Privacybeleid

1. Wie we zijn, en waar dit beleid over gaat

MatchGrade wordt geëxploiteerd door Toonbaar, ingeschreven in het handelsregister van de Kamer van Koophandel onder nummer 85189022 (btw-identificatienummer NL863540119B01). Toonbaar is de verwerkingsverantwoordelijke voor de persoonsgegevens die in dit beleid staan beschreven, en je kunt ons daarover altijd bereiken via support@matchgrade.app.

Toonbaar is gevestigd op Werdorperwaard 7, 3984 PR Odijk, Netherlands.

Dit privacybeleid legt uit welke gegevens MatchGrade ("wij", "we", "ons" of "onze") verzamelt als je onze profielanalysedienst gebruikt, wat we ermee doen en welke rechten je hebt op grond van de Algemene verordening gegevensbescherming (AVG) en de Nederlandse privacywetgeving.

2. Wat we verzamelen

• Profielmateriaal: de foto's (twee tot zes) en de biotekst die je instuurt om te laten analyseren.

• Contactgegevens: je e-mailadres, verzameld als je credits koopt, gebruikt om je zonder wachtwoord in te loggen en om je de link naar je rapport te sturen.

• Betaalgegevens: factuurgegevens die door Mollie worden verwerkt (zie "Betaalgegevens" hieronder) en een registratie van wat je hebt gekocht, wanneer en voor hoeveel.

• Vastlegging van je herroepingsverklaringen: welke verklaringen je bij het afrekenen hebt gedaan over directe levering en je herroepingsrecht, het tijdstip, het IP-adres waarvandaan je ze deed en de versie van de Voorwaarden die toen gold, bewaard als bewijs van toestemming.

• Technische gegevens: standaard metadata van webverzoeken (zoals IP-adres en browser-user-agent) die ontstaan als je de Dienst gebruikt, gebruikt voor beveiliging en het tegengaan van misbruik.

We gebruiken geen cookies voor advertenties of tracking door derden. Supabase, onze authenticatieleverancier, plaatst uitsluitend een sessiecookie om je ingelogd te houden. Daarnaast bewaren we een cookie met je taalkeuze, en als je via een referrallink binnenkomt een cookie die vastlegt welke referrer je heeft doorverwezen, zodat de commissie kan worden toegerekend. Deze cookies zijn strikt noodzakelijk om te leveren wat je hebt gevraagd, dus op grond van artikel 11.7a van de Telecommunicatiewet hoeven we je geen toestemming te vragen om ze te plaatsen.

We gebruiken Vercel Web Analytics en Vercel Speed Insights om te meten hoe de site wordt gebruikt en hoe snel hij laadt. Die plaatsen geen cookies en volgen je niet over andere websites; ze leiden uit gegevens van het verzoek, zoals je IP-adres en browsertype, een anonieme en niet-blijvende bezoekersaanduiding af, die wij alleen geaggregeerd zien.

3. Hoe we je gegevens gebruiken

We gebruiken de gegevens hierboven om: je rapport te maken; je te identificeren en je toegang te geven tot je rapporten op het dashboard; betalingen te verwerken; transactionele e-mails te sturen (inloglinks, meldingen dat je rapport klaar is, en de aankoopbevestiging die het consumentenrecht ons verplicht op een duurzame gegevensdrager te verstrekken); het gebruik en de prestaties van de site geaggregeerd te meten; fraude en misbruik tegen te gaan; en te voldoen aan wettelijke verplichtingen, waaronder de administratie rond je herroepingsverklaringen.

4. Onze grondslagen voor de verwerking

Op grond van artikel 6 AVG verwerken we je persoonsgegevens alleen als we daarvoor een grondslag hebben:

• Uitvoering van een overeenkomst (artikel 6 lid 1 sub b): het maken en leveren van je rapport, je toegang geven tot dat rapport op het dashboard, en je aankoop afhandelen. Je foto's en biotekst verwerken we op deze grondslag: die analyseren is precies de dienst waar je om hebt gevraagd.

• Wettelijke verplichting (artikel 6 lid 1 sub c): het bewaren van betaalgegevens en de vastlegging van de afstand van herroeping voor het consumentenrecht, de boekhouding en de belastingdienst.

• Gerechtvaardigd belang (artikel 6 lid 1 sub f): de Dienst veilig houden, fraude en misbruik voorkomen, en geaggregeerd gebruik en prestaties begrijpen zodat we de Dienst kunnen verbeteren. We wegen die belangen af tegen jouw rechten en gebruiken de minst ingrijpende gegevens die volstaan.

• Toestemming (artikel 6 lid 1 sub a): alleen waar we je daar specifiek om vragen. Je kunt toestemming altijd intrekken; dat raakt niet aan de verwerking die al heeft plaatsgevonden.

Op je foto's staat je gezicht, maar we passen geen gezichtsherkenning of andere techniek toe waarmee je aan de hand daarvan wordt geïdentificeerd. We verwerken ze dus niet als biometrische gegevens in de zin van artikel 9 AVG. We vragen niet om bijzondere categorieën persoonsgegevens over bijvoorbeeld gezondheid, religie, politieke opvattingen of seksuele gerichtheid, en we vragen je die ook niet in te sturen.

5. Hoe foto's worden gebruikt en opgeslagen

Geüploade foto's worden opgeslagen in afgeschermde opslag en zijn alleen bereikbaar via kortlopende ondertekende URL's. Ze staan nooit openbaar in een lijst en zijn niet te doorzoeken. Foto's worden uitsluitend gebruikt om jouw eigen MatchGrade-rapport te maken. Ze worden niet met derden gedeeld voor hun eigen doeleinden, niet verkocht en niet gebruikt om een AI-model te trainen.

Foto's worden 90 dagen na het uploaden automatisch verwijderd. Je kunt ook op elk moment vragen om je foto's en rapportgegevens eerder te verwijderen. Zie "Jouw rechten" hieronder.

6. Hoe biotekst wordt gebruikt

Als je biotekst instuurt, gaat die naar de Claude API van Anthropic met als enige doel de geschreven feedback in je rapport te maken. Het wordt nergens anders voor gebruikt, wordt niet gecombineerd met gegevens van andere gebruikers en wordt niet door ons en, volgens de API-voorwaarden van Anthropic, ook niet door Anthropic gebruikt om AI-modellen te trainen.

7. Betaalgegevens

Betalingen worden verwerkt door Mollie B.V., een betaaldienstverlener gevestigd in Nederland, dus je betaalgegevens blijven binnen de EU. Bij het afrekenen vul je je bank- of kaartgegevens rechtstreeks in bij de beveiligde, PCI-conforme checkout van Mollie, of bij iDEAL in de omgeving van je eigen bank. MatchGrade ontvangt of bewaart je volledige rekeningnummer, kaartnummer, CVC of andere gevoelige betaalgegevens niet. We bewaren wel de betaalgegevens die Mollie ons doorgeeft (zoals het bedrag, de valuta en een referentie) om je bestelling af te handelen, terugbetalingen te verwerken en aan onze boekhoud- en belastingverplichtingen te voldoen. Daarnaast leggen we vast uit welk land je aankoop geacht wordt te komen, samen met de twee signalen waarop dat is gebaseerd: het land waar je verbinding op uitkwam toen je begon met afrekenen, en het land waar de betaling volgens Mollie vandaan kwam. De EU-btw-regels voor digitale diensten verplichten ons vast te stellen waar onze klant zich bevindt en dat te kunnen onderbouwen, en dit is het minimum dat dat doet — we leiden er een landcode van twee letters uit af en bewaren je IP-adres hier niet voor. Lees het privacybeleid van Mollie voor hoe zij met je betaalgegevens omgaan.

8. Geautomatiseerde verwerking en AI

Je rapport wordt automatisch gemaakt door een AI-model, zonder dat een mens het bekijkt voordat jij het ziet. Die automatisering is precies de dienst die je koopt, en het resultaat is een oordeel met scores over foto's en tekst. Het heeft geen rechtsgevolg voor je en raakt je niet in vergelijkbare mate, dus het is geen geautomatiseerde besluitvorming waar artikel 22 AVG grenzen aan stelt. We bouwen geen profiel van je op en gebruiken je gegevens niet om buiten je eigen rapport om besluiten over je te nemen.

Vind je dat een rapport er echt naast zit, mail dan naar support@matchgrade.app en dan kijkt er een mens naar.

9. Bewaartermijnen

Foto's: automatisch verwijderd 90 dagen na het uploaden, of eerder op verzoek.

Biotekst en rapportresultaten: bewaard zolang je account- en rapporthistorie actief is, zodat je oude rapporten kunt bekijken, of tot je om verwijdering vraagt.

Vastlegging van je herroepingsverklaringen en betaalgegevens: bewaard zolang het geldende consumentenrecht en de boekhoud- en belastingwetgeving dat vereisen, ook als je verder om verwijdering van je account vraagt.

10. Externe dienstverleners

We delen gegevens met de volgende leveranciers, die ze alleen namens ons verwerken, op basis van een verwerkersovereenkomst en onder hun eigen beveiligings- en privacyafspraken: Supabase (database, authenticatie en bestandsopslag), Anthropic (AI-analyse van foto's en biotekst), Vercel (hosting van de website en gebruiksmeting) en Mollie (betalingsverwerking, gevestigd in de EU). We verkopen je persoonsgegevens aan niemand en delen ze niet voor de eigen doeleinden van een ander.

11. Doorgifte buiten de EER

We houden je gegevens binnen de Europese Economische Ruimte waar dat kan. Supabase host onze database en bestandsopslag in de EU, en Mollie verwerkt betalingen in Nederland.

Anthropic, dat de AI-analyse uitvoert, is gevestigd in de Verenigde Staten, dus de foto's en biotekst die voor analyse worden verstuurd gaan buiten de EER. Die doorgifte vindt plaats onder de modelcontractbepalingen van de Europese Commissie uit de verwerkersbijlage van Anthropic, samen met aanvullende maatregelen zoals versleuteling tijdens transport en opslag, zodat je gegevens een beschermingsniveau houden dat in wezen gelijkwaardig is aan dat van het EU-recht. Vercel, onze hosting- en analyticsleverancier, is eveneens in de VS gevestigd en steunt op dezelfde modelcontractbepalingen.

Wil je meer weten over deze waarborgen, vraag er dan naar via support@matchgrade.app.

12. Hoe we je gegevens beveiligen

Gegevens worden over versleutelde verbindingen verstuurd en opgeslagen in infrastructuur met toegangscontrole. Geüploade foto's staan in afgeschermde opslag die nooit openbaar wordt getoond en alleen bereikbaar is via kortlopende ondertekende URL's, en toegang tot productiegegevens is beperkt tot de mensen die die nodig hebben om de Dienst te draaien.

Geen enkel systeem is perfect beveiligd. Gebeurt er ooit een datalek dat waarschijnlijk een risico vormt voor je rechten en vrijheden, dan melden we dat binnen 72 uur bij de Autoriteit Persoonsgegevens en, als het risico voor jou hoog is, ook rechtstreeks aan jou, zoals de artikelen 33 en 34 AVG voorschrijven.

13. Jouw rechten

Op grond van de AVG heb je het recht om de persoonsgegevens die wij over je hebben in te zien, onjuiste gegevens te laten corrigeren, je gegevens te laten verwijderen, ze in een overdraagbaar formaat te ontvangen, de verwerking te laten beperken, bezwaar te maken tegen verwerkingen die wij op een gerechtvaardigd belang baseren, en gegeven toestemming in te trekken (wat niet raakt aan de verwerking die al heeft plaatsgevonden).

Wil je een van deze rechten uitoefenen, mail dan support@matchgrade.app vanaf het adres dat aan je rapport of account hangt. Dat is gratis, en we reageren binnen één maand zoals artikel 12 AVG voorschrijft; bij complexe of veel verzoeken kunnen we die termijn met maximaal twee maanden verlengen, en dan laten we dat weten. Bij verwijdering halen we je opgeslagen foto's, biotekst en rapportresultaten weg; gegevens die we wettelijk moeten bewaren (zoals de vastlegging van de afstand van herroeping en betaalgegevens) kunnen we bewaren zoals hierboven beschreven.

Ben je ontevreden over hoe we met je gegevens omgaan, dan lossen we dat graag eerst zelf op, maar je hebt ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl) of bij de toezichthouder in het EU-land waar je woont of werkt.

14. Privacy van kinderen

De Dienst is niet bedoeld voor en mag niet worden gebruikt door iemand onder de 18 jaar. We verzamelen niet bewust persoonsgegevens van mensen onder de 18. Denk je dat een minderjarige ons persoonsgegevens heeft gegeven, neem dan contact op en we verwijderen ze.

15. Wijzigingen in dit beleid

We kunnen dit privacybeleid van tijd tot tijd bijwerken. Bij inhoudelijke wijzigingen passen we de datum bij "Laatst bijgewerkt" hierboven aan en laten we het je weten voordat ze ingaan, zodat je eerst je rechten uit artikel 13 kunt uitoefenen. Een wijziging van dit beleid verruimt nooit wat we met al verzamelde gegevens mogen doen tot buiten wat de AVG toestaat.

16. Contact

Vragen over dit privacybeleid of over je gegevens kun je sturen naar support@matchgrade.app. We hebben geen functionaris voor gegevensbescherming aangesteld, omdat we daartoe niet verplicht zijn; via dat adres bereik je de mensen die bij MatchGrade over privacy gaan.