Privacybeleid
Hoe Strikske met je persoonsgegevens omgaat: welke gegevens, waarom, hoe lang, wie ze verwerkt en welke rechten je hebt. Voor België en Nederland.
Laatst bijgewerkt: [PUBLICATIEDATUM]. Geldt voor gebruikers in België en Nederland.
1. Wie is verantwoordelijk?
Strikske wordt gemaakt en beheerd door Stijn Mertens, als privépersoon. Strikske is (nog) geen onderneming. Stijn is de verwerkingsverantwoordelijke in de zin van de Algemene verordening gegevensbescherming (AVG / GDPR).
Contact: Olenseweg 163, 2400 Geel, België · e-mail: [CONTACT-EMAIL] (volgt binnenkort; het actuele adres staat altijd op de pagina Contact).
2. Kort samengevat
- We vragen alleen wat nodig is om je lijstjes, je gezin en je lootjes te laten werken.
- Geen advertenties, geen trackingcookies, en we verkopen nooit gegevens.
- Wie wie trok bij de lootjes is versleuteld. Ook de organisator en wij kunnen het niet lezen.
- Kinderen jonger dan 13 jaar hebben geen eigen account, alleen een profiel onder een ouder.
- Je kunt je gegevens altijd zelf downloaden en je account zelf verwijderen, via Account en privacy in de app.
3. Welke gegevens, waarom en hoe lang
| Onderdeel | Gegevens | Doel | Rechtsgrond | Bewaartermijn |
|---|---|---|---|---|
| Account (Google of e-mail + wachtwoord) | E-mailadres; bij Google ook je naam en de link naar je profielfoto; je wachtwoord alleen als onomkeerbare hash; datum van aanmaak; technische inloggegevens (tijdstip, IP-adres) in de logs van Supabase. | Je laten inloggen en je lijstjes bewaren. | Overeenkomst (art. 6.1.b AVG) | Tot je je account laat verwijderen. Inloglogs: enkele dagen, volgens Supabase. |
| Lijstjes en cadeaus | Titel, beschrijving, secties, cadeaus (naam, link, prijs, link naar foto, notitie), wie het lijstje mag zien. | De dienst zelf: lijstjes maken, bewaren en delen. | Overeenkomst | Tot je het lijstje of je account verwijdert. |
| Gezin en kinderen | Per gezinslid: voornaam, optioneel achternaam, emoji of foto, optioneel geboortemaand, of het een kind is, en wie het gezin mee beheert. Koppelcodes alleen als hash (10 minuten geldig). Pogingen om een koppelcode in te voeren (tijdstip, gelukt of niet), tegen misbruik. | Lijstjes op naam van je kinderen samen met een partner beheren. | Overeenkomst met de ouder; gerechtvaardigd belang (beveiliging) | Tot je het gezinslid, het gezin of je account verwijdert. Koppelcodes en pogingen worden na 30 dagen automatisch verwijderd. |
| Reserveren (ook zonder account) | De naam die je invult, een hash van je reserveringscode (de code zelf staat alleen in je browser), tijdstip, en je account als je ingelogd bent. | Dubbele cadeaus voorkomen en je reservering kunnen laten annuleren. | Gerechtvaardigd belang (van jou, de gever, en van de eigenaar van het lijstje) | Tot je annuleert of tot het cadeau of lijstje verwijderd wordt. |
| Lootjesgroep | Groepsnaam, thema, datums, budget en instellingen; per deelnemer de voornaam, account of (voor gasten) een hash van de gastcode, optioneel wensen; uitsluitingen (koppels, “mag niet trekken”); wie wie trok, versleuteld opgeslagen zodat ook de organisator het niet kan lezen; per reeks een onleesbare vingerafdruk (hash) van vorige trekkingen, om herhaling te vermijden. | Lootjes trekken zonder dat iemand de uitkomst kan zien. | Overeenkomst (deelnemers met account); gerechtvaardigd belang (gasten) | Alles wordt automatisch verwijderd op de verwijderdatum van de groep (standaard 30 dagen na het feest, maximaal 1 jaar; een dagelijkse opruimtaak doet dat ’s nachts). De vingerafdrukken van vorige trekkingen worden na 2 jaar verwijderd. |
| Klikken naar winkels | Product, winkel, het lijstje of cadeau waar je op klikte, de bron (zoeken, ideeën, gids, ...), affiliate ja of nee, tijdstip. Niet: je IP-adres, je account of cookies. | Weten welke links gebruikt worden en commissies van winkels kunnen controleren. | Gerechtvaardigd belang | Maximaal 24 maanden. |
| Populaire producten | Alleen een teller per product (hoe vaak het aan een lijstje werd toegevoegd), niet door wie. | Populaire producten en cadeau-ideeën tonen. | Gerechtvaardigd belang | Zolang het product in de catalogus staat. |
| Link plakken | De link die je plakt. Onze server haalt de pagina op om titel, foto en prijs in te vullen: de winkel ziet dan onze server, niet jou. | Een cadeau sneller invullen. | Overeenkomst | Niet bewaard, tenzij je het cadeau opslaat. |
| Wachtwoordcontrole | Kies je een wachtwoord, dan stuurt je browser de eerste 5 tekens van een hash ervan naar Have I Been Pwned om te controleren of het wachtwoord gelekt is. Je wachtwoord zelf wordt nooit verstuurd. Die dienst ziet daarbij wel je IP-adres. | Je account beveiligen. | Gerechtvaardigd belang | Wij bewaren niets. |
| Bezoek en beveiliging | Bij elk bezoek verwerkt onze hosting technische gegevens zoals IP-adres, browser en de gevraagde pagina. Ons IP-adres-gebruik tegen misbruik (rate limiting) gebeurt alleen in het werkgeheugen. | De site leveren en beveiligen. | Gerechtvaardigd belang | Kort, volgens de logtermijnen van Vercel en Supabase (enkele uren tot dagen). |
| Bezoekersstatistieken | Vercel Web Analytics en Speed Insights: pagina (zonder ids of codes), verwijzende site, land, soort toestel en browser, en laadsnelheid. Unieke bezoekers via een hash met een dagelijks wisselende sleutel, zonder cookies. De statistiekenpagina voor beheerders wordt niet gemeten. | Begrijpen hoeveel mensen de site gebruiken en welke pagina’s nuttig zijn. | Gerechtvaardigd belang | Alleen totalen; de hash is na 24 uur niet meer te koppelen. |
| Account-e-mails (bevestiging, wachtwoord herstellen) verstuurd via Supabase. Stuur je ons een e-mail, dan bewaren we die met je adres. | Je account beheren; je vraag beantwoorden. | Overeenkomst; gerechtvaardigd belang | Zolang nodig om je vraag af te handelen, maximaal 2 jaar. |
“Gerechtvaardigd belang” (art. 6.1.f AVG) betekent dat we de verwerking nodig hebben voor een redelijk doel en dat we hebben afgewogen dat het je privacy weinig raakt. Je kunt er altijd bezwaar tegen maken (zie punt 7).
4. Kinderen
Strikske is niet bedoeld voor eigen accounts van kinderen jonger dan 13 jaar. Kinderen jonger dan 13 jaar bestaan op Strikske alleen als profiel onder een ouder: geen eigen login, geen berichten, en de ouder beheert het profiel. Bij een kind tonen we op de openbare gezinspagina alleen de voornaam en nooit een foto. Ouders zien wat er gereserveerd is; het kind niet.
Een eigen account kan in België vanaf 13 jaar. In Nederland heb je onder de 16 jaar toestemming van een ouder nodig (zie “Voor gebruikers in Nederland”). Merken we dat een account van een kind jonger dan 13 jaar is, dan verwijderen we het of zetten we het om naar een profiel onder een ouder.
5. Met wie we gegevens delen
| Partij | Waarvoor | Waar | Waarborg |
|---|---|---|---|
| Supabase Inc. | Database, inloggen, account-e-mails (verwerker) | Gegevens opgeslagen in de EU (Frankfurt, Duitsland). Supabase is een Amerikaans bedrijf; toegang vanuit de VS is mogelijk. | Verwerkersovereenkomst met standaardcontractbepalingen (SCC’s) van de Europese Commissie |
| Vercel Inc. | Hosting, serverfuncties, bezoekersstatistieken (verwerker) | Wereldwijd netwerk; serverfuncties in Frankfurt (Duitsland). Amerikaans bedrijf. | Verwerkersovereenkomst; EU-VS Data Privacy Framework en/of SCC’s |
| Alleen als je inlogt met Google: bevestigt wie je bent en geeft ons je naam, e-mailadres en profielfoto | Google Ireland Ltd. voor gebruikers in de EER | Google is hiervoor zelf verantwoordelijk (privacybeleid van Google) | |
| Awin en partnerwinkels | Alleen als je op een affiliate-link klikt: Awin registreert de klik en een eventuele aankoop om de commissie toe te wijzen. We geven geen naam, e-mailadres of account door, alleen een algemene code zoals “strikske-search”. | Awin AG (Duitsland); de winkel | Awin en de winkel zijn hiervoor zelf verantwoordelijk (privacybeleid van Awin) |
| Winkels (productfoto’s) | Productfoto’s worden rechtstreeks van de server van de winkel geladen. Die ziet je IP-adres en browser, maar niet van welke pagina je komt. | Verschilt per winkel | Zelfstandig verantwoordelijk |
| Have I Been Pwned | Wachtwoordcontrole (zie hierboven) | Via Cloudflare | Ontvangt alleen een stukje van een hash, nooit je wachtwoord |
Verder delen we geen gegevens, tenzij de wet ons daartoe verplicht (bijvoorbeeld op bevel van een rechter). Lijstjes zijn alleen zichtbaar voor wie de link heeft; we laten lijstjes van gebruikers niet door zoekmachines indexeren.
6. Gegevens buiten de Europese Economische Ruimte
Supabase en Vercel zijn Amerikaanse bedrijven. De database staat in de EU, maar toegang vanuit de VS (bijvoorbeeld voor ondersteuning) is mogelijk. Daarvoor gelden het EU-VS Data Privacy Framework en/of de standaardcontractbepalingen van de Europese Commissie (art. 45 en 46 AVG).
7. Je rechten
Je hebt het recht op inzage, verbetering, verwijdering, beperking, overdraagbaarheid (een kopie in een gangbaar formaat) en bezwaar, en je kunt een gegeven toestemming altijd intrekken (art. 15 tot 21 AVG).
- Veel kun je zelf in de app: lijstjes, cadeaus, secties en gezinsleden aanpassen of verwijderen, en je reservering annuleren.
- Een kopie van je gegevens (inzage en overdraagbaarheid): ga in de app naar Account en privacy (/app/account) en kies “Mijn gegevens downloaden”. Je krijgt meteen een JSON-bestand met je profiel, lijstjes, cadeaus, secties, je reserveringen, je gezin en de profielen die je beheert, en je lootjesgroepen. Van anderen zie je daarin alleen wat je ook in de app ziet; wie anderen trokken staat er nooit in.
- Account verwijderen: op dezelfde pagina, met “Account verwijderen”. Je account en je gegevens worden meteen definitief verwijderd. Beheert iemand anders je gezin mee, dan blijven de profielen en lijstjes van je kinderen bij die persoon; anders worden ze mee verwijderd. Uit een lootjesgroep stap je uit: alleen wie jou had of door jou getrokken werd, krijgt een nieuw lootje, en was je organisator, dan gaat die rol naar een andere deelnemer. Cadeaus die jij bij anderen reserveerde, blijven gereserveerd zonder je naam, zodat niemand ze dubbel koopt. Back-ups bij Supabase worden na hun gewone bewaartermijn overschreven.
- Lukt het niet zelf, of wil je iets anders (verbetering, beperking, bezwaar)? Neem contact op via de pagina Contact. We antwoorden binnen een maand (art. 12.3 AVG).
- We kunnen je vragen te bevestigen dat het om jouw account gaat. We vragen nooit je wachtwoord.
8. Klacht indienen
Ben je niet tevreden, neem dan eerst contact met ons op. Je kunt altijd een klacht indienen bij de toezichthouder:
- België: Gegevensbeschermingsautoriteit (GBA), Drukpersstraat 35, 1000 Brussel, contact@apd-gba.be.
- Nederland: Autoriteit Persoonsgegevens (AP), Postbus 93374, 2509 AJ Den Haag.
- Of de toezichthouder in het EU-land waar je woont.
9. Beveiliging
Alles loopt via HTTPS. De database laat elke gebruiker alleen zijn eigen gegevens zien (row level security). Reserverings-, gast- en koppelcodes bewaren we alleen als hash. De uitkomst van de lootjes is versleuteld. Geen enkel systeem is perfect: merken we een datalek met risico voor jou, dan melden we dat aan de toezichthouder en, als het risico hoog is, aan jou (art. 33 en 34 AVG).
10. Cookies
Zie ons cookiebeleid. Kort: alleen strikt noodzakelijke opslag, geen trackingcookies, en daarom geen cookiebanner.
11. Voor gebruikers in Nederland
- Toezichthouder: de Autoriteit Persoonsgegevens (zie punt 8).
- Leeftijd: in Nederland ligt de leeftijdsgrens voor toestemming van een kind op 16 jaar (art. 5 Uitvoeringswet AVG). Ben je 13, 14 of 15 jaar, dan maak je alleen een eigen account met toestemming van een ouder. In België is dat 13 jaar (art. 7 van de wet van 30 juli 2018).
- Cookies: in Nederland geldt artikel 11.7a van de Telecommunicatiewet; zie ons cookiebeleid.
12. Wijzigingen
Passen we dit beleid wezenlijk aan, dan melden we dat op de site en, als je een account hebt, per e-mail, vóór de wijziging ingaat.