Privacybeleid

1. Informatie die we verzamelen

We verzamelen de volgende categorieën gegevens:

• Accountgegevens: naam, e-mailadres, wachtwoordhash, rol (student, recruiter, beheerder), profielfoto als u er een uploadt.
• Aanvraag- en academische informatie: informatie die u via onze aanvraag- en aanmeldformulieren verstrekt, zoals uw naam, e-mailadres, telefoonnummer, land van herkomst, doellanden, gewenst opleidingsniveau, studie-interesses, testscores (TOEFL/IELTS/GRE/GMAT, enz.), GPA, vorige instelling, budget en instroomtermijn. U kunt een aanvraag indienen zonder een account aan te maken.
• Documenten die u uploadt: cijferlijsten, motivatiebrieven, aanbevelingsbrieven, kopieën van paspoorten, visumdocumenten en andere aanmeldmaterialen.
• Communicatie: berichten die u naar adviseurs stuurt, supporttickets, ingediende beoordelingen.
• Verwijzingsinformatie: als u deelneemt aan ons verwijzings- of recruiterprogramma, of zich aanmeldt met de verwijzingscode of -link van iemand anders, leggen we de verwijzingscode en de daaruit voortvloeiende verbinding tussen accounts vast om het programma te beheren.
• Betalingsinformatie: we slaan geen kaartnummers op; betalingen worden verwerkt door Stripe, dat de kaartgegevens rechtstreeks van uw browser ontvangt. We bewaren de betalingsidentificatie van Stripe, het in rekening gebrachte bedrag en de status van de aankoop.
• Gebruiks- en apparaatinformatie: IP-adres, user-agentstring, verzoekpad en tijdstempel die worden vastgelegd in serverlogboeken en bij onze edge-provider (Cloudflare). Uitsluitend gebruikt voor beveiliging, misbruikpreventie en foutopsporing. We voeren geen analyses aan de clientzijde of advertentietrackers uit.
• Toestemmingsrecords: wanneer u een aanvraag indient, zich registreert of zich aanmeldt voor marketing-e-mail, slaan we een record op van de toestemming die u hebt verleend (welk selectievakje, op welke pagina, de beleidsversie, uw IP en uw user-agent op dat moment) zodat we de toestemming kunnen aantonen als deze later wordt betwist.
• Authenticatieproviders: als u zich aanmeldt met Google, ontvangen we met uw toestemming uw naam, e-mailadres en profielfoto van Google.

2. Waarom we deze gegevens verwerken (rechtsgronden)

Voor gebruikers in de EU, het VK en de EER baseren we ons op de volgende rechtsgronden onder de AVG:

• Overeenkomst (Art. 6(1)(b)): om uw account aan te maken en te beheren, op uw aanvragen te reageren, relevante universiteits- en beurslijsten te tonen, betalingen te verwerken, gekochte diensten te leveren, adviesondersteuning te bieden en het verwijzingsprogramma te beheren.
• Gerechtvaardigd belang (Art. 6(1)(f)): om de Dienst te exploiteren en te beveiligen, fraude en misbruik te voorkomen, geaggregeerd gebruik te analyseren om de productkwaliteit te verbeteren en op uw aanvragen te reageren.
• Wettelijke verplichting (Art. 6(1)(c)): om te voldoen aan fiscale, boekhoudkundige en regelgevende vereisten.
• Toestemming (Art. 6(1)(a)): voor optionele marketingcommunicatie.

3. Hoe we uw gegevens delen

We verkopen uw persoonsgegevens niet. We delen uw persoonsgegevens niet met universiteiten of beursaanbieders; de vermeldingen op de Dienst zijn samengesteld uit openbare bronnen, en we zijn geen wervingsagent voor enige instelling. We delen gegevens met:

• Dienstverleners die ons helpen de Dienst te exploiteren:
  • Stripe, Inc. (betalingsverwerking, VS), privacybeleid.
  • Hetzner Online GmbH (serverhosting, Duitsland), privacybeleid.
  • Cloudflare, Inc. (DNS, CDN, TLS, edge-beveiliging en R2-objectopslag voor geüploade documenten zoals kopieën van paspoorten en visa, VS), privacybeleid.
  • Neon, Inc. (beheerde Postgres-database, regio: AWS Frankfurt, Duitsland), privacybeleid.
  • Resend, Inc. (transactionele e-mail, VS), privacybeleid.
  • Google LLC (OAuth-aanmelding, VS), privacybeleid.
  Deze providers zijn contractueel beperkt om uw gegevens alleen te gebruiken voor zover nodig om diensten aan ons te leveren.
• Juridische autoriteiten: wanneer dit wettelijk vereist is, op grond van een dagvaarding, of om onze rechten en veiligheid te beschermen.
• Bedrijfsoverdrachten: in verband met een fusie, overname of verkoop van activa (met kennisgeving aan u).

4. Internationale gegevensoverdrachten

Onze servers en primaire database bevinden zich in Duitsland (EU). Sommige van onze dienstverleners (Stripe, Resend, Cloudflare, Google) zijn gevestigd in de Verenigde Staten. Wanneer gegevens buiten de EU/EER worden overgedragen, baseren we ons op door de Europese Commissie goedgekeurde Standard Contractual Clauses (SCCs) en op de certificering van elke provider onder toepasselijke kaders (bijv. het EU-US Data Privacy Framework).

5. Hoe lang we uw gegevens bewaren

• Accountgegevens: zolang uw account actief is, en tot 24 maanden na verwijdering ter voorkoming van fraude.
• Aanmeldingsdocumenten (cijferlijsten, verklaringen, aanbevelingen, testscores): bewaard zolang u een actieve dienst bij ons hebt, en anders verwijderd zodra ze ons bewaartermijn na het uploaden bereiken. Gevoelige identiteits- en financiële documenten (kopieën van paspoorten, financiële gegevens) worden korter bewaard dan andere documenten. U kunt elk document ook zelf op elk moment verwijderen vanuit uw dashboard. Zie “Hoe we documenten verwijderen” hieronder.
• Betalingsgegevens: 7 jaar voor fiscale en boekhoudkundige naleving.
• Supportcommunicatie: tot 3 jaar na afhandeling.
• Serverlogboeken: tot 90 dagen.

Hoe we documenten verwijderen

We passen een gegevensbewaarproces toe op geüploade documenten zodat we ze niet langer bewaren dan nodig is. Een document komt in aanmerking voor verwijdering zodra u geen actieve dienst meer bij ons hebt en het ouder is dan het bewaartermijn voor zijn type, of zodra het een absolute maximumleeftijd bereikt ongeacht activiteit. Documenten die aan een actieve dienst zijn gekoppeld, worden door dit proces nooit verwijderd. Voordat een document wordt verwijderd, sturen we u een e-mail en tonen we een melding op uw dashboard, en u kunt een document markeren om te bewaren als u het nog nodig hebt. Documenten die in aanmerking komen, worden eerst verborgen en gedurende een respijtperiode bewaard waarin ze kunnen worden hersteld, en worden vervolgens permanent uit onze opslag gewist. De exacte bewaartermijnen worden door ons team geconfigureerd en kunnen veranderen; u kunt altijd om eerdere verwijdering van uw gegevens vragen via het rechtenportaal dat hieronder bij “Uw rechten” wordt beschreven.

6. Uw rechten

Afhankelijk van waar u woont, hebt u mogelijk de volgende rechten met betrekking tot uw persoonsgegevens:

• Inzage: een kopie opvragen van de gegevens die we over u bewaren.
• Correctie: ons vragen onjuiste gegevens te corrigeren.
• Verwijdering: verzoeken om wissing van uw account en bijbehorende gegevens (onder voorbehoud van wettelijke bewaarverplichtingen).
• Overdraagbaarheid: een machineleesbare kopie van uw gegevens ontvangen.
• Bezwaar en beperking: bezwaar maken tegen verwerking of ons vragen deze te beperken.
• Toestemming intrekken: voor elke verwerking op basis van toestemming.
• Klacht: een klacht indienen bij uw lokale gegevensbeschermingsautoriteit.

Veel van deze rechten kunt u zelf uitoefenen via de pagina Privacy & Gegevens in uw account: u kunt een machineleesbare kopie van uw gegevens downloaden (overdraagbaarheid), uw profiel bewerken (correctie), marketingtoestemming beheren en accountverwijdering aanvragen. Voor alles wat u daar niet kunt voltooien, kunt u ons e-mailen op [email protected]. We reageren binnen 30 dagen.

Inwoners van de EU/het VK (AVG/UK GDPR): als u denkt dat we uw gegevens niet correct hebben behandeld, hebt u het recht om een klacht in te dienen bij uw nationale gegevensbeschermingsautoriteit. U kunt uw autoriteit vinden via het Europees Comité voor gegevensbescherming.

Inwoners van Californië (CCPA/CPRA): naast de bovenstaande rechten hebt u het recht om te weten welke persoonsgegevens we verzamelen, om verwijdering of correctie ervan te verzoeken, om u af te melden voor de verkoop of het delen van persoonsgegevens, en om het gebruik van gevoelige persoonsgegevens te beperken. Wij verkopen of delen geen persoonsgegevens in de zin waarin die termen worden gebruikt in de CCPA/CPRA (we wisselen ze niet uit voor geldelijke of andere waardevolle tegenprestatie, en we delen ze niet voor cross-context gedragsadvertenties). U kunt ook een gemachtigde aanwijzen om namens u een verzoek in te dienen; we zullen de bevoegdheid van de gemachtigde verifiëren voordat we handelen. We discrimineren niet tegen gebruikers die hun privacyrechten uitoefenen.

Brazilië (LGPD): betrokkenen in Brazilië hebben gelijkwaardige rechten op inzage, correctie, anonimisering, overdraagbaarheid, verwijdering, informatie over het delen en intrekking van toestemming. Ons bovenstaande contact dient ook als kanaal voor LGPD-verzoeken.

Canada (PIPEDA): Canadese gebruikers kunnen inzage in en correctie van hun persoonsgegevens aanvragen, en kunnen toestemming intrekken (onder voorbehoud van wettelijke of contractuele beperkingen) door contact met ons op te nemen via het bovenstaande e-mailadres.

Zuid-Korea (PIPA): gebruikers in de Republiek Korea hebben het recht om geïnformeerd te worden over de verwerking van hun persoonsgegevens en om deze in te zien, te corrigeren, te verwijderen en de verwerking ervan op te schorten, en om eerder gegeven toestemming in te trekken. We verzamelen persoonsgegevens alleen met uw toestemming of een andere rechtsgrond, gebruiken ze uitsluitend voor de in dit beleid beschreven doeleinden en dragen ze niet over aan derden, behalve zoals hierin uiteengezet. Om deze rechten uit te oefenen, of om enige bezorgdheid te uiten over hoe uw persoonsgegevens worden behandeld, kunt u contact met ons opnemen via [email protected]. U kunt een bezorgdheid ook melden bij de Personal Information Protection Commission (PIPC) of de Korea Internet & Security Agency (KISA).

7. Beveiliging

We gebruiken industriestandaardmaatregelen om uw gegevens te beschermen tijdens verzending (TLS 1.3) en in rust (AES-256 op onze database en bestandsopslag). Wachtwoorden worden gehasht met bcrypt. Toegang is beperkt tot bevoegd personeel op een need-to-know-basis. Ondanks deze maatregelen is geen enkel systeem volledig veilig; als we een inbreuk ontdekken die uw gegevens wezenlijk treft, zullen we u en, waar vereist, de relevante autoriteiten zonder onnodige vertraging op de hoogte stellen.

8. Cookies en analyse

We gebruiken geen analyse van derden, advertenties of cross-sitetracking. We loggen basale verzoekmetadata aan de serverzijde (IP-adres, user-agent, verzoekpad en tijdstempel) voor beveiliging, misbruikpreventie en foutopsporing. Deze logboeken worden tot 90 dagen bewaard.

We gebruiken een klein aantal first-party cookies en één localStorage-vermelding, die allemaal strikt noodzakelijk of voorkeursgebaseerd zijn (geen toestemming vereist volgens de EU-ePrivacy-regels):

• Authenticatiesessie (cookie ingesteld door NextAuth, HTTP-only, verloopt wanneer u zich afmeldt of na de sessieduur): houdt u aangemeld op verschillende pagina's.
• gp_ref (TTL van 90 dagen): legt de verwijzingscode uit een ?ref=CODE-URL vast zodat we uw aanmelding aan de juiste recruiter of verwijzende gebruiker kunnen toeschrijven.
• gp-theme (opgeslagen in de localStorage van de browser, niet als HTTP-cookie): onthoudt uw voorkeur voor licht/donker/hoog contrast.

U kunt deze op elk moment wissen via de site-gegevensinstellingen van uw browser. Het wissen van de authenticatiecookie meldt u af; het wissen van de andere zet alles terug naar de standaardwaarden en verwijdert de verwijzingstoeschrijving.

9. Kinderen

GlobalPath is niet gericht op kinderen jonger dan 16 jaar. We verzamelen niet bewust persoonsgegevens van iemand jonger dan 16. Als we vernemen dat we dergelijke informatie hebben verzameld, verwijderen we deze. Als u denkt dat een kind jonger dan 16 jaar ons persoonsgegevens heeft verstrekt, neem dan contact met ons op via [email protected].

10. Wijzigingen in dit beleid

We kunnen dit beleid van tijd tot tijd bijwerken. Materiële wijzigingen worden aangekondigd via e-mail en op deze pagina, met de herziene ingangsdatum hierboven. Voortgezet gebruik van de Dienst nadat de wijzigingen van kracht worden, vormt aanvaarding van het bijgewerkte beleid.

11. Neem contact met ons op

Voor privacyspecifieke vragen of om uw gegevensrechten uit te oefenen, kunt u contact opnemen met ons privacyteam via [email protected]. Voor alle andere vragen over de Dienst kunt u contact met ons opnemen via [email protected].