Versie 1.1 · 30 augustus 2026

Privacyverklaring voor zakelijke contactgegevens

Deze verklaring gaat over één ding: hoe wij aan de zakelijke contactgegevens van je bedrijf komen, wat we ermee doen als we je één keer benaderen over CrewShift, en hoe je daar een eind aan maakt. Over het gebruik van CrewShift zelf gaat ze niet. Daarvoor geldt de privacyverklaring van het product.

English version below

1. Wie wij zijn

CrewShift B.V., ingeschreven in het Handelsregister onder nummer 42145591, gevestigd aan de Patroclosstraat 13-2, 1076 NE Amsterdam. Dat is de verwerkingsverantwoordelijke, en dat is wie "wij" in deze verklaring betekent. De berichten zelf worden geschreven en verstuurd door Igor Riabchuk, oprichter van CrewShift, en hij leest ook je antwoord. Een bericht van ons komt dus van één persoon die namens de vennootschap handelt.

Bereikbaar op igor@crewshift.app. Er is geen functionaris voor gegevensbescherming. Die is voor een onderneming van deze omvang niet verplicht. Het systeem waarin deze gegevens staan is toegankelijk voor twee mensen binnen CrewShift. Verder voor niemand.

2. Waarvoor wij de gegevens gebruiken, en op welke grondslag

Het doel is je één keer te benaderen met de vraag of CrewShift, software voor crewplanning, deal memo's, urenregistratie en facturatie in film en televisie, bruikbaar is voor jouw productiebedrijf. Eén bericht, hooguit één herinnering in dezelfde thread. Daarna niets meer, tenzij je zelf antwoordt.

De grondslag is gerechtvaardigd belang (artikel 6 lid 1 onder f AVG). Het belang is ons eigen commerciële belang: een nieuw product onder de aandacht brengen bij het kleine aantal Nederlandse productiebedrijven waarvoor het gemaakt is. Overweging 47 AVG noemt direct marketing uitdrukkelijk als een mogelijk gerechtvaardigd belang, en het Hof van Justitie heeft in zaak C-621/22 (KNLTB, 4 oktober 2024) bevestigd dat een zuiver commercieel belang gerechtvaardigd kan zijn.

Die afweging is opgeschreven, gedateerd en genummerd (versie lia-v1). Vraag ernaar en je krijgt hem toegestuurd. Op elk verstuurd bericht is vastgelegd welke versie van die afweging gold op het moment van verzenden.

3. Welke gegevens

  • Gegevens over het bedrijf: handelsnaam, KVK-nummer, rechtsvorm, website, werkgebied. Meestal geen persoonsgegevens. Bij een eenmanszaak, VOF of maatschap is de bedrijfsnaam vaak de naam van een persoon, en dan wel.
  • Eén zakelijk e-mailadres dat het bedrijf zelf publiceert. In verreweg de meeste gevallen is dat een rolmailbox (info@, productie@) die geen persoon aanwijst.
  • Soms een naam en functie van een contactpersoon, als het bedrijf die naast dat adres publiceert.
  • De herkomst: de URL waar we het vonden, de datum waarop we het ophaalden, en een letterlijk citaat van de pagina. Dat citaat bewaren we juist zodat controleerbaar is dat het adres daar stond en nergens anders vandaan komt.
  • Openbare bedrijfssignalen die verklaren waarom we juist jou benaderen: een Filmfondstoekenning, een lidmaatschap, een vacature, een recente productie. Steeds met bron en datum.
  • Wat we verstuurd hebben, wanneer, en wat het antwoord was.

Geen bijzondere categorieën persoonsgegevens. Geen profilering en geen geautomatiseerde besluitvorming met rechtsgevolg. Geen trackingpixels en geen getrackte links: of je een bericht opent of aanklikt kunnen wij niet zien, want het systeem heeft geen velden om dat in op te slaan.

4. Waar de gegevens vandaan komen

Uit openbare bronnen, en het e-mailadres komt altijd van de eigen publicatie van het bedrijf: de contactpagina van je eigen website. Brancheoverzichten, subsidieregisters en het Handelsregister gebruiken we om vast te stellen dát een bedrijf bestaat en wat de rechtsvorm is. Adressen nemen we daar niet uit over, ook niet waar dat technisch zou kunnen, omdat die registers voor een ander doel zijn gepubliceerd dan het onze.

Nooit van een adressenhandelaar of datamakelaar, en nooit van LinkedIn of uit LinkedIn afgeleide bestanden. Er is niets gekocht.

In elk bericht dat we sturen staat de concrete bron-URL en de datum waarop we die pagina ophaalden, dus je ziet de vindplaats zelf.

5. Wie de gegevens verder ziet

Wij verkopen niets, delen niets met adverteerders en geven niets door aan andere ondernemingen. Wat er wel is, zijn de leveranciers die de opslag en de verzending technisch mogelijk maken, en die uitsluitend in onze opdracht verwerken:

  • Supabase: de database. Gehost in de Europese Unie (Ierland).
  • Cloudflare: hosting van de applicatie en deze website, en de dienst waarmee het bericht wordt verzonden. Amerikaanse onderneming met een wereldwijd netwerk, doorgifte op basis van standaardcontractbepalingen.
  • Google Workspace: de mailbox waarin je antwoord binnenkomt. Amerikaanse onderneming, doorgifte op basis van standaardcontractbepalingen en het EU-VS Data Privacy Framework.

6. Hoe lang we ze bewaren

  • Als we je niet benaderen: 25 dagen. Vanaf het moment dat er persoonsgegevens in het dossier komen loopt er een termijn, en als er binnen 25 dagen geen bericht is verstuurd wist een nachtelijke taak het dossier automatisch. Dat is korter dan de maand die artikel 14 lid 3 AVG toestaat, met opzet: de termijn moet aflopen vóór de wettelijke.
  • Als we je wel benaderd hebben: vijf jaar voor het verzendrecord, dus wat er verstuurd is, aan welk adres, op welke grondslag, met welke bronvermelding. Die termijn volgt de bewijslast die op ons rust als iemand klaagt over een ongevraagd bericht, en de termijn waarbinnen de toezichthouder kan handhaven.
  • Als je bezwaar maakt: onbeperkt, maar minimaal. Zie hieronder. Die ene regel is de enige manier waarop we kunnen garanderen dat je niet opnieuw benaderd wordt.

7. Je rechten

Je hebt recht op inzage in wat we over je hebben, op rectificatie als het niet klopt, op wissing, op beperking van de verwerking, en op bezwaar. Stuur een bericht aan igor@crewshift.app en je krijgt binnen een maand antwoord. Er zit geen formulier tussen en we vragen je niet om een kopie van je identiteitsbewijs voor gegevens die van je eigen zakelijke contactpagina komen.

8. Bezwaar maken

Je kunt op elk moment bezwaar maken tegen deze benadering, en dan stopt het. Bij direct marketing is dat recht absoluut: er is geen belangenafweging waarin ons belang het alsnog wint, en je hoeft ons niet te vertellen waarom.

Antwoorden met "nee" is genoeg. Dat kan op het bericht zelf, of los aan igor@crewshift.app. We verwerken het dezelfde dag. Bellen, of het Igor op een festival zeggen, werkt net zo goed. Een bezwaar is geldig hoe je het ook uit.

Wat er daarna gebeurt, precies. Er komt één regel in een blokkeerlijst te staan, met het adres of het domein en de reden, en daarop weigert het systeem elk volgend bericht, ook aan een collega op hetzelfde domein. Die regel kan niet bewerkt of verwijderd worden, het systeem weigert dat. Daarom bewaren we juist dát ene gegeven: zonder die regel kunnen we niet garanderen dat het stopt.

Het dossier dat we verder over je bedrijf hadden, verdwijnt niet vanzelf op het moment van je bezwaar. Daarvoor gelden de bewaartermijnen hierboven. Hadden we je nog niet benaderd, dan wist de nachtelijke opruiming het op de 25e dag. Hadden we dat wel, dan blijft het verzendrecord staan zolang we moeten kunnen aantonen wat we verstuurd hebben. Wil je het eerder weg, vraag erom, dan wissen we het. Wat er in beide gevallen blijft staan is die ene blokkeerregel, desgewenst met een versleutelde afdruk in plaats van je adres erin. De blokkade blijft dan gewoon werken.

Het bezwaar geldt je hele bedrijf. We schrijven daarna ook je collega's niet aan.

9. Klagen bij de toezichthouder

Als je vindt dat we je gegevens onjuist verwerken, kun je een klacht indienen bij de Autoriteit Persoonsgegevens, autoriteitpersoonsgegevens.nl. Je hoeft ons niet eerst te benaderen, al stellen we het wel op prijs.

10. Wijzigingen

Deze verklaring is genummerd en gedateerd. Het verzendsysteem controleert dagelijks of de tekst op deze pagina nog letterlijk overeenkomt met de versie die was vastgelegd, en weigert te versturen zodra dat niet zo is. Een stille wijziging is daardoor niet mogelijk. Op elk verstuurd bericht is vastgelegd welke versie van deze tekst er gold, zodat over vijf jaar nog na te gaan is wat je destijds precies verteld is.

Version 1.1 · 30 August 2026

Privacy notice for business contact details

This notice covers one thing: how we obtained your company's business contact details, what we do with them if we approach you once about CrewShift, and how you put a stop to it. Use of CrewShift itself is outside it. The product privacy policy governs that.

1. Who we are

CrewShift B.V., registered in the Netherlands Business Register under number 42145591, with its registered office at Patroclosstraat 13-2, 1076 NE Amsterdam. That is the controller, and that is who "we" means throughout this notice. The messages themselves are written and sent by Igor Riabchuk, founder of CrewShift, and he is the one who reads your reply. A message from us comes from one person acting on behalf of the company.

Reachable at igor@crewshift.app. There is no data protection officer. A business of this size is not required to appoint one. The system holding this data is accessible to two people within CrewShift. To nobody else.

2. What we use the data for, and on what basis

The purpose is to approach you once, to ask whether CrewShift, software for crew scheduling, deal memos, timekeeping and invoicing in film and television, is useful to your production company. One message, at most one reminder in the same thread. Nothing after that unless you reply.

The basis is legitimate interests (Article 6(1)(f) GDPR). The interest is our own commercial one: bringing a new product to the attention of the small number of Dutch production companies it was built for. Recital 47 GDPR names direct marketing explicitly as a possible legitimate interest, and the Court of Justice confirmed in Case C-621/22 (KNLTB, 4 October 2024) that a purely commercial interest can qualify.

That assessment is written down, dated and numbered (version lia-v1). Ask and we will send it to you. Every message sent records which version of it applied at the time.

3. What data

  • Company details: trade name, Business Register number, legal form, website, area of work. Usually not personal data. For a sole proprietorship or partnership the company name is often a person's name, and then it is.
  • One business email address the company publishes itself. In the great majority of cases that is a role mailbox (info@, productie@) identifying no individual.
  • Sometimes a contact person's name and role, where the company publishes those alongside that address.
  • Provenance: the URL where we found it, the date we retrieved it, and a verbatim quotation from the page. We keep that quotation precisely so it can be checked that the address was published there and came from nowhere else.
  • Public business signals explaining why we are approaching you specifically: a Filmfonds award, a membership, a job posting, a recent production. Each with source and date.
  • What we sent, when, and what the reply was.

No special categories of personal data. No profiling and no automated decision-making with legal effect. No tracking pixels and no tracked links: we cannot see whether you opened or clicked a message, because the system has no fields to store that in.

4. Where the data came from

From public sources, and the email address always comes from the company's own publication: the contact page of your own website. Industry directories, funding registers and the Business Register are what we use to establish that a company exists and what its legal form is. We do not take addresses from them, even where that would be technically possible, because those registers were published for a different purpose than ours.

Never from a list broker or data broker, and never from LinkedIn or LinkedIn-derived files. Nothing was purchased.

Every message we send states the specific source URL and the date we retrieved that page, so you can see the actual place it was found.

5. Who else sees the data

We sell nothing, share nothing with advertisers and pass nothing to other businesses. What does exist are the suppliers that make the storage and the sending technically possible, and that process solely on our instructions:

  • Supabase: the database. Hosted in the European Union (Ireland).
  • Cloudflare: hosting for the application and this website, and the service the message is sent through. A US company with a global network, transfers on the basis of standard contractual clauses.
  • Google Workspace: the mailbox where your reply arrives. A US company, transfers on the basis of standard contractual clauses and the EU-US Data Privacy Framework.

6. How long we keep it

  • If we do not approach you: 25 days. A clock starts the moment personal data enters the record, and if no message has been sent within 25 days a nightly job deletes the record automatically. That is shorter than the month Article 14(3) GDPR allows, deliberately: the deadline has to expire before the statutory one.
  • If we did approach you: five years for the send record, meaning what was sent, to which address, on what basis, citing which source. That period follows the burden of proof that falls on us if somebody complains about an unsolicited message, and the period within which the regulator can enforce.
  • If you object: indefinitely, but minimally. See below. That one line is the only way we can guarantee you are not approached again.

7. Your rights

You have the right of access to what we hold about you, to rectification if it is wrong, to erasure, to restriction of processing, and to object. Send a message to igor@crewshift.app and you will have an answer within a month. There is no form in the way, and we will not ask you for a copy of your ID for data that came off your own business contact page.

8. Objecting

You can object to this approach at any time, and then it stops. For direct marketing that right is absolute: there is no balancing exercise in which our interest wins anyway, and you do not have to tell us why.

Replying "no" is enough. That can be to the message itself, or separately to igor@crewshift.app. We action it the same day. Telephoning, or telling Igor at a festival, works just as well. An objection is valid however you express it.

Exactly what happens next. One line goes into a block list, holding the address or the domain and the reason, and the system refuses every subsequent message against it, including one to a colleague on the same domain. That line cannot be edited or deleted, the system refuses. That is why we keep precisely that one item: without it we could not guarantee that it stops.

The rest of what we held about your company does not vanish at the moment you object. The retention periods above govern that. If we had not yet approached you, the nightly clean-up erases it on day 25. If we had, the send record stays for as long as we need to be able to show what we sent. If you want it gone sooner, ask, and we will erase it. What remains in either case is that one block-list line, if you prefer with a cryptographic fingerprint in place of your address. The block goes on working either way.

The objection covers your whole company. We will not write to your colleagues afterwards either.

9. Complaining to the regulator

If you consider that we are processing your data improperly, you can lodge a complaint with the Dutch Data Protection Authority (Autoriteit Persoonsgegevens), autoriteitpersoonsgegevens.nl. You do not have to come to us first, though we would appreciate it.

10. Changes

This notice is numbered and dated. The sending system checks daily that the text on this page still matches the version that was recorded, verbatim, and refuses to send the moment it does not. A silent change is therefore impossible. Every message sent records which version of this text applied, so that in five years it can still be established what you were told at the time.

crewshift.app