Hoe we met je gegevens omgaan

1. Wie verantwoordelijk is

The Living Codex BV, ingeschreven bij de Kamer van Koophandel onder nummer 42128727, gevestigd aan de Dominicushof 153, 4133 AM Vianen. De Verborgen Blauwdruk is een handelsnaam van deze vennootschap.

Voor vragen over je gegevens: info@de-verborgen-blauwdruk.nl.

We hebben geen functionaris voor gegevensbescherming. Dat is bij onze omvang en de aard van onze verwerkingen niet verplicht.

---

2. Welke gegevens we verwerken

Als je een account aanmaakt

Gegeven	Waar het staat
Je voornaam	Supabase
Je e-mailadres	Supabase
Je wachtwoord, versleuteld opgeslagen	Supabase
Of je de onderzoeksbrief wilt ontvangen, met het moment waarop je dat aanvinkte	Supabase
Het moment waarop je account is aangemaakt en je laatste keer inloggen	Supabase

Terwijl je het platform gebruikt

Gegeven	Waar het staat
Welke modules je hebt geopend en wanneer voor het laatst	Supabase
Hoe vaak je De Spiegel per dag aanroept — alleen een aantal, geen inhoud	Supabase

Als je lid wordt

Gegeven	Waar het staat
Voor welke periode je hebt betaald — kwartaal of jaar	Supabase
Het betaalde bedrag, de betaalmethode en het moment van betaling	Supabase en Mollie
Tot wanneer je toegang loopt	Supabase

Je rekeningnummer en je betaalgegevens verwerken wij niet. Die gaan rechtstreeks naar Mollie; wij zien alleen de uitkomst. Wij houden zelf ook geen achternaam bij — bij registratie vragen we alleen een voornaam. Komt er ooit een factuur met je volledige naam op (bijvoorbeeld voor de boekhouding), dan komt die naam niet uit ons eigen systeem, want die hebben we niet.

Wat we níet verwerken

Je gesprekken met De Spiegel staan uitsluitend in de browser op je eigen apparaat. Er is geen kopie op onze servers en geen database waar ze in staan. We kunnen ze niet lezen, niet herstellen en niet aan iemand anders geven.

Er is één moment waarop die tekst je apparaat verlaat: wanneer jij De Spiegel om een reflectie vraagt. Dan gaat de tekst van dat verzoek via ons platform naar het taalmodel. Zie onderdeel 4.

We hebben geen trackingpixels, geen advertentienetwerken, geen cookies van derden en geen profielen. We verkopen geen gegevens en we adverteren niet.

Bezoekersstatistieken (Umami)

Voor bezoekersaantallen gebruiken we Umami in plaats van Google Analytics — bewust, omdat Umami is gebouwd om te meten zonder cookies, zonder een blijvend kenmerk op je apparaat en zonder je tussen websites te volgen. Wat we terugzien is geaggregeerd: aantal bezoeken, herkomst, land en apparaattype — niet wie je bent. Zie ons cookiebeleid voor de volledige toelichting.

---

3. Waarvoor we ze gebruiken, en op welke grond

Waarvoor	Welke gegevens	Op welke grond
Je account laten werken en je toegang geven	Voornaam, e-mail, wachtwoord	Uitvoering van de overeenkomst
Onthouden waar je gebleven bent	Voortgang per module	Uitvoering van de overeenkomst
Je Lidmaatschap voor de gekochte periode activeren en de einddatum bijhouden	Betaalgegevens en de gekozen periode (kwartaal/jaar)	Uitvoering van de overeenkomst
Onze administratie voeren	Betaalgegevens	Wettelijke verplichting
De Spiegel laten werken	De tekst van je verzoek	Uitvoering van de overeenkomst, aangevuld met je uitdrukkelijke toestemming voor het geval die tekst bijzondere persoonsgegevens bevat — zie onderdeel 4
Misbruik van De Spiegel voorkomen	De dagteller	Gerechtvaardigd belang: onze kosten beheersbaar houden en het platform beschikbaar houden voor iedereen
Je de onderzoeksbrief sturen	E-mailadres	Je toestemming, die je op elk moment kunt intrekken
Systeemmail sturen: bevestiging, wachtwoordherstel	E-mailadres	Uitvoering van de overeenkomst
Bezoekersstatistieken bijhouden (Umami)	Geen persoonsgegevens, mits juist geconfigureerd	Gerechtvaardigd belang, voor zover er toch gegevens worden verwerkt: de site laten werken en verbeteren zonder individuele bezoekers te volgen

De tekst van je verzoek aan De Spiegel kan bijzondere persoonsgegevens bevatten — gedachten over gezondheid, geloof, seksualiteit, psychische toestand. Voor dat soort gegevens is "uitvoering van de overeenkomst" niet vanzelfsprekend de juiste grondslag. Daarom vragen we, vóórdat je voor het eerst een antwoord aan De Spiegel verstuurt, expliciet toestemming: een scherm met uitleg en een aan te vinken vakje, dat pas een "Doorgaan"-knop vrijgeeft zodra je het hebt aangevinkt. Die toestemming wordt onthouden op je eigen apparaat (net als je gesprekken met De Spiegel) en hoeft daarna niet opnieuw.

---

4. De Spiegel, in detail

Waar je tekst staat. Alles wat je met De Spiegel bespreekt, wordt opgeslagen in de browser op je eigen apparaat. Andere websites kunnen er niet bij. Wij ook niet.

Wanneer je tekst je apparaat verlaat. Alleen op het moment dat jij om een reflectie vraagt. Dan gaat de tekst van die beurt — je notitie of je antwoord, plus het lopende gesprek — via onze server naar het taalmodel van Anthropic, dat er een reflectie op teruggeeft. Die reflectie komt terug naar je browser en wordt daar opgeslagen. Onze server bewaart onderweg niets.

Wat er niet gebeurt. Er is geen achtergrondsynchronisatie. Er wordt niets "alvast geanalyseerd". Wij loggen de inhoud van je verzoeken niet: onze foutmeldingen bevatten een statuscode en een foutomschrijving, geen tekst van jou. Er wordt geen profiel van je opgebouwd.

Wat Anthropic ermee doet. Anthropic verwerkt je tekst om de reflectie te genereren en gebruikt gegevens uit de API niet om modellen te trainen. De bewaartermijn voor API-verkeer staat op onze organisatie op dertig dagen. Anthropic verwerkt deels buiten de Europese Economische Ruimte; zie onderdeel 6.

Hoe lang je tekst op je apparaat blijft. Gesprekken met De Spiegel binnen een les worden gewist zodra je die les weer opent en ze ouder dan dertig dagen blijken.

Waar je zelf op moet letten. Omdat je tekst alleen op je apparaat staat, ben je hem kwijt als je browseropslag wordt gewist. Dat kan gebeuren als je een nieuw apparaat neemt, je browsergegevens opruimt, of als je apparaat dat zelf doet. Wij kunnen er niets van terughalen. Gebruik de exportknop in een module zodra je die hebt afgerond.

---

5. Met wie we gegevens delen

We verkopen geen gegevens. We delen ze alleen met partijen die nodig zijn om het platform te laten werken.

Partij	Waarvoor	Wat zij zien
Supabase	Accounts en database	Je accountgegevens, voortgang en toegangsstatus
Netlify	Hosting en serverfuncties	Technische gegevens van je bezoek, waaronder je IP-adres, en het kenmerk van je account
Anthropic	De Spiegel	De tekst van een reflectieverzoek, op het moment dat je erom vraagt
Mollie	Betalingen	Vanuit ons platform: het bedrag, een omschrijving en een intern account-ID — geen naam, geen e-mailadres. Mollie ontvangt daarnaast, rechtstreeks van je bank of kaart tijdens het betalen, de gegevens die daarvoor nodig zijn — waaronder je volledige naam zoals je bank die kent, niet alleen je voornaam. Dat loopt buiten ons systeem om: wij houden zelf nooit meer dan je voornaam bij.
ZeptoMail (Zoho)	Systeemmail	Je e-mailadres en de inhoud van die berichten
Onze boekhouder	Administratie en aangifte	Je voornaam, e-mailadres en betaalgegevens
Umami	Bezoekersstatistieken	Geaggregeerde bezoekcijfers — geen cookie en, voor zover wij hebben kunnen nagaan, geen individueel kenmerk

Daarnaast worden bij het laden van onze pagina's programmabibliotheken opgehaald bij esm.sh en — op de Spiegel-pagina — unpkg. Daarbij gaat je IP-adres naar die partijen. De lettertypen staan op onze eigen server; daarvoor gaat er niets naar buiten.

Met elke partij die gegevens voor ons verwerkt, sluiten we een verwerkersovereenkomst — dat ronden we vóór livegang af.

---

6. Doorgifte buiten de Europese Unie

Anthropic verwerkt gegevens deels buiten de Europese Economische Ruimte. Dat is toegestaan wanneer er passende waarborgen zijn; die zijn vastgelegd in de verwerkersovereenkomst met standaardcontractbepalingen die de Europese Commissie daarvoor heeft vastgesteld.

Supabase, waar we accounts en de database mee draaien, is een vennootschap gevestigd in Singapore (Supabase Pte. Ltd.). Ook voor die doorgifte gelden passende waarborgen: in Supabase's verwerkersovereenkomst (Data Processing Addendum, versie 1, 1 augustus 2026) zijn de Europese standaardcontractbepalingen van de Europese Commissie opgenomen, die automatisch van toepassing zijn zodra je hun diensten gebruikt — daar hoeft niets apart voor ondertekend te worden. Los van die waarborg, en dus als extra geruststelling: het Supabase-project zelf draait fysiek in de EU (AWS, regio eu-west-1, Ierland, bevestigd via het Supabase-dashboard).

Netlify, waar het platform op draait, is een Amerikaans bedrijf. Hun infrastructuur — waaronder de servers die de technische gegevens van je bezoek verwerken (zie onderdeel 5) — is wereldwijd verspreid en niet uitsluitend Europees; Netlify zelf geeft aan aan de AVG te voldoen via het EU-VS Data Privacy Framework en standaardcontractbepalingen. Deze doorgifte is daarmee vergelijkbaar met die naar Anthropic. We hebben dit nog niet woordelijk geverifieerd tegen Netlify's eigen verwerkersovereenkomst, op de manier waarop dat voor Supabase wél is gedaan. In welke regio Netlify's functions en logs precies draaien, staat evenmin vast: dat is niet expliciet ingesteld en niet in hun dashboard terug te vinden.

Anthropic verwerkt via het commerciële account van The Living Codex BV. Anthropics standaard commerciële voorwaarden nemen de Europese standaardcontractbepalingen op, dus die waarborg geldt ook voor deze doorgifte. De onderliggende DPA-tekst van Anthropic is daarbij nog niet woordelijk nagelopen zoals bij Supabase wél is gebeurd — deze aanname is gebaseerd op hun gepubliceerde beleid, niet op een letterlijke lezing van hún DPA.

Umami Cloud draait voor onze installatie vanuit de Europese Unie — bij het aanmaken van het account is bewust voor de EU-dataregio gekozen, in plaats van Umami's Amerikaanse standaardregio. Er is dus geen doorgifte van gegevens buiten de EER aan de orde. Of Umami in onze installatie ook daadwerkelijk geen cookies en geen persoonsgegevens verzamelt, zoals de aanbieder zelf stelt, staat nog los daarvan — dat is op 17-08-2026 met een controle in de browser bevestigd op de homepage; zie de paragraaf hierover in ons cookiebeleid.

---

7. Hoe lang we gegevens bewaren

Gegeven	Hoe lang
Je accountgegevens	Zolang je account bestaat
Je voortgang	Zolang je account bestaat
De dagteller van De Spiegel	Negentig dagen
Je betaalgegevens in onze boekhouding	Zeven jaar, vanwege de fiscale bewaarplicht
Je gegevens bij Mollie	Volgens de bewaartermijnen van Mollie
Je gesprekken met De Spiegel	Die bewaren wij niet — zie onderdeel 4
Umami-statistieken	Geaggregeerd en niet aan jou te herleiden — zie ons cookiebeleid voor de bewaartermijn bij Umami zelf
Je IP-adres in Netlify's technische logs	Nog niet vastgesteld
Je e-mailadres als je je alleen voor de wachtlijst hebt aangemeld (nog geen account)	Nog niet vastgesteld

Verwijder je je account, dan verwijderen we alles wat we in onze eigen database van je hebben: je accountgegevens, je voortgang, je toegangsstatus en de dagteller. Wat er blijft staan is de administratie van je betalingen bij Mollie en in onze boekhouding: die valt onder een wettelijke bewaarplicht en mogen we niet weggooien.

---

8. Hoe we je gegevens beveiligen

Je wachtwoord slaan we niet op als tekst maar versleuteld. Al het verkeer met het platform gaat over een beveiligde verbinding. In de database geldt dat je alleen je eigen gegevens kunt opvragen; schrijven gebeurt uitsluitend vanaf onze server, met sleutels die nooit in je browser terechtkomen. De sleutel waarmee De Spiegel werkt, blijft op onze server.

En de belangrijkste maatregel is er een die we niet hebben hoeven nemen: wat je schrijft staat niet bij ons, dus het kan bij ons ook niet weglekken.

---

9. Wat je met je gegevens kunt

Je hebt het recht om:

• in te zien welke gegevens we van je hebben;
• ze te laten corrigeren als ze niet kloppen;
• ze te laten verwijderen — dat kun je zelf, via je accountpagina;
• de verwerking te laten beperken of er bezwaar tegen te maken;
• je gegevens mee te nemen in een gangbaar bestandsformaat;
• je toestemming in te trekken, bijvoorbeeld voor de onderzoeksbrief. Dat heeft geen gevolgen voor wat er daarvoor gebeurde.

Een gesprek met De Spiegel binnen een module kun je downloaden zodra je die module hebt afgerond. Wij hoeven daar niet aan te pas te komen — we kunnen er ook niet bij.

Wil je een van deze rechten gebruiken, stuur dan een e-mail naar info@de-verborgen-blauwdruk.nl. We reageren binnen een maand.

Ben je het oneens met hoe we met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens. Woon je in een ander EU-land, dan kun je in plaats daarvan ook terecht bij de toezichthouder in jouw eigen land.

---

10. Cookies en opslag op je apparaat

Wat er op je apparaat wordt opgeslagen, staat in ons cookiebeleid. Kort samengevat: één cookie om je ingelogd te houden, en de opslag waarin je eigen notities en gesprekken staan. Er zijn geen cookies van derden en er is niets dat je volgt.

---

11. Als je je aanmeldt voor de wachtlijst

Op dit domein (de-verborgen-blauwdruk.nl) kun je je met je e-mailadres aanmelden voor de wachtlijst. Dat gaat via een formulier dat door Netlify wordt verwerkt.

Waarvoor	Welke gegevens	Op welke grond
Je laten weten wanneer De Verborgen Blauwdruk opengaat	Je e-mailadres	Je toestemming — je geeft je adres zelf op, met dat ene doel

We gebruiken je e-mailadres uitsluitend om je te laten weten wanneer we opengaan — voor niets anders. Afmelden of je gegevens laten verwijderen kan altijd; zie onze contactgegevens.

Voor de aankondiging zelf is het voornemen om een gerichte mailinglijst-dienst (Zoho Campaigns) te gebruiken. Zodra dat zo is, komt die partij bij als verwerker en sluiten we daarvoor een verwerkersovereenkomst — op dit moment is dat nog niet actief.

Of Netlify voor spamdetectie op dit formulier iets op je apparaat plaatst, is nog niet met zekerheid vastgesteld — zie ons cookiebeleid.

---

12. Wijzigingen in deze verklaring

We kunnen deze verklaring aanpassen. De versie en de datum staan bovenaan. Verandert er iets wezenlijks aan hoe we met je gegevens omgaan, dan laten we dat weten per e-mail.

---

13. Contact

Voor alle vragen, verzoeken en klachten over je gegevens: info@de-verborgen-blauwdruk.nl.

Je kunt ook altijd een klacht indienen bij de Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag.