Privacyverklaring
1. Inleiding
Wij hechten grote waarde aan de bescherming van persoonsgegevens. Wij verwerken persoonsgegevens conform Verordening (EU) 2016/679 (AVG), de Uitvoeringswet AVG (UAVG) en overige gegevensbeschermingsregelgeving. Deze verklaring geldt voor alle gebruikers van de Tool en bezoekers van onze website. De Tool is uitsluitend bestemd voor professionele gebruikers (gecertificeerde EP-W en EP-U adviseurs).
2. Verwerkingsverantwoordelijke
Hoofdstraat 31, 9601 EA Hoogezand
KvK: 95459014
E-mail: [email protected] · Website: https://planides.nl
3. Architectuur — lokale opslag, met optionele cloud-synchronisatie
De Tool is een clientzijdige (browser-based) webapplicatie. Standaard worden opname-, gebouw- en berekeningsgegevens uitsluitend lokaal in de browser op uw apparaat verwerkt (o.a. localStorage) en niet naar onze servers verzonden.
Optionele cloud-synchronisatie. De gebruiker kan ervoor kiezen een account aan te maken en cloud-synchronisatie in te schakelen. In dat geval worden opname- en dossiergegevens (inclusief foto's) opgeslagen bij onze hostingverwerker Supabase, in een datacenter binnen de EU (regio eu-west-1, Ierland). Zolang cloud-sync niet wordt ingeschakeld, blijft de opslag volledig lokaal.
Wanneer de opname- of dossiergegevens persoonsgegevens van gebouweigenaren, bewoners of andere derden bevatten (bijv. adres), is de adviseur ten aanzien van die gegevens zelf verwerkingsverantwoordelijke in de zin van de AVG; wij treden bij gebruik van cloud-sync op als verwerker en Supabase als sub-verwerker (zie §6).
4. Welke persoonsgegevens verwerken wij en waarom?
4.1 Accountbeheer en uitvoering overeenkomst
| Persoonsgegevens | Doel | Grondslag (art. 6 AVG) | Bewaartermijn |
|---|---|---|---|
| Naam en voorletters | Identificatie, communicatie | Uitvoering overeenkomst (sub b) | Duur abonnement + 2 jaar |
| Zakelijk e-mailadres | Accountbeheer, facturatie, cloud-login | Uitvoering overeenkomst (sub b) | Duur abonnement + 2 jaar |
| BRL 9500-certificaatnummer (optioneel) | Verificatie bevoegdheid | Uitvoering overeenkomst (sub b) | Duur abonnement + 2 jaar |
| Bedrijfsnaam en factuuradres | Facturatie, administratie | Wettelijke verplichting (sub c) | 7 jaar (fiscale bewaarplicht) |
| Betalingsinformatie (via Stripe, zie §6) | Verwerking abonnementsbetalingen | Uitvoering overeenkomst (sub b) | Zie betaaldienst Stripe |
4.2 Gebruik van de Tool (technische logs)
| Persoonsgegevens | Doel | Grondslag | Bewaartermijn |
|---|---|---|---|
| IP-adres bij inloggen/gebruik | Beveiliging, misbruikpreventie | Gerechtvaardigd belang (sub f) | 90 dagen |
| Browsertype/besturingssysteem | Compatibiliteit, ondersteuning | Gerechtvaardigd belang (sub f) | 90 dagen |
| Tijdstip/duur sessies | Capaciteitsplanning, verbetering | Gerechtvaardigd belang (sub f) | 90 dagen |
| Foutmeldingen/crash-logs (geanonimiseerd) | Verbetering van de Tool | Gerechtvaardigd belang (sub f) | 180 dagen |
4.3 Communicatie
| Persoonsgegevens | Doel | Grondslag | Bewaartermijn |
|---|---|---|---|
| E-mailadres, inhoud berichten | Support- en klantvragen | Uitvoering overeenkomst / sub f | 2 jaar |
| Naam, e-mailadres (nieuwsbrief) | Updates regelgeving (NTA 8800, EPBD IV) | Toestemming (sub a) | Tot afmelding |
Wij verwerken geen bijzondere categorieën van persoonsgegevens (art. 9 AVG).
4.4 AI-ondersteunde functies
Voor zover de Tool AI-ondersteunde functies bevat, worden uitkomsten als indicatief gepresenteerd en gelabeld conform de transparantieverplichtingen van Verordening (EU) 2024/1689 (AI-Verordening), art. 50. Eventueel ingevoerde sleutels voor externe AI-diensten (BYOK) worden niet op onze servers opgeslagen.
4.5 Cloud-synchronisatie (optioneel) — opname- en dossiergegevens
Alleen als de gebruiker cloud-sync inschakelt, worden opname-/berekenings- en dossiergegevens (o.a. adres, postcode, plaats, bouwdelen, energetische kenmerken) en foto's van bouwdelen/installaties server-side opgeslagen en gesynchroniseerd. Grondslag: uitvoering overeenkomst (sub b); voor eventuele derden-persoonsgegevens is de adviseur verwerkingsverantwoordelijke. Bewaartermijn: gekoppeld aan de projectdossier-bewaarplicht uit BRL 9500-W (15 jaar), technisch via een bewaar_tot-veld met periodieke opschoning. Gegevens zijn per account afgeschermd via Row Level Security (toegang uitsluitend voor de eigenaar); foto's staan in een privé opslagbucket. De API-sleutel voor AI-diensten en interne beheer-/licentievlaggen worden niet naar de cloud gesynchroniseerd.
4.6 Marketingprofiel (optioneel, uitsluitend met toestemming)
In de feedback-widget kan de gebruiker vrijwillig een beknopt profiel delen (branche, functie, bedrijfsgrootte, kanaal). Zonder aangevinkte toestemming wordt niets verzameld en vindt geen locatie-schatting plaats. Een optionele, geschatte locatie (alleen land, regio, stad) wordt afgeleid van het IP-adres via de externe dienst ipwho.is; het IP-adres zelf en de internetprovider worden niet opgeslagen. Grondslag: toestemming (sub a), intrekbaar. Segmentanalyses worden alleen geaggregeerd gebruikt (k-anonimiteit ≥ 5 profielen).
4.7 Adres-verificatie via BAG / PDOK Locatieserver (optioneel, online)
Om het invoeren van het pandadres te versnellen kan de gebruiker de BAG-adresverificatie gebruiken (opt-in, alleen online). De door de gebruiker getypte adres-tekst (of postcode/huisnummer) wordt daarbij verzonden naar de PDOK Locatieserver — een open-data voorziening van het Ministerie van BZK / het Kadaster (Nederland) — die adres-suggesties, bouwjaar, oppervlakte en de pand-footprint teruggeeft. De verwerking vindt plaats binnen de EU (geen doorgifte buiten de EER). De teruggegeven waarden zijn suggesties en blijven handmatig aanpasbaar; zonder gebruik van deze functie wordt geen adres naar PDOK verzonden.
4.8 Website-interactie-analytics (optioneel, uitsluitend na cookie-toestemming)
Op onze landingswebsite meten wij — uitsluitend nadat u via de cookiebanner toestemming heeft gegeven — geanonimiseerde interactiegegevens om te begrijpen welke informatie nuttig is en waar bezoekers afhaken. Zonder uw toestemming wordt niets gemeten. Het gaat om kliks op knoppen/links, tijd op elementen en secties, scroll-diepte, paginaweergaven en trechterstappen, samen met een pseudonieme, willekeurige sessie-id, apparaatfamilie (mobiel/desktop), paginapad en ?ref=-herkomst; een geschatte regio (land/regio/stad) alleen bij een aparte opt-in. Wij verzamelen hierbij geen naam, e-mailadres of andere direct identificerende gegevens en slaan het IP-adres niet op. Grondslag: toestemming (art. 6 lid 1 sub a AVG), intrekbaar via «Cookievoorkeuren». Opslag bij Supabase binnen de EU (regio eu-west-1, Ierland); bewaartermijn 90 dagen (auto-verwijdering via bewaar_tot). De tabel is insert-only (bezoekers kunnen niets uitlezen) en segmentanalyses worden uitsluitend geaggregeerd gebruikt (k-anonimiteit ≥ 5). Wij gebruiken deze gegevens niet voor advertenties en delen ze niet met adverteerders.
4.9 Aanmelding vroege toegang / wachtlijst
Als u op de website vrijwillig uw e-mailadres achterlaat in het aanmeldformulier («vroege toegang»), verwerken wij uw e-mailadres en — indien beschikbaar — het door u gekozen segment (bijv. solo/klein/groot bureau) en een ?ref=-herkomst. Doel: u uitnodigen voor de pilot en u op de hoogte houden van de start. Grondslag: toestemming (art. 6 lid 1 sub a AVG), die u geeft door het formulier bewust in te vullen en te verzenden; intrekbaar op elk moment (uitschrijven of een e-mail aan [email protected]). Opslag: bij Supabase binnen de EU (regio eu-west-1, Ierland) in een insert-only tabel (bezoekers kunnen niets uitlezen). Bewaartermijn: tot en met de pilotuitnodiging en uiterlijk 24 maanden, daarna verwijdering; eerder op verzoek. Wij gebruiken deze gegevens niet voor advertenties en verkopen ze niet.
5. Cookies
- Technisch noodzakelijke cookies (sessiecookies) zijn vereist voor de werking; hiervoor is geen toestemming nodig (art. 11.7a lid 3 Telecommunicatiewet).
- Analytische cookies / website-interactie-analytics worden alleen ingezet na toestemming via een cookiebanner. Hieronder valt onze eigen geanonimiseerde website-interactie-analytics (kliks, tijd, scroll; pseudonieme sessie-id; EU-opslag bij Supabase; 90 dagen — zie §4.8) en Microsoft Clarity (statistiek, heatmaps en sessie-opnames om de website te verbeteren). Deze scripts en de bijbehorende cookies laden uitsluitend nadat u op «Accepteren» heeft geklikt. Zie §6 voor de verwerkers en de doorgifte.
- Wij plaatsen geen tracking- of marketingcookies van derden zonder uitdrukkelijke toestemming.
6. Verstrekking aan derden / ingeschakelde verwerkers
Wij schakelen verwerkers in met een verwerkersovereenkomst conform art. 28 AVG. Het gaat onder meer om:
- Stripe (Stripe Payments Europe, Ltd., Ierland) — verwerking van abonnements- en facturatiebetalingen. De verwerkersovereenkomst (DPA, art. 28 AVG) van Stripe is van toepassing via de Stripe Services Agreement (automatisch geïncorporeerd); wij hebben een kopie gearchiveerd op 2026-07-06 (DPA-versie 18-11-2025). Doorgifte buiten de EER vindt plaats met passende waarborgen (SCC's).
- Supabase — cloud-hosting, database en opslag van (a) het cloud-dossier bij ingeschakelde cloud-sync, (b) de geanonimiseerde website-interactie-analytics uit §4.8 (na cookie-toestemming) én (c) de aanmeldingen voor vroege toegang uit §4.9. EU, regio eu-west-1, Ierland. Verwerkersovereenkomst (DPA, art. 28) getekend 2026-07-06.
- ipwho.is — externe geolocatie-dienst voor de opt-in locatie-schatting in het marketingprofiel (§4.6). Alleen aangeroepen na expliciete toestemming; wij slaan het IP-adres niet op.
- PDOK Locatieserver (Ministerie van BZK / Kadaster, Nederland) — open-data adres-/BAG-voorziening voor de opt-in adresverificatie (§4.7); verwerking binnen de EU.
- Microsoft Clarity (Microsoft Ireland Operations Ltd.) — analyse van websitegebruik via statistiek, heatmaps en sessie-opnames, uitsluitend na uw toestemming. Invoervelden worden gemaskeerd: wat u in formulieren typt (zoals uw e-mailadres of wachtwoord) wordt niet in de sessie-opname vastgelegd (dataminimalisatie, art. 5 lid 1 sub c AVG). Hierbij kunnen gegevens worden doorgegeven aan Microsoft in de Verenigde Staten; die doorgifte vindt plaats met passende waarborgen (SCC's / EU-US Data Privacy Framework). Grondslag: toestemming (art. 6 lid 1 sub a AVG), intrekbaar via «Cookievoorkeuren» onderaan de website.
- E-maildienst en klantenservice.
Doorgifte buiten de EER vindt alleen plaats met passende waarborgen (Hoofdstuk V AVG). Wij verstrekken gegevens aan autoriteiten uitsluitend bij wettelijke verplichting en verkopen geen persoonsgegevens.
7. Uw rechten
U heeft recht op inzage (art. 15), rectificatie (16), wissing (17), beperking (18), overdraagbaarheid (20), bezwaar (21) en intrekking van toestemming (art. 7 lid 3). Verzoeken via [email protected]; wij reageren binnen één maand (in complexe gevallen +2 maanden). U kunt een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).
8. Beveiliging
Wij nemen passende technische en organisatorische maatregelen (art. 32 AVG): TLS/HTTPS-versleuteling, toegangscontrole en wachtwoordbeleid, periodieke audits/updates, verwerkersovereenkomsten en need-to-know-toegang. Voor de optionele cloud-opslag geldt aanvullend: per-account afscherming via Row Level Security, een privé opslagbucket voor foto's, en versleuteling onderweg en in rust bij de hostingverwerker. Lokale (browser)opslag is niet versleuteld; beperk lokale opslag op gedeelde apparaten en gebruik schermvergrendeling.
9. Datalekken
Bij een datalek met waarschijnlijk risico melden wij dit binnen 72 uur aan de Autoriteit Persoonsgegevens (art. 33 AVG); bij hoog risico informeren wij ook u (art. 34 AVG).
10. Minderjarigen en wijzigingen
De Tool is uitsluitend voor professionele gebruikers; wij verwerken niet bewust gegevens van personen onder 16 jaar. Wij kunnen deze verklaring wijzigen en informeren u over materiële wijzigingen via e-mail of de website. De datum bovenaan geeft de meest recente versie aan.
11. Contact
Offmarqt B.V. — Privacy · E-mail: [email protected] · Website: https://planides.nl/privacy