Privacyverklaring — HCOS

Deze privacyverklaring beschrijft hoe HCOS omgaat met persoonsgegevens. HCOS is een monitor voor wijzigingen in Nederlandse bouwregelgeving. Het overgrote deel van wat HCOS toont en bewaart betreft openbare informatie uit officiële bronnen, geen persoonsdossiers.

1. Wie is verantwoordelijk?

Verwerkingsverantwoordelijke: Bastiaan van Ederen, handelend onder de naam B.essential - creative - strategy - consult (eenmanszaak), gevestigd te Zaandam, Nederland.

2. Contact voor privacyverzoeken

Voor vragen over privacy of het uitoefenen van je rechten:

E-mail: info@b-essential.nl

Stuur privacyverzoeken bij voorkeur vanaf het e-mailadres waarmee je je hebt ingeschreven.

3. Welke gegevens verwerkt HCOS?

3.1 Openbare bouwregelgeving

HCOS verzamelt en structureert informatie uit officiële Nederlandse bronnen over bouwregelgeving, waaronder bronmetadata (zoals URL, titel en uitgever), brontekst, snapshots en gedetecteerde wijzigingen met links naar de officiële publicatie.

Dit is in principe openbare broninformatie, geen doelgerichte verzameling van persoonsgegevens.

Incidentele persoonsgegevens in officiële publicaties: in openbare overheidspublicaties kunnen incidenteel namen of andere identificeerbare gegevens voorkomen. Deze gegevens worden verkregen uit publiek toegankelijke officiële overheidsbronnen en worden normaal gesproken niet rechtstreeks bij de betrokkene verzameld.

3.2 Websitebezoekers

Bij het gebruik van de website kunnen via de hosting technische verbindings- en requestgegevens worden verwerkt, zoals IP-adres, browser- en apparaatinformatie, en tijdstempels van requests.

HCOS verzamelt geen gebruikersaccounts en gebruikt geen analytics-, advertentie- of profileringstools in de website.

3.3 E-mailinschrijving en alert-e-mails

Als je je inschrijft via het homepage-formulier, verzamelt HCOS alleen:

HCOS verzamelt geen naam, bedrijfsnaam of andere contactgegevens via het publieke inschrijfformulier. Het veld `Organisatie` in het formulier is een verborgen spamcontrole (honeypot) en wordt niet als organisatiegegeven opgeslagen.

Als HCOS een geselecteerde alert-e-mail verstuurt, verwerkt HCOS daarnaast gegevens die nodig zijn voor de verzending en bewijsvoering, zoals:

HCOS slaat geen e-mailinhoud of Brevo-webhookpayloads op in de delivery-tabellen. Webhook-events worden beperkt verwerkt met een deduplicatie-fingerprint, eventtype, provider en gekoppelde delivery.

3.4 Privacyverzoeken

Als je contact opneemt over je privacyrechten, verwerken wij je e-mailadres, de inhoud van je verzoek en, indien nodig, gegevens voor identiteitsverificatie.

4. Doeleinden en rechtsgronden

HCOS verwerkt geen bijzondere categorieën van persoonsgegevens doelgericht.

4.1 Gerechtvaardigde belangen

Waar HCOS persoonsgegevens verwerkt op grond van gerechtvaardigd belang, zijn de betreffende belangen:

Website en technische levering

• de website veilig laten opereren, beschermen, onderhouden en technische storingen oplossen.

Ingestie officiële bronnen

• wijzigingen in officiële bouwregelgevingsbronnen monitoren, structureren, kwaliteitscontroleren en presenteren.

HCOS heeft deze belangen afgewogen tegen de privacybelangen van betrokkenen. Daarbij gelden beperkingen zoals dataminimalisatie, korte logretentie, geen profilering en de mogelijkheid om bezwaar te maken (zie §12).

4.2 Geen profilering of automatische besluitvorming met significante gevolgen

HCOS gebruikt geen profilering en neemt geen geautomatiseerde besluiten die rechtsgevolgen hebben of betrokkenen op vergelijkbare wijze in aanmerkelijke mate treffen.

5. E-mailinschrijving, alert-e-mails en toestemming

Je geeft toestemming via een actieve handeling: het aanvinken van de toestemmingscheckbox en het verzenden van het formulier. De toestemmingstekst luidt:

Ik wil per e-mail updates van HCOS ontvangen.

HCOS legt vast wanneer je toestemming gaf en welke versie van de toestemmingstekst en privacyverklaring daarbij gold.

E-mailverzending: HCOS kan geselecteerde bron-gelinkte alert-e-mails versturen aan expliciet geselecteerde ontvangers. Iedere alert verwijst naar de gekoppelde HCOS-wijziging en, waar beschikbaar, naar de officiële bron. De officiële publicatie blijft leidend.

Iedere alert bevat een afmeldlink. De afmeldlink gebruikt een delivery-specifiek token; HCOS bewaart alleen de hash van dat token, niet het ruwe token.

Brevo-webhooks kunnen delivery-statussen terugmelden, zoals `request`, `delivered`, `soft_bounce`, `hard_bounce`, `blocked`, `spam`, `invalid`, `deferred`, `unsubscribed` of `error`. Bij harde bounces, blokkades, spamklachten of ongeldige adressen kan HCOS het abonnee-record op `suppressed` zetten en het genormaliseerde e-mailadres opnemen in een suppressielijst om verdere verzending te voorkomen.

Je kunt je toestemming te allen tijde intrekken (zie §12). HCOS verkoopt je gegevens niet.

6. Cookies en vergelijkbare technologieën

Op basis van de huidige HCOS-website:

• HCOS gebruikt geen analytics- of advertentiecookies en geen vergelijkbare trackingdiensten in de applicatie.
• HCOS heeft geen ingebouwde gebruikersauthenticatie of analytics- of advertentiefuncties.
• Hosting- en platformproviders (zoals Vercel en Supabase) kunnen voor levering, beveiliging en logging eigen technisch noodzakelijke mechanismen gebruiken die door die providers worden beheerd.

HCOS plaatst momenteel geen analytics- of marketingcookies waarvoor toestemming vereist is. Als dit in de toekomst verandert, wordt deze privacyverklaring en, indien wettelijk vereist, de cookietoestemming daarop aangepast.

7. Technische logs

Voor de werking en beveiliging van de website worden technische logs bewaard volgens de ingestelde platformretentie:

Er zijn geen externe Vercel Log Drains ingesteld. HCOS logt bewust geen volledige abonnee-e-mailadressen in applicatie- of infrastructuurlogs.

8. Openbare broninformatie

De Change Feed toont gedetecteerde wijzigingen in officiële Nederlandse bouwregelgeving. De officiële publicatie van de overheid blijft altijd leidend. HCOS biedt informatie, geen juridisch, bouwkundig of vergunningstechnisch advies.

Openbare brondata en persoonsgegevens zijn gescheiden: abonneegegevens zijn niet publiek toegankelijk via de Change Feed.

9. Verwerkers (ontvangers)

HCOS maakt gebruik van de volgende verwerkers:

Met Supabase, Vercel en STRATO zijn verwerkersovereenkomsten of data processing addenda in de interne documentatie vastgelegd. Voor Brevo geldt dat HCOS Brevo gebruikt als e-mailverwerker; contractuele en subprocessorstatus moeten aantoonbaar worden bijgehouden in het interne verwerkingsregister voordat bredere externe pilotverzending plaatsvindt.

HCOS gebruikt geen OpenAI API, betalingsverwerkers, analytics-diensten of gebruikersaccountsystemen.

10. Internationale doorgifte

Supabase slaat productiedata op in de EU-regio Parijs.

STRATO host het privacycontactpostvak in Duitsland (EU).

Vercel is een VS-gebaseerde aanbieder. Internationale doorgifte kan optreden, onder meer bij het verwerken van website-requests en technische logs. De rechtsgrond hiervoor is de toepasselijke Vercel Data Processing Addendum en Standard Contractual Clauses (SCC's), waar van toepassing.

Doorgifte via subprocessors van Supabase, Brevo en STRATO kan niet volledig worden uitgesloten; primaire databaseverwerking vindt plaats binnen de EU.

Meer informatie over waarborgen: je kunt per e-mail aan info@b-essential.nl verzoeken om nadere informatie over, of een kopie van, de toepasselijke doorgifte-waarborgen. HCOS verstrekt deze informatie voor zover mogelijk, met noodzakelijke redacties van vertrouwelijke of beveiligingsgevoelige onderdelen.

11. Bewaartermijnen

12. Jouw rechten

Je hebt onder de AVG onder meer recht op:

• Inzage in je persoonsgegevens;
• Correctie van onjuiste gegevens;
• Verwijdering van je gegevens;
• Intrekking van toestemming (voor e-mailinschrijving);
• Beperking van verwerking, waar van toepassing;
• Dataportabiliteit, waar van toepassing;
• Bezwaar tegen verwerking op grond van gerechtvaardigd belang, waar van toepassing.

Verzoek indienen: stuur een e-mail naar info@b-essential.nl met een duidelijke omschrijving van je verzoek (inzage, intrekking of verwijdering).

Kosten: verzoeken worden kosteloos behandeld, behalve waar de AVG een redelijke vergoeding of weigering toestaat voor kennelijk ongegronde of buitensporige verzoeken.

Identiteitsverificatie: als HCOS redelijke twijfel heeft over de identiteit van de aanvrager, kan aanvullende informatie worden gevraagd. HCOS vraagt normaal gesproken geen volledige kopie van een identiteitsbewijs.

Termijn: HCOS reageert zonder onnodige vertraging. De normale reactietermijn is één maand na ontvangst. Waar de AVG dat toestaat, kan deze termijn met maximaal twee extra maanden worden verlengd. HCOS informeert je dan binnen de eerste maand, met redenen voor de verlenging.

Intrekking: intrekking via de afmeldlink zet je abonnee-status op `unsubscribed` en trekt actieve afmeldtokens in. Als Brevo een hard bounce, blokkade, spamklacht of ongeldig adres meldt, kan HCOS je status op `suppressed` zetten om verdere verzending te voorkomen.

Verwijdering: verwijderingsverzoeken worden behandeld via het privacyverzoeken-runbook. Daarbij beoordeelt HCOS ook welke delivery-, token- of suppressiegegevens nog noodzakelijk zijn voor bewijs, veiligheid, blokkade van ongewenste verzending of wettelijke verplichtingen.

13. Klacht bij de Autoriteit Persoonsgegevens

Als je vindt dat HCOS niet correct met je persoonsgegevens omgaat, kun je een klacht indienen bij de Autoriteit Persoonsgegevens:

• Website: autoriteitpersoonsgegevens.nl
• Post: Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag

14. Beveiliging

HCOS neemt passende technische en organisatorische maatregelen, waaronder:

• toegangsbeperking tot abonneegegevens;
• verwerking van gevoelige backend-taken via beveiligde serveromgevingen;
• dataminimalisatie bij inschrijving (alleen e-mail en toestemmingsmetadata);
• scheiding tussen productie- en testomgeving;
• tweefactorauthenticatie op beheeraccounts bij de gebruikte platforms;
• geen opslag van wachtwoorden of API-sleutels in de codebase.

Geen enkele beveiligingsmaatregel biedt absolute garantie, maar HCOS beperkt risico's door minimalisatie en toegangscontrole.

15. Wijzigingen in deze privacyverklaring

HCOS houdt deze privacyverklaring actueel en publiceert de geldende versie op de website. Bij materiële wijzigingen informeert HCOS gebruikers waar redelijkerwijs mogelijk en passend, bijvoorbeeld via de website of — wanneer e-mailverzending actief is — per e-mail.

De versie en ingangsdatum staan bovenaan dit document.

16. Versie en ingangsdatum

HCOS — Dutch Building Regulation Change Monitor