Privacyverklaring

Wie verwerkt je gegevens

De verwerkingsverantwoordelijke is de aanbieder van Wegkompas. Naam, KvK-nummer, e-mailadres en de andere gegevens staan onderaan deze pagina, in het blok Wie wij zijn. Je kunt ons per e-mail bereiken; een contactformulier vervangt dat adres niet.

Welke gegevens, waarom en op welke grondslag

Bij elke verwerking staat de grondslag uit artikel 6 lid 1 AVG.

Account: e-mailadres, om je in te loggen en je voortgang te bewaren. Grondslag: uitvoering van de overeenkomst (art. 6 lid 1 onder b AVG).
Inloggen met Google of Apple (als die knop op de inlogpagina staat en je ervoor kiest): Google of Apple stuurt ons je e-mailadres en, als de dienst dat meestuurt, je naam en profielfoto. Wij gebruiken alleen het e-mailadres, voor je account; naam en foto slaat ons inlogsysteem (Supabase) automatisch op bij je account, maar wij gebruiken ze niet. Grondslag: uitvoering van de overeenkomst (onder b). Google en Apple zijn voor hun eigen verwerking zelf verantwoordelijk; hun eigen privacyverklaring is daarop van toepassing.
Pseudoniem: de naam die je zelf koos. Alleen jij ziet hem. Wij vragen niet naar je echte naam (log je in met Google of Apple, zie hierboven). Grondslag: uitvoering van de overeenkomst (onder b).
Instellingen: taal, thema, examentaal en -categorie, je streefdatum en ervaringsniveau — zodat de leerroute bij je past. Grondslag: uitvoering van de overeenkomst (onder b).
Voortgang: welke vragen je maakte en hoe, om herhaling te plannen. Grondslag: uitvoering van de overeenkomst (onder b).
Foutmelding met schermafbeelding: klik je op «Fout melden» en bevestig je met «Versturen», dan ontvangen wij een afbeelding van die pagina zoals jij die zag, het adres van de pagina, je taal, schermgrootte en browsertype, plus wat je er zelf bij schrijft. Wachtwoordvelden blijven buiten beeld. Wij gebruiken dit alleen om de fout te vinden en te herstellen en verwijderen het na negentig dagen. Grondslag: gerechtvaardigd belang bij een werkende dienst (art. 6 lid 1 onder f AVG).
Geboortejaar en -maand: uitsluitend om te bepalen welke regels voor minderjarigen op jou van toepassing zijn. Deze velden verlaten de server nooit en komen niet in de app-bundel terecht. Grondslag: wettelijke verplichting (art. 6 lid 1 onder c AVG, in verbinding met art. 8 AVG en art. 5 UAVG).
Bestellingen en betalingen: welk pakket je kocht, de prijs, de datum, de status van de betaling en het kenmerk van Mollie. Grondslag: uitvoering van de overeenkomst (onder b). Het betaalregister bewaren wij daarnaast omdat de belastingwet dat verplicht: wettelijke verplichting (onder c, in verbinding met art. 52 AWR). Bij de betaalstatus stuurt Mollie ook gegevens mee zoals je naam, je rekeningnummer of de laatste cijfers van je kaart. Die slaan wij niet op: van de betaling bewaren wij alleen het kenmerk, de status, het bedrag, de betaalmethode, de tijdstippen en onze eigen bestelgegevens.
Toestemmingen bij een bestelling: bij elk vinkje (voorwaarden, direct starten) de exacte getoonde tekst, het tijdstip, de versie van de voorwaarden, het IP-adres en het browserkenmerk. Grondslag: gerechtvaardigd belang (onder f): wij moeten kunnen aantonen wat je zag en waarmee je instemde, omdat de wet de bewijslast bij ons legt (art. 6:230n lid 4 BW).
Herroepingen: je naam, je e-mailadres, welke overeenkomst je ontbindt en het tijdstip van indiening — ook als je zonder account herroept. Grondslag: wettelijke verplichting (onder c): wij moeten de ontvangst bevestigen en terugbetalen (art. 6:230oa lid 4 BW en art. 6:230r lid 1 BW).
E-mails over je aankoop en je herroeping: de bevestiging van de overeenkomst en van je herroeping. Van elke verzending houden wij een logregel bij: soort e-mail, tijdstip en of het verzenden lukte — zonder e-mailadres en zonder inhoud. Grondslag: wettelijke verplichting (onder c; art. 6:230v lid 7 BW en art. 6:230oa lid 4 BW).
Meldingen van fouten: als je op «Fout melden» drukt, sturen wij een schermafbeelding van de pagina zoals jij die zag (daarop kunnen je pseudoniem of je voortgang staan; wachtwoordvelden niet), het adres (URL) van de pagina, de taal, de grootte van het venster en het browserkenmerk, je opmerking als je die toevoegt, en je account als je bent ingelogd. De schermafbeelding staat in afgeschermde opslag bij Supabase; alleen wij kunnen erbij. Grondslag: gerechtvaardigd belang (onder f): fouten op de site vinden en herstellen.
Anti-misbruik proefperiode: een sha256-vingerafdruk van het e-mailadres, geen leesbaar adres. Grondslag: gerechtvaardigd belang (onder f): voorkomen dat iemand de gratis proefperiode steeds opnieuw start.
Technische gegevens: IP-adres en browsergegevens in de serverlogs van onze hosting. Grondslag: gerechtvaardigd belang (onder f): de site veilig en werkend houden en misbruik opsporen.
Actieve sessie: je account, het kenmerk van de sessie waarmee je nu bent ingelogd en een grove omschrijving van het apparaat: alleen browserfamilie en besturingssysteem (bijvoorbeeld «Safari · iOS»), geen volledig browserkenmerk. Zo houden wij per account één actieve sessie aan en voorkomen wij dat een account wordt doorgegeven. Bij elke nieuwe login overschrijven wij deze gegevens. Grondslag: gerechtvaardigd belang (onder f): een persoonlijk account persoonlijk houden.

Wat verplicht is. Voor een account is alleen een e-mailadres nodig: je vult het zelf in, of het komt van Google of Apple als je daarmee inlogt. Bij registratie met e-mailadres vragen wij ook je geboortejaar; log je in met Google of Apple, dan vragen wij het daarna in je account. Zonder geboortejaar kun je niet betalen en passen wij de strengste regels voor minderjarigen toe: alle optionele verwerkingen staan dan uit. Al het andere kies je zelf.

Geen geautomatiseerde besluiten. Wij nemen geen besluiten die alleen op geautomatiseerde verwerking berusten en die rechtsgevolgen voor je hebben of je op een vergelijkbare manier raken, en wij maken geen profielen. Wel past de site vaste regels toe op het geboortejaar dat je zelf opgaf: onder de zestien staan alle optionele verwerkingen uit, en betalen kan vanaf achttien.

Minderjarigen onder de zestien

Voor gebruikers onder de zestien verwerken wij geen gegevens op grondslag van toestemming. Concreet: geen analytics, geen tracking-cookies, geen profilering en geen marketing-e-mail. Dit volgt uit artikel 5 UAVG, dat de leeftijdsgrens van de AVG in Nederland op zestien jaar legt.

Toestemming intrekken

Op grondslag van toestemming verwerken wij alleen de bezoekstatistiek van Google Analytics 4 (zie «Verwerkers en andere ontvangers» hieronder). Die toestemming vragen wij vooraf in de cookiebanner; weiger je, dan wordt het script niet geladen. Je kunt je keuze op elk moment wijzigen of intrekken via «Cookie-instellingen» onderaan elke pagina, even makkelijk als je haar gaf. Wat vóór het intrekken gebeurde, blijft rechtmatig.

Bewaartermijnen

Account, instellingen en voortgang: zolang het account bestaat.
Betaalregister en facturen: zeven jaar, omdat artikel 52 AWR dat voorschrijft.
Toestemmingen: vijf jaar; het IP-adres erin wissen wij na twaalf maanden.
Herroepingen: zeven jaar, als bewijs dat wij ze op tijd ontvingen, bevestigden en afhandelden.
Logregels van e-mails: twaalf maanden.
Meldingen van fouten en de schermafbeeldingen daarbij: negentig dagen.
Vingerafdruk van de proefperiode: vierentwintig maanden.
Actieve sessie: zolang het account bestaat; bij elke nieuwe login overschreven en bij uitloggen gewist.

Account verwijderen. Wil je je account laten verwijderen, stuur dan een e-mail naar het adres in Wie wij zijn. Wij verwijderen dan je account, je instellingen, je voortgang, je actieve sessie en je meldingen van fouten. Wat wij volgens de wet of als bewijs moeten bewaren — het betaalregister, de toestemmingen, je herroepingen en de vingerafdruk van de proefperiode — blijft de genoemde termijn bestaan, maar onder een pseudoniem: zonder je naam, zonder je e-mailadres en, bij de toestemmingen, zonder IP-adres. Een herroeping die je zonder account indiende, bewaren wij met de naam en het e-mailadres die je daarbij invulde.

Je rechten

Inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar. Een verzoek stuur je naar het e-mailadres in Wie wij zijn. Wij antwoorden binnen een maand. Ben je het oneens met onze afhandeling, of wil je dat niet eerst met ons bespreken, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

Verwerkers en andere ontvangers

Deze partijen verwerken gegevens voor ons, elk alleen voor zijn eigen taak:

Supabase — database, inloggen en opslag van schermafbeeldingen bij meldingen van fouten, in een EU-regio.
Vercel — hosting van de website; de serverfuncties draaien in Frankfurt, het netwerk dat pagina's snel levert is wereldwijd.
Onze e-maildienst — voor de bevestigingsmails: afhankelijk van de instelling een SMTP-mailprovider of Resend.
Google Ireland Limited (Google Analytics 4) — bezoekstatistiek, alleen na jouw toestemming in de cookiebanner: welke pagina's worden bezocht, vanaf welk soort apparaat en via welke bron, en of iemand de betaalpagina bereikt. Google Analytics 4 slaat geen IP-adressen op; advertentiefuncties en Google Signals staan uit; de meetgegevens bewaart Google voor ons ten hoogste veertien maanden.

Mollie verwerkt je betaling op haar eigen betaalpagina. Voor die betaling is Mollie zelf verantwoordelijk (zelfstandig verwerkingsverantwoordelijke); haar eigen privacyverklaring is dan van toepassing.

Google en Apple ontvangen alleen iets als je met hen inlogt; zie «Inloggen met Google of Apple» hierboven.

Statistiek (Google Analytics 4) staat alleen aan na jouw uitdrukkelijke toestemming in de cookiebanner; zonder toestemming wordt het script niet geladen en plaatst Google geen cookies. Welke partij welke cookie plaatst, staat per cookie in de cookieverklaring.

Doorgifte buiten de EU

Vercel, Google (alleen als je statistiek toestaat) en, afhankelijk van de instelling, onze e-maildienst zijn bedrijven uit de Verenigde Staten of gebruiken servers buiten de Europese Economische Ruimte. Waar dat van toepassing is, gebeurt de doorgifte op basis van de verwerkersovereenkomst van de leverancier: met de standaardcontractbepalingen van de Europese Commissie (SCC) of onder het EU-VS Data Privacy Framework (DPF), als de leverancier daarbij is aangesloten.

Bronnen

Uitvoeringswet AVG, artikel 5 — leeftijdsgrens van zestien jaar
Algemene wet inzake rijksbelastingen, artikel 52 — bewaarplicht van zeven jaar
Burgerlijk Wetboek Boek 6, artikel 230v lid 7 — bevestiging van de overeenkomst
Burgerlijk Wetboek Boek 6, artikel 230oa — herroepen via de website en de bevestiging daarvan