1. De korte versie
We verzamelen de minimale gegevens die nodig zijn om u te factureren en te ondersteunen. We vragen niet om uw volledige naam, adres, telefoonnummer of overheidsidentificatie. We gebruiken een zelf-gehost analysetool dat geen cookies en geen persoonlijke identificatiegegevens opslaat. We verkopen, delen of dragen uw gegevens niet over aan advertentienetwerken of marketingpartners. We bewaren geen server-residente gegevens — de inhoud van uw VPS is van u en we inspecteren die niet.
Deze sectie is een samenvatting in duidelijke taal. De gedetailleerde bepalingen volgen.
2. Wie we zijn
De verwerkingsverantwoordelijke voor dit privacybeleid is MurmurHost LLC, een vennootschap met beperkte aansprakelijkheid opgericht naar de wetten van de Republiek der Seychellen. We zijn bereikbaar op [email protected] voor alle privacygerelateerde correspondentie.
Voor zaken die vallen onder de EU Algemene Verordening Gegevensbescherming (AVG) waar we geen vertegenwoordiger in de Europese Unie hebben onder Artikel 27, zullen we rechtstreeks reageren op vragen via hetzelfde e-mailadres.
3. Wat we verzamelen
3.1 Bij aanmelding
De enige gegevens die we bij aanmelding nodig hebben, is een werkend e-mailadres. We gebruiken dit om facturen, serviceberichten en ondersteuningscorrespondentie te bezorgen. U kunt optioneel een weergavenaam, organisatienaam, facturatiejurisdictie of btw-identificatienummer verstrekken; deze zijn niet vereist en worden alleen bewaard als u ze verstrekt.
3.2 Bij betaling
Voor cryptocurrency-betalingen registreren we de transactie-hash en het cryptocurrency-netwerk, zodat we de betaling kunnen afstemmen op uw factuur. We koppelen uw portemonnee-adres niet aan uw account langer dan de duur van de factuurafhandeling; zodra een factuur is afgehandeld, wordt het ontvangstadres gerouleerd en niet opgeslagen tegen het klantrecord.
Voor kaartbetalingen waar beschikbaar (momenteel beperkt tot niet-offshore SKU's), ontvangen we alleen de laatste vier cijfers van de kaart en een getokeniseerde referentie van de betalingsverwerker. We slaan geen volledige kaartnummers op. De volledige dekking van betaalmethoden en verwerkersrelaties zijn gedocumenteerd op /payment-methods.
3.3 Operationele gegevens
We bewaren het IP-adres van waaruit het klantenpaneel het meest recent is benaderd gedurende negentig (90) dagen, waarna het wordt gewist. We bewaren een hash van het tijdgebaseerde eenmalige wachtwoord (TOTP)-zaad als u tweefactorauthenticatie heeft ingeschakeld. We bewaren tijdstempels van succesvolle en mislukte inlogpogingen gedurende negentig (90) dagen voor fraudedetectiedoeleinden.
3.4 Ondersteuning en ticketinhoud
Wanneer u een ondersteuningsticket opent, wordt de inhoud van uw ticket — inclusief eventuele bijlagen die u deelt — opgeslagen op onze infrastructuur voor de duur zoals uiteengezet in Sectie 8. Ticketinhoud wordt als vertrouwelijk behandeld en alleen toegankelijk voor ondersteunings- en technisch personeel dat aan het ticket werkt.
3.5 Server-residente gegevens
De gegevens die u opslaat in uw virtuele privéserver, dedicated server, mailbox of andere Dienst zijn operationeel onzichtbaar voor ons. We inspecteren, loggen, scannen of kopiëren de inhoud van klantgecontroleerde infrastructuur niet als routinezaak. Waar we verplicht zijn om op gegevens te handelen — bijvoorbeeld om te voldoen aan een correct betekend lokaal gerechtelijk bevel — doen we dit volgens de procedure in Sectie 7 en alleen voor zover wettelijk verplicht.
4. Wat we niet verzamelen
We verzamelen, vragen niet om, of bewaren niet:
- Volledige wettelijke naam, behalve vrijwillig ingevoerd voor facturering
- Postadres, behalve vrijwillig ingevoerd voor facturering
- Telefoonnummer
- Door de overheid uitgegeven identificatiedocumenten
- Gedragsvolgende gegevens over uw browsen op de website, behalve de privacy-respecterende analyses samengevat in Sectie 5
- Advertentie-identificatoren van derden (geen Google Ads, Meta Pixel, Twitter-pixel of vergelijkbare trackers aanwezig op onze marketingsite)
- Cross-site identificatoren gedeeld met databrokers
5. Cookies en vergelijkbare technologieën
5.1 Essentiële sessiecookies
Inloggen op het klantenpaneel vereist een sessiecookie. De sessiecookie is essentieel voor de werking van de Dienst en is vrijgesteld van EU ePrivacy-toestemming onder Artikel 5(3) Overweging 25 van Richtlijn 2002/58/EG. De cookie is HttpOnly, Secure, SameSite=Lax en vervalt wanneer u uitlogt of na veertien (14) dagen van inactiviteit, afhankelijk van wat eerder is.
5.2 Analytics
We gebruiken Plausible Analytics op een zelf-gehoste instantie onder onze controle. Plausible plaatst geen cookies in uw browser, verzamelt geen persoonlijke identificatiegegevens en volgt gebruikers niet over bezoeken of domeinen. De geaggregeerde statistieken die het produceert — paginaweergaven, verwijzer, land op het niveau van landcode en bezoekduur — worden gebruikt om de prestaties van de marketingsite te evalueren en worden niet geassocieerd met uw account.
5.3 Geen trackers van derden
De marketingsite bevat geen Google Analytics, Meta Pixel, Hotjar, Mixpanel, Segment of vergelijkbare trackingtechnologie van derden. Het klantenpaneel draait op een eigen subdomein en bevat helemaal geen analytics.
6. Hoe we informatie gebruiken
We gebruiken de informatie beschreven in Sectie 3 alleen voor de volgende doeleinden:
- Dienstverlening: inrichten, exploiteren, onderhouden en ondersteunen van de Diensten
- Facturering: genereren, bezorgen en afstemmen van facturen
- Misbruikafhandeling: onderzoeken van meldingen, communiceren met getroffen klanten en voldoen aan wettelijke verplichtingen
- Serviceberichten: communiceren over servicestatus, gepland onderhoud, beveiligingsupdates en materiële wijzigingen in de Voorwaarden of dit Beleid
- Marketingcommunicatie, alleen met expliciete opt-in: we sturen marketing-e-mails alleen naar klanten die expliciet hebben gekozen. De standaardaccountstatus is opt-out.
7. Delen en openbaarmaking
7.1 Gerechtelijke bevelen
We geven gegevens vrij aan wetshandhavings- of gerechtelijke autoriteiten alleen na ontvangst van een correct betekend bevel van een bevoegde rechtbank in een van de landen waarin we actief zijn. We geven klantgegevens niet vrijwillig vrij aan autoriteiten buiten onze operationele jurisdicties. Buitenlandse gerechtelijke bevelen worden niet automatisch geëerd; ze worden beoordeeld met advies van lokale raadslieden en alleen openbaar gemaakt voor zover wettelijk verplicht.
7.2 Verzoeken op grond van het Verdrag inzake wederzijdse rechtshulp (MLAT)
MLAT-verzoeken worden per geval verwerkt. Waar een verzoek correct is betekend en wordt ondersteund door een inhoudelijke onderbouwing onder het relevante verdrag, werken we mee voor zover wettelijk vereist en niet verder. Waar een verzoek niet correct is betekend of niet voldoet aan de relevante inhoudelijke norm, weigeren we.
7.3 Verwerkers van derden
We vertrouwen op een beperkte set van verwerkers van derden die nodig zijn om het platform te exploiteren:
- Mailgun (of equivalent) voor transactionele e-mailbezorging, inclusief factuurbezorging, wachtwoordresets en misbruikcorrespondentie. De verwerker ontvangt alleen het e-mailadres en de berichtinhoud.
- BTCPay Server, zelf-gehost op infrastructuur die we controleren, voor cryptocurrency-betalingen. Geen derde crypto-betalingsverwerker (zoals BitPay of Coinbase Commerce) wordt gebruikt voor offshore-diensten.
- PostgreSQL, gehost op infrastructuur die we controleren, voor de klantendatabase.
- UptimeRobot of equivalent uptime-monitoring, dat alleen de openbare hostnaam en HTTP-responsstatus ontvangt.
7.4 Geen marketing of advertenties
We delen, verkopen, licentiëren of dragen klantgegevens niet over aan advertentienetwerken, databrokers of marketingpartners. We voeren geen advertenties uit op de Diensten en monetariseren klantgegevens niet.
8. Gegevensbewaring
8.1 Actief account
Persoonlijke gegevens die verband houden met een actief account worden bewaard voor de duur van het account.
8.2 Geannuleerd account
Na annulering worden persoonlijke gegevens negentig (90) dagen bewaard om herstel mogelijk te maken in geval van onbedoelde annulering, daarna gewist.
8.3 Factuurgegevens
Factuurgegevens — factuurnummer, bedrag, valuta, rechtsgebied van oprichting indien verstrekt, en belastingidentificatienummer indien verstrekt — worden zeven (7) jaar bewaard om te voldoen aan belastingbewaarverplichtingen in onze operationele jurisdicties.
8.4 Ondersteuningstickets
Inhoud van ondersteuningstickets wordt twaalf (12) maanden vanaf ticketafsluiting bewaard, daarna gewist.
8.5 Operationele logboeken
We bewaren geen server-side logboeken van klantactiviteit. Specifiek: we schrijven niet naar permanente opslag een van de volgende — toegangslogboeken per klant, IP-tijdstempels voor inkomend verkeer, opdrachtgeschiedenislogboeken, consolesessie-opnamen, cron-job exitcodes gekoppeld aan klantidentiteit, DNS-querylogboeken.
Geaggregeerde edge-verkeersstroomrecords (NetFlow / IPFIX) worden in vluchtig geheugen aan de edge bewaard voor maximaal één (1) uur voor actieve DDoS-mitigatiebeslissingen, nooit naar permanente opslag geschreven en nooit klantgecorreleerd.
Inlogpogingen op het klantenpaneel worden alleen in vluchtig geheugen bijgehouden, uitsluitend voor rate-limiting tegen credential-stuffing. Succesvolle sessies worden niet naar schijf gelogd.
Het resultaat wordt weerspiegeld in ons openbare Transparantierapport (https://murmurhost.com/transparency): wanneer gerechtelijke verzoeken om klantactiviteitsrecords binnenkomen, zijn de geproduceerde records structureel nul omdat dergelijke records niet worden verzameld.
9. Internationale overdrachten
Persoonlijke gegevens worden opgeslagen op infrastructuur in het rechtsgebied waar de Dienst van de klant is geïmplementeerd. Het klantenpaneel zelf draait op infrastructuur in Nederland, met databasereplicatie naar een enkele offsite-locatie in IJsland voor noodhersteldoeleinden.
Voor EU-ingezeten klanten betekent dit dat de gegevens van het klantenpaneel een interne grens overschrijden tussen Nederland (binnen de EER) en IJsland (buiten de EER maar binnen de Europese Economische Ruimte voor gegevensbeschermingsdoeleinden). IJsland wordt door de Europese Commissie erkend als een adequaat niveau van gegevensbescherming te bieden.
10. Uw rechten
Waar u een individu bent binnen het toepassingsgebied van de EU AVG, UK AVG, California Consumer Privacy Act (CCPA) of vergelijkbare privacykaders, heeft u de rechten zoals uiteengezet in de toepasselijke regelgeving. De meest uitgeoefende rechten zijn:
10.1 Recht op inzage
U kunt een kopie opvragen van de persoonlijke gegevens die we over u bewaren. We reageren binnen dertig (30) dagen.
10.2 Recht op rectificatie
U kunt onjuiste persoonlijke gegevens die we over u bewaren corrigeren. De meeste velden kunnen rechtstreeks in het klantenpaneel worden bewerkt; voor velden die dat niet kunnen, neem contact op met [email protected].
10.3 Recht op gegevenswissing ("recht om vergeten te worden")
U kunt verzoeken om wissing van persoonlijke gegevens die we over u bewaren. We zullen deze wissen tenzij we een wettelijke verplichting hebben om ze te bewaren (met name de zevenjarige factuurbewaring in Sectie 8.3, in welk geval de persoonlijke gegevens buiten die reikwijdte worden gewist en het factuurrecord voor zover mogelijk wordt geanonimiseerd).
10.4 Recht op gegevensoverdraagbaarheid
U kunt een machineleesbare export opvragen van persoonlijke gegevens die we over u bewaren. De export wordt geleverd als JSON, versleuteld met een wachtwoordzin die u verstrekt.
10.5 Recht op beperking en bezwaar
U kunt verzoeken dat we de verwerking van uw persoonlijke gegevens beperken terwijl een klacht of correctieverzoek wordt onderzocht, en u kunt bezwaar maken tegen verwerking op basis van gerechtvaardigde belangen. Afmelding voor marketingcommunicatie wordt onmiddellijk geëerd op verzoek.
11. Hoe u uw rechten uitoefent
Om een recht beschreven in Sectie 10 uit te oefenen, stuur een e-mail naar [email protected]. We reageren binnen dertig (30) dagen. Als we verwachten extra tijd nodig te hebben (met name voor complexe wissingsverzoeken waarbij we de wettelijke bewaaringsomvang moeten verifiëren), zullen we u binnen de initiële dertig (30) dagen op de hoogte stellen en de reactie binnen maximaal zestig (60) extra dagen voltooien.
We brengen geen kosten in rekening voor routineverzoeken. Waar verzoeken kennelijk ongegrond, buitensporig of herhaaldelijk zijn, kunnen we een redelijke vergoeding in rekening brengen of weigeren te handelen, zoals toegestaan door AVG Artikel 12(5).
12. Beveiligingsmaatregelen
12.1 Versleuteling in rust
Gegevens van het klantenpaneel, inclusief factuurrecords en inhoud van ondersteuningstickets, worden opgeslagen met schijfversleuteling met LUKS/dm-crypt met AES-XTS-256.
12.2 Versleuteling tijdens transport
Alle verbindingen tussen de browser van de klant, het klantenpaneel en onze interne diensten gebruiken TLS 1.3 of, waar TLS 1.3 niet beschikbaar is op de client, TLS 1.2 met sterke ciphersuites en forward secrecy. We ondersteunen geen TLS 1.0 of TLS 1.1.
12.3 Toegangscontroles
Interne toegang tot klantgegevens is beperkt tot ondersteunings- en technisch personeel dat handelt naar aanleiding van een specifiek ticket of incident. Tweefactorauthenticatie is verplicht voor alle medewerkers die toegang hebben tot de beheerdersinterface van het klantenpaneel.
12.4 Auditlogboeken
Interne toegang tot klantgegevens wordt gelogd met voldoende detail om te reconstrueren wie toegang had tot wat en wanneer. Auditlogboeken worden negentig (90) dagen bewaard.
13. Privacy van kinderen
Onze diensten zijn niet bedoeld voor personen onder de zestien (16) jaar. We verzamelen niet bewust persoonlijke gegevens van minderjarigen onder deze drempel. Als we ontdekken dat we persoonlijke gegevens hebben verzameld van een minderjarige onder de drempel, wissen we deze onmiddellijk en retourneren we eventuele ontvangen betaling. Ouders of voogden die geloven dat hun minderjarige kind persoonlijke gegevens aan ons heeft verstrekt, moeten contact opnemen met [email protected].
14. Wijzigingen in dit beleid
We kunnen dit privacybeleid periodiek bijwerken. Materiële wijzigingen — die van invloed zijn op de categorieën gegevens die we verzamelen, de doeleinden waarvoor we gegevens gebruiken, of de derden waarmee we gegevens delen — worden gemeld via het facturatie-e-mailadres en aangekondigd via een banner op het klantenpaneel gedurende dertig (30) dagen voordat ze van kracht worden. Niet-materiële wijzigingen (verduidelijkingen, opmaak, het oplossen van dode links) kunnen zonder voorafgaande kennisgeving worden aangebracht; de datum "Laatst bijgewerkt" bovenaan dit document weerspiegelt de meest recente wijziging.
15. Contact
Voor privacygerelateerde vragen, verzoeken of klachten:
- Privacyteam: [email protected]
- Juridisch team: [email protected]
- Postadres: MurmurHost LLC, Republiek der Seychellen (volledig adres op schriftelijk verzoek)
Als u van mening bent dat we niet hebben voldaan aan de toepasselijke privacywetgeving, heeft u het recht om een klacht in te dienen bij de toezichthoudende autoriteit in uw rechtsgebied. Voor EU-ingezetenen is dit de gegevensbeschermingsautoriteit van uw lidstaat; voor Britse ingezetenen, het Information Commissioner's Office; voor inwoners van Californië, het California Privacy Protection Agency.