Privacy

Privacyverklaring JoinSeven Groep B.V.

Over deze verklaring

JoinSeven Consulting B.V. levert advies- en realisatiediensten op het gebied van data,
dashboards, datawarehousing en maatwerk-AI. Bij die dienstverlening komen persoonsgegevens
op twee manieren in beeld, en onze rol verschilt daarbij.

Onze eigen verwerkingen. De gegevens van onze relaties, de mensen met wie wij contact
hebben en de bezoekers van onze website. Daarvoor zijn wij verwerkingsverantwoordelijke;
deze verklaring beschrijft die verwerkingen.

Gegevens in een opdracht. Werken wij in een systeem van de klant, bouwen wij een oplossing
waarin persoonsgegevens van de klant worden verwerkt, of hosten en beheren wij die oplossing
voor de klant, dan bepaalt de klant doel en middelen. De klant is dan verwerkings-
verantwoordelijke en wij zijn verwerker. Wat wij in die rol doen en laten, staat niet in deze
verklaring maar in de verwerkersovereenkomst die wij per opdracht sluiten.

Anders dan bij onze SaaS-producten Codi en PRYSM is er geen standaardplatform: hoe een
opdracht is ingericht verschilt per klant. Wij onderscheiden drie situaties.

Wij werken in de omgeving van de klant. De klant host en beheert; wij krijgen toegang voor
de duur van de opdracht. Dit is de meest voorkomende situatie.

Wij bouwen en leveren op. Wij ontwikkelen een oplossing en dragen die bij oplevering over aan
de klant, die hem daarna zelf host en beheert.

Wij hosten en beheren voor de klant. De oplossing en de bijbehorende gegevens draaien in een
door ons beheerde, van andere klanten gescheiden omgeving, en wij houden die actueel, veilig
en beschikbaar. In dat geval verwerken wij de gegevens van de klant doorlopend en niet alleen
tijdens de bouw, en schakelen wij voor die omgeving zelf een hostingpartij in. Welke dat is en
welke afspraken daarvoor gelden, leggen wij per opdracht vast in de bijlagen bij de
verwerkersovereenkomst.

In de derde situatie valt de beheerde omgeving binnen de scope van ons managementsysteem voor
informatiebeveiliging en gelden daar dezelfde eisen als voor onze eigen systemen.

Contact

JoinSeven Consulting B.V., Utrechtseweg 9, 3704 HA Zeist, KvK-nummer 42091538.

Algemeen en privacyverzoeken: backoffice@joinseven.nl
Compliance en CISO: ciso@joinseven.nl
Postadres: JoinSeven Consulting B.V., Utrechtseweg 9, 3704 HA Zeist

1. Welke gegevens verwerken wij?

Relatie- en contactgegevens. Naam, functie, zakelijk e-mailadres, telefoonnummer en
organisatie van de contactpersonen bij onze klanten, prospects en samenwerkingspartners, plus
de correspondentie die wij met hen voeren.

Offerte- en contractgegevens. De gegevens die nodig zijn om een opdracht aan te gaan en uit te
voeren: contractgegevens, facturatiegegevens en de administratie rond de opdracht.

Projectgegevens. Urenverantwoording, voortgangsrapportages en overleggen die aan een opdracht
zijn gekoppeld, inclusief de namen van de betrokkenen aan beide kanten.

Toegangsgegevens. Werken onze consultants in een systeem van de klant, dan krijgen zij daarvoor
een account bij de klant. De klant bepaalt welke gegevens daarbij worden vastgelegd; wij houden
zelf bij welke consultant tot welke klantomgeving toegang heeft, zodat wij die toegang tijdig
kunnen intrekken.

Gegevens in een door ons beheerde omgeving. Hosten en beheren wij een oplossing voor een klant,
dan staan de gegevens die daarin worden verwerkt in een omgeving die wij inrichten en
onderhouden. Welke gegevens dat zijn bepaalt de klant; wij verwerken ze uitsluitend om de
oplossing te laten werken, actueel te houden en te beveiligen, en niet voor eigen doeleinden.
De afspraken daarover staan in de verwerkersovereenkomst bij die opdracht.

Websitebezoek. Bezoek je joinseven.nl, dan verwerken wij bezoekstatistieken via Google
Analytics: een verkort (geanonimiseerd) IP-adres, je browser- en apparaattype, de pagina’s die
je bekijkt en hoe je op de site terecht bent gekomen. Deze gegevens bewaren wij 14 maanden.
Voor die analytics-cookies vragen wij vooraf je toestemming: geef je die niet, dan plaatsen wij
ze niet en verwerken wij geen bezoekstatistieken van jou. Google Ierland treedt hierbij op als
verwerker; een deel van de verwerking kan buiten de Europese Economische Ruimte plaatsvinden,
op basis van de modelcontractbepalingen in de verwerkersovereenkomst met Google.

Sollicitaties. Reageer je op een vacature of stuur je een open sollicitatie, dan verwerken wij
je naam, contactgegevens, cv en motivatie. Die gegevens bewaren wij tot vier weken na
afwijzing, of tot een jaar als je daar toestemming voor geeft.

2. Waarvoor verwerken wij die gegevens?

Wij onderhouden contact met klanten, prospects en partners op grond van ons gerechtvaardigd
belang (artikel 6 lid 1 sub f AVG).

Wij brengen offertes uit en gaan overeenkomsten aan om de overeenkomst uit te voeren of
maatregelen te nemen die daaraan voorafgaan (artikel 6 lid 1 sub b).

Wij voeren de opdracht uit, inclusief urenverantwoording en rapportage, om de overeenkomst uit
te voeren (artikel 6 lid 1 sub b).

Wij beheersen de toegang tot klantomgevingen op grond van ons gerechtvaardigd belang
(artikel 6 lid 1 sub f).

Wij factureren en houden administratie bij om de overeenkomst uit te voeren
(artikel 6 lid 1 sub b), en bewaren die gegevens om aan de fiscale bewaarplicht te voldoen
(artikel 6 lid 1 sub c).

Wij analyseren het gebruik van onze website op basis van jouw toestemming voor de cookies
(artikel 11.7a Telecommunicatiewet) en van ons gerechtvaardigd belang voor de verwerking van
de statistieken.

Wij verwerken sollicitatiegegevens op grond van ons gerechtvaardigd belang, of op grond van
jouw toestemming wanneer wij ze langer bewaren.

3. Hoe lang bewaren wij gegevens?

Relatie- en contactgegevens bewaren wij zolang de relatie loopt, en daarna twee jaar.

Het contract- en projectdossier bewaren wij zeven jaar na afloop van de opdracht. Voor
facturatie- en administratiegegevens geldt dezelfde termijn van zeven jaar, op grond van de
fiscale bewaarplicht.

De registratie van toegang tot klantomgevingen bewaren wij zolang de toegang bestaat, en
daarna één jaar als audittrail.

Gegevens in een door ons beheerde omgeving bewaren wij zolang de beheerovereenkomst loopt.
Daarna dragen wij ze over of verwijderen wij ze binnen 30 dagen, conform de
verwerkersovereenkomst.

Websitestatistieken bewaren wij 14 maanden.

Sollicitatiegegevens bewaren wij tot vier weken na afwijzing, of tot één jaar met jouw
toestemming.

4. Met wie delen wij gegevens?

Wij delen persoonsgegevens alleen wanneer dat nodig is voor onze dienstverlening of wettelijk
verplicht is. Dat gebeurt met drie soorten partijen.

Microsoft levert Microsoft 365 en Azure voor e-mail, documenten, samenwerking en
identiteitsbeheer. De verwerking vindt plaats binnen de Europese Unie.

Google Ierland verzorgt de bezoekstatistieken van joinseven.nl. De verwerking vindt plaats
binnen de Europese Unie en deels daarbuiten, op basis van modelcontractbepalingen.

Onze accountant en ons administratiekantoor verwerken gegevens voor de financiële
administratie en de jaarrekening, binnen Nederland.

Verwerken wij in een opdracht persoonsgegevens van de klant, dan gelden voor de inschakeling
van derden de afspraken uit de verwerkersovereenkomst bij die opdracht; zonder toestemming van
de klant schakelen wij daarvoor geen subverwerkers in. Hosten en beheren wij een oplossing voor
de klant, dan is de hostingpartij van die omgeving wél een subverwerker. Die staat met naam en
verwerkingslocatie in de bijlagen bij de verwerkersovereenkomst en wordt vóór ingebruikname
beoordeeld op beveiliging, certificering en verwerkersovereenkomst.

Wij verkopen geen persoonsgegevens.

5. Hoe beveiligen wij gegevens?

JoinSeven Consulting valt onder het managementsysteem voor informatiebeveiliging van de
JoinSeven-groep en werkt volgens ISO 27001 en de BIO2.

Toegang. Toegang tot systemen verloopt via persoonsgebonden accounts met multi-factor
authenticatie. Rechten worden op basis van least privilege toegekend en periodiek beoordeeld;
bij uitdiensttreding worden zij direct ingetrokken.

Apparaten. Consultants werken op beheerde en versleutelde apparaten. Klantgegevens worden niet
lokaal opgeslagen wanneer dat niet nodig is voor de opdracht.

Werken in klantomgevingen. Wij volgen de beveiligingsregels van de klant. Toegang tot een
klantomgeving wordt vastgelegd, is beperkt tot de consultants die op de opdracht werken, en
wordt bij afloop van de opdracht ingetrokken.

Door ons beheerde omgevingen. Hosten wij een oplossing voor een klant, dan is die omgeving
gescheiden van die van andere klanten en van onze eigen systemen, met eigen toegangsrechten.
Wij houden de omgeving actueel met beveiligingsupdates, monitoren de beschikbaarheid, maken
back-ups en behandelen incidenten volgens hetzelfde proces als voor onze eigen
productieomgevingen. De omgeving valt binnen de scope van ons managementsysteem voor
informatiebeveiliging.

Vertrouwelijkheid. Al onze medewerkers zijn contractueel tot geheimhouding verplicht en volgen
jaarlijks een bewustwordingsprogramma.

Incidenten. Beveiligingsincidenten volgen een vastgelegd proces met reactietermijnen. Raakt een
incident gegevens van een klant, dan informeren wij die klant zo spoedig mogelijk.

Wij werken toe naar ISO 27001-certificering.

6. Jouw rechten

Op grond van de AVG heb je recht op inzage, rectificatie, verwijdering, beperking en
overdraagbaarheid van je gegevens, en kun je bezwaar maken tegen verwerking op basis van
gerechtvaardigd belang.

Gaat het om gegevens waarvoor wij verwerkingsverantwoordelijke zijn, dan kun je rechtstreeks
terecht via backoffice@joinseven.nl. Wij reageren binnen 30 dagen. Gaat het om gegevens die wij
in opdracht van een klant verwerken, dan dien je je verzoek in bij die klant; wij ondersteunen
hem daarbij.

7. Klachten

Heb je een klacht over de verwerking van je persoonsgegevens, neem dan contact op via
backoffice@joinseven.nl of ciso@joinseven.nl. Je hebt daarnaast het recht een klacht in te
dienen bij de Autoriteit Persoonsgegevens, via autoriteitpersoonsgegevens.nl.

8. Wijzigingen

Wij kunnen deze privacyverklaring wijzigen. De meest recente versie staat altijd op de website,
met versienummer en datum. Bij substantiële wijzigingen informeren wij onze klanten vooraf.

Versie 1.0, 17 augustus 2026