InloggenIk heb een code
// 01Juridisch

Privacyverklaring

Helder op papier, ook het kleine lettertype.

// laatst bijgewerkt september 2026

Hier leest u precies welke gegevens wij verzamelen, waarom, en hoe wij ermee omgaan.

§01Bedrijfsgegevens

Deze privacyverklaring is van toepassing op de diensten van:

  • SignumCore — een handelsnaam van Mink Helwig (HGVC)
  • KVK 93077149 · BTW NL004998843B56
  • E-mail: info@signumcore.io

§02Welke gegevens verzamelen wij?

Wij verwerken de volgende persoonsgegevens:

  • E-mailadres — verzameld via Clerk (authenticatie) bij registratie.
  • Bedrijfsnaam — ingevuld tijdens onboarding, gebruikt voor account-identificatie en rapporten.
  • Meetinstellingen — de identificatie van uw meetcontainer en uw meting in Google Analytics, verstrekt door u, gebruikt om de meting in te richten en te bewaken.
  • Betalingsgegevens — verwerkt via Stripe; wij slaan geen betaalkaartgegevens op.
  • Aanmelding voor de sessie — naam, e-mailadres en, als u ze invult, bedrijfsnaam, website, aantal medewerkers, advertentiebudget, branche en uw antwoord op de open vraag. Alleen naam en e-mailadres zijn verplicht; de rest is optioneel en u kunt elke vraag overslaan. Wij gebruiken deze antwoorden om de sessie op uw situatie voor te bereiden, en voor niets anders. Kwam u binnen via een link die iemand voor ons deelde, dan noteren we bij uw aanmelding ook wiens link dat was. Zo weten we hoe mensen de sessie vinden. We lezen dat uit het adres van de pagina en bewaren er niets voor op uw apparaat.
  • Gespreksaanvraag — naam, e-mailadres en, als u ze invult, bedrijfsnaam en telefoonnummer. Alleen naam en e-mailadres zijn verplicht.
  • Een ervaring die u ons stuurt — uw naam, bedrijfsnaam, functie en de tekst zelf. Wij tonen die alleen na uw goedkeuring, en u kunt die goedkeuring altijd intrekken.
  • Een versleutelde vorm van uw IP-adres bij een aanmelding, een gespreksaanvraag of een gratis scan. Wij bewaren het adres zelf niet: er gaat een onomkeerbare bewerking overheen, en het resultaat gebruiken wij alleen om misbruik van die formulieren tegen te gaan. Ontbreekt de sleutel voor die bewerking, dan bewaren wij helemaal niets — liever een leeg veld dan een veld dat bescherming suggereert die er niet is.
  • Bij handelingen in uw eigen account: uw IP-adres en browsertype, één jaar lang en wél gewoon leesbaar. Dit is de enige plek waar wij een IP-adres onversleuteld bewaren, en dat is een bewuste keuze: het is ons beveiligingslogboek. Wordt er ingebroken op een account, dan is dit het enige waarmee wij achteraf kunnen vaststellen wat er is gebeurd en vanaf waar. Zonder die gegevens kunnen wij u bij een incident niet vertellen wat u is overkomen. Wij gebruiken dit logboek voor niets anders, en het browsertype bewaren wij verkort zodat het uw apparaat niet herkenbaar maakt.

Bezoekt u de site namens een eenmanszaak of als zzp'er? Dan is de bedrijfsnaam uit paragraaf 05 tegelijk uw eigen naam, en zijn die gegevens dus persoonsgegevens van u. Wij behandelen ze daarom hetzelfde als alle andere gegevens in deze verklaring, en u heeft er dezelfde rechten op.

§02aGoogle API-gegevens (OAuth)

SignumCore koppelt met uw Google-account via OAuth 2.0. Wij vragen in één aanvraag toegang tot de volgende permissies — dit is de volledige lijst:

  • tagmanager.edit.containersLezen + schrijven

    GTM-containers aanmaken en de tags, triggers en variabelen erin beheren.

  • tagmanager.edit.containerversionsLezen + schrijven

    Versies van een container maken en bijwerken vóór ze gepubliceerd worden.

  • tagmanager.publishLezen + schrijven

    Een containerversie live zetten. Zonder deze scope blijft elke wijziging concept.

  • tagmanager.readonlyLezen

    Een bestaande container doorlichten op fouten en ontbrekende metingen.

  • tagmanager.delete.containersLezen + schrijven

    De eigen werkruimtes in een container opruimen. GTM staat er drie per container toe; blijft er na een mislukte wijziging één achter, dan raakt de container vol en kan er niets meer bij. Deze scope maakt alleen het weggooien van die tijdelijke werkruimtes mogelijk — jouw container zelf wordt nooit verwijderd.

  • analytics.editLezen + schrijven

    GA4-property en datastream inrichten, conversies markeren, filters instellen.

  • analytics.readonlyLezen

    Rapporten en controles uitvoeren op de meting.

  • webmastersLezen + schrijven

    De site toevoegen aan Search Console en de domeinverificatie afronden tijdens de onboarding. Let op: dit is de volledige scope, niet de readonly-variant — toevoegen is een schrijfhandeling.

  • adwordsLezen + schrijven

    Google Ads: campagnes, budgetten en biedingen lezen en aanpassen, en conversies registreren. Dit is de scope waarmee advertentiegeld wordt besteed. Hij wordt in dezelfde aanvraag gevraagd als de rest — niet pas later.

  • datamanagerLezen + schrijven

    Offline conversies terugsturen naar Google Ads. Wij vragen hem wel aan, maar Google verleent hem vandaag niet: elke koppeling levert acht van de negen scopes op. Er wordt dus niets mee gedaan zolang dat zo blijft.

  • userinfo.emailLezen

    Je e-mailadres bij Google: zo weten we met welk account je Signum koppelde, en kunnen we anderen vragen dat account toegang te geven.

Wat wij opslaan: Wij bewaren uitsluitend de OAuth refresh token (versleuteld) en de bijbehorende resource-identifiers (container IDs, property IDs). Welke rechten wij per koppeling vragen en waarvoor wij ze gebruiken, staat in de kaartjes hierboven; verder dan die rechten gaan wij niet.

Gebruik van Google-data: Data verkregen via Google APIs wordt uitsluitend gebruikt voor het leveren van de SignumCore dienst. Wij verkopen, delen of gebruiken deze data niet voor advertentiedoeleinden, het trainen van AI-modellen of andere doeleinden buiten de directe dienstverlening.

U kunt de koppeling op elk moment verbreken via uw SignumCore accountinstellingen. Daarbij worden alle opgeslagen tokens onmiddellijk verwijderd. Wilt u ook dat wij alle overige gegevens verwijderen? Stuur een verzoek naar support@signumcore.io.

§03Hoe gebruiken wij uw gegevens, en op welke grondslag?

Wij gebruiken uw gegevens uitsluitend voor de doelen hieronder. Per doel staat de rechtsgrondslag erbij (AVG art. 6) — de wet vraagt dat niet voor niets: zonder grondslag mag een verwerking simpelweg niet bestaan.

  • Het behandelen van een aanmelding voor de sessie — grondslag: uw toestemming (art. 6 lid 1 sub a), gegeven door het formulier te versturen. Er is op dat moment nog geen overeenkomst, dus die grondslag geldt hier niet. U kunt uw toestemming intrekken door een bericht te sturen naar support@signumcore.io; wij verwijderen uw aanmelding dan.
  • Het beheren en beveiligen van uw account — grondslag: uitvoering van de overeenkomst (art. 6 lid 1 sub b).
  • Het leveren van de overeengekomen dienst (GTM/GA4 tracking, Looker Studio rapporten) — grondslag: uitvoering van de overeenkomst (art. 6 lid 1 sub b).
  • Het versturen van transactionele e-mails (bevestigingen, facturen, onboarding) — grondslag: uitvoering van de overeenkomst en ons gerechtvaardigd belang (art. 6 lid 1 sub b en f).
  • Wettelijke verplichtingen (boekhouding, belastingaangifte, 7 jaar bewaarplicht op facturatie) — grondslag: wettelijke verplichting (art. 6 lid 1 sub c).
  • Beveiligings- en auditlogboek (wie deed wat, voor forensiek na een incident) — grondslag: wettelijke verplichting en gerechtvaardigd belang (art. 6 lid 1 sub c en f).
  • Meting en advertenties op deze website (cookies, zie hieronder) — grondslag: uw toestemming (art. 6 lid 1 sub a). Geen toestemming, geen meting.
  • Foutopsporing (error-tracking, alleen indien geactiveerd) — grondslag: gerechtvaardigd belang (art. 6 lid 1 sub f).

Twee rollen, twee soorten grondslag. Voor de gegevens hierboven — uw eigen account-, facturatie- en bezoekersgegevens — zijn wij zelf verwerkingsverantwoordelijke en dragen wij de grondslag. Verwerkt u als klant via het platform gegevens over uw klanten en websitebezoekers, dan zijn wij verwerker en handelen wij uitsluitend op uw instructie (art. 28 AVG); de art. 6-grondslag ligt dan bij u als verwerkingsverantwoordelijke. Dat onderscheid staat ook in de verwerkersovereenkomst.

Wij verkopen uw gegevens niet aan derden en gebruiken ze niet voor direct marketing zonder uw toestemming.

§04Derde partijen (sub-verwerkers)

Voor het leveren van onze diensten maken wij gebruik van de volgende externe partijen. Deze lijst komt uit één bron en is dezelfde als op onze security-pagina; staat een partij er nog niet, wordt hij niet gebruikt, of is hij juist bijna niet meer in beeld, dan staat dat erbij in plaats van dat de lijst wacht tot het klopt. Wij hebben op 17 september 2026 per partij nagemeten of er werkelijk gegevens heen gaan — niet of onze software het zou kúnnen.

Eén bron hoort hier genoemd, maar is géén sub-verwerker: voor de bedrijfsherkenning gebruiken wij een openbare database die als bestand op onze eigen server staat. Er gaan dus geen gegevens van u of van uw bezoekers naar de maker ervan toe; voor die maker valt er niets te verwerken. Wat de licentie van die database wél vraagt, is naamsvermelding: IP Geolocation by DB-IP (opent in een nieuw venster) (licentie CC BY 4.0).

§04aDoorgifte buiten de EER

Verwerking en opslag vinden primair plaats binnen de Europese Economische Ruimte: de webapplicatie, de database en de achtergrondtaken draaien bij Hetzner in Duitsland. Een aantal van de partijen hierboven verwerkt (deels) in de Verenigde Staten. Voor die doorgiften steunen wij op de waarborgen van AVG art. 44–49: het EU-US Data Privacy Framework (een adequaatheidsbesluit, art. 45) en/of de standaardcontractbepalingen van de Europese Commissie (SCC's, art. 46). Per partij:

  • Google (GTM, GA4, Ads, Looker Studio) — VS — EU-US Data Privacy Framework.
  • Stripe — EU/VS — EU-US Data Privacy Framework.
  • Clerk — VS — Standard Contractual Clauses (SCC's).
  • Resend — VS — Standard Contractual Clauses (SCC's).
  • Vercel — VS — EU-US Data Privacy Framework / SCC's.
  • Upstash — VS — Standard Contractual Clauses (SCC's). (niet in gebruik)
  • Anthropic (Claude API) — VS — EU-US Data Privacy Framework en/of SCC's. (niet in gebruik)
  • Meta — EU/VS — EU-US Data Privacy Framework. (nog niet actief)
  • LinkedIn (Microsoft) — VS — EU-US Data Privacy Framework. (nog niet actief)
  • Stape — EU-hosting via Stape Europe waar beschikbaar; anders VS — SCC's. (nog niet actief)
  • Cloudflare — VS — EU-US Data Privacy Framework / SCC's.
  • Team Cymru — VS — EU-US Data Privacy Framework (volgens de leverancier).
  • Sentry — VS — Standard Contractual Clauses (SCC's). (nog niet actief)
  • GitHub (Microsoft) — VS — EU-US Data Privacy Framework / SCC's.
  • ImprovMX — EU/VS — de actuele verwerkersvoorwaarden worden geverifieerd.

Eén doorgifte verdient het om apart genoemd te worden: elke nacht gaat een met AES-256 versleutelde kopie van de database als back-up naar een privé-repository bij GitHub (Verenigde Staten). Versleuteld en niet publiek — maar het blijft een doorgifte, en die hoort hier te staan in plaats van impliciet te blijven. Waarom we dit zo doen, leest u op onze security-pagina.

Een kopie van de toepasselijke waarborgen (zoals de gebruikte SCC's) kunt u opvragen via support@signumcore.io.

§05Cookies en meting

Wij gebruiken functionele cookies (altijd actief: authenticatie, uw cookiekeuze, beveiliging) en — uitsluitend na uw toestemming — meting via Google Analytics 4 en via ons eigen meetscript, dat kan herkennen welk bedrijf onze site bezoekt. Google Tag Manager werkt anders, en dat hoort u te weten: die container wordt al vóór uw keuze geladen. Hij plaatst dan zelf geen cookies en verstuurt geen meetgegevens, want alle vier toestemmingssignalen staan op geweigerd zolang u niets heeft gekozen (Google noemt dat Consent Mode); de tags in die container gaan pas aan nadat u toestemming geeft. Kiest u weigeren, dan blijven ze uit. Hoe die bedrijfsherkenning werkt en wat de AVG er wel en niet in toestaat, leggen we uit op de uitlegpagina over bedrijfsherkenning. Zonder toestemming staat de meting uit: er gaan dan geen meetgegevens naar Google en ons eigen meetscript laadt niet.

Advertentiecookies. Kiest u in de cookiebanner voor volledig accepteren, dan gebruiken wij dezelfde Google-diensten ook voor onze eigen advertenties in Google: om te meten welke advertentie tot een aanvraag leidde (conversiemeting) en om onze advertenties gerichter te tonen aan mensen die onze site bezochten (remarketing en personalisatie). Google ontvangt daarbij gegevens als externe partij.

"Alleen meten" bestaat als aparte keuze. U hoeft meten en adverteren niet als één pakket te nemen: kiest u "Alleen meten", dan staat de meting aan maar worden advertentiecookies niet geplaatst en gaan er geen advertentiegegevens naar Google. Weigert u, of trekt u uw toestemming in, dan staan meten en adverteren beide uit.

U kunt uw toestemming op elk moment wijzigen of intrekken via de link "Cookievoorkeuren" onderaan elke pagina — intrekken is even eenvoudig als geven.

§06Uw rechten

Op grond van de AVG (GDPR) heeft u de volgende rechten:

  • Inzage — u kunt opvragen welke gegevens wij van u bewaren.
  • Correctie — u kunt onjuiste gegevens laten corrigeren.
  • Verwijdering — u kunt verzoeken uw gegevens te verwijderen (“recht op vergetelheid”).
  • Beperking — u kunt verzoeken de verwerking te beperken.
  • Overdraagbaarheid — u kunt uw gegevens in een gestructureerd formaat opvragen.
  • Bezwaar — verwerken wij gegevens op grond van een gerechtvaardigd belang (zie paragraaf 03 welke dat zijn), dan kunt u daar bezwaar tegen maken om redenen die met uw situatie te maken hebben. Wij stoppen dan, tenzij wij zwaarwegende gronden hebben die uw belang overtreffen — en die moeten wij dan aan u kunnen uitleggen.
  • Toestemming intrekken — waar wij om toestemming vragen, kunt u die altijd weer intrekken. Dat is even eenvoudig als geven, en wat er vóór de intrekking is gebeurd blijft rechtmatig.

Verzoeken kunt u indienen via support@signumcore.io. Wij reageren binnen een maand.

Als wij uw e-mailadres niet hebben. Herkent onze meting alleen het bedrijf achter een bezoek, dan staat u bij ons niet op naam en kunnen wij u niet vinden op een adres. Noem in dat geval het bedrijf en de website, en de periode waarin u langskwam — dan zoeken wij op die gegevens.

§07Bewaartermijn

Uw accountgegevens bewaren wij gedurende de looptijd van uw abonnement en tot 2 jaar na beëindiging daarvan, tenzij een langere bewaartermijn wettelijk vereist is (7 jaar voor boekhoudkundige gegevens op grond van de Belastingdienst).

Alles wat daarnaast wordt vastgelegd, heeft een eigen, kortere termijn. Een opruiming draait daar elke nacht op; dit zijn geen voornemens maar de instellingen waarmee die opruiming werkt:

  • Meetgegevens van websitebezoek — 30 dagen
  • Herkende bedrijven in onze eigen verkooplijst — 30 dagen
  • Klaargezette opvolgacties — 30 dagen
  • Verstuurde e-mail en het bewijs van bezorging — 30 tot 90 dagen
  • Meldingen in het scherm — 90 dagen
  • Gegevens uit een gratis scan — 30 tot 90 dagen
  • Beveiligingslogboek (zie paragraaf 02) — 1 jaar
  • Aanmeldingen voor de sessie en gespreksaanvragen — 2 jaar, geteld vanaf uw laatste contact met ons

Eén uitzondering, en die is in uw voordeel: meldt u zich af voor onze e-mail, dan bewaren wij dát gegeven juist wél. Zouden wij die afmelding wissen, dan stond u er de volgende keer gewoon weer op.

Een verwijderverzoek raakt onze werkende systemen. In onze back-ups blijven gegevens nog maximaal 14 dagen staan, tot die back-up vanzelf afloopt. Zetten wij ooit een back-up terug, dan voeren wij uw verzoek daarna opnieuw uit.

§08Beveiliging

Wij nemen passende technische en organisatorische maatregelen om uw persoonsgegevens te beveiligen tegen verlies, ongeautoriseerde toegang of openbaarmaking. Communicatie verloopt via versleutelde verbindingen (HTTPS/TLS).

§09Klachten

Heeft u een klacht over de wijze waarop wij met uw persoonsgegevens omgaan? U kunt deze indienen bij de Autoriteit Persoonsgegevens (opent in een nieuw venster).

§10Wijzigingen

Wij behouden het recht deze privacyverklaring te wijzigen. Wijzigingen worden gepubliceerd op deze pagina met een bijgewerkte datum. Bij ingrijpende wijzigingen ontvangt u een melding per e-mail.

Vragen over deze privacyverklaring? Stuur een mail naar support@signumcore.io. SignumCore · KVK 93077149 · BTW NL004998843B56.

Weet wat je website oplevertWachtlijst