Privacy

Wat we van je vastleggen.

Hier staat wat we van je vastleggen, waarom we dat doen, wie erbij kan en hoelang we het bewaren. In gewone taal, en zonder dingen te noemen die we niet doen.

Versie 2, 22 september 2026.

This privacy policy in English

Wie hier verantwoordelijk voor is

Portalio is een handelsnaam van Octadex, een eenmanszaak, ingeschreven in het Handelsregister van de Kamer van Koophandel onder nummer 99648156. Die onderneming is verantwoordelijk voor deze website, voor het contactformulier en voor de accounts waarmee je in een portaal inlogt.

Vestigingsadres: De Tilbarten 49, 9084 CB Goutum
E-mail: contact@portalio.nl
Over beveiliging: security@portalio.nl

Gebruik je een portaal op een adres als bedrijf.portalio.nl, of op het eigen adres van dat bedrijf, dan is het bedrijf dat dat portaal gebruikt verantwoordelijk voor wat erin staat: welke klanten erin komen, welke gesprekken er gevoerd worden en hoelang dat bewaard blijft. Portalio verwerkt die gegevens in opdracht van dat bedrijf en doet er niets anders mee. Heb je een vraag over je gegevens in zo'n portaal, dan is dat bedrijf je eerste adres; het staat in de voet van elk scherm. Kom je er daar niet uit, mail dan naar contact@portalio.nl.

Als je deze site bezoekt

Deze site zet geen cookies en meet geen bezoek. Er gaat vanaf deze site geen enkel verzoek naar een advertentie- of meetdienst. De server houdt alleen de gebruikelijke logboeken bij die nodig zijn om de site te laten werken en misbruik te zien, zoals het adres waarvandaan een pagina werd opgevraagd en het moment; die worden niet gebruikt om je te volgen.

Als je het contactformulier gebruikt

Het formulier vraagt om je naam, je e-mailadres en je bericht. Die komen als mail aan op contact@portalio.nl, zodat we je kunnen antwoorden. We gebruiken ze nergens anders voor, en we bewaren ze hooguit vierentwintig maanden na het laatste contact, tenzij er een overeenkomst uit voortkomt; dan horen ze bij die overeenkomst.

Als je inlogt in een portaal

Inloggen gaat met een link in je mail, of met je werkaccount bij Google of Microsoft. Er is geen wachtwoord, dus we bewaren er ook geen. We leggen vast dat er een account bij je e-mailadres hoort, bij welke bedrijven dat account werkt, en wanneer je inlogde en vanaf welk apparaat. Dat is nodig om je sessie te laten werken en om misbruik te kunnen zien. Een portaal zet daarvoor één cookie: die houdt je ingelogd en doet verder niets.

Wat je in het portaal ziet en doet (relaties, gesprekken, klussen, afspraken, offertes, facturen, bonnen die je tekent, foto's, documenten, notities en het verloop daarvan) is van het bedrijf dat het portaal gebruikt. Wat er precies wordt vastgelegd hangt af van welke onderdelen dat bedrijf aan heeft gezet. Dat bedrijf zegt in zijn eigen privacyverklaring wat het daarmee doet en hoelang het dat bewaart.

Van alles wat er in een portaal gebeurt houden we een verloop bij: wie wat deed en wanneer. Dat is het bewijs van het bedrijf, en het is voor ons de manier om te zien dat het systeem doet wat het moet doen. Uit een inlogmail halen we de link weg voordat we die mail bewaren.

Je Google-agenda

Werk je bij een bedrijf dat het portaal gebruikt, dan kun je op je profiel je eigen Google-agenda koppelen. Dat doe je zelf, met je eigen account, en je kunt het op elk moment weer ongedaan maken. Dit is wat er dan gebeurt, en niets meer dan dat:

Lezen. Van elke agenda die je laat meetellen lezen we alleen wanneer je bezet bent: begin en eind. De titel, de omschrijving, de plaats en de deelnemers van je afspraken lezen we niet en bewaren we niet; de database weigert zo'n titel zelfs als hij binnenkomt. Het portaal gebruikt die tijden voor één ding: zodat een planner ziet wanneer je al bezet bent en niets dubbel plant.
Schrijven. Kies je één agenda als schrijfagenda, dan zet het portaal de klussen die aan jou zijn toegewezen daarin, en werkt ze bij als ze verschuiven of vervallen. Alleen die klussen; aan de rest van je agenda komt het portaal niet.
Wat we bewaren. Het e-mailadres van het gekoppelde account, de namen van je agenda's zodat je kunt kiezen welke meetellen, de bezette tijden voor een maand terug en drie maanden vooruit, en een sleutel waarmee het portaal namens jou mag lezen en schrijven. Die sleutel staat versleuteld in een kluis in de database en is nergens in het portaal leesbaar, ook niet voor de eigenaar van het bedrijf.
Wie het ziet. De namen van je agenda's ziet alleen jij. De eigenaar en de planner van het bedrijf zien dat je gekoppeld bent en wanneer je bezet bent, niet waarmee.
Ontkoppelen. Haal je de koppeling weg, dan trekken we de toegang bij Google in, gaat de sleutel uit de kluis en gaan de bezette tijden uit de database. Wat het portaal in je agenda schreef blijft daar staan; dat haal je zelf weg als je dat wilt.

Gegevens die we via de Google-API ontvangen gebruiken we alleen zoals hierboven staat, en in overeenstemming met het beleid van Google voor gebruikersgegevens, inclusief de eisen voor beperkt gebruik. Daar hoort ook de eis bij dat Google-gegevens niet gebruikt worden om algemene modellen voor kunstmatige intelligentie of machinaal leren te ontwikkelen, te verbeteren of te trainen. We geven ze niet door aan anderen, gebruiken ze niet voor advertenties en laten er geen mens naar kijken, behalve met jouw toestemming, voor beveiliging of als de wet dat vraagt.

Koppel je een agenda met een iCal-adres in plaats van met Google, dan geldt hetzelfde: we lezen alleen wanneer je bezet bent, en het adres zelf staat in dezelfde kluis.

Google-gegevens en kunstmatige intelligentie

Het portaal gebruikt geen kunstmatige intelligentie en geen machinaal leren. Er is geen koppeling met een AI-dienst, niet rechtstreeks en niet via een tussenpartij, en er draait ook geen eigen model mee. Wat we van Google krijgen gaat dus nergens een model in.

Om het expliciet te zeggen: we gebruiken gegevens uit Google Workspace niet om modellen voor kunstmatige intelligentie of machinaal leren te ontwikkelen, te verbeteren of te trainen, en we dragen ze daarvoor ook niet over aan anderen. Dat geldt voor de gegevens zoals we ze binnenkrijgen, en net zo goed voor samengevoegde of geanonimiseerde vormen ervan.

Reistijd en adressen

Plant een bedrijf een klus bij jou thuis, dan kan het portaal de reistijd tussen twee adressen uitrekenen. Daarvoor zoeken we bij het Kadaster (de Locatieserver van PDOK) de coördinaten van een adres op, en vragen we een routeserver om de rijtijd tussen twee coördinaten. Er gaat dan een adres of een coördinaat naar buiten, geen naam en geen ander gegeven. Het bedrijf kiest zelf of het dat aanzet.

Waarom we dit mogen

Om je bericht te beantwoorden en een overeenkomst uit te voeren: de uitvoering van de overeenkomst met jou, of de stappen daarnaartoe.
Voor de administratie en de bewaarplicht: onze wettelijke plicht.
Voor het verloop, de beveiliging van je account en het tegengaan van misbruik: ons gerechtvaardigd belang. Je mag daar bezwaar tegen maken.
Voor het koppelen van je agenda: jouw toestemming, die je op je profiel geeft en op dezelfde plek weer intrekt.
Voor wat een bedrijf in zijn portaal met jouw gegevens doet: de grondslag van dat bedrijf, en die staat in zijn eigen privacyverklaring.

De partijen die ons helpen

Deze partijen verwerken gegevens in onze opdracht. Met elk van hen hebben we een verwerkersovereenkomst.

Supabase (database, inloggen en bestandsopslag). Alles staat in een datacenter in Frankfurt.
Vercel (de site en het portaal zelf). De servers draaien in Frankfurt; Vercel is een Amerikaans bedrijf, en de doorgifte is geregeld met de standaardcontractbepalingen van de Europese Commissie.
Scaleway (de mail die het portaal je stuurt). Een Frans bedrijf, servers in Europa.
Google, alleen als je zelf je agenda koppelt of met je Google-account inlogt. Microsoft, alleen als je met je Microsoft-account inlogt.
Het Kadaster (PDOK) en een routeserver, alleen voor coördinaten en reistijd, zoals hierboven staat.

Verder geven we niets aan anderen, behalve als de wet ons daartoe verplicht.

Hoelang we het bewaren

Een bericht via het contactformulier: vierentwintig maanden na het laatste contact.
Je account: zolang je bij minstens één bedrijf in een portaal werkt of klant bent, en daarna weg zodra je het vraagt.
Wanneer je inlogde en vanaf welk apparaat: negentig dagen.
De bezette tijden uit een gekoppelde agenda: een maand terug en drie maanden vooruit, en weg zodra je ontkoppelt.
Wat een bedrijf in zijn portaal vastlegt: zolang dat bedrijf dat bepaalt. Facturen en getekende bonnen vallen onder de bewaarplicht van zeven jaar.

Hoe we het beveiligen

Alles gaat over een versleutelde verbinding.
Wie welk bedrijf en welke relatie mag zien is vastgelegd in de database zelf, niet in de schermen erboven. Elke tabel kent het bedrijf waar een rij van is, en de grens tussen twee bedrijven wordt bij elke wijziging getoetst met ruim duizend proeven.
Foto's en documenten staan in afgeschermde opslag, alleen te openen met een link die kort werkt.
Inloggen gaat met een link in de mail of met je werkaccount. Er zijn geen wachtwoorden om te stelen.
Sleutels naar je agenda staan versleuteld in een kluis en zijn nergens in het portaal te lezen.
Wie iets toevoegt of verandert, staat daarbij met zijn naam.

Denk je dat er iets is uitgelekt, of zie je een zwakke plek? Mail naar security@portalio.nl. Dan pakken we het meteen op. Is er iets misgegaan met persoonsgegevens, dan melden we dat bij de Autoriteit Persoonsgegevens als dat moet, en bij jou en bij het bedrijf van je portaal als het jullie raakt.

Je rechten

Je mag inzien wat we van je hebben, het laten verbeteren als het niet klopt, het laten weghalen, het laten overzetten, en bezwaar maken tegen wat we doen op grond van ons gerechtvaardigd belang. Je toestemming voor de agendakoppeling trek je zelf in op je profiel.

Mail je verzoek naar contact@portalio.nl met "privacy" in het onderwerp. Je hoort binnen een maand van ons. Om te voorkomen dat iemand anders jouw gegevens opvraagt, kunnen we je vragen jezelf bekend te maken. Gaat je verzoek over wat een bedrijf in zijn portaal van je heeft, dan sturen we het door naar dat bedrijf en helpen we het om je te antwoorden.

Sommige dingen kunnen we niet weghalen zolang de wet ons zegt ze te bewaren. Een verstuurde factuur en een getekende bon zijn daar de bekendste voorbeelden van. We zeggen het je dan gewoon.

Vind je dat we iets niet goed doen, laat het ons eerst weten. Je kunt ook altijd een klacht indienen bij de Autoriteit Persoonsgegevens.

Wijzigingen

Verandert er iets aan wat we doen, dan passen we deze pagina aan. De datum bovenaan zegt welke versie je leest.