Juridisch
Privacyverklaring
Hoe Maxiaa met persoonsgegevens omgaat — als verwerker namens onze klanten, en als verwerkingsverantwoordelijke voor onze eigen bedrijfsvoering.
1. Onze twee rollen
Voor het overgrote deel van wat we doen zijn wij verwerker: onze zakelijke klant (makelaar, notaris, accountant, verhuurbeheerder) bepaalt het doel — zijn eigen wettelijke cliëntenonderzoek onder de Wwft — en wij verwerken de gegevens uitsluitend in zijn opdracht (art. 28 AVG). Voor onze eigen bedrijfsvoering (klantaccounts, facturatie, beveiliging) zijn wij verwerkingsverantwoordelijke.
2. Welke gegevens we verwerken
| Categorie | Voorbeelden |
|---|---|
| Identificatiegegevens | Naam, geboortedatum, nationaliteit, documentnummer en vervaldatum, MRZ-gegevens |
| Documentafbeelding | Gemaskeerde afbeelding (BSN en pasfoto afgeschermd) |
| Biometrie (art. 9) | Selfie en gezichtstemplate, alleen tijdens de sessie en met toestemming |
| Screeningsresultaten | PEP-, sanctie- en watchlist-hits met bron en tijdstip |
| Accountgegevens | Naam, zakelijk e-mailadres, rol, gehashte inloggegevens, API-key-hashes |
| Facturatiegegevens | Bedrijfs- en factuurgegevens, betaalreferenties, verbruikstellingen |
| Technische logging | Actor, actie, entiteit, IP-adres, tijdstempel |
3. Grondslag en doel
- Cliëntenonderzoek — grondslag bij de klant: wettelijke verplichting (art. 6(1)(c) AVG) in samenhang met de Wwft.
- Biometrische verificatie — grondslag: uitdrukkelijke, gelogde toestemming (art. 9(2)(a) AVG), met een niet-biometrisch alternatief zodat de toestemming vrij is.
- Klantaccount en facturatie — uitvoering van de overeenkomst (art. 6(1)(b)) en gerechtvaardigd belang (beveiliging).
- Auditlogging — wettelijke verplichting en gerechtvaardigd belang (aantoonbaarheid, misbruikdetectie).
4. Hoe lang we bewaren
We bewaren per datatype, niet in één termijn. Zo verzoenen we de Wwft-bewaarplicht (5 jaar) met de AVG-minimalisatie:
| Datatype | Termijn |
|---|---|
| Biometrische template en selfie | Sessie-TTL, minuten (gewist na de match) |
| Ruwe documentafbeelding | Kort na verwerking verwijderd |
| Gemaskeerde afbeelding, identificatiegegevens, uitkomst, dossier | 5 jaar na einde van de relatie (Wwft) |
| Facturen en betaalgegevens | 7 jaar (fiscale bewaarplicht) |
Een retentie-engine voert dit automatisch uit en logt elke verwijdering. Zie Security & compliance voor de techniek.
5. Wat we níét doen
We gebruiken klantgegevens niet voor het trainen van modellen, niet voor cross-client-analyse en niet voor hergebruik van verificaties over klanten heen. Zou dat ooit veranderen, dan alleen met een aparte, expliciete grondslag en contractuele scheiding.
6. Subverwerkers en doorgifte
We schakelen subverwerkers in voor hosting, AI-verwerking, betalingen en DNS. Allemaal EU-gehost; geen doorgifte buiten de EER zonder passende waarborgen (art. 46 AVG). De actuele lijst staat op Security en in de verwerkersovereenkomst.
7. Rechten van betrokkenen
Ben je als eindgebruiker geverifieerd via een van onze klanten? Dan is die klant je aanspreekpunt (verwerkingsverantwoordelijke) voor inzage, rectificatie, verwijdering en dataportabiliteit. Wij verlenen die klant daarbij redelijke bijstand. Voor onze eigen verwerkingen kun je terecht bij privacy@maxiaa.com.
8. Functionaris gegevensbescherming
Gezien de grootschalige verwerking van bijzondere categorieën stellen we vóór livegang een FG/DPO aan (art. 37 AVG). Contact loopt via privacy@maxiaa.com.
9. Klacht
Je hebt het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens. We stellen het op prijs als je eerst contact met ons opneemt, zodat we het samen kunnen oplossen.