Privacybeleid

Laatst bijgewerkt: 7 oktober 2026

DonateWave (“wij”, “ons”) respecteert je privacy en verwerkt persoonsgegevens conform de Algemene Verordening Gegevensbescherming (AVG/GDPR). Dit beleid legt uit welke gegevens we verzamelen, waarom, en welke rechten je hebt.

1. Verwerkingsverantwoordelijke

KBP Handelsonderneming, handelend onder de naam DonateWave, gevestigd in Nederland. Voor privacyvragen: privacy@donatewave.nl.

2. Welke gegevens verzamelen we?

Wachtrijaanvragers

• Voornaam, achternaam, e-mailadres, datum van aanmelding en de status van onze beoordeling
• Bij goedkeuring: de gekoppelde persoonlijke uitnodiging en verzenddatum

Streamers (accounthouders)

• E-mailadres en wachtwoord (gehashed via Supabase Auth)
• Publieke profielnaam, slug, welkomstbericht, avatar
• Stripe Connect account-ID en gemaskeerde uitbetaalrekening
• Door Stripe geverifieerde naam, adres, rekeninghouderstype en voor particulieren de geboortedatum, voor facturatie en wettelijke rapportage
• Voor bedrijfsaccounts: KvK-nummer en btw-status voor correcte facturatie
• Alleen nadat de DAC7-plicht expliciet is bevestigd: voor particulieren het BSN; voor bedrijven het fiscale nummer/RSIN en eventuele vaste inrichtingen; plus het volledige IBAN. Gevoelige fiscale identificatienummers en IBAN worden versleuteld opgeslagen.
• Fee-facturen, maandelijkse betalingsoverzichten en technische transactie-ID's voor reconciliatie
• IP-adres en user-agent bij authenticatie en gevoelige acties (audit log, max. 365 dagen)
• Invite code en eventuele agency-attributie
• Als je de TikTok-meetlink gebruikt: scherm- en werkgebiedafmetingen, viewport, pixelschaal en willekeurige browser-/pagina-ID’s voor resolutieadvies en jouw herstartcontrole. Geen screenshots of pc-bestanden. De laatste meting per browser wordt vervangen; inactieve metingen worden na 7 dagen verborgen en bij dagelijks onderhoud samen met hun controles verwijderd. Zonder meetlink worden deze metingen niet verstuurd.
• Bij gebruik van de Companion: beperkte technische diagnose voor ondersteuning, zoals appversies, setupstap, bronafmetingen, uitsnede, positie, schaal en herstelresultaten. Geen geheime overlaylinks, tokens, scènenamen, screenshots of andere pc-bestanden. Diagnosegegevens zijn alleen voor bevoegde beheerders, worden na 7 dagen verborgen en bij het dagelijkse onderhoud verwijderd.

Supporters (kijkers)

• Optionele naam (mag pseudoniem zijn) en bericht: getoond aan streamer en kijkers
• Optioneel e-mailadres: alleen voor de tipbevestiging, nooit zichtbaar voor de creator
• Als je na betaling vrijwillig Wave XP activeert: een onomkeerbare hash van je e-mailadres, je gekozen supporternaam, creator-specifieke XP, level, tipaantal en totaalbedrag
• Tipbedrag en -tijdstip
• Stripe payment intent ID (Stripe verwerkt zelf de iDEAL- of Bancontactgegevens)

Anonimisering: 365 dagen na een tip verwijderen we het e-mailadres en eventuele identificerende velden van supporters.

Contact- en supportverzoeken

• Naam, e-mailadres, onderwerp, bericht en eventuele bijlagen die je zelf toevoegt
• Voor ingelogde streamers: koppeling aan het account en, bij een snelle bug- of functiemelding, de pagina waarop de melding is gedaan
• Inkomende en uitgaande e-mail-ID's om antwoorden bij het juiste ticket te plaatsen en dubbele webhookverwerking te voorkomen

Websitegebruik en prestaties

• Alleen als je dit in het helpcentrum aanvinkt: je zoekterm, het aantal gevonden artikelen en het eerste aangeklikte resultaat, zonder koppeling aan je account. Dit helpt ontbrekende uitleg te vinden. We filteren herkenbare e-mailadressen, links en lange cijferreeksen, maar vul zelf geen persoonsgegevens in. Zoekgegevens verdwijnen na 30 dagen uit de inzichten en worden bij het dagelijkse onderhoud verwijderd. Uitvinken stopt de registratie van volgende zoekopdrachten en klikken. Zoeken werkt ook zonder deze toestemming.
• Geaggregeerde paginaweergaven, verwijzende pagina, browser- en apparaattype en technische prestatiegegevens via Vercel Analytics en Speed Insights
• Alleen na jouw toestemming: paginaweergaven en productinteracties via Google Analytics 4, zoals het starten en afronden van de tipflow
• We sturen geen namen, e-mailadressen, tipberichten of betaalgegevens naar deze analyticsdiensten
• Overlay- en effect-preview-URL's zijn uitgesloten van websiteanalytics

3. Doel en grondslag van de verwerking

• Uitvoering overeenkomst: accountbeheer, betalingen, uitbetalingen en tip-shout-outs tonen
• Uitvoering overeenkomst en gerechtvaardigd belang: contactvragen, supporttickets, bugs en productideeën behandelen
• Stappen vóór een overeenkomst: een aangevraagde plek op de closed-beta-wachtrij beoordelen en daarover transactioneel e-mailen
• Wettelijke verplichting: fiscale administratie en, alleen na bevestiging van toepasselijkheid, DAC7-identificatie en -rapportage
• Gerechtvaardigd belang: beveiliging, fraudedetectie en auditlogs
• Gerechtvaardigd belang: geaggregeerde product- en prestatiemeting via Vercel om fouten en gebruiksgemak te verbeteren
• Toestemming: Google Analytics 4 voor website- en conversiemeting
• Toestemming: optionele e-mailnotificaties
• Toestemming: vrijwillig gedeelde zoekopdrachten en resultaatklikken om het helpcentrum te verbeteren
• Toestemming: het optionele supporterprofiel, Wave XP en zichtbare supporterbadges

4. Sub-verwerkers

We werken met de volgende verwerkers:

• Stripe Payments Europe Ltd. (Ierland): betaalverwerking en uitbetaling
• Supabase Inc. (EU-regio): database, authenticatie en realtime overlays
• Resend Inc. (EU-regio): transactionele en inkomende support-e-mails
• Vercel Inc. (EU-regio): hosting, geaggregeerde webanalytics en prestatiemeting
• Google Ireland Ltd.: Google Analytics 4, uitsluitend nadat je analytics hebt toegestaan

Met al deze partijen hebben we verwerkersovereenkomsten conform AVG.

5. Bewaartermijnen

• Wachtrijaanvragen: maximaal 12 maanden na aanmelding of beoordeling
• Afgeronde supporttickets: maximaal 2 jaar na de laatste wijziging; technische inbound webhookregistraties maximaal 90 dagen
• Accountgegevens: zolang je account actief is, daarna 30 dagen herstelperiode
• Tiptransacties: 7 jaar (fiscale bewaarplicht), met anonimisering na 365 dagen
• Supporterprofielen: totdat je verwijdering aanvraagt; inlogsessies verlopen automatisch na 90 dagen
• Facturen, betalingsoverzichten en financiële transactiegegevens: minimaal 7 jaar
• DAC7-identificatie en bijbehorende brongegevens: de vóór activatie vastgelegde termijn van 5 tot 10 jaar na het einde van het rapportagejaar; de exacte termijn wordt bij het invoerveld getoond
• Audit logs: 90 dagen, daarna verwijderd
• Backups: maximaal 30 dagen

6. Jouw rechten (AVG)

• Recht op inzage, rectificatie en verwijdering van je gegevens
• Recht op dataportabiliteit en bezwaar
• Recht om toestemming in te trekken
• Recht om klacht in te dienen bij de Autoriteit Persoonsgegevens

Verzoeken kun je sturen naar privacy@donatewave.nl. We reageren binnen 30 dagen.

7. Cookies

We gebruiken noodzakelijke opslag en cookies voor sessies, authenticatie, beveiliging en betalingen. Vercel Analytics en Speed Insights gebruiken we voor geaggregeerde product- en prestatiemeting. Google Analytics 4 wordt pas geladen nadat je expliciet Uitgebreide statistieken toestaat. Advertentiepersonalisatie en Google Signals staan uit. Je kunt je keuze op ieder moment wijzigen via de knop Cookie-instellingen linksonder op de website.

8. Beveiliging

• HTTPS overal, HSTS, strikte CSP en security headers
• Wachtwoorden worden gehashed (bcrypt via Supabase Auth)
• Row Level Security (RLS) op alle tabellen
• BSN en volledig IBAN worden met AES-256-GCM versleuteld; beheer toont alleen de laatste vier tekens
• DAC7-tabellen zijn uitsluitend toegankelijk via serverprocessen met service-role en niet rechtstreeks voor gebruikers
• Rate limiting op gevoelige endpoints
• Supportbijlagen staan in een privé-opslag en zijn alleen na een account- of beheercontrole via een kort geldige downloadlink bereikbaar
• Audit logs voor authenticatie en gevoelige acties

9. Wijzigingen

Wijzigingen in dit beleid kondigen we aan via e-mail. De datum bovenaan dit document geeft de laatste update aan.

10. Contact

Vragen? privacy@donatewave.nl