Privacyverklaring

Wat er met je adres gebeurt

Vul je een adres in, dan zoekt je eigen browser het op bij PDOK, de publieke datavoorziening van de Nederlandse overheid, en het bijbehorende perceel bij het Kadaster. Daarna zet je browser het perceelnummer en het adres in de link van je ontwerp en opent die link. Onze server zoekt niets op en bewaart je adres niet: er is geen database en geen account.

Omdat je browser deze diensten zelf benadert, zien PDOK en het Kadaster je IP-adres en het adres dat je zoekt. Voor de schaduw haalt je browser ook gebouwhoogtes op bij 3DBAG, een dataset van de TU Delft en 3DGI. Die aanvraag bevat je IP-adres en een vierkant van 200 tot 400 meter breed rond het midden van je perceel. Wat deze partijen zelf vastleggen, valt onder hun eigen voorwaarden.

Die link is daarna het enige wat je ontwerp opent, en hij bevat je adres in leesbare vorm. Iedereen die de link heeft, kan je adres eruit lezen en je perceel bekijken. Je tekening zelf staat alleen in jouw browser en zit niet in de link.

Elke keer dat je het ontwerp opent, vraagt je browser die link bij onze server op. Onze hostingpartij Cloudflare bewaart van 1 procent van alle verzoeken een logregel. Daarin staan het adres van de pagina, en dus soms de link met je adres erin, je IP-adres, je browser en de geschatte locatie die Cloudflare uit je IP-adres afleidt. Cloudflare bewaart die logregels 7 dagen, de termijn van het betaalde Workers-abonnement dat we gebruiken.

De grondslag voor deze opzoeking is dat ze nodig is om de dienst te leveren die je zelf vraagt, artikel 6, lid 1, onder b, van de AVG. Of dat de juiste grondslag is voor een gratis dienst zonder account, leggen we aan een jurist voor.

Wat we meten, en met welke toestemming

Geef je toestemming voor analyse, dan meten we twee soorten dingen. Ten eerste dertien gebeurtenissen die we zelf hebben ingebouwd: dat je de startpagina opent, dat je een adres invult, dat je perceel is geladen, dat het laden is mislukt, dat je iets aan je ontwerp wijzigt, dat je exporteert, dat je je ontwerp als afbeelding deelt, dat het maken van je plan-PDF mislukte, dat je een onderdeel gebruikt waarmee je alleen kijkt (zoals de zon op een ander uur, de luchtfoto of de opmeting), dat je je tuinen opslaat als bestand, dat je zo’n bestand opent, dat het laden van de gebouwhoogtes mislukte of te lang duurde, en dat je feedback hebt verstuurd. Bij elk daarvan slaan we een paar technische kenmerken op, bijvoorbeeld hoeveel gebouwen er in beeld staan, waarom het laden misging, welk exportformaat je koos, of je een gedeelde afbeelding via het deelmenu verstuurde of downloadde, bij welke stap je plan-PDF niet lukte, hoe lang het laden van de gebouwhoogtes duurde voor het misging of hoeveel tuinen er in een bestand zitten. Bij een wijziging in je ontwerp is dat het soort ding dat je wijzigde (een boom, een heester, een lamp, een verharding), of je het toevoegde, veranderde of weghaalde, en of je dat zelf deed of je eigen AI. Welke plant het is, hoe je iets hebt genoemd, hoe groot het is en waar het staat, gaat niet mee. Van je feedback gaat alleen mee dat je hem hebt verstuurd, niet wat erin staat.

Ten tweede legt PostHog zelf vast welke pagina's je bekijkt en wanneer je een pagina verlaat. Klikken en formulieren legt PostHog niet vast: dat staat uit. De tekst van de knop die je aanklikt en de opbouw van de pagina gaan dus niet mee.

Je adres, je postcode en de link naar je ontwerp gaan nooit mee. Die link bevat je adres, dus hij wordt onherkenbaar gemaakt vóórdat een gebeurtenis je browser verlaat. Hetzelfde gebeurt met de paginatitel, want in de ontwerptool is die titel je adres.

De verwerking gebeurt bij PostHog in de EU. PostHog bewaart je IP-adres niet bij de gebeurtenis. Wel leidt PostHog er vóór het weggooien een geschatte locatie uit af en bewaart die bij elke gebeurtenis: je plaats, de cijfers van je postcode en een coördinaat met een onzekerheidsmarge. Dat is een instelling in ons PostHog-project. Bij foutmeldingen die we zonder je toestemming ontvangen, gebeurt dit niet met jouw IP-adres.

Heb je geen toestemming gegeven en sturen we alleen een foutmelding, dan rekent PostHog uit je IP-adres, je browserkenmerken, de naam van de site en een geheime dagwaarde een code uit waarmee losse meldingen van dezelfde dag bij elkaar horen. De dagwaarde verandert elke dag en wordt daarna gewist, dus de code van vandaag is morgen een andere. Die code staat niet op je apparaat en wij kunnen er zelf geen naam of e-mailadres aan koppelen. Of deze manier van werken onder de Nederlandse cookieregels toestemming vereist, leggen we vóór de lancering aan een jurist voor.

Wat een sessieopname laat zien

Geef je toestemming voor sessieopnames, dan nemen we je scherm op als video: je muisbewegingen, je klikken, de ontwerptekening zelf en wat de app naar de browserconsole schrijft. Daar hoort de omtrek van jouw perceel bij, en de vorm van je huis en je tuin.

In de tekening en in de balk bovenin is je adres afgeschermd. De omtrek van je perceel niet, want dat ís de tekening. Daarom is dit een aparte keuze: een opname laat veel meer zien dan een telling.

We kijken opnames terug om te zien waar de tool misgaat. Sessieopnames werken alleen samen met analyse: zet je analyse uit, dan gaan de opnames ook uit.

Op welke grondslag we dit doen

Voor de analyse en de sessieopnames is de grondslag je toestemming, artikel 6, lid 1, onder a, van de AVG. Geef je die niet, dan gebeurt het niet, en je kunt hem op elk moment intrekken.

Voor de foutmeldingen die we ook zonder toestemming ontvangen, is de grondslag ons gerechtvaardigd belang, artikel 6, lid 1, onder f: zonder die meldingen kunnen we een storing niet vinden en repareren. De afweging die daarbij hoort is opgeschreven en wordt vóór de lancering aan een jurist voorgelegd.

Je tekening staat op je eigen apparaat en wij ontvangen er geen kopie van, tenzij je je ontwerp zelf meestuurt met feedback. Heb je analyse toegestaan, dan ontvangen we wel wat voor soort ding je wijzigde, bijvoorbeeld een boom of een lamp, en niet welke plant het is of waar die staat (zie ‘Wat we meten’ hierboven). Je adres ontvangen we alleen als deel van de link van je ontwerp, telkens als je browser die opvraagt; het opzoeken doet je browser zelf. Dat je tekening zonder je toestemming op je apparaat mag worden gezet, komt doordat het de dienst is die je zelf hebt gevraagd: het is de tekening waar je op dat moment aan werkt.

Voor het inlogscherm, voor de logregels van de AI-koppeling en voor de tellingen per IP-adres beroepen we ons op ons gerechtvaardigd belang, artikel 6, lid 1, onder f: de testversie dicht houden voor wie we niet hebben uitgenodigd, storingen in de koppeling vinden en het raden van koppelcodes tegengaan. Ook die keuze leggen we aan een jurist voor.

Wat er gebeurt als je weigert

Kies je “Alleen noodzakelijk”, dan meten we je bezoek niet. Er wordt geen PostHog-cookie gezet, je krijgt geen nummer mee waarmee we je zouden kunnen herkennen, en er wordt geen opname gemaakt. Wel praat je browser bij elk bezoek, ook vóórdat je iets kiest, met PostHog op één plek: groei.tuinontwerp.app, een adres van ons dat PostHog beheert. Daar haalt hij twee scriptbestanden op: de instellingen van ons PostHog-project, en het onderdeel dat een crash kan doorgeven. Daarbij gaat geen gebeurtenis, geen klik en geen paginabezoek naar PostHog en wordt niets op je apparaat gezet, maar PostHog ziet je IP-adres en je browserkenmerken (de User-Agent-regel), zoals elke server die ziet van een browser die er iets ophaalt. Zonder het crash-bestand kunnen we een crash niet ontvangen, ook niet van iemand die analyse weigert; het instellingenbestand bepaalt wat er wel en niet gemeten mag worden. Daarom rekenen we ze tot wat nodig is om de site te laten werken.

Eén ding blijft wel: crasht de app, dan ontvangen we die foutmelding. Daarin staat de foutmelding zelf, de plek in de code waar het misging, de pagina waarop je was, en technische kenmerken van je browser: het type en de versie van je browser en je besturingssysteem, je schermgrootte, je taal en je tijdzone. De link naar je ontwerp en de paginatitel bevatten je adres; die worden onherkenbaar gemaakt voordat de melding verstuurd wordt. Er gaat geen cookie mee, maar PostHog rekent er wel de dagcode uit die hierboven bij ‘Wat we meten’ staat. Gaat er iets mis op onze server, dan sturen we daar ook een foutmelding vandaan; die bevat de pagina (onherkenbaar gemaakt) en niets over je browser of je IP-adres. We doen dit omdat we een storing anders niet kunnen vinden en repareren, en we baseren ons daarbij op ons gerechtvaardigd belang om de app werkend te houden.

Wil je ook geen foutmeldingen versturen, mail dan privacy@tuinontwerp.app. Er zit op dit moment geen knop in de app om dit los uit te zetten. De meldingen vanuit je browser kun je zelf tegenhouden door verkeer naar groei.tuinontwerp.app te blokkeren; de meldingen vanaf onze server houd je daarmee niet tegen.

Hoe lang het bewaard blijft

PostHog bewaart sessieopnames 30 dagen. Gebeurtenissen en foutmeldingen bewaart PostHog 1 jaar, met de geschatte locatie die erbij staat. De logregels van Cloudflare staan hierboven bij ‘Wat er met je adres gebeurt’ en ‘Je eigen AI en het doorgeefluik’, de inlogregistratie bij ‘Inloggen op de ontwerptool’.

Dit zijn de termijnen van het gratis abonnement dat we nu gebruiken. Stappen we over op een ander abonnement, dan passen we deze tekst aan.

Wat er op je eigen apparaat staat

Je ontwerpen staan in je eigen browser, niet bij ons. Daarin zit je adres en de omtrek van je perceel. Er is geen kopie op onze servers en wij kunnen er niet bij. De enige uitzondering is een ontwerp dat je zelf meestuurt met feedback: dat staat dan in onze mailbox.

Wat er precies wordt opgeslagen, hoe lang het blijft staan en hoe je het wist, staat in het cookiebeleid.

Inloggen op de ontwerptool

De ontwerptool is nog alleen open voor mensen die we hebben uitgenodigd. Daarom zit er een inlogscherm voor, van Cloudflare Access: je vult je e-mailadres in, Cloudflare mailt je een eenmalige code, en met die code kom je binnen. Dat is geen account: we bewaren geen ontwerp en geen profiel onder je e-mailadres.

Cloudflare Access legt elke inlogpoging vast, met je e-mailadres, je IP-adres, je land, het tijdstip en of je binnenkwam. Die registratie blijft 24 uur bewaard op het gratis abonnement dat we gebruiken. Daarnaast houdt Access een lijst bij van wie er heeft ingelogd, met het e-mailadres en het tijdstip van de laatste keer, tot we die persoon eruit halen.

Je eigen AI en het doorgeefluik

Je kunt je eigen AI-app, bijvoorbeeld Claude, laten werken aan het ontwerp dat in je browser openstaat. Je vraagt daarvoor in de ontwerptool een koppelcode aan en geeft die aan je AI. Je AI-app logt nergens in en geeft ons geen naam of e-mailadres. Met de code krijgt hij van onze server een sleutel voor dat ene ontwerp. Die sleutel werkt niet meer zodra je ontkoppelt, je tabblad sluit of herlaadt, je AI 30 minuten niets vraagt, na 8 uur, of als wij de koppeling beëindigen. Heb je analyse toegestaan, dan meten we bij een wijziging in je ontwerp dat je AI die deed en niet jijzelf (zie ‘Wat we meten’).

Pas als je op ‘Code aanvragen’ drukt, maakt je tabblad verbinding met een doorgeefluik op onze server, zodat je AI het ontwerp kan bereiken. Dat doorgeefluik is een Cloudflare Durable Object voor die ene koppeling, en het hoort niet bij een account of een e-mailadres. Zolang de ontwerptool achter het inlogscherm staat, controleert onze server bij die verbinding je login (zie ‘Inloggen op de ontwerptool’), maar je e-mailadres bewaart hij niet.

Het doorgeefluik geeft verzoeken en antwoorden door en slaat geen ontwerp op. Zolang de koppeling loopt, onthoudt het de koppelcode, een willekeurig nummer van je tabblad, het kenmerk van het ontwerp, het adres, het versienummer en het tijdstip van koppelen en van het laatste verzoek. Het IP-adres van je tabblad houdt het alleen vast tot je tabblad zich heeft gemeld, een paar seconden na het verbinden. Het telt hoeveel verzoeken je AI dit uur heeft gedaan, want het laat er hoogstens 300 per uur door. Stopt de koppeling, dan bewaart het nog 8 uur alleen dat ze gestopt is en waarom, zodat je AI dat te horen krijgt; daarna is alles weg. Om het raden van codes tegen te gaan, telt onze server per IP-adres (bij IPv6 per blok van je aansluiting) hoeveel codes er dit uur zijn aangevraagd en hoeveel foute codes er zijn geprobeerd. Die tellingen verdwijnen als het uur om is. We hebben het doorgeefluik niet aan de EU vastgelegd, dus Cloudflare kan het in een datacenter buiten de EU draaien.

Van elk verzoek van je AI en elke verbinding van je tabblad schrijft onze server één logregel. Zo’n regel bevat het tijdstip, het soort verzoek, de naam van het hulpmiddel dat je AI gebruikte, het resultaat, hoe lang het duurde en een korte code die bij de koppeling hoort. Je IP-adres, je locatie, je browser, je e-mailadres, de koppelcode en je ontwerp staan er niet in. Cloudflare bewaart deze regels 7 dagen, de termijn van het betaalde Workers-abonnement dat we gebruiken. Cloudflares eigen registratie van elk verzoek, met je IP-adres en een geschatte locatie, staat voor de AI-koppeling uit.

Je AI-aanbieder, bijvoorbeeld Anthropic voor Claude, ontvangt wat je AI leest uit het ontwerp dat je opent: het adres, het perceel, de gebouwen en wat je hebt geplaatst. Dat gebeurt op jouw opdracht, via je eigen account bij die aanbieder, en valt onder diens voorwaarden. Wie daarvoor onder de AVG verantwoordelijk is, leggen we aan een jurist voor.

De wachtlijst

Wil je op de wachtlijst, dan open je een aanmeldformulier. Dat kan met de knop ‘Wachtlijst’ in de menubalk, met de knop onderaan de startpagina, of door op de startpagina een adres in te vullen zolang de ontwerptool nog niet open is. Het formulier is een ingesloten pagina van Tally, een Belgisch bedrijf. Je browser haalt het pas op als je het opent; bij een gewoon bezoek maakt de site geen verbinding met Tally. Open je het wel, dan ziet Tally je IP-adres. Tally laadt in dat kader ook eigen scripts: bij onze meting op 22 september 2026 maakte de formulierpagina verbinding met Sentry in de Verenigde Staten. Dat valt buiten onze cookiemelding; het is een open punt voor de lancering.

Vul je het formulier in, dan ontvangen wij via Tally je e-mailadres, of je je aanmeldt voor je eigen tuin of voor je werk, en de naam waarmee we je mogen aanspreken als je die invult. We gebruiken dat om je te mailen zodra de app beschikbaar is en om je daarna een korte vragenlijst over je tuinplannen te sturen.

De grondslag is je toestemming: je stuurt het formulier zelf in. Je kunt je op elk moment afmelden door te mailen naar privacy@tuinontwerp.app; dan verwijderen we je gegevens uit de wachtlijst. Hoe lang we de wachtlijst bewaren als je je niet afmeldt, is nog niet vastgelegd; dat wordt vóór de lancering toegevoegd.

Feedback die je ons stuurt

In de ontwerptool kun je ons via Instellingen een bericht sturen. We ontvangen dan je bericht en het soort (idee, probleem of vraag), je e-mailadres als je dat invult, je taal, de afmetingen van je scherm, het type en de versie van je browser, de link van de pagina en een paar standen van de tool, zoals de laag die openstaat en of de zon aanstaat.

Laat je het vinkje bij ‘Stuur mijn ontwerp en een afbeelding van het plan mee’ aan staan, dan gaat ook je ontwerp mee, met je adres en de omtrek van je perceel, en een afbeelding van de tekening zoals die op je scherm staat. Dit is het enige moment waarop je ontwerp je apparaat verlaat. Zet je het vinkje uit, dan gaan het ontwerp, de afbeelding en het deel van de link waarin je adres staat niet mee.

Je browser stuurt het bericht naar onze server bij Cloudflare. Die bewaart het niet: hij zet het om in een e-mail aan onze eigen mailbox bij Zoho, in de EU. Om misbruik tegen te gaan telt Cloudflare per IP-adres hoeveel berichten er per minuut binnenkomen; die telling vervalt na een minuut. Bewaart Cloudflare van het verzoek een logregel, zie ‘Wat er met je adres gebeurt’, dan staat daar van je bericht alleen het soort bij en of het versturen lukte, niet de tekst en niet je e-mailadres.

We lezen je bericht om de tool te verbeteren, en we antwoorden per gewone e-mail als je een e-mailadres hebt ingevuld. De grondslag is je toestemming, artikel 6, lid 1, onder a, van de AVG: je stuurt het bericht zelf in. Of dat de juiste grondslag is, en of het vinkje voor het ontwerp daarbij vooraf aan mag staan, leggen we aan een jurist voor.

Het bericht blijft in onze mailbox staan. Een bewaartermijn is nog niet vastgelegd; dat wordt vóór de lancering toegevoegd. Wil je dat we je bericht verwijderen, mail dan privacy@tuinontwerp.app.

Lukt het versturen niet, dan biedt het formulier aan je tekst met je eigen e-mailprogramma te sturen, naar hello@tuinontwerp.app. Dan gaat alleen je tekst mee, via je eigen e-mailaanbieder.

Je rechten en klachten

Je hebt recht op inzage, correctie, verwijdering, beperking, overdracht en bezwaar. Hier geldt daarbij iets bijzonders: we hebben geen account van je en geen kopie van je ontwerp, dus er is bij ons niets op te vragen dat aan jouw naam of e-mailadres hangt, behalve de feedback die je ons zelf hebt gestuurd. De gebeurtenissen die we meten hangen aan een willekeurig nummer in je eigen browser, niet aan je naam of je e-mailadres. Wis je de PostHog-cookie, dan kunnen we ze daarna niet meer aan jou koppelen.

Wil je toch een verzoek doen, of je toestemming intrekken, mail dan privacy@tuinontwerp.app. Je toestemming trek je het snelst zelf in, via de knop Cookie-instellingen onderaan elke pagina.

Ben je het oneens met hoe we met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens (opent in een nieuw tabblad).

Wat hier nog niet staat

Deze verklaring is nog niet compleet. Vóór de openbare lancering komen hier de bedrijfsgegevens van de verwerkingsverantwoordelijke bij, en de onderdelen over accounts en betaalde functies zodra die er zijn.

De app kent op dit moment geen accounts en geen betalingen. Het inlogscherm van de ontwerptool staat hierboven beschreven.

De partijen die namens ons gegevens verwerken, staan op de pagina met subverwerkers.