In het kort
Ik verwerk alleen wat ik nodig heb om op je aanvraag te reageren, je site te bouwen en je daarna te helpen. Een aanvraag die geen opdracht wordt, verdwijnt twaalf maanden na het laatste contact. Advertentiemeting van Google en OpenAI gebeurt alleen als je daar ja op zegt; zonder ja laad ik die scripts niet eens. Ik verkoop niets door. Je kunt altijd zien, laten verbeteren of laten verwijderen wat ik van je heb: mail luuk@plekk.agency.
§1 Wie ik ben
Verwerkingsverantwoordelijke is Plekk, de eenmanszaak van Luuk van der Poel, ingeschreven in het Handelsregister onder nummer 42050956 (vestigingsnummer 000065542088), gevestigd aan de Hoofdmanweg 11, 4871 LD Etten-Leur, bereikbaar via luuk@plekk.agency en 06 42 92 14 68. Ik heb geen functionaris voor gegevensbescherming: dat is alleen verplicht bij grootschalige monitoring of bijzondere gegevens als kernactiviteit (art. 37 AVG). Voor elke vraag over je gegevens ben ik zelf je aanspreekpunt.
Host ik de website van een klant, of werk ik met het klantenbestand van een klant, dan is die klant verantwoordelijk voor de gegevens van zijn eigen klanten en bezoekers, en ben ik zijn verwerker. Dat staat in de verwerkersovereenkomst.
§2 Wat ik verwerk, waarom en hoe lang
| Wanneer | Welke gegevens | Waarvoor | Grondslag (art. 6 lid 1 AVG) | Hoe lang |
|---|---|---|---|---|
| Je vult het startformulier in (/start, de homepage) | naam, bedrijf, e-mail, telefoon (als je die invult), je site, je omschrijving, je keuzes (start, wat, budget), de bron van je bezoek (utm_source) | reageren op je aanvraag: de check, het gesprek, het concept of de gids | sub b: op jouw verzoek, vóór een overeenkomst | twaalf maanden na het laatste contact; word je klant, dan gaat je aanvraag naar je klantdossier |
| Je kiest de check | daarbij het adres van je site, dat ik naar Google PageSpeed Insights stuur; de scores bewaar ik bij je aanvraag | je site meten | sub b | als je aanvraag |
| Ik maak je check of je playbook | je aanvraag, je antwoorden op de tien vragen, mijn aantekeningen van ons gesprek (ik neem het gesprek niet op), en de check, het script van de video en de pdf; in een map op mijn computer en in mijn meetprogramma (de Case Study Builder). Voor de metingen gaan je bedrijfsnaam, je site en een paar zoektermen naar Google en DataForSEO; je naam en e-mail niet | de check en het playbook maken | sub b | twaalf maanden na het laatste contact, als je aanvraag; ik ruim de map met de hand op |
| Je chat met Sam op de homepage | je berichten, en wat je Sam vertelt (je bedrijf, je site, je plaats, je naam en e-mail) | je vraag beantwoorden en je aanvraag doorzetten | sub b | de berichten bewaar ik niet; een samenvatting komt bij je aanvraag (twaalf maanden) |
| Je gebruikt de rekentool op /thuisbatterij | naam, bedrijf, e-mail, telefoon, en de cijfers die je invult | reageren op je aanvraag | sub b | twaalf maanden na het laatste contact |
| Je schrijft je in voor de nieuwsbrief | e-mail, en het bewijs van je toestemming: waar je je aanmeldde, wanneer, welke tekst je zag en wanneer je bevestigde | Field Notes sturen | sub a: je toestemming (art. 11.7 Telecommunicatiewet) | tot je je afmeldt; daarna blijft je adres als afgemeld staan, zodat ik je niet opnieuw mail; op verzoek wis ik het helemaal |
| Je wordt klant | naam, e-mail, telefoon, bedrijf, adres, KvK-nummer, btw-id, facturen, de mails die we elkaar sturen, de inhoud van je site en je inlog op het dashboard | de opdracht uitvoeren, support, facturen | sub b, en sub c voor de administratie | facturen en administratie 7 jaar (art. 52 AWR); de rest zolang je klant bent en twee jaar daarna |
| Je herroept een overeenkomst (/herroep) | e-mail, klantnummer, het soort herroeping en je reden (als je die geeft) | de herroeping afhandelen | sub c: wettelijke plicht | als je klantdossier |
| Je meldt illegale inhoud (/dsa-melding) | categorie, uitleg, de plek van de inhoud, en je naam en e-mail (niet verplicht bij kindermisbruik) | de melding afhandelen (art. 16 DSA) | sub c | zolang ik de melding afhandel, en daarna hooguit twee jaar |
| Ik benader je bedrijf (een zakelijke mail of bericht) | bedrijfsnaam, de naam van een contactpersoon, een zakelijk e-mailadres of telefoonnummer, je site, plaats en branche, en één waarneming over je site; uit openbare bronnen (je eigen site, Google Maps, het Handelsregister) | je laten weten wat ik voor je bedrijf kan doen | sub f: mijn gerechtvaardigde belang | reageer je niet, dan verwijder ik je gegevens binnen twaalf maanden; zeg je nee, dan bewaar ik alleen je adres op een lijst om je niet opnieuw te benaderen |
| Je bezoekt plekk.agency | je IP-adres, browser, de pagina en het tijdstip, in de logs van mijn hosting; je IP-adres ook in een teller tegen misbruik; en, tenzij je weigert, statistieken zonder cookies: de pagina, waar je vandaan kwam, je land, het soort apparaat, je browser, en op welke knoppen je klikt (§3) | de site laten werken en beschermen; zien welke pagina's en knoppen werken | sub f | de teller hooguit een dag; de logs bewaart Vercel een dag (Pro, zonder Observability Plus); de statistieken zijn anoniem en blijven twaalf maanden in te zien |
Ik gebruik je gegevens niet voor iets anders dan wat hier staat, en ik verkoop ze niet. Op mijn site staan ook namen van anderen: reviews met naam uit Google, en cases in LABB, alleen met toestemming van wie het betreft.
§3 Cookies en vergelijkbare technieken
Zonder toestemming. Mijn site bewaart een paar kleine dingen in je browser die nodig zijn om hem te laten werken of die je privacy nauwelijks raken (art. 11.7a lid 3 sub b Telecommunicatiewet): je keuze in de cookiebanner (plekk_consent), of je het laadscherm al zag (plekk-intro, tot je het tabblad sluit), de bron van je bezoek (plekk_utm, tot je het tabblad sluit; alleen utm_source gaat mee met een aanvraag), en, als je met Sam chat, de stand van het gesprek (plekk_chat_entry, plekk_lang, plekk_system_note, en voor klanten plekk_klant met je klantnummer). Voor statistieken gebruik ik Vercel Web Analytics en Speed Insights: zonder cookies van derden; een bezoek herkennen ze aan een hash van het verzoek, die na 24 uur vervalt, en een meting is niet aan je IP-adres gekoppeld. Ik tel daarmee ook op welke knoppen je klikt, welke stap van het startformulier je bereikt en of een aanvraag lukt, in vaste woorden; wat je invult, gaat nooit mee. Uit het adres van een pagina haal ik alles weg wat naar jou kan wijzen, zoals de code in de link van de nieuwsbrief. Ook dat raakt je privacy nauwelijks (art. 11.7a lid 3 sub b). De grondslag is mijn gerechtvaardigd belang: zien wat werkt (art. 6 lid 1 sub f AVG). Wil je niet meetellen, kies dan Weigeren in de banner; dan laden de statistieken niet meer (je recht van bezwaar, art. 21 AVG).
Met toestemming: advertentiemeting. Klik je in de banner op Accepteren, dan laad ik twee scripts. Zonder die klik laad ik ze niet, en gaat er niets naar Google of OpenAI. Op een pagina met een persoonlijke link (de bevestiging van de nieuwsbrief, de link naar je gesprek met Sam) laad ik ze ook met toestemming niet.
- Google Ads meet welke advertentie je naar mijn site bracht, met cookies en de klik-id uit de advertentie (Google Consent Mode v2). Verstuur je daarna een aanvraag via het startformulier, dan gaat je e-mailadres versleuteld mee (in je eigen browser onomkeerbaar gehasht met SHA-256), zodat Google de aanvraag aan de klik kan koppelen. Zie het privacybeleid van Google.
- OpenAI meet of een advertentie in ChatGPT tot een aanvraag leidt. De pixel plaatst
__oppref(de verwijzing van de advertentie, 30 dagen) en__obref(een willekeurige referentie voor je browser, 365 dagen), en meldt bij een aanvraag alleen dát er een aanvraag is gedaan, met een willekeurig nummer; je naam en e-mail gaan niet mee. Zie het privacybeleid van OpenAI.
Je keuze wijzigen. Klik onderaan elke pagina op Cookies. Weiger je na een eerdere ja, dan haal ik de advertentiecookies weg en laadt de pagina opnieuw, zonder de scripts. Weigeren zet ook de statistieken uit.
§4 Wie je gegevens krijgen
Deze partijen werken voor mij als verwerker, met een verwerkersovereenkomst. Google (bij advertentiemeting) en OpenAI zijn voor hun eigen gebruik zelf verantwoordelijk; daarvoor gelden hun privacybeleid en hun voorwaarden voor adverteerders.
| Partij | Waarvoor | Waar | Waarborg |
|---|---|---|---|
| Supabase | de database: aanvragen, klantdossiers, de inlog van het dashboard en de teller tegen misbruik | database in de EU (Ierland); beheer, support en logs ook vanuit Singapore en de VS | standaardcontractbepalingen (Supabase Pte. Ltd., Singapore) |
| Resend | e-mail versturen (bevestigingen, meldingen aan mij, de nieuwsbrief) en de lijst van de nieuwsbrief | verzenden vanuit de EU (Ierland); account, adressen en logs in de VS | EU-US Data Privacy Framework |
| Vercel | hosting van plekk.agency en het dashboard, serverlogs, statistieken zonder cookies van derden | VS en wereldwijd | EU-US Data Privacy Framework |
| Anthropic | Sam, en het opstellen van de check en het playbook | VS | standaardcontractbepalingen |
| mijn mailbox (Google Workspace), PageSpeed Insights (alleen het adres van je site), inloggen op het dashboard met Google als je dat kiest | EU en VS | EU-US Data Privacy Framework | |
| GitHub | de code en de inhoud van de sites van klanten | VS | EU-US Data Privacy Framework |
| Cloudinary | schermafbeeldingen die een klant in de supportchat uploadt | VS | EU-US Data Privacy Framework |
| Loom (Atlassian) | de video bij de check en de rondleiding bij de oplevering; in het dashboard laadt de speler pas na een klik | VS | EU-US Data Privacy Framework |
| AFAS | mijn boekhouding: facturen en administratie | EU (Microsoft Azure, West-Europa) | verwerkersovereenkomst in de voorwaarden van AFAS; geen doorgifte buiten de EU |
§5 Gegevens buiten de Europese Unie
Een deel van mijn leveranciers zit in de Verenigde Staten of werkt van daaruit. Dat mag alleen met een waarborg (hoofdstuk V AVG):
- Het EU-US Data Privacy Framework. De Europese Commissie besloot op 10 juli 2023 dat gecertificeerde Amerikaanse bedrijven een passend beschermingsniveau bieden (Besluit (EU) 2023/1795). Vercel, Resend, Google, GitHub, Cloudinary en Atlassian (Loom) staan op de lijst (dataprivacyframework.gov, gecontroleerd op 11 oktober 2026). Het besluit geldt; het Gerecht van de EU wees een beroep ertegen af op 3 september 2025 (T-553/23), en het hoger beroep bij het Hof van Justitie loopt nog (C-703/25 P). Valt het besluit, dan gelden voor deze partijen de standaardcontractbepalingen uit hun verwerkersovereenkomst.
- Standaardcontractbepalingen van de Europese Commissie (Besluit (EU) 2021/914) voor wie niet op de lijst staat: Anthropic en Supabase (Singapore en de VS). Voor Anthropic heb ik daarnaast een beoordeling van de doorgifte gemaakt; die stuur ik je op verzoek.
Ik stuur Anthropic niet meer dan nodig: de berichten aan Sam, en voor de check en het playbook je aanvraag en mijn aantekeningen. Anthropic bewaart die hooguit 30 dagen en traint er geen modellen mee.
Met je toestemming gaan gegevens uit je browser ook naar Google en OpenAI in de VS (§3). Google staat op de lijst van het Data Privacy Framework; OpenAI niet.
§6 AI en geautomatiseerde besluiten
Sam, de chat op de homepage, is een AI-assistent op basis van Claude van Anthropic. Hij zegt dat bij zijn eerste bericht en de chat toont het in beeld, zoals de AI-verordening vraagt (art. 50 lid 1). De check en het playbook schrijf ik met hulp van Claude; ik lees en keur alles zelf voordat het naar je toe gaat. Niemand wordt aangenomen of afgewezen op basis van een geautomatiseerd besluit (art. 22 AVG): elke beslissing over een aanvraag neem ik zelf. Wil je liever met een mens praten, mail dan luuk@plekk.agency.
§7 Beveiliging
Ik neem passende maatregelen (art. 32 AVG): versleutelde verbindingen (HTTPS), versleutelde opslag bij mijn leveranciers, tweestapsverificatie op mijn beheeraccounts, databasetabellen die alleen de server kan lezen (row level security), ondertekende links (zoals de resumelink van Sam en de bevestiging van de nieuwsbrief) en een limiet op het aantal verzoeken per IP-adres. Een klantgegeven geef ik alleen terug aan wie een geldige link of inlog heeft.
§8 Je rechten
Je hebt recht op:
- inzage: welke gegevens ik van je heb;
- verbetering: onjuiste gegevens laten aanpassen;
- verwijdering: je gegevens laten wissen, behalve wat ik volgens de wet moet bewaren (art. 17 lid 3 AVG);
- beperking: de verwerking tijdelijk laten stoppen;
- overdraagbaarheid: je gegevens in een gangbaar bestand krijgen;
- bezwaar: tegen een verwerking op basis van mijn gerechtvaardigde belang; tegen een zakelijke benadering is je bezwaar altijd genoeg (art. 21 lid 2 en 3 AVG);
- intrekken van je toestemming: met de link Cookies onderaan elke pagina, of de afmeldlink onder elke nieuwsbrief.
Een verzoek stuur je naar luuk@plekk.agency. Ben je klant, dan kun je in het dashboard ook om verwijdering vragen. Ik reageer binnen een maand; bij een ingewikkeld verzoek kan dat twee maanden langer worden, en dan laat ik je dat binnen de eerste maand weten (art. 12 lid 3 AVG). Wat ik volgens de fiscale bewaarplicht moet bewaren (art. 52 AWR, 7 jaar), wis ik niet maar gebruik ik alleen nog daarvoor (art. 18 AVG).
Ben je niet tevreden over hoe ik met je gegevens of je verzoek omga, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.
§9 Datalekken
Gaat er iets mis met de beveiliging waardoor persoonsgegevens verloren gaan of bij de verkeerde terechtkomen, dan meld ik dat binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het geen risico voor je oplevert (art. 33 AVG). Is het risico hoog, dan laat ik het jou ook direct weten (art. 34 AVG). Mijn verwerkers moeten mij zonder onnodige vertraging waarschuwen.
§10 Wijzigingen
Ik pas deze privacyverklaring aan als er iets verandert. De actuele versie staat altijd op plekk.agency/privacy. Een wijziging die je raakt, meld ik vooraf per e-mail aan mijn klanten.
Wijzigingen ten opzichte van versie mei 2026:
- In de ik-vorm, per situatie: het startformulier, de check, het playbook, Sam, de rekentool, de nieuwsbrief, klanten, herroepen, DSA-meldingen en de zakelijke benadering (§2).
- Een aanvraag die geen opdracht wordt, verdwijnt twaalf maanden na het laatste contact; de teller tegen misbruik bewaart je IP-adres hooguit een dag (§2).
- Google Ads laadt pas na je toestemming; je keuze wijzig je met de link Cookies; OpenAI krijgt bij een aanvraag geen naam of e-mail; Weigeren zet ook de statistieken uit, en uit het adres van een pagina haal ik alles weg wat naar jou kan wijzen (§3).
- De partijen kloppen weer met wat ik gebruik: Supabase in Ierland, Resend, Vercel, Anthropic, Google, OpenAI, GitHub, Cloudinary, Loom en AFAS; Google Sheets en Mollie zijn weg (§4, §5).