Wat de app vastlegt, wat je toestel wel en niet verlaat, wie er verder iets ziet, en hoe lang het wordt bewaard. Stand 31 oktober 2026.
Wie wij zijn. EverStamp is een dienst van Digital Sandbox B.V., Waalstraat 2, 8052 AE Hattem, Nederland. Voor vragen over je gegevens: privacy@everstamp.app.
Wat wij van je hebben. Je opnames blijven op je telefoon. Wij ontvangen per dossier vingerafdrukken (getallen waaruit geen beeld terug te maken is), een kenmerk van je toestel en de verklaring van Apple of Google dat de sleutel van de app in de beveiligde hardware van een echt toestel is gemaakt. Opnames komen alleen in drie gevallen bij ons, en dan versleuteld: een deellink die je zelf maakt, een levering op verzoek van een organisatie, en Bewaren bij EverStamp, als jouw organisatie die instelling heeft aangezet. Hoort je telefoon bij een organisatie, of beantwoord je een verzoek van een organisatie, dan bewaart ons register (de dienst van EverStamp die elk dossier noteert) ook de naam van het dossier, de checklist en de ingevulde velden, voor die organisatie. Ons register houdt je tegoed bij: of je gratis dossier is gebruikt, hoeveel gekochte dossiers je nog hebt, en met Plus je dossiers van de maand. Daarvoor bewaart het een vingerafdruk, gemaakt met een geheime sleutel, van je download of aankoop bij de winkel of van je abonnement, en anders van je telefoon, en bij een aankoop van dossiers ook het kenmerk van die aankoop; geen naam en geen betaalgegevens. Log je in op het dashboard, dan hebben wij je e-mailadres, je naam en je sessies. Bij elk verzoek aan onze servers staan je IP-adres en je browser hooguit 30 dagen in onze toegangslogs.
Waarvoor, en op welke grond. Om de dienst te leveren die je gebruikt: de uitvoering van de overeenkomst. Voor de plaats op je foto’s: je toestemming, die je intrekt in de instellingen van je telefoon. Voor de beveiliging, het openbare logboek (het openbare deel van het register, zonder namen of beelden), tellingen zonder gegevens over personen, en bijhouden op welke pagina een organisatie haar proef begon: ons gerechtvaardigd belang. Voor facturen: een wettelijke plicht. Wat wij voor een organisatie bewaren, verwerken wij als haar verwerker.
Wie er verder iets ziet. De leveranciers die onze servers en onze e-mail verzorgen, en diensten die zelf verantwoordelijk zijn voor wat zij van ons krijgen: de tijdstempeldienst, die alleen een vingerafdruk krijgt; Apple en Google, om het toestel te controleren en om een positie om te zetten in een adres, waarvoor zij coördinaten rond je positie krijgen; en bij Business de betaaldienst. De lijst staat in de uitgebreide verklaring.
Buiten de Europese Unie. Het meeste blijft in de Europese Unie. Een aantal leveranciers is Amerikaans; de meeste werken onder het EU-VS Data Privacy Framework, en waar dat niet zo is of wegvalt, gelden de standaardcontractbepalingen van de Europese Commissie. Dat zijn allebei door de Europese Commissie erkende routes om persoonsgegevens veilig naar een land buiten de EU te sturen. Een kopie van die waarborgen krijg je via privacy@everstamp.app.
Hoe lang. Je dossiers staan op je telefoon tot je ze verwijdert. Het openbare logboek bewaren wij onbeperkt, zonder namen. Wat wij voor een organisatie bewaren, blijft zolang haar overeenkomst loopt; daarna heeft zij 30 dagen om alles op te halen. Dan verwijderen wij het, behalve wat wij volgens de wet moeten bewaren, zoals facturen. De termijn per soort gegevens staat in de uitgebreide verklaring.
Geen geautomatiseerde besluiten. Wij nemen geen besluiten over je die alleen op geautomatiseerde verwerking berusten, en wij maken geen profielen.
Leeftijd. De app is voor wie 16 jaar of ouder is. Wie als gast opnames aanlevert voor een organisatie, verklaart dat hij 18 jaar of ouder is, of dat hij handelt namens de verzekerde of de huurder.
Je rechten. Je kunt ons vragen om inzage, correctie of verwijdering van je gegevens, om beperking van het gebruik ervan en om overdracht, en je kunt bezwaar maken. Mail naar privacy@everstamp.app; je hebt binnen een maand antwoord. Gaat het om gegevens die wij voor een organisatie verwerken, dan sturen wij je verzoek door naar die organisatie. De regels in het openbare logboek wissen wij niet: een gewiste regel zou opvallen voor iedereen die een kopie van het logboek bijhoudt. Wat dat voor dossiers betekent, staat hieronder bij Twee eerlijke grenzen. Een klacht kun je indienen bij de Autoriteit Persoonsgegevens.
Meer weten. De uitgebreide verklaring zegt per soort gegevens wat wij ontvangen, van wie, waarvoor en hoe lang.
EverStamp is zo gebouwd dat het dossier op je toestel ontstaat en dat iedereen het kan controleren. Dat is een ontwerpkeuze met een gevolg voor je privacy: wij hebben je foto’s en video’s niet nodig, dus nemen wij ze niet.
Wat wij per dossier ontvangen, zijn vingerafdrukken: getallen die uit je opnames zijn berekend en waar geen beeld uit terug te maken is. Hoort je telefoon bij een organisatie, of beantwoord je een verzoek van een organisatie, dan bewaart het register daarnaast de naam van het dossier, de checklist en de veldwaarden, voor die organisatie. Foto’s, video’s, notities, adressen en posities blijven op de telefoon, tenzij er een van drie dingen gebeurt, en hieronder staan ze alle drie. Twee ervan zijn je eigen keuze. De derde is een instelling die je werkgever kan aanzetten. Lees die vooral.
Geluid, vanaf versie 1.2 van de app. Een video neemt standaard ook geluid op. Je zet het uit in de app vóór je begint met opnemen; tijdens het opnemen laat de app zien of er geluid wordt opgenomen. Bij de eerste video met geluid vraagt de app toegang tot de microfoon. Het geluid blijft bij de video: op je telefoon, en bij ons alleen in de drie gevallen hierboven, versleuteld. Wij luisteren er niet naar en laten er geen herkenning op los.
Een deellink is versleuteld met een sleutel die in de link zelf zit, achter het #-teken. Dat deel van een link stuurt een browser nooit naar een server. Wij bewaren dan gegevens die wij niet kunnen lezen. Zo werkt het meestal, en zo werkt het voor alles wat je zelf deelt.
Twee gevallen werken anders, en in allebei bewaren wij de sleutel. Het ene is een levering op het verzoek van een bedrijf. Het andere is bewaren bij EverStamp, dat een eigenaar of beheerder voor een hele organisatie kan aanzetten. In beide gevallen moet de organisatie de dossiers kunnen openen, dus bewaart ons register de sleutel voor haar, versleuteld, in zijn kluis.
Van die dossiers kan EverStamp het archief dus openen. Wij zeggen het ronduit omdat het waar is en omdat je er toch achter komt. Het register geeft de sleutel aan het dashboard, als een eigenaar of beheerder van die organisatie erom vraagt of als een API-sleutel van die organisatie hem opvraagt. Elke opening via het dashboard of de API komt in het auditlog van die organisatie te staan, met wie of welke API-sleutel en wanneer. Bekijkt iemand in de galerij een bladzijde met kleine voorbeeldbeelden, dan staat dat daar als één regel, met de dossiers van die bladzijde erbij; opent iemand de originelen, dan komt er één regel per dossier. Voor de voorbeeldbeelden geeft het register alleen een sleutel die het voorbeeldbeeld opent, niet het dossier zelf.
Een eigenaar of beheerder kan ook een projectlink maken, voor hooguit 90 dagen. Wie die link heeft, kan zonder account de bewaarde en geleverde dossiers in die link openen of downloaden. Het register geeft daarvoor de sleutel van elk dossier, een voor een, op het moment dat het wordt geopend of gedownload. Het maken en het intrekken van zo’n link komen in het auditlog. Een opening via de link krijgt daar geen eigen regel; het dashboard telt bij de link hoe vaak er een dossier mee is geopend. Over wie een projectlink opent, houdt het register geen naam en geen IP-adres bij; zoals bij elk verzoek aan onze servers staan het IP-adres en de browser hooguit 30 dagen in onze toegangslogs, waarbij wij het kenmerk van de link afschermen.
Leden met de rol veldwerker of lezer kunnen deze dossiers in het dashboard niet openen. Omdat wij de sleutel beheren, kan iemand van EverStamp met toegang tot de servers zo’n archief technisch ook buiten het dashboard om openen, en dan zonder regel in dat auditlog. Dat doen wij alleen op schriftelijk verzoek van de organisatie, of als een bevoegde rechter of autoriteit ons daartoe met een bevel of vordering op grond van de wet verplicht. Zo’n bevel of vordering toetsen wij, wij verstrekken niet meer dan wordt gevorderd, en wij melden het de organisatie vooraf of zo snel als dat mag, tenzij de wet die melding verbiedt.
De instelling Bewaren bij EverStamp staat uit tot jouw organisatie haar aanzet. De keuze is aan de organisatie, niet aan jou, en vanaf dat moment geldt zij voor elk dossier dat een lid vastlegt. Leg je vast voor een werkgever, dan is het goed om dat te weten voordat je begint: vraag of die instelling aanstaat. Deelt jouw organisatie een project met een projectlink, dan ziet iedereen met die link de bewaarde dossiers die erin zitten, ook die van jou, zolang de link werkt.
Een korte lijst. Elk van hen krijgt zo weinig mogelijk van ons.
| Wie | Wat zij ontvangen | Waarvoor |
|---|---|---|
| SK ID Solutions AS (Estland) | Een vingerafdruk (hash), verstuurd door onze server. Niets van jou: niet je IP-adres, geen foto, geen naam. | De gekwalificeerde tijdstempel op je dossier en op het rapport, over elke video, en over elke foto waar een tijdstempel per foto geldt. Zij zien een getal, nooit een beeld. Dossiers die vóór 14 september 2026 zijn gestempeld, hebben een tijdstempel van BOSA, de dienst van de Belgische federale overheid; de controlepagina controleert die op dezelfde manier. |
| De servers van drand, alleen met een app van vóór versie 1.1 | Een verzoek, en daarmee je IP-adres | Het tijdanker. Een tijdanker is een willekeurig getal dat op een vast moment openbaar wordt; niemand kon het van tevoren weten. Wie dat getal mee ondertekent, kan dat dus pas na dat moment hebben gedaan. Een app vanaf versie 1.1 vraagt het aan ons register, en dan ziet drand alleen het register. |
| Apple (op de iPhone) | Coördinaten rond je positie, voor de adressuggestie, en de App Attest-attestatie (de verklaring van Apple dat de sleutel op een echt toestel en voor onze app is gemaakt). Nooit een beeld, een adres of een naam. | Een positie omzetten in een straatnaam, en vaststellen dat het toestel echt is. |
| Google (op Android) | Coördinaten rond je positie, voor de adressuggestie; een Play Integrity-verzoek bij het aanmelden van de telefoon en opnieuw bij elk dossier. Nooit een beeld, de herkende tekst, een adres of een naam. | Een positie omzetten in een straatnaam, en de tekstherkenning op het toestel die een kenteken of meterstand voorstelt. Via Play Integrity laat Google weten of de app uit Google Play komt en of de telefoon door de controles van Google komt; dat verzoek bevat een eenmalige waarde en verder niets. Ons register bewaart het oordeel van Google bij het toestel, maar weigert op grond daarvan niets, en het staat niet in je dossier en niet op de controlepagina. De attestatie van de sleutel zelf gaat naar ons register en niet naar Google. |
| Google (inloggen op het dashboard, als je dat kiest) | Dat je met je Google-account bij EverStamp inlogt. Wij krijgen daarvoor alleen je Google-account-id, je e-mailadres, je naam en het adres van je profielfoto (de scopes openid, email en profile). | Inloggen op het dashboard zonder wachtwoord. Google verwerkt de gegevens van je Google-account zelf, als eigen verwerkingsverantwoordelijke, onder zijn eigen voorwaarden. Inloggen met een link per e-mail blijft mogelijk. |
| Microsoft (inloggen op het dashboard, als je dat kiest) | Dat je met je Microsoft-account bij EverStamp inlogt, persoonlijk of van werk of school. Wij krijgen daarvoor je Microsoft-account-id, je e-mailadres en of dat is geverifieerd, en je naam als Microsoft die meestuurt (de scopes openid en email). Wij gebruiken Microsoft Graph niet (de koppeling waarmee een app gegevens uit je Microsoft-account kan lezen) en lezen verder niets uit je account. | Inloggen op het dashboard zonder wachtwoord. Microsoft verwerkt je Microsoft-account onder zijn eigen voorwaarden, als eigen verwerkingsverantwoordelijke; bij een account van werk of school doet de organisatie die het beheert dat ook. Inloggen met een link per e-mail blijft mogelijk. |
| Resend | E-mailadressen, en waar elke mail over gaat:
| Die mails afleveren, en je offerteaanvraag of bericht afleveren in onze mailbox, info@everstamp.app. Een offerteaanvraag of bericht gebruiken wij alleen om je te antwoorden. |
| Google Workspace (onze mailboxen) | Mails aan onze adressen op everstamp.app, zoals info@, privacy@, security@ en support@, ook offerteaanvragen, berichten via het contactformulier en de supportvragen en reacties die op support@ binnenkomen | Onze e-mail. Google verwerkt die voor ons onder zijn Cloud Data Processing Addendum. Wij bewaren deze mails zolang dat nodig is om de vraag of offerte af te handelen en op te volgen, tenzij een wettelijke bewaarplicht langer vraagt. |
| Vercel Web Analytics (deze site en het dashboard) | Per paginaweergave: het adres van de pagina, zonder zoekterm en zonder de naam van de organisatie; de pagina waar je vandaan kwam; je land, regio en stad; besturingssysteem, browser en soort apparaat; en het tijdstip. Geen cookies: een bezoeker wordt herkend aan een vingerafdruk (hash) van het verzoek, die na 24 uur wordt weggegooid, en niets hangt aan je IP-adres. | Tellen welke pagina’s gelezen worden, in totalen. Niet in de app, en niet op de controlepagina. |
| Sentry (Functional Software, Inc.) | Als er in het dashboard iets misgaat, op onze server of in je browser: een technische foutmelding met het soort fout, de melding en de stacktrace (de technische regels die tonen waar in de code het misging), de route als patroon (zoals /o/[org]/…), de omgeving en de versie. Die gaat via onze server; je browser maakt nooit zelf verbinding met Sentry. Headers, cookies, het IP-adres van de bezoeker en wie er is ingelogd sturen wij nooit mee. E-mailadressen, rekeningnummers, telefoonnummers, tokens, kenmerken (van ons en van Mollie), factuurnummers en de naam van de organisatie in een adres halen wij er eerst uit. Een foutmelding kan bij uitzondering een stukje ingevoerde tekst bevatten, zoals een naam. | Fouten in het dashboard opsporen en oplossen. Niet in de app, niet in het register en niet op deze site. |
| Apple App Store, Google Play | Je aankoop, als je Plus neemt of dossiers koopt | Zij handelen de betaling af. Wij zien nooit de gegevens van je betaalpas of creditcard. |
| Apple (TestFlight), als je een bètaversie van de iPhone-app test | Apple verzamelt crashrapporten, wanneer je de app installeerde en hoe vaak je hem opende, en de feedback die je zelf stuurt, met een schermafbeelding en gegevens van je toestel zoals model, iOS-versie, accu en tijdzone. Dat geeft Apple aan ons door. Doe je mee via de openbare link, dan zien wij je naam en e-mailadres niet, tenzij je je e-mailadres bij je feedback invult. Doe je mee via een uitnodiging per mail, dan zien wij ze wel. | Fouten in een bètaversie vinden en oplossen voordat zij uitkomt. |
| Apple en Google, als je telefoon diagnose- en gebruiksgegevens deelt | Loopt de app vast of crasht hij, dan geven zij ons crashgegevens: waar in de app het misging, met onder meer het model van je toestel en de versie van iOS of Android en van de app. Apple geeft ze samengevoegd, of zonder iets waaraan jij te herkennen bent, en geeft ons zo ook cijfers over het gebruik van de app. Uitzetten kan in de instellingen van je telefoon. | Fouten in de app vinden en oplossen. |
| Mollie B.V. (Amsterdam) | Voor een organisatie met Business: haar naam en e-mailadres (uit de bedrijfsgegevens, anders dat van een eigenaar), het bedrag, een omschrijving zoals ‘EverStamp Business Start, oktober 2026’ en het nummer van de organisatie. Bank- of creditcardgegevens voert de betaler in bij Mollie; wij bewaren ze niet. | Mollie handelt als eigen verwerkingsverantwoordelijke de betalingen van Business af: iDEAL, creditcard en SEPA-incasso. |
| VIES (Europese Commissie) | Voor een organisatie in een ander EU-land: haar btw-nummer en land, met ons eigen btw-nummer als aanvrager | Het btw-nummer controleren. Dat vragen de btw-regels voordat wij een bedrijf in een ander EU-land factureren zonder Nederlandse btw. De laatste controle bewaren wij bij de organisatie: geldig of niet, land en nummer, de naam en het adres zoals VIES ze geeft, de datum en het raadplegingsnummer. Bij een eenmanszaak kan die naam een persoonsgegeven zijn. |
De bedrijven bij wie onze eigen servers staan, noemen wij op de beveiligingspagina bij naam, met wat zij doen en in welk land. Die lijst hoort bij deze verklaring.
Voor elk gebruik van je gegevens noemen wij de grondslag: de wettelijke reden waarop wij ze mogen gebruiken. De letter verwijst naar artikel 6 lid 1 van de AVG.
| Waarvoor | Grondslag (artikel 6 lid 1 AVG) |
|---|---|
| Je toestel aanmelden, je dossiers vastleggen en verzegelen, het openbare logboek, deellinks en de controlepagina | Uitvoering van de overeenkomst (b): de dienst die je volgens onze voorwaarden gebruikt |
| Plus, je tegoed en je aankopen van dossiers | Uitvoering van de overeenkomst (b) |
| Je gratis dossier en je gekochte dossiers, zonder Plus | Uitvoering van de overeenkomst (b); onthouden dat het gratis dossier is gebruikt: ons gerechtvaardigd belang (f) |
| Locatie, voor het adres op de stempelbalk en de positie in het dossier | Je toestemming (a), die je geeft met de locatietoestemming en intrekt in de instellingen van je telefoon. Dit geldt als je de app zonder organisatie gebruikt. Leg je vast voor een organisatie, dan bepaalt die organisatie op welke grond zij je locatie laat vastleggen. |
| Beveiliging en misbruik voorkomen: de toegangslogs, het systeemjournaal en het oordeel van Play Integrity | Ons gerechtvaardigd belang (f) bij een veilige dienst. Dit doen wij als eigen verwerkingsverantwoordelijke, ook als daar een IP-adres van een lid of een gast van een organisatie in staat, en niet op haar instructie (voorwaarden, artikel 10.1) |
| Back-ups | Ons gerechtvaardigd belang (f) bij een dienst die na een storing te herstellen is, voor onze eigen gegevens. Voor het deel met gegevens van een organisatie zijn wij haar verwerker |
| Foutmeldingen van het dashboard | Ons gerechtvaardigd belang (f) bij een dienst die werkt: fouten opsporen en oplossen |
| Bètatests via TestFlight: crashrapporten, gebruik en feedback | Ons gerechtvaardigd belang (f) bij een app die werkt: fouten vinden voordat een versie uitkomt. Feedback gaat alleen naar ons als je die zelf stuurt. |
| Crashgegevens en gebruikscijfers van Apple en Google | Ons gerechtvaardigd belang (f) bij een app die werkt. Ze komen alleen als je telefoon ze deelt. |
| Je inlogaccount op het dashboard: e-mailadres, inlogmethode, sessies, laatste inlog en tweestapsverificatie | Uitvoering van de overeenkomst (b) als je zelf de organisatie hebt aangemaakt. Ben je lid van een organisatie van een ander, dan ons gerechtvaardigd belang (f) en dat van die organisatie bij veilige toegang tot haar dashboard. Eigenaren en beheerders zien wanneer je voor het laatst inlogde; je sessies, met apparaat en IP-adres, ziet in het dashboard alleen jijzelf. |
| Het openbare logboek onbeperkt bewaren | Ons gerechtvaardigd belang (f), en dat van iedereen die op een dossier vertrouwt, bij dossiers die controleerbaar blijven |
| Betalingen van Business, facturen en de VIES-controle | Uitvoering van de overeenkomst (b) voor de betaling; een wettelijke plicht (c) voor de facturen, de VIES-controle en het zeven jaar bewaren daarvan |
| Paginastatistiek van deze site en het dashboard (Vercel Web Analytics) | Ons gerechtvaardigd belang (f) om te weten welke pagina’s gelezen worden, zonder cookies en zonder je na een dag nog te herkennen |
| Uit de toegangslogs tellen hoe vaak de controlepagina en de deellinkpagina worden geopend, en hoe vaak er wordt doorgeklikt naar de site | Ons gerechtvaardigd belang (f) om te weten of de controlepagina als kanaal werkt; bewaard worden alleen aantallen |
| Bij het aanmelden van een organisatie: van welke pagina de proef begon | Ons gerechtvaardigd belang (f) om te weten welke pagina’s werken, zonder cookie en zonder IP-adres |
| De telling van de eerste start en het advies | Ons gerechtvaardigd belang (f) om te weten wie EverStamp gebruikt, waarvoor, langs welke weg en welke groep wat kiest; elke vraag is over te slaan, en zonder antwoorden gaat er niets naar ons, ook niet na het advies |
| Het beheerlog van het dashboard: wat de beheerder bij EverStamp deed, en waarom een betaalpoging mislukte | Ons gerechtvaardigd belang (f) bij een betrouwbare dienst en om te kunnen verantwoorden wat wij deden |
| Inloggen op het dashboard, ook met Google of Microsoft | Uitvoering van de overeenkomst (b) als je zelf de organisatie hebt aangemaakt; ben je lid van een organisatie van een ander, dan ons gerechtvaardigd belang (f) en dat van die organisatie bij veilige toegang tot haar dashboard. |
| Nieuws in het dashboard, en bijhouden wat je las | Uitvoering van de overeenkomst (b) als je zelf de organisatie hebt aangemaakt; ben je lid van een organisatie van een ander, dan ons gerechtvaardigd belang (f) om leden te laten weten wat er in het dashboard verandert. |
| Productnieuws per e-mail | Je toestemming (a), die je geeft onder Mijn account en intrekt met de afmeldlink in elke mail, met één klik in je mailprogramma, of onder Mijn account |
| Supportvragen uit het dashboard beantwoorden | Uitvoering van de overeenkomst (b) als je zelf de organisatie hebt aangemaakt; ben je lid van een organisatie van een ander, dan ons gerechtvaardigd belang (f), en dat van die organisatie, om je vraag te beantwoorden. |
| Een melding over inhoud, misbruik of een kwetsbaarheid behandelen | Een wettelijke plicht (c) waar de Digital Services Act dat vraagt; verder ons gerechtvaardigd belang (f) bij een veilige dienst |
| Een offerteaanvraag, een bericht via het contactformulier of een mail beantwoorden | Stappen die je ons vraagt te zetten voordat er een overeenkomst is (b), of ons gerechtvaardigd belang (f) om je te antwoorden |
| Leveringen, dossiers die bij EverStamp worden bewaard, en de gegevens van leden en gasten van een organisatie | Die verwerken wij voor de organisatie, als haar verwerker; de organisatie bepaalt de grondslag |
Waar de gegevens heen gaan. Het meeste van wat wij bewaren blijft in de Europese Unie: het register bij Hetzner in Duitsland, de dashboarddatabase bij Supabase in de EU, de versleutelde archieven bij Cloudflare R2 onder EU-jurisdictie, en de sleutel waarmee EverStamp ondertekent, bij Amazon Web Services in Frankfurt. Vercel (de website, het dashboard en hun paginastatistiek) en Resend (e-mail; Resend bewaart die in de Verenigde Staten) zijn Amerikaanse bedrijven en kunnen gegevens in de Verenigde Staten verwerken; dat doen zij op grond van het EU-VS Data Privacy Framework en standaardcontractbepalingen. Cloudflare en Amazon Web Services doen dat op dezelfde twee gronden voor wat zij buiten de EU verwerken, en Supabase op standaardcontractbepalingen voor eventuele toegang van buiten de EU. Sentry bewaart de foutmeldingen van het dashboard in zijn EU-regio in Frankfurt; zijn overeenkomst laat verwerking in de Verenigde Staten en andere landen toe, op grond van het Data Privacy Framework en standaardcontractbepalingen. Google Workspace kan onze e-mail ook buiten de EU bewaren, op grond van het Data Privacy Framework en standaardcontractbepalingen. Een kopie van de waarborgen voor deze doorgiften krijg je via privacy@everstamp.app. Waar een leverancier in deze alinea op het Data Privacy Framework steunt, gelden de standaardcontractbepalingen van de Europese Commissie als vangnet, voor het geval het Data Privacy Framework wegvalt.
Apple en Google (ook voor de controle dat het toestel echt is), Microsoft, Mollie, de Europese Commissie (VIES) en de tijdstempeldienst SK ID Solutions verwerken wat zij ontvangen als eigen verwerkingsverantwoordelijke, onder hun eigen voorwaarden; het zijn geen verwerkers van ons. Wat wij zelf aan Google en Microsoft doorgeven, geven wij door op grond van het adequaatheidsbesluit voor het EU-VS Data Privacy Framework (het besluit van de Europese Commissie dat dit Framework de gegevens voldoende beschermt); Google LLC en Microsoft Corporation staan op de lijst van bedrijven die onder het Data Privacy Framework vallen. Hoe deze partijen daarna zelf met doorgifte omgaan, staat in hun eigen privacyverklaringen. Mollie, SK ID Solutions in Estland en de Europese Commissie ontvangen wat wij sturen binnen de Europese Unie.
Ons register haalt het tijdanker op bij drand; je telefoon vraagt het aan ons register. Drand ziet je telefoon niet. Versies van de app van vóór 1.1 halen het tijdanker nog rechtstreeks bij drand, bij drand.cloudflare.com, en bij een server in Frankfurt (api2.drand.sh) als Cloudflare niet antwoordt; de beheerder van die openbare diensten ziet dan het IP-adres van je telefoon, en daar hebben wij geen afspraak over. Cloudflare is gecertificeerd onder het EU-VS Data Privacy Framework. Werk de app bij.
De app gebruikt je locatie voor twee dingen: het adres op de stempelbalk, en de positie die in het dossier wordt vastgelegd. Zij wordt alleen gelezen terwijl de app openstaat: als je een nieuw dossier begint, terwijl je foto’s of video’s maakt, en als een klant op het scherm tekent. De app gebruikt je locatie nooit op de achtergrond. Weiger je de locatietoestemming, of trek je hem later in via de instellingen van je telefoon, dan werkt de app door en hebben je opnames geen positie.
| Je dossiers | Op je telefoon, tot je ze verwijdert. Wij kunnen ze niet voor je verwijderen en niet voor je terughalen. |
| Het openbare logboek | De vingerafdrukken worden onbeperkt bewaard, met bij elk dossier een eigen kenmerk van het toestel, dat per dossier verschilt; regels van vóór 29 september 2026 bevatten het vaste toestelkenmerk. Daarop rust de bevestiging van het register, en met een kopie van het logboek kan iedereen nagaan dat een periode niet is veranderd. De regels van vóór 29 september 2026 komen alleen van toestellen van EverStamp zelf: ontwikkel-, test- en conformantietoestellen en de telefoon van een oprichter. |
| Deellinks | Tot de link vervalt of je hem intrekt. Standaard 30 dagen; hooguit 30 dagen bij Basis, 90 bij Plus en 365 bij Business en Enterprise. Een deellink met video telt mee voor de ruimte die al je open deellinks samen mogen innemen; die grens staat in de app. |
| Leveringen en dossiers die bij EverStamp worden bewaard | Zolang het abonnement van de organisatie loopt, of korter als de organisatie zelf een kortere termijn instelt. Eindigt het abonnement, dan heeft de organisatie 30 dagen om alles op te halen, en daarna gaat het bestand weg en de sleutel ermee. Een eigenaar of beheerder kan een bewaard dossier altijd eerder intrekken, en bij het opheffen van de organisatie gaat alles weg. De video’s daarin bewaren wij even lang, tenzij de organisatie voor video een eigen kortere termijn kiest; dan krijgt zij een maand vooraf een mail, behalve bij een termijn korter dan 37 dagen of als zij de termijn zelf korter maakt en dat bevestigt. Zet de organisatie de videomodule uit, dan heeft zij vanaf de dag dat de module uitgaat 30 dagen om de video’s op te halen, tenzij zij kiest voor bewaren tegen betaling; daarna gaan ook de video’s in leveringen en open deellinks weg. Na het wissen blijft het archief met de foto’s. De voorbeelden van een bewaard dossier bewaren wij even lang; ze gaan mee weg als het dossier weggaat, en ook als een video van dat dossier eerder weggaat. Voor back-ups gelden de termijnen onder Back-ups hieronder. |
| Gegevens in het dashboard | Zolang de organisatie bestaat. Loopt een proef af zonder dat de organisatie Business Start afsluit of een offerte aanvaardt, dan eindigt de overeenkomst en heeft de organisatie 30 dagen om alsnog Business Start af te sluiten, een offerte te aanvaarden of alles te exporteren; daarna wissen wij op dezelfde manier als bij opheffen. Bij opheffen worden ze gewist of ontdaan van namen en contactgegevens: van verzoeken, uitnodigingen en deellinks blijft alleen een lege vermelding over, zonder namen, en de inlogaccounts van oud-leden die de uitnodiging zelf aanvaardden en nergens anders lid zijn, gaan weg. De koppelingen van telefoons worden daarbij ingetrokken in plaats van gewist, zodat een lid één keer ziet dat de telefoon is ontkoppeld door de organisatie; de naam van de organisatie blijft daarom nog veertien dagen in die ingetrokken koppeling staan, en alleen dat toestel ziet hem. Betalingen, facturen en supportvragen zijn de uitzonderingen; zie hieronder. |
| De pagina waar de proef begon | Bij het aanmelden bewaren wij bij de organisatie van welke pagina je kwam, bijvoorbeeld de prijspagina, of de controlepagina met het soort dossier. Dat is een korte code, met het pakket van de proef en het tijdstip; geen IP-adres en geen cookie. Alleen de beheerder bij EverStamp ziet hem, om per pagina te tellen hoeveel aanmeldingen, proeven en betalende organisaties er kwamen; leden van de organisatie zien hem niet. Hij blijft zolang de organisatie bestaat, en gaat weg als zij wordt opgeheven. Voor back-ups gelden de termijnen onder Back-ups hieronder. |
| Gasten | Contactgegevens die de organisatie invoerde: gewist 30 dagen nadat het verzoek is afgerond, verlopen of ingetrokken. De naam van een gast, zoals de organisatie hem invoerde of de gast hem typte, blijft bij het verzoek en het dossier tot de organisatie wordt opgeheven. Webhookberichten bevatten die naam maar geen contactgegevens; de registratie van verstuurde webhookberichten (automatische berichten aan de software van de organisatie) gaat na 30 dagen weg. |
| Leden van een organisatie | Naam en e-mailadres, in het dashboard zolang het lid bestaat. Na verwijderen houdt het auditlog van de organisatie een regel met naam en e-mailadres, en het register de naam bij de uitnodiging en de koppeling van het toestel, allebei tot de organisatie wordt opgeheven. Eigenaren en beheerders zien wanneer elk lid voor het laatst inlogde. Een eigenaar kan een lid overal uitloggen; omdat sessies bij het account horen, geldt dat ook bij andere organisaties, en het komt in het auditlog van de organisatie. Elk lid ziet de eigen inlogsessies: het apparaat zoals de browser zich meldt, het IP-adres en wanneer de sessie voor het laatst actief was, en kan ze beëindigen; niemand ziet die van een ander. Supabase houdt dit per sessie bij tot die eindigt: als je uitlogt, als je haar zelf beëindigt, of een eigenaar of EverStamp je uitlogt of je tweestapsverificatie reset, en uiterlijk na 8 uur zonder activiteit of na 7 dagen. Die termijnen zijn instellingen van ons Supabase-project, en na het einde van een sessie werkt het toegangstoken nog hooguit een kwartier. Een eigenaar kan de tweestapsverificatie van een lid resetten (de authenticator-apps weghalen en het lid overal uitloggen), maar alleen als dat account geen actief lid is van een andere organisatie waar de eigenaar niet ook eigenaar is; dat komt in het auditlog van de organisatie en het lid krijgt een mail. Wie geen enkele manier meer heeft om in te loggen, kan EverStamp om een reset vragen, na een identiteitscheck op een van drie manieren: een mail vanaf het adres van het account en terugbellen op een nummer dat wij al kenden; in persoon of via videobellen, met legitimatie; of bevestiging door een andere eigenaar van dezelfde organisatie, met diens tweestapsverificatie. Het beheerlog bewaart dan het account, de reden en de check, in het auditlog van elke organisatie van dat account komt de reset door EverStamp, en het lid krijgt een mail. Log je in met Google, dan bewaart Supabase ook je Google-account-id en wat Google meestuurt (e-mailadres, naam en het adres van je profielfoto), zolang je account bestaat. Log je in met Microsoft, dan bewaart Supabase je Microsoft-account-id en wat Microsoft meestuurt (e-mailadres, of dat is geverifieerd, en je naam als die wordt meegestuurd), ook zolang je account bestaat; een uitnodiging wordt alleen gekoppeld aan een adres dat Microsoft heeft geverifieerd. Wij gebruiken die gegevens alleen om je in te loggen, en je naam als voorstel wanneer je een organisatie aanmaakt; de foto gebruiken wij niet, en de gegevens niet voor iets anders. |
| Betalingen en facturen van een organisatie | Elke betaling krijgt een factuur, die al als betaald is aangemerkt. Wij bewaren betalingen en facturen tot zeven jaar na het einde van het jaar waarin de factuur is opgemaakt (de fiscale bewaarplicht), ook als de organisatie is opgeheven; na het opheffen kan alleen EverStamp ze nog lezen. Hoort er een creditnota bij een factuur, dan bewaren wij die factuur zolang wij de creditnota bewaren. Op een factuur staan de naam van de organisatie (of een afwijkende naam bij een apart factuuradres), het factuuradres (een apart adres als de eigenaar dat opgaf, anders het adres van het bedrijf), het land en het btw-nummer, een eigen referentie zoals een PO-nummer als de eigenaar die opgaf, de regels, de bedragen en het betaalkenmerk van Mollie, en bij verlegging van de btw ook de VIES-controle. Een uitgegeven factuur verandert nooit: naam, adres, referentie en btw-nummer van het moment van uitgeven blijven erop staan, ook bij een latere creditnota. Alleen de eigenaar stelt het factuuradres, de referentie en een mailbox voor facturen in; een wijziging komt in het auditlog van de organisatie, met de oude en de nieuwe waarde. In het dashboard zien alleen eigenaren en beheerders ze. Geeft EverStamp een organisatie korting, dan staat die als eigen regel op de factuur, zoals ‘Korting 50%’. Het percentage, de einddatum als die er is, wanneer de korting is gezet en welke beheerder bij EverStamp dat deed, staan bij de organisatie in de database van het dashboard, tot EverStamp de korting weghaalt of de organisatie wordt opgeheven; in het dashboard zien alleen eigenaren en beheerders het percentage en de einddatum. De reden staat in het beheerlog. Bij opheffen trekken wij de machtiging bij Mollie in en wissen wij bij ons de verwijzingen naar de klant en de machtiging bij Mollie en de laatste VIES-controle; Mollie bewaart zijn eigen gegevens onder zijn eigen voorwaarden. |
| Supportvragen | Naam en e-mailadres uit het account, de organisatie, het onderwerp, de berichten, de taal en de tijden, in de database van het dashboard. Twee jaar nadat een vraag is gesloten, wissen wij hem automatisch met zijn berichten. Wordt de organisatie opgeheven, dan blijft een vraag staan zonder de koppeling met de organisatie. De mails erover staan ook in onze mailbox bij Google: zolang dat nodig is om de vraag af te handelen en op te volgen, tenzij een wettelijke bewaarplicht langer vraagt. |
| Meldingen | De naam en het e-mailadres van de melder, de melding en ons besluit, in de mailbox van security@ bij Google Workspace: uiterlijk drie jaar nadat de melding is afgehandeld; eens per jaar wissen wij wat ouder is dan twee jaar. |
| Beheerlog | Elke handeling van de beheerder bij EverStamp in het dashboard, en elke mislukte betaalpoging: het tijdstip, het account dat handelde, de handeling, waar het over gaat (een organisatie, een account, een supportvraag, een factuur of een kwartaal) en details, zoals de foutmelding bij een mislukte betaling, het nummer van een creditnota met de reden die erbij is getypt, de reden en de identiteitscheck bij een reset van de tweestapsverificatie, of de reden bij een korting, met het percentage en de einddatum van vóór en na de wijziging. Vrije tekst in een reden of foutmelding kan bij uitzondering een naam bevatten. Alleen de beheerder bij EverStamp ziet het. Regels ouder dan 12 maanden wissen wij automatisch. |
| Nieuws en productnieuws | Wat je onder Nieuws las: je account, de melding en het tijdstip. Je keuze voor productnieuws per e-mail: je account, aan of uit, de afmeldcode en wanneer je hem het laatst wijzigde; geen e-mailadres. Productnieuws staat uit tot je het zelf aanzet, en een afmelding blijft staan tot je het zelf weer aanzet. Per melding leggen wij alleen vast wanneer die is gemaild en aan hoeveel mensen. Dit alles zolang je account bestaat; wordt het account verwijderd, dan gaan je keuze en wat je las mee. |
| Dossiergegevens voor een organisatie | De naam van het dossier, het project, de checklist en de veldwaarden: zolang de organisatie bestaat. Bij opheffen worden ze gewist; de regel met de vingerafdrukken en het volgnummer blijft, zonder naam. Met de videomodule komt daar de telling van video’s en opslag voor de factuur bij; die telling bewaren wij tot zeven jaar na het stempelen, voor de facturen. |
| Je Plus-abonnement | De vingerafdruk, je maandverbruik en je gekochte dossiers. Gekocht tegoed bewaren wij zolang je het nog hebt, ook als je abonnement is gestopt; zonder tegoed verwijderen wij de koppeling 60 dagen na het einde van je abonnement. Het kenmerk van een aankoop blijft staan zolang het register je abonnement of je account bij de winkel nog bijhoudt, en daarna tot zeven jaar na de aankoop, zodat dezelfde aankoop niet twee keer telt. |
| Je gratis dossier en je gekochte dossiers, zonder Plus | Zolang je gekochte dossiers hebt, bewaren wij dit. Heb je die niet meer, dan verwijderen wij het twee jaar nadat je voor het laatst een dossier vastlegde; legde je er nooit een vast, dan twee jaar nadat wij het aanmaakten. Voor het kenmerk van een aankoop geldt wat bij je Plus-abonnement staat. |
| De telling van de eerste start en het advies | Een los bericht bewaren wij niet. Wat blijft, zijn totalen per maand, en per dag het aantal afgeronde eerste starts, zonder kenmerk van jou of je toestel. Die bewaren wij zonder termijn, ook in de back-ups van het register. Deze berichten komen niet in onze toegangslogs. |
| Back-ups | Van het register verdwijnt elke kopie, op de server zelf en versleuteld (met het programma age) bij Cloudflare R2 en de Storage Box van Hetzner, uiterlijk 17 dagen na het maken; het back-upscript controleert die grens zelf. De back-ups van de dashboarddatabase maakt Supabase, volgens de instelling van ons abonnement daar (nu 7 dagen). |
| Toegangslogs en systeemjournaal van de servers | 30 dagen. Per verzoek staan in de toegangslogs onder meer het IP-adres, de browser en het tijdstip. Uit de toegangslogs tellen wij per dag hoe vaak de controlepagina en de deellinkpagina werden geopend, langs welke weg (QR, pdf of link) en door hoeveel verschillende bezoekers, en hoe vaak er werd doorgeklikt naar de site. Verschillende bezoekers onderscheiden wij aan het IP-adres en de browser, alleen tijdens het tellen. Wij bewaren alleen de aantallen, zonder IP-adres, browser, dossier of deellink. De aantallen bewaren wij zonder termijn; ze zeggen niets over een persoon. |
| Paginastatistiek | Vercel bewaart ze volgens de instelling van ons abonnement daar (nu 12 maanden), en kan ze langer bewaren. De vingerafdruk waaraan een bezoeker herkend wordt, gaat na 24 uur weg. |
| Cookies en browseropslag | Alleen op dashboard.everstamp.app, alleen functioneel, gezet door het dashboard zelf, nooit voor tracking: lang (de taal die je koos, een jaar), tz (de tijdzone van je browser, zodat tijden goed staan, een jaar), nav (of het menu open of ingeklapt staat, een jaar) en de inlogcookies van Supabase (sb-…-auth-token, je sessie, die eindigt als je uitlogt, na 8 uur zonder activiteit en na hooguit 7 dagen, volgens de instellingen van ons Supabase-project; het cookie zelf blijft hooguit 400 dagen; tijdens het inloggen ook een …-code-verifier voor de inloglink). In je browser, niet als cookie, onthoudt de inlogpagina ook het e-mailadres dat je het laatst gebruikte (localStorage), alleen om het opnieuw in te vullen als een link verlopen is; het gaat nergens heen en blijft op dat apparaat tot je het wist. Vercel Web Analytics zet geen cookie. Deze website, everstamp.app, zet helemaal geen cookies. Sleep je een dossier, een foto of video’s op het vak op de home, dan zet je browser ze even in zijn eigen opslag op je toestel (IndexedDB), zodat de controlepagina ze kan openen. Die leest ze één keer en wist ze; ze gaan niet naar ons. Klik je weg voordat de controlepagina opent, dan wist de home ze bij je volgende bezoek, of je wist ze zelf met de sitegegevens van je browser. |
| Foutmeldingen van het dashboard | Bij Sentry, volgens de instelling van ons abonnement daar (nu 30 dagen). |
| Crashgegevens en bètafeedback | Ze staan bij Apple, in App Store Connect, en bij Google, in de Play Console, waar wij ze 90 dagen zien; Apple bewaart bètafeedback een jaar. Wij bekijken crashrapporten daar, en in Xcode op onze computer, dat ze bij Apple ophaalt; die kopieën wissen wij bij elke nieuwe versie van de iPhone-app. Wij slaan ze nergens anders op. Feedback bewaren wij niet buiten App Store Connect. |
Je kunt ons vragen om inzage, correctie of verwijdering van je gegevens, om beperking van het gebruik ervan en om overdracht, en je kunt bezwaar maken. Mail naar privacy@everstamp.app. Over je eigen account en over de app zonder organisatie heb je binnen een maand antwoord van ons. Gaat het om gegevens die wij voor een organisatie verwerken, zoals een levering op haar verzoek of een dossier dat zij bij ons bewaart, dan sturen wij je verzoek door naar die organisatie, die het beantwoordt, en laten wij je dat weten.
Bezwaar. Waar wij je gegevens verwerken op grond van ons gerechtvaardigd belang, kun je daar op elk moment bezwaar tegen maken, om redenen die met jouw situatie te maken hebben. Wij stoppen dan, tenzij wij dwingende gronden hebben die zwaarder wegen of de gegevens nodig zijn voor een rechtsvordering. De afweging die wij per verwerking hebben gemaakt, kun je bij ons opvragen.
Twee eerlijke grenzen. Wij hebben bijna niets van je, dus een inzageverzoek levert meestal een toestelkenmerk en een lijst vingerafdrukken op. Ook wissen wij de regels in het openbare logboek niet. Zij zijn nodig zodat het register een dossier ook later kan bevestigen en iedereen kan nagaan dat een periode niet is veranderd, en om er later een rechtsvordering mee te kunnen onderbouwen (artikel 17 lid 3 onder e AVG). Het openbare logboek is verdeeld in periodes, en elke afgesloten periode heeft een eigen tijdstempel. Een gewiste regel zou daarom opvallen: voor iedereen die een kopie van het logboek bijhoudt, klopt de periode dan niet meer met haar tijdstempel. Een dossier uit die periode dat zijn registerbewijs nog moet ophalen, krijgt dan geen kloppend registerbewijs meer. Is het dossier van de gewiste regel een ouder dossier zonder handtekening van het register, dan krijgt het bij de controle ‘onbekend’. Raakt dat jou, mail ons. Wij leggen dan uit wat in jouw geval wel en niet kan.
Wij nemen geen besluiten over je die alleen op geautomatiseerde verwerking berusten, en wij maken geen profielen.
De app is voor wie 16 jaar of ouder is. Locatie vragen wij op grond van je toestemming; wie jonger is dan 16, kan die toestemming niet zelf geven.
Je kunt ook een klacht indienen bij je nationale toezichthouder. In Nederland is dat de Autoriteit Persoonsgegevens.
| Verwerkingsverantwoordelijke | Digital Sandbox B.V. Waalstraat 2 8052 AE Hattem Nederland |
| Privacy en gegevensverzoeken | privacy@everstamp.app |
| Al het andere | info@everstamp.app |
| Beveiliging en misbruik melden | security@everstamp.app |
Verandert deze verklaring, dan werken wij de datum bovenaan bij. Ook de App Store en Google Play verwijzen naar deze pagina; er is geen andere versie.