Juridisch

Gebruiksvoorwaarden

Versie 2026-09-25 · Van toepassing op accounts (proefperiode én betaald)

1. Wie wij zijn

Deze gebruiksvoorwaarden gelden voor het gebruik van VarData Report (handelsnaam: VarData Report), aangeboden door VarData. KvK: 87654321. BTW: NL87654321B01. Contact: info@vardata.nl.

2. Dienst

VarData Report is een SaaS-dienst waarmee organisaties onderzoeksbestanden (zoals Excel, CSV of SPSS) kunnen uploaden, een dictionary inregelen en bevestigen en rapportages genereren (HTML, PDF/PowerPoint). Eén gebruikersaccount omvat maximaal één organisatie.

3. Account en toegang

• Je bent verantwoordelijk voor de juistheid van je accountgegevens en voor het geheimhouden van je inloggegevens.
• Je mag de dienst alleen gebruiken voor rechtmatige zakelijke doeleinden.
• Je mag geen misbruik maken van de dienst (bijv. ongeautoriseerde toegang, verstoring, reverse engineering buiten wat de wet toestaat).
• E-mailverificatie is verplicht voordat je een organisatie start.

4. Proefperiode en abonnementen

• Nieuwe accounts kunnen een eenmalige gratis proefperiode op Regular starten zonder creditcard, of direct Regular/Pro via Stripe afsluiten.
• Na afloop van de proefperiode (of na het einde van een betaald abonnement) blijven inloggen en je data behouden, maar functies zijn geblokkeerd. Zonder Regular of Pro binnen de retentieperiode (standaard 14 dagen) worden de organisatie (en zo nodig het account) verwijderd. Waarschuwingen verschijnen in de app (o.a. bij openen van de app en op Abonnement); er is geen aparte e-mailherinnering vereist.
• Prijzen en features volgen de actuele planinformatie in de applicatie. Bedragen worden getoond excl. BTW waar van toepassing; Stripe handelt de betaling (en BTW) af.
• Upgrades/downgrades tussen Regular en Pro verlopen via de abonnementsflow in de app. Opzeggen kan via het Stripe Customer Portal; toegang loopt door tot het einde van de reeds betaalde periode (grace), daarna soft-lock + retentie en vervolgens verwijdering volgens het productbeleid.

5. Jouw content en onderzoeksdata

• Jij (of jouw organisatie) blijft eigenaar van geüploade bestanden, dictionary-instellingen, branding en gegenereerde rapportages binnen jullie tenant.
• Je garandeert dat je rechtmatig over de data beschikt en dat je respondenten/derden waar nodig informeert of toestemming hebt voor verwerking.
• Voor persoonsgegevens in onderzoeksbestanden treed jij doorgaans op als verwerkingsverantwoordelijke en VarData Report als verwerker. Zie de privacyverklaring en de verwerkersovereenkomst (DPA).

6. Beschikbaarheid en wijzigingen

We streven naar een stabiele dienst, maar garanderen geen ononderbroken beschikbaarheid. We mogen de dienst verbeteren, features wijzigen of onderhoud plegen. Materiële wijzigingen in deze voorwaarden publiceren we op deze pagina (nieuwe versie/datum). Voortgezet gebruik na de ingangsdatum geldt als aanvaarding, tenzij dwingend recht anders voorschrijft.

7. Aansprakelijkheid

Voor zover wettelijk toegestaan is onze aansprakelijkheid beperkt tot de bedragen die je in de twaalf maanden vóór de schadeveroorzakende gebeurtenis aan ons hebt betaald voor de dienst. We zijn niet aansprakelijk voor indirecte schade, gederfde omzet of verlies van data voor zover dat niet het gevolg is van opzet of grove schuld onzerzijds. Niets in deze voorwaarden beperkt aansprakelijkheid die wettelijk niet mag worden uitgesloten.

8. Beëindiging

Je kunt je organisatie (en daarmee je account) verwijderen via het organisatieprofiel (owner). Wij mogen toegang opschorten of beëindigen bij ernstige schending van deze voorwaarden, frauduleus gebruik of niet-betaling. Bij beëindiging/verwijdering worden tenant-data én het e-mailaccount gewist volgens ons retentiebeleid (één account ↔ één organisatie).

9. Toepasselijk recht

Op deze voorwaarden is het recht van Nederland van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Nederland, behoudens dwingend consumentenrecht (indien van toepassing).

Privacyverklaring (AVG / GDPR)

Versie 2026-11-12 · Informatieplicht art. 13/14 AVG

1. Verwerkingsverantwoordelijke

Voor account-, abonnements- en gebruiksgegevens is VarData verwerkingsverantwoordelijke. Contact privacy: info@vardata.nl. KvK: 87654321.

Voor onderzoeks-/respondentdata die jij uploadt, ben jij (of jouw organisatie) in beginsel verwerkingsverantwoordelijke en verwerken wij die gegevens als verwerker uitsluitend om de dienst te leveren.

2. Welke gegevens wij verwerken

• Accountgegevens: naam, e-mailadres, wachtwoordhash, e-mailverificatietijd, taal/locale, acceptatie van voorwaarden/privacy (tijdstempel + versie).
• Organisatie- en abonnementsgegevens: organisatienaam, plan, trialstatus, Stripe-klant-/abonnementsreferenties, facturatiegebeurtenissen.
• Gebruiks- en technische gegevens: logins, IP-adres/user-agent waar nodig voor beveiliging en logging, foutlogs.
• Serverlogs (Nginx): bij bezoek aan onze sites (o.a. report.vardata.nl en vardata.nl) worden technische verzoekgegevens vastgelegd (zoals IP-adres, URL, tijdstip, user-agent en referer) voor beveiliging, storingsanalyse en verkeersinzicht. We analyseren die logs server-side met GoAccess; daar komen geen trackingcookies aan te pas. Retentie volgt de logrotatie op de server (doorgaans beperkt tot circa 14 dagen).
• Tenantcontent: geüploade onderzoeksbestanden, dictionary/metadata, analysespecificaties, geaggregeerde resultaten, exports, branding (logo/kleuren).
• Supportcommunicatie: berichten die je ons stuurt (o.a. via het contactformulier op vardata.nl).

3. Doeleinden en rechtsgrondslagen

• Account aanmaken en dienst leveren (uitvoering overeenkomst, art. 6 lid 1 b AVG).
• Facturatie en abonnementen via Stripe (uitvoering overeenkomst / wettelijke verplichting, art. 6 lid 1 b/c AVG).
• Beveiliging, misbruikpreventie, logging (gerechtvaardigd belang, art. 6 lid 1 f AVG).
• Wettelijke verplichtingen (bijv. administratie/bewaarplichten, art. 6 lid 1 c AVG).
• Verwerking van onderzoeksbestanden als verwerker op jouw instructie (art. 28 AVG; grondslag ligt bij jou als verantwoordelijke).

4. Ontvangers / verwerkers

Wij delen gegevens alleen als dat nodig is voor de dienst, bijvoorbeeld met:

• TransIP (hosting VPS en object storage voor encrypted back-ups, NL);
• Cloudflare (Turnstile bot-bescherming op relevante formulieren, o.a. registratie/contact in Report en het contactformulier op vardata.nl/#contact);
• OpenAI (optionele AI-samenvatting op geaggregeerde totalen, geen microdata volgens productontwerp);
• Stripe (betalingen);
• E-mail-/transactionele mailproviders (verificatie- en systeemberichten);
• Autoriteiten indien wettelijk verplicht.

Met (sub)verwerkers sluiten wij waar vereist een verwerkersovereenkomst. Voor jouw onderzoeksdata als verwerker geldt onze verwerkersovereenkomst (DPA).

5. Doorgifte buiten de EER

Als gegevens buiten de Europese Economische Ruimte worden verwerkt, doen wij dat alleen met een adequaatheidsbesluit of andere passende waarborgen (zoals EU-standard contractual clauses), voor zover van toepassing.

6. Bewaartermijnen

• Account- en organisatiedata: zolang je account/organisatie actief is; na verwijdering of verlopen trial wissen we tenant-data volgens ons verwijderingsproces.
• Facturatie-/administratiegegevens: zolang als wettelijk vereist (doorgaans tot 7 jaar in NL voor fiscale stukken via Stripe/administratie).
• Logs: beperkt tot wat nodig is voor beveiliging en storingsoplossing; Nginx access logs doorgaans circa 14 dagen (logrotatie), naast kortere applicatie-/foutlogs waar relevant.

7. Beveiliging

Wij nemen passende technische en organisatorische maatregelen (o.a. toegangscontrole per organisatie/tenant, hashing van wachtwoorden, transportbeveiliging via HTTPS, least-privilege op servers). Absolute veiligheid kan niet worden gegarandeerd.

8. Jouw rechten

Voor zover de AVG van toepassing is, kun je verzoeken om:

• inzage, rectificatie, wissing;
• beperking van de verwerking;
• overdraagbaarheid (dataportabiliteit);
• bezwaar tegen verwerking op basis van gerechtvaardigd belang.

Stuur verzoeken naar info@vardata.nl. We reageren binnen de wettelijke termijnen. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.

Voor inzage/wissing van respondentdata in geüploade bestanden wend je je in eerste instantie tot de organisatie die de data heeft geüpload (de verwerkingsverantwoordelijke van die dataset).

9. Cookies

We gebruiken alleen functionele (strikt noodzakelijke) cookies voor inloggen, beveiliging, CSRF-bescherming, taalkeuze (NL/EN) en de werking van de applicatie. We zetten geen tracking-, analytics- of advertentiecookies. Daarom vragen we geen cookie-toestemming via een “accept/reject”-banner; wel tonen we een korte informatieve cookiemelding.

Overzicht van cookies die VarData Report zelf zet:

• vardata-report-session — sessie/login (HttpOnly, Secure, SameSite=Lax; typisch ~2 uur).
• XSRF-TOKEN — CSRF-bescherming van formulieren (Secure, SameSite=Lax; typisch ~2 uur).
• locale — onthouden van taalkeuze NL/EN na wissel (Secure, SameSite=Lax; tot 1 jaar).

Op sommige formulieren kan Cloudflare Turnstile laden ter bescherming tegen bots (o.a. registratie en contact in VarData Report, en het contactblok op vardata.nl/#contact). Daarbij laadt de site third-party JavaScript van Cloudflare (challenges.cloudflare.com) en kunnen technische gegevens (zoals IP) bij Cloudflare worden verwerkt; dit dient beveiliging, geen marketingtracking. Zie ook de verwerkersovereenkomst.

10. Minderjarigen

De dienst is gericht op zakelijke gebruikers. Accounts door personen onder de 16 jaar zijn niet bedoeld.

11. Wijzigingen

We kunnen deze verklaring actualiseren. De versiedatum bovenaan geldt. Bij materiële wijzigingen informeren we waar redelijk (bijv. via de app of e-mail) en vragen we opnieuw akkoord als dat wettelijk nodig is.

Verwerkersovereenkomst (DPA)

Versie 2026-11-11 · AVG artikel 28 · Bijlage bij de gebruiksvoorwaarden van VarData Report

Deze verwerkersovereenkomst (“DPA”) regelt de verwerking van persoonsgegevens door VarData (handelsnaam VarData Report / VarData Report; hierna: Verwerker) ten behoeve van de klantorganisatie die VarData Report gebruikt (hierna: Verantwoordelijke). KvK Verwerker: 87654321. BTW: NL87654321B01. Contact privacy: info@vardata.nl.

Door een account te openen, de dienst te gebruiken en/of onderzoeksbestanden te uploaden, stemt de Verantwoordelijke in met deze DPA. Samen met de gebruiksvoorwaarden en de privacyverklaring vormt dit de afspraak over verwerking van persoonsgegevens in de dienst.

1. Rollen en toepasselijkheid

• Voor account-, abonnements- en gebruiksgegevens is VarData doorgaans zelf verwerkingsverantwoordelijke (zie privacyverklaring). Die gegevens vallen buiten het kernbereik van deze DPA.
• Voor onderzoeks-/respondentgegevens in geüploade bestanden (Excel, CSV, SPSS e.d.), dictionary-metadata, analysespecificaties, geaggregeerde resultaten, exports en branding binnen de tenant is de klantorganisatie Verantwoordelijke en VarData Report Verwerker.
• Deze DPA geldt alleen voor zover in die tenantcontent persoonsgegevens in de zin van de AVG voorkomen.

2. Onderwerp, aard en doel van de verwerking

Verwerker verwerkt persoonsgegevens uitsluitend om de SaaS-dienst VarData Report te leveren: importeren en opslaan van onderzoeksbestanden, dictionary-review, analyse/aggregatie, rapportage (HTML/PDF/PowerPoint), dashboard, prioriteitenmatrix, optionele AI-samenvatting op basis van geaggregeerde totalen, exports, en technische logging/back-ups die daarvoor nodig zijn.

Verwerker verwerkt geen tenantcontent voor eigen marketing of productverbetering buiten wat nodig is om de dienst te leveren en te beveiligen, behoudens schriftelijke instructie of wettelijke plicht.

3. Categorieën betrokkenen en gegevens

• Betrokkenen: doorgaans respondenten of andere personen die in de datasets van de Verantwoordelijke voorkomen; daarnaast gebruikers van de Verantwoordelijke voor zover hun gegevens in tenantcontent staan.
• Gegevens: antwoorden en kenmerken zoals de Verantwoordelijke die aanlevert (bijv. scores, categorieën, open tekst, gewichten). De Verantwoordelijke bepaalt de inhoud; Verwerker controleert datasets niet op volledigheid of rechtmatigheid vooraf.
• Bijzondere categorieën: Verantwoordelijke mag bijzondere persoonsgegevens (AVG art. 9) of strafrechtelijke gegevens alleen uploaden als daar een geldige grondslag voor is. Verwerker heeft geen aparte toestemming van betrokkenen en verwerkt die gegevens alleen als onderdeel van de geüploade content.

4. Duur

De verwerking duurt zolang de organisatie/tenant actief is bij VarData Report. Na beëindiging, verwijdering door de Verantwoordelijke, of na soft-lock + retentie volgens het productbeleid (standaard 14 dagen na einde proef of abonnement) wist Verwerker tenantcontent volgens het reguliere verwijderingsproces, behoudens wettelijke bewaarplichten of beveiligde back-ups met beperkte retentie.

5. Instructies

• Verwerker verwerkt persoonsgegevens alleen op gedocumenteerde instructies van de Verantwoordelijke, waaronder: gebruik van de applicatiefuncties, deze DPA, de gebruiksvoorwaarden, en redelijke schriftelijke instructies (e-mail).
• Verwerker informeert de Verantwoordelijke onmiddellijk als een instructie naar zijn oordeel in strijd is met de AVG of ander Unie-/lidstatenrecht.
• Verantwoordelijke staat er voor in dat instructies rechtmatig zijn en dat hij betrokkenen informeert of een andere geldige grondslag heeft.

6. Vertrouwelijkheid en personeel

Verwerker zorgt dat personen die onder zijn gezag persoonsgegevens verwerken geheimhouding hebben toegezegd of een passende wettelijke geheimhoudingsplicht hebben, en alleen toegang krijgen op need-to-know-basis (o.a. support/impersonatie onder beleid).

7. Beveiliging (art. 32 AVG)

Verwerker treft passende technische en organisatorische maatregelen, waaronder in ieder geval:

• toegangscontrole per organisatie/tenant;
• versleuteling van wachtwoorden (hashing) en transport via HTTPS;
• least-privilege op servers en gescheiden app-/admin-toegang;
• encrypted off-site back-ups van relevante systeem- en tenantgegevens;
• logging en maatregelen tegen misbruik (o.a. rate-limits, optioneel bot-bescherming).

Absolute veiligheid kan niet worden gegarandeerd. Verantwoordelijke blijft verantwoordelijk voor wat hij uploadt en voor eigen accounts/wachtwoorden.

8. Subverwerkers

Verantwoordelijke geeft algemene toestemming voor het inschakelen van subverwerkers die nodig zijn voor de dienst. Verwerker blijft verantwoordelijk voor hun nakoming van verplichtingen die gelijkwaardig zijn aan deze DPA. Materiële wijzigingen in de subverwerkerslijst publiceert Verwerker (bijv. via deze pagina of in-app); bezwaar is mogelijk binnen 14 dagen schriftelijk, waarna partijen in overleg treden of de Verantwoordelijke de dienst mag beëindigen.

Huidige subverwerkers (kern):

• TransIP B.V. (NL) — hosting (VPS) en object storage voor encrypted back-ups;
• Cloudflare, Inc. — bot-/misbruikbescherming (Turnstile) op relevante formulieren; kan IP-/technische gegevens verwerken;
• OpenAI, LLC / gelieerde entiteiten — optionele AI-samenvatting op basis van geaggregeerde rapportpayloads (geen microdata/respondentrijen volgens productontwerp);
• Stripe, Inc. / Stripe Payments Europe — betalingen en facturatie (vooral account-/betalingsgegevens van de Verantwoordelijke; niet bedoeld als verwerking van respondentmicrodata);
• E-mail-/SMTP-provider — transactionele berichten (verificatie, wachtwoordreset, support).

Een actuele toelichting staat ook in de privacyverklaring. Op verzoek stuurt Verwerker een beknopte update van deze lijst.

9. Doorgifte buiten de EER

Voor zover subverwerkers of voorzieningen buiten de EER persoonsgegevens verwerken, doet Verwerker dat alleen met een adequaatheidsbesluit of andere passende waarborgen (zoals EU-standard contractual clauses), voor zover van toepassing.

10. Assistentie bij rechten van betrokkenen

Rekening houdend met de aard van de verwerking ondersteunt Verwerker de Verantwoordelijke met passende technische en organisatorische middelen bij verzoeken van betrokkenen (inzage, rectificatie, wissing, enz.), voor zover mogelijk via de applicatie (export/verwijdering van de tenant) of via support op info@vardata.nl. Verzoeken die Verwerker rechtstreeks van betrokkenen ontvangt over tenantcontent, stuurt hij door naar de Verantwoordelijke, tenzij wettelijk anders vereist.

11. Assistentie bij DPIA, consultatie en incidenten

• Verwerker ondersteunt de Verantwoordelijke redelijkerwijs bij een gegevensbeschermingseffectbeoordeling (DPIA) en voorafgaande raadpleging, voor zover die de dienst betreffen.
• Bij een inbreuk in verband met persoonsgegevens die Verwerker of een subverwerker betreft, informeert Verwerker de Verantwoordelijke zonder onredelijke vertraging nadat hij daarvan kennis heeft genomen, met de informatie die redelijkerwijs beschikbaar is om aan AVG-art. 33/34 te voldoen.

12. Audits

Verwerker stelt de Verantwoordelijke de informatie ter beschikking die nodig is om nakoming van art. 28 AVG aan te tonen en staat audits toe die redelijk, vooraf aangekondigd (minimaal 15 werkdagen) en niet-storend zijn, maximaal één keer per kalenderjaar (tenzij een bevoegde toezichthouder of een aantoonbaar incident dit rechtvaardigt). Audits vinden plaats onder geheimhouding; kosten van derden-auditors zijn voor de Verantwoordelijke, tenzij een materieel tekortkoming van Verwerker wordt vastgesteld.

13. Teruggave en vernietiging

Tijdens de overeenkomst kan de Verantwoordelijke data exporteren via de dienst (waar beschikbaar). Na einde van de verwerkingsdiensten wist Verwerker tenantcontent zoals in §4, tenzij Unie- of lidstatenrecht opslag verplicht. Op schriftelijk verzoek binnen de retentieperiode bevestigt Verwerker de wissing of geeft hij aan welke wettelijke uitzondering geldt.

14. Aansprakelijkheid

Aansprakelijkheid van partijen onder deze DPA volgt de beperkingen in de gebruiksvoorwaarden, voor zover dwingend recht (waaronder de AVG) die beperkingen toelaat. Niets in deze DPA beperkt aansprakelijkheid die wettelijk niet mag worden uitgesloten.

15. Rangorde, recht en wijzigingen

• Bij strijd tussen deze DPA en de gebruiksvoorwaarden prevaleert deze DPA voor zover het om verwerking van persoonsgegevens als verwerker gaat.
• Op deze DPA is het recht van Nederland van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Nederland, behoudens dwingend recht.
• Materiële wijzigingen publiceert Verwerker met een nieuwe versiedatum. Voortgezet gebruik na de ingangsdatum geldt als aanvaarding, tenzij dwingend recht anders voorschrijft.

16. Slot

Toezichthouder: Autoriteit Persoonsgegevens. Vragen over deze DPA: info@vardata.nl.