Privacybeleid.

1. Wie wij zijn

scamcanary wordt aangeboden door scamcanary VOF, een vennootschap onder firma van Job van Breukelen en Oliver Milner, Amsterdamsestraatweg 152BIS, 3551 CM Utrecht. De inschrijving bij de Kamer van Koophandel (KvK) loopt; zodra er een KvK-nummer is, staat het op deze pagina. Voor alles over je persoonsgegevens mail je naar [email protected] of gebruik je de contactpagina.

2. Onze rol

Voor je eigen account en onze website bepalen wij wat er met je gegevens gebeurt: wij zijn verwerkingsverantwoordelijke. Traint een werkgever of familielid jou via scamcanary, dan bepaalt die waarom er getraind wordt en verwerken wij de trainingsgegevens namens hen: wij zijn dan verwerker, zij verwerkingsverantwoordelijke. Zakelijke klanten sluiten met ons een verwerkersovereenkomst die dit vastlegt. Elke zakelijke klant krijgt die overeenkomst voordat de eigen mensen meedoen.

3. Wat we verzamelen

Je account: je naam, e-mailadres en wachtwoord, alleen opgeslagen als veilige hash die niemand kan lezen, en je instellingen voor tweestapsverificatie. Om oefenmails realistisch te maken, optionele gegevens die jij of je organisatie toevoegt: je werk of situatie, woonplaats, werkgever, de diensten die je gebruikt, een leeftijdsgroep en een korte notitie. Van elke oefenmail: wanneer hij is verstuurd en hoe je reageerde (gemeld, geklikt of nog niets). Van trainingsmodules: welke je hebt afgerond en wanneer, nooit je antwoorden, want die worden niet bewaard. Van de korte quizkaartjes na een melding (minilessen): welk kaartje je zag, welk antwoord je koos en of het goed was. Van de wekelijkse spelletjes: je score en de punten die je ermee verdiende. Van mails die je meldt: het onderwerp, de afzender, het begin van de tekst en de uitkomst van onze controle; bijlagen slaan we nooit op. Als je kiest voor oefen-sms'jes: je telefoonnummer en je toestemming, die je werkgever nooit ziet. Als je bedrijf zijn Microsoft 365 koppelt: de namen van zijn groepen, zodat een beheerder er een kan kiezen, en één keer per dag de naam, het zakelijke e-mailadres, de functie, de afdeling, de Microsoft-gebruikers-ID en of het account aan staat van de mensen in de gekozen groep; alleen wie in het team komt wordt bewaard, en we krijgen geen toegang tot iemands mailbox. Als je inlogt of meedoet met Microsoft of Google: je e-mailadres en, bij een nieuw account vanuit een uitnodiging, je naam, om je account te vinden of aan te maken; verder bewaren we niets van die inlog, behalve een regel in het beveiligingslog van je account dat je zo inlogde. Van bedrijven: de bedrijfsgegevens die de eigenaar invult. Een beveiligingslog per account: inloggen, mislukte inlogpogingen, blokkades, wachtwoordwijzigingen en het aan- of uitzetten van tweestapsverificatie, elk met het IP-adres waar het vandaan kwam. Van bedrijven een auditlog van wat de eigenaar en beheerders wijzigden, ook met het IP-adres. Op onze website: bezoektellingen zonder cookies en zonder je IP-adres op te slaan, en bij aanmelding van welke website of campagne je kwam. Daar gebruiken we geen cookies voor; in het cookiebeleid staan de paar cookies die we wel gebruiken. Als je het contactformulier gebruikt: je naam, e-mailadres en bericht. Voor elke oefenmail tijdens een gratis proefperiode: een onleesbare code (een versleutelde hash) van het e-mailadres van de ontvanger en van het e-maildomein van diens bedrijf, zodat dezelfde mensen niet nog een gratis proefperiode kunnen krijgen. Het adres is daar niet uit terug te halen.

Lees het cookiebeleid

4. Waarom, en op welke grondslag

Om je account en de Dienst te leveren waarvoor je je aanmeldde: uitvoering van de overeenkomst. Om oefenmails en training te versturen en bij te houden: namens de organisatie die traint, die verantwoordelijk is voor de grondslag (zie artikel 3 van de voorwaarden); we versturen alleen aan mensen die de uitnodiging zelf hebben geaccepteerd, en stoppen als ze zich terugtrekken. De optionele gegevens die oefenmails persoonlijk maken: jouw toestemming, die je altijd kunt intrekken in je instellingen. Het beveiligingslog, inloglimieten en het voorkomen van misbruik: ons gerechtvaardigd belang om accounts veilig te houden. Websitebezoek tellen zonder cookies: ons gerechtvaardigd belang om te weten hoe de site gebruikt wordt. De codes voor de gratis proefperiode: ons gerechtvaardigd belang om misbruik van proefperiodes te voorkomen. Service-e-mails zoals uitnodigingen, wachtwoordresets en bevestigingen: uitvoering van de overeenkomst. De optionele gegevens hoef je nooit te geven; zonder die gegevens zijn oefenmails alleen minder persoonlijk. Voor een account zijn een naam en e-mailadres nodig. Kiest je organisatie voor inzichten per persoon, dan geven vaste regels (geen AI) je een risiconiveau laag, middel of hoog, altijd met de redenen erbij; dat mag niet de enige basis zijn voor beslissingen over je baan (zie artikel 7 van de voorwaarden).

5. Wie ons helpt

Railway host de applicatie en de database in zijn Europese regio (Amsterdam). Cloudflare beschermt de website en het netwerkverkeer, en ontvangt de meldingen aan ons meldadres. Microsoft 365 host ons meldadres [email protected], dus een mail die je daarheen doorstuurt gaat via Microsoft. Resend verstuurt onze e-mails vanuit zijn Europese verzendregio (Ierland). De AI van Anthropic schrijft de tekst van oefenmails. Daarvoor ontvangt die je voornaam, je functie en afdeling, de naam en sector van het bedrijf, de optionele gegevens hierboven en, bij zakelijke accounts, de namen, functies en afdelingen van maximaal twaalf collega's, zodat een mail een echte collega kan noemen. Je naam en functie kunnen dus voorkomen in de oefenmail van een collega, als de collega van wie die zogenaamd komt of die erin genoemd wordt. Nooit wachtwoorden, e-mailadressen of resultaten; voor scamcanary AI ontvangt die alleen totalen voor het bedrijf en de afdelingen, met de afdelingen hernoemd, en de vraag van de beheerder, waaruit alles wat op een e-mailadres, telefoonnummer of webadres lijkt is verwijderd. Maakt een beheerder van een gemelde phishingmail een oefening, dan ontvangt die het onderwerp en een fragment van die mail, waaruit eerst links, e-mailadressen, telefoonnummers, rekeningnummers en de namen in aanhef en ondertekening zijn verwijderd. Een deel van deze partijen is gevestigd in de Verenigde Staten. Die doorgiften zijn zo geregeld: Railway met standaardcontractbepalingen (de gegevens zelf blijven in Amsterdam); Cloudflare en Resend met het EU-VS Data Privacy Framework en standaardcontractbepalingen; Anthropic met standaardcontractbepalingen in zijn verwerkersvoorwaarden. Ons contract met Microsoft loopt via Microsoft Ireland, in de EU. Elk van hen verwerkt gegevens voor ons onder de eigen verwerkersvoorwaarden. We verkopen of verhuren geen gegevens, tonen geen advertenties en gebruiken geen advertentietrackers.

6. Hoe lang we het bewaren

Persoonlijke gegevens waarmee oefenmails worden geschreven: automatisch gewist 90 dagen nadat ze voor het laatst zijn bijgewerkt, en meteen als je je toestemming intrekt. Een gemelde echte mail die je met je beheerders deelde: 90 dagen; een mail die je niet deelde: niets persoonlijks meer zodra het meldvenster sluit, binnen een uur. Accountgegevens, resultaten van oefenmails en voortgang in de training: zolang het account actief is, en binnen 30 dagen nadat het is opgezegd verwijderd. Het auditlog van een bedrijf en het beveiligingslog van elk account: een jaar. Samenvattingen van scamcanary AI, met alleen totalen: een jaar. Bezoektellingen van de website: 13 maanden. Berichten via het contactformulier: een jaar. Codes voor de gratis proefperiode: twee jaar na de laatste oefenmail. We maken elke dag een versleutelde back-up en bewaren de laatste 14, op onze server en als kopie in de opslag van Cloudflare in de EU, dus verwijderde gegevens zijn binnen 14 dagen ook uit de back-ups verdwenen.

7. Je rechten

Je kunt vragen welke persoonsgegevens we van je hebben, ze laten verbeteren of verwijderen, het gebruik ervan laten beperken of er bezwaar tegen maken, en ze ontvangen in een vorm die je elders kunt gebruiken. Je kunt je toestemming altijd intrekken in je instellingen; dan stoppen de oefenmails meteen en worden de persoonlijke gegevens waarmee ze geschreven werden verwijderd. Voor al het andere gebruik je de contactpagina. Traint een organisatie jou via scamcanary, dan kunnen we je verzoek aan hen doorgeven, omdat zij voor die gegevens verantwoordelijk zijn. We antwoorden binnen een maand.

8. Klachten

Vind je dat we verkeerd met je gegevens omgaan, laat het ons dan eerst weten, zodat we het kunnen rechtzetten. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl. In het Verenigd Koninkrijk kun je terecht bij de Information Commissioner's Office via ico.org.uk.

9. Beveiliging

Al het verkeer is versleuteld, wachtwoorden worden opgeslagen als sterke hashes, inlogsessies en resetlinks worden zo opgeslagen dat een kopie van onze database er niets mee kan, en elke pagina en actie controleert of je die gegevens mag zien. Op de pagina Beveiliging lees je meer.

10. Wijzigingen

We passen dit beleid aan als wat we doen verandert, en laten klanten weten als er iets belangrijks wijzigt. De datum bovenaan laat de laatste versie zien.