond is ons gerechtvaardigd belang bij een veilige dienst (artikel 6, lid 1, onder f, AVG). Wilt u uw bericht eerder laten verwijderen, mail dan naar privacy@dpphost.eu en vermeld het product en het tijdstip waarop u het hebt verstuurd.
Meldingen over inhoud
Als u inhoud meldt met het formulier op de pagina over het melden van inhoud, bewaren wij wat u schrijft, het gemelde webadres, uw naam en e-mailadres als u die opgeeft, en een hash met sleutel van uw IP-adres. De melding gebruiken wij om haar te behandelen en om onze verplichtingen op grond van de digitaledienstenverordening na te komen (artikel 6, lid 1, onder c, AVG). De betrokken organisatie komt nooit te weten wie de melding heeft gedaan. De IP-hash gebruiken wij alleen om misbruik van het formulier te beperken; dat is ons gerechtvaardigd belang bij een formulier dat voor iedereen bruikbaar blijft (artikel 6, lid 1, onder f, AVG). Wij verwijderen de IP-hash na 30 dagen. Uw naam, uw e-mailadres en wat u schreef verwijderen wij 3 jaar na ons besluit; wij bewaren alleen de referentie, de datums, de categorie, het gemelde webadres en het besluit, als vastlegging van hoe wij de melding hebben behandeld.
Waar de gegevens worden opgeslagen en wie ze ontvangt
Onze database, ons inlogsysteem en onze serverfuncties draaien bij Supabase in Frankfurt, Duitsland. Cloudflare levert onze websites via zijn wereldwijde netwerk vanuit het datacenter dat het dichtst bij u ligt, bewaart onze opgeslagen bestanden in de EU en stuurt e-mails aan hello@dpphost.eu en privacy@dpphost.eu door naar onze mailboxen bij Microsoft (Microsoft 365) en Google (Gmail). Resend verstuurt onze e-mails. Anthropic leest de bestanden en pagina’s die u bij “Nieuw paspoort” neerzet en de GS1-documenten die u aan GTIN-claims toevoegt, en schrijft de antwoorden van de Gids. Supabase, Cloudflare, Microsoft, Resend en Anthropic zijn onze verwerkers. Stripe verwerkt betalingen, zoals hierboven beschreven. Het zijn allemaal Amerikaanse bedrijven of onderdelen van Amerikaanse concerns. Komen persoonsgegevens in de Verenigde Staten terecht of is er vanuit een land buiten de EU toegang toe, dan valt de doorgifte aan onze verwerkers en aan Stripe onder de standaardcontractbepalingen van de Europese Commissie in de verwerkersovereenkomst van elke aanbieder en, voor Cloudflare, Resend en Stripe, ook onder het EU-VS-kader voor gegevensbescherming. U kunt ons via privacy@dpphost.eu om een kopie van deze waarborgen vragen. De lijst van onze subverwerkers, met de datum waarop elke nieuwe subverwerker begint, staat op dpphost.eu/sub-processors (in het Engels).
Andere ontvangers: het VIES-register van de EU ontvangt het btw-nummer van een organisatie die wordt gecontroleerd; Google, Apple en Microsoft nemen als zelfstandige verwerkingsverantwoordelijken deel aan het inloggen dat u via hen start; de aanbieders van AI-apps die u koppelt, ontvangen wat de app voor u opvraagt; merken ontvangen wat ze volgens deze verklaring te zien krijgen; en overheidsinstanties ontvangen gegevens wanneer de wet dat vereist, bijvoorbeeld de politie op grond van de digitaledienstenverordening. Wij verkopen geen persoonsgegevens.
Back-ups en exports
Elke nacht kopiëren wij elk gepubliceerd paspoort naar aparte opslag bij Cloudflare in de EU, zodat paspoorten kunnen worden hersteld; de kopie bevat alleen wat de paspoortpagina’s tonen. Wij bewaren elke nachtelijke kopie 35 dagen en één kopie per maand 400 dagen. De beheerders van een organisatie kunnen haar paspoorten, concepten, leveranciersbestanden, media en pagina’s als ZIP-bestanden downloaden, die wij na 7 dagen verwijderen; zo’n export bevat geen gegevens van leden of eigenaren, geen sleutels en geen factuurgegevens. Verwijderde gegevens kunnen tot 7 dagen bewaard blijven in de versleutelde back-ups van de database voordat ze worden overschreven.
Uw rechten
U kunt ons vragen om inzage in uw gegevens, om rectificatie of wissing ervan, om beperking van de verwerking of om een kopie in een machineleesbaar formaat, en u kunt bezwaar maken tegen verwerking op basis van ons gerechtvaardigd belang. Mail daarvoor naar privacy@dpphost.eu. Wij antwoorden binnen een maand en kunnen u vragen te bevestigen wie u bent. Is een merk verantwoordelijk voor uw gegevens (zie “Wanneer een merk verantwoordelijk is”), wend u dan tot het merk, of mail ons en wij sturen uw verzoek door. Afgezien van de automatische controle in VIES (zie “Organisaties, bedrijfscontroles en GTIN’s”) nemen wij geen besluiten over u die uitsluitend op geautomatiseerde verwerking berusten en waaraan voor u rechtsgevolgen zijn verbonden of die u anderszins in aanmerkelijke mate treffen. U kunt ook een klacht indienen bij de Deense toezichthoudende autoriteit voor gegevensbescherming (Datatilsynet, datatilsynet.dk) of bij de toezichthoudende autoriteit voor gegevensbescherming in het land waar u woont of werkt.
Wijzigingen van deze verklaring
Wij werken deze verklaring bij wanneer er iets verandert in wat wij met persoonsgegevens doen. De datum bovenaan geeft aan wanneer wij haar voor het laatst hebben gewijzigd.