Privacyverklaring

Over deze verklaring

JoinSeven Consulting B.V. levert advies- en realisatiediensten op het gebied van data,
dashboards, datawarehousing en maatwerk-AI. Bij die dienstverlening komen persoonsgegevens
op twee manieren in beeld, en onze rol verschilt daarbij.

Onze eigen verwerkingen. De gegevens van onze relaties, de mensen met wie wij contact
hebben en de bezoekers van onze website. Daarvoor zijn wij verwerkingsverantwoordelijke;
deze verklaring beschrijft die verwerkingen.

Gegevens in een opdracht. Werken wij in een systeem van de klant, bouwen wij een oplossing
waarin persoonsgegevens van de klant worden verwerkt, of hosten en beheren wij die oplossing
voor de klant, dan bepaalt de klant doel en middelen. De klant is dan verwerkings-
verantwoordelijke en wij zijn verwerker. Wat wij in die rol doen en laten, staat niet in deze
verklaring maar in de verwerkersovereenkomst die wij per opdracht sluiten.

Anders dan bij onze SaaS-producten Codi en PRYSM is er geen standaardplatform: hoe een
opdracht is ingericht verschilt per klant. Wij onderscheiden drie situaties.

Wij werken in de omgeving van de klant. De klant host en beheert; wij krijgen toegang voor
de duur van de opdracht. Dit is de meest voorkomende situatie.

Wij bouwen en leveren op. Wij ontwikkelen een oplossing en dragen die bij oplevering over aan
de klant, die hem daarna zelf host en beheert.

Wij hosten en beheren voor de klant. De oplossing en de bijbehorende gegevens draaien in een
door ons beheerde, van andere klanten gescheiden omgeving, en wij houden die actueel, veilig
en beschikbaar. In dat geval verwerken wij de gegevens van de klant doorlopend en niet alleen
tijdens de bouw, en schakelen wij voor die omgeving zelf een hostingpartij in. Welke dat is en
welke afspraken daarvoor gelden, leggen wij per opdracht vast in de bijlagen bij de
verwerkersovereenkomst.

In de derde situatie valt de beheerde omgeving binnen de scope van ons managementsysteem voor
informatiebeveiliging en gelden daar dezelfde eisen als voor onze eigen systemen.

Contact

JoinSeven Consulting B.V., Utrechtseweg 9, 3704 HA Zeist, KvK-nummer 42091538.

Algemeen en privacyverzoeken: backoffice@joinseven.nl
Compliance en CISO: ciso@joinseven.nl
Postadres: JoinSeven Consulting B.V., Utrechtseweg 9, 3704 HA Zeist

1. Welke gegevens verwerken wij?

Relatie- en contactgegevens. Naam, functie, zakelijk e-mailadres, telefoonnummer en
organisatie van de contactpersonen bij onze klanten, prospects en samenwerkingspartners, plus
de correspondentie die wij met hen voeren.

Offerte- en contractgegevens. De gegevens die nodig zijn om een opdracht aan te gaan en uit te
voeren: contractgegevens, facturatiegegevens en de administratie rond de opdracht.

Projectgegevens. Urenverantwoording, voortgangsrapportages en overleggen die aan een opdracht
zijn gekoppeld, inclusief de namen van de betrokkenen aan beide kanten.

Toegangsgegevens. Werken onze consultants in een systeem van de klant, dan krijgen zij daarvoor
een account bij de klant. De klant bepaalt welke gegevens daarbij worden vastgelegd; wij houden
zelf bij welke consultant tot welke klantomgeving toegang heeft, zodat wij die toegang tijdig
kunnen intrekken.

Gegevens in een door ons beheerde omgeving. Hosten en beheren wij een oplossing voor een klant,
dan staan de gegevens die daarin worden verwerkt in een omgeving die wij inrichten en
onderhouden. Welke gegevens dat zijn bepaalt de klant; wij verwerken ze uitsluitend om de
oplossing te laten werken, actueel te houden en te beveiligen, en niet voor eigen doeleinden.
De afspraken daarover staan in de verwerkersovereenkomst bij die opdracht.

Contactformulier. Stuur je ons een bericht via het contactformulier op joinseven.nl, dan verwerken wij je naam, je e-mailadres, het onderwerp en de tekst van je bericht. Wij gebruiken die gegevens alleen om je vraag of verzoek te beantwoorden. Direct na het versturen sturen wij je een automatische ontvangstbevestiging op het e-mailadres dat je hebt ingevuld, met de termijn waarbinnen je van ons hoort; een kopie van je bericht zit daar niet in. Het bericht en de bevestiging worden verstuurd via de e-maildienst van onze hostingpartij Scaleway, binnen de Europese Unie. Leidt je bericht tot contact met ons, dan bewaren wij het zolang die relatie loopt en daarna twee jaar; leidt het nergens toe, dan verwijderen wij het binnen twaalf maanden. Wij tellen per dag hoeveel berichten er binnenkomen en om welk soort verzoek het gaat, zoals een kennismaking of een demo. In die telling staan geen naam, e-mailadres of IP-adres en zij is niet tot jou te herleiden. Wij gebruiken voor dit formulier geen externe formulier- of captchadienst.

Websitebezoek. Bezoek je joinseven.nl, dan verwerken wij bezoekstatistieken via Google
Analytics: een verkort (geanonimiseerd) IP-adres, je browser- en apparaattype, de pagina’s die
je bekijkt en hoe je op de site terecht bent gekomen. Deze gegevens bewaren wij 14 maanden.
Voor die analytics-cookies vragen wij vooraf je toestemming: geef je die niet, dan plaatsen wij
ze niet en verwerken wij geen bezoekstatistieken van jou. Google Ierland treedt hierbij op als
verwerker; een deel van de verwerking kan buiten de Europese Economische Ruimte plaatsvinden,
op basis van de modelcontractbepalingen in de verwerkersovereenkomst met Google.

Marketing en retargeting. Geef je in de cookiemelding ook toestemming voor marketing, dan plaatsen wij een eigen cookie met een willekeurig nummer. Je naam of e-mailadres staat daar niet in, maar omdat het nummer je browser herkenbaar maakt, is het een persoonsgegeven. Hebben wij de advertentiecodes van LinkedIn (Insight Tag) of Google (Google Ads) ingeschakeld, dan laden wij die ook. LinkedIn en Google ontvangen dan je IP-adres, gegevens over je browser en apparaat en de pagina’s die je bekijkt, en bouwen daarmee een doelgroep op, zodat wij je na je bezoek een advertentie van JoinSeven kunnen laten zien. Geef je geen toestemming voor marketing, dan gebeurt niets hiervan.

Sollicitaties. Reageer je op een vacature of stuur je een open sollicitatie, dan verwerken wij
je naam, contactgegevens, cv en motivatie. Die gegevens bewaren wij tot vier weken na
afwijzing, of tot een jaar als je daar toestemming voor geeft.

2. Waarvoor verwerken wij die gegevens?

Wij onderhouden contact met klanten, prospects en partners op grond van ons gerechtvaardigd
belang (artikel 6 lid 1 sub f AVG).

Wij brengen offertes uit en gaan overeenkomsten aan om de overeenkomst uit te voeren of
maatregelen te nemen die daaraan voorafgaan (artikel 6 lid 1 sub b).

Wij voeren de opdracht uit, inclusief urenverantwoording en rapportage, om de overeenkomst uit
te voeren (artikel 6 lid 1 sub b).

Wij beheersen de toegang tot klantomgevingen op grond van ons gerechtvaardigd belang
(artikel 6 lid 1 sub f).

Wij factureren en houden administratie bij om de overeenkomst uit te voeren
(artikel 6 lid 1 sub b), en bewaren die gegevens om aan de fiscale bewaarplicht te voldoen
(artikel 6 lid 1 sub c).

Wij beantwoorden berichten via het contactformulier, inclusief de automatische ontvangstbevestiging, op grond van de uitvoering van de overeenkomst of maatregelen vooraf (artikel 6 lid 1 sub b) bij een verzoek om een demo, intake of kennismaking, en op grond van ons gerechtvaardigd belang (artikel 6 lid 1 sub f) bij een andere vraag.

Wij analyseren het gebruik van onze website op basis van jouw toestemming voor de cookies
(artikel 11.7a Telecommunicatiewet) en van ons gerechtvaardigd belang voor de verwerking van
de statistieken.

Wij plaatsen marketingcookies en laden de advertentiecodes van LinkedIn en Google op basis van jouw toestemming (artikel 11.7a Telecommunicatiewet en artikel 6 lid 1 sub a AVG). Je kunt die toestemming altijd intrekken via Cookievoorkeuren onderaan elke pagina.

Wij verwerken sollicitatiegegevens op grond van ons gerechtvaardigd belang, of op grond van
jouw toestemming wanneer wij ze langer bewaren.

3. Hoe lang bewaren wij gegevens?

Relatie- en contactgegevens bewaren wij zolang de relatie loopt, en daarna twee jaar.

Het contract- en projectdossier bewaren wij zeven jaar na afloop van de opdracht. Voor
facturatie- en administratiegegevens geldt dezelfde termijn van zeven jaar, op grond van de
fiscale bewaarplicht.

De registratie van toegang tot klantomgevingen bewaren wij zolang de toegang bestaat, en
daarna één jaar als audittrail.

Gegevens in een door ons beheerde omgeving bewaren wij zolang de beheerovereenkomst loopt.
Daarna dragen wij ze over of verwijderen wij ze binnen 30 dagen, conform de
verwerkersovereenkomst.

Berichten via het contactformulier bewaren wij, als ze tot een relatie leiden, zolang die relatie loopt en daarna twee jaar; leiden ze nergens toe, dan twaalf maanden.

Websitestatistieken bewaren wij 14 maanden.

Ons eigen marketingcookie bewaren wij tot zes maanden na je laatste bezoek. Voor de cookies van LinkedIn en Google gelden hun eigen termijnen; die staan in ons cookiebeleid.

Sollicitatiegegevens bewaren wij tot vier weken na afwijzing, of tot één jaar met jouw
toestemming.

4. Met wie delen wij gegevens?

Wij delen persoonsgegevens alleen wanneer dat nodig is voor onze dienstverlening of wettelijk
verplicht is. Dat gebeurt met de partijen hieronder.

Microsoft levert Microsoft 365 en Azure voor e-mail, documenten, samenwerking en
identiteitsbeheer. De verwerking vindt plaats binnen de Europese Unie.

Scaleway levert de hosting van joinseven.nl en verstuurt de e-mail van het contactformulier, waaronder de ontvangstbevestiging. De verwerking vindt plaats binnen de Europese Unie (Nederland en Frankrijk).

Google Ierland verzorgt de bezoekstatistieken van joinseven.nl. De verwerking vindt plaats
binnen de Europese Unie en deels daarbuiten, op basis van modelcontractbepalingen.

LinkedIn Ireland en Google Ierland ontvangen je bezoekgegevens als je toestemming geeft voor marketing en wij hun advertentiecodes hebben ingeschakeld. Voor het verzamelen via onze site en het doorgeven aan hen zijn wij verantwoordelijk; voor wat zij daarna met die gegevens doen, zijn zij zelf verwerkingsverantwoordelijke. Zij kunnen de gegevens ook in de Verenigde Staten verwerken, op basis van het EU-VS Data Privacy Framework of de modelcontractbepalingen.

Onze accountant en ons administratiekantoor verwerken gegevens voor de financiële
administratie en de jaarrekening, binnen Nederland.

Verwerken wij in een opdracht persoonsgegevens van de klant, dan gelden voor de inschakeling
van derden de afspraken uit de verwerkersovereenkomst bij die opdracht; zonder toestemming van
de klant schakelen wij daarvoor geen subverwerkers in. Hosten en beheren wij een oplossing voor
de klant, dan is de hostingpartij van die omgeving wél een subverwerker. Die staat met naam en
verwerkingslocatie in de bijlagen bij de verwerkersovereenkomst en wordt vóór ingebruikname
beoordeeld op beveiliging, certificering en verwerkersovereenkomst.

Wij verkopen geen persoonsgegevens.

5. Hoe beveiligen wij gegevens?

JoinSeven Consulting valt onder het managementsysteem voor informatiebeveiliging van de
JoinSeven-groep. Dat managementsysteem is ISO 27001-gecertificeerd; het certificaat staat op naam van JoinSeven Groep B.V., is afgegeven door Brand Compliance en geldt tot en met 21 september 2029. De scope omvat onze volledige dienstverlening, inclusief consultancy. Als leverancier aan overheidsklanten werken we conform de BIO2 voor zover van toepassing.

Toegang. Toegang tot systemen verloopt via persoonsgebonden accounts met multi-factor
authenticatie. Rechten worden op basis van least privilege toegekend en periodiek beoordeeld;
bij uitdiensttreding worden zij direct ingetrokken.

Apparaten. Consultants werken op beheerde en versleutelde apparaten. Klantgegevens worden niet
lokaal opgeslagen wanneer dat niet nodig is voor de opdracht.

Werken in klantomgevingen. Wij volgen de beveiligingsregels van de klant. Toegang tot een
klantomgeving wordt vastgelegd, is beperkt tot de consultants die op de opdracht werken, en
wordt bij afloop van de opdracht ingetrokken.

Door ons beheerde omgevingen. Hosten wij een oplossing voor een klant, dan is die omgeving
gescheiden van die van andere klanten en van onze eigen systemen, met eigen toegangsrechten.
Wij houden de omgeving actueel met beveiligingsupdates, monitoren de beschikbaarheid, maken
back-ups en behandelen incidenten volgens hetzelfde proces als voor onze eigen
productieomgevingen. De omgeving valt binnen de scope van ons managementsysteem voor
informatiebeveiliging.

Vertrouwelijkheid. Al onze medewerkers zijn contractueel tot geheimhouding verplicht en volgen
jaarlijks een bewustwordingsprogramma.

Incidenten. Beveiligingsincidenten volgen een vastgelegd proces met reactietermijnen. Raakt een
incident gegevens van een klant, dan informeren wij die klant zo spoedig mogelijk.

6. Jouw rechten

Op grond van de AVG heb je recht op inzage, rectificatie, verwijdering, beperking en
overdraagbaarheid van je gegevens, en kun je bezwaar maken tegen verwerking op basis van
gerechtvaardigd belang.

Gaat het om gegevens waarvoor wij verwerkingsverantwoordelijke zijn, dan kun je rechtstreeks
terecht via backoffice@joinseven.nl. Wij reageren binnen 30 dagen. Gaat het om gegevens die wij
in opdracht van een klant verwerken, dan dien je je verzoek in bij die klant; wij ondersteunen
hem daarbij.

7. Klachten

Heb je een klacht over de verwerking van je persoonsgegevens, neem dan contact op via
backoffice@joinseven.nl of ciso@joinseven.nl. Je hebt daarnaast het recht een klacht in te
dienen bij de Autoriteit Persoonsgegevens, via autoriteitpersoonsgegevens.nl.

8. Wijzigingen

Wij kunnen deze privacyverklaring wijzigen. De meest recente versie staat altijd op de website,
met versienummer en datum. Bij substantiële wijzigingen informeren wij onze klanten vooraf.

Versie 1.1, 29 september 2026