# Privacybeleid

Hoe WarmtepompKopen.nl uw persoonsgegevens verwerkt — AVG/GDPR-conform, met retentietabel, lawful basis en uitoefening van uw rechten.

Canonical: https://www.warmtepompkopen.nl/privacy
Laatst bijgewerkt: 2026-09-25

Laatst bijgewerkt: 25-9-2026 · Versie Wave BL

## 1. Verantwoordelijke

WarmtepompKopen.nl, een handelsnaam van Distrix BV (KvK 80935656). Voor alle privacyvragen of het uitoefenen van uw AVG-rechten: privacy@warmtepompkopen.nl.

## 2. Welke gegevens wij verwerken — per dienst

Hieronder per dienst: wat we verzamelen, op welke grondslag (AVG art. 6), hoe lang we bewaren, en de juridische bron van die termijn.

### 2.1 Huischeck (gratis online rapport)

- **Verzameld:**

  postcode, woningtype, bouwjaar, gasverbruik, isolatie, optionele e-mail.
- **Grondslag:**

  AVG art. 6(1)(a) toestemming bij e-mailopgave; anders geen persoonsgegeven.
- **Bewaartermijn:**

  24 maanden vanaf laatste interactie (AVG art. 5(1)(e)).

### 2.2 Persoonlijke check + uploads (energierekening, foto's)

- **Verzameld:**

  energierekening-PDF, foto's CV-ruimte/gevel, contactgegevens, adres.
- **Grondslag:**

  AVG art. 6(1)(b) overeenkomst-voorbereiding + 6(1)(a) toestemming voor uploads.
- **Bewaartermijn:**

  90 dagen na quote-decline of laatste interactie; 7 jaar bij conversie (BW 2:10 + 3:15a, AWR art. 52).

### 2.3 Adviesgesprek-boeking

- **Verzameld:**

  naam, e-mail, telefoon, adres, voorkeursdatum.
- **Grondslag:**

  AVG art. 6(1)(b) overeenkomst-voorbereiding.
- **Bewaartermijn:**

  90 dagen post-afspraak indien geen offerte volgt.

### 2.4 Lead-magnet — Gasvrij PDF

- **Verzameld:**

  naam, e-mail, expliciete AVG-checkbox.
- **Grondslag:**

  AVG art. 6(1)(a) toestemming voor nurture-emails.
- **Bewaartermijn:**

  24 maanden vanaf laatste activiteit; eerder uit te schrijven via één klik in elke mail (RFC 8058 List-Unsubscribe).

### 2.5 Configurator + offerte-aanvraag

- **Verzameld:**

  productkeuze, capaciteit, opties, contactgegevens.
- **Grondslag:**

  AVG art. 6(1)(b) overeenkomst-voorbereiding.
- **Bewaartermijn:**

  90 dagen ongetekend; 7 jaar getekend (BW 2:10, AWR art. 52).

### 2.6 Reviews

- **Verzameld:**

  naam (publiek), e-mail (privé voor verificatie), rating, reviewtekst, optionele foto.
- **Grondslag:**

  pending: AVG art. 6(1)(a) toestemming voor publicatie. Goedgekeurd: 6(1)(f) gerechtvaardigd belang in publicatie van klantfeedback.
- **Bewaartermijn:**

  pending > 30 dagen zonder moderatie wordt automatisch verwijderd. Goedgekeurde reviews blijven gepubliceerd; naam kan op verzoek geanonimiseerd worden.

### 2.7 Lead-administratie (overkoepelend)

- **Verzameld:**

  contactgegevens + lead-status (top-of-funnel → qualified → quoted → converted).
- **Grondslag:**

  AVG art. 6(1)(b) overeenkomst of 6(1)(a) toestemming.
- **Bewaartermijn:**

  leadgegevens worden bewaard zolang er een (potentiële) klantrelatie bestaat; ze worden niet automatisch na een vaste termijn verwijderd of geanonimiseerd. Verwijdering gebeurt op verzoek van de betrokkene (zie §6). Voor geconverteerde/gefactureerde leads geldt de wettelijke bewaarplicht van minimaal 7 jaar (BW 2:10, AWR art. 52). Grondslag voor voortgezette bewaring: gerechtvaardigd belang bij een lopende of toekomstige klantrelatie (AVG art. 6(1)(f)).

### 2.8 Woningvoorraad-intel (open woninggegevens, geen NAW)

- **Verzameld:**

  openbare woninggegevens gekoppeld aan een adres (BAG/3DBAG: bouwjaar, oppervlakte, geometrie; EP-online energielabel; PDOK-coördinaten; afgeleide warmtevraag). Vastgelegd bij elke adres-opzoeking in onze reken-/adviestools, ook anoniem.

  **Géén**

  naam, e-mail, telefoon, IP, eigendoms- of WOZ-gegevens.
- **Grondslag:**

  AVG art. 6(1)(f) gerechtvaardigd belang (open overheidsdata over een gebouw; owner-only afgeschermd, niet gedeeld met of verkocht aan derden).
- **Bewaartermijn:**

  zolang het gerechtvaardigd belang bestaat; per adres verwijderbaar op bezwaar.
- **Bezwaar & verwijdering**

  (art. 21/17):

  via

  [woninggegevens verwijderen](https://www.warmtepompkopen.nl/woninggegevens-verwijderen)

  of

  privacy@warmtepompkopen.nl

  . Deze laag valt buiten de e-mail-gebaseerde verzoekstroom (§6) omdat er geen e-mailadres wordt vastgelegd — het adres is de sleutel.

## 3. Bewaartermijnen — overzichtstabel

| Dienst | Termijn | Juridische bron |
| --- | --- | --- |
| Huischeck | 24 mnd | AVG art. 5(1)(e) |
| Persoonlijke check (uploads) | 90 dgn / 7 jr | AVG 5(1)(e); BW 2:10, AWR 52 |
| Advies-boeking | 90 dgn | AVG 5(1)(e) |
| Lead-magnet (Gasvrij) | 24 mnd inactief | AVG art. 7(3) |
| Offerte ongetekend | 90 dgn | AVG 5(1)(e) |
| Offerte getekend | 7 jaar | BW 2:10, BW 3:15a, AWR 52 |
| Reviews pending | 30 dgn | AVG 5(1)(e) |
| Reviews goedgekeurd | Onbeperkt | AVG 6(1)(f) |
| Lead-records | onbeperkt; verwijdering op verzoek (converted: min. 7 jr wettelijk) | AVG 6(1)(f); BW 2:10, AWR 52 |
| Woningvoorraad-intel | zolang belang; op bezwaar verwijderd | AVG 6(1)(f), art. 21 |

Ondertekende offertes en bijbehorende projectartefacten bewaren wij 10 jaar na laatste activiteit (verplichte garantietermijn + fiscale bewaarplicht).

Volledig retentieregister met deletion-mechanismen: `docs/avg/data-retention.md`.

## 4. Cookies + analytics

Onze analytics-configuratie volgt de richtlijn van de Autoriteit Persoonsgegevens (AP, 2023) voor Google Analytics 4 zonder toestemmingsvereiste. Concreet:

- **Google Analytics 4 (via GTM)**

  — standaard ingeschakeld. IP-truncatie aan, Google Signals uit, User-ID uit, geen advertentiefuncties, geen cross-site tracking, 14 maanden bewaartermijn. Effectief-anonieme metingen.
- **PostHog (product-analytics + session-replay)**

  — VS-gehost (us.i.posthog.com), niet de EU-regio. Invoervelden worden gemaskeerd (input-masking standaard aan), zodat wat u typt niet wordt vastgelegd. Dezelfde grondslag en behandeling als de hierboven beschreven GA4-analytics.
- **Vercel Web Analytics**

  — cookieless paginaweergaven via anonieme server-side fingerprint. Geen cookies of IP-opslag op uw apparaat.
- **Marketing-cookies (Meta Pixel, TikTok Pixel)**

  — alleen op onze landingspagina's voor betaalde campagnes (go.warmtepompkopen.nl), en alleen na uw expliciete toestemming via de cookiebanner.

Volledig overzicht en uw cookiekeuze: [cookiebeleid](https://www.warmtepompkopen.nl/cookies). U kunt anonieme analytics op elk moment uitschakelen via de cookiebanner (“Alleen noodzakelijk”).

## 5. Derden (sub-verwerkers)

- **Supabase**

  (database + auth) — EU-region. Verwerkersovereenkomst (DPA) actief.
- **Vercel**

  (hosting + edge + cookieless analytics) — EU-region. DPA actief; Standard Contractual Clauses voor eventuele incidenteel US-routing.
- **Resend**

  (transactionele e-mail). DPA actief.
- **Google Analytics 4 / GTM**

  — AP-recipe configuratie (IP-truncatie aan, Google Signals uit, User-ID uit, geen advertentiefuncties, 14-maanden retentie). DPA via Google ToS.
- **Meta Platforms · TikTok**

  — advertentiepixels alleen op campagne-landingspagina's na expliciete toestemming.
- **Sentry**

  (server-side error tracking) — EU-region.
- **Mollie**

  (betalingen) — EU-bedrijf, eigen privacybeleid van toepassing op betaaldata.

Wij verkopen of delen uw gegevens niet met derden voor marketingdoeleinden.

## 6. Uw rechten (AVG art. 15-22)

U heeft het recht op:

- **Inzage**

  (art. 15) — een kopie van uw gegevens.
- **Rectificatie**

  (art. 16) — correctie van onjuiste gegevens.
- **Verwijdering**

  (art. 17) — "recht op vergetelheid", behoudens fiscale bewaarplicht (BW 2:10).
- **Beperking**

  (art. 18) en

  **bezwaar**

  (art. 21).
- **Dataportabiliteit**

  (art. 20) — uw gegevens in machine-leesbaar formaat.
- **Toestemming intrekken**

  (art. 7(3)) — op elk moment, zonder reden.

Uitoefenen via privacy@warmtepompkopen.nl of via ons self-service-portaal `POST /api/gdpr` (actie `request-export`, `request-delete`, of `request-rectify`). U ontvangt een bevestigingsmail met een eenmalige link (24 uur geldig) — dit voorkomt dat anderen uw data kunnen opvragen.

Wij reageren binnen **30 dagen** (AVG art. 12(3)).

## 7. Beveiliging

HTTPS overal, TLS 1.2+, database-encryptie at rest, RLS-policies op alle Supabase-tabellen met persoonsgegevens, 2FA op admin-toegang. Datalekken worden binnen 72 uur gemeld bij de Autoriteit Persoonsgegevens (AVG art. 33).

## 8. Klacht indienen

Indien u meent dat wij niet correct met uw gegevens omgaan, kunt u een klacht indienen bij de [Autoriteit Persoonsgegevens](https://autoriteitpersoonsgegevens.nl/nl/zelf-doen/privacyrechten/klacht-over-gebruik-persoonsgegevens).

## 9. Wijzigingen

Wijzigingen aan dit privacybeleid worden hier gepubliceerd; bij materiële wijzigingen sturen we proactief een bericht naar bekende lead-records.

## Verder lezen

- https://www.warmtepompkopen.nl/woninggegevens-verwijderen
- https://www.warmtepompkopen.nl/cookies