Privacyverklaring

1. Wie is verantwoordelijk?

De verwerkingsverantwoordelijke voor deze dienst is:

Naam

Bart Alsema

Handelsnaam

Speurtochtmaken.nl

Email

bart@bhdv.nl

KvK

—

Adres

—

2. Welke gegevens verwerken we?

We onderscheiden twee soorten gebruikers:

Organisator (jij, als account-houder)

• Email-adres — voor inloggen via magic-link en voor servicemededelingen.
• Naam (optioneel) — als je 'm invult.
• Door jou ingevulde speurtochten — titel, thema, GPS-coördinaten, verhaaltekst, vragen, antwoorden.
• Vriendencode + AI-tegoeden — voor het referral- en credits-systeem.
• Betalingsgegevens — alleen als je een speurtocht activeert. We verwerken zelf geen kaartgegevens; die gaan rechtstreeks naar Mollie (zie verwerkers).
• Logs van gebruik — IP-adres en tijdstip bij foutmeldingen of misbruik-detectie. Bewaard maximaal 30 dagen.

Deelnemer (kind of speler in een team)

• Teamnaam — zelfgekozen, geen echte naam vereist.
• GPS-locatie — uitsluitend tijdens het spelen om te controleren of de speler op de juiste post is. We tonen 'm op het live scorebord aan de organisator.
• Ingediende antwoorden en foto's — tekst, keuzes en eventueel een foto van een opdracht.
• Tijdstempels — wanneer een opdracht is gestart of voltooid, voor het scorebord.

We vragen géén namen, adressen, telefoonnummers of geboortedata van kinderen. Spelers hebben geen account.

3. Waarom verwerken we deze gegevens?

• Uitvoering van de overeenkomst — je kunt zonder email-adres niet inloggen, en zonder GPS-data werkt de speurtocht niet.
• Gerechtvaardigd belang — fraude- en misbruik-preventie (rate-limiting op login), foutopsporing, moderatie van AI-uitvoer.
• Wettelijke verplichting — bewaartermijnen voor betaalgegevens (boekhouding).

We gebruiken gegevens niet voor reclame, persoonlijkheidsprofielen, doorverkoop of geautomatiseerde beslissingen met juridische gevolgen.

4. Hoe lang bewaren we?

• Concept-speurtochten zonder activiteit: tot 60 dagen.
• Gespeelde speurtochten (verhaal, vragen, route): tot 365 dagen na laatste activiteit. Daarna automatisch verwijderd.
• Door spelers geüploade foto's: tot 30 dagen. Daarna automatisch verwijderd uit de opslag.
• GPS-locaties van spelers: na 30 dagen geanonimiseerd (gewist uit de records).
• Betaalgegevens / facturen: tot 7 jaar (wettelijk verplicht voor boekhouding).
• Inloglogs: tot 30 dagen.

Als organisator kun je op /organisator/account ál je data eerder zelf wissen.

5. Kinderen onder de 16

Speurtochtmaken.nl is gemaakt voor activiteiten zoals kinderfeestjes, schoolreizen en buurtactiviteiten. De organisator is altijd een volwassene (ouder, leerkracht, vrijwilliger) die de speurtocht opzet en de verantwoordelijkheid neemt voor de deelnemers.

Kinderen hebben in onze app geen account: ze scannen een QR-code en kiezen een teamnaam. We vragen geen persoonlijke gegevens van het kind zelf. De organisator is verantwoordelijk voor het verkrijgen van toestemming van ouders van deelnemende kinderen waar dat nodig is.

Foto's die kinderen maken (foto-opdrachten) worden uitsluitend gedeeld met de organisator van die specifieke speurtocht, en automatisch na 30 dagen verwijderd.

6. Met wie delen we gegevens?

We zetten een aantal gespecialiseerde dienstverleners in om de app te laten werken. Met al deze partijen hebben we een verwerkersovereenkomst (of vergelijkbare juridische basis):

We verkopen nooit gegevens aan derden en gebruiken geen advertentie-tracking.

7. Internationale doorgifte

Een paar van onze leveranciers (Vercel, Resend, OpenAI) hebben kantoren in de Verenigde Staten. Doorgifte van gegevens buiten de EU gebeurt op basis van het EU-VS Data Privacy Frameworken/of standaardcontractsbepalingen (SCC's) zoals goedgekeurd door de Europese Commissie. Voor foto's en GPS-data van spelers kiezen we expliciet voor EU-leveranciers (Cloudflare R2 West-EU, Neon Frankfurt, Upstash Frankfurt).

8. Jouw rechten

Je hebt het recht om:

• Inzage te krijgen in welke gegevens we van je hebben.
• Gegevens te laten corrigeren of verwijderen.
• Bezwaar te maken tegen de verwerking.
• Je gegevens in een gangbaar formaat mee te nemen (dataportabiliteit).
• Een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Stuur een mail naar bart@bhdv.nl; we reageren binnen 30 dagen. Voor het verwijderen van je organisator-data kun je het ook zelf doen via je account-pagina.

9. Cookies en lokale opslag

We gebruiken uitsluitend functionele cookies:

• Een sessie-cookie om je login-status te onthouden (alleen voor organisatoren).
• Een korte cookie tijdens het spelen om de team-identiteit vast te houden.

We gebruiken geen tracking-cookies, geen analytics-cookies van Google of vergelijkbare partijen, en geen advertentie-cookies. Daarom hoef je geen cookie-banner weg te klikken.

10. Beveiliging

We versleutelen al het verkeer met HTTPS (TLS). Wachtwoorden slaan we niet op — we gebruiken passwordless login via magic-link. Foto's en database staan in encrypted-at-rest opslag bij onze leveranciers. Toegang tot productie-data is alleen voor de beheerder (zie sectie 1).

11. Wijzigingen

We kunnen deze verklaring aanpassen als de dienst verandert. Substantiële wijzigingen melden we via email aan ingelogde organisatoren. De datum bovenaan deze pagina toont altijd wanneer de inhoud voor het laatst is bijgewerkt.

12. Vragen?

Mail naar bart@bhdv.nl. Een mens leest het — meestal binnen een paar werkdagen.