Privacyverklaring

Laatst bijgewerkt: 10 juli 2026

Qfile B.V. ("wij") verwerkt persoonsgegevens via OurDigitalContract. In deze verklaring leggen we uit welke gegevens we verwerken, waarom, op welke grondslag, hoe lang en welke rechten je hebt.

Wie is verantwoordelijk?

Voor de gegevens van jouw eigen medewerkers en ondertekenaars is jouw organisatie de verwerkingsverantwoordelijke; wij zijn dan de verwerker (zie de verwerkersovereenkomst). Voor de gegevens van onze eigen accounthouders zijn wij verantwoordelijk.

Welke gegevens verwerken we?

• Accountgegevens: naam, e-mailadres, rol en een gehasht wachtwoord.
• Contract- en dossiergegevens: namen, contactgegevens, functie, contractvoorwaarden en, indien ingevuld, BSN, IBAN, geboortedatum, handtekening en de inhoud van de documenten.
• Gebruiks- en beveiligingsgegevens: inlogmomenten, het IP-adres bij ondertekenen en een auditlog.

Cookies en analyse (met toestemming)

Op onze publieke website gebruiken we alleen met jouw toestemming Google Tag Manager en Google Analytics om te meten hoe de website wordt gebruikt en om die te verbeteren. Deze meetcookies plaatsen we pas nadat je op de cookiebalk op "Accepteren" hebt geklikt; je keuze bewaren we in je browser (localStorage). Klik je op "Weigeren", dan laden we Google Tag Manager niet en plaatsen we geen analytische cookies. Op de afgeschermde app- en ondertekenpagina's zetten we deze meetdiensten nooit in.

Bij deze meting kunnen gegevens worden verwerkt zoals je (verkorte) IP-adres, de bezochte pagina's, tijdstip, apparaat- en browserinformatie en de verwijzende website. We gebruiken dit uitsluitend voor geanonimiseerde, statistische inzichten, niet om jou persoonlijk te identificeren. Verwerker hierbij is Google Ireland Limited. Je kunt je toestemming altijd intrekken door je cookies te wissen; bij je volgende bezoek verschijnt de cookiebalk opnieuw. Zie voor de volledige details ons cookiebeleid.

Waarvoor en op welke grondslag?

• Het leveren van de dienst (uitvoering van de overeenkomst).
• Beveiligings-, fraudepreventie en het aantonen van rechtsgeldige ondertekening. Grondslag hiervoor is ons gerechtvaardigd belang bij een veilige, betrouwbare en juridisch houdbare dienst; waar een specifieke wet ons daartoe verplicht, is de grondslag een wettelijke plicht. Wij hebben jouw belangen en die van ons afgewogen en achten deze verwerking niet onevenredig.
• BSN wordt alleen verwerkt waar dat wettelijk is toegestaan (bijvoorbeeld bij loonadministratie), in opdracht van de verwerkingsverantwoordelijke.
• Analyse van het websitegebruik via Google Tag Manager en Google Analytics, uitsluitend op basis van jouw toestemming.

Verplichte verstrekking van gegevens

Een deel van de gegevens is nodig om de overeenkomst uit te voeren of vloeit voort uit een wettelijke plicht. Zonder accountgegevens kunnen we bijvoorbeeld geen account aanmaken, en zonder handtekening en de bijbehorende verificatiegegevens kan een document niet rechtsgeldig worden ondertekend. Verstrek je deze gegevens niet, dan kunnen we (dat deel van) de dienst niet leveren. Gegevens zoals BSN verwerken we alleen wanneer dat wettelijk verplicht of toegestaan is en de klant ons daartoe opdracht geeft.

Geautomatiseerde besluitvorming en profilering

Wij nemen geen besluiten met rechtsgevolgen of vergelijkbare aanzienlijke gevolgen op basis van uitsluitend geautomatiseerde verwerking, en we doen niet aan profilering.

Hoe beveiligen we het?

Versleuteling in rust met een aparte sleutel per klant (AES-256-GCM), versleutelde verbindingen (HTTPS met HSTS), gescheiden opslag met een eigen database per klant, gehashte wachtwoorden (bcrypt), toegang op basis van rollen en rechten, intrekbare sessies, rate-limiting en een append-only auditlog.

Ontdekken we onverhoopt een datalek, dan handelen we volgens onze datalek-procedure.

Elektronische handtekening

Ondertekening gebeurt met een gewone elektronische handtekening (eIDAS SES): de identiteit wordt aangetoond via e-mailbezit en een eenmalige link, en de integriteit via een knoeibestendig attest en een auditlog. Er is geen sterke identiteitsverificatie (geen geavanceerde of gekwalificeerde handtekening, AES of QES).

Bewaartermijnen

We bewaren gegevens niet langer dan nodig voor de genoemde doelen of dan wettelijk vereist. Accountgegevens bewaren we zolang je een account hebt en tot 6 maanden na beëindiging; daarna verwijderen of anonimiseren we ze. Facturen en administratie bewaren we 7 jaar vanwege de wettelijke fiscale bewaarplicht. Gegevens die we als verwerker namens een klant houden, bewaren we volgens de instructie van die klant en verwijderen of retourneren we na beëindiging (zie de verwerkersovereenkomst). Beveiligings- en auditloggegevens (waaronder inlogmomenten en het IP-adres bij ondertekenen) bewaren we zolang dat nodig is om ondertekening aan te tonen en de dienst te beveiligen, en uiterlijk tot het bijbehorende dossier volgens bovenstaande termijnen wordt verwijderd.

Waar komen de gegevens vandaan?

Accountgegevens ontvangen we rechtstreeks van u. Gegevens van ondertekenaars en betrokkenen in een dossier ontvangen we van de klant (de verwerkingsverantwoordelijke) die het document ter ondertekening aanbiedt, of rechtstreeks van jou wanneer je zelf ondertekent. Ben je ondertekenaar en heb je vragen over de herkomst of het gebruik van jouw gegevens, dan kun je terecht bij de organisatie die je het document heeft toegestuurd.

Subverwerkers en ontvangers

• Hosting: TransIP B.V.
• E-mail: TransIP B.V.
• Betalingen: Mollie B.V.
• Websiteanalyse (alleen met toestemming): Google Ireland Limited (Google Tag Manager en Google Analytics).

Wij verkopen geen gegevens.

Een actueel overzicht van onze subverwerkers staat op de pagina subverwerkers. De afspraken over de gegevens die wij als verwerker verwerken, staan in de verwerkersovereenkomst.

Doorgifte buiten de EER

Er vindt geen verwerking en opslag van persoonsgegevens plaats buiten de Europese Economische Ruimte (EER).

Jouw rechten

Je hebt rechten op inzage, correctie, verwijdering, beperking, bezwaar en dataportabiliteit. Verwerken we gegevens op basis van jouw toestemming (zoals analytische cookies), dan mag je die toestemming altijd intrekken; dat heeft geen gevolgen voor de rechtmatigheid van de verwerking daarvóór.

Wil je een van deze rechten uitoefenen, stuur dan een verzoek aan info@ourdigitalcontract.com. Om misbruik te voorkomen kunnen we je vragen je te identificeren. We reageren uiterlijk binnen één maand; bij een complex of groot aantal verzoeken kunnen we deze termijn met twee maanden verlengen en laten we je dat binnen de eerste maand weten. Verzoeken over gegevens die wij als verwerker houden, lopen via jouw eigen organisatie (de verwerkingsverantwoordelijke).

Je kunt eventueel ook een klacht indienen bij de Autoriteit Persoonsgegevens.

Wijzigingen

We kunnen deze verklaring aanpassen. De actuele versie staat altijd op deze pagina. Bij ingrijpende wijzigingen informeren we je actief, bijvoorbeeld via een melding in de app of per e-mail.