Privacybeleid

1. Wie we zijn

VexNexa is een accessibility-scanning service ontwikkeld in Nederland. We helpen website-eigenaren hun sites toegankelijker te maken door WCAG-compliance te testen.

2. Welke gegevens we verzamelen

Scangegevens

• URL van de gescande pagina
• Technische metadata over toegankelijkheidsproblemen
• Scan tijdstempels
• IP-adres voor rate-limiting en misbruikpreventie

Belangrijk: we slaan geen persoonsgegevens uit pagina-inhoud op (zoals namen, e-mails, telefoonnummers); we analyseren alleen HTML-structuur en toegankelijkheid.

Accountgegevens (optioneel)

• E-mailadres
• Naam (indien opgegeven)
• Gehashed wachtwoord
• Accountvoorkeuren

Contact

• Naam en e-mailadres
• Berichtinhoud
• Tijdstempel van verzending

Inloggen met Google (OAuth)

Wanneer je kiest om in te loggen met je Google-account, ontvangen wij via de Google OAuth-koppeling uitsluitend de volgende gegevens uit jouw Google-profiel:

• Je e-mailadres (verplicht voor accountidentificatie)
• Je volledige naam zoals deze bij Google bekend staat
• Een unieke Google-account-ID (sub) voor het koppelen van toekomstige logins

Betaalgegevens

Belangrijk: VexNexa slaat zelf geen creditcard- of bankrekeningnummers op. Alle betaalgegevens worden uitsluitend verwerkt door onze betaaldienstverlener Mollie B.V. binnen hun PCI-DSS-gecertificeerde omgeving.

• Wij ontvangen van Mollie alleen een betaalreferentie (payment ID), de status (geslaagd/mislukt), het bedrag en het gebruikte betaalmiddel-type (bijv. iDEAL, SEPA, kaart) — nooit het kaartnummer zelf.
• Voor wettelijk verplichte facturatie bewaren we factuurgegevens (bedrijfsnaam, adres, BTW-nummer, factuurnummer, bedrag).
• Je kunt je opgeslagen betaalmethode op elk moment intrekken door je abonnement op te zeggen of door contact op te nemen met support.

3. Rechtsgrond (Art. 6 AVG)

• Uitvoering overeenkomst – scans, resultaten, accountbeheer.
• Gerechtvaardigd belang – beveiliging (rate-limiting, misbruikdetectie), basisverbeteringen.
• Toestemming – analytics/marketingcookies en opt-in communicatie.
• Wettelijke verplichting – bewaartermijnen en verzoeken van autoriteiten.

4. Cookies en tracking

Functionele cookies (noodzakelijk)

• Sessie voor ingelogde gebruikers
• Voorkeuren (taal, thema)
• Cookie-toestemmingsstatus

Analytics cookies (optioneel)

Met toestemming kunnen we privacy-vriendelijke analytics gebruiken (bijv. Vercel Analytics of alternatief). We meten geaggregeerde statistieken, geen individuele profielen.

• Bezoekersstatistieken (geaggregeerd/anoniem)
• Populaire pagina's en functies
• Technische prestaties

You can manage consent through the cookie-instellingen.

UTM parameters

We kunnen UTM parameters tijdelijk bewaren om herkomst te begrijpen. Deze bevatten geen persoonsgegevens.

5. Hoe en waarom we gegevens gebruiken

• Uitvoeren van scans en tonen van resultaten
• Accountbeheer en inloggen
• Klantenservice en ondersteuning
• Serviceverbetering (met toestemming voor analytics)
• Naleving van wetten en regelgeving

We verkopen of verhuren je gegevens niet aan derden voor marketingdoeleinden.

6. Ontvangers en verwerkers

We delen gegevens uitsluitend met dienstverleners die namens ons verwerken onder een verwerkersovereenkomst (DPA) conform Art. 28 AVG. Per categorie zetten we de huidige verwerkers hieronder op een rij:

• Hosting & edge: Vercel Inc. — applicatiehosting en edge-routing. Datatransfers naar de Verenigde Staten worden afgedekt met EU Standard Contractual Clauses (SCC's) en aanvullende technische maatregelen.
• Database & opslag: Supabase (gehost op AWS in de EU, regio Frankfurt) — primaire opslag van account- en scangegevens. Gegevens blijven binnen de EU.
• Authenticatie: Supabase Auth voor e-mail/wachtwoord-login, en Google LLC voor de optionele Google OAuth-koppeling. Bij Google OAuth ontvangen wij uitsluitend e-mailadres, volledige naam en een Google-account-ID.
• Betalingen: Mollie B.V. (Keizersgracht 313, 1016 EE Amsterdam) — verwerkt alle betalingen en is zelfstandig PCI-DSS gecertificeerd. VexNexa slaat geen kaartgegevens op.
• E-mail (transactioneel): Resend (Resend Inc.) — verzending van transactionele e-mails zoals verificatie, wachtwoordherstel en factuur-/rapport-notificaties. Datatransfers worden afgedekt met SCC's.

7. Doorgifte buiten EU/EEA

Indien doorgifte buiten de EU plaatsvindt (bijv. edge-routing of supportlogs), gebruiken we passende waarborgen zoals EU Standard Contractual Clauses en aanvullende maatregelen.

8. Gegevensopslag, beveiliging & bewaartermijnen

Opslaglocaties

• Database/compute in EU datacenters
• Back-ups binnen Europa

Beveiligingsmaatregelen

• TLS/HTTPS end-to-end
• Gehashte wachtwoorden
• Least-privilege toegangscontrole & monitoring
• Regelmatige patches/updates
• Dataminimalisatie

Bewaartermijnen

• Scangegevens: 1 jaar (Gratis); langer voor betaalde accounts (configureerbaar in je account)
• Accountgegevens: tot accountverwijdering of zolang wettelijk vereist
• Contactberichten: tot 2 jaar
• Analytics: tot 24 maanden (geaggregeerd/geanonimiseerd waar mogelijk)
• Factuurgegevens worden conform de wettelijke fiscale bewaarplicht van de Belastingdienst gedurende 7 jaar bewaard.

We verwijderen of anonimiseren eerder wanneer gegevens niet meer nodig zijn, tenzij bewaring wettelijk verplicht is (zoals de fiscale bewaarplicht voor factuurgegevens).

9. Jouw rechten (AVG/GDPR)

Je rechten uitoefenen? Mail info@vexnexa.com. We reageren binnen 30 dagen.

10. Kinderen

Niet gericht op kinderen onder 16 jaar. Neem contact op als er gegevens zijn verzameld; we zullen deze verwijderen.

11. Data breaches

We immediately investigate the impact, limit risks and report if required to the Dutch Data Protection Authority and affected parties.

12. Geautomatiseerde besluitvorming

We nemen geen beslissingen uitsluitend op basis van geautomatiseerde verwerking met rechtsgevolgen voor jou.

13. Wijzigingen in dit beleid

We communiceren belangrijke wijzigingen via e-mail (indien van toepassing), een melding op de site en update van de datum.

14. Contact & klachten

Not satisfied? File a complaint with the Dutch Data Protection Authority via autoriteitpersoonsgegevens.nl.