Privacybeleid — weakestlink
Laatst bijgewerkt: 29 september 2026
Dit beleid beschrijft hoe weakestlink persoonsgegevens verwerkt waarvoor wijzelf verwerkingsverantwoordelijke zijn. Gebruikt uw werkgever weakestlink voor beveiligingstraining, dan is de werkgever verwerkingsverantwoordelijke voor de medewerkersgegevens en treedt weakestlink op als verwerker — zie Bijlage A.
1. Verwerkingsverantwoordelijke
WEAKESTLINK ApS (CVR 46614011) is verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens op weakestlink.io. Contact: info@weakestlink.io.
2. Welke gegevens wij verwerken, waarom en op welke grondslag
| Gegevens | Doel | Grondslag (AVG art. 6) | Verwijderd |
|---|---|---|---|
| Contactpersoon bij de klant (naam, e-mail, functie) | Aanmaken en beheren van het account van de organisatie | Overeenkomst (art. 6(1)(b)) | Bij beëindiging van de klantrelatie |
| Factuurgegevens | Facturering en boekhouding | Wettelijke verplichting (art. 6(1)(c)) | 5 jaar, conform de Deense boekhoudwet |
| Serverlogs (IP-adres, tijdstip) | Beheer en beveiliging | Gerechtvaardigd belang (art. 6(1)(f)) | 90 dagen |
| E-mailadres, als je je zelf aanmeldt om op de hoogte te blijven van een module die eraan komt (AI-Klar, deepfake) | Je laten weten wanneer de module beschikbaar is | Toestemming (art. 6(1)(a)) — je kunt deze intrekken door ons te mailen | Uiterlijk 12 maanden na aanmelding |
| De klik-id van Google wanneer je via een Google-advertentie binnenkomt, het tijdstip van de klik en of het account is aangemaakt of is gaan betalen | Advertentiemeting: nagaan of een advertentie bij Google tot een aangemaakt account heeft geleid | Gerechtvaardigd belang (art. 6(1)(f)) — je kunt bezwaar maken, zie paragraaf 7 | 90 dagen na de klik. Is een conversie aan Google doorgegeven, dan wordt die 90 dagen na de melding verwijderd |
| Bezoekstatistieken: paginaweergaven en klikken op knoppen, met browsertype, apparaat en land. Zonder cookies, en het IP-adres wordt niet opgeslagen | Zien welke pagina's worden gebruikt, zodat we ze kunnen verbeteren. De statistieken draaien op onze eigen server (Umami) en worden met geen enkele derde partij gedeeld | Gerechtvaardigd belang (art. 6(1)(f)) | Opgeslagen als geaggregeerde statistieken, zonder naam, e-mailadres of IP-adres |
Wij verwerken geen burgerservicenummers en geen gevoelige gegevens (AVG art. 9).
3. AI-verwerking
We gebruiken AI (Claude van Anthropic) om trainingsmateriaal en simulatiesjablonen te schrijven — lessen, quizzen en lokmails — intern, vóór publicatie. Er worden geen klantgegevens en geen persoonsgegevens van jullie medewerkers naar AI-diensten gestuurd, en er draait geen AI op jullie gegevens tijdens gebruik.
4. Verwerkers en subverwerkers
Wij maken gebruik van de volgende verwerkers. Voor leveranciers buiten de EU/EER vindt de doorgifte plaats op basis van het adequaatheidsbesluit van de Europese Commissie (EU-U.S. Data Privacy Framework) en/of modelcontractbepalingen (SCC's):
| Leverancier | Dienst | Land | Grondslag voor doorgifte |
|---|---|---|---|
| Anthropic PBC | AI-generatie van trainingsinhoud (offline) | USA | DPF/SCC |
| Brevo (Sendinblue SAS) | Uitgaande transactie- en notificatie-e-mail (bijv. e-mailverificatie) | Frankrig | — |
| Cloudflare, Inc. | Netwerk, TLS en DDoS-bescherming | USA | DPF/SCC |
Hosting vindt plaats op eigen infrastructuur in Denemarken.
Als je met kaart betaalt, worden je kaartgegevens en betalingsgegevens verwerkt door onze betaaldienstverlener QuickPay (QuickPay ApS, Denemarken) en de acquirer Clearhaus (Clearhaus A/S, Denemarken) als zelfstandige verwerkingsverantwoordelijken op grond van de betalingswetgeving — niet als onze verwerkers. Wij ontvangen nooit je volledige kaartnummer. Op die verwerking is het eigen privacybeleid van QuickPay en Clearhaus van toepassing.
5. Verstrekking aan derden
We delen gegevens alleen als dat nodig is om de dienst te leveren, als de wet dat vereist of met toestemming. Eén uitzondering: kwam je bij ons via een Google-advertentie, dan sturen we de klik-id van de advertentie, het tijdstip en of het account is aangemaakt of betaald naar Google Ireland Ltd. (Google Ads), zodat we kunnen zien welke advertenties werken. We sturen daarbij geen naam, e-mailadres of IP-adres mee. Google kan de gegevens doorgeven aan Google LLC in de VS. Volgens Google gebeurt dat op basis van het EU-U.S. Data Privacy Framework, waaronder Google LLC gecertificeerd is, en anders op basis van standaardcontractbepalingen (SCC). We verkopen nooit gegevens.
6. Bewaring en verwijdering
Concrete termijnen staan in de tabel in paragraaf 2. Boekhoudkundige gegevens worden 5 jaar bewaard vanaf het einde van het boekjaar, conform de boekhoudwetgeving. Daarna worden de gegevens verwijderd of geanonimiseerd.
7. Jouw rechten
Je hebt recht op inzage, rectificatie, wissing, beperking van de verwerking, dataportabiliteit en bezwaar (GDPR art. 15–21). Heb je toestemming gegeven, dan kun je die altijd intrekken met ingang van dat moment. Mail naar info@weakestlink.io — we reageren uiterlijk een maand na je verzoek. Wil je niet dat we de klik-id van de advertentie gebruiken (paragraaf 2 en 5), dan kun je bezwaar maken (art. 21) door naar hetzelfde adres te mailen — dan verwijderen we de klik-id en melden we niets over je account aan Google. Ben je medewerker bij een klant, dan kun je je ook wenden tot je werkgever, die de verwerkingsverantwoordelijke is (zie Bijlage A).
8. Klacht
Je kunt een klacht over onze verwerking indienen bij het Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, Denemarken, www.datatilsynet.dk. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl) of de Gegevensbeschermingsautoriteit (BE).
9. Cookies
We plaatsen twee cookies: een sessiecookie voor inloggen en beveiliging en — als je zelf een taal kiest in de taalkiezer — een cookie die je keuze onthoudt. Kom je via een Google-advertentie, dan slaan we de klik-id van de advertentie op in de sessie op onze server, zodat we Google kunnen laten weten of de klik tot een account heeft geleid (zie paragraaf 5). De cookie zelf bevat alleen een willekeurige sessie-id. We gebruiken geen andere trackingcookies en geen cookies van derden, en de bezoekersstatistieken (Umami) gebruiken geen cookies.
10. Wijzigingen
Belangrijke wijzigingen in dit beleid worden aangekondigd op weakestlink.io en/of per e-mail.
Bijlage A — rolverdeling bij medewerkerstraining
Wanneer een organisatie (je werkgever) weakestlink gebruikt voor beveiligingstraining en phishing-simulaties, is de organisatie verwerkingsverantwoordelijke voor de medewerkersgegevens, en weakestlink is verwerker. De verwerking gebeurt volgens instructies in een verwerkersovereenkomst die bij de aanmelding wordt afgesloten. Dit beleid geldt daarom alleen voor de gegevens waarvoor wij zelf verwerkingsverantwoordelijke zijn (contact- en factuurgegevens van klanten, en beheer).
Phishing-simulaties worden alleen uitgevoerd op basis van een gedocumenteerde rechtsgrond (toestemming van de organisatie en een goedgekeurde belangenafweging). De rapporten zijn geaggregeerd en tonen alleen cijfers voor groepen van minstens vijf personen. De resultaten van een individuele medewerker (risicoscore, cursusvoortgang en simulatiegebeurtenissen) zijn alleen zichtbaar voor de beheerder van de organisatie — en voor leidinggevenden als de organisatie dat zelf aanzet. Het doel is gerichte extra training, nooit aan de schandpaal zetten of sancties. De resultaten worden bewaard zolang de klantrelatie duurt en na afloop verwijderd, volgens de verwerkersovereenkomst. We slaan nooit op wat een medewerker invoert tijdens een simulatie, alleen dat er een gebeurtenis plaatsvond.