Privacyverklaring ValidSign 

Versie 15-7-2021 

In deze privacyverklaring leggen we uit wat er gebeurt met jouw persoonsgegevens wanneer deze worden verwerkt bij het ondertekenen van een document via ValidSign. 

Wie is er verantwoordelijk voor de gegevensverwerking? 

De Universiteit Utrecht, gevestigd aan de Heidelberglaan 8, 3584 CS Utrecht, is verantwoordelijk voor de verwerkingen die worden omschreven in deze privacyverklaring.  

Voor welke doeleinden worden mijn persoonsgegevens verwerkt? 

Je persoonsgegevens worden verwerkt om het mogelijk te maken om online documenten op een rechtsgeldige manier te ondertekenen. Hieronder valt ook het bewaren van een log met persoonsgegevens die zijn verzameld ten tijde van het zetten van de digitale handtekening. 

Het zal je opvallen dat er bepaalde, best vergaande gegevens, worden verzameld, zoals je IP adres, welke handelingen je hebt ondernomen met betrekking tot het relevante document en het tijdstip waarop je deze handelingen hebt ondernomen. Deze gegevens worden verzameld als bewijs om de ondertekening, indien nodig, aan te kunnen tonen. Dit zorgt er uit eindelijk voor dat je met vertrouwen je handtekening rechtsgeldig kan zetten. 

Welke persoonsgegevens worden verwerkt? 

De volgende gegevens worden verwerkt wanneer je een bestand upload ter ondertekening binnen Validsign: 

• Je naam, 
• Je e-mail adres, 
• Het te ondertekenen of raadplegen document, 
• Je rol binnen Validsign, in dit geval je rol als verzender, 
• Een uniek gebruikersID, 

• Een uniek ID voor de transactie, 
• Je IP adres, 
• De handelingen die je hebt ondernomen met betrekking tot het document, zoals wanneer je deze hebt geraadpleegd, en 
• Het tijdstip van deze handelingen. 

Wanneer je een bestand ondertekend worden de volgende gegevens verwerkt: 

• Je naam, 
• Je e-mail adres, 
• Het te ondertekenen of raadplegen document, 
• Enige vrije tekstvelden in het te ondertekenen documenten waar je tekst invoert, 
• Je rol binnen Validsign, in dit geval de rol ontvanger, 

• Een uniek gebruikersID, 
• Informatie over het zetten van een handtekening, 
• Eventueel: je uitgetekende handtekening, 
• Een uniek ondertekenID dat wordt aangemaakt bij het zetten van de virtuele handtekening, 
• Een uniek ID voor de transactie, 

• Eventueel: je telefoonnummer wanneer dit is gebruikt voor twee-factor-authenticatie, 
• Je IP adres, 
• De handelingen die je hebt ondernomen met betrekking tot het document, zoals wanneer je deze hebt geraadpleegd, en 
• Het tijdstip van deze handelingen. 

Hoe lang worden deze persoonsgegevens bewaard? 

Validsign zelf bewaard alle gegevens voor 3 maanden, met uitzondering van de volgende gevallen: 

• Als je een account hebt aangemaakt bij Validsign, dan wordt je naam en email adres bewaard voor zo lang je een account hebt. Dit loopt automatisch af bij het aflopen van je relatie met de Universiteit Utrecht of wanneer de Universiteit Utrecht een andere aanbieder kiest voor deze dienst. Tot deze tijd wordt je unieke gebruikersID ook gekoppeld aan je account. 
• Het transactieID wordt het gebruikersID worden ook los van alle andere gegevens bewaard door Validsign. Dit wordt gedaan om de bewijslogging, met daarin het IP adres, de ondernomen handelingen en het tijdstip van deze handeling, ter verificatie voor te kunnen leggen aan Validsign. Dit voorkomt fraude met betrekking tot dit document. 

Worden mijn gegevens gedeeld met derden? 

Nee, je gegevens worden niet met andere partijen gedeeld. 

Wat is de wettelijke grondslag van deze gegevensverwerking?  

De wettelijke grondslag verschilt afhankelijk van je relatie met de Universiteit Utrecht. Voor studenten leunt deze verwerking op de grondslag “algemeen belang”. Dit houdt in dat de Universiteit Utrecht deze gegevensverwerking doet in verband met de onderwijstaak die de Universiteit heeft. 

Voor medewerkers wordt gebruik gemaakt van de grondslag “gerechtvaardigd belang”. In het kader van dit gerechtvaardigde belang is het volgende overwogen: 

Het gerechtvaardigde belang dat de Universiteit Utrecht hierbij heeft komt voort uit het belang om te verduurzamen en om tijdswinst te boeken. Deze verwerking is in zekere zin noodzakelijk om bij het tekenen van contracten te verduurzamen en deze tijdswinst te boeken. 

Het privacybelang van de betrokkenen moet in deze afgewogen worden tegen het belang van de Universiteit Utrecht. In beginsel hebben gebruikers er namelijk geen belang bij dat hun gegevens verwerkt worden. Als je hierbij naar de schaal van de gegevensverwerking kijkt: dan moet geconstateerd relatief ver kan gaan voor een “simpele” ondertekenhandeling, dit door de logging. Deze logging is wel belangrijk, omdat deze als bewijs dient dat het document daadwerkelijk ondertekend is. Hier hebben de ondertekenaars uiteindelijk ook belang bij. Daarnaast moet ook meegewogen worden dat de logging een momentopname betreft. Een gebruiker zal niet na ondertekening nog getrackt worden. Het privacybelang van de gebruiker is dan ook gemixt omdat deze ook iets terug krijgt voor de verwerking, namelijk zekerheid. Ook geniet de gebruiker mee van de reiskostenbesparing. 

Uiteindelijk zal het gerechtvaardigde belang van de Universiteit Utrecht bij deze verwerking prevaleren boven de privacy belangen van de gebruikers, gezien de grootte van de gegevensverwerking en de belangen die de gebruiker daar ook bij heeft.   

Welke rechten heb ik volgens de AVG en hoe kan ik deze uitoefenen? 

Als betrokkene heb je bepaalde rechten. Namelijk het recht op inzage, het recht op rectificatie van persoonsgegevens, het recht op gegevenswissing, het recht op beperking van verwerking, het recht op bezwaar. Mocht je gebruik willen maken van deze rechten, dan kunt je jouw verzoek richten aan Privacy@uu.nl. Het kan voorkomen dat tijdens deze procedure om identiteitsbewijzen wordt gevraagd. 

Wanneer je bezwaar maakt, zal er van geval tot geval bekeken worden of aan dit bezwaar kan of moet worden voldaan. De Universiteit Utrecht staakt de verwerking van persoonsgegevens tenzij er dringende gerechtvaardigde gronden aangevoerd worden die zwaarder wegen dan jouw belangen, rechten en vrijheden. 

Is er sprake van geautomatiseerde besluitvorming of profilering?  

Er is geen sprake van geautomatiseerde besluitvorming. Dat wil zeggen dat er nooit besluiten worden genomen zonder menselijke tussenkomst. Er is ook geen sprake van profilering. 

Vragen 

Als u vragen heeft over dit privacy statement, dan kan u die stellen aan privacy@uu.nl. Wilt u een klacht indienen? Dan kan dat bij de functionaris voor gegevensbescherming van de Universiteit Utrecht, te bereiken op fg@uu.nl. Het staat u ook altijd vrij om een klacht in te dienen bij de Autoriteit Persoonsgegevens, de privacy waakhond van Nederland.