Privacybeleid

1. Wie zijn wij

SubsiMatch is een handelsnaam van Rik Schouten, ingeschreven bij de Kamer van Koophandel onder nummer 74787969. Vestigingsadres: Gedempte Burgwal 12a, Den Haag. SubsiMatch is een online platform dat Nederlandse woningeigenaren helpt bij het berekenen en aanvragen van ISDE-subsidies voor woningverduurzaming.

Contactadres voor privacy-gerelateerde vragen: support@subsimatch.nl

2. Welke persoonsgegevens verzamelen wij

Accountgegevens

• E-mailadres (verplicht bij registratie via magic link of Google OAuth)
• Google profielnaam (alleen bij inloggen via Google)

Woninggegevens (ingevoerd in de scan)

• Postcode en woonplaats
• Woningtype (vrijstaand, rijtjeswoning, appartement, etc.)
• Bouwjaar van de woning
• Eigendomsstatus (eigenaar-bewoner)
• Monument status
• Huidig verwarmingstype
• Geselecteerde verduurzamingsmaatregelen

Contactgegevens installateur (optioneel)

• Volledige naam (afkomstig uit Google profiel of handmatig ingevoerd)
• Telefoonnummer (alleen indien ingevuld bij “Vind een installateur” formulier)
• Contactvoorkeur (e-mail, telefoon of beide)
• Gewenste timing van de installatie

Betaalgegevens

Betalingen worden volledig verwerkt door Stripe. SubsiMatch slaat geen betaalgegevens zoals creditcardnummers of rekeningnummers op. Wij ontvangen alleen een bevestiging van een geslaagde betaling.

Gebruiksgegevens

• Paginabezoeken en klikgedrag (volledig geanonimiseerd via Plausible Analytics, zonder cookies)
• Technische informatie zoals browsertype en apparaat (geanonimiseerd)

Gegenereerde documenten

• SubsiMatch genereert PDF-rapporten op basis van jouw scanresultaten en woninggegevens
• Deze PDF's bevatten jouw subsidieberekening, geselecteerde maatregelen en postcode
• PDF's worden tijdelijk opgeslagen om te kunnen worden gedownload en per e-mail verzonden
• PDF's worden automatisch verwijderd na 30 dagen

Technische gegevens

• Meldcode (RVO subsidie-identificatiecode, opgeslagen bij subsidieaanvraagstatus)
• Laatste inlogtijdstip (last_login_at, opgeslagen bij elke inlog voor beveiliging en sessiebeheer)

3. Waarom verzamelen wij deze gegevens

• Uitvoering van de dienst: het berekenen van subsidies op basis van jouw woning- en maatregelgegevens
• Accountbeheer: inloggen en scanresultaten voor jou bewaren zodat je later terug kunt kijken
• Installateur koppeling: jouw contactgegevens doorgeven aan een erkend installateur op jouw verzoek (alleen met expliciete toestemming)
• Betalingsverwerking: verwerken van de eenmalige betaling van €19,99 via Stripe
• E-mailcommunicatie: versturen van jouw PDF-rapport en eventuele serviceberichten via Resend
• Verbetering van de dienst: volledig geanonimiseerde gebruiksstatistieken via Plausible Analytics

4. Grondslag voor verwerking (AVG)

Wij verwerken jouw persoonsgegevens uitsluitend op basis van:

• Uitvoering van een overeenkomst: het leveren van de subsidieberekening en bijbehorende diensten
• Gerechtvaardigd belang: verbetering en beveiliging van het platform (geanonimiseerde statistieken)
• Toestemming: voor het delen van contactgegevens met een installateur — jij geeft hiervoor expliciet toestemming in het formulier. Deze toestemming kun je altijd intrekken.

5. Hoe lang bewaren wij jouw gegevens

• Accountgegevens en scanresultaten: tot 2 jaar na jouw laatste inlogmoment, of direct na verwijdering van je account
• Lead/installateurgegevens (inclusief telefoonnummer): maximaal 12 maanden na het indienen van de aanvraag, daarna automatisch verwijderd
• Betaalgegevens: conform de wettelijke bewaarplicht van 7 jaar (beheerd door Stripe)
• Geanonimiseerde gebruiksstatistieken: onbeperkt bewaard (bevatten geen persoonsgegevens)
• Gegenereerde PDF-rapporten: maximaal 30 dagen na aanmaak, daarna automatisch verwijderd

Je kunt op elk moment verzoeken jouw gegevens te verwijderen via support@subsimatch.nl

6. Delen met derden

Wij delen jouw gegevens alleen met zorgvuldig geselecteerde partijen die noodzakelijk zijn voor onze dienstverlening:

• Supabase (database en authenticatie) — servers in de Europese Unie, AVG-compliant
• Stripe Inc. (VS) (betalingsverwerking) — AVG-compliant, gecertificeerd onder PCI DSS. Doorgifte naar de VS vindt plaats op basis van Standard Contractual Clauses (SCC's) conform artikel 46 AVG.
• Resend (e-mailverzending) — AVG-compliant, servers in de EU
• Plausible Analytics (websitestatistieken) — volledig cookieloos en GDPR-compliant, geen persoonsgegevens
• Erkende installateurs — alleen jouw naam, telefoonnummer en postcode, uitsluitend na jouw expliciete toestemming via het installateurformulier

Wij verkopen jouw persoonsgegevens nooit aan derden en gebruiken ze niet voor advertentiedoeleinden.

7. Cookies en tracking

SubsiMatch maakt minimaal gebruik van cookies:

• Functionele cookies: strikt noodzakelijk voor inloggen en sessiebeheer via Supabase Auth. Deze cookies zijn niet uit te schakelen zonder verlies van functionaliteit.
• Analytische cookies: geen. Wij gebruiken Plausible Analytics, dat volledig cookieloos werkt en geen persoonsgegevens verwerkt.
• Advertentiecookies: geen. Wij tonen geen advertenties en werken niet met advertentienetwerken.

8. Jouw rechten onder de AVG

Als betrokkene heb je de volgende rechten:

• Recht op inzage: opvragen welke gegevens wij van je hebben
• Recht op correctie: onjuiste gegevens laten aanpassen
• Recht op verwijdering: je account en alle bijbehorende gegevens laten verwijderen (“recht op vergetelheid”)
• Recht op beperking: verwerking van jouw gegevens laten beperken
• Recht op bezwaar: bezwaar maken tegen verwerking op basis van gerechtvaardigd belang
• Recht op dataportabiliteit: jouw gegevens in een leesbaar formaat opvragen
• Recht om toestemming in te trekken: voor verwerking op basis van toestemming (zoals doorgeven aan installateur)

Stuur je verzoek naar support@subsimatch.nl. Wij reageren binnen 30 dagen. Wij vragen mogelijk om een identiteitsverificatie om misbruik te voorkomen.

9. Beveiliging van jouw gegevens

Wij nemen de beveiliging van jouw gegevens serieus en treffen de volgende maatregelen:

• Alle verbindingen zijn versleuteld via HTTPS/TLS
• Wachtwoorden worden niet opgeslagen — wij gebruiken uitsluitend passwordless aanmelding (magic link en Google OAuth)
• Databasetoegang is beveiligd via Supabase Row Level Security (RLS): elke gebruiker ziet alleen zijn eigen gegevens
• Toegang tot productiesystemen is beperkt tot geautoriseerde personen
• Gegenereerde PDF-bestanden zijn alleen toegankelijk voor de eigenaar van het account
• Supabase Storage buckets zijn ingesteld op private — bestanden zijn niet publiek toegankelijk
• Wij voeren regelmatig beveiligingscontroles uit

10. Wijzigingen in dit privacybeleid

Dit privacybeleid kan worden aangepast als onze dienstverlening wijzigt of bij nieuwe wetgeving. De datum “Laatste update” bovenaan de pagina toont wanneer de meest recente versie is gepubliceerd. Bij ingrijpende wijzigingen informeren wij je per e-mail.

11. Contact en klachten

Vragen of opmerkingen over dit privacybeleid? Neem contact op via support@subsimatch.nl

Heb je een klacht over hoe wij met jouw gegevens omgaan? Je hebt het recht een klacht in te dienen bij de Nederlandse toezichthouder: