Privacybeleid

1. Verantwoordelijke

mijnKleermaker is een dienst van TFVS, handelend onder de naam mijnKleermaker en Van Schoot Technologies, gevestigd aan Uiterwaardenstraat 59-2, 1079 BS Amsterdam, ingeschreven bij de Kamer van Koophandel onder nummer 42034174.

Voor vragen over jouw persoonsgegevens kun je contact opnemen via privacy@vanschoot.nl.

2. Welke gegevens verzamelen wij?

Afhankelijk van hoe je onze dienst gebruikt, verwerken wij de volgende categorieën persoonsgegevens:

Accountgegevens

• Naam, e-mailadres en telefoonnummer
• Adresgegevens voor bezorging en retourzending
• Inloggegevens (wachtwoord, opgeslagen als bcrypt-hash)
• Bij sociale login (Google, Facebook): naam, e-mailadres en profielafbeelding

Bestellingen en dienstverlening

• Bestelgeschiedenis, kledingstukken, reparatie- en reinigingsdetails
• Foto's van kledingstukken die je uploadt (voor- en schadefoto's)
• Na-foto's van het gerepareerde kledingstuk, die je uploadt om een review af te ronden
• Betaalinformatie (verwerkt via Mollie, wij slaan geen betaalgegevens op)
• Reviews: je beoordeling en je toelichting; met je toestemming ook je voornaam en woonplaats, voor publicatie

Loyaliteits- en verwijzingsprogramma

• Verdiende en gebruikte loyaliteitspunten per bestelling
• Verwijzingslinks en -codes (referral)
• Verwijzingsrelaties (wie heeft wie doorverwezen)

Communicatie

• Berichten via het contactformulier of supporttickets
• E-mailcommunicatie (transactioneel: orderbevestiging, statusupdates, facturen)

Technische gegevens

• IP-adres, browsertype, apparaattype
• Sessietokens (JWT in HttpOnly cookie, max. 7 dagen geldig)
• Tijdstempels van acties (bestellen, inloggen, betalingen)
• Geaggregeerde, cookieloze bezoekstatistieken via Vercel Web Analytics (paginaweergaven, herkomst en apparaattype), niet herleidbaar tot een persoon

3. Waarvoor gebruiken wij jouw gegevens?

• Uitvoering van de overeenkomst: reparatie, reiniging, bezorging en retourzending
• Klantcommunicatie: orderbevestigingen, statusupdates en facturen
• Klantenservice en afhandeling van klachten en supporttickets
• Loyaliteitsprogramma: bijhouden en uitkeren van punten
• Verwijzingsprogramma: toekennen van bonuspunten bij doorverwijzingen
• Marketing: met je toestemming gebruik van de na-foto en de reviewtekst op onze website en eigen social media, met je voornaam en woonplaats; op de foto staan geen gezichten van anderen (artikel 11 van de algemene voorwaarden)
• Wettelijke verplichtingen: facturatie, btw-administratie (7 jaar bewaarplicht)
• Fraudepreventie en beveiliging van onze systemen
• Verbetering van onze diensten op basis van geanonimiseerde statistieken
• Publicatie van reviews op ons platform, alleen met je toestemming en dan met je voornaam en woonplaats; je achternaam, adres en e-mailadres worden nooit getoond

4. Grondslag voor verwerking

Wij verwerken persoonsgegevens op basis van de volgende grondslagen (AVG art. 6):

• Uitvoering van een overeenkomst (art. 6 lid 1 sub b): voor het verwerken van bestellingen, bezorging, communicatie en facturatie, en voor de na-foto, de reviewtekst en de beoordeling bij een review: kwaliteitscontrole, klachten en geschillen
• Wettelijke verplichting (art. 6 lid 1 sub c): voor boekhouding, btw-administratie en bewaarplichten
• Gerechtvaardigd belang (art. 6 lid 1 sub f): voor fraudepreventie, systeemveiligheid en geanonimiseerde serviceverbeteringen. Wij hebben een afweging gemaakt: jouw privacybelang weegt in die afweging niet zwaarder dan ons belang bij een veilige en goed werkende dienst. Tegen deze verwerking kun je bezwaar maken (art. 21).
• Toestemming (art. 6 lid 1 sub a): voor het gebruik van je review en na-foto op onze website en eigen social media, met je voornaam en woonplaats, als je daarvoor bij de review het aparte vinkje zet; verder alleen als wij je voor een specifieke verwerking uitdrukkelijk om toestemming vragen. Je kunt toestemming op elk moment intrekken, voor je review via je account, of door contact op te nemen via privacy@vanschoot.nl. Het intrekken van toestemming laat de rechtmatigheid van eerdere verwerking onverlet.

5. Delen met derden

Wij verstrekken jouw persoonsgegevens uitsluitend aan derden voor zover dit noodzakelijk is voor de uitvoering van de dienst of wettelijk vereist. Wij sluiten met alle verwerkers een verwerkersovereenkomst.

Voor doorgifte buiten de EU (Resend, Vercel, Railway en, alleen als je via een externe account inlogt, de gekozen inlogprovider) maken wij gebruik van de standaardcontractbepalingen (SCCs) van de Europese Commissie. Wij verkopen jouw gegevens nooit aan derden voor commerciële doeleinden.

6. Bewaartermijnen

• Accountgegevens: zolang het account actief is, daarna 3 jaar na laatste activiteit in verband met garantie en klachtenafhandeling
• Bestelgegevens en facturen: 7 jaar (fiscale bewaarplicht)
• Kledingfoto's (voor- en schadefoto's): 3 jaar na afsluiting van de bestelling in verband met garantie en klachtenafhandeling
• Na-foto's en reviews voor marketing: zolang je toestemming loopt; na intrekking binnen 30 dagen uit onze kanalen verwijderd
• Loyaliteits- en verwijzingsgegevens: 2 jaar na het verlopen of inzetten van punten
• Contactberichten en supporttickets: 3 jaar na het laatste bericht, in verband met garantie en klachtenafhandeling
• Technische logs: maximaal 90 dagen
• Na-foto bij een review zonder toestemming, of na intrekking: net als de kledingfoto's 3 jaar na afsluiting van de bestelling. Voornaam en woonplaats op een review met toestemming: zolang je toestemming loopt; bij intrekking gewist. Reviewtekst en beoordeling: met je toestemming zolang die loopt; zonder toestemming, of na intrekking, 3 jaar na afsluiting van de bestelling

7. Jouw rechten

Op grond van de AVG heb je de volgende rechten:

• Inzage (art. 15): opvragen welke gegevens wij van je verwerken
• Rectificatie (art. 16), onjuiste gegevens laten corrigeren
• Verwijdering (art. 17), gegevens laten wissen ("recht op vergetelheid"), tenzij een wettelijke bewaarplicht van toepassing is
• Beperking (art. 18), verwerking tijdelijk beperken
• Bezwaar (art. 21), bezwaar maken tegen verwerking op grond van gerechtvaardigd belang of direct marketing
• Overdraagbaarheid (art. 20), jouw gegevens opvragen in een gestructureerd, leesbaar formaat (JSON/CSV)
• Toestemming intrekken, eerder gegeven toestemming op elk moment intrekken

Stuur een verzoek naar privacy@vanschoot.nl. Wij reageren binnen 30 dagen. Wij kunnen jouw identiteit verifiëren voordat wij een verzoek behandelen.

Je hebt ook het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

8. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om jouw gegevens te beschermen:

• Versleutelde verbindingen (HTTPS/TLS)
• Wachtwoorden worden opgeslagen als bcrypt-hash; wij zien jouw wachtwoord nooit in leesbare vorm
• JWT-sessietokens opgeslagen in HttpOnly cookies (Secure + SameSite=Lax) met een geldigheid van maximaal 7 dagen
• Bestandsopslag via beveiligde Supabase Storage met tijdelijke toegangslinks
• Toegangsbeheer: productie- en adminrollen hebben alleen toegang tot gegevens die zij voor hun taak nodig hebben

Bij een datalek dat jouw rechten en vrijheden beïnvloedt, worden betrokkenen en de Autoriteit Persoonsgegevens uiterlijk binnen 72 uur geïnformeerd (AVG art. 33–34).

9. Cookies

mijnKleermaker maakt uitsluitend gebruik van functionele cookies die strikt noodzakelijk zijn voor het functioneren van de website:

• Sessiebeheer en inlogstatus (JWT opgeslagen in een HttpOnly cookie, beveiligd tegen XSS)
• Tijdelijke opslag van winkelmandgegevens (draft-bestelling)

Wij plaatsen geen tracking-, advertentie- of analytische cookies van derden zonder jouw uitdrukkelijke toestemming.

10. Minderjarigen

Onze dienst is niet gericht op kinderen jonger dan 16 jaar. Wij verwerken niet bewust persoonsgegevens van minderjarigen zonder toestemming van een ouder of voogd. Als je vermoedt dat wij gegevens van een minderjarige verwerken zonder geldige toestemming, neem dan contact op via privacy@vanschoot.nl.

11. Geautomatiseerde besluitvorming

mijnKleermaker maakt geen gebruik van volledig geautomatiseerde besluitvorming of profilering die rechtsgevolgen heeft voor jou of jou op vergelijkbare wijze aanzienlijk treft (AVG art. 22). Orderstatusovergangen zijn geautomatiseerd maar hebben geen negatief rechtsgevolg voor jou als klant.

12. Wijzigingen

Wij kunnen dit privacybeleid aanpassen als onze dienstverlening of de wetgeving wijzigt. Bij wezenlijke wijzigingen informeren wij je via e-mail of een melding in de app minstens 30 dagen voordat de wijziging van kracht wordt. De actuele versie is altijd beschikbaar op deze pagina.