Privacyverklaring
Concept – nog niet juridisch gecontroleerd. Deze tekst is een concept (versie 0.2) en is nog niet door een jurist of advocaat beoordeeld. Gebruik deze tekst niet als definitieve versie voordat die controle is gedaan.
1. Wie zijn wij?
TheorieWin (theoriewin.com) is een online platform om te leren voor het CBR-theorie-examen in Nederland. De verwerkingsverantwoordelijke voor je persoonsgegevens is:
- [NOMBRE LEGAL]
- [DIRECCIÓN], Nederland
- KvK-nummer: [NÚMERO KvK]
- E-mail: [EMAIL DE CONTACTO]
Voor alles wat met privacy te maken heeft, kun je ook mailen naar privacy@theoriewin.com.
TheorieWin is onafhankelijk en heeft geen band met het CBR (Centraal Bureau Rijvaardigheidsbewijzen).
Deze verklaring volgt de Algemene Verordening Gegevensbescherming (AVG) en de Nederlandse uitvoeringswet daarvan (UAVG).
2. In het kort
- We verwerken alleen de gegevens die nodig zijn om je account en je studieplan te laten werken.
- We verkopen je gegevens niet, we tonen geen advertenties en we gebruiken geen tracking- of analysecookies.
- Je kunt je gegevens op elk moment zelf downloaden en je account zelf verwijderen via je accountpagina.
- Je moet minstens 16 jaar zijn om een account te maken.
3. Welke gegevens verwerken we?
Account
- E-mailadres
- Naam (om je te begroeten en je initialen in het menu te tonen)
- Wachtwoordhash: je wachtwoord wordt alleen als hash opgeslagen (Argon2id). Wij zien je wachtwoord nooit.
- Of je e-mailadres is bevestigd
- Voorkeurstaal
- Datum waarop je account is gemaakt
Je kunt ook inloggen met een eenmalige link (“magic link”) die we naar je e-mailadres sturen.
Persoonlijke gegevens
- Geboortejaar (verplicht): om te controleren of je de minimumleeftijd hebt en om het tempo van je plan aan te passen. We bewaren alleen het jaar, nooit de volledige datum.
- Nationaliteit (optioneel): helpt ons kiezen in welke talen we uitleg toevoegen. We gebruiken dit alleen in anonieme, samengevoegde statistieken, nooit om je anders te behandelen.
- Telefoonnummer (optioneel): alleen om contact met je op te nemen als je ons om hulp vraagt. Nooit voor reclame, en we delen het nooit.
Je kunt deze gegevens altijd wijzigen in “Mijn profiel”, en je nationaliteit en telefoonnummer met één knop verwijderen. Ze worden apart van je leergegevens bewaard.
App-voorkeuren
Of je een geluid wilt bij een goed antwoord, of je liever minder animaties ziet, de intensiteit van je plan en of je herinneringen per e-mail wilt (en op welk tijdstip).
Studieprofiel (alle velden optioneel)
- Geplande examendatum
- Taal en soort examen (Nederlands, Engels, met tolk, met verlengde tijd)
- Dagelijks studiedoel in minuten
- Resultaten van de eerste instaptoets
Leergegevens
- Elk antwoord dat je geeft: vraag-ID, goed of fout, of je “twijfel” hebt aangevinkt, hoeveel tijd je nodig had en de oefenmodus
- Je herhalingsschema (spaced repetition) per vraag
- Resultaten van proefexamens
- Je langste reeks goede antwoorden op rij tijdens het oefenen (je persoonlijke record)
- Optioneel: de uitslag van je echte CBR-examen, als je die zelf invult. We gebruiken dit alleen om het slagingspercentage van het platform te berekenen, als anonieme, samengevoegde statistiek.
Sessies en beveiliging
- Een sessiecookie die ervoor zorgt dat je ingelogd blijft (zie de cookieverklaring).
- Sessiegegevens met een vervaldatum en je browsertype (user agent, ingekort), zodat je je actieve sessies kunt zien en beëindigen.
- We slaan geen IP-adressen op bij je account. Om misbruik te voorkomen, leggen we mislukte inlogpogingen vast met een gezouten hash (salted hash) van het e-mailadres en van het IP-adres.
- De technische logs van onze server bevatten je IP-adres en je e-mailadres niet.
- Als je browser iets blokkeert vanwege onze beveiligingsregels (Content Security Policy), stuurt hij ons een technisch rapport: de pagina, het geblokkeerde onderdeel en het browsertype. Dat rapport bevat je IP-adres en je accountgegevens niet.
Acceptatiegegevens
Welke versie van de gebruiksvoorwaarden en van deze privacyverklaring je hebt geaccepteerd, en wanneer.
E-mails
We sturen alleen transactionele e-mails: bevestiging van je e-mailadres, magic links, wachtwoordherstel, beveiligingsmeldingen, een waarschuwing bij een inactief account en bevestiging dat je account is verwijderd. We sturen geen marketingmails. Als we dat ooit willen, vragen we eerst apart je toestemming (opt-in). Zet je ze aan in de app, dan sturen we ook studieherinneringen: hooguit één per dag, alleen op dagen dat je nog niet hebt geoefend, en je zet ze met één klik uit vanuit de e-mail zelf.
Berichten die je ons stuurt
Als je ons mailt (bijvoorbeeld naar support@, privacy@ of security@theoriewin.com), bewaren we je bericht, je e-mailadres en ons antwoord, zodat we je kunnen helpen.
Gegevens op je apparaat
De app bewaart in je browser een kopie van je voortgang, zodat hij ook offline werkt. De details staan in de cookieverklaring.
4. Waarom gebruiken we je gegevens en op welke grondslag?
| Doel | Gegevens | Grondslag |
|---|---|---|
| Je account maken en beheren, inloggen | Accountgegevens, sessiegegevens | Uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG) |
| De minimumleeftijd controleren en het tempo van je plan aanpassen | Geboortejaar | Uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG) |
| Kiezen in welke talen we uitleg toevoegen (alleen anonieme statistieken) | Nationaliteit (optioneel) | Toestemming (art. 6 lid 1 sub a AVG): je geeft die door het veld in te vullen en trekt die in door het te verwijderen |
| Contact met je opnemen als je om hulp vraagt | Telefoonnummer (optioneel) | Toestemming (art. 6 lid 1 sub a AVG): je geeft die door het veld in te vullen en trekt die in door het te verwijderen |
| De studiedienst leveren: persoonlijk oefenen, herhalingsschema, proefexamens, voortgang | Studieprofiel, leergegevens, voorkeuren | Uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG) |
| Transactionele e-mails sturen | E-mailadres, taal | Uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG) |
| Studieherinneringen sturen | E-mailadres, gekozen tijdstip, activiteit van die dag | Toestemming (art. 6 lid 1 sub a AVG): je zet ze zelf aan en uit |
| Je berichten beantwoorden | E-mailadres, inhoud van het bericht | Uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG) of gerechtvaardigd belang: vragen kunnen beantwoorden (art. 6 lid 1 sub f AVG) |
| Beveiliging en voorkomen van misbruik (mislukte inlogpogingen, botbescherming, sessiebeheer, beveiligingsrapporten van de browser) | Hashes van e-mailadres en IP-adres, sessiegegevens, technische gegevens | Gerechtvaardigd belang: het platform en je account veilig houden (art. 6 lid 1 sub f AVG) |
| Samengevoegde slagingsstatistiek | Zelf ingevulde examenuitslag (geanonimiseerd) | Gerechtvaardigd belang: het platform begrijpen en verbeteren (art. 6 lid 1 sub f AVG) |
| Aantonen welke voorwaarden je hebt geaccepteerd en wettelijke verplichtingen nakomen | Acceptatiegegevens en andere gegevens als de wet dat vereist | Gerechtvaardigd belang (art. 6 lid 1 sub f AVG) en, waar van toepassing, wettelijke verplichting (art. 6 lid 1 sub c AVG) |
Als we ons baseren op gerechtvaardigd belang, mag je bezwaar maken (zie paragraaf 9). Als we ons baseren op je toestemming, kun je die op elk moment intrekken; dat heeft geen invloed op de verwerking daarvóór.
We nemen geen besluiten die alleen op geautomatiseerde verwerking zijn gebaseerd en die rechtsgevolgen of vergelijkbare grote gevolgen voor je hebben. De volgorde van de oefenvragen past zich aan je antwoorden aan; dat heeft alleen invloed op je oefening.
Betalingen zijn niet actief. Als we later betaalde functies toevoegen, passen we deze verklaring aan voordat die starten.
5. Wie ontvangt je gegevens?
We verkopen geen persoonsgegevens. We werken met de volgende dienstverleners (verwerkers). Zij mogen gegevens alleen verwerken volgens onze instructies.
| Dienstverlener | Waarvoor | Locatie en waarborgen |
|---|---|---|
| Cloudflare, Inc. | DNS, CDN en hosting van de website (Cloudflare Workers), inclusief de video’s; botbescherming op de inlogformulieren (Turnstile); doorsturen van de e-mails die je ons stuurt (Email Routing); en een beveiligde tunnel naar onze server. Al het verkeer tussen je browser en onze server gaat via het netwerk van Cloudflare. Cloudflare verwerkt daarom technische gegevens, zoals je IP-adres. | Verenigde Staten en wereldwijd netwerk; EU-US Data Privacy Framework en standaardcontractbepalingen |
| Brevo (Sendinblue SAS) | Versturen van transactionele e-mails en herinneringen | Frankrijk (EU) |
| Google (Gmail) | Mailbox waarin we de e-mails die je ons stuurt ontvangen en beantwoorden | Google Ireland Ltd. en Google LLC (Verenigde Staten); EU-US Data Privacy Framework en standaardcontractbepalingen |
| Have I Been Pwned (Pwned Passwords) | Controleren of een nieuw wachtwoord voorkomt in bekende datalekken. We sturen alleen de eerste 5 tekens van een hash van het wachtwoord (k-anonimiteit): je wachtwoord en je e-mailadres verlaten onze server nooit. | Internationale dienst; ontvangt geen persoonsgegevens |
Onze applicatieserver en database draaien op een computer die we zelf beheren in Nederland. De back-ups worden op die server versleuteld en daar bewaard, en op een tweede computer van ons, ook in Nederland.
We kunnen gegevens ook delen als de wet dat verplicht, bijvoorbeeld na een bindend bevel van een bevoegde instantie.
6. Doorgifte buiten de Europese Economische Ruimte
Cloudflare en Google kunnen gegevens verwerken in de Verenigde Staten en in andere landen buiten de EER. Beide bedrijven zijn gecertificeerd onder het EU-US Data Privacy Framework (adequaatheidsbesluit van de Europese Commissie van juli 2023). Daarnaast hebben we met hen de standaardcontractbepalingen van de Europese Commissie afgesloten. Onze database en Brevo staan in de EU.
7. Hoe lang bewaren we je gegevens?
| Gegevens | Bewaartermijn |
|---|---|
| Account, profiel, voorkeuren en leergegevens | Tot je je account verwijdert |
| Nationaliteit en telefoonnummer | Tot je ze in je profiel verwijdert of je account verwijdert |
| Inactieve accounts | Verwijderd na 24 maanden zonder activiteit; we waarschuwen je 30 dagen van tevoren per e-mail |
| Sessies | Verlopen na maximaal 30 dagen |
| Eenmalige links (bevestiging, inloggen, wachtwoordherstel) | Verlopen binnen minuten of uren; daarna verwijderd |
| Beveiligingslogs (mislukte inlogpogingen) | 30 dagen |
| Beveiligingsrapporten van de browser | 30 dagen |
| Technische logs van de server | Worden automatisch overschreven zodra ze 30 MB bereiken; ze bevatten geen IP-adres, e-mailadres of accountgegevens |
| Back-ups | Worden steeds vervangen en verlopen na 30 dagen: wat je verwijdert, verdwijnt binnen die termijn ook uit de back-ups |
| Acceptatiegegevens | Zolang je account bestaat en nog 1 jaar daarna, alleen om aan te tonen wat je hebt geaccepteerd en wanneer |
| Berichten die je ons stuurt | 12 maanden nadat je vraag is afgehandeld |
| Gegevens op je apparaat | Tot je uitlogt, je account verwijdert of je browsergegevens wist |
Anonieme, samengevoegde statistieken zijn niet meer tot jou te herleiden en zijn geen persoonsgegevens.
8. Beveiliging
We beschermen je gegevens met technische en organisatorische maatregelen, zoals het hashen van wachtwoorden met Argon2id, het opslaan van alleen gezouten hashes in beveiligingslogs, versleutelde verbindingen (HTTPS), versleutelde back-ups en toegang tot de server die alleen mogelijk is met cryptografische sleutels.
9. Jouw rechten
Je hebt het recht op:
- Inzage in je gegevens.
- Export van je gegevens (overdraagbaarheid): download ze als JSON-bestand via je accountpagina.
- Correctie van onjuiste gegevens: de meeste kun je zelf wijzigen in “Mijn profiel”.
- Verwijdering van je gegevens: gebruik de knop “Account verwijderen” op je accountpagina. We vragen je om kort daarvoor te zijn ingelogd, zodat niemand met een oude sessie je account kan verwijderen. De verwijdering gebeurt direct in onze database en in je browser (voor back-ups: zie paragraaf 7).
- Beperking van de verwerking.
- Bezwaar tegen verwerking op basis van gerechtvaardigd belang.
- Intrekken van je toestemming op elk moment: verwijder je nationaliteit of telefoonnummer, of zet de herinneringen uit.
Zo oefen je je rechten uit: gebruik de opties op je accountpagina of mail naar privacy@theoriewin.com vanaf het e-mailadres van je account. We reageren binnen een maand (bij ingewikkelde verzoeken kan dat met twee maanden worden verlengd; dat laten we je dan weten). We kunnen je eerst vragen om te bevestigen wie je bent. Het is gratis.
Klacht: je hebt het recht om een klacht in te dienen bij de Nederlandse toezichthouder, de Autoriteit Persoonsgegevens (Postbus 93374, 2509 AJ Den Haag), of bij de toezichthouder van het EU-land waar je woont. We stellen het op prijs als je eerst contact met ons opneemt, zodat we het probleem samen kunnen proberen op te lossen.
10. Jonger dan 16 jaar
In Nederland heeft iemand jonger dan 16 jaar toestemming van zijn ouders of voogd nodig voordat een platform zoals het onze zijn gegevens mag verwerken (art. 8 AVG en art. 5 UAVG). TheorieWin biedt geen accounts aan voor kinderen jonger dan 16 jaar en vraagt die toestemming niet:
- Als je een account maakt, moet je bevestigen dat je 16 jaar of ouder bent en je geboortejaar invullen. Blijkt uit dat jaar dat je jonger bent dan 16, dan wordt het account niet gemaakt.
- Als we weten dat iemand jonger dan 16 een account heeft gemaakt, verwijderen we dat account.
- Ben je ouder of voogd en denk je dat je kind jonger dan 16 een account heeft? Mail dan naar privacy@theoriewin.com, dan verwijderen we het.
Je kunt zonder account 5 vragen uitproberen; bij die proef worden geen persoonsgegevens opgeslagen.
11. Wijzigingen in deze verklaring
We kunnen deze verklaring aanpassen, bijvoorbeeld als we een nieuwe functie of dienstverlener toevoegen. Bovenaan staan de versie en de datum van de laatste wijziging. Belangrijke wijzigingen melden we per e-mail of in de app voordat ze ingaan.
12. Contact
Vragen over privacy? Mail naar privacy@theoriewin.com of neem contact op met [NOMBRE LEGAL], [DIRECCIÓN], [EMAIL DE CONTACTO].