Privacyverklaring

1. Verwerkingsverantwoordelijke

bb-projects, gevestigd aan de Kaarderstraat 3, 5623 AE Eindhoven, ingeschreven bij de Kamer van Koophandel onder nummer 61657964, is verwerkingsverantwoordelijke voor de persoonsgegevens die via Small Moments worden verwerkt. Voor privacy-vragen kun je ons bereiken via hello@smallmoments.nl of via de contactpagina.

2. Welke gegevens verwerken we?

• Account-gegevens: e-mailadres, weergavenaam, versleuteld wachtwoord (bcrypt-hash), aanmaakdatum.
• Inhoud die je zelf toevoegt: foto's, bijschriften, kalenderdata, instellingen en uitnodigingen aan anderen. Je kalenders zijn standaard privé en worden pas zichtbaar voor anderen als je ze actief deelt.
• Betaal- en factuurgegevens: abonnementsstatus, betaaldatum, bedrag, factuurland, BTW-nummer indien opgegeven. Kaart- of bankgegevens slaan we zelf niet op — dat doet onze betaalprovider Stripe.
• Communicatie: berichten die je via het contactformulier of per mail naar ons stuurt, inclusief de inhoud daarvan.
• Technische gegevens: IP-adres, browser-info, tijdstempels van inlogpogingen, foutlogs en andere server-logs die nodig zijn voor beveiliging en het oplossen van problemen.

3. Waarom en op welke grondslag

• Uitvoering van de overeenkomst: aanmaken en beheren van je account, hosten van je content, leveren van het abonnement, afhandelen van betalingen.
• Wettelijke verplichting: bewaren van facturen en bijhorende gegevens (fiscale bewaarplicht, 7 jaar).
• Gerechtvaardigd belang: beveiliging, fraudepreventie, technisch onderhoud, het verbeteren van de dienst en het beantwoorden van je berichten.
• Toestemming: voor optionele cookies of e-mailings die buiten de normale dienstverlening vallen. Toestemming kun je op elk moment intrekken.

4. Bewaartermijnen

We bewaren je account en de bijbehorende content zolang je account bestaat. Verwijder je je account, dan verwijderen we je gegevens binnen 30 dagen, met uitzondering van wat we wettelijk moeten bewaren (zoals facturen, 7 jaar). Server-logs bewaren we maximaal 90 dagen, geanonimiseerd waar mogelijk. Uitwisselingen via het contactformulier bewaren we tot 24 maanden na afhandeling. Back-ups van onze database worden versleuteld opgeslagen en maximaal 30 dagen bewaard; verwijderde inhoud verdwijnt daarna automatisch ook uit onze back-ups.

5. Met wie delen we gegevens?

We verkopen je gegevens nooit door. We delen ze alleen met de partijen die nodig zijn om de dienst te leveren ("verwerkers"), telkens op basis van een verwerkersovereenkomst:

• Stripe Payments Europe Ltd. (Ierland): verwerking van betalingen en abonnementen. Stripe ontvangt je e-mailadres, naam en betaalgegevens. Stripe is gecertificeerd onder het EU-US Data Privacy Framework. Lees meer in het privacybeleid van Stripe.
• Resend, Inc.: versturen van transactionele e-mails (welkom, wachtwoord-reset, factuur-bevestigingen). Resend ontvangt je e-mailadres en de inhoud van de mail.
• Cloudflare, Inc.: beveiligde toegang tot de site (CDN, tunnel, DDoS-beveiliging) én opslag van geüploade foto's via Cloudflare R2 in de regio Western Europe. Cloudflare ziet IP-adres en verzoek-headers.
• Hetzner Online GmbH (Duitsland / Finland): hosting van de applicatieserver en database binnen de Europese Economische Ruimte.
• Google Ireland Ltd. / Google LLC (Google Analytics 4):bezoek- en conversie-statistieken. In je browser worden alleen gegevens verzameld op basis van jouw cookie-keuze (zie ons cookiebeleid). Daarnaast sturen we vanuit onze server geaggregeerde aankoopgegevens (transactie-ID, bedrag, abonnement of cadeau-type) door, zonder persoonlijke informatie of browser-identifier — rechtsgrond: gerechtvaardigd belang om conversies te meten. Doorgifte naar de VS gebeurt op basis van het EU-US Data Privacy Framework.
• Google Cloud Storage (Google Ireland Ltd.): versleutelde back-ups van onze database en kopieën van geüploade foto's voor noodherstel. Opslag in een EU multi-region binnen de Europese Economische Ruimte; bewaartermijn maximaal 30 dagen (zie sectie 4).

Verwerkingen die plaatsvinden in landen buiten de EER (zoals onderdelen van Stripe of Resend in de VS) worden gedekt door passende waarborgen — primair het EU-US Data Privacy Framework waar de partij gecertificeerd is, en anders de Standard Contractual Clauses van de Europese Commissie.

6. Beveiliging

We versleutelen verkeer met TLS, slaan wachtwoorden alleen versleuteld op (bcrypt-hash met salt), en beperken toegang tot persoonsgegevens tot wie ze nodig heeft. We maken regelmatig back-ups en monitoren op verdachte activiteit. Mocht er ondanks dat een datalek plaatsvinden met risico voor je rechten, dan informeren we je en — waar wettelijk vereist — de Autoriteit Persoonsgegevens binnen 72 uur.

7. Je rechten

Onder de AVG heb je de volgende rechten:

• Inzage in welke gegevens we van je verwerken.
• Rectificatie als gegevens onjuist of onvolledig zijn.
• Verwijdering ("recht op vergetelheid"), tenzij we wettelijk verplicht zijn de gegevens te bewaren.
• Beperking van de verwerking.
• Bezwaar tegen verwerking op grond van gerechtvaardigd belang.
• Dataportabiliteit: je gegevens in een leesbaar formaat ontvangen.
• Toestemming intrekken als de verwerking op toestemming is gebaseerd.

Zelf doen kan ook: een complete export van je gegevens (foto's, bijschriften, mijlpalen, kalenders als PDF) download je via Account → Gegevens exporteren. Foto's wis je per kalender via Instellingen → Foto's wissen, je hele account verwijder je via Account → Account verwijderen. Bij dat laatste worden je kalenders, foto's en een eventueel lopend abonnement direct opgeruimd.

Stuur een verzoek naar hello@smallmoments.nl of gebruik de contactpagina. We reageren binnen één maand. Ben je niet tevreden? Dan heb je het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

8. Cookies

We gebruiken functionele cookies om de site te laten werken (inloggen, cookiekeuze onthouden) en analytics via Google Analytics 4 om te meten hoe Small Moments wordt gebruikt. Geef je toestemming, dan plaatst GA4 standaard analytics-cookies. Geef je geen toestemming, dan meten we in cookieloze modus — zonder identifier in je browser, alleen geanonimiseerde signalen voor ruwe bezoekersaantallen. Marketing- of advertentiecookies plaatsen we niet. De volledige uitleg per cookie staat op de cookiepagina.

9. Kinderen en gegevens van minderjarigen

Small Moments is bedoeld voor gebruik door volwassenen (16+). Het account is altijd van een ouder of voogd; we maken geen accounts voor minderjarigen aan.

Een kalender kan natuurlijk wél gaan over een kindje. De foto's, namen en bijschriften die je toevoegt kunnen dus persoonsgegevens van een minderjarige betreffen. Door deze content te uploaden bevestig je dat je daartoe bevoegd bent (als ouder of voogd, of met toestemming van de andere ouder/voogd).

We gaan extra zorgvuldig om met deze gegevens: kalenders staan standaard op privé, we trainen geen AI-modellen op de inhoud, we verkopen niets door en delen alleen met de verwerkers uit sectie 5 die nodig zijn om de dienst te leveren.

Heb je vragen of bezwaren namens het kindje, of vermoed je dat er onbedoeld gegevens van een kind onder de 16 zijn verzameld zonder dat een ouder daarbij betrokken is? Neem direct contact op, dan verwijderen we de gegevens.

10. AI en automatische besluitvorming

We trainen geen AI-modellen op je foto's, bijschriften of andere inhoud, en delen die ook niet met derden voor dat doel. We nemen ook geen geautomatiseerde besluiten met juridische of vergelijkbaar significante gevolgen voor jou (AVG art. 22).

11. Wijzigingen

We mogen deze privacyverklaring aanpassen, bijvoorbeeld bij wijzigingen in de dienst of de wet. Bij inhoudelijke wijzigingen informeren we je per e-mail. De meest recente versie staat altijd op deze pagina, met de datum hieronder.