Privacyverklaring DIGS

1. Wie zijn wij

DIGS is een webapplicatie (software as a service) waarmee aannemers en grondroerders, netbeheerders, gemeenten en provincies graafschades aan kabels en leidingen registreren, met elkaar delen en analyseren. DIGS wordt aangeboden door [DIGS B.V. / handelsnaam DIGS], gevestigd te [adres], ingeschreven bij de Kamer van Koophandel onder nummer [KvK-nummer] (hierna "DIGS", "wij" of "ons").

Contact over privacy: [privacy@e-mailadres] of per post naar het bovenstaande adres. [Als er een functionaris gegevensbescherming wordt aangesteld, hier vermelden.]

2. Wie is verantwoordelijk voor uw gegevens

Bij DIGS werken meerdere organisaties samen in één applicatie. Daarom is het belangrijk om te weten wie voor welke gegevens verantwoordelijk is.

Heeft u vragen over hoe uw organisatie met meldingen omgaat, of wilt u een melding laten aanpassen of verwijderen? Neem dan contact op met de beheerder van uw eigen organisatie. Wij helpen die organisatie daarbij.

3. Welke gegevens wij verwerken

3.1 Als u met een account in DIGS werkt

• Accountgegevens: uw naam, zakelijk e-mailadres en de organisatie waar u bij hoort;
• Inloggegevens: uw wachtwoord, uitsluitend als versleutelde hash (wij kunnen uw wachtwoord niet lezen); als u tweefactorauthenticatie gebruikt: een versleuteld 2FA-geheim en gehashte herstelcodes;
• Rol en rechten: welke machtigingen u binnen uw organisatie heeft (bijvoorbeeld melden, inzien, beheren);
• Meldingen: de gegevens die u zelf invoert in meldingen: adres van de schade (via de BAG van het Kadaster), KLIC-nummer, netsoort, betrokken organisaties, oorzaak, aansprakelijkheid, omschrijving, opmerkingen en foto's. Uw naam wordt als melder bij de melding vastgelegd;
• Berichten: berichten die u aan andere gebruikers stuurt of van hen ontvangt, inclusief onderwerp, inhoud, datum en eventueel de gekoppelde melding;
• Auditlog: welke handelingen u in DIGS verricht (inloggen, meldingen aanmaken of wijzigen, exporteren, API-gebruik), met datum, tijd en het IP-adres waarmee u verbonden was;
• API-sleutels: als u beheerder bent: de naam, het aanmaakmoment en het laatste gebruik van API-sleutels van uw organisatie (de sleutel zelf wordt alleen als hash bewaard);
• Technische gegevens: technische gegevens die nodig zijn om u ingelogd te houden (sessiecookie) en om de dienst te beveiligen (IP-adres, browsertype, tijdstip).

3.2 Als u onze website bezoekt of contact opneemt

• Websitebezoek: technische gegevens die uw browser meestuurt (IP-adres, browsertype, opgevraagde pagina, tijdstip), die kortstondig in serverlogboeken staan;
• Contact en support: uw naam, e-mailadres, organisatie, telefoonnummer (als u dat opgeeft) en de inhoud van uw bericht;
• Klantadministratie: naam en contactgegevens van de contactpersoon bij een klantorganisatie, factuur- en betaalgegevens.

Wij verwerken geen bijzondere persoonsgegevens (zoals gezondheidsgegevens) en geen burgerservicenummers. Wij vragen gebruikers om geen onnodige persoonsgegevens in foto's, omschrijvingen en berichten op te nemen.

4. Waarvoor wij uw gegevens gebruiken en op welke grondslag

Wij gebruiken uw gegevens niet voor geautomatiseerde besluitvorming met rechtsgevolgen en niet voor profilering. De afweging die wij voor elk gerechtvaardigd belang hebben gemaakt, kunt u bij ons opvragen. Wij verkopen geen gegevens aan derden en sturen geen commerciële nieuwsbrieven zonder uw toestemming.

5. Hoe lang wij gegevens bewaren

Wij bewaren gegevens niet langer dan nodig voor het doel waarvoor ze zijn verzameld, of zolang de wet dat vereist. Voor gegevens waarvoor DIGS verwerker is, gelden de termijnen die met de klantorganisatie zijn afgesproken; hieronder staan de standaardtermijnen.

6. Met wie wij gegevens delen

6.1 Andere organisaties in DIGS

DIGS is gemaakt om meldingen te delen. De organisatie die een melding indient, bepaalt met de datadelingsregel welke betrokken partijen (provincies, gemeenten, netbeheerders, veroorzaker, grondroerder, opdrachtgever) de melding mogen zien. Als u een melding aanmaakt, is uw naam als melder zichtbaar voor die organisaties. Berichten zijn zichtbaar voor de afzender, de ontvanger en, voor beheer en support, voor DIGS. Uw accountgegevens worden verder niet met andere organisaties gedeeld.

6.2 Leveranciers (subverwerkers)

Wij schakelen leveranciers in die namens ons gegevens verwerken. Met hen sluiten wij een verwerkersovereenkomst. Al onze leveranciers verwerken gegevens binnen de Europese Economische Ruimte (EER).

Tijdens de opbouwfase draait DIGS op een server in Nederland die wordt beheerd door de bouwer van de applicatie [Neurokracht / madweb.design]. Zodra DIGS naar een hostingprovider verhuist, werken wij deze verklaring bij.

6.3 Overige ontvangers

Wij verstrekken gegevens alleen aan anderen als dat wettelijk verplicht is (bijvoorbeeld op vordering van een bevoegde autoriteit) of als u daarvoor toestemming heeft gegeven. Wij geven geen gegevens door aan landen buiten de EER.

7. Hoe wij uw gegevens beveiligen

Wij nemen de beveiliging van uw gegevens serieus en hebben onder meer de volgende maatregelen getroffen:

• al het verkeer verloopt via een versleutelde verbinding (HTTPS/TLS);
• wachtwoorden worden alleen als sterke hash (argon2id) opgeslagen; 2FA-geheimen worden versleuteld bewaard; reset-tokens en API-sleutels worden alleen als hash bewaard;
• tweefactorauthenticatie is voor elke gebruiker beschikbaar;
• een strikt rollen- en rechtenmodel met scheiding tussen organisaties; meldingen zijn alleen zichtbaar volgens de datadelingsregel van de indiener;
• bescherming tegen inbraakpogingen (limiet op inlogpogingen, tijdelijke blokkering), veilige sessies die na 30 minuten inactiviteit verlopen en die ongeldig worden na een wachtwoordwijziging;
• een auditlog van belangrijke handelingen, zodat misbruik kan worden opgespoord;
• foto's zijn alleen toegankelijk voor ingelogde gebruikers met inzage in de melding;
• hosting in Nederland/EU, dagelijkse back-ups en een vaste maandelijkse ronde met beveiligingsupdates.

Een uitgebreidere beschrijving van de maatregelen staat in de Verwerkersovereenkomst die wij met klantorganisaties sluiten. Ondanks alle maatregelen kan geen enkel systeem volledige veiligheid garanderen. Vermoedt u misbruik van uw account of een beveiligingsprobleem? Meld dit dan direct via [security@e-mailadres].

8. Uw rechten

U heeft op grond van de AVG het recht om uw gegevens in te zien, te laten corrigeren of verwijderen, de verwerking te laten beperken, bezwaar te maken tegen verwerking op grond van een gerechtvaardigd belang, en gegevens die u zelf aan ons heeft verstrekt in een gangbaar formaat te ontvangen (overdraagbaarheid). Dat laatste recht geldt alleen voor gegevens die wij geautomatiseerd verwerken op basis van uw toestemming of een overeenkomst met u (artikel 20 AVG), niet voor verwerkingen op basis van een gerechtvaardigd belang. Waar wij toestemming vragen, kunt u die altijd intrekken.

Veel gegevens kunt u zelf beheren: uw naam, e-mailadres, wachtwoord en 2FA-instellingen wijzigt u in uw profiel in de applicatie. Voor meldingen en berichten geldt dat uw organisatie de verantwoordelijke is: een verzoek om inzage, correctie of verwijdering dient u in bij de beheerder van uw organisatie. Wij helpen die organisatie om binnen de wettelijke termijn te reageren.

Voor gegevens waarvoor DIGS zelf verantwoordelijk is (website, contact, support, facturatie) kunt u uw verzoek sturen naar [privacy@e-mailadres]. Wij reageren binnen één maand. Om zeker te weten dat het verzoek van u komt, kunnen wij u vragen zich te identificeren, bijvoorbeeld door te antwoorden vanaf het e-mailadres van uw account.

Bent u niet tevreden over hoe wij met uw gegevens omgaan? Wij horen dat graag eerst zelf. U heeft daarnaast altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

9. Cookies

De DIGS-applicatie gebruikt uitsluitend functionele cookies die nodig zijn om de dienst te laten werken:

Voor functionele cookies is geen toestemming vereist. Wij plaatsen geen tracking-, analytics- of advertentiecookies en gebruiken geen diensten van derden die uw gedrag volgen. Het lettertype wordt vanaf onze eigen server geladen; daarvoor wordt geen dienst van derden gebruikt. Kaartweergaven gebruiken kaarttegels van PDOK (Nederlandse overheid), waarbij uw IP-adres aan PDOK wordt verstrekt.

10. Wijzigingen van deze verklaring

Wij kunnen deze privacyverklaring aanpassen, bijvoorbeeld bij nieuwe functies, andere leveranciers of gewijzigde wetgeving. De actuele versie staat altijd in de applicatie (via Help) en op onze website. Bij belangrijke wijzigingen informeren wij gebruikers via een melding in de applicatie of per e-mail. Bovenaan deze verklaring staat de datum van de laatste wijziging.

Laatst gewijzigd: 21 oktober 2026. Versie 0.2 (concept).