Privacyverklaring

Wie is verantwoordelijk?

Wetpunt is een eenmanszaak, ingeschreven bij de Kamer van Koophandel onder nummer 91181860. Wetpunt is de verwerkingsverantwoordelijke in de zin van de Algemene verordening gegevensbescherming (AVG).

Voor vragen over deze verklaring of het uitoefenen van je rechten bereik je ons via privacy@wetpunt.nl. We hebben geen functionaris voor gegevensbescherming aangesteld. Dat is voor deze dienst niet wettelijk verplicht.

Welke gegevens verwerken we?

Afhankelijk van hoe je Wetpunt gebruikt verwerken we de volgende categorieën persoonsgegevens:

Accountgegevens: voornaam, achternaam, e‑mailadres, wachtwoord (gehasht), rol en toegekende rechten. Log je in met Google of Microsoft, dan krijgen we van hen je naam, je e‑mailadres en of dat adres is bevestigd.
Lidmaatschap: bij welke instelling je hoort, sinds wanneer, je rol daarbinnen en bij welke groepen je bent ingedeeld.
Tweede inlogstap: een code per mail bij elke keer inloggen met wachtwoord, of een gekoppelde authenticator‑app als je die instelt. Inlogcodes en inloglinks bewaren we gehasht tot ze verlopen (maximaal een kwartier) en ruimen we dagelijks op.
Voorkeuren: doelgroep, favoriete rechtsgebieden en favoriete wet.
Inhoud die je zelf maakt: bewaarde artikelen, markeringen, notities, collecties, antwoorden op oefenvragen, en berichten, reacties en bijlagen in teams en groepen.
Betaalgegevens: bij een abonnement je klantnummer bij Stripe en de status van je abonnement. Je kaart‑ of rekeninggegevens voert je in bij Stripe. Die zien wij niet.
Gebruiksgegevens: zoekopdrachten en recent bekeken artikelen binnen de dienst.
Technische gegevens: IP‑adres, browsertype en tijdstip van verzoeken in onze serverlogboeken en ons auditlogboek.
Communicatie: mails die je ons stuurt en mails die wij je sturen over je account (bevestiging, wachtwoordherstel).

Waarvoor gebruiken we je gegevens en op welke grondslag?

We verwerken gegevens alleen als daar een juridische grondslag voor is onder artikel 6 AVG:

Uitvoering van de overeenkomst (art. 6 lid 1 sub b): je account aanmaken en beheren, je inloggen met een tweede stap (code per mail, authenticator‑app of inloglink), de artikelen die je bewaart en je markeringen opslaan, en je zoekvoorkeuren toepassen.
Gerechtvaardigd belang (art. 6 lid 1 sub f): beveiliging van de dienst, misbruikbestrijding, foutanalyse en het bijhouden van een auditlogboek. Daarnaast tellen we anoniem hoe vaak een pagina wordt bekeken, welke zoektermen bezoekers intypen en hoe vaak een zoekterm niets oplevert. Bij een paginaweergave bewaren we het pad van de pagina, de herkomst als categorie (zoals ‘zoekmachine’) en of het apparaat een telefoon of een computer is. Op de blog bewaren we ook of het verzoek van een mens, een zoekmachine of een AI-agent komt. Daarbij slaan we geen IP-adres, browser of account op. Zoektermen bewaren we maximaal 90 dagen. Ons belang weegt hierbij op tegen je privacybelang omdat we alleen vastleggen wat voor deze doelen nodig is.
Toestemming (art. 6 lid 1 sub a): het plaatsen van niet‑noodzakelijke cookies, waaronder Google Analytics. Je kunt je toestemming op elk moment intrekken via de cookiebanner.
Wettelijke verplichting (art. 6 lid 1 sub c): voldoen aan fiscale en andere bewaarplichten wanneer die op ons van toepassing zijn.

We nemen geen geautomatiseerde besluiten met rechtsgevolgen en passen geen profilering toe.

Als je via een instelling meedoet

Een instelling is een opleiding of werkgever die Wetpunt gebruikt. Als je lid bent van een instelling, ziet die instelling wat je binnen die instelling doet. Dat gaat om je pogingen, scores en beoordelingen op het lesmateriaal dat de instelling zelf heeft gemaakt of overgenomen, met je naam en e‑mailadres erbij.

Daarbuiten ziet de instelling niets. Dat is geen belofte maar een grens in de techniek, en die grens bestaat uit vier delen:

Alleen het materiaal van de instelling zelf. Als je een gewoon scenario uit de Wetpunt‑catalogus oefent, blijft dat resultaat van jou. Dat geldt ook als je lid bent.
Alleen zolang je actief lid bent. Als je lidmaatschap is geschorst of beëindigd, stopt de inzage.
Alleen over de periode van je lidmaatschap. Van vóór je inschrijving en van na je vertrek ziet de instelling niets.
Nooit je persoonlijke gegevens. Je bewaarde artikelen, markeringen, notities, voorkeuren en zoekopdrachten komen in geen enkel overzicht van een instelling voor.

Als je lid bent van meer dan één instelling, staan die instellingen volledig los van elkaar. De ene instelling ziet nooit iets van de andere. Als je een instelling verlaat, blijft je account met alles wat je zelf hebt gemaakt van jou.

Wat de instelling vervolgens met die resultaten doet, bepaalt zij zelf. Daarvoor is zij zelf verwerkingsverantwoordelijke. Vragen daarover stel je aan je opleiding of werkgever. Dat een beheerder de resultaten van een individueel lid opvraagt, leggen we vast in ons auditlogboek. Hetzelfde geldt als een beheerder van Wetpunt de notities van iemand opent.

Als je iemand uitnodigt of uitgenodigd bent

Nodig je iemand uit met je persoonlijke link, dan leggen we vast dat dat account via jou is aangemaakt, en welke punten daaruit voortkomen. Dat is nodig om de punten toe te kennen en misbruik te herkennen (grondslag: uitvoering van de overeenkomst).

De uitnodiger ziet alleen je voornaam en of je account is bevestigd. Je e‑mailadres en wat je op Wetpunt doet, ziet de uitnodiger niet. Andersom zie jij bij het aanmelden alleen de voornaam van degene die je uitnodigde.

De koppeling en het puntenoverzicht bewaren we zolang een van beide accounts bestaat. Als je je account verwijdert, blijft alleen een anonieme regel over, zodat het saldo van de ander klopt.

Welke mails we meten

In een paar mails meten we of je de mail opent, en soms ook op welke links je klikt. Zo zien we welke onderwerpen nuttig zijn en hoe vaak we kunnen mailen (grondslag: gerechtvaardigd belang bij het verbeteren van onze communicatie). Het gaat om deze mails:

Productnieuws, als je dat aanzet: openen en klikken.
De welkomstmail en de drie mails daarna in je eerste week: openen en klikken.
De mail die we sturen als je een tijd niet bent geweest: alleen openen.

In alle andere mails meten we niets. Dat zijn onder meer mails over je account en je beveiliging, overzichten van wetswijzigingen en rechtspraak, uitnodigingen, betalingen, antwoorden op je vragen en de bevestiging van een privacyverzoek.

Als je dit niet wilt, zet deze mails dan uit bij Meldingen in je instellingen, of gebruik de afmeldlink onderaan zo'n mail. Dan stoppen de mail en de meting. Wat we per persoon hebben gemeten, verwijderen we na 13 maanden. Daarna blijven alleen totalen over, die niet naar een persoon te herleiden zijn.

Met wie delen we gegevens?

We verkopen geen gegevens. Wel schakelen we verwerkers in die voor ons gegevens verwerken onder een verwerkersovereenkomst:

Hetzner Online GmbH (Duitsland) host onze server, database, zoekindex en bestandsopslag binnen de Europese Economische Ruimte (EER), en verstuurt onze mails.
Stripe Payments Europe, Ltd. (Ierland) verwerkt betalingen voor abonnementen. Stripe krijgt daarvoor je naam en e‑mailadres, of bij een instelling de naam en het contactadres.
Functional Software, Inc. (Sentry, opslag in de EU) ontvangt foutmeldingen van onze servers, zodat we storingen kunnen oplossen. We sturen daarbij bewust geen persoonsgegevens mee.
Google Ireland Limited levert Google Analytics 4, alleen als je daar toestemming voor geeft.

Sommige partijen krijgen gegevens rechtstreeks van jou, omdat je daar zelf voor kiest:

Google en Microsoft, als je met je account bij hen inlogt.
Je AI‑app, zoals Claude of ChatGPT, als je die aan Wetpunt koppelt. Je kiest zelf of de AI‑app alleen wetten en rechtspraak mag lezen, of ook je eigen notities en collecties. Wat de AI‑app leest, valt daarna onder de voorwaarden van die aanbieder. Je kunt de koppeling altijd intrekken in je account.
OpenStreetMap, als je de kaart bij een APV opent. Je browser haalt de kaart dan bij OpenStreetMap op, waardoor zij je IP‑adres zien.
Meta en LinkedIn, als je reageert op een bericht van Wetpunt op Instagram, Facebook of LinkedIn. We lezen die reacties met je gebruikersnaam in om ze te kunnen beantwoorden.

Daarnaast kunnen we gegevens verstrekken aan bevoegde autoriteiten als we daartoe wettelijk verplicht zijn.

Doorgifte buiten de Europese Economische Ruimte

Opslag en verwerking van je accountgegevens vinden plaats binnen de EER. Een paar verwerkers horen bij een Amerikaans bedrijf: Stripe, Sentry en Google. Zij kunnen gegevens in de Verenigde Staten verwerken. Deze bedrijven zijn gecertificeerd onder het EU‑US Data Privacy Framework, waarmee een passend beschermingsniveau is geregeld. Google Analytics laden we pas als je daar toestemming voor geeft. We sturen Google geen account, geen instelling en geen zoektermen.

Hoe lang bewaren we je gegevens?

Accountgegevens en alles wat je zelf hebt gemaakt: totdat je je account verwijdert. Je kunt dan direct niet meer inloggen, en binnen 30 dagen wissen we je gegevens.
Bewaarde artikelen, markeringen en voorkeuren: totdat je ze zelf verwijdert of je account sluit.
Ingelogd blijven (de cookie refresh_token): maximaal 7 dagen na het laatste gebruik.
Auditlogboek (inlogpogingen, beheeracties, fouten, IP‑adres): 90 dagen. Regels van geslaagde acties bewaren we 21 dagen. Tellingen per dag van hoe vaak je de dienst gebruikte, zonder IP of browser, bewaren we 13 maanden.
Logboek van verstuurde mails bij onze mailleverancier: maximaal 30 dagen.
Facturen en administratie: 7 jaar, op grond van de fiscale bewaarplicht.

Beveiliging

We beveiligen je gegevens met een versleutelde verbinding (HTTPS), gehashte wachtwoorden en een verplichte tweede stap bij inloggen met wachtwoord. Na te veel mislukte inlogpogingen vergrendelen we het account. Wat iemand mag zien hangt af van zijn rol, en de toegang tot onze servers is beperkt. Incidenten waarbij persoonsgegevens betrokken zijn, beoordelen we volgens de meldplicht datalekken.

Je rechten

Onder de AVG heb je recht op inzage, rectificatie, wissing, beperking van de verwerking, dataportabiliteit en bezwaar. Als de verwerking berust op toestemming, kun je die op elk moment intrekken. Dat heeft geen terugwerkende kracht.

Je kunt deze rechten uitoefenen door in te loggen en in je account te kiezen voor Account verwijderen, of door een verzoek te sturen via privacy@wetpunt.nl of het formulier op /privacy-verzoek . We reageren binnen één maand. Om misbruik te voorkomen kunnen we je vragen je identiteit te bevestigen.

Ben je het niet eens met hoe we je gegevens verwerken? Dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

Minimumleeftijd

Wetpunt is bedoeld voor volwassenen. Maak geen account aan als je jonger bent dan 16, tenzij je ouder of voogd daar toestemming voor geeft.

Cookies en vergelijkbare technieken

Wetpunt gebruikt cookies en vergelijkbare opslag voor de werking van de site, voor je sessie en voor keuzes die je zelf maakt, zoals een open filterpaneel. Voor analyse vragen we eerst je toestemming. In onze cookieverklaring lees je de details en je keuzes.

Wijzigingen

We kunnen deze verklaring aanpassen als onze dienst of wetgeving daarom vraagt. De datum bovenaan geeft aan wanneer we de verklaring voor het laatst hebben gewijzigd. Bij ingrijpende wijzigingen laten we je dat weten via de app of per mail.