Concept — nog niet juridisch getoetst

Privacyverklaring FundraiserDesk

Versie: concept van 8 september 2026. FundraiserDesk is een werkomgeving waarin zelfstandig fondsenwervers hun opdrachtgevers, projecten en fondsaanvragen bijhouden. In deze verklaring staat welke gegevens wij verwerken, waarom, hoe lang en met wie wij samenwerken.

Aanbieder en contact

• Product: FundraiserDesk
• Aanbieder: Veltwaarde Fondsenwerving
• Adres: Jan Linsestraat 41, 6717 JW Ede
• KvK-nummer: 98657143
• Privacycontactpersoon: Jan van Velthuizen
• E-mail: info@veltwaarde.nl
• Telefoon: 06 18 40 23 97

Jan van Velthuizen is aanspreekpunt voor privacyvragen. Er is geen formele Functionaris Gegevensbescherming aangesteld.

Twee soorten gegevens: onze rol verschilt

Voor accountgegevens, ondersteuning en contactvragen bepaalt Veltwaarde Fondsenwerving zelf het doel. Wij zijn daarvoor verwerkingsverantwoordelijke.

Voor de inhoud die je zelf in je werkomgeving invoert — klanten, contactpersonen, projecten, aanvragen, acties, uren, notities en documentverwijzingen — bepaalt jouw organisatie het doel. Daarvoor handelen wij in beginsel als verwerker. Praktisch betekent dat: wij kijken niet in die gegevens voor eigen doeleinden en gebruiken ze alleen om de dienst te laten werken en om storingen op te lossen.

Voor die verwerkersrol is een aparte verwerkersovereenkomst met jouw organisatie nodig. Deze privacyverklaring vervangt die overeenkomst niet. Tijdens de testfase is die overeenkomst nog niet opgesteld; vóór ingebruikname met echte dossiers sluiten wij die alsnog.

Welke gegevens en waar komen ze vandaan

• Accountgegevens die je zelf opgeeft of die uit je uitnodiging komen: naam, e-mailadres, wachtwoord en organisatie en rol. Je wachtwoord wordt beveiligd beheerd door de authenticatieprovider van onze hostingdienst; wij kunnen het niet inzien.
• Werkgegevens die je zelf invoert: klanten en contactpersonen, projecten, fondsen, aanvragen, acties, mijlpalen, bijdragen en termijnen, contactmomenten, notities, documentverwijzingen (links, geen bestandsinhoud) en optioneel je urenregistratie.
• Logo's die je uploadt, in een niet-openbare opslagruimte.
• Een activiteitenhistorie binnen je eigen werkomgeving: wie wat wanneer heeft gewijzigd.
• Technische gegevens die bij ieder websitebezoek horen, zoals IP-adres, tijdstip en browsertype; deze staan in technische logs van onze dienstverleners.
• Bezoekstatistieken van de openbare website via Google Analytics zijn voorbereid, maar staan op dit moment volledig uit. Er worden dus geen bezoekstatistieken verwerkt, ook niet als je cookies accepteert.
• Als je ons mailt via de knop op de website: je e-mailadres en de inhoud van je bericht, in onze zakelijke mailbox.

Doeleinden en grondslagen

• Account aanmaken en toegang geven — nodig om de overeenkomst met jouw organisatie uit te voeren.
• De werkomgeving laten werken, inclusief opslag van jouw dossiers — uitvoering van de overeenkomst; voor de inhoud handelen wij in opdracht van jouw organisatie.
• Accountmails zoals uitnodiging, wachtwoordherstel en e-mailadreswijziging — uitvoering van de overeenkomst.
• Beveiliging, misbruikpreventie en foutopsporing — gerechtvaardigd belang bij een veilige dienst.
• Afhandelen van contactvragen — gerechtvaardigd belang, of uitvoering van een overeenkomst als het om een lopende opdracht gaat.
• Bezoekstatistieken van de openbare website — uitsluitend op basis van jouw toestemming.
• Wettelijke verplichtingen, bijvoorbeeld administratie en bewaarplichten — wettelijke verplichting.

Dienstverleners

Wij besteden hosting, database, inlogfunctie, private bestandsopslag en accountmails uit aan Lovable (Lovable Labs Incorporated), dat deze onderdelen als één geheel levert onder de naam Lovable Cloud. Lovable gebruikt daarvoor zelf onderleveranciers, waaronder Supabase voor database, inlogfunctie en bestandsopslag, en een verzenddienst voor e-mail. Wij hebben met die onderleveranciers geen eigen contract; onze afspraken lopen via Lovable.

• Lovable — hosting van de website, database, inlogaccounts, private opslag van logo's en verzending van accountmails. Ontvangt daarmee je accountgegevens, je werkgegevens en technische gegevens.
• Google Ireland Limited (Google Analytics) — voorbereid, maar op dit moment uitgeschakeld. Er gaan nu geen gegevens naar Google. Bij latere activering uitsluitend bezoekgegevens van de openbare website en alleen na jouw toestemming; nooit vanuit de beveiligde werkomgeving, de inlogpagina, uitnodigingspagina's, wachtwoordherstel of het beheergedeelte.
• Onze zakelijke e-mailvoorziening — voor berichten die je ons stuurt.
• Lettertypen — het lettertype van de website leveren wij vanaf onze eigen server. Er gaat hiervoor geen verzoek naar Google Fonts, dus ook geen IP-adres.

De database, de inlogaccounts en de bestandsopslag van dit project staan in de regio Ierland (Europese Unie). Wij kunnen niet garanderen dat alle betrokken partijen uitsluitend binnen de EER werken: Lovable en Google zijn in de Verenigde Staten gevestigd, waardoor doorgifte buiten de EER — bijvoorbeeld voor ondersteuning of onderdelen van de dienstverlening — niet is uit te sluiten. Wij hebben op dit moment per leverancier nog niet vastgesteld welke verwerkersafspraken en welke doorgiftewaarborgen gelden. Wij claimen dus niet dat daarvoor al specifieke waarborgen zijn vastgelegd; wij ronden dit af vóór ingebruikname met echte klantdossiers.

Hoe lang wij gegevens bewaren

• Account- en organisatiegegevens: zolang de dienstverlening loopt. Na beëindiging verwijderen wij ze binnen 30 dagen uit de actieve systemen, tenzij een concrete wettelijke verplichting of een geschil langer bewaren noodzakelijk maakt.
• Klantdossiers, contacten, aanvragen, acties, bijdragen, uren, documentverwijzingen en activiteitenhistorie: zolang jouw organisatie ze nodig heeft binnen de dienstverlening. Dat is geen onbeperkte bewaring: beoordeel je dossiers periodiek en vraag verwijdering aan van wat je niet meer nodig hebt. Bij beëindiging gaan deze gegevens mee in dezelfde termijn van 30 dagen.
• Archiveren betekent dat iets buiten de actieve overzichten wordt geplaatst. Het is geen definitieve verwijdering; gearchiveerde gegevens blijven bewaard.
• Ongebruikte uitnodigingen: 14 dagen geldig. Verlopen of ingetrokken uitnodigingen ruimen wij binnen 30 dagen op. Van geaccepteerde uitnodigingen houden wij alleen bij dat en wanneer die is geaccepteerd, door wie en met welke rol. De uitnodigingscode zelf bewaren wij nooit leesbaar: alleen een onomkeerbare hash van die code, die na acceptatie niet meer bruikbaar is.
• Algemene contactvragen: maximaal 12 maanden na afhandeling. Vragen via de knop op de website komen in onze zakelijke mailbox terecht en worden niet automatisch in de app opgeslagen.
• Technische beveiligingslogs: ons beleid is 90 dagen, tenzij een concreet incident langer bewaren noodzakelijk maakt. Deze logs worden bij onze dienstverleners bijgehouden; de precieze bewaartermijnen daar zijn niet door ons in te stellen en hebben wij nog niet per onderdeel vastgesteld. Deze technische logs zijn iets anders dan de activiteitenhistorie in jouw eigen werkomgeving, die bij jouw organisatiegegevens hoort.
• Google Analytics: staat op dit moment uit, dus er worden geen meetgegevens bewaard. Ons voorgenomen beleid bij latere activering is een bewaartermijn van 2 maanden voor gebruikers- en gebeurtenisgegevens, zonder verlenging bij nieuwe activiteit. Die instelling is nog niet in Google Analytics zelf doorgevoerd.
• Je cookiekeuze: 6 maanden. Daarna vragen wij het opnieuw. Je kunt je keuze tussentijds altijd wijzigen.

Automatisch opruimen is nog niet ingebouwd. In deze testfase voeren wij verwijder- en beëindigingsverzoeken handmatig uit volgens een vaste procedure, binnen de hierboven genoemde termijnen.

Verwijderen en beëindigen

Een verzoek stuur je naar info@veltwaarde.nl. Wij leggen het verzoek vast, controleren of het van een bevoegd persoon binnen de organisatie komt en bevestigen de afhandeling. Wij vragen daarvoor geen kopie van een identiteitsbewijs. Op verzoek leveren wij vóór verwijdering een export van de gegevens van jouw organisatie.

Het verwijderen van één persoonlijk account verwijdert niet automatisch de gedeelde gegevens van de organisatie waarin anderen doorwerken. Accounts, lidmaatschappen, organisatiegegevens en geüploade bestanden behandelen wij als afzonderlijke stappen.

Van back-ups verdwijnen gegevens niet direct. Volgens de documentatie van onze hostingdienst wordt van de database eenmaal per dag een momentopname gemaakt, die ongeveer 14 dagen bewaard blijft; geüploade bestanden zoals logo's vallen daar niet onder. Wordt er ooit een momentopname teruggezet, dan controleren wij de op dat moment openstaande en eerder uitgevoerde verwijderverzoeken opnieuw, zodat verwijderde gegevens niet onbedoeld weer in gebruik komen. Wij geven geen garantie over back-upfrequentie, bewaartermijn of hersteltijd; die worden door onze dienstverlener bepaald.

Functionele opslag en bezoekstatistieken

Om je ingelogd te houden en je cookiekeuze te onthouden, gebruiken wij noodzakelijke technische opslag in je browser. Daarvoor is geen toestemming nodig.

Google Analytics is voor de openbare website voorbereid, maar staat via een hoofdschakelaar volledig uit. Ook als je op "Accepteren" klikt, wordt er nu geen Google-script geladen, worden er geen statistiekcookies geplaatst en worden er geen meetgegevens verstuurd. Zetten wij het meten later aan, dan gebeurt dat uitsluitend op de openbare startpagina en privacypagina en alleen na jouw toestemming. Advertentiecookies gebruiken wij niet, en advertentietoestemmingen blijven altijd geweigerd.

In de beveiligde werkomgeving, op de inlogpagina, bij uitnodigingen, wachtwoordherstel en in het platformbeheer wordt nooit gemeten. Er gaan dus geen klantnamen, e-mailadressen, dossiergegevens of links uit uitnodigingsmails naar Google. Weigeren is net zo eenvoudig als accepteren, en via Cookie-instellingen kun je je keuze op elk moment intrekken. Bij intrekken stopt verdere meting direct en verwijderen wij de door ons geplaatste statistiekcookies voor zover technisch mogelijk.

Beveiliging

• Verbindingen met de website en de database zijn versleuteld.
• Wachtwoorden worden beveiligd beheerd door de authenticatieprovider van onze hostingdienst; wij hebben er geen inzage in.
• Iedere werkomgeving staat op zichzelf. De database controleert bij elke opvraging of je bij de betreffende organisatie hoort; gegevens van andere organisaties zijn niet zichtbaar of wijzigbaar. Dit is met twee gescheiden testaccounts nagelopen.
• Logo's staan in een niet-openbare opslagruimte en zijn alleen bereikbaar via een tijdelijke, kortlopende link voor de eigen organisatie.
• De platformbeheerdersrol geeft zonder actief lidmaatschap van een organisatie geen toegang tot operationele organisatiegegevens.
• Wijzigingen in je werkomgeving worden vastgelegd in een activiteitenhistorie.

Geen enkele dienst is volledig risicoloos. Wij treffen passende maatregelen en beloven geen absolute veiligheid. Vermoed je een probleem, meld het dan via het bovenstaande e-mailadres.

Jouw rechten

Je kunt inzage, correctie, verwijdering, beperking of overdracht van je gegevens vragen en bezwaar maken tegen verwerking op grond van een gerechtvaardigd belang. Toestemming voor bezoekstatistieken kun je altijd intrekken. Stuur je verzoek naar info@veltwaarde.nl; wij reageren binnen een maand. Gaat je verzoek over gegevens die een organisatie over jou heeft ingevoerd, dan verwijzen wij je naar die organisatie en helpen wij haar bij de uitvoering.

Ben je niet tevreden over de afhandeling, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

Wijzigingen en status van deze verklaring

Dit is een conceptverklaring van 8 september 2026. De website is als testversie gepubliceerd; de werkomgeving is uitsluitend toegankelijk voor uitgenodigde gebruikers. De verklaring is nog niet juridisch getoetst en geeft dus geen juridische goedkeuring. Vóór ingebruikname met echte klantdossiers vullen wij nog aan: de verwerkersafspraken en doorgiftewaarborgen per leverancier, de bewaartermijnen van technische logs bij leveranciers, een eventueel ingestelde Analytics-bewaartermijn, de aantoonbare back-up- en herstelmogelijkheden en de verwerkersovereenkomst met gebruikersorganisaties. Vragen hierover liggen bij onze hostingdienst en zijn nog niet beantwoord. Bij wijzigingen passen wij de datum bovenaan aan.