Privacybeleid

Privacybeleid Exalo Media

Versie 202608 | Laatst bijgewerkt: 2 augustus 2026

In dit privacybeleid leggen wij uit welke persoonsgegevens Exalo Media verwerkt bij het gebruik van exalo.nl, het aanvragen van een offerte, het plaatsen en afhandelen van een bestelling, het verzenden van e-mail en het gebruik van het Account voor toegang tot exameninstrumenten en andere documenten.

Exalo Media verwerkt persoonsgegevens zorgvuldig en uitsluitend voor de hieronder beschreven doeleinden. Exalo.nl zelf bevat geen klantaccounts. Een bestelling of geaccepteerde offerte wordt via een beveiligde koppeling verwerkt in het Account, waar de klant met een eenmalige magic link kan inloggen. Wij gebruiken geen wachtwoorden voor klantaccounts.

1. Wie is verantwoordelijk?

Exalo Media is de verwerkingsverantwoordelijke voor de persoonsgegevens die in dit privacybeleid worden beschreven.

Exalo Media Osingastate 13 8926 LK Leeuwarden E-mail: info@exalo.nl (voorkeur) Telefoon: +31638278500 KvK Leeuwarden: 62256661 BTW: NL001466265B53

2. Op wie is dit privacybeleid van toepassing?

Dit beleid geldt onder meer voor websitebezoekers, contactpersonen van scholen en andere organisaties, offerteaanvragers, klanten, hoofdgebruikers, door een hoofdgebruiker uitgenodigde subgebruikers en beheerders van Exalo Media.

3. Welke persoonsgegevens verwerken wij?

3.1 Contact- en organisatiegegevens

• voornaam en achternaam;
• naam van de school of organisatie en, indien opgegeven, de schoollocatie;
• straat, huisnummer, postcode en vestigingsplaats;
• een afwijkend factuur- of verzendadres en, indien van toepassing, een postbusnummer;
• telefoonnummer en e-mailadres;
• kostenplaatsnummer, inkoopnummer of ordernummer;
• inhoud van berichten, offerteverzoeken en overige correspondentie.

3.2 Offertes, bestellingen en facturen

• aangevraagde of bestelde producten, K-codes, aantallen, prijzen, btw en totalen;
• offertenummer, ordernummer, factuurnummer, status en relevante datums;
• factuur- en verzendgegevens, betaalstatus en betalingskenmerken;
• de gegenereerde offerte, orderbevestiging en PDF-factuur;
• het moment en de inhoud van verplichte verklaringen waarmee tijdens het bestellen is ingestemd;
• notities die nodig zijn voor de uitvoering en administratieve afhandeling.

Wij ontvangen bij betaling per bank doorgaans geen volledige bankrekeninginformatie via de website. Betalingsgegevens die op een bankafschrift of in de financiële administratie voorkomen, kunnen wel aan de bestelling en factuur worden gekoppeld.

3.3 Account-, toegangs- en gebruikersgegevens

• naam, e-mailadres, organisatie en rol van de hoofdgebruiker en subgebruikers;
• welke hoofdgebruiker een subgebruiker heeft uitgenodigd;
• welke betaalde exameninstrumenten en K-codes aan een gebruiker of organisatie zijn toegewezen;
• uitnodigings-, activatie-, inlog- en laatste-activiteitsmomenten;
• magic-linktokens in beveiligde of gehashte vorm, sessiegegevens en verloopmomenten;
• downloadregistraties, documentidentificatoren en beveiligings- en auditlogboeken;
• accountstatus en wijzigingen in rollen of toegangsrechten.

Een hoofdgebruiker kan uitsluitend toegang delegeren tot exameninstrumenten waarvoor de eigen organisatie een geldig gebruiksrecht heeft. Exalo Media bewaart geen klantwachtwoorden, omdat de toegang met een tijdelijke magic link wordt geregeld.

3.4 Technische en gebruiksgegevens

• IP-adres, waarbij dit voor analytics zo vroeg mogelijk wordt geanonimiseerd;
• datum en tijd, opgevraagde pagina of route, verwijzende pagina en foutmeldingen;
• browser-, apparaat- en besturingssysteeminformatie;
• cookie- en toestemmingsvoorkeuren;
• gegevens die nodig zijn om misbruik, ongeautoriseerde toegang en technische storingen te onderzoeken.

3.5 Gegevens in documenten en e-mails

In offertes, facturen, orderdocumenten, e-mailberichten en e-mailafleverlogboeken kunnen namen, e-mailadressen, adresgegevens, ordergegevens en andere voor de communicatie noodzakelijke persoonsgegevens staan. Examenbestanden en servicedocumenten bevatten in beginsel geen klantgegevens; toegangs- en downloadgegevens worden wel aan het betreffende product of de K-code gekoppeld.

4. Waarom en op welke grondslag verwerken wij gegevens?

• Overeenkomst: voor het opstellen van offertes, verwerken van bestellingen, leveren van documenten, beheren van toegangsrechten, verzenden van facturen en verlenen van ondersteuning.
• Wettelijke verplichting: voor de financiële en fiscale administratie, facturering en het voldoen aan bevoegde overheidsverzoeken.
• Gerechtvaardigd belang: voor beveiliging, fraudepreventie, auditlogging, verbetering van de dienstverlening, zakelijke communicatie en het vaststellen of verdedigen van rechtsvorderingen.
• Toestemming: voor niet-noodzakelijke cookies en analytics wanneer daarvoor volgens de gekozen Matomo-configuratie toestemming vereist is. Toestemming kan altijd worden ingetrokken.

Wij gebruiken persoonsgegevens niet voor uitsluitend geautomatiseerde besluiten die rechtsgevolgen hebben of u anderszins in aanmerkelijke mate treffen.

5. Account, magic links en subgebruikers

Na een bestelling of het omzetten van een offerte naar een order kan automatisch een Account worden aangemaakt. De gebruiker ontvangt via e-mail een tijdelijke magic link. De token is eenmalig of beperkt geldig en wordt na gebruik of na het verstrijken van de geldigheidsduur ongeldig gemaakt.

Een hoofdgebruiker kan een teamleider, beleidsmedewerker, medewerker van een examenbureau of andere bevoegde collega als subgebruiker uitnodigen. De hoofdgebruiker is verantwoordelijk voor het juiste e-mailadres, een passende rol en het intrekken van toegang wanneer die niet langer nodig is. Subgebruikers krijgen nooit meer producttoegang dan de organisatie en hoofdgebruiker zelf hebben.

6. Matomo Analytics en cookies

Exalo.nl gebruikt Matomo Analytics om het gebruik en de technische werking van de website te meten. Daarmee kunnen wij onder meer paginaweergaven, bezochte routes, verwijzende pagina's, globale apparaat- en browserkenmerken, bezoekduur en technische foutinformatie verwerken.

Matomo wordt privacyvriendelijk ingericht: IP-adressen worden geanonimiseerd, analyticsgegevens worden niet voor advertentieprofilering gebruikt en wij delen de meetgegevens niet met advertentienetwerken. Wanneer Matomo cookies plaatst of de gekozen configuratie toestemming vereist, worden deze pas geactiveerd nadat toestemming via de cookiemelding is gegeven. Noodzakelijke cookies voor beveiliging, sessies en het onthouden van privacykeuzes kunnen zonder toestemming worden gebruikt.

U kunt uw keuze later wijzigen via de cookie-instellingen op de website. Het blokkeren van noodzakelijke cookies kan ertoe leiden dat onderdelen van het Account of de magic-linklogin niet goed functioneren.

7. Met wie delen wij gegevens?

Wij verkopen persoonsgegevens niet. Voor het uitvoeren van onze diensten kunnen wij gegevens delen met zorgvuldig geselecteerde dienstverleners die in onze opdracht verwerken, waaronder:

• Cloudflare voor hosting, beveiliging, databasefuncties en bestandsopslag;
• Resend voor het verzenden en technisch afleveren van magic links, offertes, orderberichten en facturen;
• Matomo voor websiteanalyse, afhankelijk van de uiteindelijke hostingconfiguratie;
• administratie-, boekhoud-, juridische en IT-dienstverleners voor zover dit noodzakelijk is;
• banken en betaaldienstverleners voor de verwerking en controle van betalingen;
• overheidsinstanties of toezichthouders wanneer wij wettelijk verplicht zijn gegevens te verstrekken.

Met verwerkers worden waar nodig verwerkersafspraken gesloten. Een dienstverlener mag persoonsgegevens uitsluitend volgens onze instructies verwerken en moet passende beveiligingsmaatregelen toepassen.

8. Verwerking buiten de Europese Economische Ruimte

Sommige technische dienstverleners kunnen gegevens verwerken vanuit of opslaan in landen buiten de Europese Economische Ruimte. In dat geval gebruiken wij een wettelijk toegestane doorgiftegrond, zoals een adequaatheidsbesluit, deelname aan een toepasselijk adequaatheidskader of door de Europese Commissie vastgestelde standaardcontractbepalingen, zo nodig aangevuld met aanvullende beveiligingsmaatregelen.

9. Hoe lang bewaren wij gegevens?

Wij bewaren persoonsgegevens niet langer dan nodig is voor het doel waarvoor ze zijn verzameld, tenzij een wettelijke plicht of een geldend gebruiksrecht een langere bewaring noodzakelijk maakt. Wij hanteren in beginsel de volgende termijnen:

• offerteaanvragen die niet tot een order leiden: maximaal twee jaar na het laatste inhoudelijke contact;
• orders, facturen, betaalgegevens en de bijbehorende administratieve gegevens: ten minste zeven jaar overeenkomstig de fiscale bewaarplicht;
• Account- en producttoegangsgegevens: zolang het gebruiksrecht en de toegang bestaan, en daarna alleen zolang nodig voor administratie, bewijs of geschilafhandeling;
• gegevens van ingetrokken subgebruikers: het account wordt geblokkeerd; noodzakelijke audit- en bewijsgegevens blijven bewaard volgens de termijn van het bijbehorende gebruiksrecht of maximaal twee jaar, tenzij een langere termijn noodzakelijk is;
• magic-linktokens: tot gebruik of het einde van de korte geldigheidsduur;
• reguliere technische en beveiligingslogboeken: maximaal negentig dagen, tenzij een incident nader onderzoek of langere bewaring noodzakelijk maakt;
• support- en overige correspondentie: maximaal twee jaar na afhandeling, tenzij deze onderdeel is van de overeenkomst of administratie;
• Matomo-bezoekersgegevens: maximaal veertien maanden; geaggregeerde rapportages kunnen langer worden bewaard wanneer deze niet meer tot een persoon of apparaat herleidbaar zijn;
• back-ups: maximaal dertig dagen na vervanging, tenzij herstel na een incident langer nodig is.

Wanneer u om verwijdering van een Account vraagt, verwijderen of anonimiseren wij gegevens die niet meer nodig zijn. Gegevens die onder een wettelijke bewaarplicht vallen of nodig zijn om het gebruiksrecht en de toegangsverlening te kunnen aantonen, worden niet voortijdig verwijderd.

10. Hoe beveiligen wij persoonsgegevens?

• versleutelde verbindingen (HTTPS);
• tijdelijk geldige magic links in plaats van klantwachtwoorden;
• rol- en productgebonden toegangscontrole;
• unieke, tijdelijk geldige of gecontroleerde downloadlinks;
• beperkte beheerdersrechten en logging van belangrijke wijzigingen en downloads;
• beveiligde opslag, back-ups en periodieke controle van toegangsrechten;
• maatregelen tegen misbruik, onbevoegde toegang en geautomatiseerde aanvallen.

Geen enkele digitale verwerking is volledig zonder risico. Bij een beveiligingsincident volgen wij de toepasselijke wettelijke meld- en informatieverplichtingen.

11. Uw privacyrechten

U kunt ons verzoeken om:

• inzage in uw persoonsgegevens;
• correctie van onjuiste of onvolledige gegevens;
• verwijdering van gegevens, voor zover geen wettelijke bewaarplicht of andere geldige grondslag geldt;
• beperking van de verwerking;
• overdracht van door u verstrekte gegevens, wanneer het recht op gegevensoverdraagbaarheid van toepassing is;
• bezwaar tegen verwerking op basis van een gerechtvaardigd belang;
• intrekking van eerder gegeven toestemming.

Stuur uw verzoek naar info@exalo.nl. Wij kunnen om aanvullende informatie vragen om uw identiteit te controleren. Wij reageren in beginsel binnen één maand. U kunt daarnaast een klacht indienen bij de Autoriteit Persoonsgegevens.

12. Gegevens van andere personen

Wanneer u gegevens van een collega, subgebruiker, factuurcontact of ontvanger aan ons verstrekt, moet u bevoegd zijn om die gegevens te delen en de betrokkene informeren over deze verwerking.

13. Wijzigingen

Wij kunnen dit privacybeleid aanpassen wanneer de website, het Account, onze leveranciers of de wetgeving wijzigen. De nieuwste versie wordt op exalo.nl gepubliceerd. Bij ingrijpende wijzigingen informeren wij bestaande gebruikers waar dat redelijkerwijs mogelijk is.

14. Contact

Heeft u vragen over dit privacybeleid of wilt u een privacyrecht uitoefenen? Neem dan bij voorkeur per e-mail contact op met:

Exalo Media E-mail: info@exalo.nl Telefoon: +31 6 38278500 Postadres: Osingastate 13, 8926 LK Leeuwarden

Bronnen en wettelijke context

• Algemene verordening gegevensbescherming (AVG): https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Autoriteit Persoonsgegevens: https://autoriteitpersoonsgegevens.nl/
• Belastingdienst - bewaarplicht facturen: https://www.belastingdienst.nl/wps/wcm/connect/bldcontentnl/belastingdienst/zakelijk/btw/administratie_bijhouden/facturen_maken/uw_facturen_bewaren
• Matomo privacy-informatie: https://matomo.org/privacy-policy/