Privacybeleid

1. Wie is verantwoordelijk?

Allergenenkaart.nu is een online dienst die horecaondernemers helpt bij het opstellen van allergeeninformatie voor hun menukaarten. Deze verklaring legt uit welke persoonsgegevens wij verwerken, waarom, op welke grondslag, hoe lang wij ze bewaren en welke rechten u heeft.

Verwerkingsverantwoordelijke in de zin van de AVG is Pentatonic, handelend onder de namen LP Ventures en Allergenenkaart.nu, ingeschreven bij de Kamer van Koophandel onder nummer 73959049. U bereikt ons via info@allergenenkaart.nu. Wij hebben geen functionaris voor gegevensbescherming; uw vraag komt bij ons zelf binnen.

2. Welke gegevens verwerken wij?

Van u als horecaondernemer:

• E-mailadres — voor uw account, het inloggen, en om u te schrijven over uw kaart, uw factuur en uw abonnement.
• Naam van uw zaak — om uw kaarten en uw online gastenmenu te personaliseren.
• Menugegevens — gerechtnamen, beschrijvingen, prijzen en allergeeninformatie die u invoert of die de AI voorstelt.
• Scanfoto's — foto's of PDF's van uw menukaart die u uploadt. Wij verwerken die om uw gerechten en de voorgestelde allergenen uit te lezen.
• Betaalgegevens — verwerkt door Stripe. Wij bewaren zelf geen kaartnummers of bankgegevens: in onze database staan alleen de klant- en abonnementsnummers van Stripe en de status van uw abonnement.
• Gebruiksgegevens van uw account — welke stappen u in de applicatie zet (inloggen, scannen, gerechten controleren, publiceren), met datum en tijd.
• Uw akkoord met de voorwaarden — wanneer u een account aanmaakt, betaalt of een kaart afrondt: het tijdstip, de versie van de voorwaarden, de tekst waarmee u akkoord ging, uw IP-adres en uw browser (zie punt 6, ‘Wat wij bewaren als bewijs’). Voor klanten in Italië, die de bezwarende bedingen apart goedkeuren met een code per e-mail: ook het e-mailadres waarnaar die code ging, het tijdstip van verzending, het kenmerk van die mail en een cryptografische afdruk (hash) van de verzending en van de ingevoerde code, die niet terug te rekenen is.
• Foutmeldingen — als er iets misgaat, gaat er een technisch rapport naar Sentry. Bij een fout maakt Sentry ook een opname van de schermen die u op dat moment zag, zodat wij de storing kunnen naspelen.

Van bezoekers van een online gastenmenu: zie punt 8 — die krijgen geen account en geen cookie.

Van horecazaken die wij benaderen: zie punt 7 over onze e-mails.

3. Waarvoor, en op welke grondslag

De AVG vraagt voor elke verwerking een grondslag. Dit zijn de onze:

• Uw account, uw kaarten, uw PDF, uw gastenmenu en uw betaling — uitvoering van de overeenkomst. Zonder deze gegevens kunnen wij de dienst niet leveren.
• De AI-analyse van uw menukaart en de vertaling ervan — uitvoering van de overeenkomst. Dat is de dienst zelf.
• Facturen en onze administratie — wettelijke verplichting (de fiscale bewaarplicht).
• Beveiliging, misbruikbestrijding, foutopsporing en het verbeteren van de dienst — gerechtvaardigd belang: een dienst die werkt en niet misbruikt wordt.
• Statistiek zonder cookies van anderen (bezoekersaantallen en het gebruik van een gastenmenu) — gerechtvaardigd belang: weten of het product werkt, zonder iemand te volgen.
• E-mails aan onze eigen klanten over de dienst (zie punt 7) — gerechtvaardigd belang, met in elke mail een afmeldlink.
• Onze benadering van horecazaken (zie punt 7) — gerechtvaardigd belang: een zakelijk aanbod aan een zakelijk adres, ook hier met een afmeldlink in elke mail.
• Bewijs van wat er op een kaart stond en wie het bevestigde (zie punt 6) — gerechtvaardigd belang: ons kunnen verdedigen als iemand na een allergische reactie een claim indient.
• Meten welke advertenties werken — gerechtvaardigd belang. Scant u een menukaart, maakt u een account aan of betaalt u nadat u via een advertentie van ons binnenkwam, dan sturen wij de klikcode van Google (niet uw e-mailadres) met het tijdstip en een waarde naar Google Ads: bij een betaling het bedrag, bij een scan of een nieuw account een vaste rekenwaarde. Zo meten wij welke advertenties werken. Bezwaar maken kan met een mail aan info@allergenenkaart.nu.

4. Verwerkers en derde partijen

Wij schakelen deze partijen in:

• Supabase — het inloggen: uw e-mailadres en de eenmalige inloglink of -code.
• Neon — de database met uw account, uw restaurant, uw kaarten, uw abonnementsstatus en ons bewijs (punt 6). De database staat in Frankfurt.
• Vercel Blob — de opslag van uw geüploade menufoto's en van de PDF-momentopnamen, bij dezelfde partij als onze hosting.
• Vercel — hosting van de applicatie. Onze servers draaien in Frankfurt.
• Stripe — betalingen, abonnementen en facturen.
• Google Gemini — de AI-analyse van uw menukaart: de tekst uitlezen, per gerecht allergenen voorstellen en het menu vertalen. Wat Gemini teruggeeft (de ruwe AI-uitvoer) bewaren wij zelf, bij onze andere gegevens, als bewijs (punt 6).
• Resend — verzending van al onze e-mail, en de terugkoppeling of een mail is aangekomen of gebounced.
• Sentry — foutmeldingen uit de applicatie, inclusief de schermopname bij een fout.
• Google Ads — alleen vanaf onze eigen server: scant u een menukaart, maakt u een account aan of betaalt u na een klik op een van onze advertenties, dan sturen wij Google Ads de klikcode, het tijdstip en een waarde (zie punt 3), nooit uw e-mailadres. Op onze website en op een gastenmenu laden geen Google-scripts en plaatst Google geen cookies.
• Umami — bezoekersaantallen van onze eigen website, zonder cookies. Wij draaien deze software zelf; hij staat gehost bij Railway.

Hoe deze partijen zelf met gegevens omgaan — waar zij die opslaan en hoe lang — staat in hun eigen privacyverklaring. Wij doen daar geen uitspraken over die wij niet kunnen nakomen. Wij verkopen uw gegevens niet en geven ze niet door voor reclame van anderen.

5. Doorgifte buiten de Europese Economische Ruimte

Een deel van onze leveranciers is een Amerikaans bedrijf. Ook wanneer de servers in Europa staan, kan zo'n bedrijf vanuit de Verenigde Staten toegang hebben tot gegevens. Wij leunen daarbij op het EU-VS Data Privacy Framework waar de partij daarvoor gecertificeerd is, en anders op de modelcontractbepalingen (standard contractual clauses) van de Europese Commissie.

• Google (Gemini, Ads) — Verenigde Staten. Waarborg: Data Privacy Framework, aangevuld met modelcontractbepalingen.
• Stripe — Ierland en de Verenigde Staten. Waarborg: modelcontractbepalingen, aangevuld met het Data Privacy Framework.
• Sentry — Verenigde Staten. Waarborg: modelcontractbepalingen.
• Resend — Verenigde Staten. Waarborg: modelcontractbepalingen.
• Vercel — Amerikaans bedrijf (Vercel Inc.); onze applicatie draait in de regio Frankfurt en uw geüploade menufoto's en PDF-momentopnamen staan in Vercel Blob. Waarborg: modelcontractbepalingen.
• Supabase — Amerikaans bedrijf; hier staat alleen uw inlogaccount (e-mailadres en inloglinks), in het datacenter in Ierland (regio eu-west-1, binnen de Europese Unie). Waarborg: modelcontractbepalingen.
• Neon — Amerikaans bedrijf (Neon Inc.); hier staan uw account, uw kaarten en ons bewijs, in het datacenter in Frankfurt (binnen de Europese Unie). Waarborg: modelcontractbepalingen.
• Railway — Amerikaans bedrijf; hier draait alleen onze cookieloze bezoekersteller. Waarborg: modelcontractbepalingen.

Wilt u weten welke waarborg voor een bepaalde partij geldt, of een kopie ervan inzien? Mail ons.

6. Hoe lang wij gegevens bewaren

• Uw account, uw kaarten en uw bestanden — zolang u een account bij ons heeft. U kunt uw account zelf verwijderen via uw instellingen.
• Het verwijderrecord — verwijdert u uw account, dan gaan uw restaurant, uw menukaarten met de gerechten en allergenen, uw geüploade bestanden, uw abonnementsgegevens en uw inlogaccount weg, met uitzondering van het bewijs hieronder. Wat blijft staan is één regel dat een account is verwijderd, met uw e-mailadres, de naam van uw zaak, de aanmaakdatum en de datum van verwijdering — zodat wij weten hoeveel mensen stoppen en u niet opnieuw benaderen. Die regel bewaren wij tot u ons vraagt hem ook te wissen; één mail is genoeg.
• Facturen en betalingen — die staan bij Stripe en vallen onder de fiscale bewaarplicht van zeven jaar. Ook na het verwijderen van uw account blijven ze daar dus staan.
• Inloglinks — een inloglink is 24 uur geldig en vervalt zodra u hem gebruikt. De eenmalige uitnodigingslink in de welkomstmail is negentig dagen geldig.
• Gebeurtenissen in de applicatie (wie wanneer scande, controleerde, publiceerde) — wij bewaren die voor onze statistieken. Verwijdert u uw account, dan wordt uw gebruikersnummer uit die regels gehaald: wat overblijft is niet meer naar u te herleiden.
• E-mailgebeurtenissen (verstuurd, aangekomen, gebounced, afgemeld) — die bewaren wij ook na een verwijdering, omdat een afmelding alleen werkt als wij hem onthouden.
• Gebruik van een gastenmenu — zie punt 8; die gegevens hangen aan geen enkele persoon.

Wat wij bewaren als bewijs

Een restaurant bepaalt zelf welke allergenen op zijn kaart staan; wij doen een voorstel en het restaurant controleert en bevestigt. Om dat later te kunnen laten zien, bewaren wij: per gerecht wie wanneer welke allergeen- en dieetinformatie voorstelde, bevestigde of wijzigde; momentopnamen van gepubliceerde kaarten en van gedownloade PDF's; de ruwe uitvoer van de AI; en uw akkoord met de voorwaarden (tijdstip, versie, IP-adres en browser; voor klanten in Italië ook de gegevens van de bevestigingscode uit punt 2).

Hoe lang, en waarom zo lang. Verwijdert u uw account, dan bewaren wij dit bewijs nog twintig jaar. Dat is lang, en daar is een reden voor: een claim wegens een allergische reactie kan jaren na de maaltijd komen. Een vordering tot schadevergoeding verjaart pas vijf jaar nadat iemand de schade en de aansprakelijke kent, en in de regel uiterlijk twintig jaar na de gebeurtenis (artikel 3:310 van het Burgerlijk Wetboek). Zolang zo'n claim nog kan komen, willen wij kunnen laten zien wat er op de kaart stond en dat het restaurant het bevestigde — ook in uw belang.

Niet meer naar u te herleiden. Bij het verwijderen van uw account vervangen wij uw gebruikersnummer, uw IP-adres en — voor klanten in Italië — het e-mailadres van de bevestigingscode in dit bewijs door een niet-herleidbare code. De inhoud van de kaart en de naam van de zaak blijven staan: die zijn het bewijs zelf. Grondslag: ons gerechtvaardigd belang om ons te kunnen verdedigen tegen een claim (artikel 6 lid 1 sub f AVG). Wilt u weten wat wij van u bewaren, of heeft u bezwaar, mail ons dan (zie punt 10).

7. Onze e-mail

Aan u als klant. Naast berichten die bij de dienst horen — uw inloglink, de bevestiging van uw bestelling, een melding over uw kaart — sturen wij een beperkt aantal opvolgmails: bijvoorbeeld een herinnering als u wel betaalde maar nog geen kaart uploadde, of een bericht een tijd na uw eerste PDF met de vraag of alles goed gaat en wat een abonnement toevoegt. Onder elke opvolgmail staat een afmeldlink. Klikt u die aan, dan sturen wij u geen opvolgmails meer; berichten die bij een lopende bestelling horen blijven wel komen.

Aan horecazaken die ons nog niet kennen. Wij benaderen restaurants, cafés en lunchrooms met een aanbod voor hun allergenenkaart. De naam van de zaak en het zakelijke e-mailadres halen wij uit openbare bronnen: de eigen website van de zaak, Google Maps en wat wij in de stad tegenkomen. Wij bewaren daarvan alleen de naam van de zaak, het e-mailadres en de status van het bericht — geen adres, geen telefoonnummer, geen contactpersoon. Grondslag is ons gerechtvaardigd belang bij een zakelijk aanbod aan een zakelijk adres. Onder elke mail staat een afmeldlink; wie zich afmeldt, komt op onze blokkeerlijst en krijgt niets meer van ons. Bezwaar maken kan ook door te mailen naar info@allergenenkaart.nu; wij verwijderen uw zaak dan uit onze lijst.

Bij zo'n benadering maken wij soms alvast een voorbeeldkaart van een publiek menu van de zaak, zodat het aanbod concreet is. Die kaart staat in een account dat op naam van het zakelijke e-mailadres staat. Wilt u die kaart en dat account weg, laat het weten — dat is één mail en wij doen het.

8. Bezoekers van een gastenmenu

Scant een gast in een restaurant de QR-code, dan opent hij het online gastenmenu. Daar is geen account nodig en er wordt niets van hem gevraagd. Op die pagina's laden geen Google- of Umami-scripts, verschijnt geen cookiebalk en gaat er niets naar een andere partij. Wij plaatsen daar geen enkele cookie.

Wat de browser zelf onthoudt: de gekozen taal (zodat de volgende kaart meteen goed staat) en een willekeurig nummer in het tijdelijke geheugen van het tabblad, dat verdwijnt zodra het tabblad sluit.

Wat wij daar wél tellen. Om restaurants te laten zien hoe hun kaart gebruikt wordt, houden wij op onze eigen servers bij dát een kaart geopend wordt (en of dat via een QR-code of een link gebeurt), welke taal gekozen wordt, welke allergeenfilters gebruikt worden, welke gerechten worden opengeklapt en hoe lang de kaart open staat. Kiest een gast in het menu een dieetwens (vegetarisch, veganistisch, lactosevrij, halal of kosher), dan leggen wij die keuze niet vast: dat filter werkt volledig in zijn eigen browser. Dat willekeurige tabbladnummer houdt die handelingen binnen één bezoek bij elkaar. Wij slaan daarbij geen naam, geen e-mailadres, geen IP-adres en geen browsergegevens op. Wilt u ook dit niet, ga dan naar /uit.

Het vertalen van een menu gebeurt vooraf, wanneer het restaurant zijn kaart klaarzet — niet tijdens uw bezoek. Naar Google Gemini gaat daarbij alleen de tekst van het menu. Geeft een gast zelf een beoordeling of een opmerking bij een gerecht, dan bewaren wij die tekst voor het restaurant; vul er dus geen persoonlijke gegevens in.

10. Uw rechten

Op grond van de Algemene Verordening Gegevensbescherming (AVG) heeft u de volgende rechten:

• Recht op inzage — u kunt opvragen welke persoonsgegevens wij van u verwerken.
• Recht op correctie — u kunt onjuiste gegevens laten aanpassen.
• Recht op verwijdering — u kunt ons vragen uw gegevens te wissen.
• Recht op beperking — u kunt ons vragen de verwerking tijdelijk stil te leggen, bijvoorbeeld zolang een correctie loopt.
• Recht op bezwaar — u kunt bezwaar maken tegen verwerkingen die op ons gerechtvaardigd belang rusten, waaronder onze e-mails. Bij bezwaar tegen direct marketing stoppen wij altijd, zonder te wegen.
• Recht op overdraagbaarheid — u kunt de gegevens die u zelf aanleverde in een gangbaar bestandsformaat opvragen, of ons vragen ze door te sturen.
• Recht om uw toestemming in te trekken — waar wij op uw toestemming steunen, kunt u die altijd intrekken met een mail. Wat daarvoor gebeurde blijft rechtmatig.

Om een van deze rechten uit te oefenen, mailt u naar info@allergenenkaart.nu. Wij reageren binnen 30 dagen. Wij kunnen u om een bevestiging vragen dat u ook echt de houder van het account bent, zodat wij de gegevens van iemand anders niet aan u geven.

Niet tevreden over hoe wij het oplossen? U heeft het recht een klacht in te dienen bij de toezichthouder, de Autoriteit Persoonsgegevens, via autoriteitpersoonsgegevens.nl. Wij horen het natuurlijk liever eerst zelf.

11. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om uw persoonsgegevens te beschermen tegen ongeautoriseerde toegang, verlies of misbruik. Alle dataoverdracht verloopt via versleutelde verbindingen (HTTPS/TLS), inloggen gaat zonder wachtwoord via een eenmalige link, en de gegevens van een restaurant zijn in de database afgeschermd van die van een ander. Gaat er ondanks alles iets mis met een risico voor u, dan melden wij dat aan de Autoriteit Persoonsgegevens en, waar dat nodig is, aan u.

12. Wijzigingen

Wij kunnen dit privacybeleid van tijd tot tijd aanpassen. Bij belangrijke wijzigingen laten wij het weten via e-mail of een melding in de applicatie. De meest recente versie staat altijd op deze pagina, met de datum bovenaan.

13. Contact

Heeft u vragen over dit privacybeleid of over de verwerking van uw persoonsgegevens? Neem contact met ons op via info@allergenenkaart.nu.