Privacybeleid

1. Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke in de zin van art. 4 lid 7 AVG is TheSEO, de aanbieder van LinkLoop. Contact via theseo.nl.

2. Welke gegevens verwerken we?

Bij het gebruik van LinkLoop verwerken we de volgende categorieën persoonsgegevens:

• Accountgegevens: e-mailadres, gekozen wachtwoord (als hash), bedrijfsnaam en website-URL.
• Profielgegevens: branche, taalvoorkeur, korte bedrijfsomschrijving, logo (optioneel).
• Betaalgegevens: afgehandeld door Stripe; LinkLoop ontvangt alleen een klant-ID, het abonnementsniveau en een betaalstatus. Kaart- of rekeninggegevens worden nooit op onze servers opgeslagen.
• Gebruiksgegevens: verstuurde en ontvangen verzoeken, credit-saldo, geplaatste backlinks en interactie met de AI-assistent.
• Technische gegevens: IP-adres, browsertype en sessietokens voor zover nodig voor beveiliging en foutopsporing. Geen tracking- of reclamecookies.

3. Doeleinden en grondslag

We verwerken je gegevens alleen voor specifieke doelen en met een duidelijke grondslag uit art. 6 AVG:

• Uitvoering overeenkomst (art. 6 lid 1 sub b): account, credits, linkruil-functionaliteit en betaling.
• Gerechtvaardigd belang (art. 6 lid 1 sub f): fraudedetectie, misbruikpreventie, beveiliging en productverbetering via geaggregeerde statistieken.
• Toestemming (art. 6 lid 1 sub a): verzenden van niet-essentiële marketing-e-mails (alleen na opt-in; te allen tijde intrekbaar).
• Wettelijke verplichting (art. 6 lid 1 sub c): fiscale bewaartermijnen voor facturen.

4. Verwerkers en delen met derden

Voor het leveren van LinkLoop schakelen we de volgende verwerkers in. Met elk is een verwerkersovereenkomst afgesloten.

• Supabase (EU, Ierland) — database, authenticatie en opslag.
• Vercel (EU/VS) — hosting van de webapplicatie; onder Standard Contractual Clauses.
• Stripe Payments Europe, Ltd. (Ierland) — betalingsverwerking.
• Resend (VS) — transactionele e-mail; onder Standard Contractual Clauses. Alleen e-mailadres + inhoud van de transactionele mail wordt verwerkt.
• Anthropic (VS) — AI- assistent. Aan Anthropic wordt alleen de door jou ingevoerde prompt gezonden plus het relevante context-fragment uit je dashboard. Anthropic traint niet op deze data (zie hun commercial terms). Onder Standard Contractual Clauses.

We verkopen je gegevens niet en delen ze niet voor marketing­doeleinden met derden.

5. Doorgifte buiten de EER

Kerngegevens (database, authenticatie) worden binnen de EER opgeslagen (Supabase — Ierland). Waar doorgifte naar de Verenigde Staten plaatsvindt (Vercel edge-nodes, Resend, Anthropic), gebeurt dit onder de Standard Contractual Clauses van de Europese Commissie (besluit 2021/914) en aanvullende technische maatregelen.

6. Bewaartermijnen

• Accountgegevens: zolang je account actief is, plus 30 dagen na verwijdering (voor recovery).
• Verzoek- en linkruil-historie: maximaal 24 maanden na beëindiging voor ondersteuning en geschillen.
• Facturen en betaalgegevens: 7 jaar conform fiscale bewaarplicht (art. 52 AWR).
• Serverlogs: maximaal 30 dagen, daarna geanonimiseerd of verwijderd.

7. Je rechten

Onder de AVG heb je het recht op:

• Inzage in je persoonsgegevens (art. 15).
• Rectificatie van onjuiste gegevens (art. 16).
• Verwijdering — "recht op vergetelheid" (art. 17).
• Beperking van de verwerking (art. 18).
• Dataportabiliteit — een export in machine-leesbaar formaat (art. 20).
• Bezwaar tegen verwerking op grond van gerechtvaardigd belang (art. 21).
• Intrekking van eerder gegeven toestemming, zonder terugwerkende kracht.

Je kunt een verzoek indienen door een e-mail te sturen via theseo.nl. We reageren binnen 30 dagen (art. 12 lid 3 AVG).

Je hebt ook altijd het recht om een klacht in te dienen bij de Nederlandse toezichthouder, de Autoriteit Persoonsgegevens.

8. Cookies

LinkLoop gebruikt alleen functionele cookies die strikt noodzakelijk zijn voor de werking van de site (sessie, authenticatie, voorkeuren). Deze vallen onder de uitzondering van art. 11.7a Telecommunicatiewet en vragen geen aparte toestemming. We plaatsen geen tracking-, reclame- of analytics-cookies van derden.

9. Beveiliging

We nemen passende technische en organisatorische maatregelen: TLS-verbindingen, encrypted-at-rest opslag via Supabase, row-level security, rate-limiting, beperkte toegang tot productie-systemen en een strict Content-Security-Policy met HSTS-preload. Incidenten met (mogelijk) risico voor je rechten worden binnen 72 uur gemeld aan de Autoriteit Persoonsgegevens en aan jou, conform art. 33–34 AVG.

10. Wijzigingen

We kunnen dit privacybeleid aanpassen. Wezenlijke wijzigingen worden minstens 14 dagen van tevoren per e-mail aangekondigd. De laatste update-datum staat bovenaan deze pagina.