Laatst bijgewerkt: 2026-10-10
De actuele versie van deze verklaring staat altijd op https://cmr-jet.eu/privacy.
Ten Square BV, met maatschappelijke zetel te Pater Asteerstraat 56, 3970 Leopoldsburg, België, ondernemingsnummer (KBO) / btw BE 0728.686.863 (“Ten Square”, “wij”), levert het software-as-a-service-platform CMR-JET (de “Dienst”).
Contact voor gegevensbescherming: privacy@cmr-jet.eu.
Ten Square verwerkt persoonsgegevens in twee onderscheiden hoedanigheden onder Verordening (EU) 2016/679 (de “AVG”):
a. Als verwerkingsverantwoordelijke — voor de persoonsgegevens die wij zelf nodig hebben om de Dienst te leveren, te factureren, te ondersteunen en te beveiligen. Die verwerkingsactiviteiten staan in §3 en daarover gaat deze verklaring.
b. Als verwerker namens de Klant — voor alles wat de Klant in zijn eigen werkruimte invoert: de inhoud van CMR-vrachtbrieven en de bijbehorende operationele gegevens, die persoonsgegevens van anderen kunnen bevatten (namen van chauffeurs, handtekeningen, afleverfoto’s, contactgegevens van geadresseerden, een afleverlocatie met beperkte precisie waar locatievastlegging gebruikt wordt). Voor die gegevens is het transportbedrijf dat de Dienst gebruikt de verwerkingsverantwoordelijke, en geldt de verwerkersovereenkomst (DPA) tussen Ten Square en die Klant.
Uw naam, en soms uw handtekening of een afleverfoto, kan op een vrachtbrief in deze Dienst staan. In dat geval beslist het transportbedrijf dat de Dienst gebruikt wat er wordt vastgelegd en waarom. Dat bedrijf is de verwerkingsverantwoordelijke; Ten Square host en verwerkt de gegevens alleen in opdracht van dat bedrijf.
Wilt u uw gegevens laten corrigeren of wissen, neem dan contact op met dat transportbedrijf. Schrijft u toch naar ons, dan sturen wij uw verzoek zonder onnodige vertraging aan hen door en laten wij u weten wie u kunt aanspreken. Wij handelen zo’n verzoek niet zelf af, omdat wij dat niet mogen: wij mogen alleen handelen op de gedocumenteerde instructies van de verwerkingsverantwoordelijke.
Let op: een vrachtbrief is ook een boekhoudkundig verantwoordingsstuk. Het transportbedrijf kan wettelijk verplicht zijn om het te bewaren (in België tot tien jaar) en kan de wissing van het document zelf dan weigeren. Dat is hun beslissing, niet de onze.
| # | Activiteit | Wat en waarom | Rechtsgrond (AVG art. 6) | Bewaartermijn |
|---|---|---|---|---|
| 1 | Accountbeheer | Naam, zakelijk e-mailadres, organisatie, rol, authenticatie-identificatoren, sessiemetadata, IP-adres en auditlogregels van accounthouders en gemachtigde gebruikers — om de werkruimte aan te maken, de contracterende Klant te identificeren en het aanmelden mogelijk te maken. Is voor een werkruimte tweestapsverificatie ingeschakeld, dan horen hier ook de eenmalige codes bij die wij bij het aanmelden e-mailen (alleen als cryptografische hash bewaard, 10 minuten geldig, eenmalig te gebruiken, met het netwerkdeel van het IP-adres waarmee de code werd gebruikt, afgekort tot /24 voor IPv4 of /48 voor IPv6) en een registratie van de toestellen die een gebruiker 30 dagen als vertrouwd heeft gemarkeerd (alleen als hash van het toesteltoken bewaard, met uitgifte-, verval- en laatst-gezien-tijdstip). Omdat registratie een btw-nummer vereist, is ook dat nummer accountgegeven; voor een eenmanszaak is het een persoonsgegeven. | Art. 6(1)(b) — uitvoering van de overeenkomst | Voor de duur van het abonnement of de proefperiode. Na een definitief einde (opzegging, of een proefperiode die afloopt zonder omzetting) blijft de werkruimte 90 dagen exporteerbaar; daarna komen de gegevens in aanmerking voor ons bewuste, gelogde verwijderingsproces. Eenmalige aanmeldcodes verlopen 10 minuten na uitgifte en vertrouwd-toestel-registraties na 30 dagen; verlopen registraties worden door een dagelijkse opschoning verwijderd. |
| 2 | Facturatie, betaling en btw-verificatie | Naam, facturatieadres, btw-nummer, het VIES-verificatieresultaat met zijn raadplegingsreferentie, betaalmiddeltoken (kaartnummers worden door onze betaalprovider bewaard, niet door ons) en factuurhistoriek — om vergoedingen te innen, aan btw- en boekhoudwetgeving te voldoen en de btw-verlegging te staven. | Art. 6(1)(b) — overeenkomst; art. 6(1)(c) — Belgische boekhoud- en btw-verplichtingen | Facturen en het bijbehorende VIES-verificatieresultaat: 10 jaar na uitgifte (Belgisch boekhoudrecht). Betaaltokens: verwijderd bij onze betaalprovider wanneer de werkruimte wordt verwijderd (§8). |
| 3 | Direct marketing (opt-in e-mail) | E-mailadres, uw opt-in-keuze met de datum en de versie van de toestemmingstekst, en taalvoorkeur — om productaankondigingen en onze nieuwsbrief te sturen. | Art. 6(1)(a) — toestemming voor prospecten; Art. 6(1)(f) — gerechtvaardigd belang bij het promoten van gelijkaardige eigen diensten bij bestaande klanten (soft opt-in onder de ePrivacy-regelgeving). Elk bericht bevat een uitschrijflink. | Tot u uw toestemming intrekt of bezwaar maakt tegen de verwerking. Een blokkeerregel (uw adres, gemarkeerd als “niet mailen”) wordt bewaard om uw intrekking of bezwaar af te dwingen en aan te tonen. |
| 4 | Klantensupport | E-mailadres, naam, inhoud van het bericht en de schermafbeeldingen of logbestanden die u ons stuurt, plus de technische context die het supportformulier automatisch toevoegt (de pagina waarop u zich bevond, uw browser, schermgrootte, applicatieversie en een technische traceringsreferentie) — om vragen te beantwoorden en problemen te diagnosticeren. | Art. 6(1)(b) — overeenkomst; art. 6(1)(f) — gerechtvaardigd belang bij het uitbaten van een supportfunctie | 24 maanden na sluiting van het ticket, daarna verwijdering of anonimisering. |
| 5 | Beveiligingstelemetrie en auditlogs | Authenticatie- en toegangsgebeurtenissen, IP-adres, user-agent, verzoekmetadata en applicatietelemetrie — om beveiligingsincidenten op te sporen en te onderzoeken en aan onze beveiligingsverplichtingen te voldoen. Hieronder vallen ook het IP-adres en de toegangsgebeurtenissen van gasten die een gedeelde documentlink openen. | Art. 6(1)(c) — de beveiligingsverplichting van art. 32 AVG; art. 6(1)(f) — gerechtvaardigd belang bij de beveiliging van de Dienst | Applicatie- en API-logs: 90 dagen; gasttoegangsregistraties: 90 dagen na het verlopen van de gastlink; langer alleen zolang een lopend incidentonderzoek dat vereist. |
| 6 | Werving (wanneer een vacature openstaat) | Naam, contactgegevens, cv, motivatiebrief en sollicitatienotities van kandidaten. | Art. 6(1)(b) — precontractuele stappen op verzoek van de kandidaat | 6 maanden na het sluiten van de vacature, daarna verwijdering — tenzij u uitdrukkelijk instemt met een bewaring in een talentenpool van maximaal 24 maanden. |
| 7 | Product- en siteanalyse | Zie §4. | Zie §4 | Zie §4 |
| 8 | Bewijs van aanvaarding | Bij het aanmaken van een werkruimte: de aanvaarde versie van de Algemene Voorwaarden, het tijdstip, het gebruikersaccount en het volledige IP-adres van de persoon die aanvaardde. Bij elke aanvaarding van de verwerkersovereenkomst namens een Klant: dezelfde gegevens. Kennisnames van latere versies van de Algemene Voorwaarden: versie, tijdstip en gebruikersaccount, zonder IP-adres. Doel: kunnen aantonen welke voorwaarden en welke verwerkersovereenkomst zijn overeengekomen, door wie en wanneer. | Art. 6(1)(f) — gerechtvaardigd belang bij het aantonen van de sluiting en de inhoud van de overeenkomst en de verwerkersovereenkomst; de gedocumenteerde belangenafweging wordt bijgehouden | Tot tien jaar na het definitieve einde van de werkruimte of van de klantrelatie (de verjaringstermijn voor contractuele vorderingen), ook na verwijdering van de werkruimte; daarna definitief gewist. |
Deze sectie gaat over de website cmr-jet.eu en over de applicatie. Onze informatiesites ecmr-europe.eu, cmr-vrachtbrief.be en cmr-vrachtbrief.nl beschrijven hun eigen bezoektellingen in hun eigen privacyverklaring.
cmr-jet.eu: anonieme bezoektellingen (geen toestemming nodig). Onze website cmr-jet.eu telt paginaweergaven met PostHog, gehost in de EU. Voor elke pagina die u bekijkt, legt zij één gebeurtenis vast met het pad van de pagina en de taal ervan. Wanneer u klikt op een link naar de applicatie of naar een ander CMR-JET-adres, legt zij één gebeurtenis vast met de pagina waarop u klikte, de taal ervan en het adres waarnaar de link verwijst. PostHog voegt standaard technische gegevens toe aan elke gebeurtenis: het volledige adres van de pagina (met eventuele campagnelabels uit de link waarmee u hier kwam), de pagina waar u vandaan kwam, het soort toestel, het soort en de versie van uw browser en besturingssysteem, uw schermgrootte, uw taalinstelling en uw tijdzone. Er wordt niets op uw toestel opgeslagen (geen cookies, geen lokale opslag). Elke paginaweergave krijgt een willekeurige identificator die niet gekoppeld is aan een account, een naam of een IP-adres. De analysedienst ontvangt uw IP-adres alleen om het verzoek af te handelen; hij bewaart het niet en leidt er geen locatie uit af. Omdat niemand met deze gegevens geïdentificeerd kan worden, zijn het geen persoonsgegevens, en wij bewaren ze zonder vaste einddatum.
In de applicatie: geen meting. Wij meten niet hoe de applicatie gebruikt wordt: geen tellingen per functie, geen gebruikspaden, geen analysescripts of -identificatoren. Voordat wij een vorm van meting in de applicatie aanzetten, werken wij deze sectie bij en beschrijven wij wat wij meten, op welke rechtsgrond en hoe lang wij het bewaren.
De applicatie gebruikt uitsluitend strikt noodzakelijke (functionele) cookies en browseropslag: voor aanmeldsessies en beveiliging, om uw taal- en weergavevoorkeuren te onthouden, en om een kortlevende lokale kopie bij te houden van gegevens die u onlangs hebt geladen (hoogstens 24 uur, verwijderd wanneer u zich afmeldt), zodat de applicatie sneller opent. Daarvoor is onder de ePrivacy-regels geen toestemming vereist. Wij gebruiken geen advertentie- of cross-site-trackingcookies, en analyse slaat niets op uw toestel op (§4).
Is voor uw werkruimte tweestapsverificatie ingeschakeld en kiest u ervoor een toestel te vertrouwen, dan plaatsen wij één bijkomende strikt noodzakelijke cookie die dat toestel 30 dagen identificeert. Die bevat alleen een willekeurig toesteltoken; aan onze kant is dat token aan uw account gekoppeld, dus wij behandelen het als persoonsgegeven onder activiteit 1 hierboven. Het is strikt noodzakelijk voor de functie die u zelf koos en valt daarom eveneens onder de toestemmingsvrijstelling.
Wij delen persoonsgegevens alleen met:
Wij verkopen geen persoonsgegevens.
De Dienst, de database en de back-ups worden binnen de Europese Unie gehost. Een beperkt aantal subverwerkers heeft een Amerikaanse moedermaatschappij of verwerkt in de VS: voor hen steunen doorgiften in de eerste plaats op het EU-U.S. Data Privacy Framework (adequaatheidsbesluit, art. 45 AVG) waar de betrokken Amerikaanse entiteit een actieve certificering heeft, met de standaardcontractbepalingen van de EU als terugvaloptie. De subverwerkerslijst vermeldt het mechanisme per leverancier.
De bewaartermijnen staan per activiteit in de tabel in §3. In het algemeen:
U hebt recht op inzage, rectificatie, wissing, beperking van de verwerking, overdraagbaarheid van gegevens en bezwaar tegen verwerking op grond van gerechtvaardigd belang. Waar de verwerking op toestemming steunt, kunt u die op elk moment intrekken zonder dat dit de eerdere verwerking aantast. Verzoeken: privacy@cmr-jet.eu. Wij antwoorden zonder onnodige vertraging en uiterlijk binnen één maand.
Betreft uw verzoek gegevens die wij als verwerker voor een transportbedrijf verwerken (CMR-documentinhoud), dan geldt §2: wij sturen uw verzoek door naar dat bedrijf en laten u weten wie u kunt aanspreken.
U hebt ook het recht om een klacht in te dienen bij een toezichthoudende autoriteit — in België de Gegevensbeschermingsautoriteit (Drukpersstraat 35, 1000 Brussel — www.gegevensbeschermingsautoriteit.be).
Wij beschermen persoonsgegevens met technische en organisatorische maatregelen die passen bij het risico, waaronder versleuteling tijdens overdracht (TLS), versleutelde opslag van bestanden aan de serverkant (handtekeningen, afleverfoto’s en uploads), toegangscontrole op basis van rollen, optionele tweestapsverificatie bij het aanmelden (die een Klant verplicht kan maken voor zijn werkruimte), isolatie per klant, versleutelde externe back-ups en beveiligingslogging. Voor Klanten staan de bindende maatregelen in Bijlage II van de DPA.
Wij kunnen deze verklaring wijzigen. De actuele versie staat altijd op https://cmr-jet.eu/privacy; de datum bovenaan geeft de laatste wijziging aan. Bij wezenlijke wijzigingen die klanten raken, geven wij kennis volgens de algemene voorwaarden.