Privacybeleid

1. Wie wij zijn

van der Heide V.O.F., handelend onder de naam Viewi, is verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens zoals beschreven in dit beleid.

Verwerkingsverantwoordelijke

van der Heide V.O.F. (handelsnaam Viewi), gevestigd in Limburg

KvK

42068593

BTW

NL869562794B01

Contact privacy

info@viewi.nl

Functionaris gegevensbescherming

Wij zijn niet AVG-verplicht een FG aan te wijzen, maar privacy-vragen worden behandeld door de directie via bovenstaand mailadres.

2. Welke gegevens we verzamelen

We verzamelen alleen gegevens die je zelf opgeeft of die strikt nodig zijn voor de werking van de webshop.

Account

• Naam, e-mailadres, gehasht wachtwoord (Argon2id, nooit in leesbare vorm).
• Optioneel: telefoonnummer, geboortedatum.
• 2FA-secret (gehasht), back-upcodes.

Bestelling

• Verzend- en factuuradres.
• Besteloverzicht en facturen.
• Betaalstatus (geen kaartgegevens, die verwerkt Mollie).

Contactformulier

• Naam, e-mail, eventueel telefoon, en de inhoud van je bericht.

Server-logs

• IP-adres, tijdstempel, request-pad en HTTP-status. Gebruikt voor beveiliging (rate limiting, lockout) en debugging.

3. Waarvoor en op welke rechtsgrond

Uitvoering van de overeenkomst (artikel 6 lid 1 sub b AVG)

Verwerking van bestellingen, leveringen, betalingen, retouren en garantie. Zonder deze gegevens kunnen we je bestelling niet afhandelen.

Wettelijke verplichting (artikel 6 lid 1 sub c AVG)

Bewaren van facturen en bestelgegevens voor de fiscale bewaarplicht (artikel 52 AWR, 7 jaar).

Gerechtvaardigd belang (artikel 6 lid 1 sub f AVG)

Beveiliging van de webshop, fraudepreventie, rate limiting van inlogpogingen, en het beantwoorden van vragen die via het contactformulier binnenkomen.

Toestemming (artikel 6 lid 1 sub a AVG)

Aanmelden voor de nieuwsbrief, optionele communicatievoorkeuren, en het verwerken van je vraag via het contactformulier (consent-checkbox). Je kunt deze toestemming op elk moment intrekken.

4. Hoe lang we bewaren

Bestel- en factuurgegevens

7 jaar (fiscale bewaarplicht).

Account

Zolang je account actief is. Als je je account verwijdert, wissen we de bijbehorende gegevens, met uitzondering van factuurgegevens die we 7 jaar moeten bewaren.

Contactformulier-conversaties

1 jaar na het laatste antwoord.

Server-logs

30 dagen.

Marketingvoorkeuren

Tot je je afmeldt; daarna nog maximaal 30 dagen om afmeldingen te verwerken.

5. Met wie we ze delen

We delen alleen wat nodig is, en alleen met partijen die zelf aan de AVG voldoen. Met al deze partijen hebben we een verwerkersovereenkomst (DPA). Alle subverwerkers zitten binnen de EU/EER.

• Neon Inc.: databasehosting, regio EU (Frankfurt). Bewaart alle persistente gegevens.
• Mollie B.V.: betaalverwerking. Krijgt je bestelbedrag en e-mail om de transactie te koppelen, geen volledige account-info.
• PostNL N.V.: verzending. Krijgt naam, adres en e-mail voor pakketmeldingen.
• Brevo (Sendinblue SAS): transactionele e-mail (orderbevestiging, wachtwoord-reset, 2FA-codes). EU-regio.
• Upstash Inc.: Redis-cache voor rate limiting en lockout. EU-regio. Geen PII, alleen geanonimiseerde sleutels.
• Vercel Inc.: frontend-hosting. EU-regio. Verwerkt request-logs.
• Railway Corp.: backend-hosting. EU-regio.

6. Internationale doorgifte

Alle data blijft binnen de EU/EER. We dragen geen persoonsgegevens over naar landen buiten de EER. Mochten we in de toekomst toch een Amerikaanse provider gebruiken, dan zal dat alleen op basis van de EU-US Data Privacy Framework adequacy decision en de standaard contractuele clausules van de Europese Commissie zijn, en lichten we je daarover via deze pagina én per e-mail in.

7. Cookies

Wij gebruiken alleen strikt noodzakelijke cookies (sessie, region, winkelmand, CSRF). Geen tracking, geen marketing, geen Google Analytics, geen Facebook Pixel. Lees onze volledige cookieverklaring.

8. Beveiliging

We nemen je gegevens serieus en passen de volgende maatregelen toe.

• TLS 1.3 voor alle verbindingen, automatisch via Cloudflare en Vercel.
• Wachtwoorden gehasht met Argon2id. We slaan nooit een wachtwoord in leesbare vorm op en loggen ze nooit.
• Bij registratie en wachtwoord-wijziging checken we tegen de HIBP-database (k-anonymiteit, jouw wachtwoord verlaat onze server niet).
• Optionele 2FA met een 6-cijferige code per e-mail. 2FA-secrets worden als SHA-256 hash bewaard.
• IP-rate limiting en per-account exponentieel oplopende lockout op inlogpogingen (60s → 1800s cap).
• Productie database achter VPC, periodieke automatische back-ups, encryption-at-rest.

9. Jouw rechten onder AVG

Je hebt op grond van de AVG de volgende rechten ten aanzien van je gegevens.

• Inzage: een kopie krijgen van alle gegevens die we over je verwerken.
• Correctie: onjuiste gegevens laten aanpassen.
• Verwijdering: je account en bijbehorende gegevens laten wissen, behoudens wettelijke bewaarplichten.
• Beperking van de verwerking: bepaalde verwerkingen tijdelijk laten stilleggen.
• Dataportabiliteit: je gegevens in een gangbaar machineleesbaar formaat ontvangen.
• Bezwaar: bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
• Toestemming intrekken: eerder gegeven toestemming intrekken zonder opgave van reden.

Stuur een verzoek naar info@viewi.nl. We reageren binnen 30 dagen. We kunnen je vragen je identiteit aan te tonen voordat we het verzoek uitvoeren.

10. Klacht indienen bij de Autoriteit Persoonsgegevens

Ben je het oneens met hoe wij met je gegevens omgaan en komen we er samen niet uit, dan heb je het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

11. Wijzigingen in dit beleid

Wij kunnen dit privacybeleid van tijd tot tijd aanpassen. De datum van laatste wijziging staat boven aan deze pagina. Bij ingrijpende wijzigingen sturen we geregistreerde gebruikers daarnaast een e-mail.