Register van verwerkingsactiviteiten

Doel: Aanmaken en beheren van gebruikersaccounts; identificatie en authenticatie; communicatie over het account.

Rechtsgrondslag: Uitvoering overeenkomst (art. 6 lid 1b AVG)

Betrokkenen: Klanten / gebruikers

Gegevens: Naam, e-mailadres, wachtwoord (gehasht), accountvoorkeuren, IP-adres bij registratie, registratiedatum

Bijzondere gegevens: Nee

Ontvangers: Stripe (betalingen); Lovable Cloud / Supabase (hosting, database, EU)

Doorgifte buiten EU/EER: Ja — Stripe (VS) op basis van EU-VS DPF + SCC’s

Bewaartermijn: Looptijd account + 7 jaar na beëindiging

Maatregelen: Versleutelde opslag (AES-256); HTTPS/TLS; gehashte wachtwoorden (bcrypt); RBAC; back-ups

Doel: Verwerken van betalingen (credits, abonnementen, eenmalige aankopen); facturatie; beheer van kortingscodes en het referral-programma.

Rechtsgrondslag: Uitvoering overeenkomst (art. 6 lid 1b AVG); wettelijke verplichting (art. 6 lid 1c AVG) fiscale administratie

Betrokkenen: Betalende klanten / abonnees

Gegevens: Naam, e-mailadres, factureringsadres, Stripe Customer ID, factuurhistorie, transactie-ID’s, credit-saldo, abonnementsgegevens, kortingscode-gebruik

Bijzondere gegevens: Nee

Ontvangers: Stripe; Belastingdienst (bij controle)

Doorgifte buiten EU/EER: Ja — Stripe (VS) op basis van EU-VS DPF + SCC’s

Bewaartermijn: 7 jaar na einde boekjaar (art. 52 AWR)

Maatregelen: Betaalgegevens uitsluitend bij Stripe (PCI DSS L1); eigen systemen: alleen Stripe ID + metadata; versleuteld; RBAC

Opmerking: Creditcard-/bankgegevens komen nooit op eigen servers.

Doel: Vastleggen van instemming algemene voorwaarden en afstandsverklaring herroepingsrecht als juridisch bewijs.

Rechtsgrondslag: Wettelijke verplichting (art. 6 lid 1c AVG)

Betrokkenen: Klanten / gebruikers

Gegevens: User-ID, consent-type, AV-versie, IP-adres, user-agent, Stripe session-ID, tijdstip instemming

Bijzondere gegevens: Nee

Ontvangers: Geen derden (intern)

Doorgifte buiten EU/EER: Nee

Bewaartermijn: 7 jaar na vastlegging

Maatregelen: Versleutelde database; RBAC; geautomatiseerde logging zonder handmatige mutatie

Doel: Bijhouden van verwijzingen; berekenen van korting-tiers; toekennen van referral-beloningen.

Rechtsgrondslag: Uitvoering overeenkomst (art. 6 lid 1b AVG)

Betrokkenen: Klanten (verwijzer + verwezen)

Gegevens: User-ID’s, referral-code, status, activatie-/deactivatiedatum, Stripe subscription-ID, tier-geschiedenis

Bijzondere gegevens: Nee

Ontvangers: Stripe (couponbeheer)

Doorgifte buiten EU/EER: Ja — Stripe (VS) op basis van EU-VS DPF + SCC’s

Bewaartermijn: Looptijd account + 2 jaar na beëindiging

Maatregelen: Versleutelde database; RBAC; fraud-detectie (IP, rate limiting)

Doel: Door de gebruiker opgegeven bedrijfsgegevens (URL, KvK-nummer, bedrijfsnaam) tijdelijk verwerken om te verifiëren bij KvK / VIES en om de publieke pagina te scannen voor compliance-analyse.

Rechtsgrondslag: Uitvoering overeenkomst (art. 6 lid 1b AVG)

Betrokkenen: Gebruikers van de compliance-check

Gegevens: URL, KvK-nummer, bedrijfsnaam, scanresultaten (tijdelijk)

Bijzondere gegevens: Nee

Ontvangers: KvK (NL); VIES (EU); Firecrawl, Inc. (VS); Lovable AI Gateway

Doorgifte buiten EU/EER: Ja — Firecrawl (VS) en AI-providers (Google/OpenAI via Lovable AI Gateway, VS) op basis van SCC’s + EU-VS DPF

Bewaartermijn: Scaninvoer: niet bewaard na voltooiing van de scan

Maatregelen: Tijdelijke verwerking; HTTPS/TLS; geen persistente opslag van scaninvoer

Opmerking: Antwoorden in de tool worden uitsluitend lokaal in de browser opgeslagen (localStorage).

Doel: Samenvatten en classificeren van scan- en wetgevingsresultaten via AI.

Rechtsgrondslag: Uitvoering overeenkomst (art. 6 lid 1b AVG)

Betrokkenen: Gebruikers van de compliance-check

Gegevens: Geanonimiseerde scanfragmenten, wetgevingsvragen, prompts

Bijzondere gegevens: Nee

Ontvangers: Lovable AI Gateway → Google (Gemini, EU/VS) en OpenAI (VS)

Doorgifte buiten EU/EER: Ja — VS op basis van SCC’s (Uitvoeringsbesluit (EU) 2021/914) en aanvullend EU-VS DPF waar gecertificeerd

Bewaartermijn: Tijdelijk; cache geanonimiseerd

Maatregelen: No-training-clausule (invoer wordt niet gebruikt voor modeltraining); versleutelde communicatie

Opmerking: Een Transfer Impact Assessment (TIA) is op aanvraag beschikbaar.

Doel: Beantwoorden van vragen; klachtafhandeling; technische support; communicatie over dienstverlening.

Rechtsgrondslag: Uitvoering overeenkomst (art. 6 lid 1b AVG); gerechtvaardigd belang (art. 6 lid 1f AVG)

Betrokkenen: Klanten; potentiële klanten; websitebezoekers

Gegevens: Naam, e-mailadres, inhoud correspondentie, eventueel telefoonnummer

Bijzondere gegevens: Nee

Ontvangers: E-mailprovider (EU, via Lovable Cloud-emailgateway)

Doorgifte buiten EU/EER: Nee

Bewaartermijn: 2 jaar na laatste contact

Maatregelen: Versleutelde e-mail; RBAC; geen opslag op lokale apparaten

Doel: Versturen van nieuwsbrieven, productupdates en marketingberichten.

Rechtsgrondslag: Toestemming (art. 6 lid 1a AVG)

Betrokkenen: Nieuwsbrief-abonnees

Gegevens: E-mailadres, naam (optioneel), aanmelddatum, voorkeuren, open-/klikstatistieken

Bijzondere gegevens: Nee

Ontvangers: E-mailserviceprovider

Doorgifte buiten EU/EER: Afhankelijk van provider; SCC’s indien buiten EU

Bewaartermijn: Tot uitschrijving + 30 dagen

Maatregelen: Double opt-in; uitschrijflink in elk bericht; versleuteld bij provider; RBAC

Opmerking: Toestemming wordt apart gelogd als bewijs.

Doel: Analyseren van websitegebruik ter verbetering van dienstverlening; meten van bezoekersaantallen en paginaprestaties.

Rechtsgrondslag: Gerechtvaardigd belang (art. 6 lid 1f AVG); of toestemming (art. 6 lid 1a AVG) bij cookies

Betrokkenen: Websitebezoekers

Gegevens: IP-adres (geanonimiseerd), paginabezoeken, sessieduur, apparaattype, browser, verwijzende URL

Bijzondere gegevens: Nee

Ontvangers: Analytics-provider

Doorgifte buiten EU/EER: Afhankelijk van provider; bij EU-provider: nee

Bewaartermijn: 26 maanden

Maatregelen: IP-anonimisering; cookieconsent; dataminimalisatie; geen koppeling aan accounts

Doel: Financiële administratie; btw-aangifte; fiscale verplichtingen.

Rechtsgrondslag: Wettelijke verplichting (art. 6 lid 1c AVG)

Betrokkenen: Klanten; leveranciers; zakelijke contacten

Gegevens: Naam, adres, KvK (zakelijk), btw-id (zakelijk), factuurbedragen, bankgegevens

Bijzondere gegevens: Nee

Ontvangers: Boekhoudsoftware/-accountant; Belastingdienst

Doorgifte buiten EU/EER: Nee

Bewaartermijn: 7 jaar na einde boekjaar (art. 52 AWR)

Maatregelen: Versleuteld; RBAC; back-ups; verwerkersovereenkomst met accountant

Doel: Server-/applicatielogs; detectie van ongeautoriseerde toegang; troubleshooting.

Rechtsgrondslag: Gerechtvaardigd belang (art. 6 lid 1f AVG)

Betrokkenen: Alle gebruikers; beheerders

Gegevens: IP-adressen, tijdstippen, pagina’s/API-endpoints, foutmeldingen, user-agent

Bijzondere gegevens: Nee

Ontvangers: Hostingprovider (EU, Cloudflare/Supabase)

Doorgifte buiten EU/EER: Nee

Bewaartermijn: 6 maanden

Maatregelen: Versleutelde logs; alleen systeembeheerder; automatische rotatie/verwijdering; monitoring