Hoe komt bedrijf aan bedrijfsmail van mijn vrouw?

[agile_tester]

Mijn vraag:
Ik heb op 20-3, met mijn persoonlijke Amazon account LED-lampen besteld op amazon.de
Deze zijn van het merk Azhien en geleverd door Handa-EU

Hiervan kreeg ik van amazon (zoals altijd) direct een order confirmation gemailed en een paar uur later de bevestiging dat mijn order is dispatched.
Niks vreemds tot nu toe

Ruim een dag later op 21-3 krijgt mijn vrouw op haar zakelijke mail adres (bedrijf aan huis) een 'after sales' mail van Azhien, die gericht is aan mij!
Mijn naam en bestelde product worden genoemd in de subject.
In de de body van de mail staat mijn huis adres.

Ik snap er helemaal niets van...
Het enige wat ik mij kan bedenken is dat er in 1 of andere db een match is gemaakt op huisadres, maar dat roept weer zoveel andere vragen op.

Hebben jullie ooit zoiets meegemaakt?
Of heeft iemand een verklaring hiervoor?
Ik ben erg benieuwd.

Oja, wat extra info:
- Ik heb precies hetzelfde product op 28-2 ook al eens besteld bij dezelfde verkoper
- Op 3 apr. heeft Azhien een product catalogus gemaild, wederom naar het zakelijke adres van mijn vrouw. Dit lijkt een normale pdf (alleen op een mac geopend)
- Azhien.com biedt de mogelijkheid om producten te registeren. Wij hebben middels de 'wachtwoord vergeten' optie gecontroleerd of het adres van mijn vrouw is gekoppeld aan een account. Dit is niet het geval

[ Voor 21% gewijzigd door agile_tester op 03-04-2019 23:11 ]

[Yorinn]

Gezien dit meer over e-mailbeveiliging gaat, dan over Shopping, geef ik het topic een schop richting Privacy & Beveiliging.

[Jazzy]

Waarom vraag je het niet aan het bedrijf dat de mail stuurt?

[CAPSLOCK2000]

Het lijkt me dat Amazon de meest waarschijnlijke bron is, die hebben het meeste inzicht in de situatie.

De meest simpele verklaring die ik kan bedenken is dat het e-mail-adres van je vrouw gekoppeld is aan jouw Amazon account. Dat zou ik als eerste nakijken.

De volgende onschuldige verklaring die ik kan bedenken is dat je vrouw op jouw computer was ingelogd bij Amazon toen je die bestelling deed. Je hebt braaf je eigen gegevens ingevuld maar het is via de account van je vrouw bestelt.

De derde verklaring is dat ze het inderdaad op adres hebben gekoppeld. Bijvoorbeeld via de database van de Kamer van Koophandel.

[agile_tester]

Waarom vraag je het niet aan het bedrijf dat de mail stuurt?

Hebben we al gedaan, nog geen antwoord ontvangen.

De meest simpele verklaring die ik kan bedenken is dat het e-mail-adres van je vrouw gekoppeld is aan jouw Amazon account. Dat zou ik als eerste nakijken.

Nee, dat is uitgesloten. Uiteraard heb ik dat voor de zekerheid gecontroleerd, maar in geen enkele amazon instelling komt haar adres voor.

De volgende onschuldige verklaring die ik kan bedenken is dat je vrouw op jouw computer was ingelogd bij Amazon toen je die bestelling deed. Je hebt braaf je eigen gegevens ingevuld maar het is via de account van je vrouw bestelt.

Nee, ik heb mijn eigen laptop gebruikt, met m'n eigen amazon account. de bevestiging van de bestelling kwam uiteraard ook binnen op mijn eigen persoonlijke e-mail adres. Noch mijn vrouw, noch haar bedrijf heeft trouwens een amazon account.

De derde verklaring is dat ze het inderdaad op adres hebben gekoppeld. Bijvoorbeeld via de database van de Kamer van Koophandel.

Daar dacht ik ook aan. Mag dat zomaar? Ik weet niet wat de Chinese wet hierover zegt. Wat kan ik hier tegen doen. Het vervelende is dat mijn vrouw in een VOF zit, die ook toegang hebben tot de algemene info box.
Voor hun kan het lijken alsof ik prive bestellingen zit te doen op naam van het bedrijf.

[Puc van S.]

Het is niet toevallig dat er (perongelijk) op jouw mailadres/client een forward rule ingesteld staat naar het emailadres van je vrouw?

[agile_tester]

Het is niet toevallig dat er (perongelijk) op jouw mailadres/client een forward rule ingesteld staat naar het emailadres van je vrouw?

Absoluut niet

[BernardV]

Is het emailadres van je vrouw te vinden op google als je zoekt op je adres?

[F_J_K]

Via Google vindbaar, via derde databases koppelbaar, of zoiets lijkt me onrealistisch. Niet dat het niet kan, maar er is geen reden toe als men al een werkend mailadres heeft. Grootste kans is toch het eens zelf te hebben opgegeven. Bij Amazon, of bijv. door een mail te sturen vanuit per ongeluk dat mailadres.

Maar inderdaad: vraag het aan Azhien, Handa-EU en Amazon op welke wijze dat mailadres bij hen bekend is geworden.

Edit: tenminste Amazon zal netjes de GDPR volgen (de andere twee kan je proberen). Je zou dus doe route kunnen nemen (en dan dus de vraag stellen door de vrouw, onder dat mailadres).

[ Voor 25% gewijzigd door F_J_K op 05-04-2019 13:48 . Reden: edit: gdpr kansen.. ]

[agile_tester]

Is het emailadres van je vrouw te vinden op google als je zoekt op je adres?

Zojuist even gechecked en dat is idd het geval.
De contactpagina van haar bedrijf verschijnt in de zoekresultaten, met het info mail adres als eerste adres.
En ik realiseer mij nu ook dat ik nooit eerder rechtstreeks door een amazon verkoper ben benaderd, dat gaat altijd via amazon. En ook dat zijn alleen verzoeken tot het schrijven van een review, geen sales mails.

Dit lijkt mij de meest plausibele verklaring en ik vind dit hondsbrutaal!
Ik ga hier melding van maken bij Amazon en hou jullie op de hoogte van de afhandeling.
Bedankt voor het meedenken allemaal.

...Grootste kans is toch het eens zelf te hebben opgegeven. Bij Amazon, of bijv. door een mail te sturen vanuit per ongeluk dat mailadres..

Uitgesloten

[Freee!!]

De verklaring is gevonden en het is inderdaad niet netjes. Als je nog geen contact hebt gehad met Azhien, maar dat wel van plan bent, is het mogelijk een goed idee om ze eventjes op GDPR te wijzen. In dit geval valt het nog mee met de schade van het datalek, maar het is er wel degelijk één. Gelukkig hebben jullie dit datalek snel ontdekt.

[Puc van S.]

Freee!! schreef op vrijdag 5 april 2019 @ 14:32:
Als je nog geen contact hebt gehad met Azhien, maar dat wel van plan bent, is het mogelijk een goed idee om ze eventjes op GDPR te wijzen. In dit geval valt het nog mee met de schade van het datalek, maar het is er wel degelijk één.

Hoe is dit een datalek? Een kennelijk publiekelijk vindbaar zakelijk algemeen e-mailadres?

quote: https://www.3to1.nl/tien-...ude-acquisitie-en-de-avg/

Koude acquisitie gericht op bedrijven is dus niet verboden? Nee, maar het hiervoor gebruiken van openbare bedrijfsgegevens is vaak wel verboden. Let er dus op dat:

Bij het telefonisch benaderen van een bedrijf, je het algemene telefoonnummer gebruikt en niet vraagt naar een specifieke persoon, als je geen toestemming hebt gekregen van die persoon om hem of haar te benaderen;
Bij het elektronisch (bijv. per e-mail) benaderen van een bedrijf je enkel gebruik maakt van een e-mailadres dat beschikbaar gesteld is voor acquisitie;
Bij het verkrijgen van persoonlijke contactgegevens je expliciet toestemming verkrijgt om deze (op een later tijdstip) te gebruiken voor acquisitie. Let op dat je achteraf moet kunnen bewijzen dat je die toestemming hebt gekregen.

een [e-mail] valt niet onder een persoonlijke mail.

Ik geef toe, het is niet netjes, maar of je iets er tegen kan doen onder de GDPR (laat staan dat het een datalek is)..

[ Voor 6% gewijzigd door Puc van S. op 05-04-2019 14:40 ]

[Freee!!]

Puc van S. schreef op vrijdag 5 april 2019 @ 14:37:
[...]
Hoe is dit een datalek? Een kennelijk publiekelijk vindbaar zakelijk algemeen e-mailadres?


[...]


een [e-mail] valt niet onder een persoonlijke mail.

Ik geef toe, het is niet netjes, maar of je iets er tegen kan doen onder de GDPR (laat staan dat het een datalek is)..

Een e-mail met een naam en gegevens over een besteld product naar het e-mailadres van een bedrijf dat toevallig op hetzelfde adres is geregistreerd, maar niet aankomt bij degene, die de bestelling geplaatst heeft en ook niet voor dat bedrijf werkt, is zeer zeker wel een lek. Die e-mail had naar het opgegeven adres moeten gaan van TS, elk ander e-mailadres is gewoon een datalek. Dat in dit specifieke geval de gevolgen heel erg beperkt zijn, is meer geluk dan wijsheid. En wat als het nu een verrassing voor de echtgenote van TS had moeten zijn

[Puc van S.]

Shoot, helemaal gemist dat er ook een aftersales mail verstuurd was met daarin de gegevens van de TS

[Freee!!]

Puc van S. schreef op vrijdag 5 april 2019 @ 15:03:
Shoot, helemaal gemist dat er ook een aftersales mail verstuurd was met daarin de gegevens van de TS

Volkomen menselijke fout, kan gebeuren. En ik heb een onredelijke voorsprong, ik heb training gehad over GDPR (in Nederland AVG).

[agile_tester]

Zojuist een klacht ingediend bij Amazon. Ben benieuwd wat er uit komt

Dear sir/madam,
Amazon account: tweaker@agile_tester.com
Home address: Agilestraat 1, 1234AB Tweakstad, The Netherlands

I would hereby like to file a complaint.

On 28 February and on 20 March I've ordered some LED lights on amazon.de, sold by Handa-EU.
The brand of these LEDs is Azhien.

On 21 March and again on 3 April a message with my personal information was sent by Azhien to [e-mail] (see attachments).
This e-mail address belongs to a business (Wife Business) which is owned by my wife and two other partners.
These co-owners both have another home address than us.

My personal e-mail address 'tweaker@agile_tester.com' (which is also my amazon account) has no connection to Wife Business whatsoever.
Also, the address [e-mail] does not appear in any of my Amazon settings.

To exclude the possibility that perhaps in the past a product was registered on the Azhien website, I've tried the 'Forgotten password' functionality with both email addresses. As expected, the website (Azhien.com) does not recognize these addresses.

So the only possibility I can think of, is that Handa-EU / Azhien, googled my home address. The contact page of my wife's business is one of the top results and the first e-mail address on this page is [e-mail].
Besides the very unethical and legal (GDPR violation) aspect from this action, my problem with this, is the detailed information in the unsolicited mails, namely:

- my name,
- the product I've ordered
- my home address

Since my wife's business partners also have access to that email address (the info address is a shared address), it might appear to them that I am using their business resources for my private purchases. And that is a serious problem!
The information in the mails is also too detailed to simply shrug it of as spam, especially for non tech-savy people like the business owners.
On 3 April my wife sent a mail to [e-mail] (through [e-mail]) with a request to remove that address from their database. She has yet to receive a response/confirmation.

I would also like to inform you that on the same date, while still looking for a possible explanation, I've opened a topic about this issue on Tweakers.net (a well known tech site in The Netherlands). And whilst I'm not looking for any social media fame, I will post all updates on this matter in that topic (agile_tester in "Hoe komt bedrijf aan bedrijfsmail van mijn vrouw?").

Now what I would like from Amazon is the same transparency in this matter:
What action will be taken against Handa-EU/Azhien and how will my trust in amazon be restored?

Can you guarantee me that the next time I order something on amazon (from another seller of course, because I'm done with Handa-EU), this will ab-so-lu-te-ly not happen again!

What if the next time I order a present for my wife, or an erotic toy? I need your assurance in this!

Kind regards,
Agile_tester

[PcDealer]

De KvK lijkt mij sterk. Dan zou Amazon bij dr KvK een bestelling moeten hebben geplaatst voor een uitdraai van de db met hun wensen. Dat ook nog voordat de commotie is ontstaan over de verkoop van persoonlijke gegevens.

@agile_tester heeft jouw vrouw ook een Amazon account of bij een van die shops of ooit e-mailcontact gehad?

[agile_tester]

heeft jouw vrouw ook een Amazon account of bij een van die shops of ooit e-mailcontact gehad?

Het antwoord op deze vragen is nee

[Josk79]

Is deze bestelling geplaatst op een PC die ook (zakelijk) door je vrouw wordt gebruikt? Wellicht dat autocomplete ergens iets heeft gedaan?

Welke betaalmethode? Niet per ongeluk een aan wifebusiness gelieerd PayPal account o.i.d.?

Ik vind je complaint wel wat voorbarig. Waarom wacht je niet eerst het antwoord af?

[agile_tester]

Is deze bestelling geplaatst op een PC die ook (zakelijk) door je vrouw wordt gebruikt? Wellicht dat autocomplete ergens iets heeft gedaan?

Welke betaalmethode? Niet per ongeluk een aan wifebusiness gelieerd PayPal account o.i.d.?

Nee. (is eerder al vermeld)
Er valt bovendien niets te autocompleten bij amazon. klik > klik > klaar

[PcDealer]

AVG request doen bij Amazon op jouw naam en die van je vrouw.

[Freee!!]

AVG klacht indienen bij ACM tegen Azhien. Amazon heeft terecht je naam en adres doorgegeven aan Azhien in verband met verzending van het bestelde (legitiem belang), Azhien heeft het verknald door zelfstandig een foutief e-mailadres erbij te zoeken.

[Thijsmans]

Freee!! schreef op maandag 8 april 2019 @ 08:06:
AVG klacht indienen bij ACM tegen Azhien.

Iemand die een cursus met onredelijke voorsprong heeft gevolgd zou moeten weten dat de ACM je klacht als verkeerd geadresseerd zal doorsturen aan de AP

[Freee!!]

Thijsmans schreef op maandag 8 april 2019 @ 09:47:
[...]
Iemand die een cursus met onredelijke voorsprong heeft gevolgd zou moeten weten dat de ACM je klacht als verkeerd geadresseerd zal doorsturen aan de AP

Dit gaat niet om verkeerd geadresseerd maar om datalek. Dat dat komt door verkeerd geadresseerd, waar ze zelf een e-mailadres hebben opgezocht zonder verdere verificatie, doet daar niets aan toe of af.

[Thijsmans]

Freee!! schreef op maandag 8 april 2019 @ 10:00:
[...]

Dit gaat niet om verkeerd geadresseerd maar om datalek. Dat dat komt door verkeerd geadresseerd, waar ze zelf een e-mailadres hebben opgezocht zonder verdere verificatie, doet daar niets aan toe of af.

Je leest niet goed en/of mist mijn punt. Een datalek meld je niet bij de ACM, maar bij de AP. Doe je het bij de ACM, dan is de klacht verkeerd geadresseerd.

[Freee!!]

Thijsmans schreef op maandag 8 april 2019 @ 10:50:
[...]
Je leest niet goed en/of mist mijn punt. Een datalek meld je niet bij de ACM, maar bij de AP. Doe je het bij de ACM, dan is de klacht verkeerd geadresseerd.

Oeps

[Sissors]

Freee!! schreef op maandag 8 april 2019 @ 08:06:
AVG klacht indienen bij ACM tegen Azhien. Amazon heeft terecht je naam en adres doorgegeven aan Azhien in verband met verzending van het bestelde (legitiem belang), Azhien heeft het verknald door zelfstandig een foutief e-mailadres erbij te zoeken.

Zegt wie? Want jij schreef ook al eerder dat de verklaring is gevonden, maar ik zie daar nul bewijs voor. Dat het e-mail adres gevonden kan worden via Google betekent niet dat het op deze manier is gebeurd. Zelf zou ik nog steeds denken dat een bedrijf zinvollere dingen te doen heeft als Googlen op het verzend adres om op die manier hopelijk aan een e-mail adres te komen (wat in 99.9% van de gevallen niet zal lukken).

[Freee!!]

Sissors schreef op maandag 8 april 2019 @ 13:58:
[...]
Zegt wie? Want jij schreef ook al eerder dat de verklaring is gevonden, maar ik zie daar nul bewijs voor. Dat het e-mail adres gevonden kan worden via Google betekent niet dat het op deze manier is gebeurd. Zelf zou ik nog steeds denken dat een bedrijf zinvollere dingen te doen heeft als Googlen op het verzend adres om op die manier hopelijk aan een e-mail adres te komen (wat in 99.9% van de gevallen niet zal lukken).

Het is helemaal niet nodig om dat te bewijzen (leuk dat het een aannemelijke verklaring is), maar er is wel heel duidelijk een datalek. Hoe en wat mag Anzhien zelf maar verklaren, maar Anzhien heeft duidelijk een probleem.

[Josk79]

Wij hebben ook een webwinkel. Ook wel eens een klant gehad die gepikeerd was dat we haar telefoonnummer hadden achterhaald.... deze was echter gewoon ingevuld in het checkout-formulier, wat volgens de klant '100% zeker niet zo was'.

Het gebeurt wel eens dat mensen '100% zeker' zijn van iets... terwijl de waarheid toch echt anders is...

Ik wil niet zeggen dat dit bij TS ook het geval is, maar om er nu meteen met gestrekt been in te gaan lijkt me een beetje overdreven.

[Freee!!]

Josk79 schreef op maandag 8 april 2019 @ 15:17:
Wij hebben ook een webwinkel. Ook wel eens een klant gehad die gepikeerd was dat we haar telefoonnummer hadden achterhaald.... deze was echter gewoon ingevuld in het checkout-formulier, wat volgens de klant '100% zeker niet zo was'.

Het gebeurt wel eens dat mensen '100% zeker' zijn van iets... terwijl de waarheid toch echt anders is...

Ik wil niet zeggen dat dit bij TS ook het geval is, maar om er nu meteen met gestrekt been in te gaan lijkt me een beetje overdreven.

Maar in dit geval mag die toko in China wel verklaren hoe ze aan dat e-mailadres zijn gekomen, TS heeft de orderbevestiging van Amazon netjes op zijn eigen e-mailadres ontvangen en niet op dat van het bedrijf van zijn vrouw.

[Josk79]

He @agile_tester nog iets gehoord uit China of van Amazon? Ben wel benieuwd of er een verklaring boven water komt.

[coelho]

Met verbazing dit topic gelezen en erg benieuwd of er nog opvolging van Amazon is gekomen. Nu gaat het om LED lampjes, maar wat nou als het om producten zou gaan waardoor TS in de problemen zou komen als TS-vrouw of TS-collega's-van-vrouw erachter zouden komen?

Ik ben ook erg benieuwd of de AP hier nog iets mee doet.

[agile_tester]

Josk79 schreef op dinsdag 16 april 2019 @ 11:53:
He @agile_tester nog iets gehoord uit China of van Amazon? Ben wel benieuwd of er een verklaring boven water komt.

Nee
Zojuist Amazon weer gemailed, maar nu via een ander kanaal.

[Freee!!]

agile_tester schreef op dinsdag 16 april 2019 @ 22:21:
[...]
Nee
Zojuist Amazon weer gemailed, maar nu via een ander kanaal.

Ik verwacht eerlijk gezegd niet dat Amazon je er veel meer over kan vertellen. Ze hebben de voor verzending benodigde gegevens doorgegeven en Azhien heeft daar op eigen houtje een e-mailadres bijgezocht, het probleem zit dus bij Azhien (en Azhien moet door AP op de vingers getikt worden).

[Frogmen]

Het interessante in dit geval via welke Amazon site is er besteld? Europa of Amerika? Vervolgens probeert Azhien heel slim Amazon uit te schakelen bij een volgende verkoop door gegevens met elkaar te combineren. Kortom zijn gewoon slimme Chinezen (gok ik). En de GDPR, tja staat nergens dat je geen data mag combineren, het is op de grens, als Nederlands bedrijf zou ik het niet doen. Maar ja.

[Freee!!]

Frogmen schreef op vrijdag 19 april 2019 @ 10:32:
Het interessante in dit geval via welke Amazon site is er besteld? Europa of Amerika?

Maakt helemaal niet uit.

Vervolgens probeert Azhien heel slim Amazon uit te schakelen bij een volgende verkoop door gegevens met elkaar te combineren.

Zover waren de meesten hier al.

Kortom zijn gewoon slimme Chinezen (gok ik).

Slim valt tegen, het is niet ethisch en daarmee en extra drempel voor een aantal mensen om zaken met ze te doen (bij staan ze nu dus al op de blacklist).

En de GDPR, tja staat nergens dat je geen data mag combineren, het is op de grens, als Nederlands bedrijf zou ik het niet doen. Maar ja.

GDPR (AVG in het Nederlands) gaat niet over het combineren van data, maar om het beschermen van persoonsgegevens, die in dit geval dus duidelijk gelekt zijn. Dat de gevolgen van het lek dit keer heel beperkt zijn, is puur geluk voor TS. Maar hoeveel mensen zijn er slachtoffer van dit soort lekken zonder het ooit te weten

[Frogmen]

@Freee!! Er is niets gelekt want de verzender heeft uiteraard adresgegevens, anders kan hij niets verzenden. Dat hij deze voor andere doeleinden gebruikt en combineert met publieke gegevens is minder ethisch. Maar omdat dat vervolgens om bedrijfsgegevens gaat maakt het nogal grijs. Je zou dus naar de overeenkomst tussen Amazon en leverancier moeten kijken om te zien wie hier nu de wet overtreed. En natuurlijk de voorwaarden van Amazon, want in hoeverre staan die het gebruik van adres gegevens toe.

[Gertjuhjan]

Frogmen schreef op vrijdag 19 april 2019 @ 11:46:
@Freee!! Er is niets gelekt want de verzender heeft uiteraard adresgegevens, anders kan hij niets verzenden. Dat hij deze voor andere doeleinden gebruikt en combineert met publieke gegevens is minder ethisch. Maar omdat dat vervolgens om bedrijfsgegevens gaat maakt het nogal grijs. Je zou dus naar de overeenkomst tussen Amazon en leverancier moeten kijken om te zien wie hier nu de wet overtreed. En natuurlijk de voorwaarden van Amazon, want in hoeverre staan die het gebruik van adres gegevens toe.

Niet helemaal. Want Anzien heeft de data van TS gelekt aan een emailadres wat in principe niets met hem of zijn bestelling te maken heeft.

[Freee!!]

Gertjuhjan schreef op vrijdag 19 april 2019 @ 12:03:
[...]
Niet helemaal. Want Anzien heeft de data van TS gelekt aan een emailadres wat in principe niets met hem of zijn bestelling te maken heeft.

Dit is inderdaad precies het punt waar het om draait en wat een groot aantal mensen hier niet zien. Persoonsgegevens van TS zijn terecht gekomen bij een bedrijf waar hij niets mee te maken heeft.