Privacyverklaring

Versie 1.0 van 19 oktober 2026

Deze verklaring is ook in het Engels beschikbaar; de Nederlandse tekst is bindend.

In deze verklaring lees je welke persoonsgegevens wij verwerken, waarom, op welke grondslag, met wie wij ze delen, hoe lang wij ze bewaren en welke rechten je hebt. Zij voldoet aan artikel 13 van de Algemene verordening gegevensbescherming (AVG).

1. Wie wij zijn

1.1 Verantwoordelijk voor de verwerking is Sounds Global B.V., handelend onder de naam AppIn7Dagen. In deze verklaring heten wij verder "AppIn7Dagen" of "wij".

1.2 Ons adres is Mariënpoort 12, 8701 XZ Bolsward, Nederland. Ons KvK-nummer is 88875539.

1.3 Voor elke vraag over privacy mail je naar privacy@appin7dagen.nl. Heb je een Account, dan kun je ons ook een bericht sturen in het platform.

1.4 Wij hebben geen functionaris voor gegevensbescherming. De wet vraagt er geen, want onze kernactiviteiten bestaan niet uit het op grote schaal volgen van mensen of het op grote schaal verwerken van bijzondere persoonsgegevens (artikel 37 AVG). Je aanspreekpunt voor privacy is privacy@appin7dagen.nl.

2. Onze twee rollen

2.1 Voor de gegevens van ons eigen platform (mijn.appin7dagen.nl) en onze publieke site (appin7dagen.nl) zijn wij verwerkingsverantwoordelijke. Deze verklaring gaat over die gegevens.

2.2 Voor de persoonsgegevens in de apps die wij voor klanten bouwen en beheren, in Previews en in uploads zijn wij verwerker. Dan is de Klant verwerkingsverantwoordelijke en werken wij volgens de verwerkersovereenkomst die de Klant met ons tekent (artikel 28 AVG).

2.3 Gebruik je een app van een van onze klanten? Dan is die klant je aanspreekpunt voor je privacy. Wij helpen de klant om je verzoek te beantwoorden.

2.4 Een Preview bevat alleen Test data: verzonnen gegevens die geen echt persoon of bedrijf beschrijven. Echte persoonsgegevens komen alleen in de productie-app, en pas nadat de verwerkersovereenkomst is getekend.

2.5 Wij houden een register bij van al onze verwerkingen (artikel 30 AVG).

3. Welke gegevens wij verwerken, waarvoor en op welke grondslag

3.1 Wij verwerken alleen de gegevens die ons platform nodig heeft. Per doel zie je hieronder welke gegevens dat zijn en op welke grondslag uit artikel 6 lid 1 AVG wij ze verwerken.

3.2 Veel rijen in de tabel berusten op de overeenkomst. Ben je lid van een Organisatie, maar niet zelf de contractpartij? Dan verwerken wij je gegevens voor die doelen op grond van gerechtvaardigd belang (6 lid 1 sub f). De organisatie van de Klant heeft haar mensen in het platform nodig om de overeenkomst uit te voeren.

3.3 Een Pin legt nooit getypte invoer, cookies, tokens of de inhoud van verzoeken en antwoorden vast. Je ziet alles wat een Pin heeft vastgelegd, en je kunt het screenshot verwijderen.

3.4 Bij je Organisatie controleren wij het KvK-nummer bij de KvK. Het btw-nummer van een klant in een ander EU-land controleren wij bij VIES, en wij bewaren de uitkomst.

3.5 Upload geen echte persoonsgegevens bij een Aanvraag. Het platform waarschuwt je daarvoor, en vraagt je gegevens te bevestigen of te anonimiseren als ze op namen, e-mailadressen of telefoonnummers lijken.

4. Wat wij niet doen

4.1 Wij maken geen marketingprofielen en verkopen geen gegevens.

4.2 Persoonsgegevens uit het platform of uit apps, productiegegevens, inloggegevens en screenshots van Pins sturen wij nooit naar AI-diensten. Alleen de naam en het e-mailadres van de auteur van een wijziging kunnen met de broncode meegaan (6.4).

4.3 Wij nemen geen besluiten die alleen op geautomatiseerde verwerking berusten en die rechtsgevolgen voor je hebben (artikel 22 AVG). Wel lopen termijnen in het platform vanzelf af, zoals afgesproken in de Bouwbrief. Bijvoorbeeld: geen besluit bij de Demo telt als Akkoord. Dat is een afspraak, geen profilering.

5. Waar je gegevens vandaan komen

5.1 De meeste gegevens geef je zelf, als je een Account maakt, een Organisatie inricht of het platform gebruikt.

5.2 Nodigt een Beheerder je uit voor een Organisatie, dan krijgen wij je e-mailadres van die Beheerder.

5.3 Een Account kan niet bestaan zonder geverifieerd e-mailadres. Een Organisatie kan niet bestaan zonder haar naam, haar registratienummer en haar adres. Zonder die gegevens kunnen wij geen overeenkomst met je sluiten.

6. Ontvangers en subverwerkers

6.1 Binnen AppIn7Dagen zien alleen medewerkers die aan een Project van je Organisatie zijn toegewezen, of die dienst hebben voor je Organisatie, de gegevens van die Organisatie. Elke keer dat een medewerker gegevens van je Organisatie inziet, leggen wij vast.

6.2 Wij schakelen deze subverwerkers in:

Onze bewaking van het platform van buitenaf draait op een server van Scaleway in Nederland, regio Amsterdam. Die server krijgt geen persoonsgegevens.

6.3 Onze codehost is GitHub, Inc. De code van je app staat tot de volledige betaling in een privé-repository in de organisatie van AppIn7Dagen bij GitHub. Voor die repositories is GitHub geen subverwerker van ons: GitHub werkt daar onder zijn eigen voorwaarden en privacyverklaring, als zelfstandig verwerkingsverantwoordelijke. Dat geldt ook voor het eigen GitHub-account van iedereen die in die repositories werkt, van de Klant en van ons. Daarna staat de code in de eigen organisatie van de Klant, als de Klant dat wil, met de Fundamental-kopie. Daar geldt de eigen overeenkomst van de Klant met GitHub. Bij elke wijziging in de code horen de naam en het e-mailadres van de auteur. Onze GitHub-app krijgt alleen schrijfrechten op de repositories die de Klant kiest. De Klant kan die rechten altijd intrekken. GitHub is gecertificeerd onder het EU-VS Data Privacy Framework; zie 7.3.

6.4 Wij gebruiken alleen AI-codeerdiensten die op onze goedgekeurde lijst staan. Op die lijst staat Claude Code van Anthropic Ireland, Limited, op de seats van ons zakelijke account bij Anthropic. Hun contract verbiedt dat zij de gegevens gebruiken om te trainen. Zij bewaren ze standaard hooguit 30 dagen; langer alleen bij een vermoedelijke schending van hun gebruiksbeleid, of als de wet het vraagt. Het delen van feedback en gesprekken staat uit. Zij krijgen broncode, en daarbij hooguit de naam en het e-mailadres van wie een wijziging in die code maakte. Andere persoonsgegevens krijgen zij nooit (4.2).

6.5 Heeft een Partner je Organisatie naar ons verwezen, dan ziet die Partner per Aanvraag alleen de naam van je Organisatie, de status en zijn commissie. Meer ziet de Partner alleen als je Organisatie zijn mensen als lid toevoegt.

6.6 Betalingen lopen via Mollie B.V. in Nederland. Mollie is een betaalinstelling met een vergunning en eigen wettelijke plichten. Daarom is Mollie voor betaalgegevens zelf verwerkingsverantwoordelijke, en geen subverwerker van ons. Mollie krijgt de naam en het adres van de organisatie, bedragen, betaalgegevens en het incassomandaat.

6.7 Wij verkopen, verhuren of geven je gegevens aan niemand anders, tenzij de wet ons daartoe verplicht.

7. Je gegevens blijven in de EU

7.1 Wij slaan persoonsgegevens, productiegegevens, back-ups, logs, Previews en productie-apps op in de Europese Unie of de Europese Economische Ruimte, en verwerken ze daar. Daarop bestaan vier uitzonderingen, in 7.2 tot en met 7.5.

7.2 Goedgekeurde AI-codeerdiensten mogen broncode verwerken (6.4). Ons contract is met Anthropic Ireland, Limited; Anthropic verwerkt de gegevens ook in de Verenigde Staten. Die doorgifte berust op de standaardcontractbepalingen van de Europese Commissie, die deel zijn van de verwerkersovereenkomst van Anthropic. Een kopie van die bepalingen vraag je op bij privacy@appin7dagen.nl.

7.3 De codehost, GitHub, mag broncode verwerken, en de GitHub-accounts van de mensen die in die code werken (6.3). GitHub is een Amerikaans bedrijf, gecertificeerd onder het EU-VS Data Privacy Framework. De doorgifte berust op het adequaatheidsbesluit van de Europese Commissie voor dat kader (artikel 45 AVG).

7.4 De verspreiding, notarisatie en ondertekening van een Native app en haar pushberichten lopen via Apple, Google en Microsoft, onder de eigen accounts van de Klant en diens eigen overeenkomst met die aanbieders. Zij zijn geen subverwerkers van ons. Een pushbericht bevat geen persoonsgegevens.

7.5 Onze eigen zakelijke e-mail loopt via Google Workspace, met opslag in Europa. Google is een Amerikaans bedrijf, gecertificeerd onder het EU-VS Data Privacy Framework. De doorgifte berust op het adequaatheidsbesluit van de Europese Commissie voor dat kader (artikel 45 AVG). Dit geldt alleen voor wat jij en wij elkaar per e-mail schrijven.

7.6 Persoonsgegevens in de app van de Klant, de productiegegevens, de back-ups en de logs blijven altijd in de Europese Unie of de Europese Economische Ruimte.

8. Hoe lang wij gegevens bewaren

8.1 Wij bewaren gegevens niet langer dan nodig is voor hun doel:

8.2 Verwijdert een Beheerder een Organisatie, dan wissen wij binnen 90 dagen alles waarvoor geen wettelijke bewaarplicht geldt. Uit back-ups verdwijnen de gegevens zodra die back-ups verlopen.

8.3 Wij wissen nooit gegevens omdat een factuur niet is betaald.

9. Hoe wij je gegevens beveiligen

9.1 Al het verkeer loopt versleuteld over HTTPS. Databases, back-ups en bestanden zijn versleuteld opgeslagen. Screenshots van Pins, uploads en gegevens van ondertekenaars krijgen een extra laag versleuteling.

9.2 Wij bewaren geen wachtwoorden. Je logt in met een passkey of met een eenmalige code per e-mail. Onze medewerkers loggen altijd in met een passkey.

9.3 Elke Organisatie is afgeschermd van elke andere Organisatie. Automatische tests proberen bij elke wijziging gegevens van een andere Organisatie te lezen. Lukt dat, dan gaat de wijziging niet door.

9.4 Logs bevatten geen geheimen, geen getypte waarden en geen persoonsgegevens behalve identificatoren.

9.5 Een Beheerder kan ons vragen welke medewerker van ons wat heeft geopend, en wanneer. Wij sturen dat overzicht binnen 5 werkdagen na een verzoek van een Beheerder.

9.6 Wij maken doorlopend back-ups, in een ander land dan de servers. Elke back-up is vergrendeld: niemand, ook wij niet, kan haar wissen of wijzigen voordat zij verloopt. Valt een server uit, dan zetten wij de gegevens uit die back-ups terug op een nieuwe server.

10. Als het misgaat: datalekken

10.1 Raakt een datalek de gegevens van je Organisatie, dan melden wij dat zonder onredelijke vertraging, en uiterlijk binnen 24 uur nadat wij het hebben bevestigd. Zo kan je Organisatie op tijd aan haar eigen meldplicht voldoen.

10.2 Raakt een datalek onze eigen persoonsgegevens, dan melden wij dat binnen 72 uur aan de Autoriteit Persoonsgegevens als de wet dat vraagt (artikel 33 AVG). Loop je een hoog risico, dan informeren wij je ook zelf (artikel 34 AVG).

11. Je rechten

11.1 Je hebt recht op inzage, correctie, verwijdering, beperking van de verwerking, bezwaar en overdraagbaarheid van je gegevens (artikelen 15 tot en met 21 AVG).

11.2 In het platform kun je je eigen gegevens zelf inzien, exporteren en corrigeren. Je kunt daar ook om verwijdering vragen, en je Account verwijderen.

11.3 Om beperking of bezwaar vraag je in het platform of per e-mail aan privacy@appin7dagen.nl. Heb je geen Account, dan mail je ons voor elk verzoek.

11.4 Wij handelen elk verzoek binnen een maand af.

11.5 Verwerken wij gegevens op basis van je toestemming, dan kun je die toestemming altijd intrekken. Wat wij daarvoor al deden, blijft rechtmatig.

11.6 Verwerken wij gegevens op basis van ons gerechtvaardigd belang, dan kun je daartegen bezwaar maken. Wij stoppen dan, tenzij wij dwingende gerechtvaardigde gronden hebben die zwaarder wegen dan jouw belangen, rechten en vrijheden, of de gegevens nodig hebben voor een rechtsvordering.

11.7 Sommige gegevens kunnen wij niet wissen of veranderen:

• Facturen en betalingen moeten wij bewaren voor de fiscus.
• Records worden alleen aangevuld, en elke wijziging van een Record is aan te tonen: zij bewijzen wat er is afgesproken en gebeurd.
• Berichten en Pins worden niet gewist. Verlaat je een Organisatie, dan blijven je berichten en Pins daar staan, met je naam.
• Verwijder je je Account, dan staat bij je berichten en Pins "verwijderd account" in plaats van je naam. Records noemen je Account alleen bij zijn identificator. Alleen een document dat je hebt ondertekend, en het Record van die handtekening, houden je naam: zij bewijzen wie tekende. Die bewaren wij zo lang als hoofdstuk 8 zegt voor ondertekende documenten.

11.8 Je kunt je Account niet verwijderen zolang je de laatste Beheerder bent van een Organisatie met een lopende Build, een onbetaalde factuur of een lopend abonnement. Maak eerst iemand anders Beheerder.

11.9 Ben je het niet eens met hoe wij met je gegevens omgaan? Dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl), of bij de toezichthouder van het land in de EU of de EER waar je woont of werkt. Wij horen het graag eerst zelf, zodat wij het kunnen oplossen.

12. Cookies

12.1 Wij gebruiken per site één cookie: een functionele sessiecookie die je ingelogd houdt. Hij verloopt na 14 dagen zonder gebruik.

12.2 Een Preview staat op een eigen adres en zet daarom een eigen sessiecookie.

12.3 Wij gebruiken geen analytische cookies en geen trackingcookies. Daarom vragen wij je niet om toestemming en zie je geen cookiebanner (artikel 11.7a Telecommunicatiewet).

12.4 Het platform laadt geen scripts van andere partijen. Onze pagina's, e-mails en documenten laden geen lettertypen van andere partijen.

12.5 Onze publieke site verzamelt geen statistieken.

12.6 Begin je een Aanvraag zonder in te loggen, dan bewaart je eigen browser het concept. Dat is nodig om je Aanvraag af te kunnen maken, dus vragen wij er geen toestemming voor. Wij ontvangen het concept pas als je het verstuurt of onder je e-mailadres bewaart.

13. Nieuwe subverwerkers

13.1 Voegen wij een subverwerker toe, dan laten wij dat elke Organisatie 30 dagen vooraf weten in het platform.

13.2 Je Organisatie kan bezwaar maken tegen een nieuwe subverwerker. Dan kan je Organisatie de dienst waarvoor wij die subverwerker inschakelen zonder kosten beëindigen, voordat de wijziging ingaat.

14. Wijzigingen in deze verklaring

14.1 Elke versie van deze verklaring heeft een versienummer en een datum. Een nieuwe subverwerker melden wij vooraf, zoals artikel 13 zegt.

14.2 Een nieuwe versie van deze verklaring kondigen wij 30 dagen voordat zij geldt aan in het platform.

14.3 Verbetert een nieuwe versie alleen hoe deze verklaring een verwerking beschrijft die al loopt, zonder een doel, soort gegevens, ontvanger of subverwerker toe te voegen? Dan geldt zij vanaf de publicatie. Ook die versie kondigen wij aan in het platform.