Privacy statement

Laatst bijgewerkt: 25 april 2026

1. Wie zijn wij

AutoFoto is een dienst van Datawonder (KvK [vul in], gevestigd te Nederland). Verantwoordelijke voor de verwerking is Datawonder.

2. Welke gegevens verwerken wij

Account: naam, e-mailadres, bedrijfsnaam, gehasht wachtwoord, IP-adres bij login
Voertuiggegevens: kentekens (verkregen via foto), publieke RDW-data, foto's
Betaalgegevens: via Stripe — wij ontvangen alleen factuurmetadata, geen kaartnummers
Loggegevens: request-logs zonder PII (kentekens worden geredacteerd)

3. Privacy-belofte: foto-verwerking

Geen ongeblurde foto verlaat ooit onze server in Duitsland (EU). Kentekens worden lokaal op de Hetzner-VPS gedetecteerd en geblurred (Sharp + PaddleOCR). Pas na blurring worden foto's verstuurd naar AI-diensten voor achtergrond-vervanging. Originele kenteken-foto's worden direct na verwerking uit het geheugen gewist en niet opgeslagen.

4. Bewaartermijnen

Verwerkte foto's: 90 dagen, daarna automatisch verwijderd
Database-backups: versleuteld, 14 dagen retentie
Account: tot opzegging + 30 dagen graceful (daarna cascade-delete)
Facturen: 7 jaar (fiscale bewaarplicht)

5. Met wie delen wij gegevens

Met onderstaande verwerkers (verwerkersovereenkomsten gesloten):

Hetzner (Duitsland, EU) — hosting + object-storage
Vercel (EU-regio) — frontend hosting (alleen UI, geen foto's)
Google (Gemini API) — alleen geblurde foto's, SCC-kader
Modal.com — alleen geblurde foto's, SCC-kader
Stripe — betaalafhandeling, SCC-kader
Resend (EU-regio) — transactionele e-mails

6. Jouw rechten (AVG)

Je hebt recht op inzage, correctie, verwijdering ("right to be forgotten"), beperking, overdraagbaarheid en bezwaar. Stuur een e-mail naar privacy@autofoto.nl. Wij reageren binnen 30 dagen.

7. Beveiliging

HTTPS overal (TLS 1.2+)
Wachtwoorden gehasht met Argon2id
Account-lockout na 5 verkeerde inlogpogingen
Dagelijkse versleutelde backups
Strikte toegangscontrole (multi-tenant isolatie op alle queries)

8. Cookies

Wij gebruiken alleen functionele cookies (sessie-token). Geen tracking, geen advertising.

9. Datalek

Bij een datalek melden wij dit binnen 72 uur aan de Autoriteit Persoonsgegevens en informeren wij getroffen gebruikers.

10. Wijzigingen

Wij kunnen deze privacy statement wijzigen. Bij belangrijke wijzigingen informeren wij je per e-mail.

11. Contact

Datawonder — privacy@autofoto.nl — [adres + KvK-nummer in te vullen]