Privacybeleid

Dit privacybeleid legt uit welke persoonsgegevens Evolutio (“wij”) verwerkt, waarom, hoe lang we ze bewaren en welke rechten jij hebt onder de Algemene verordening gegevensbescherming (AVG).

• Verwerkingsverantwoordelijke: Evolutio
• Rechtsvorm: Vennootschap onder firma
• Vestigingsadres: Arend Verkleijstraat 2, 2172 BE Sassenheim
• KvK-nummer: 98860313 · Vestigingsnummer: 000063994550
• Privacyvragen: [email protected]

• Accountgegevens: naam, e-mailadres en een versleuteld (gehasht) wachtwoord.
• Optionele profielgegevens: vul je je profiel verder in, dan verwerken we ook voor- en achternaam, telefoonnummer, geboortedatum en adresgegevens (straat, huisnummer, postcode, woonplaats, land). Deze velden zijn altijd optioneel en kun je zelf aanpassen of leegmaken.
• Collectiegegevens: de kaarten die je toevoegt en de foto's die je uploadt voor AI pre-grading.
• Profielfoto: kies je zelf een profielfoto, dan verwerken we die afbeelding. Dat is altijd optioneel: kies je er geen, dan tonen we de eerste letter van je naam. Let op dat een profielfoto zichtbaar is voor anderen — op je publieke profiel, op de beginpagina van je deelbare binder, bij je aanbod op de Marktplaats en in de chat. Je kunt hem op elk moment vervangen of verwijderen.
• Gebruiksgegevens: XP, streaks, achievements en app-activiteit, om de dienst te laten werken en te verbeteren.
• Chatberichten: stel je onze AI-assistent een vraag, dan verwerken we de tekst van je vraag en het antwoord, zodat je je gesprek kunt teruglezen en we je maandelijkse vragenlimiet kunnen tellen. Stuur je een foto mee, dan analyseren we die uitsluitend in het werkgeheugen tijdens het beantwoorden — we slaan het beeld zelf nooit op; in je gespreksgeschiedenis blijft alleen je tekst staan, met een markering dat er een foto is meegestuurd.
• Technische en apparaatgegevens: bij het gebruik van de app verwerken we je IP-adres en technische gegevens over je browser en apparaat (zoals het browsertype en het schermformaat). We gebruiken ze voor beveiliging — bijvoorbeeld om het aantal inlogpogingen te beperken en misbruik te herkennen — en om storingen op te lossen. Je IP-adres en browsergegevens horen bij je inlogsessie en worden met die sessie opgeruimd; stuur je feedback, dan bewaren we de meegestuurde apparaatcontext bij je melding.
• E-mailgegevens: voor transactionele e-mails (zoals verificatie-, wachtwoord-herstel- en inloglink-mails) verwerken we je e-mailadres en het moment van verzending — zie de volgende sectie.
• Betaalgegevens: abonnementen worden verwerkt door onze betaalprovider; wij slaan zelf geen creditcard- of rekeninggegevens op.
• Marktplaatsgegevens: gebruik je de Marktplaats, dan verwerken we je verkoop- en aankoopgegevens en je verzendadres — dat delen we na betaling met de verkoper, uitsluitend om je bestelling te bezorgen. Alleen wanneer je als verkoper de DAC7-drempel nadert, verwerken we daarnaast je geboortedatum, BSN of buitenlands fiscaal nummer (TIN) en je IBAN. Zie de sectie “Marktplaats: kopen en verkopen”.

• Het leveren van de app: je collectie, grading-resultaten, prijzen en meldingen.
• Het versturen van deal-alerts die jij zelf hebt ingesteld.
• Het versturen van transactionele e-mails die nodig zijn voor je account: een verificatiemail na registratie, een herstellink als je je wachtwoord vergeet en een eenmalige inloglink (magic link) als je daarom vraagt. Dit zijn géén marketingmails; je ontvangt ze alleen op jouw eigen verzoek of als beveiliging van je account.
• Het verbeteren van onze AI-modellen en de app — waar mogelijk met geanonimiseerde gegevens.
• Beveiliging: het detecteren van misbruik en het beschermen van accounts.
• Wettelijke verplichtingen, zoals administratie- en belastingregels.

• Uitvoering van de overeenkomst: je account, collectie, grading-resultaten en transactionele e-mails zijn nodig om de dienst te leveren die je met ons afspreekt.
• Toestemming: voor optionele zaken zoals meldingen en de optionele profiel- en adresgegevens. Toestemming kun je altijd intrekken.
• Gerechtvaardigd belang: beveiliging van accounts en het verbeteren van de dienst.
• Wettelijke verplichting: zoals de fiscale bewaarplicht voor betaalgegevens en facturen.
• Wettelijke verplichting (DAC7): als platformexploitant zijn we verplicht gegevens van verkopers te verzamelen en aan de Belastingdienst te rapporteren. Voor die rapportage verwerken we onder meer het BSN of buitenlandse fiscale nummer (TIN). Deze verwerking vindt uitsluitend plaats wanneer de wettelijke drempel in zicht komt, en uitsluitend voor deze DAC7-plicht — nooit voor een ander doel.

• Account-, profiel- en collectiegegevens: zolang je account bestaat. Na verwijdering van je account wissen of anonimiseren we ze binnen 30 dagen.
• Geüploade kaartfoto's: zolang je ze zelf bewaart in je account. Verwijder je een scan of je account, dan wissen we het bestand binnen 24 uur definitief uit onze opslag — niet alleen de verwijzing ernaar.
• Verificatiefoto's van je collectie: gebruiken we alleen om te bewijzen dat jij dat exemplaar bezit; ze zijn nooit openbaar. We bewaren zo'n foto zolang de kaart in je collectie staat. Verwijder je de kaart, vervang je de foto door een nieuwe of verwijder je je account, dan wissen we het bestand binnen 24 uur definitief uit onze opslag.
• Profielfoto: bewaren we zolang je hem zelf in je account laat staan. Kies je een andere foto, verwijder je hem of verwijder je je account, dan wissen we het bestand binnen 24 uur definitief uit onze opslag — niet alleen de verwijzing ernaar.
• Verificatie- en inloglinks: zijn kort geldig (ongeveer één uur) en werken maar één keer; verlopen tokens worden opgeruimd.
• Facturatie- en betaalgegevens: bewaren we zo lang de wettelijke (fiscale) bewaarplicht dat vereist — in Nederland doorgaans 7 jaar.
• Marktplaats- en DAC7-gegevens: transactiegegevens en de voor DAC7 verzamelde belastinggegevens bewaren we conform de wettelijke bewaarplicht — in Nederland doorgaans 7 jaar. Bewijsmateriaal dat je bij een dispuut aanlevert (zoals foto's en track & trace) bewaren we maximaal 180 dagen na afronding van het dispuut.
• Chatgesprekken: je gesprek met de AI-assistent bewaren we zolang je account bestaat, zodat je het zelf kunt teruglezen. Je kunt het op elk moment wissen met de knop “Wis gesprek” in de chat: je berichten en de antwoorden verdwijnen dan direct. Alleen het aantal vragen van de lopende maand blijft — zonder inhoud — geregistreerd om je maandlimiet te tellen. Meegestuurde foto's bewaren we nooit; verwijder je je account, dan verdwijnt het hele gesprek mee.
• Technische logs: kort en doelgebonden, alleen voor beveiliging en het oplossen van storingen.

We verkopen je gegevens nooit en delen alleen wat noodzakelijk is met verwerkers die ons helpen de dienst te leveren, altijd onder een verwerkersovereenkomst conform de AVG:

• Hosting (Railway): onze app, database en opslag van kaartfoto's draaien op infrastructuur binnen de EU (regio Amsterdam).
• AI-analyse — Anthropic (Claude, Verenigde Staten): upload je een kaartfoto voor herkenning of AI pre-grading, of stel je de AI-assistent een vraag (eventueel met foto), dan sturen we die foto en/of je berichttekst — met waar nodig context over kaarten of je collectie — voor analyse naar Anthropic. Je naam of e-mailadres sturen we daarbij niet mee. Anthropic verwerkt in de Verenigde Staten; zie de alinea over doorgifte buiten de EER hieronder.
• AI-analyse — Google (Gemini, Verenigde Staten): de AI-assistent gebruikt naast Claude ook Gemini van Google als tweede model, uitsluitend voor tekstvragen. Je chatvraag kan daardoor ook door Google verwerkt worden, onder dezelfde beperkingen: alleen de inhoud die voor het antwoord nodig is, zonder je naam of e-mailadres. Foto's sturen we nooit naar Google: de analyse van kaart- en chatfoto's loopt uitsluitend via Anthropic (zie hierboven). Google verwerkt in de Verenigde Staten; zie de alinea over doorgifte buiten de EER hieronder.
• Betaalprovider (Stripe, indien actief): verwerkt abonnementsbetalingen. Stripe ontvangt de gegevens die nodig zijn voor de betaling; wij zien of bewaren geen volledige kaart- of rekeninggegevens.
• E-mailbezorging: voor het bezorgen van transactionele e-mails (verificatie, wachtwoord-herstel, inloglink) gebruiken we een e-maildienst die alleen je e-mailadres en de berichtinhoud verwerkt.
• Betaaldienstverlener Marktplaats (indien actief): Marktplaats-betalingen, de bewaring van het orderbedrag (escrow) en de uitbetaling aan verkopers lopen via een vergunde betaaldienstverlener. Die partij ontvangt de betaal- en uitbetalingsgegevens als zelfstandige ontvanger en verwerkt ze onder eigen verantwoordelijkheid; Evolutio houdt zelf geen kopersgelden aan.

Doorgifte buiten de EER: Anthropic en Google verwerken (mede) in de Verenigde Staten. Die doorgifte rust op de verwerkersovereenkomsten van deze aanbieders met daarin de EU-standaardcontractbepalingen (SCC's) als passende waarborg. We sturen naar deze partijen alleen de inhoud die voor de gevraagde analyse nodig is — nooit je accountgegevens.

Aan andere partijen verstrekken we alleen gegevens als de wet ons daartoe verplicht (bijvoorbeeld een bevoegd verzoek van een toezichthouder of opsporingsdienst).

• Adresdeling met de verkoper: na een betaalde bestelling delen we je verzendadres en je naam met de verkoper, uitsluitend om je bestelling te kunnen bezorgen. De verkoper is vanaf dat moment zélf verwerkingsverantwoordelijke voor die gegevens en mag ze alleen voor de verzending van jouw bestelling gebruiken — niet voor reclame, eigen bestanden of andere doelen. Wij verplichten verkopers daartoe in de verkopersvoorwaarden.
• DAC7 en BSN: als platformexploitant zijn we wettelijk verplicht gegevens van verkopers te verzamelen en jaarlijks aan de Belastingdienst te rapporteren zodra een verkoper in een kalenderjaar de wettelijke drempel van 30 verkopen of € 2.000 omzet overschrijdt. Om die rapportage op tijd rond te krijgen vragen we de gegevens al iets eerder op: vanaf 25 verkopen of € 1.750 omzet in een jaar. We vragen dan naam, adres, geboortedatum, het BSN of buitenlandse fiscale nummer (TIN) en — bij zakelijke verkopers — het KvK- en btw-nummer. Het BSN vragen we pas op dat moment en gebruiken we uitsluitend voor deze DAC7-rapportage; we slaan het versleuteld op.
• Betaaldienstverlener en escrow: de betaling, de bewaring van het orderbedrag tot jij de ontvangst bevestigt en de uitbetaling aan de verkoper verlopen via een vergunde betaaldienstverlener, die de betaalgegevens als zelfstandige ontvanger verwerkt.
• Disputen en meldingen: meld je een probleem met een bestelling, dan verwerken we de toelichting en het bewijsmateriaal van beide partijen (zoals foto's en track & trace) om een onderbouwde uitspraak te doen. De wederpartij ziet die onderbouwing, omdat zij zich moet kunnen verweren. Meld je een aanbod via de meldknop, dan verwerken we je melding om die te beoordelen; de verkoper krijgt de motivering van een maatregel, niet automatisch jouw identiteit.
• Openbare verkopersgegevens: bied je zelf aan op de Marktplaats, dan zijn je gebruikersnaam, je profielfoto (als je er een hebt gekozen), je beoordelingen en je verkopersstatus (particulier of zakelijk) zichtbaar voor andere gebruikers. Zakelijke verkopers moeten wettelijk ook hun bedrijfsnaam en KvK-nummer tonen.

• Inzage: opvragen welke persoonsgegevens we van je verwerken.
• Correctie: onjuiste gegevens laten aanpassen — je profielgegevens kun je grotendeels zelf bewerken in de app.
• Verwijdering: je account en persoonsgegevens laten wissen (“recht op vergetelheid”). Accountverwijdering kan direct via je profiel.
• Beperking: de verwerking tijdelijk laten beperken, bijvoorbeeld tijdens een correctieverzoek.
• Dataportabiliteit: een export van je collectiegegevens in een gangbaar formaat.
• Bezwaar en intrekken: bezwaar maken tegen verwerkingen op basis van gerechtvaardigd belang en gegeven toestemming op elk moment intrekken.

Een verzoek doe je via de app of via [email protected]. We reageren binnen één maand. Ben je niet tevreden met de afhandeling, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

Evolutio gebruikt uitsluitend functionele cookies en browseropslag: een sessie-cookie om je ingelogd te houden en localStorage voor app-voorkeuren (zoals je thema, je gekozen games en je cookievoorkeur zelf). We gebruiken geen tracking-, advertentie- of analytische cookies van derden.

Voor functionele cookies is geen toestemming vereist; de cookiebanner registreert alleen je voorkeur voor het geval er in de toekomst optionele cookies bijkomen — in dat geval vragen we opnieuw om toestemming.

• Gegevens worden versleuteld verzonden (TLS) en wachtwoorden worden uitsluitend gehasht opgeslagen — wij kunnen je wachtwoord nooit inzien.
• E-mailverificatie, eenmalige herstellinks en kort geldige inloglinks beschermen de toegang tot je account.
• Toegang tot systemen en beheerfuncties is beperkt op basis van rollen (least privilege) en beheerhandelingen worden gelogd.
• Ontdek je een kwetsbaarheid? Meld het ons dan direct via de app of via [email protected] — we nemen elke melding serieus. Zie ook ons beveiligingsbeleid.

We kunnen dit privacybeleid aanpassen, bijvoorbeeld bij nieuwe functies of gewijzigde wetgeving. Bij belangrijke wijzigingen informeren we je vooraf via de app of per e-mail. De datum bovenaan laat altijd de laatste versie zien.

Vragen over privacy? Neem contact op via de app of via [email protected]. Zie ook onze algemene voorwaarden.