Privacyverklaring

De Druma TMS-dienst („Druma", „wij", „ons") wordt geëxploiteerd door SEPA DEVELOPMENT S.R.L., geregistreerd in Roemenië, handelsregisternr. J2025064579004, CUI 52395930 (btw-nr. RO52395930), met maatschappelijke zetel te Strada Mărgăritarilor 19, dorp Bărcănești, gemeente Bărcănești, district Prahova, 107055, Roemenië.

Voor vragen over deze verklaring of over hoe wij met uw persoonsgegevens omgaan, kunt u contact opnemen via privacy@druma.io.

Contactpunt gegevensbescherming. privacy@druma.io is het speciale kanaal voor alle vragen, verzoeken en klachten over gegevensbescherming. Het wordt binnen vijf werkdagen opgevolgd en is het enige aanspreekpunt voor betrokkenen, klanten en toezichthoudende autoriteiten.

Over de aanstelling van een functionaris voor gegevensbescherming (FG/DPO). Of artikel 37, lid 1, onder b), AVG ons verplicht een FG aan te wijzen, hangt ervan af of onze kernactiviteiten bestaan uit verwerkingen die vanwege hun aard, omvang of doeleinden regelmatige en stelselmatige observatie op grote schaal van betrokkenen vereisen. Wij hebben dit beoordeeld aan de hand van de concrete feiten van de Dienst — continue voertuigpositiegegevens van de telematica-aanbieders die onze klanten koppelen, tachograaf- en rijtijdengegevens per chauffeur en een daaruit afgeleide prestatiescore — en aan de EDPB-richtsnoeren over FG's (WP243). Wij beweren hier niet dat het antwoord nee is. De beoordeling is gedocumenteerd, wordt met gekwalificeerde juridische adviseurs herzien, en als de conclusie is dat een FG vereist is, zullen wij er een aanwijzen en publiceren. In de tussentijd vervult het bovenstaande contactpunt in de praktijk de functie van gegevensbeschermingscontact, en de aan- of afwezigheid van een aangewezen FG beperkt uw rechten of de in deze verklaring beschreven verplichtingen op geen enkele wijze.

Afhankelijk van uw rol verwerken wij de volgende categorieën persoonsgegevens:

• Accountgegevens — volledige naam, e-mail, telefoon, taal, rol, profielfoto (als u er een uploadt), bedrijfsnaam, btw-nummer, facturatieadres.
• Operationele gegevens — orders, stops, laad-/losadressen, goederenomschrijvingen, referenties, interne notities.
• Persoonsgegevens van chauffeurs — naam, telefoon, statusmeldingen (toegewezen, bij laadplaats, onderweg, geleverd), tachograafstatus en rijtijdengegevens afkomstig van de telematica-aanbieder die uw bedrijf koppelt, bestuurderskaartnummer, vervaldata van rijbewijs / code 95 / ADR / medische keuring zoals geregistreerd door uw werkgever, ingevulde checklists vóór en na de rit, vertragingsmeldingen, wachttijd en reden, foto's geüpload bij documenten en digitale eCMR-handtekeningen.
• Locatiegegevens van chauffeurs. Druma slaat ze op in drie vormen, die elk anders worden bewaard, en de werkgever kan ze ook met anderen delen.
  • Actuele voertuigpositie uit telematica — één rij per voertuig, overschreven bij elke update; een afzonderlijk kortstondig spoor van recente posities (voor de volgweergave van de live-kaart) wordt 48 uur bewaard en daarna gewist.
  • Positiemeldingen uit de chauffeursapp en de coördinaten vastgelegd wanneer een chauffeur de status van een order wijzigt (aangekomen, geladen, geleverd) — hoogstens 90 dagen bewaard, daarna verwijderd. Voor bedrijven in Roemenië is dat standaard 30 dagen (wet 190/2018, art. 5); het bedrijf kan een langere termijn instellen, tot 90 dagen. Een locatie die samen met een incidentmelding of een eCMR-handtekening wordt opgeslagen, blijft bewaard zolang die melding of dat document bewaard wordt.
  • Locatie op de achtergrond (Android-app). In de Android-app worden positiemeldingen ook verzameld terwijl de app op de achtergrond draait of het scherm is vergrendeld, maar alleen zolang er een vrachtwagen aan de chauffeur is toegewezen en, als de werkgever de trackingpauze aanbiedt, het volgen niet is gepauzeerd. De app toont hierbij een permanente melding en legt dit aan de chauffeur uit voordat om toestemming voor de locatie van het apparaat wordt gevraagd. De bewaartermijn is dezelfde als voor andere positiemeldingen uit de chauffeursapp.
  • Wie de positie van de vrachtwagen verder ziet. De positie kan uit het telematicasysteem van de vrachtwagen komen of van de telefoon van de chauffeur. Welke van de volgende gevallen gelden, hangt af van de instellingen van de werkgever.
    • De klant van wie de chauffeur de lading vervoert, ziet de vrachtwagen op een kaart in het klantenportaal, tenzij de werkgever de kaart uitschakelt voor alle klanten of voor één klant. De klant ziet ook de verwachte aankomsttijd. De kaart is afgerond op ongeveer 100 meter en loopt vanaf 12 uur voor de laaddag tot de levering. De details van de zending tonen de kentekens van vrachtwagen en oplegger en de voornaam van de chauffeur, of de kaart nu aan of uit staat.
    • Het computersysteem van de klant dat met Druma is gekoppeld (een “API-koppeling”) ontvangt, als de werkgever posities via die koppeling deelt, de exacte positie, snelheid en rijrichting vanaf het moment dat de vrachtwagen de eerste laadplaats verlaat tot hij de laatste losplaats bereikt. Deelt de werkgever ook de aankomsttijden, dan ontvangt het de verwachte aankomsttijd en de resterende afstand. De kentekens van vrachtwagen en oplegger ontvangt het bij elke statusgebeurtenis, ook buiten die periode. Staat de kaart in het klantenportaal uit, dan ontvangt het geen positie, maar wel nog steeds de kentekens.
    • Transporeon, alleen voor ladingen die via Transporeon zijn geboekt en alleen als de werkgever Transporeon-zichtbaarheid aanzet, ontvangt het kenteken van de vrachtwagen en, tenzij de werkgever dit beperkt tot het kenteken, de laatste positie en rijrichting, op zijn vroegst vanaf 4 uur voor de eerste geplande stop tot de levering. Transporeon deelt die met de klant die de lading via Transporeon heeft geboekt.
    • Het tijdslotsysteem van het magazijn (Cargoclix), als de werkgever ETA-posities aanzet, ontvangt de exacte positie, snelheid en rijrichting van de eigen vrachtwagen van de werkgever, vanaf 24 uur voor het tijdslot tot de aankomst van de vrachtwagen. Een tijdslotboeking bevat ook de kentekens van vrachtwagen en oplegger en de volledige naam en het telefoonnummer van de chauffeur, maar alleen als het formulier van het magazijn deze velden heeft en de werkgever ze invult. Een planner kan bestanden aan een boeking toevoegen.
    • Biedt de werkgever de trackingpauze aan: zolang het volgen gepauzeerd is, slaat Druma geen nieuwe posities van de vrachtwagen op en tonen of ontvangen de kaart in het klantenportaal, de API-koppeling en Transporeon geen positie. De pauze houdt niet tegen dat het kenteken naar Transporeon gaat als de werkgever Transporeon beperkt tot het kenteken, dat de kentekens met de statusgebeurtenissen naar de API-koppeling gaan en dat de gegevens in een tijdslotboeking blijven staan. Cargoclix kan nog wel de laatste positie van vóór de pauze ontvangen, hoogstens 15 minuten lang. Elke ontvanger bewaart wat hij ontving volgens zijn eigen regels.
• Prestatiescore van de chauffeur — een score afgeleid uit reeds aanwezige gegevens: stiptheid, brandstofverbruik ten opzichte van een referentiewaarde, stationair draaien, incidenten en naleving. Zie „Geautomatiseerde verwerking en AI" hieronder; dit is profilering en wij benoemen het ook zo.
• Contactgegevens van klanten en vervoerders — namen, telefoons en e-mails van de contactpersonen van uw klanten en onderaannemers.
• Communicatie — orderberichten tussen planners en chauffeurs, bijlagen, optionele chat met onze AI-assistent.
• Documentinhoud — geüploade CMR's, POD's, eCMR-handtekeningen, facturen, brandstofbonnen, identiteitsdocumenten (waar nalevingsprocessen dat vereisen).
• Facturatiegegevens — abonnementsniveau, betalingsstatus, factuurbedragen. Wij slaan geen kaartnummers op.
• Technische en beveiligingsgegevens — IP-adres (voor authenticatie en rate limiting), appversie, apparaattype, foutcontext (beperkt tot wat nodig is om problemen te diagnosticeren).
• AI-invoergegevens — inhoud van documenten die u naar Smart Import stuurt, inhoud van berichten vertaald door onze automatische vertaalfunctie, context voor de AI-assistent. Wanneer de optionele Ask Druma-gegevensassistent is ingeschakeld, omvat dit ook de operationele gegevens (orders, vloot, financiën, rijtijden) en ordernotities die de vragen van een gebruiker opleveren — telkens beperkt tot gegevens die de rol van die gebruiker al mag zien.

Wij baseren ons op de volgende rechtsgronden uit artikel 6 AVG:

• Uitvoering van de overeenkomst (art. 6, lid 1, onder b)) — het beheren van uw account, orderverwerking, factuurgeneratie, eCMR-aanmaak, abonnementsfacturatie.
• Wettelijke verplichting (art. 6, lid 1, onder c)) — het registreren en controleren van Roemeense e-Transport-codes (UIT) en het indienen van e-Factura-facturen, Europese Peppol-e-facturatie, het bewaren van boekhoudkundige gegevens (10 jaar volgens de Roemeense boekhoudwet 82/1991, art. 25), cabotagenaleving, EU-rijtijdenmonitoring (Vo. 561/2006), tachograafverplichtingen (Vo. 165/2014).
• Gerechtvaardigde belangen (art. 6, lid 1, onder f)) — hierop baseren wij ons voor de onderstaande doeleinden. Bij elk doel benoemen wij het nagestreefde belang, want „gerechtvaardigde belangen" op zich zegt u niets:
  • Voorkomen van fraude en misbruik van de Dienst — ons belang om de Dienst, onze klanten en hun partners te beschermen tegen accountovername, frauduleuze orders en betalingsfraude.
  • Informatie- en netwerkbeveiliging — ons belang, en dat van elke gebruiker, om de Dienst beschikbaar en ongecompromitteerd te houden (rate limiting, IP-gebaseerde misbruikdetectie, foutbewaking). Dit wordt door overweging 49 AVG uitdrukkelijk als gerechtvaardigd belang erkend.
  • Auditlogging van wijzigingen aan gevoelige records — het belang van onze klanten om te kunnen reconstrueren wie wat heeft gewijzigd, wat ook de manier is waarop een geschil tussen operator, klant en chauffeur wordt beslecht.
  • Routeberekening en ETA — het belang van de operator en de geadresseerde om te weten wanneer een lading aankomt, wat de kernfunctie is waarvoor zij betalen.
  • Productverbetering op basis van geaggregeerde gebruikspatronen — ons belang om te begrijpen welke functies worden gebruikt, met geaggregeerde en niet-identificerende gegevens.
  • Directe communicatie met zakelijke contacten — ons belang om de aangewezen zakelijke contactpersonen bij een bestaande of potentiële klant te benaderen over de Dienst.
  Voor elk van deze doeleinden hebben wij een belangenafweging uitgevoerd en telkens geconcludeerd dat ons belang niet wordt overstegen door uw belangen, rechten en vrijheden. Een samenvatting van elke belangenafweging is op verzoek beschikbaar via privacy@druma.io. U kunt te allen tijde bezwaar maken op grond van artikel 21.
• Toestemming (art. 6, lid 1, onder a)) — waar vereist en waar toestemming werkelijk vrij kan worden gegeven. Momenteel baseren wij ons hierop voor niets aan de browseropslagkant, omdat alles wat wij opslaan ofwel strikt noodzakelijk is, ofwel een voorkeur die u zelf hebt gekozen. Waar toestemming wordt gebruikt, kunt u die te allen tijde intrekken. Merk op dat wij toestemming niet als geldige grond beschouwen voor het monitoren van werknemers op het werk: zie „Geautomatiseerde verwerking en AI".

Voor chauffeurs in dienst van een operator die Druma gebruikt: de operator (uw werkgever) is de verwerkingsverantwoordelijke. Druma verwerkt uw gegevens als verwerker namens hem, op basis van een overeenkomst. Uw werkgever is verantwoordelijk om u de volledige informatie volgens artikel 13 te verstrekken; deze verklaring beschrijft alleen wat Druma zelf met uw gegevens doet.

Over het selectievakje in de app. Bij uw eerste aanmelding — en opnieuw telkens wanneer deze verklaring materieel wordt herzien — vraagt de app u te bevestigen dat u deze hebt ontvangen. Dat ene selectievakje is een bevestiging van ontvangst onder artikel 13/14, niets meer: het is geen toestemming en vormt niet de rechtsgrond voor enige verwerking die in dit document wordt beschreven. De grondslag voor elk doel staat hierboven vermeld — voornamelijk uitvoering van de overeenkomst, wettelijke verplichting en gerechtvaardigd belang — en hangt niet af van het aanvinken van het vakje. Dit geldt gelijk voor chauffeurs en voor planners, dispatchers, wagenparkbeheerders, klantenservicemedewerkers en beheerders: iedere accounthouder krijgt de verklaring te zien en wordt gevraagd deze te bevestigen.

Artikel 13, lid 2, onder e), AVG verplicht ons u te vertellen of het verstrekken van persoonsgegevens een wettelijke of contractuele verplichting is, of u verplicht bent ze te verstrekken, en wat er gebeurt als u dat niet doet.

Als u werkt voor een operator die Druma gebruikt (planner, dispatcher, fleetmanager, beheerder): het verstrekken van uw naam, werk-e-mail en rol is een contractuele verplichting — het is noodzakelijk voor de uitvoering van de overeenkomst van uw werkgever met Druma, omdat een account niet kan bestaan zonder een identiteit om het aan te koppelen en zonder rechten bij die identiteit. U bent niet verplicht ze te verstrekken, maar zonder kunnen wij geen account aanmaken en kunt u de Dienst niet gebruiken. Een profielfoto, telefoonnummer en voorkeurstaal zijn geheel optioneel; ze leeg laten verandert niets behalve gemak.

Als u chauffeur bent: de situatie is gemengd.

• Deels contractueel. Uw naam, telefoon en chauffeursaccount zijn nodig zodat uw werkgever u via de Dienst werk kan toewijzen. Zonder kunt u in Druma geen order toegewezen krijgen — uw werkgever zou u op een andere manier moeten aansturen.
• Deels wettelijk. Een deel ervan is uw werkgever wettelijk verplicht te registreren en te bewaren, en Druma is het middel waarmee hij dat doet. Rij-, rust- en arbeidstijdgegevens bestaan vanwege Verordening (EG) 561/2006; tachograafgegevens en bestuurderskaartgegevens vanwege Verordening (EU) 165/2014; en voor ritten binnen Roemenië die binnen de reikwijdte vallen, moet een UIT het transport vergezellen volgens de Roemeense e-Transport-regels en moet uw werkgever de positie van de vrachtwagen aan ANAF melden, via zijn telematicaleverancier of de ANAF-app. Hiervoor kunnen u noch uw werkgever zich afmelden: het gevolg van niet verstrekken is dat de rit niet rechtmatig kan worden uitgevoerd en uw werkgever handhaving riskeert.
• Optioneel. Een profielfoto, uw interfacetaal en de schermwakker-voorkeur van de chauffeursapp zijn optioneel en kunnen leeg blijven.

Als u contactpersoon bent bij een klant, leverancier of onderaannemer: uw naam, zakelijke e-mail en telefoon worden ons verstrekt door de operator met wie u zaken doet, zodat transportdocumenten en notificaties aan een echte persoon gericht kunnen worden. Het is een contractuele vereiste van de relatie van die operator met zijn wederpartij, niet van uw eigen relatie met Druma. Wordt het niet verstrekt, dan valt de communicatie terug op een algemeen bedrijfsadres.

Niets op deze pagina verplicht u tot het verstrekken van bijzondere categorieën van gegevens (artikel 9), en u dient die niet in de Dienst in te voeren.

De tabel hieronder is de volledige lijst van derden die persoonsgegevens van Druma ontvangen, waarvoor elk wordt gebruikt, welke gegevens elk daadwerkelijk ontvangt, waar die worden verwerkt en of de gegevens de EER verlaten. Zij wordt gegenereerd uit dezelfde bron als Bijlage III van onze verwerkersovereenkomst, zodat de twee documenten nooit iets verschillends kunnen stellen. (De tabel wordt in het Engels bijgehouden.)

Vermeldingen gemarkeerd met „only if you connect it" (alleen als u het koppelt) ontvangen helemaal niets tenzij uw bedrijf die specifieke integratie inschakelt. De connectoren voor telematica, koeltransport, e-facturatie, vrachtbeurzen en WhatsApp behoren allemaal tot die groep — geen enkele staat standaard aan.

Wij geven u ten minste 30 dagen vooraf per e-mail bericht voordat een nieuwe subverwerker uw gegevens begint te verwerken.

Optionele Druma AI (eigen AI-sleutel): als een bedrijfsbeheerder de opt-in, standaard uitgeschakelde Druma AI inschakelt en de eigen OpenAI-, Anthropic- of Google-API-sleutel koppelt, worden de vragen en operationele gegevens die die gebruiker kiest te versturen rechtstreeks door die aanbieder verwerkt onder de eigen overeenkomst van de operator met hem — niet onder deze privacyverklaring of onze subverwerkerslijst, en mogelijk buiten de EU. Zie onze AI-toelichting voor detail.

Druma is gevestigd in Roemenië en uw gegevens worden standaard binnen de Europese Unie gehost. Wanneer een ontvanger uit de bovenstaande lijst persoonsgegevens buiten de EER verwerkt, is Druma de exporteur voor die doorgifte, en wordt zij gedekt door de standaardcontractbepalingen 2021 van de Europese Commissie (Uitvoeringsbesluit (EU) 2021/914), samen met de eigen verwerkingsvoorwaarden van de ontvanger — of, waar de bestemming onder een adequaatheidsbesluit valt, door dat besluit. Voor Google Cloud ligt dat anders: Google Cloud EMEA Limited is gevestigd in de EER, en Google zelf vertrouwt op het EU-US Data Privacy Framework en op standaardcontractbepalingen met zijn eigen subverwerkers (zie hieronder, Geautomatiseerde verwerking en AI).

Dit zijn de ontvangers waarvoor gegevens de EER verlaten of kunnen verlaten (lijst in het Engels bijgehouden):

• Supabase (Supabase, Inc.) (may leave the EEA) — Data is stored in the EU. The vendor is US-established, so remote support access is covered by the 2021 SCCs in the Supabase DPA.
• Cloudflare, Inc. (leaves the EEA) — 2021 SCCs in the Cloudflare DPA; EU-US Data Privacy Framework where applicable.
• Sentry (Functional Software, Inc.) (may leave the EEA) — Data is stored in the Sentry EU region. The vendor is US-established, so support access is covered by the 2021 SCCs in the Sentry DPA.
• Resend, Inc. (leaves the EEA) — 2021 SCCs in the Resend DPA. Migration to an EU-resident email provider is on the roadmap.
• Google Cloud — Vertex AI, Google Search grounding (company and site enrichment only) (may leave the EEA) — Google’s terms exclude Google Search grounding from the EU data-location commitment, so the search query derived from the identifiers above, and the grounded request, may be processed outside the EEA. Google retains grounding queries for up to 3 days for debugging; this cannot be disabled. Transfer safeguards: Google Cloud EMEA Limited is in the EEA; for onward transfers Google relies on the EU-US Data Privacy Framework (Google LLC is certified) for the US and on Standard Contractual Clauses between Google and its own subprocessors for other third countries (Google Cloud DPA, Appendix 3, section 4.1). This is not a new sub-processor (Google already) but a disclosure refinement for this one feature.
• Anthropic PBC (leaves the EEA) — Transfer to the United States under the 2021 EU Standard Contractual Clauses (Module Two, controller to processor, and Module Three, processor to processor) incorporated in Anthropic’s Data Processing Addendum, which forms part of its commercial terms, with a UK Addendum and a Swiss Addendum (Irish law and courts). Anthropic notifies changes to its own sub-processors in advance, with a 15-day objection window; customer data is deleted within 30 days after termination. Under Anthropic’s commercial terms, API inputs and outputs are not used to train its models; retention is as stated in those terms. Druma prefers Google Gemini on the EU endpoint where EU-only processing is required: the fallback for the documentation chatbot is Gemini.
• Mistral AI SAS (may leave the EEA) — Mistral AI SAS is established in France. Under its API terms customer data is not used to train its models; the API keeps requests for a short period for abuse monitoring unless zero data retention is agreed for the account. Because the processing location of every request and the sub-processors of Mistral are not yet confirmed in writing, Druma lists the transfer as possible and relies on the 2021 EU Standard Contractual Clauses (Module Three, processor to processor) for any onward transfer outside the EEA.
• Google Cloud Translation API (leaves the EEA) — Google Cloud Translation (Basic) has a global endpoint, so data cannot be kept in a specific region. Google Cloud EMEA Limited is in the EEA; for onward transfers Google relies on the EU-US Data Privacy Framework (Google LLC is certified) for the US and on Standard Contractual Clauses between Google and its own subprocessors for other third countries (Google Cloud DPA, Appendix 3, section 4.1). Message auto-translation can be switched off per user in profile settings.
• Google LLC — Firebase Cloud Messaging (leaves the EEA) — EU-US Data Privacy Framework (Google LLC is certified).
• Meta Platforms (WhatsApp Business Cloud API) (leaves the EEA) — 2021 SCCs. Off unless the company enables the WhatsApp driver channel.
• Transporeon GmbH (Germany, Trimble group) (may leave the EEA) — Processing is in the EU; the parent group is US-established, so group-level access is covered by the 2021 SCCs in the Transporeon DPA.
• Dr. Meier & Schmidt GmbH, Cargoclix (Germany) (may leave the EEA) — The hosting location and any transfer safeguard are confirmed with Cargoclix before a Customer connects.
• Geotab Inc. (may leave the EEA) — Druma connects to whichever Geotab database host the Customer’s own Geotab account resolves to. Where that host is outside the EEA the Customer’s own agreement with Geotab governs the transfer.
• Samsara Inc. (may leave the EEA) — Druma connects to Samsara’s EU shard by default. The vendor is US-established, so vendor-side access is covered by the 2021 SCCs in the Samsara DPA; a Customer that overrides the endpoint to a non-EU shard makes that transfer under its own agreement.
• ORBCOMM Inc. (leaves the EEA) — 2021 SCCs in the ORBCOMM agreement.
• Thermo King TracKing (Trane Technologies) (leaves the EEA) — 2021 SCCs in the Thermo King agreement.
• Carrier — Lynx Fleet (Carrier Global Corporation) (leaves the EEA) — 2021 SCCs in the Carrier agreement.
• CHEP (Brambles Limited) (may leave the EEA) — No personal data is transmitted. Where CHEP processing takes place outside the EEA it is covered by the Customer’s own CHEP account terms.

Afschriften van de standaardcontractbepalingen en verwerkingsvoorwaarden van ontvangers waarop wij vertrouwen, met commerciële voorwaarden onleesbaar gemaakt, zijn op verzoek beschikbaar via privacy@druma.io.

De kaarttegel-aanbieders zijn een net iets ander geval: uw browser benadert hen rechtstreeks wanneer u een kaartweergave opent, dus wat hen bereikt is uw IP-adres en de coördinaten van de tegels die u bekijkt — niet uw account- of ordergegevens. Zie ons cookiebeleid.

Wij bewaren persoonsgegevens slechts zolang wij ze voor de bovenstaande doeleinden nodig hebben. Elke termijn hieronder wordt afgedwongen door een geautomatiseerde verwijdertaak, tenzij de regel anders vermeldt.

Locatiegegevens

• Actuele voertuigpositie uit telematica — één rij per voertuig, overschreven bij elke update; een afzonderlijk kortstondig spoor van recente posities (voor de volgweergave van de live-kaart) wordt 48 uur bewaard en daarna gewist.
• Positiemeldingen uit de chauffeursapp en de coördinaten bij statuswijzigingen van orders (aangekomen, geladen, geleverd) — hoogstens 90 dagen, daarna verwijderd; standaard 30 dagen voor bedrijven in Roemenië, die tot 90 dagen kunnen instellen.

Chauffeurs- en nalevingsgegevens

• Tachograaf- en rijtijdengegevens — 24 maanden. Verordening (EU) 165/2014, art. 36, vereist dat een operator ten minste de voorgaande 12 maanden kan overleggen; wij bewaren er 24 zodat een record nog beschikbaar is tijdens een handhavings- of auditvenster dat verder teruggaat dan het wettelijke minimum.
• Rijbewijs-, code 95-, ADR- en medische gegevens van de chauffeur, en de documenten erachter — dit zijn personeelsdossiers van uw werkgever, in Druma namens hem bewaard. Wij verwijderen ze niet op een timer, omdat het niet aan ons is te beslissen wanneer een personeelsdossier niet meer nodig is. Ze worden verwijderd wanneer uw werkgever uw chauffeursrecord verwijdert, en in elk geval wanneer de bedrijfsgegevens onder de 90-dagenregel hieronder worden gewist.
• Prestatiescore van de chauffeur — de maandelijkse scoremomentopnamen worden bewaard voor de levensduur van het account en verdwijnen ermee. De score wordt herberekend uit de onderliggende gegevens en vervaagt dus naarmate die hun eigen bewaargrenzen bereiken.

Documenten, berichten en AI

• eCMR-documenten en eFTI-zendinggegevens — 7 jaar, ter dekking van de verjaringstermijn van art. 32 CMR-verdrag en de vereisten inzake toegang voor autoriteiten van Verordening (EU) 2020/1056.
• Overige transportdocumenten en POD's (CMR-scans, leverbonnen, weegbrugtickets, schaderapporten, foto's) — bewaard zolang de order waarbij ze horen bewaard blijft, en verwijderd met het account onder de 90-dagenregel hieronder. Ze worden niet op een aparte timer verwijderd.
• Spraaknotities bij berichten — 7 dagen, daarna wordt de audio verwijderd.
• Orderberichten — bewaard voor de levensduur van de order. Een verwijderd bericht wordt 90 dagen na verwijdering gewist.
• Overige chat- en directe berichten — bewaard voor de levensduur van het account en ermee verwijderd.
• AI-invoer — voor document- en berichtextractie bewaart Druma geen aparte kopie van wat naar een AI-aanbieder wordt gestuurd. Het document of bericht zelf wordt bewaard volgens zijn eigen regel hierboven, en het geëxtraheerde resultaat wordt een gewoon record. Twee uitzonderingen: het CMR-validatielog, waarbij het ruwe AI-verzoek en -antwoord na 18 maanden worden gewist terwijl het validatieoordeel en de betrouwbaarheidsscore bewaard blijven, zodat de beslissing controleerbaar blijft zonder de brontekst te bewaren; en assistentgesprekken, behandeld in het volgende punt.
• Ask Druma-assistentgesprekken — 90 dagen na het laatste bericht in het gesprek, daarna automatisch verwijderd. Dit geldt voor het tabblad Assistent (de optionele gegevensassistent en Druma AI), waar het gesprek wordt bewaard zodat u het later weer kunt oppakken. Een bewaard gesprek is alleen zichtbaar voor de gebruiker die het heeft aangemaakt — niet voor collega's en niet voor een bedrijfsbeheerder. U kunt uw gesprekken op elk moment verwijderen vanuit het assistentpaneel; ze worden opgenomen in een gegevensexport en verwijderd samen met uw account. Chat in de Help-modus wordt helemaal niet bewaard: die blijft in het browsertabblad en verdwijnt zodra u de pagina sluit of herlaadt. De enige uitzondering is wanneer u een Help-gesprek escaleert met "Praat met een mens" — het transcript wordt dan aan dat supportgesprek gekoppeld zodat de supportmedewerker de context ziet, en het volledige supportgesprek wordt 90 dagen na de laatste activiteit verwijderd.

Operationele, technische en financiële gegevens

• Auditlog — 12 maanden, daarna automatisch gewist.
• Notificatielog (register van verzonden e-mails, push- en in-app-notificaties) — 180 dagen.
• ETA-historiek — 180 dagen.
• Webhook-eventlog (om te voorkomen dat hetzelfde event tweemaal wordt verwerkt) — 30 dagen.
• Technische en beveiligingsgegevens (IP-adres, apparaat en appversie, foutcontext) — slechts bewaard zolang nodig om de Dienst te diagnosticeren en te beveiligen, en met het account verwijderd. Crash- en foutrapporten bij onze foutmonitoringaanbieder volgen diens eigen bewaarschema.
• Facturen en boekhoudkundige gegevens — 10 jaar vanaf uitgiftedatum, ter naleving van de Roemeense boekhoudwet 82/1991, art. 25, en de btw-richtlijn van de EU, art. 244. Na 3 jaar worden ze uit de werkweergaven gearchiveerd.
• Offertes — vervallen op de door de operator ingestelde geldigheidsdatum; het record volgt daarna de boekhoudkundige bewaartermijn hierboven.

Account- en bedrijfsgegevens

• Accountgegevens — bewaard voor de duur van het abonnement. Na beëindiging, schorsing of een verwijderingsverzoek geldt een eenmalig venster van 90 dagen: gedurende dat venster kunnen de gegevens worden geëxporteerd en kan het account worden hersteld, en aan het einde van de 90 dagen worden ze gewist. De enige uitzonderingen zijn records met de wettelijke bewaartermijnen hierboven (facturen, eCMR/eFTI, auditlog), die geïsoleerd en met toegangscontrole bewaard blijven tot hun eigen termijn verstrijkt.

Dezelfde periode van 90 dagen staat in artikel 13 van onze gebruiksvoorwaarden en in artikel 11 van onze verwerkersovereenkomst. Verwijdering bereikt ook de versleutelde back-ups: die zijn niet selectief bewerkbaar, dus gegevens die nog in een back-up staan worden overschreven wanneer die uit de rotatie verdwijnt, uiterlijk 35 dagen na verwijdering uit de live systemen.

Onder de AVG hebt u recht op:

• Inzage in de persoonsgegevens die wij over u bewaren (art. 15) — zie „Hoe dient u een inzageverzoek in" direct hieronder.
• Rectificatie van onjuiste gegevens (art. 16) — uw eigen naam, contactgegevens, taal en foto zijn rechtstreeks in uw profiel te bewerken. Operationele gegevens die uw werkgever over u invoert, corrigeert uw werkgever.
• Verwijdering (art. 17) — vraag het aan via privacy@druma.io, of via uw werkgever, die uw gebruikersaccount uit de Dienst kan verwijderen. Onder voorbehoud van de wettelijke bewaaruitzonderingen in de bewaartermijnentabel.
• Beperking van de verwerking (art. 18) — aanvragen via privacy@druma.io.
• Overdraagbaarheid van gegevens (art. 20) — wij leveren de gegevens in machineleesbare JSON en CSV.
• Bezwaar tegen verwerking op basis van gerechtvaardigde belangen (art. 21) — ook tegen de prestatiescore van de chauffeur.
• Informatie over geautomatiseerde besluitvorming en profilering (art. 22 en art. 13, lid 2, onder f)) — zie „Geautomatiseerde verwerking en AI" hieronder.

Hoe dient u een inzageverzoek in. Stuur het naar privacy@druma.io. Wij identificeren de over u bewaarde persoonsgegevens in de hele Dienst en verstrekken ze, samen met de informatie van artikel 15, lid 1, binnen één maand. Dit is de route voor iedere persoon — planner, chauffeur, klantcontact of vervoerderscontact — en kost u niets.

Een opmerking over de in-app-export, om misverstanden te vermijden. De Dienst bevat inderdaad een GDPR-exporttool bij Instellingen → GDPR, maar dat is geen individueel inzagemechanisme: hij is alleen beschikbaar voor beheerders van een bedrijf en exporteert de volledige dataset van dat bedrijf in plaats van de gegevens van één persoon. Hij bestaat zodat een operator zijn eigen verplichtingen als verwerkingsverantwoordelijke kan nakomen. Bent u chauffeur of werknemer, vertrouw er dan niet op om uw eigen recht uit artikel 15 uit te oefenen — mail ons, en wij produceren een antwoord dat op u is toegespitst. Wij bouwen aan een export per betrokkene; zodra die er is, melden wij dat hier en beschrijven wij beide routes.

Waar Druma als verwerker voor uw werkgever optreedt, kan het nodig zijn uw verzoek via hem als verwerkingsverantwoordelijke te leiden. Doen wij dat, dan laten wij het u prompt weten en geven wij het verzoek onverwijld door, zodat niets verloren gaat.

Wij antwoorden binnen één maand. Voor complexe verzoeken kunnen wij met maximaal twee maanden verlengen; wij melden dat binnen de eerste maand. Wij rekenen geen kosten, tenzij verzoeken kennelijk ongegrond of buitensporig zijn.

U hebt het recht een klacht in te dienen bij een toezichthoudende autoriteit — in het bijzonder in het EU-land waar u woont, werkt of waar de vermeende inbreuk plaatsvond:

• Roemenië — ANSPDCP (leidende toezichthoudende autoriteit) — dataprotection.ro
• België — Gegevensbeschermingsautoriteit (GBA/APD) — gegevensbeschermingsautoriteit.be
• Andere EU/EER-landen — uw nationale toezichthouder. De EDPB somt elke autoriteit op via edpb.europa.eu.

Wij beschermen uw gegevens met maatregelen waaronder:

• Versleuteling onderweg (TLS 1.2+) en in rust (beheerd door Supabase).
• Row-level security op de tabellen met klantgegevens — strikte tenant-isolatie per bedrijf.
• JWT-, HMAC- of service-role-authenticatie op elk serverendpoint.
• Geheimen opgeslagen in een beheerde vault, nooit in de broncode.
• Rate limiting op gebruikersgerichte API's die betaalde diensten van derden aanroepen.
• Uitgebreid auditlog van wijzigingen aan gevoelige records.
• Regelmatige beoordeling van de beveiligingspositie van subverwerkers.

Als een inbreuk in verband met persoonsgegevens u treft, stellen wij de operator die uw gegevens controleert binnen 72 uur na kennisname in kennis, en waar van toepassing informeren wij u rechtstreeks zonder onnodige vertraging.

Druma's eigen code zet helemaal geen cookies. Wat zij gebruikt is browseropslag — localStorage en sessionStorage voor de aanmeldstatus, uw actieve bedrijf en uw interfacevoorkeuren, plus een IndexedDB-opslag op de telefoon van een chauffeur met documenten die offline in de uploadwachtrij staan. De enige echte cookie is de botmanagement-cookie van onze CDN-aanbieder. Wij zetten niets voor analyse of marketing.

Eén ding bereikt een derde rechtstreeks vanuit uw browser: onze CDN-aanbieder ziet verzoekmetadata bij elke paginaweergave. Dat geldt ook voor de kaartweergaven: de basiskaarttegels komen van onze eigen tegeldienst op hetzelfde netwerk, zodat geen aparte kaartaanbieder het bekeken kaartgebied ziet. Ons cookiebeleid bevat de volledige inventaris, gegroepeerd per doel, voor de applicatie, de chauffeursapp en de publieke website.

Druma's kern-AI-functies — documentextractie (Smart Import, ingestie van inkomende facturen) en de in-app-AI-assistent — draaien op Google Vertex AI, via het EU-multiregio-endpoint van Google. Volgens de voorwaarden van Google worden data opgeslagen en draait ML-verwerking in EU-lidstaten wanneer het EU-endpoint wordt gebruikt (Service Specific Terms van Google, AI/ML Data Location); Druma is geconfigureerd om het EU-endpoint te gebruiken. Dit is de gepubliceerde toezegging van Google, geen audit door Druma. Google-entiteiten, waaronder Google LLC in de VS, kunnen in beperkte gevallen toegang tot gegevens krijgen om de dienst te onderhouden of technische problemen op te lossen (subverwerkerslijst van Google). Voor doorgiften verder in de keten vertrouwt Google voor de VS op het EU-US Data Privacy Framework (Google LLC is gecertificeerd) en voor andere derde landen op standaardcontractbepalingen tussen Google en zijn eigen subverwerkers (Google Cloud Data Processing Addendum, Appendix 3, sectie 4.1). Volgens de Service Specific Terms van Google Cloud (trainingsbeperking) gebruikt Google klantgegevens niet om AI/ML-modellen te trainen of fijn af te stemmen zonder onze toestemming. Volgens de documentatie van Google over misbruikbewaking kan Google prompts die door zijn veiligheidsclassificaties worden gemarkeerd tot 90 dagen loggen, in dezelfde EU-regio, om misbruik te onderzoeken, en slaat het invoer tot 24 uur in het geheugen op. Eén functie vormt een uitzondering: het optionele, door de gebruiker gestarte webonderzoek naar een bedrijf of locatie (verrijking van bedrijfs- en locatiegegevens) is momenteel voor alle klanten uitgeschakeld; indien ingeschakeld staat het standaard uit per bedrijf en gebruikt het Google Search grounding, dat volgens de voorwaarden van Google is uitgesloten van de EU-datalocatietoezegging, zodat een grounded verzoek buiten de EU kan worden verwerkt. Google bewaart grounding-zoekopdrachten tot 3 dagen voor foutopsporing, en dit kan niet worden uitgeschakeld. Het verstuurt openbare bedrijfsidentificatoren (naam van bedrijf of locatie, land, plaats, btw-nummer en geldigheidsvlag, de juridische naam uit de VIES-controle, het websiteadres en de openbare tekst van de eigen website van een locatie) — geen order-, document- of chauffeursgegevens en geen contactgegevens uit uw Druma-account; de openbare tekst van de eigen website van een bedrijf en de bedrijfsnaam van een eenmanszaak kunnen incidenteel persoonsgegevens bevatten. De doorgiftewaarborgen zijn die hierboven.

Vertaling van chauffeur-plannerberichten gebruikt geen Vertex AI maar de Google Cloud Translation API, die niet aan een EU-endpoint is gebonden; vertaalde berichttekst kan daarom buiten de EU worden verwerkt (dezelfde doorgiftewaarborgen als hierboven).

Daarnaast kan een bedrijfsbeheerder kiezen voor Druma AI (eigen AI-sleutel) — standaard uit. Eenmaal ingeschakeld en geconfigureerd met de eigen OpenAI-, Anthropic- of Google-API-sleutel van het bedrijf, worden de operationele gegevens die een gebruiker kiest te bevragen naar die aanbieder gestuurd onder de eigen overeenkomst van de operator met hem, en kunnen zij de EU verlaten. Als de Google-sleutel een gratis (free-tier) sleutel is, staan de eigen voorwaarden van Google toe dat Google het verzonden materiaal gebruikt om zijn producten te verbeteren, en staat Google alleen betaalde sleutels toe voor gebruikers in de EER, Zwitserland en het VK; de eigen Google-voorwaarden van het bedrijf zijn van toepassing, niet de overeenkomsten van Druma met Google Cloud.

Elke AI-uitvoer wordt als concept behandeld. Een menselijke gebruiker moet beoordelen en bevestigen voordat gegevens worden aangemaakt, gewijzigd of verzonden. Er zijn geen volledig geautomatiseerde besluiten met rechtsgevolgen of vergelijkbaar wezenlijke gevolgen (art. 22). U kunt de automatische berichtvertaling uitschakelen in uw profielinstellingen.

Profilering: de prestatiescore van de chauffeur. Druma berekent een prestatiescore voor chauffeurs, en wij willen precies zijn over wat die is in plaats van hem te verstoppen achter het feit dat het geen „AI" is.

• Het is profilering in de zin van artikel 4, punt 4, AVG: geautomatiseerde verwerking van persoonsgegevens om aspecten van een persoon te evalueren, met name werkprestaties en betrouwbaarheid. Wij maken dat als zodanig bekend.
• Het is geen kunstmatige intelligentie en geen machine learning. Het is een vast, gepubliceerd gewogen gemiddelde van vijf componenten — stiptheid (35%), brandstofverbruik t.o.v. een referentie (20%), stationair draaien (15%), incidenten (15%) en naleving van de rijtijdenregels (15%). Er wordt geen model getraind of toegepast en er worden geen gegevens naar een AI-aanbieder gestuurd om hem te produceren.
• Hij heeft geen rechtsgevolgen of vergelijkbaar wezenlijke gevolgen en is geen geautomatiseerd besluit in de zin van artikel 22. Niets in Druma handelt zelfstandig op basis van de score: het is een cijfer dat aan een fleetmanager wordt getoond, die beslist wat hij er eventueel mee doet.
• Ontbrekende gegevens tellen niet tegen u. Een component zonder gegevens wordt uitgesloten en de resterende gewichten worden herschaald, in plaats van dat de component nul scoort. Waar de steekproef te klein is om betekenis te hebben, worden de component en de totaalscore als laag-betrouwbaar gemarkeerd.
• Uw rechten. U kunt de componenten achter uw score opvragen en hoe elk is berekend, een cijfer betwisten dat u onjuist acht, en bezwaar maken tegen de profilering op grond van artikel 21 — mail privacy@druma.io, of leg het voor aan uw werkgever, die beslist of de functie überhaupt wordt gebruikt.

Continue positiegegevens, tachograafgegevens en een prestatiescore vormen samen monitoring van mensen op het werk. Uw werkgever, niet Druma, beslist of deze worden ingeschakeld en op welke rechtsgrond — en, belangrijk, toestemming is geen geldige grond voor het monitoren van werknemers, vanwege de machtsongelijkheid in een arbeidsrelatie. Wij publiceren een gegevensbeschermingseffectbeoordeling over chauffeursmonitoring, die operators als input voor hun eigen beoordeling kunnen gebruiken; vraag ons om een exemplaar.

Zie onze aparte AI-toelichting voor technisch detail.

Druma heeft de gereedheid voor de eFTI-verordening van de EU (Verordening (EU) 2020/1056) geïmplementeerd, die bevoegde autoriteiten (douane, transportinspectie) in staat stelt vrachtgegevens elektronisch te raadplegen vanaf 9 juli 2027. Wanneer een eCMR of transportorder aan een unieke eFTI-link (UIL) is gekoppeld, kunnen de bij die UIL horende zendinggegevens — waaronder ladingomschrijving, route en partijen bij de zending — tijdens een wegcontrole of havencontrole door geautoriseerde autoriteiten via het eFTI-platform worden geraadpleegd.

Deze toegang is gebaseerd op artikel 6, lid 1, onder c), AVG (wettelijke verplichting). Er is geen aanvullende toestemming vereist. Druma legt elke toegang door een autoriteit vast in het eFTI-operatielogboek zoals de verordening vereist.

Wij kunnen deze verklaring van tijd tot tijd bijwerken. Het versienummer en de ingangsdatum bovenaan worden dan herzien. Bij wezenlijke wijzigingen informeren wij geregistreerde gebruikers per e-mail ten minste 30 dagen voordat de nieuwe versie ingaat, en vragen wij om hernieuwde aanvaarding bij de volgende aanmelding.

Voor privacyvragen: privacy@druma.io. Voor algemene ondersteuning: support@druma.io.