Toepassingsgebied. Dit beleid geldt voor de Structuro-webapp (structuro.ai) en de website structuro.eu.
1. Wie wij zijn
Structuro is een dienst van Structuro AI, eenmanszaak gevestigd te Machinekamerplein 32-325, 5617AP Eindhoven, Nederland. Ingeschreven bij de Kamer van Koophandel onder nummer 97938289. Contact voor privacyvragen: info@structuro.eu. Wij zijn verwerkingsverantwoordelijke voor de gegevens die wij over jou verwerken via de Structuro-webapp.
2. Welke gegevens wij verwerken
Accountgegevens: e-mailadres, wachtwoordhash, de naam die je in je profiel zet, tijdstempels van aanmaak en laatste login, en (als jij dat instelt) je analytics-keuze.
Plannings- en gebruiksgegevens: taken (titel, deadline, prioriteit, status, micro-stappen, geschatte duur, energie-niveau), dagstarts (energie en top-3 keuze), dagafsluitingen (afgevinkte taken, energie, tevredenheid, optionele reflectietekst, optionele notities), geparkeerde gedachten (vrije tekst die jij invoert), focus-sessies (start- en eindtijd, aantal pogingen per taak), en dagelijkse aggregaten zoals afgeronde taken en totale focusminuten.
Cyclus-tracking (optioneel): alleen als jij deze functie aanzet in Instellingen, verwerken wij de startdatum van je laatste menstruatie, je gemiddelde cycluslengte en menstruatieduur, plus de datum waarop je toestemming hebt gegeven. Wij gebruiken deze gegevens uitsluitend om je dagstart-context te kleuren. Je kunt de functie op elk moment uitzetten; dan worden deze velden gewist.
Betalingsgegevens: wij verwerken zelf geen volledige betaalgegevens. Bij betaling word je doorgestuurd naar onze betaalprovider Stripe. Wij ontvangen van Stripe alleen je betaalstatus, het abonnementstype, het bedrag, en een tokenized verwijzing naar je betaalmethode (geen volledig kaartnummer of bankrekening).
Notificaties: web-push-eindpunten en encryptiesleutels per browser of apparaat (alleen wanneer jij notificaties aanzet), en log-records van verstuurde reminders zodat we niet dubbel sturen.
Technische gegevens: cookies en lokale opslag voor sessiebeheer, taalvoorkeur, en je analytics-keuze (zie hoofdstuk 7). Beperkte logs van fouten en serverbelasting bij onze infrastructuurpartner Supabase, voor zover noodzakelijk voor beveiliging en beschikbaarheid.
TikTok-attributie: als je via TikTok (of een TikTok-advertentie) naar Structuro komt, kunnen in de URL parameters staan zoals ttclid en UTM-tags (utm_source, utm_medium, utm_campaign, utm_content). Wij lezen die parameters om te weten welk kanaal je heeft gebracht. Zie hoofdstuk 5.
3. Bijzondere persoonsgegevens
In de velden geparkeerde gedachten en reflectie kun je vrije tekst invoeren. Daar kunnen mentale of gezondheids-gerelateerde aantekeningen in staan. De optionele cyclus-tracking valt eveneens onder gezondheidsgegevens. Wij verwerken die alleen omdat jij ze zelf invoert of de functie zelf aanzet. Wij delen deze velden niet met derden voor analyse of training. Wij nemen geen geautomatiseerde besluiten met rechtsgevolgen voor jou. Suggesties in de app (zoals top-3-keuze of focus-aanbevelingen) zijn hulpmiddelen die je zelf accepteert of negeert. Je kunt deze gegevens op elk moment wissen via de app.
4. Waarom wij dit verwerken
Wij verwerken persoonsgegevens alleen met een geldige rechtsgrond onder de AVG: uitvoering van onze overeenkomst met jou, jouw toestemming, een wettelijke verplichting, of ons gerechtvaardigd belang (waarbij wij jouw belangen meewegen).
Account, login en kernfunctionaliteit: taken, dagstart, dagafsluiter, geparkeerde gedachten, focus: nodig om de dienst te leveren.
Betaling en facturatie: nodig om je abonnement af te handelen en administratie bij te houden.
Cyclus-tracking: alleen met jouw toestemming via de toggle in Instellingen.
Web-push-notificaties: alleen met jouw toestemming via browser of app; uit te zetten in Instellingen.
Productanalyse (PostHog): alleen met jouw toestemming via cookiebanner en toggle in Instellingen. Zonder toestemming meten wij alleen anoniem en cookieless. Sessie-opnames op structuro.eu lopen via PostHog, alleen na jouw toestemming. Wij gebruiken geen Microsoft Clarity of Amplitude.
TikTok-attributie: gerechtvaardigd belang en/of jouw analytics-toestemming: om te meten of TikTok-verkeer tot gebruik of aanmelding leidt. Zie hoofdstuk 5.
Foutopsporing en beveiliging: technische foutmeldingen, rate-limits en auditlogs: nodig om de dienst veilig en beschikbaar te houden. Wij registreren daarbij geen inhoud van taken, geparkeerde gedachten of cyclus-tracking.
5. TikTok-gerelateerde gegevens
Structuro heeft landingspagina's en campagnes die verkeer vanaf TikTok ontvangen (bijvoorbeeld via structuro.ai/tiktok). Als je vanaf TikTok of een TikTok-advertentie doorklikt, kunnen de volgende gegevens bij ons terechtkomen:
Click- en campagnedata: parameters in de URL zoals ttclid (TikTok click ID) en UTM-tags. Die gebruiken wij om het bezoek aan TikTok als bron te koppelen in onze eigen productanalyse (PostHog).
Wat wij niet doen zonder aparte toestemming: wij plaatsen geen TikTok Pixel op onze sites als standaard tracking, en wij delen jouw accountgegevens, taken, geparkeerde gedachten of cyclusgegevens niet met TikTok. Wordt later een TikTok-pixel of Events API gebruikt voor advertentiemeting, dan gebeurt dat alleen met jouw voorafgaande toestemming via de cookiebanner, en vermelden wij dat hier expliciet.
Bewaring: TikTok-attributieparameters volgen de bewaartermijn van productanalyse (maximaal 12 maanden in PostHog), tenzij jij je analytics-toestemming intrekt of je account verwijdert.
TikTok zelf kan als platform eigen gegevens verwerken wanneer jij de TikTok-app of -website gebruikt; dat valt onder het privacybeleid van TikTok, niet onder dit beleid.
6. Verwerkers
Wij gebruiken onderstaande partijen die gegevens namens ons verwerken. Met al deze partijen hebben wij een verwerkersovereenkomst.
Supabase, Inc.: databaseregio EU (Stockholm). Database en authenticatie.
Vercel Inc.: Verenigde Staten. Webapplicatie (rendering, edge-routing). Gecertificeerd onder het EU-US Data Privacy Framework.
Stripe Payments Europe, Limited: Ierland. Betalingen, abonnementen en facturatie (bewaring conform fiscale bewaarplicht).
PostHog Inc.: Verenigde Staten, dataregio EU. Productanalyse, foutopsporing en (alleen met toestemming) sessie-opnames zoals in hoofdstuk 4 en 7, inclusief optionele TikTok-attributieparameters. Gecertificeerd onder het EU-US Data Privacy Framework.
Resend (Resend.com Inc.): Verenigde Staten. Transactionele e-mails; ontvangt alleen het e-mailadres en de inhoud van die e-mail.
Upstash, Inc.: Verenigde Staten. Rate-limiting van publieke endpoints; ontvangt je IP-adres of een gehashte vorm daarvan.
Browser-push-providers: Apple, Google, Mozilla, Microsoft: aflevering van push-berichten. Wij sturen alleen tekst die jij in je instellingen activeert.
Doorgifte naar landen buiten de EU gebeurt op basis van het EU-US Data Privacy Framework of modelcontractbepalingen (SCCs). Een actuele sub-verwerkerlijst is opvraagbaar via info@structuro.eu.
7. Cookies en lokale opslag
Wij plaatsen geen tracking-cookies zonder jouw toestemming. De volgende opslag gebruiken wij wel altijd, omdat de dienst zonder deze niet werkt:
Een Supabase-sessiecookie (HttpOnly, Secure, SameSite=Lax) voor ingelogd blijven.
localStorage-keys voor taalvoorkeur, je analytics-keuze, en (offline) taken die nog niet zijn gesynchroniseerd. Looptijd: tot je ze zelf wist of je account verwijdert.
Stripe plaatst tijdens de betaalflow eigen cookies voor fraudepreventie en sessiebeheer; deze zijn noodzakelijk voor de betaalfunctie en vallen onder Stripe's eigen privacybeleid (stripe.com/privacy).
Met jouw toestemming kan PostHog cookies en localStorage gebruiken om je sessie te herkennen, gebeurtenissen te koppelen en (op structuro.eu) een sessie-opname te maken. Zonder toestemming gebruiken wij cookieless modus: anonieme telling zonder persoonlijke koppeling en zonder sessie-opname. Je keuze stel je in via de cookiebanner bij je eerste bezoek, of later via Instellingen, toggle Anonieme productanalyse.
TikTok-attributieparameters (zoals ttclid) komen uit de URL bij aankomst; die zijn geen cookies die wij zelf zetten. Eventuele cookies van TikTok in de TikTok-app vallen onder TikTok.
8. Bewaartermijnen
Account- en planningsgegevens: bewaard zolang je account actief is.
Bij accountverwijdering: via Instellingen verwijderen wij je accountgegevens, planning-data en cyclus-tracking direct uit de productieomgeving, en wissen wij je login-account. Wij houden een geanonimiseerde auditregistratie bij (zonder persoonsgegevens) voor beveiligingsdoeleinden. Back-ups bij Supabase worden binnen 30 dagen geroteerd; daarna zijn de gegevens ook daar verdwenen.
Betaalhistorie: factuur- en betaalgegevens worden door Stripe bewaard conform de fiscale bewaarplicht (zeven jaar), ook nadat je je Structuro-account verwijdert. Het gaat om factuurnummer, datum, bedrag, btw en gegevens die wettelijk op een factuur moeten staan; niet om planningsdata of vrije-tekstvelden.
Server- en beveiligingslogs: maximaal 30 dagen.
Reminder-send-logs: logregels van verstuurde dagstart-, lunch- en shutdown-reminders: maximaal 90 dagen.
Productanalyse (PostHog): analytics-gebeurtenissen worden maximaal 12 maanden bewaard en daarna automatisch verwijderd. Toestemmingsgebonden sessie-opnames volgen het bewaarbeleid van PostHog in de EU-regio.
9. Jouw rechten
Je hebt het recht om jouw gegevens in te zien, te laten corrigeren, te laten verwijderen, te laten beperken, over te dragen (dataportabiliteit), of bezwaar te maken tegen verwerking. Voor de meeste rechten kun je terecht in de app:
Inzien en bewerken: profielinstellingen en de tabbladen Taken, Dagstart, Dagafsluiter en Geparkeerd.
Verwijderen: Instellingen, knop 'Account verwijderen'.
Exporteren: Instellingen, knop 'Exporteer mijn data' (servergegevens plus lokale v2-data).
Toestemming intrekken voor analytics: Instellingen, toggle 'Anonieme productanalyse'.
Toestemming intrekken voor cyclus-tracking: Instellingen, sectie 'Cyclus', toggle uitzetten.
Voor inzage-, correctie- of dataportabiliteitsverzoeken, en voor andere verzoeken die niet rechtstreeks in de app kunnen, mail info@structuro.eu. Wij reageren binnen 30 dagen. Je hebt ook het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens, via https://www.autoriteitpersoonsgegevens.nl/nl/zelf-doen/privacyrechten/klacht-indienen-bij-de-ap.
10. Beveiliging en datalekken
Wij gebruiken TLS, row-level security in de database, gescheiden service-role-sleutels, en rate-limiting op gevoelige endpoints. Bij een datalek dat een risico voor jou oplevert melden wij dit binnen 72 uur bij de Autoriteit Persoonsgegevens en, waar van toepassing, ook aan jou.
11. Wijzigingen
Dit beleid kan wijzigen. De geldige versie staat altijd op deze pagina. Belangrijke wijzigingen kondigen wij in de app aan.