Privacybeleid InPost Nederland

Mondial Relay S.A.S., handelend onder de naam InPost

Versie 2.0 | Laatst bijgewerkt: 30-07-2026 | Van kracht vanaf: 30-07-2026 | Vervangt: versie 14 april 2023

Inhoud

1. Inleiding
2. Wie is verantwoordelijk voor de verwerking van je gegevens?
3. Van Mondial Relay naar InPost Nederland
4. Wanneer is dit privacybeleid van toepassing?
5. Waar komen je gegevens vandaan?
6. Welke gegevens verwerken wij van jou?
7. Voor welke doeleinden en op welke grondslagen verwerken wij je gegevens?
8. Leadgeneratie en zakelijke communicatie
9. Cookies, tracking en toestemming (Consent Mode v2)
10. Ingesloten content, kaarten en sociale media
11. Met wie delen wij je gegevens?
12. Doorgifte van gegevens buiten de EER
13. Hoe lang bewaren wij je gegevens?
14. Hoe beveiligen wij je gegevens?
15. Datalekken
16. Gebruik van AI en geautomatiseerde besluitvorming
17. Kinderen
18. Welke rechten kun je uitoefenen?
19. Vragen of klachten
20. Wijzigingen en versiebeheer
21. Begrippenlijst

---

1. Inleiding

InPost Nederland is een logistiek dienstverlener. Wij zorgen ervoor dat pakketten kunnen worden verstuurd en opgehaald via automatische pakketkluizen (APM's, ook wel pakketautomaten) en pick up & drop off-punten (PUDO-punten). Onze klanten zijn bedrijven. Onder bedrijven vallen ook eenmanszaken.

Om ons netwerk uit te breiden zoeken wij continu naar goede locaties voor onze pakketautomaten. Deze website is er in de eerste plaats voor ondernemers, vastgoedeigenaren, beheerders en franchisenemers die overwegen een InPost-pakketautomaat op hun locatie te plaatsen. Je kunt hier informatie opvragen, een voorstel aanvragen, een brochure downloaden of een gesprek inplannen.

In dit privacybeleid leggen wij uit welke persoonsgegevens (hierna: gegevens) wij verwerken, waarom wij dat doen, op welke grondslag, met wie wij ze delen, hoe lang wij ze bewaren en welke rechten je hebt. Wij gaan zorgvuldig met je gegevens om en bewaren ze veilig.

Dit privacybeleid geldt voor onze website en apps, onze marketing- en acquisitieactiviteiten, ons contact met (mogelijke) locatiepartners en zakelijke relaties, en onze bezorgdiensten. Heb je na het lezen nog vragen of een klacht? Neem dan gerust contact met ons op. In paragraaf 21 leggen wij de belangrijkste begrippen uit.

2. Wie is verantwoordelijk voor de verwerking van je gegevens?

De verwerkingsverantwoordelijke voor de verwerkingen die in dit privacybeleid worden beschreven is:

Onze Nederlandse activiteiten worden uitgevoerd door de Nederlandse vestiging van Mondial Relay S.A.S. Die vestiging heeft geen eigen rechtspersoonlijkheid. De verwerkingsverantwoordelijke is dus Mondial Relay S.A.S., die handelt via haar Nederlandse vestiging. Voor de verwerkingen die in dit privacybeleid worden beschreven — onze website, marketing, leadgeneratie en het contact met locatiepartners — worden de beslissingen over doel en middelen in Nederland genomen.

Waar in dit privacybeleid 'InPost', 'wij', 'ons' of 'onze' staat, bedoelen wij bovengenoemde onderneming, inclusief de aan haar gelieerde ondernemingen binnen de InPost-groep, voor zover die beslissen over de doeleinden en middelen van de verwerking van je gegevens.

Gegevens die worden verzameld via een website, app of domein van InPost Nederland vallen onder de reikwijdte van dit privacybeleid. Verwerkt een andere onderneming binnen de InPost-groep je gegevens als eigen verwerkingsverantwoordelijke, dan geldt het privacybeleid van die onderneming.

3. Van Mondial Relay naar InPost Nederland

Wij zijn onze naam aan het veranderen. Tot voor kort waren wij in Nederland actief onder de naam Mondial Relay. In de loop van 2026 stappen wij stap voor stap over op de naam InPost. Vanaf januari 2027 opereren wij volledig als InPost Nederland.

Wat dit betekent voor je gegevens:

• Alleen de naam verandert. InPost is een handelsnaam van Mondial Relay S.A.S. De verwerkingsverantwoordelijke blijft dezelfde juridische entiteit, met hetzelfde KvK-nummer. Je gegevens worden door de naamswijziging niet aan een andere partij overgedragen.
• Dezelfde afspraken. Doeleinden, grondslagen, bewaartermijnen en beveiligingsmaatregelen veranderen niet door de naamswijziging.
• Je toestemming blijft geldig. Toestemming die je eerder aan Mondial Relay hebt gegeven — bijvoorbeeld voor cookies of e-mailcommunicatie — blijft gelden voor InPost Nederland. Je kunt die toestemming altijd intrekken.
• Oudere documenten. Kom je in e-mails, contracten of op pagina's nog de naam Mondial Relay tegen? Dan gaat het om dezelfde organisatie.
• Als de juridische entiteit tóch wijzigt. Gaan onze Nederlandse activiteiten in de toekomst over naar een andere juridische entiteit binnen de InPost-groep, dan informeren wij je daarover vooraf via onze website en — waar dat nodig is — per e-mail. In dat geval leggen wij vast dat de nieuwe entiteit dit privacybeleid en de gemaakte afspraken respecteert.

4. Wanneer is dit privacybeleid van toepassing?

Dit privacybeleid is op jou van toepassing als je:

• onze website bezoekt, waaronder inpost.nl, inclusief alle pagina's, landingspagina's en mobiele apps (hierna tezamen: websites);
• een formulier op onze website invult, een voorstel of brochure aanvraagt, een terugbelverzoek doet of een afspraak inplant;
• eigenaar, huurder, beheerder of contactpersoon bent van een locatie die interessant kan zijn voor een pakketautomaat (hierna ook: locatiepartner of kandidaat-locatie);
• locatiepartner bent bij wie een pakketautomaat of PUDO-punt staat, of contactpersoon bent van die partner;
• klant of opdrachtgever bent van InPost, of contactpersoon bent van die klant of opdrachtgever (hierna tezamen ook: partners);
• ontvanger of verzender bent van een pakket dat via InPost wordt bezorgd of verstuurd via een APM of PUDO-punt;
• leverancier of dienstverlener bent van InPost, of contactpersoon bent van die leverancier;
• gebruikmaakt van onze sociale mediakanalen of reageert op onze advertenties;
• e-mails, nieuwsbrieven of andere berichten van ons ontvangt of naar ons verstuurt;
• (anderszins) contact met ons opneemt, bijvoorbeeld telefonisch, per e-mail, via een chatfunctie of via een formulier.

5. Waar komen je gegevens vandaan?

Wij verkrijgen je gegevens op vier manieren.

Direct van jou

Bijvoorbeeld wanneer je een formulier invult, ons belt of mailt, een afspraak maakt, een brochure downloadt of een overeenkomst met ons sluit. Sommige velden in onze formulieren zijn verplicht; dit geven wij aan met een sterretje of vergelijkbaar teken. Vul je die niet in, dan kunnen wij je aanvraag niet in behandeling nemen. Optionele velden helpen ons om je beter en sneller te helpen.

Automatisch, wanneer je onze website gebruikt

Via cookies en vergelijkbare technieken verzamelen wij gegevens over je bezoek. Zie paragraaf 9.

Via je organisatie of via derden met wie jij een relatie hebt

Bijvoorbeeld van je werkgever of opdrachtgever, van een franchiseorganisatie, van een vastgoedbeheerder of van een verzender die ons opdracht geeft een pakket bij je te bezorgen. Voor zover die partij zelf verwerkingsverantwoordelijke is voor de verwerkingen binnen jouw relatie met hen, zijn wij daarvoor niet verantwoordelijk. Wij zijn wél verantwoordelijk voor wat wij vervolgens met die gegevens doen.

Uit openbare en zakelijke bronnen

Voor het vinden van geschikte locaties voor pakketautomaten gebruiken wij ook zakelijke gegevens uit bronnen die wij niet van jou zelf hebben ontvangen. Het gaat om:

• het Handelsregister van de Kamer van Koophandel;
• openbare bedrijfswebsites, waaronder contact- en teampagina's;
• openbare zakelijke profielen op professionele netwerken, zoals LinkedIn;
• openbare kaart-, adres- en locatiebronnen, zoals de Basisregistratie Adressen en Gebouwen (BAG), PDOK, OpenStreetMap en kaartdiensten;
• openbare bekendmakingen en registers, bijvoorbeeld publicaties over omgevingsvergunningen;
• gespecialiseerde leveranciers van zakelijke bedrijfs- en contactinformatie, die verklaren dat zij deze gegevens rechtmatig hebben verzameld;
• doorverwijzingen en introducties van franchiseorganisaties, brancheorganisaties, vastgoedpartijen, bestaande partners en installatiepartners.

Wij gebruiken deze gegevens uitsluitend om zakelijke contactpersonen te benaderen over het plaatsen van een pakketautomaat. Wij zoeken hierbij niet naar gegevens uit je privésfeer. Hebben wij je gegevens niet van jou zelf gekregen? Dan vertellen wij je bij het eerste contact — of uiterlijk binnen een maand — waar wij je gegevens vandaan hebben en wat wij ermee doen. Je kunt dat ook altijd bij ons opvragen.

6. Welke gegevens verwerken wij van jou?

Wij verzamelen niet meer gegevens dan nodig is voor het doel waarvoor wij ze gebruiken. Welke gegevens wij precies verwerken, hangt af van je rol en van de manier waarop je contact met ons hebt. Op zichzelf zijn niet al deze gegevens persoonsgegevens, maar in combinatie met andere informatie kunnen ze dat wel zijn.

• Zakelijke contactgegevens: naam, functie, bedrijfsnaam, zakelijk e-mailadres, zakelijk telefoonnummer, vestigings- en postadres, KvK-nummer, btw-nummer en website.
• Contactgegevens van particulieren (bij bezorging): naam, adres, e-mailadres en telefoonnummer. Naam en adres van de geadresseerde staan op het verzendlabel.
• Gegevens over een kandidaat-locatie: adres en type pand, oppervlakte en beschikbare ruimte, bereikbaarheid, parkeer- en stroomvoorziening, openingstijden, indicatie van bezoekersaantallen, eigendom- of huursituatie, foto's en schetsen van de locatie en de contactpersoon voor de plaatsing.
• Gegevens uit contact- en aanvraagformulieren: de inhoud van je aanvraag of vraag, het gekozen onderwerp, je voorkeur voor een terugbelmoment en eventuele bijlagen die je uploadt.
• Communicatiegegevens: e-mails, berichten via chat of WhatsApp, aantekeningen van telefoongesprekken en gespreksverslagen. Nemen wij een (online) gesprek op, dan zeggen wij dat vooraf en vragen wij daar toestemming voor.
• Gegevens over de commerciële relatie (CRM): de status en fase van je aanvraag, aantekeningen van accountmanagers, gemaakte afspraken, verstuurde voorstellen en getekende intentieverklaringen of overeenkomsten.
• Contract- en financiële gegevens: gegevens uit de overeenkomst, bankrekeningnummer, betalingsstatus, facturen en vergoedingen.
• Accountgegevens: inloggegevens, waaronder je e-mailadres, en overige informatie die je in je account invult.
• Gegevens over verzendingen: volgnummer, routeinformatie, status en locatie van een zending, afleverlocatie, verpakkingstype, aantal stuks, gewicht, foto van het pakket en foto van de afleverlocatie.
• Automatisch gegenereerde gegevens: IP-adres, apparaat- en gebruikers-ID, browser- en systeemtype, taalinstelling, schermformaat, datum- en tijdstempels, de verwijzende website, de pagina's die je bekijkt, kliks, scrollgedrag, downloads en formulierinteracties.
• Marketing- en advertentie-identificatoren: cookie-ID's, advertentie- en click-ID's (zoals gclid, gbraid, wbraid, fbclid en li_fat_id), UTM-parameters en campagne-, advertentiegroep- en advertentie-ID's. In sommige gevallen gebruiken wij een versleutelde (gehashte) weergave van je e-mailadres of telefoonnummer om conversies te kunnen meten.
• Conversie- en interactiegegevens: welke formulieren je invult, welke brochures je downloadt, welke afspraken je inplant, of je onze e-mails opent en op welke links je klikt.
• Gegevens uit sessieopnames en heatmaps: geanonimiseerde weergaven van muisbewegingen, kliks en scrollgedrag. Invoervelden waarin persoonsgegevens kunnen staan, worden hierbij standaard gemaskeerd.
• Voorkeuren en toestemmingen: je cookievoorkeuren, je aan- en afmeldingen voor commerciële communicatie en het bewijs daarvan (zoals tijdstip en gemaakte keuze).
• Beelden van videocameratoezicht bij pakketautomaten: beelden van camera's die om veiligheidsredenen bij of in de omgeving van pakketautomaten kunnen zijn geplaatst, om de veiligheid van personen en goederen te waarborgen en klachten over zendingen te kunnen onderzoeken. Deze beelden koppelen wij niet aan je account of aan je overige klantgegevens.

Wij verwerken geen bijzondere persoonsgegevens (zoals gegevens over gezondheid, religie, politieke voorkeur of etnische achtergrond) en vragen daar ook niet naar. Wij verwerken geen burgerservicenummer, tenzij een wettelijke verplichting daartoe verplicht.

7. Voor welke doeleinden en op welke grondslagen verwerken wij je gegevens?

Wij verwerken je gegevens alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden, en alleen als wij daarvoor een grondslag hebben in de AVG. In onderstaande tabel staat per doel welke grondslag wij gebruiken. De bewaartermijnen staan in paragraaf 13.

Beroepen wij ons op een gerechtvaardigd belang? Dan wegen wij eerst onze belangen af tegen jouw belangen, rechten en vrijheden. Wij kijken daarbij of wij hetzelfde doel kunnen bereiken met minder gegevens of op een minder ingrijpende manier. Deze afweging leggen wij vast en je kunt er een samenvatting van opvragen via [email protected]. Is voor een verwerking toestemming nodig, dan vragen wij die vooraf en kun je die altijd intrekken.

8. Leadgeneratie en zakelijke communicatie

Deze website is gericht op het vinden van locaties voor pakketautomaten. Daarom leggen wij hier apart uit hoe wij met zakelijke contactgegevens omgaan.

Waarom wij je benaderen

Wij benaderen ondernemers, vastgoedeigenaren, beheerders en franchisenemers met een zakelijk voorstel: het plaatsen van een InPost-pakketautomaat op hun locatie. Wij richten ons daarbij uitsluitend tot jou in je zakelijke rol en gebruiken zakelijke contactgegevens — niet je privégegevens.

Onze grondslag en afweging

Voor deze benadering beroepen wij ons op ons gerechtvaardigd belang (artikel 6 lid 1 sub f AVG). Wij hebben die afweging vastgelegd en houden ons aan de volgende uitgangspunten:

• wij gebruiken alleen zakelijke contactgegevens en beperken die tot naam, functie, organisatie, zakelijk e-mailadres en zakelijk telefoonnummer;
• wij benaderen je over een onderwerp dat direct verband houdt met je bedrijfsactiviteit of je pand;
• wij vertellen je bij het eerste contact wie wij zijn, waarom wij contact opnemen en waar wij je gegevens vandaan hebben;
• wij maken het je makkelijk om aan te geven dat je geen contact meer wil, en respecteren dat direct;
• wij benaderen je niet onbeperkt: reageer je niet, dan stoppen wij na een beperkt aantal berichten.

Commerciële e-mail

Voor commerciële e-mail geldt in Nederland artikel 11.7 van de Telecommunicatiewet. Wij versturen commerciële e-mail:

• aan zakelijke contactpersonen van organisaties, op basis van ons gerechtvaardigd belang;
• aan partners en relaties met wie wij al een relatie hebben, over onze eigen, vergelijkbare diensten;
• in alle andere gevallen alleen als je ons daarvoor toestemming hebt gegeven, bijvoorbeeld door je aan te melden voor onze nieuwsbrief.

In elk commercieel bericht staat wie de afzender is en hoe je je kunt afmelden. Afmelden is gratis, vraagt geen uitleg en werkt direct. Meld je je af of maak je bezwaar, dan plaatsen wij je gegevens op een afmeldlijst. Die lijst gebruiken wij uitsluitend om te voorkomen dat je opnieuw wordt benaderd; wij bewaren die daarom langer dan je overige gegevens.

Telefonisch contact

Wij kunnen je zakelijk bellen over een mogelijke locatie, ook via een callcenter of telemarketingbureau dat in onze opdracht werkt. Vraag je ons om je niet meer te bellen, dan leggen wij dat vast en respecteren wij dat. Bij zakelijke telefonische benadering geldt het Bel-me-niet-register niet, maar wij houden onze eigen interne blokkeerlijst bij.

Wat wij niet doen

• Wij verkopen of verhuren je gegevens niet aan derden voor hun eigen marketing.
• Wij gebruiken deze website niet voor consumentenmarketing.
• Wij nemen geen uitsluitend geautomatiseerde besluiten die voor je rechtsgevolgen of vergelijkbare aanmerkelijke gevolgen hebben. Zie paragraaf 16.

9. Cookies, tracking en toestemming (Consent Mode v2)

Wij gebruiken cookies en vergelijkbare technieken op onze websites, zoals pixels, tracking-scripts, web beacons en local storage. In dit privacybeleid noemen wij die samen 'cookies'. Een uitgebreid en actueel overzicht per cookie staat in onze Cookieverklaring op inpost.nl.nl/cookieverklaring.

Categorieën

• Noodzakelijke cookies. Nodig om de website te laten werken en te beveiligen, en om je cookiekeuze te onthouden. Hiervoor is geen toestemming nodig.
• Voorkeurscookies. Onthouden je instellingen, zoals taal of ingevulde velden.
• Statistiekcookies. Meten hoe onze website wordt gebruikt, zodat wij die kunnen verbeteren. Hieronder vallen ook heatmaps en sessieopnames.
• Marketingcookies. Meten het effect van onze advertenties en maken het mogelijk je relevante advertenties te tonen op andere websites en platforms (remarketing).

Hoe wij toestemming vragen

Voor alle niet-noodzakelijke cookies vragen wij vooraf je toestemming via onze cookiebanner ([NAAM CMP INVULLEN]). Daarbij geldt:

• tot je een keuze maakt, plaatsen of lezen wij geen niet-noodzakelijke cookies en sturen wij geen gegevens naar analyse- of advertentiepartners;
• weigeren is net zo eenvoudig en net zo prominent als accepteren; wij gebruiken geen vooraf aangevinkte vakjes en geen cookiewall;
• je kunt per categorie kiezen;
• je kunt je keuze op elk moment aanpassen of intrekken via de link 'Cookievoorkeuren' onderaan elke pagina;
• wij leggen vast welke keuze je hebt gemaakt en wanneer, zodat wij dat kunnen aantonen.

Google Consent Mode v2

Wij gebruiken Google Tag Manager en Google Consent Mode v2. Dat betekent dat wij jouw keuze uit de cookiebanner doorgeven aan de tags op onze website, via vier signalen: analytics_storage, ad_storage, ad_user_data en ad_personalization. Geef je geen toestemming, dan:

• plaatsen of lezen wij geen cookies of advertentie-identificatoren op je apparaat;
• ontvangt Google alleen een geanonimiseerd signaal zonder identificatoren (een zogenoemde cookieloze ping), met bijvoorbeeld het tijdstip, het land en of je een keuze hebt gemaakt;
• kan Google op basis van geaggregeerde gegevens een statistische schatting maken van het aantal bezoekers en conversies (modellering). Zulke schattingen zijn niet tot jou als persoon te herleiden.

Welke diensten wij gebruiken

Server-side verwerking verandert niets aan je keuze. Ook wanneer wij gegevens eerst op onze eigen server verwerken, sturen wij pas gegevens naar analyse- of advertentiepartners nadat je daarvoor toestemming hebt gegeven. Voegen wij een nieuwe dienst toe die cookies plaatst, dan passen wij eerst onze Cookieverklaring en de banner aan en vragen wij opnieuw je keuze.

10. Ingesloten content, kaarten en sociale media

Op onze website kunnen wij content van andere partijen insluiten, bijvoorbeeld:

• kaarten van een kaartdienst, om te laten zien waar onze pakketautomaten staan;
• video's, waarbij wij waar mogelijk de privacyvriendelijke modus gebruiken (youtube-nocookie.com);
• formulieren, agenda's of planningstools waarmee je een afspraak kunt inplannen;
• knoppen, feeds of berichten van sociale netwerken.

Deze partijen kunnen je IP-adres ontvangen en cookies plaatsen zodra de content wordt geladen. Daarom laden wij ingesloten content van derden pas nadat je daarvoor toestemming hebt gegeven, of tonen wij eerst een tussenscherm waarop je zelf kiest of je de content wilt laden.

Sociale media

Bezoek je onze pagina op LinkedIn, Facebook of Instagram, of reageer je op onze advertentie daar, dan verzamelt het platform gegevens over dat bezoek. Voor de statistieken die wij van deze platforms over onze pagina ontvangen, zijn wij samen met het platform verwerkingsverantwoordelijk. Voor de verdere verwerking door het platform zelf is het platform verantwoordelijk; lees daarvoor hun eigen privacybeleid. Vul je een advertentieformulier (lead form) in op zo'n platform, dan ontvangen wij de gegevens die je daar invult en gebruiken wij die om je aanvraag te behandelen.

Externe links

Onze website bevat links naar websites van derden. Wij zijn niet verantwoordelijk voor de inhoud van die websites of voor de manier waarop zij met je gegevens omgaan.

11. Met wie delen wij je gegevens?

Wij delen je gegevens niet, tenzij een van de volgende situaties van toepassing is. Binnen onze organisatie hebben alleen medewerkers toegang die de gegevens nodig hebben voor hun werk; zij zijn tot geheimhouding verplicht.

• Met aan ons gelieerde ondernemingen binnen de InPost-groep, voor de doeleinden die in dit privacybeleid staan, bijvoorbeeld voor gezamenlijke IT-systemen, netwerkplanning en rapportages.
• Met verwerkers die in onze opdracht gegevens verwerken. Het gaat om de volgende categorieën:
  • IT-, hosting- en clouddienstverleners, inclusief de partij die onze website host en beheert;
  • onze CRM-leverancier, waarin wij aanvragen en relaties vastleggen (op dit moment Pipedrive);
  • platforms voor e-mailverzending, marketingautomatisering en formulieren;
  • partijen voor tagbeheer, webanalyse, sessieopnames en advertenties (zie paragraaf 9);
  • leveranciers van zakelijke bedrijfsinformatie en gegevensverrijking;
  • callcenters en telemarketingbureaus die in onze opdracht afspraken maken;
  • marketing-, media- en communicatiebureaus;
  • leveranciers van AI-diensten (zie paragraaf 16);
  • partijen die pakketautomaten plaatsen, onderhouden en beheren, en vervoerders;
  • partijen die betalingen, facturatie en administratie verwerken.

Met al deze partijen sluiten wij een verwerkersovereenkomst. Zij mogen je gegevens alleen gebruiken volgens onze instructies en voor de doeleinden die wij vaststellen, en moeten passende technische en organisatorische maatregelen nemen.

• Met partijen die zelf verwerkingsverantwoordelijk zijn, zoals advertentieplatforms en sociale netwerken voor hun eigen verwerkingen, andere postverwerkers en pakketbezorgers, en verzenders. Zij moeten zich zelf aan de privacywetgeving houden; wij verwijzen naar hun privacybeleid.
• Met externe adviseurs, zoals accountants, advocaten, notarissen en verzekeraars, voor zover dat nodig is.
• Met toezichthouders, rechterlijke instanties en andere bevoegde overheidsinstanties, als en voor zover de wet, een gerechtelijk bevel of een andere juridische procedure dat vereist, of om onze rechten vast te stellen, uit te oefenen of te verdedigen.
• In verband met een zakelijke transactie, zoals een afsplitsing, fusie, consolidatie, overname of verkoop van activa, of in geval van faillissement. Wij zorgen er in dat geval voor dat de ontvangende partij je gegevens minstens even goed beschermt.

Wij verkopen je gegevens niet en verhuren ze niet aan derden voor hun eigen marketingdoeleinden. Wil je een actueel overzicht van de partijen die wij inschakelen? Vraag dat op via [email protected].

12. Doorgifte van gegevens buiten de EER

Sommige van onze dienstverleners — vooral op het gebied van analyse, advertenties, CRM en AI — verwerken gegevens buiten de Europese Economische Ruimte (EER), meestal in de Verenigde Staten. De hoofdregel is dat doorgifte alleen mag als het betreffende land een passend beschermingsniveau biedt of als wij passende waarborgen treffen. Wij gebruiken de volgende waarborgen:

• Adequaatheidsbesluit. Heeft de Europese Commissie besloten dat een land een passend beschermingsniveau biedt, dan mogen wij daarheen doorgeven.
• EU-VS Data Privacy Framework. Voor doorgifte naar de Verenigde Staten werken wij bij voorkeur met bedrijven die zijn gecertificeerd onder het EU-VS Data Privacy Framework. Dit raamwerk is gebaseerd op een adequaatheidsbesluit van de Europese Commissie uit 2023. Dat besluit is in september 2025 door het Gerecht van de Europese Unie in stand gelaten; tegen die uitspraak loopt nog hoger beroep bij het Hof van Justitie.
• Modelcontracten (standaardcontractbepalingen). Is een partij niet gecertificeerd, of vervalt een adequaatheidsbesluit, dan sluiten wij standaardcontractbepalingen die door de Europese Commissie zijn goedgekeurd. Wij hebben deze bepalingen waar mogelijk al aanvullend afgesloten, zodat doorgifte ook doorgang kan vinden als het Data Privacy Framework zou wegvallen.
• Aanvullende maatregelen en toetsing. Bij doorgifte op basis van modelcontracten beoordelen wij per geval of aanvullende maatregelen nodig zijn (een zogenoemde transfer impact assessment). Denk aan versleuteling, pseudonimisering, dataminimalisatie, hosting in de EER en afspraken over het omgaan met verzoeken van buitenlandse overheden.
• Wettelijke uitzonderingen. Zijn er geen passende waarborgen mogelijk, dan geven wij alleen door als een wettelijke uitzondering van toepassing is, bijvoorbeeld je uitdrukkelijke toestemming of noodzaak voor de uitvoering van de overeenkomst.

Wil je weten welke waarborgen wij voor een specifieke doorgifte gebruiken, of wil je een kopie daarvan ontvangen? Vraag dat op via [email protected].

13. Hoe lang bewaren wij je gegevens?

Wij bewaren je gegevens niet langer dan nodig is voor het doel waarvoor wij ze verwerken. Daarna verwijderen of anonimiseren wij ze, tenzij wij ze langer moeten bewaren op grond van een wettelijke verplichting of om onze rechten te kunnen verdedigen. In dat geval beperken wij de toegang tot dat specifieke doel. Onderstaande termijnen zijn onze uitgangspunten.

Wij controleren periodiek of gegevens nog nodig zijn en verwijderen ze automatisch waar dat kan.

14. Hoe beveiligen wij je gegevens?

Wij nemen passende technische en organisatorische maatregelen om je gegevens te beschermen tegen verlies en tegen onbevoegde of onrechtmatige verwerking. Die maatregelen zorgen ervoor dat:

• je gegevens zijn beveiligd tegen toegang door onbevoegden;
• je gegevens vertrouwelijk blijven;
• de integriteit en beschikbaarheid van je gegevens behouden blijven;
• relevant personeel is opgeleid in de eisen voor informatiebeveiliging.

Concreet betekent dit onder meer:

• toegang op basis van need-to-know, met persoonlijke accounts, rollen en rechten;
• meervoudige verificatie (MFA) op onze zakelijke systemen;
• versleuteling van gegevens tijdens verzending en, waar passend, bij opslag;
• logging, monitoring, back-ups en herstelprocedures;
• periodieke beveiligingstests, waaronder penetratietests, en het tijdig doorvoeren van updates;
• geheimhoudingsplicht en interne gedragsregels voor medewerkers, en een intern beleid voor goed gebruik van onze IT-systemen;
• verwerkersovereenkomsten met onze leveranciers en een controle of zij voldoende garanties bieden.

Wij beveiligen onze systemen en applicaties volgens geldende standaarden voor informatiebeveiliging, zoals Control Objectives for Information and related Technology (CobiT) en de Standard of Good Practice for Information Security (ISF).

Heb je een account bij ons? Dan blijf je zelf verantwoordelijk voor het beschermen van je inloggegevens en wachtwoord. Deel die niet met anderen. Vermoed je dat iemand anders toegang heeft tot je account, laat het ons dan direct weten.

15. Datalekken

Ondanks onze maatregelen kan er een datalek ontstaan. Merken wij dat, dan onderzoeken wij wat er is gebeurd en nemen wij maatregelen om de gevolgen te beperken en herhaling te voorkomen. Levert het datalek een risico op voor jouw rechten en vrijheden, dan melden wij het binnen 72 uur bij de Autoriteit Persoonsgegevens. Is het risico hoog, dan informeren wij jou zo snel mogelijk, zodat je zelf maatregelen kunt nemen — bijvoorbeeld het wijzigen van een wachtwoord. Wij houden een intern register bij van alle datalekken.

16. Gebruik van AI en geautomatiseerde besluitvorming

Wij gebruiken hulpmiddelen met kunstmatige intelligentie (AI) om ons werk te ondersteunen, bijvoorbeeld voor:

• het opstellen en verbeteren van teksten voor onze website, advertenties en e-mails;
• het samenvatten, vertalen en categoriseren van inkomende berichten;
• het beoordelen en prioriteren van aanvragen en mogelijke locaties (leadkwalificatie en -scoring);
• het optimaliseren van interne processen, zoals plannen, rapporteren en het opschonen van gegevens;
• het beantwoorden van veelgestelde vragen via een chatfunctie.

Wij hanteren daarbij de volgende uitgangspunten:

• Menselijke controle. De uitkomst van een AI-tool is een hulpmiddel, geen eindoordeel. Een medewerker beoordeelt en beslist.
• Geen besluiten met rechtsgevolgen. Wij nemen geen uitsluitend geautomatiseerde besluiten die voor jou rechtsgevolgen of vergelijkbare aanmerkelijke gevolgen hebben (artikel 22 AVG). Of wij met jou in gesprek gaan over een pakketautomaat, en of wij een overeenkomst aangaan, beslist altijd een mens. Ben je het niet eens met een uitkomst waarbij een AI-tool is gebruikt? Neem dan contact met ons op; wij kijken er opnieuw naar.
• Zo min mogelijk gegevens. Wij voeren zo min mogelijk persoonsgegevens in AI-tools in en gebruiken waar mogelijk geanonimiseerde of geaggregeerde gegevens.
• Geen training van modellen met jouw gegevens. Wij gebruiken alleen zakelijke AI-diensten waarbij contractueel is vastgelegd dat onze gegevens niet worden gebruikt om de modellen van de leverancier te trainen.
• Contracten en doorgifte. Met AI-leveranciers sluiten wij verwerkersovereenkomsten. Vindt verwerking buiten de EER plaats, dan gelden de waarborgen uit paragraaf 12.
• Duidelijkheid over AI. Praat je met een chatfunctie die door AI wordt aangedreven, dan maken wij dat kenbaar vóór of bij het begin van het gesprek. Dit sluit aan bij artikel 50 van de Europese AI-verordening, dat vanaf 2 augustus 2026 van toepassing is. Content die grotendeels door AI is gegenereerd, markeren wij waar de wet dat vraagt.

Profilering voor marketing

Wij kunnen je gedrag op onze website en in onze e-mails gebruiken om onze communicatie relevanter te maken — bijvoorbeeld door te kijken welke pagina's je hebt bekeken of welke brochure je hebt gedownload. Dat doen wij op basis van je toestemming voor marketing- of statistiekcookies, of op basis van ons gerechtvaardigd belang bij een bestaande zakelijke relatie. Je kunt hiertegen op elk moment bezwaar maken; wij stoppen dan met deze profilering.

17. Kinderen

Onze website en diensten zijn gericht op zakelijke relaties en niet op kinderen. Wij verzamelen niet bewust gegevens van personen jonger dan 16 jaar en richten onze advertenties niet op hen. Denk je dat wij zonder de vereiste toestemming gegevens van een kind hebben verwerkt? Neem dan contact met ons op via [email protected]. Wij verwijderen die gegevens dan.

18. Welke rechten kun je uitoefenen?

Op grond van de AVG heb je een aantal rechten. Soms hoeven wij niet (volledig) aan je verzoek te voldoen, omdat een recht voorwaardelijk is of omdat wij je rechten moeten afwegen tegen onze verplichtingen en tegen de rechten en vrijheden van anderen. Wij leggen altijd uit waarom.

• Recht op inzage. Je hebt recht op een kopie van de gegevens die wij van je verwerken en op informatie over hoe wij die gebruiken. Wij verstrekken die doorgaans digitaal.
• Recht op rectificatie. Zijn je gegevens onjuist of onvolledig? Dan kun je ons vragen die aan te passen of aan te vullen.
• Recht op verwijdering. Je kunt ons vragen je gegevens te verwijderen, bijvoorbeeld als wij ze niet meer nodig hebben voor het oorspronkelijke doel of als je je toestemming intrekt. Wij kunnen niet altijd aan dit verzoek voldoen, bijvoorbeeld vanwege een wettelijke bewaarplicht.
• Recht op beperking van de verwerking. Je kunt ons vragen je gegevens (tijdelijk) niet verder te verwerken, bijvoorbeeld als je vermoedt dat ze niet juist zijn.
• Recht op gegevensoverdraagbaarheid. Je kunt ons vragen gegevens die je zelf aan ons hebt verstrekt in een gangbaar digitaal formaat aan jou of aan een andere partij over te dragen. Dit geldt voor gegevens die wij geautomatiseerd verwerken op basis van je toestemming of ter uitvoering van een overeenkomst met je.
• Recht van bezwaar. Je kunt bezwaar maken tegen verwerkingen die wij baseren op een gerechtvaardigd belang. Gaat het om direct marketing — waaronder onze zakelijke acquisitie, e-mailcampagnes en profilering voor marketing — dan stoppen wij altijd en direct. Voor andere doeleinden wegen wij je specifieke situatie af tegen onze belangen. Mogelijk kunnen wij bepaalde diensten dan niet meer leveren.
• Recht om je toestemming in te trekken. Heb je ons toestemming gegeven, dan kun je die op elk moment intrekken, bijvoorbeeld via de link 'Cookievoorkeuren' of de afmeldlink in onze e-mails. Wij stoppen de verwerking dan zo snel mogelijk. Het intrekken heeft geen gevolgen voor de rechtmatigheid van de verwerking daarvóór.
• Rechten bij geautomatiseerde besluitvorming. Je hebt het recht niet te worden onderworpen aan een uitsluitend geautomatiseerd besluit met rechtsgevolgen of vergelijkbare aanmerkelijke gevolgen. Zoals in paragraaf 16 staat, nemen wij dergelijke besluiten niet.

Hoe oefen je je rechten uit?

Stuur je verzoek naar [email protected] of per post naar InPost Nederland, t.a.v. Legal & Privacy, Laanakkerweg 14, 4131 PB Vianen. Wij reageren binnen één maand. Is je verzoek complex of ontvangen wij meerdere verzoeken, dan kunnen wij die termijn met maximaal twee maanden verlengen; wij laten je dat dan binnen één maand weten. Het uitoefenen van je rechten is gratis. Twijfelen wij aan je identiteit, dan kunnen wij aanvullende informatie vragen om te controleren of het verzoek van jou komt. Wij vragen daarbij niet meer gegevens dan nodig is en verzoeken je gevoelige gegevens op een kopie van een identiteitsbewijs af te schermen.

19. Vragen of klachten

Heb je vragen of een klacht over dit privacybeleid of over de manier waarop wij met je gegevens omgaan? Neem dan contact met ons op via [email protected] of met onze functionaris voor de gegevensbescherming via [E-MAIL FG]. Wij nemen je vraag of klacht zo snel mogelijk in behandeling en informeren je over de uitkomst.

Ben je niet tevreden met de manier waarop wij je klacht hebben behandeld? Dan kun je een klacht indienen bij de toezichthouder. In Nederland is dat de Autoriteit Persoonsgegevens:

Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag — telefoon 088 – 1805 250 — autoriteitpersoonsgegevens.nl

Woon je in een ander land van de EER, dan kun je ook terecht bij de toezichthouder in jouw land. Daarnaast heb je altijd het recht om naar de rechter te stappen.

20. Wijzigingen en versiebeheer

Wij kunnen dit privacybeleid van tijd tot tijd wijzigen, bijvoorbeeld door nieuwe wetgeving, nieuwe diensten of nieuwe technische keuzes. Het meest actuele privacybeleid vind je altijd op inpost.nl/privacybeleid. Wij raden je aan het beleid regelmatig te bekijken.

Bij een wezenlijke wijziging — bijvoorbeeld een nieuw doel, een nieuwe grondslag of een nieuwe categorie ontvangers — informeren wij je actief via onze website en, waar dat nodig is, per e-mail. Is voor de nieuwe verwerking toestemming nodig, dan vragen wij die opnieuw. Eerdere versies bewaren wij en kun je bij ons opvragen.

21. Begrippenlijst

Hieronder leggen wij enkele begrippen uit die in dit privacybeleid worden gebruikt. Enkelvoud, meervoud en vervoegingen kunnen door elkaar worden gebruikt.

Anonimiseren Een onomkeerbaar proces waardoor gegevens niet meer naar een persoon herleidbaar zijn. 'Betrokkenen' zijn de natuurlijke personen van wie gegevens worden verwerkt.

APM Automated Parcel Machine: een automatische pakketkluis of pakketautomaat.

AVG De Algemene verordening gegevensbescherming, Verordening (EU) 2016/679. In het Engels: GDPR.

Consent Mode Een techniek van Google waarmee jouw cookiekeuze als signaal wordt doorgegeven aan de tags op onze website, zodat die zich naar die keuze gedragen.

Conversie-API Een manier om conversies (zoals een ingevuld formulier) van server naar server aan een advertentieplatform door te geven, in plaats van via je browser.

Cookies Kleine tekstbestanden die bij een bezoek aan onze website op je apparaat worden geplaatst of uitgelezen. Wij gebruiken de term ook voor vergelijkbare technieken zoals pixels, web beacons, scripts en local storage.

Datalek Een inbreuk op de beveiliging die per ongeluk of onrechtmatig leidt tot vernietiging, verlies, wijziging, of ongeoorloofde verstrekking van of toegang tot gegevens.

EER De Europese Economische Ruimte: de EU-landen plus IJsland, Liechtenstein en Noorwegen.

Gegevens Persoonsgegevens: alle informatie die direct of indirect te herleiden is naar een persoon. Bijvoorbeeld naam, e-mailadres, telefoonnummer, IP-adres, cookie-ID's en gegevens over gedrag.

Gerechtvaardigd belang De grondslag waarbij verwerking noodzakelijk is voor een gerechtvaardigd belang van ons of van een derde, tenzij jouw belangen, grondrechten en vrijheden zwaarder wegen. Wij voeren daarvoor altijd eerst een afweging uit.

Grondslag De wettelijke basis die het is toegestaan maakt om gegevens te verwerken. Voor ons zijn dat vooral: uitvoering van de overeenkomst, wettelijke verplichting, gerechtvaardigd belang en toestemming.

Lead Een organisatie of zakelijke contactpersoon die mogelijk interesse heeft in het plaatsen van een pakketautomaat.

Locatiepartner Een ondernemer, eigenaar of beheerder bij wie een pakketautomaat of PUDO-punt staat of kan komen te staan.

Profilering Het geautomatiseerd verwerken van gegevens om iets te voorspellen of te beoordelen, bijvoorbeeld welke informatie voor jou relevant is.

Pseudonimiseren Gegevens zo bewerken dat ze niet meer direct naar een persoon te herleiden zijn zonder aanvullende informatie. Anders dan bij anonimiseren blijft het herleiden in principe mogelijk.

PUDO-punt Een pick up & drop off-punt: een winkel of ander punt waar pakketten kunnen worden afgegeven of opgehaald.

Server-side tracking Het verwerken van website- en conversiegegevens op een server onder ons beheer, in plaats van direct in je browser.

Toestemming Een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee je met een verklaring of duidelijke actieve handeling instemt met een verwerking.

Verwerken Alles wat met gegevens kan worden gedaan: verzamelen, vastleggen, ordenen, opslaan, wijzigen, opvragen, inzien, gebruiken, delen, verstrekken en verwijderen.

Verwerker Een organisatie die in onze opdracht en volgens onze instructies gegevens verwerkt.

Verwerkersovereenkomst De overeenkomst waarin wij met een verwerker vastleggen wat die met de gegevens mag doen en welke beveiligingsmaatregelen gelden.

Verwerkingsverantwoordelijke De organisatie die het doel en de middelen van een verwerking bepaalt. In dit privacybeleid zijn wij dat, tenzij anders vermeld.

Verwijderen Het wissen van gegevens zodat die niet direct en niet indirect kunnen worden teruggehaald.

---

© 2026 Mondial Relay S.A.S., h.o.d.n. InPost. Alle rechten voorbehouden.