Hoe Peiley je AVG-verplichtingen makkelijker maakt

Eerder schreef ik een algemeen artikel over GDPR-proof polling. Dit keer gaat het concreter: welke knoppen geeft Peiley je om aan je AVG-verplichtingen te voldoen, en hoe zet je ze juist in?

Disclaimer vooraf: dit is geen juridisch advies. Voor specifieke situaties spreek met een privacy-jurist of je DPO. Wat hieronder volgt is operationeel: hoe het werkt in onze tool.

Waar Peiley draait

Onze infrastructuur staat in Frankfurt en Amsterdam, op infrastructuur van Europese leveranciers met EU-headquarters. We sturen geen data naar de VS, ook niet via "tijdelijke" omleidingen voor analytics of e-mail.

Concreet: alle databases, file-storage, e-mail-verwerking en logs blijven binnen de EU. Onze sub-processors staan op een publieke pagina en we sturen je een mail wanneer er één bijkomt of vervalt.

De verwerkersovereenkomst (DPA)

Onder de AVG ben je als poll-eigenaar de verwerkingsverantwoordelijke. Wij zijn de verwerker. Een verwerkersovereenkomst (DPA) legt vast wie wat doet.

In Peiley:

• Onze standaard DPA staat klaar in je accountinstellingen onder Privacy. Eén klik om te ondertekenen.
• Voor enterprise-klanten met eigen DPA-template kunnen we een aanpassingsverzoek behandelen.
• De DPA dekt de standaard onderwerpen: doel, soort gegevens, bewaartermijn, sub-processors, beveiliging, rechten van betrokkenen.

Tip: bewaar een kopie van je ondertekende DPA in je eigen archief. Dit is ook nodig voor je verwerkingsregister.

Retentie: data die vanzelf weggaat

Een groot AVG-principe is opslagbeperking: bewaar persoonsgegevens niet langer dan nodig.

In Peiley kun je per peiling instellen wanneer respondent-data automatisch verwijderd wordt:

• Direct na sluitingsdatum (alleen geaggregeerde uitslag bewaard)
• 30 dagen na laatste antwoord
• 90 dagen (default)
• 1 jaar
• Alleen handmatig (afgeraden tenzij je een goede reden hebt)

De aggregaten — bijv. 45% koos optie A — bewaren we wel, want die zijn niet meer persoonlijk herleidbaar.

Anonieme polling

Voor elke peiling kies je het privacyniveau:

1. Open: respondenten geven naam en e-mail. Jij ziet wie wat antwoordde.
2. Semi-anoniem: alleen jij ziet de koppeling, deelnemers zien alleen geaggregeerde uitslag.
3. Volledig anoniem: zelfs Peiley slaat geen koppeling op. Geen IP-adres, geen sessie-cookie, geen invitatietoken-trace.

Belangrijk: communiceer aan deelnemers welke modus je gekozen hebt. Vertrouwen verlies je sneller dan je het opbouwt.

Recht op inzage en verwijdering

Onder de AVG hebben respondenten het recht om in te zien wat je over hen hebt opgeslagen, te corrigeren, en te laten verwijderen.

In Peiley:

• Zoek-functie in je dashboard om respondent op e-mail of naam te vinden.
• Eén klik om alle data van die respondent te exporteren als JSON of PDF (handig voor inzageverzoeken).
• Eén klik om alle data te verwijderen.
• Wij verwerken geen verwijderverzoeken namens jou — jij bent en blijft de verwerkingsverantwoordelijke. Maar onze knop is letterlijk één klik.

Cookie- en tracker-vrij

Voor de publieke poll-pagina's gebruiken we geen cookies, geen analytics, geen pixels. De HTML laadt, de respondent vult in, klaar. Je hoeft daarom geen cookie-banner toe te voegen aan je publieke poll-link.

Voor het admin-dashboard gebruiken we wel sessie-cookies (anders kun je niet inloggen). Die zijn functioneel en hoeven volgens AVG geen consent.

Verwerkingsregister-export

Onder artikel 30 AVG moet je een verwerkingsregister bijhouden. Voor Peiley-gebruik kunnen we je een standaard register-tekst geven die je in je eigen register kunt opnemen:

Verwerking: online polling-tool Doel: stemming en inzicht Categorieën: e-mailadressen, antwoorden Sub-processors: zie peiley.net/sub-processors Bewaartermijn: zie respectievelijke peilingen

Vraag het aan via je accountinstellingen.

Datalekprocedure

Onder de AVG moet een datalek binnen 72 uur gemeld worden bij de Autoriteit Persoonsgegevens. Wat doet Peiley?

• Wij detecteren een datalek (via interne monitoring of melding).
• Wij melden je binnen 24 uur zodat jij ruimte hebt voor je 72-uurs venster bij de AP.
• Wij ondersteunen je met logging en details.

We hebben tot nu toe geen datalek meegemaakt, maar de procedure staat klaar.

E-mailadressen voor uitnodigingen

Wanneer je een peiling met e-mail uitnodigingen verstuurt, sla je e-mailadressen op. Onder AVG moet je een grondslag hebben — meestal gerechtvaardigd belang (interne polls) of toestemming (externe polls).

In Peiley:

• E-mailadressen in je contactenlijst kun je per groep beheren.
• Per groep kun je een opt-in datum vastleggen voor toestemming.
• Uitschrijflinks staan automatisch onderaan elke e-mail.
• Bounces worden automatisch gemarkeerd zodat je ze niet opnieuw aanschrijft.

Een korte checklist voor poll-eigenaren

Voor je een externe peiling lanceert:

1. ✅ DPA ondertekend
2. ✅ Privacymededeling in de peiling
3. ✅ Retentietermijn ingesteld
4. ✅ Anonieme/open-modus bewust gekozen
5. ✅ Grondslag voor e-mailgebruik gedocumenteerd
6. ✅ Uitschrijflinks geactiveerd

Voor interne peilingen onder collega's: punt 1, 3 en 4 zijn meestal voldoende.

Wat we niet doen

Eerlijkheidshalve, een paar dingen die we (nog) niet bieden:

• On-prem deployment. Wij zijn cloud-only.
• Eigen encryptie-sleutels (BYOK). Op de roadmap.
• Single sign-on (SAML) voor alle plannen — alleen voor enterprise.

Als deze punten dealbreakers zijn voor jouw organisatie, ben je waarschijnlijk beter af met een open source self-hosted oplossing of een enterprise-leverancier.

Conclusie

AVG-compliance is geen sprint maar een onderhoudsklus. Peiley probeert je het zware werk uit handen te nemen — EU-hosting, automatische retentie, eenvoudige verzoekenafhandeling — maar de eindverantwoordelijkheid blijft bij jou als verwerkingsverantwoordelijke.

Als je vragen hebt of een specifieke situatie wilt nakijken, mail privacy@peiley.net. We antwoorden zelf, geen support-bot.