Privacy Policy

1. Inleiding

Circularmonster B.V., handelend onder de naam XITAD ("wij", "ons", of "onze") respecteert uw privacy en is toegewijd aan de bescherming van de persoonsgegevens van onze klanten, partners en websitebezoekers. Dit beleid beschrijft hoe wij informatie verzamelen, gebruiken, beveiligen en delen wanneer u gebruik maakt van ons platform, onze website of onze ITAD-diensten.

2. Gegevens die wij verzamelen

Wij verzamelen uitsluitend gegevens die strikt noodzakelijk zijn voor het uitvoeren van onze enterprise dienstverlening:

• Zakelijke contactgegevens: Naam, zakelijk e-mailadres, telefoonnummer en functie van onze contactpersonen.
• Account- & Portalgegevens: Inloggegevens, audit logs en interacties binnen het XITAD Enterprise Portal.
• Hardware- en inventarisatiegegevens: de lijsten en bestanden die u aanlevert. Wij vragen u deze te ontdoen van gegevens die tot personen herleidbaar zijn. In de praktijk bevatten exports uit een beheersysteem vaak toch gebruikersnamen, afdelingen of vestigingen; wat wij binnenkrijgen verwerken wij dan als persoonsgegevens en niet alsof ze er niet staan. Van foto’s en documenten verwijderen wij bij ontvangst automatisch de verborgen gegevens, zoals locatie en de naam van de maker.
• Technische gegevens: IP-adressen, browsertype en metadata via essentiële cookies om de veiligheid van ons platform te waarborgen.
• Gegevens van opkopers en verwerkers: contactgegevens, biedingen, facturatiegegevens en de ondertekende geheimhoudingsverklaring.
• Zakelijke contactgegevens van potentiële opkopers: de bedrijfsnaam en het zakelijke e-mailadres van bedrijven die IT-hardware opkopen of verwerken, die wij ontvangen of uit openbare zakelijke bronnen halen.

3. Doeleinden van verwerking

Wij verwerken uw gegevens uitsluitend voor de volgende doeleinden:

- Het offreren, plannen en uitvoeren van IT Asset Disposition projecten.
- Het faciliteren van veilige toegang tot het XITAD Enterprise Portal.
- Het genereren van wettelijk sluitende vernietigingscertificaten (CoD) en audit trails.
- Het voldoen aan wettelijke, fiscale en compliance-gerelateerde verplichtingen.
- Het uitnodigen van potentiële opkopers om te bieden op projecten die bij hun bedrijf passen, op grond van ons gerechtvaardigd belang om voor elk project passende kopers te vinden (artikel 6 lid 1 sub f AVG).
- Advertentiemeting, alleen met uw toestemming voor marketingcookies: komt u via een Google-advertentie binnen, dan leggen wij de klik-ID van Google vast. Wordt uw restwaardescan daarna een gekwalificeerde zakelijke aanvraag, dan melden wij die klik-ID aan Google terug, zodat wij kunnen zien welke advertenties werken en die kunnen verbeteren. Zonder die toestemming slaan wij de klik-ID niet op en geven wij hem niet door.

4. Wie uw gegevens nog meer verwerkt

Wij verkopen uw gegevens niet. Voor de uitvoering van onze dienst schakelen wij de volgende partijen in, elk voor een afgebakend doel:

• OpenAI (Verenigde Staten): de inhoud van een aangeleverde hardwarelijst wordt naar een taalmodel gestuurd om er merk, model en aantallen uit te lezen. Dit is de enige verwerker buiten de Europese Economische Ruimte; de doorgifte rust op de standaardcontractbepalingen van de Europese Commissie.
• Resend (e-mail), Moneybird (facturatie), Microsoft (agenda en vergaderlinks), Cloudflare (bescherming van formulieren), Google (advertenties en statistieken, alleen na uw toestemming) en Hetzner (hosting in Duitsland).
• Verwerkende en logistieke partners: de partijen die de apparatuur ophalen, wissen, verwerken of kopen. Zij ontvangen uitsluitend wat zij voor die opdracht nodig hebben; de naam van de klant wordt pas gedeeld nadat een bod is aanvaard.

Met deze partijen zijn verwerkersovereenkomsten gesloten, dan wel gelden hun eigen voorwaarden voor verwerking. Verwerkende partners tekenen daarnaast een geheimhoudingsverklaring voordat zij gegevens van een opdracht ontvangen.

5. Beveiliging en bewaartermijnen

Verkeer met ons platform gaat over een versleutelde verbinding, gegevens staan versleuteld opgeslagen, toegang is gebonden aan rollen en tweefactorauthenticatie is beschikbaar voor elk account. Wij bewaren niet langer dan nodig:

- Een restwaardescan die niet tot een project leidt, met het aangeleverde bestand: 30 dagen. Hebben wij de scan als zakelijke aanvraag gekwalificeerd, dan bewaren wij hem langer, zolang dat nodig is voor de opvolging in ons klantsysteem en binnen de bewaartermijn die daarvoor geldt.
- Een scan die wel tot een project leidt: zolang het project en de daaropvolgende bewaarplicht lopen.
- Facturen, vernietigingscertificaten en de bijbehorende vastlegging: 7 jaar, op grond van de fiscale bewaarplicht.
- Gegevens van relaties in ons klantsysteem: zolang de relatie loopt, en daarna tot er geen zakelijke of wettelijke reden meer is om ze te bewaren.
- Een opkoper die wij hebben uitgenodigd en die zijn account nooit heeft geactiveerd of gebruikt: in beginsel 12 maanden na de laatste uitnodiging of activiteit komt dat account voor verwijdering in aanmerking.

6. Uw rechten (AVG/GDPR)

Onder de Algemene Verordening Gegevensbescherming heeft u het recht op:

• Inzage in de persoonsgegevens die wij van u verwerken.
• Correctie van onjuiste of onvolledige gegevens.
• Verwijdering van uw persoonsgegevens ("recht om vergeten te worden"), mits dit niet conflicteert met onze wettelijke bewaarplicht voor audit trails.
• Beperking van, of bezwaar tegen, de gegevensverwerking.
• Afmelden voor uitnodigingen: elke uitnodiging bevat een link waarmee u geen uitnodigingen meer ontvangt. Wij bewaren dan alleen uw e-mailadres en het moment van afmelden, zodat wij die keuze ook respecteren nadat een ongebruikt account is verwijderd.

7. Contact en klachten

Voor vragen over dit beleid of een verzoek om uw rechten uit te oefenen kunt u terecht bij ons privacycontactpunt:

Circularmonster B.V. (handelsnaam XITAD)
E-mail: privacy@xitad.com
Telefoon: +31 (0)85 - 200 62 00

Komen wij er samen niet uit, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens.