Privacybeleid

1. Wie is verantwoordelijk

Verwerkingsverantwoordelijke voor alles wat op deze pagina staat, is:

Onderneming

WhileLoop BV

Maatschappelijke zetel

Hundelgemsesteenweg 722B, 9820 Merelbeke-Melle, België

Ondernemingsnummer

0716.802.779

Privacyvragen en verzoeken

privacy@checked.be

Algemeen contact

contact@checked.be

We zijn niet verplicht een functionaris voor gegevensbescherming aan te stellen en hebben er geen. Je verzoeken komen rechtstreeks bij de mensen die het product bouwen, en die beantwoorden ze zelf.

2. Gegevens uit openbare registers

Het grootste deel van Checked gaat over ondernemingen, en ondernemingsgegevens zijn geen persoonsgegevens. Maar in die publicaties staan ook namen van mensen, en dat zijn ze wel. We hebben die namen niet bij jou opgevraagd: we halen ze uit registers die de overheid publiceert. Daarom lees je hier ook waar ze precies vandaan komen.

Welke gegevens

• Naam, functie en mandaatperiode van bestuurders, zaakvoerders, vaste vertegenwoordigers en vereffenaars, met de publicatie waaruit ze komen.
• Naam van curatoren, voorlopige bewindvoerders, gerechtsmandatarissen en notarissen in insolventie- en vastgoedpublicaties.
• Naam en geboortedatum van personen met een beroepsverbod, zoals die in het Belgisch Staatsblad gepubliceerd worden. Die gegevens tonen we alleen aan betalende, aangemelde gebruikers, en de pagina's zijn afgeschermd voor zoekmachines.
• Gegevens uit beschermingsmaatregelen (voorlopig bewind), met dezelfde afscherming.
• Ondernemingsgegevens die samenvallen met een persoon, zoals bij een eenmanszaak: ondernemingsnummer, activiteit, adres van de zetel.

Wat we bewust niet verwerken: rijksregisternummers, privé-adressen die niet als zetel gepubliceerd zijn, en gegevens over gezondheid, politieke opvattingen, religie, vakbondslidmaatschap, seksleven of etnische afkomst. Op adrespagina's tonen we ondernemingen die een natuurlijke persoon zijn met een neutrale aanduiding, zonder naam.

Waar ze vandaan komen

• Kruispuntbank van Ondernemingen (KBO/BCE), open data van de FOD Economie.
• Belgisch Staatsblad, via de publicaties op ejustice.just.fgov.be.
• Nationale Bank van België, neergelegde jaarrekeningen.
• Publieke vastgoed-, kadaster-, vergunnings- en overheidsopdrachtenbronnen van de federale en gewestelijke overheden.

Op elke pagina staat de bron erbij, met het Numac-nummer van de publicatie of de link naar het register, zodat je zelf kan nakijken waar een gegeven vandaan komt.

Waarom, en op welke grondslag

Grondslag: ons gerechtvaardigd belang en dat van onze gebruikers (artikel 6.1.f AVG). Het doel is nuchter: iemand die zaken doet met een Belgische onderneming moet kunnen nagaan wie erachter zit, of er een faillissement of beroepsverbod speelt, en of de cijfers kloppen. Dat is precies waarvoor ondernemingspublicatie in het leven is geroepen: het register is openbaar zodat derden erop kunnen vertrouwen.

We hebben die belangen afgewogen tegen jouw privacy, en dat is wat die afweging concreet oplevert:

• We verwerken je gegevens uitsluitend in je professionele hoedanigheid: welke rol je opnam in welke onderneming, en wanneer. Nooit je privéleven.
• We voegen niets toe dat niet gepubliceerd is. Geen scores over personen, geen profielen voor reclame, geen doorverkoop van gegevens, geen advertentienetwerken.
• De gevoeligste categorieën, beroepsverboden en beschermingsmaatregelen, staan achter een aanmelding én een betaald plan, en die pagina's houden we uit de sitemap en uit de zoekmachines.
• Persoonspagina's zijn afgeschermd voor zoekmachines, zodat je naam niet via Checked in algemene zoekresultaten opduikt.
• Bij elk gegeven staat de bron, zodat je meteen ziet waar je een correctie moet vragen.
• Je kan altijd bezwaar maken. Hoe dat werkt en wat we dan doen, staat verderop.

3. Gegevens van je account

Maak je een account, dan verwerken we de gegevens die je zelf geeft en de gegevens die het gebruik van de dienst voortbrengt:

• Je e-mailadres en, als je die invult, je naam. Je e-mailadres is ook je gebruikersnaam.
• Je wachtwoord, dat we uitsluitend als onomkeerbare hashwaarde bewaren. We kunnen het niet lezen en niet aan je teruggeven; ben je het kwijt, dan stel je via een herstelmail een nieuw wachtwoord in.
• Je volglijst, je alertregels, je meldingen en je digestfrequentie.
• Je plan, je Stripe-klantnummer en je Stripe-abonnementsnummer. Kaartgegevens komen nooit op onze servers.
• Het tijdstip waarop je account is aangemaakt, en de teller met mislukte aanmeldpogingen die de vergrendeling stuurt.
• Schrijf je in op de nieuwsbrief, dan bewaren we je e-mailadres, je taal en de pagina waar je je inschreef.

Grondslag: de uitvoering van de overeenkomst tussen jou en ons (artikel 6.1.b AVG) voor je account, je volglijst en je abonnement. Voor de nieuwsbrief is dat je toestemming (artikel 6.1.a), die je op elk moment kan intrekken. Voor de beveiliging van je account, zoals de vergrendeling na mislukte pogingen, is dat ons gerechtvaardigd belang (artikel 6.1.f).

E-mail die we je sturen

Twee soorten. Berichten over je account en je abonnement, zoals een welkomstmail, een bevestiging van je e-mailadres, een wachtwoordherstel of een melding dat een betaling mislukte: die horen bij de overeenkomst en bij de beveiliging van je account, en daar zit geen uitschrijflink bij, want "je betaling is mislukt" stilzetten is geen voorkeur. En daarnaast je volgmeldingen en digests, die je zelf aanzet en op elk moment weer uitzet; elke digest en elke alertmail draagt een uitschrijflink die werkt zonder aanmelden, plus de uitschrijfknop die je mailprogramma zelf toont.

Voor de verzending gebruiken we Microsoft 365. Je e-mailadres en de inhoud van het bericht gaan dus door de mailinfrastructuur van Microsoft, dat daarbij als onze verwerker optreedt. Loopt een verzending mis, dan houden we het e-mailadres, het onderwerp en de foutmelding bij in een kleine fouttabel, zodat we kunnen zien wat er misging en het opnieuw kunnen proberen.

Wat we niet doen: we bewaren geen IP-adressen, geen browsergegevens en geen profiel van je surfgedrag, en we volgen je niet over websites heen. IP-adressen gebruiken we alleen kortstondig in het werkgeheugen om tarieflimieten toe te passen; ze worden niet opgeslagen en niet gelogd. Er zijn geen analytische cookies en geen trackers van derden.

Wat we in totalen meten

Om te weten of de dienst werkt en wat eraan ontbreekt, tellen we een handvol dingen op het niveau van de hele site: hoeveel accounts er per dag bijkomen, hoeveel abonnementen starten en stoppen, hoeveel bedrijven gevolgd worden, hoeveel dossiers bekeken worden, hoeveel zoekopdrachten er gebeuren en hoeveel daarvan niets opleveren, hoeveel API-oproepen er zijn, hoeveel e-mails vertrekken of mislukken, en welke foutmeldingen bezoekers te zien krijgen.

Dat gebeurt uitsluitend als aantallen per dag. Er hangt geen gebruikersnummer, geen sessie-identificatie, geen IP-adres en geen browsergegeven aan: die kolommen bestaan niet in de tabellen, dus die koppeling kan ook achteraf niet gemaakt worden. Een regel zegt "dit dossier is die dag twaalf keer geopend", nooit door wie.

Van zoekopdrachten bewaren we ook de gezochte tekst zelf, want de zoekopdrachten die niets opleveren zijn het duidelijkste signaal over wat er in de dienst ontbreekt. Ook die tekst staat volledig los van wie ze intypte, en ze wordt eerst gefilterd: lijkt een zoekterm op een e-mailadres, een webadres of een lange cijferreeks, dan wordt ze geweigerd en helemaal niet bewaard. Deze totalen met zoektekst verdwijnen na negentig dagen.

Grondslag: voor zover hier al persoonsgegevens bij zouden zijn, is dat ons gerechtvaardigd belang om te zien of de dienst werkt en om hem te verbeteren (artikel 6.1.f AVG). Omdat er geen enkele koppeling met een persoon bestaat en er geen cookie of tracker aan te pas komt, is de impact op je privacy verwaarloosbaar.

4. Checked AI

Op een paar plaatsen kan je Checked AI gebruiken: een vraag stellen over een dossier, een due-diligencenota laten opstellen, of een ondernemingsidee laten inschatten. Die functies draaien niet op onze eigen servers. Wat er dan gebeurt:

• We sturen je vraag of je ingetypte tekst, samen met de publieke gegevens van het dossier dat je bekijkt, naar Anthropic PBC in de Verenigde Staten, dat er een taalmodel op laat lopen en het antwoord terugstuurt.
• Die dossiergegevens omvatten de namen en mandaten van bestuurders zoals ze in de registers staan. Voor betalende, aangemelde gebruikers omvatten ze ook de naam en geboortedatum van personen met een beroepsverbod; voor alle andere bezoekers halen we die er vooraf uit.
• We sturen géén gegevens mee die jou identificeren: geen e-mailadres, geen accountnummer, geen IP-adres. Anthropic weet dus niet wie de vraag stelt.
• Wij bewaren het antwoord niet, en je vraag evenmin: er komt geen rij in onze databank en geen regel in ons logboek. Aan de kant van Anthropic wordt het dossierdeel van de vraag maximaal vijf minuten in een tijdelijke cache gehouden om herhaalde vragen goedkoper te maken.
• Anthropic treedt op als onze verwerker en mag deze gegevens volgens onze overeenkomst niet gebruiken om zijn modellen te trainen.

Je hoeft Checked AI niet te gebruiken: de hele rest van het dossier werkt zonder. Typ er geen vertrouwelijke of gevoelige informatie in. En omdat een taalmodel zich kan vergissen, is een AI-antwoord een leeshulp bij het dossier, geen advies.

5. Aan wie we gegevens doorgeven

We verkopen nooit gegevens en we geven ze niet door voor reclame. Dit is de volledige lijst van partijen die gegevens van jou te zien krijgen omdat ze een stuk van de dienst uitvoeren:

De volledige toepassing draait op hardware die we zelf beheren in België. We gebruiken geen externe cloudprovider voor de databank of de website. Google Fonts is de enige externe bron die je browser aanspreekt; er komt geen cookie van Google op onze site. Wil je dat vermijden, dan blokkeer je fonts.googleapis.com in je browser; de site blijft dan gewoon werken, met een ander lettertype.

Daarnaast kunnen we gegevens moeten meedelen aan een overheid of rechtbank wanneer de wet ons daartoe verplicht. Dat doen we alleen op basis van een geldig verzoek en niet ruimer dan gevraagd.

6. Doorgifte buiten de EER

• Anthropic PBC, Verenigde Staten. De doorgifte gebeurt onder de verwerkersovereenkomst van Anthropic, die de standaardcontractbepalingen van de Europese Commissie bevat (uitvoeringsbesluit (EU) 2021/914, module 2).
• Stripe. Onze contractpartij is Stripe Payments Europe in Ierland; doorgifte naar de Amerikaanse groepsentiteit steunt op het EU-VS-Data Privacy Framework en op de standaardcontractbepalingen.
• Google, voor de lettertypes. Google LLC is gecertificeerd onder het EU-VS-Data Privacy Framework.
• Microsoft, voor de e-mailverzending. Onze contractpartij is Microsoft Ireland Operations Limited; de mailgegevens blijven in de Europese Unie, en voor eventuele doorgifte naar Microsoft Corporation in de VS steunen we op het EU-VS-Data Privacy Framework en op de standaardcontractbepalingen.

Een kopie van de standaardcontractbepalingen die op onze doorgiftes van toepassing zijn, vraag je op via privacy@checked.be.

7. Hoelang we bewaren

8. Cookies

Checked gebruikt drie cookies, alle drie strikt noodzakelijk om de dienst te laten werken. Er zijn geen analytische cookies, geen advertentiecookies, geen trackers van derden, geen tagmanager en geen local storage. Daarom is er ook geen cookiebanner: voor strikt noodzakelijke cookies is je toestemming wettelijk niet vereist, en we gaan je niet lastigvallen met een keuze die er geen is.

Alle drie zijn ze HttpOnly, wat betekent dat scripts in je browser ze niet kunnen uitlezen. Je taalkeuze zit in het webadres (/fr, /en) en niet in een cookie. Ga je betalen, dan surf je naar een betaalpagina van Stripe; wat Stripe daar plaatst, valt onder het cookiebeleid van Stripe.

9. Je rechten

• Inzage. Je krijgt een kopie van de persoonsgegevens die we van je verwerken, met de herkomst ervan.
• Rectificatie. Klopt een gegeven niet, dan corrigeren we het, of we tonen je waar het bij de bron rechtgezet moet worden.
• Wissing. Je account en alles wat eraan hangt, wissen we op verzoek. Voor registergegevens hangt het af van de afweging hieronder.
• Bezwaar. Tegen alles wat we op gerechtvaardigd belang doen, kan je bezwaar maken om redenen die met jouw situatie te maken hebben. We stoppen dan, tenzij we dwingende gerechtvaardigde gronden kunnen aantonen die zwaarder wegen. We leggen onze afweging altijd uit.
• Beperking. Betwist je de juistheid van een gegeven, dan zetten we de verwerking ervan stil zolang we het nakijken.
• Overdraagbaarheid. De gegevens die je zelf gaf of die uit je gebruik voortkomen, leveren we in een gangbaar machineleesbaar formaat.
• Toestemming intrekken. Voor de nieuwsbrief kan je je toestemming op elk moment intrekken, met de link in elke mail of via één bericht aan ons.

Stuur je verzoek naar privacy@checked.be. We antwoorden binnen één maand; is je vraag complex, dan mogen we die termijn met twee maanden verlengen en laten we je dat binnen de eerste maand weten. Het kost je niets. We vragen alleen extra identificatie wanneer we echt twijfelen wie je bent, en dan zo weinig mogelijk.

10. Sta je zelf in een dossier?

Vind je je eigen naam terug als bestuurder, curator, notaris of in een insolventiepublicatie, dan komt dat gegeven uit een officieel register. Wat we kunnen en niet kunnen doen, is dan het volgende.

• Wat we niet kunnen: het register zelf wijzigen. De KBO, het Belgisch Staatsblad en de Nationale Bank beheren hun eigen gegevens. Wij nemen ze over, we schrijven ze niet.
• Wat we wél doen bij een leesfout van onze kant: een deel van de Staatsbladpublicaties wordt machinaal gelezen, en dat kan misgaan. Zit de fout bij ons, dan corrigeren we ze doorgaans binnen enkele werkdagen en verwijderen we het foute gegeven.
• Wat we doen bij een bronfout: we tonen je waar je ze laat rechtzetten (het ondernemingsloket voor de KBO, de bevoegde griffie voor het Staatsblad, de Nationale Bank voor jaarrekeningen) en we markeren het gegeven intussen als betwist. Zodra de bron gecorrigeerd is, volgt onze pagina automatisch.
• Wil je gewoon niet meer op Checked staan: maak bezwaar via privacy@checked.be met je naam en het ondernemingsnummer. We wegen jouw situatie af tegen het belang van derden om te weten wie een onderneming bestuurt. Zijn er bijzondere omstandigheden, bijvoorbeeld een veiligheidsrisico, dan wegen die zwaar door en schermen we je gegevens af. Gaat het om een mandaat dat vandaag nog loopt bij een actieve onderneming, dan is dat belang van derden meestal doorslaggevend; we leggen die afweging altijd schriftelijk uit en je kan er klacht tegen indienen.
• Ongeacht die afweging halen we je naam meteen uit de zoekindexen van Checked wanneer je dat vraagt, en persoonspagina's staan sowieso al op noindex voor externe zoekmachines.

11. Scores en automatische beslissingen

Checked berekent scores, signalen en een indicatieve kredietlimiet. Die gaan over ondernemingen, niet over personen: ze worden berekend uit neergelegde jaarrekeningen en gepubliceerde ondernemingsfeiten, met vaste regels die we openbaar beschrijven in onze methodologie. We stellen geen profielen van natuurlijke personen op, en een naam die in een dossier voorkomt, geeft die persoon geen eigen score.

Wij nemen zelf geen enkele geautomatiseerde beslissing met rechtsgevolgen of vergelijkbare impact voor jou, in de zin van artikel 22 AVG. We beslissen niet over krediet, aanwerving, huur of verzekering. Onze gebruikers nemen hun eigen beslissingen, en onze voorwaarden verbieden hen om een score van ons als enige grond daarvoor te gebruiken.

Eén nuance, eerlijk gezegd: bij een eenmanszaak valt de onderneming samen met een natuurlijke persoon. Ook dan blijft de score een inschatting op basis van gepubliceerde ondernemingsfeiten, en blijft de beslissing bij de gebruiker liggen. Vind je een score over jouw eenmanszaak onterecht, laat het ons weten via privacy@checked.be; we kijken de onderliggende feiten na en leggen uit hoe de score tot stand kwam.

12. Beveiliging

Al het verkeer loopt over HTTPS. Wachtwoorden bewaren we alleen als onomkeerbare hash. Aanmeldpogingen zijn beperkt en een account vergrendelt tijdelijk na vijf mislukte pogingen. De sessiecookie is HttpOnly en versleuteld. De databank draait op eigen hardware in België, niet bij een externe cloudprovider. De leesverbinding naar de brondatabank heeft uitsluitend leesrechten op afgeschermde weergaven, nooit op de onderliggende tabellen. Kaartgegevens en betaalgegevens komen nooit op onze servers terecht.

Gaat er ondanks alles iets mis met een datalek dat een risico voor je inhoudt, dan melden we het bij de Gegevensbeschermingsautoriteit binnen 72 uur en, waar het een hoog risico betreft, ook rechtstreeks aan jou. Vind je een kwetsbaarheid, meld ze via contact@checked.be; we behandelen zo'n melding met dank.

13. Wijzigingen

Verandert er iets aan wat we verwerken, aan wie we het doorgeven of hoelang we het bewaren, dan passen we deze pagina aan en zetten we er de nieuwe datum bij. Bij een wezenlijke wijziging brengen we accounthouders vooraf op de hoogte via de contactgegevens van hun account. Lees ook de algemene voorwaarden en de methodologie, die uitlegt hoe onze scores werken.