Privacyverklaring

Hoe Infra Automation Studio omgaat met jouw persoonsgegevens — conform AVG/GDPR.

1. Wie zijn we

Infra Automation Studio (hierna: "IAS", "wij" of "ons") is een SaaS-platform voor projectmanagement. IAS wordt geëxploiteerd door:

Bedrijfsnaam	Adoudi, handelend onder de naam "Infra Automation Studio"
Vestigingsplaats	Dordrecht
Adres	Lijsterbesstraat 22, 3319 VK Dordrecht
KvK-nummer	75097346
BTW-id	NL002225203B60
Privacy-contactpersoon	info@infra-automation.studio

Wij zijn de verwerkingsverantwoordelijke in de zin van artikel 4(7) AVG voor de persoonsgegevens die wij verzamelen voor de levering van de Dienst. Voor persoonsgegevens die door Klanten in de Dienst worden ingevoerd (Klantdata) fungeren wij als verwerker in de zin van artikel 28 AVG.

2. Welke gegevens verwerken we

Accountgegevens

• E-mailadres
• Volledige naam
• Wachtwoord (versleuteld opgeslagen als hash — wij zien je wachtwoord nooit in originele vorm)
• Organisatie waaraan je gekoppeld bent
• Rol binnen IAS (admin, projectmanager, viewer)
• Datum van aanmaken en laatste login
• Gebruiksgegevens: het moment waarop je voor het laatst actief was in de Dienst en op welke dagen je de Dienst hebt gebruikt. Wij leggen niet vast wélke handelingen je verricht. Deze gegevens zijn zichtbaar voor de beheerder van jouw organisatie en dienen om te zien of de Dienst daadwerkelijk in gebruik is.

Profielgegevens

• Notificatie-voorkeuren
• Verborgen projecten (per-user instelling)
• Tijdzone en taalvoorkeur

Inhoud die je creëert (Klantdata)

Wij verwerken namens jouw organisatie alle data die jij in IAS invoert: projecten, taken, opmerkingen, geüploade bestanden, dependencies en metadata. Deze data wordt uitsluitend toegankelijk gemaakt aan jouw eigen organisatie via Row-Level Security.

Technische gegevens

• IP-adres (alleen tijdens login en admin-acties, voor security-audit)
• Browser en device-informatie (user agent)
• Sessie-tokens (opgeslagen in browser-cookies)
• Login- en activiteitenlog (datum, tijdstip, IP, actie-type)

Betaalgegevens

Voor betaalde abonnementen verwerkt onze betalingsverwerker Stripe Payments Europe Ltd. de betaalgegevens (creditcardnummer, IBAN, etc.). Wij zien deze gegevens nooit en slaan ze niet op. Stripe verstuurt ons alleen:

• Stripe customer-ID
• Abonnementsstatus (actief, opgezegd, etc.)
• Periode-einddatums
• Land en factuuradres (voor BTW-berekening)

Communicatiegegevens

• E-mailcorrespondentie met support
• Inhoud van transactionele e-mails (welkom, factuur, notificaties)

3. Doelen van verwerking

Wij verwerken persoonsgegevens uitsluitend voor de volgende doelen:

• Dienstverlening: het beschikbaar maken van het IAS-platform en de daarin opgenomen functionaliteiten.
• Accountbeheer: aanmaken, beheren en beëindigen van Accounts.
• Communicatie: transactionele e-mails (signup-bevestiging, password-reset, notificaties), facturatie, support, productupdates.
• Beveiliging: fraudepreventie, security-monitoring, audit-trail van beheeracties.
• Verbetering van de Dienst: geaggregeerde analytische gegevens (DAU/MAU) zonder herleidbaarheid naar individuen.
• Nakoming wettelijke verplichtingen: bewaarplicht facturen, AVG-compliance.

Wij verkopen jouw gegevens nooit aan derden. Wij gebruiken ze niet voor profiling, geautomatiseerde besluitvorming of advertenties.

4. Wettelijke grondslagen

Wij verwerken persoonsgegevens op basis van een of meer van de volgende grondslagen (artikel 6 AVG):

Grondslag	Voor welke verwerking
Uitvoering overeenkomst (art. 6(1)(b))	Accountgegevens, profielgegevens, Klantdata, betaalgegevens — nodig om de Dienst te leveren
Gerechtvaardigd belang (art. 6(1)(f))	Technische gegevens, security-audit-log — nodig voor het beveiligen van de Dienst en gebruikers
Wettelijke verplichting (art. 6(1)(c))	Factuurgegevens — bewaarplicht 7 jaar conform fiscale wetgeving
Toestemming (art. 6(1)(a))	Optionele marketing-e-mails, niet-functionele cookies

5. Met wie delen we gegevens

Wij delen persoonsgegevens uitsluitend met de volgende verwerkers, die strikt namens ons handelen en alleen toegang krijgen tot wat strikt noodzakelijk is:

Verwerker	Doel	Locatie	DPA
Supabase Inc.	Database-hosting, authenticatie, opslag	EU-central-1 (Frankfurt, Duitsland)	Ja
Stripe Payments Europe Ltd.	Betalingsverwerking, BTW-berekening	Ierland (EU)	Ja
Resend Inc.	Transactionele e-mailverzending	VS (SCC)	Ja
Vercel Inc.	Front-end hosting en CDN	Wereldwijd CDN (SCC)	Ja
Anthropic PBC	AI-assistent: analyse van projectdata en foto's die je zelf aan de AI-functies aanbiedt. Wordt nooit gebruikt om AI-modellen te trainen.	VS (SCC)	Ja
Functional Software Inc. (Sentry)	Foutregistratie (error-tracking), EU-ingest	VS (SCC), ingest via Duitsland	Ja
Tawk.to Inc.	Live-chat op onze publieke pagina's (o.a. prijzenpagina)	VS (SCC)	Ja
GitHub Inc.	Versiebeheer broncode (geen Klantdata)	VS (SCC)	Ja

Met al deze verwerkers hebben wij verwerkersovereenkomsten (DPA) gesloten conform artikel 28 AVG.

Wij delen geen gegevens met andere derden, tenzij dit wettelijk verplicht is (bijvoorbeeld bij een gerechtelijk bevel).

6. Internationale doorgifte

Een deel van onze verwerkers (Resend, Vercel, Anthropic, Sentry, Tawk.to, GitHub) is gevestigd in de Verenigde Staten. Doorgifte naar deze landen is gebaseerd op:

• Standaard Contractuele Clausules (SCC) van de Europese Commissie, zoals aangenomen in besluit 2021/914;
• EU-VS Data Privacy Framework waar van toepassing.

De hoofdopslag van Klantdata (Supabase) bevindt zich uitsluitend binnen de EU.

7. Bewaartermijnen

Categorie	Bewaartermijn
Accountgegevens (actief)	Gedurende het Abonnement
Klantdata na opzegging	30 dagen (export-window), daarna verwijderd
Database-backups	Maximaal 7 dagen rolling
Facturen en boekhouding	7 jaar (fiscale bewaarplicht art. 52 AWR)
Security-audit-log	1 jaar
Gebruiksgegevens (laatst actief, actieve dagen)	365 dagen, daarna automatisch verwijderd
E-mailcommunicatie support	2 jaar na laatste contact
Niet-actieve Free-accounts	Worden na 12 maanden inactiviteit verwijderd na voorafgaande melding

8. Jouw rechten

Voor het uitoefenen van deze rechten kun je contact opnemen via info@infra-automation.studio. Wij reageren binnen 30 dagen.

Om misbruik te voorkomen kunnen wij om identificatie vragen voor verzoeken die niet direct via het accountportaal te realiseren zijn.

9. Cookies en tracking

IAS gebruikt uitsluitend functionele cookies en localStorage:

• Sessie-cookie: houdt je ingelogd binnen je browsersessie (Supabase auth-token).
• localStorage: slaat lokale projectdata op om de app sneller te laten werken en offline-toegang mogelijk te maken.
• Voorkeuren: jouw UI-instellingen zoals werkdagen-modus, filters, "Toon verborgen projecten".

Wij gebruiken geen tracking-cookies, geen analytics van derden (Google Analytics, Hotjar, etc.) en geen advertentienetwerken. Wij plaatsen geen cookies of localStorage-items zonder dat dit functioneel noodzakelijk is voor het gebruik van de Dienst.

Uitzondering — live-chat: op onze publieke pagina's (zoals de prijzenpagina) bieden wij een live-chatfunctie aan van Tawk.to. Deze plaatst functionele cookies die uitsluitend nodig zijn om het chatgesprek te laten werken. In de applicatie zelf draait geen chat en worden deze cookies niet geplaatst.

10. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen:

• Versleuteling in transit: alle verbindingen via HTTPS / TLS 1.2+.
• Versleuteling at rest: Supabase versleutelt databases en bestanden.
• Row-Level Security (RLS): data is op database-niveau strikt geïsoleerd per organisatie. Geen organisatie kan technisch bij andermans data, ook niet bij een UI-bug.
• Strict rol-gebaseerde toegang: superadmin, admin, projectmanager en viewer hebben gescheiden rechten op database-niveau (zie ook artikel 13 Algemene Voorwaarden).
• Wachtwoorden: opgeslagen als bcrypt-hash, nooit in originele vorm.
• Audit-log: alle administratieve acties worden gelogd en zijn herleidbaar.
• Backups: dagelijkse backups met 7-day point-in-time recovery (vanaf Supabase Pro plan).
• Toegangsbeheer: alleen geautoriseerde personeel heeft toegang tot productiesystemen, met principle of least privilege.

11. Datalekken

Indien er ondanks alle voorzorgsmaatregelen toch een datalek plaatsvindt, voldoen wij aan onze meldplicht (art. 33 AVG):

• Melding aan de Autoriteit Persoonsgegevens binnen 72 uur na ontdekking;
• Melding aan getroffen betrokkenen indien het lek waarschijnlijk een hoog risico inhoudt voor hun rechten en vrijheden;
• Documentatie van het lek in ons interne register.

12. Klachten

Heb je een klacht over hoe wij omgaan met je persoonsgegevens? Neem dan eerst contact op met ons via info@infra-automation.studio. Wij doen ons uiterste best om er samen uit te komen.

Komen we er niet uit, dan heb je het recht een klacht in te dienen bij de toezichthouder:

Autoriteit Persoonsgegevens (AP)
Postbus 93374, 2509 AJ Den Haag Website: autoriteitpersoonsgegevens.nl Telefoon: 088 - 1805 250

13. Wijzigingen

Wij kunnen deze privacyverklaring van tijd tot tijd wijzigen. De meest actuele versie staat altijd op planning.infra-automation.studio/privacy met een vermelding van de "laatst bijgewerkt"-datum bovenaan.

Bij wezenlijke wijzigingen informeren wij gebruikers actief via e-mail of via een banner in de Dienst, minimaal 30 dagen voor inwerkingtreding.

14. Contact

Voor vragen over deze privacyverklaring of over de verwerking van je persoonsgegevens:

E-mail (algemeen)	support@infra-automation.studio
E-mail (privacy)	info@infra-automation.studio
Post	Adoudi (Infra Automation Studio), Lijsterbesstraat 22, 3319 VK Dordrecht

---