Privacybeleid

Laatst bijgewerkt: 20 maart 2026

1. Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens via oppatt.io is:

Implica BV
Nieuwe Ebbingestraat 129
9714 AM Groningen
Nederland

KvK-nummer: 92681875
BTW-nummer: NL866139035B01
E-mail: [email protected]

2. Welke gegevens verzamelen wij?

Hieronder staat per categorie welke gegevens wij verzamelen, het doel en de bewaartermijn.

2.1 Accountgegevens

Gegeven	Doel	Bewaartermijn
Voornaam en achternaam	Identificatie en personalisatie van je account	Zolang je account actief is + 12 maanden na verwijdering
E-mailadres	Inloggen, e-mailverificatie, wachtwoord-reset, service-berichten	Zolang je account actief is + 12 maanden na verwijdering
Wachtwoord	Authenticatie - wordt versleuteld opgeslagen (bcrypt)	Zolang je account actief is
Geboortedatum (optioneel)	Leeftijdsverificatie	Zolang je account actief is
Land (optioneel)	Regionale dienstverlening	Zolang je account actief is
Taalvoorkeur	Platform weergeven in je voorkeurstaal	Zolang je account actief is
Profielfoto (optioneel)	Personalisatie van je profiel	Zolang je account actief is

2.2 Social login-gegevens

Als je inlogt via Google of Facebook, ontvangen wij de gegevens die je met die dienst deelt:

Gegeven	Doel	Bewaartermijn
Naam en e-mailadres (van provider)	Account aanmaken of koppelen	Zolang de koppeling actief is
Profielfoto (van provider)	Profielfoto instellen	Zolang de koppeling actief is
Provider-ID	Unieke koppeling tussen jouw account en de inlogdienst	Zolang de koppeling actief is

Je kunt social logins op elk moment ontkoppelen via je profielpagina.

2.3 Deelname aan speurtochten (spelers)

Gegeven	Doel	Bewaartermijn
Naam (zelfgekozen)	Identificatie als deelnemer binnen de speurtocht	Onbeperkt
Wachtwoord (bij besloten speurtochten)	Toegangscontrole tot de speurtocht	Onbeperkt
IP-adres	Misbruikpreventie en beveiliging	Onbeperkt
GPS-locatie (tijdens het spelen)	Bepalen of je bij een speurtocht-locatie bent en afstandsberekening	De huidige positie wordt tijdelijk opgeslagen en overschreven bij elke update. Na afronding wordt alleen de gelopen afstand bewaard.
Antwoorden op vragen	Spelvoortgang en score-berekening	Onbeperkt
Speelduur en gelopen afstand	Statistieken en eindscherm	Onbeperkt

2.4 Speurtocht-gegevens (makers)

Gegeven	Doel	Bewaartermijn
Speurtocht-inhoud (locaties, vragen, antwoorden)	Functioneren van de speurtocht	Zolang de speurtocht bestaat
Media-uploads (afbeeldingen bij vragen)	Visuele ondersteuning bij vragen	Zolang de speurtocht bestaat

2.5 Feedback en beoordelingen

Gegeven	Doel	Bewaartermijn
Beoordelingsscores (1-5 sterren)	Kwaliteitsbeoordeling van speurtochten	Onbeperkt
Opmerkingen (optioneel)	Feedback voor de speurtocht-maker	Onbeperkt
Feedback-foto (optioneel)	Visuele impressie van de speurtocht	Onbeperkt (tenzij verwijdering wordt aangevraagd)

2.6 Betalingsgegevens

Gegeven	Doel	Bewaartermijn
Betaalmethode (type, bijv. iDEAL)	Verwerking van de betaling	7 jaar (wettelijke bewaarplicht)
Transactiereferentie	Administratie en boekhouding	7 jaar (wettelijke bewaarplicht)
Bedrag en status	Financiele administratie	7 jaar (wettelijke bewaarplicht)

Wij slaan geen creditcardnummers, bankrekeningnummers of andere directe betaalgegevens op. Betalingen worden volledig verwerkt door onze betaaldienstverleners Stripe en Mollie. Zie hoofdstuk 5 voor meer informatie.

2.7 Technische en beveiligingsgegevens

Gegeven	Doel	Bewaartermijn
IP-adres	Beveiliging, misbruikdetectie en sessiebeheer	30 dagen (sessies), 90 dagen (audit-logs)
User agent (browser/besturingssysteem)	Beveiliging en sessiebeheer	30 dagen (sessies), 90 dagen (audit-logs)
Inlogpogingen en accountvergrendelingen	Bescherming tegen brute-force aanvallen	Worden gereset na succesvolle inlog
TOTP-geheim en herstelcodes (bij 2FA)	Tweefactorauthenticatie	Zolang 2FA actief is

2.8 Contactformulier

Gegeven	Doel	Bewaartermijn
Naam, e-mailadres, onderwerp en bericht	Beantwoorden van je vraag of verzoek	E-mails worden bewaard zolang nodig voor afhandeling

3. Grondslagen voor verwerking

Wij verwerken je persoonsgegevens op basis van de volgende wettelijke grondslagen (artikel 6 AVG):

• Uitvoering van een overeenkomst (art. 6 lid 1 sub b): voor het aanmaken van je account, het spelen van speurtochten en het verwerken van betalingen.
• Gerechtvaardigd belang (art. 6 lid 1 sub f): voor beveiliging, misbruikpreventie, audit-logging en het verbeteren van onze dienst.
• Toestemming (art. 6 lid 1 sub a): voor het uploaden van foto's, het gebruik van GPS-locatie en social login.
• Wettelijke verplichting (art. 6 lid 1 sub c): voor het bewaren van financiele administratie (7 jaar).

4. Cookies en lokale opslag

4.1 Functionele cookies (noodzakelijk)

Cookie	Doel	Bewaartermijn
oppatt_sessie	Ingelogd blijven op het platform	30 dagen (gebruikers), 24 uur (beheerders)
gpsUserId	Speurtocht-sessie koppelen aan deelnemer	30 dagen
gpsStep	Voortgang in de speurtocht bijhouden	30 dagen
speurtocht_*_naam	Naam van de deelnemer onthouden	30 dagen
speurtocht_*_wachtwoord	Toegang tot besloten speurtocht onthouden	30 dagen
speurtocht_*_betaald	Betaalstatus onthouden	30 dagen
voorwaarden_akkoord	Onthouden dat je akkoord bent gegaan met de voorwaarden en het privacybeleid	365 dagen

Deze cookies zijn strikt noodzakelijk voor het functioneren van het platform. Hiervoor is geen toestemming vereist op grond van de Telecommunicatiewet.

4.2 Analytische cookies

Wij gebruiken Google Analytics 4 om geanonimiseerd inzicht te krijgen in het gebruik van het platform. IP-adressen worden geanonimiseerd voordat ze naar Google worden verzonden. Er worden geen persoonsgegevens gedeeld met Google voor advertentiedoeleinden.

4.3 Lokale opslag (localStorage)

Sleutel	Doel	Bewaartermijn
oppatt-theme	Onthouden van je themavoorkeur (licht/donker)	Totdat je het wijzigt of browserdata wist

5. Dienstverleners en derden

Wij delen je persoonsgegevens nooit voor marketing, advertenties of onderzoek. Wij maken gebruik van de volgende dienstverleners die als verwerker optreden:

Dienstverlener	Doel	Gegevens	Locatie
Stripe	Betalingsverwerking (creditcard, Apple Pay, Google Pay)	Betaalgegevens, transactie-informatie	VS (EU-US Data Privacy Framework)
Mollie	Betalingsverwerking (iDEAL, Bancontact, PayPal)	Betaalgegevens, transactie-informatie	Nederland
Mailgun (Sinch)	Verzenden van transactionele e-mails (verificatie, wachtwoord-reset)	E-mailadres, naam	EU
Google Maps Platform	Weergave van kaarten bij speurtochten	Kaartinteracties (geen persoonsgegevens)	VS (EU-US Data Privacy Framework)
Google Analytics 4	Geanonimiseerde websitestatistieken	Geanonimiseerde gebruiksgegevens (geen IP-adressen)	VS (EU-US Data Privacy Framework)
Google OAuth / Facebook Login	Optioneel inloggen via social account	Naam, e-mailadres, profielfoto (alleen bij jouw toestemming)	VS (EU-US Data Privacy Framework)
OpenRouteService	Berekening van loopafstanden tussen speurtocht-locaties	GPS-coordinaten van speurtocht-locaties (geen persoonsgegevens)	Duitsland (EU)
Anthropic (Claude API)	Beoordeling van open antwoorden en genereren van speurtocht-vragen	Antwoordteksten en vraagteksten (geen direct identificeerbare persoonsgegevens)	VS - zie hoofdstuk 12
Giphy	Weergave van animaties bij voltooiing van een locatie	Geen persoonsgegevens	VS

6. Doorgifte buiten de EU/EER

Een aantal van onze dienstverleners is gevestigd in de Verenigde Staten. Voor de doorgifte van gegevens naar de VS baseren wij ons op:

• Het EU-US Data Privacy Framework (voor dienstverleners die hieronder gecertificeerd zijn, zoals Google en Stripe).
• Standard Contractual Clauses (SCC's) zoals goedgekeurd door de Europese Commissie, voor dienstverleners die niet onder het Data Privacy Framework vallen.

Google Analytics is geconfigureerd met IP-anonimisering, waardoor er geen volledige IP-adressen naar Google worden verzonden.

7. Bewaartermijnen

Categorie	Bewaartermijn
Accountgegevens	Zolang je account actief is. Na verwijdering bewaren wij gegevens nog 12 maanden, waarna ze definitief worden gewist. Een account wordt als inactief beschouwd na 24 maanden zonder inlog.
Speeldata (antwoorden, scores, afstand, duur)	Onbeperkt - deze gegevens zijn onderdeel van de speurtocht-statistieken
Feedback en beoordelingen	Onbeperkt
Sessiegegevens	Automatisch verwijderd na 30 dagen inactiviteit
Audit-logs (IP, user agent, acties)	90 dagen, daarna geanonimiseerd
E-mail-logs	90 dagen
Betalingsgegevens	7 jaar (wettelijke bewaarplicht boekhouding)
Foto-uploads (feedback)	Onbeperkt (tenzij verwijdering wordt aangevraagd)

8. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om je gegevens te beschermen tegen verlies, misbruik en ongeautoriseerde toegang:

• Versleuteling: wachtwoorden worden opgeslagen met bcrypt (cost factor 12). Alle verbindingen verlopen via HTTPS (TLS).
• Sessiebeheer: sessies worden server-side opgeslagen in de database. Sessie-cookies zijn HttpOnly en Secure.
• CSRF-bescherming: alle formulieren zijn beschermd tegen Cross-Site Request Forgery.
• Rate limiting: na 5 mislukte inlogpogingen wordt het account 15 minuten vergrendeld.
• Tweefactorauthenticatie (2FA): optioneel beschikbaar via een authenticator-app (TOTP).
• Audit-logging: beveiligingsrelevante acties worden gelogd voor monitoring.

9. Jouw rechten (AVG)

Op grond van de Algemene Verordening Gegevensbescherming (AVG) heb je de volgende rechten:

• Recht op inzage (art. 15): je mag opvragen welke gegevens wij van je verwerken.
• Recht op rectificatie (art. 16): je kunt onjuiste gegevens laten corrigeren.
• Recht op verwijdering (art. 17): je kunt verzoeken om verwijdering van je gegevens.
• Recht op beperking (art. 18): je kunt vragen de verwerking tijdelijk te beperken.
• Recht op dataportabiliteit (art. 20): je kunt je gegevens in een gestructureerd formaat opvragen.
• Recht van bezwaar (art. 21): je kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
• Recht om toestemming in te trekken (art. 7): wanneer verwerking op toestemming is gebaseerd, kun je deze altijd intrekken.

Veel van deze rechten kun je zelf uitoefenen via je profielpagina. Voor overige verzoeken kun je een e-mail sturen naar [email protected]. Wij reageren binnen 30 dagen op je verzoek.

10. Minderjarigen

oppatt.io is bedoeld voor gebruikers van 16 jaar en ouder. Het aanmaken van een account is alleen toegestaan vanaf 16 jaar, conform de Nederlandse Uitvoeringswet AVG (UAVG).

Minderjarigen jonger dan 16 jaar mogen alleen deelnemen aan speurtochten onder begeleiding en met toestemming van een ouder of voogd. Wij verzamelen niet bewust persoonsgegevens van kinderen jonger dan 16 jaar.

Als je ontdekt dat een kind jonger dan 16 jaar zonder toestemming een account heeft aangemaakt, neem dan contact met ons op via [email protected] zodat wij het account kunnen verwijderen.

11. Foto-uploads

Na afloop van een speurtocht kun je optioneel een foto uploaden. Door een foto te uploaden ga je akkoord met het volgende:

• De foto kan publiekelijk worden getoond bij openbare speurtochten.
• De foto is zichtbaar voor de maker van de speurtocht en voor beheerders van het platform.
• Je kunt op elk moment een verzoek indienen om je foto te laten verwijderen via [email protected]. Wij honoreren elk verwijderverzoek.

12. Gebruik van kunstmatige intelligentie

Wij maken gebruik van de Claude API van Anthropic voor twee doeleinden:

• Beoordeling van open antwoorden: wanneer een speler een open vraag beantwoordt, wordt de antwoordtekst naar de Claude API gestuurd om te vergelijken met het juiste antwoord.
• Genereren van speurtocht-vragen: bij gebruik van de speurtocht-generator worden locatiegegevens naar de API gestuurd om relevante vragen te genereren.

Hierbij geldt het volgende:

• Er worden geen direct identificeerbare persoonsgegevens (zoals namen of e-mailadressen) naar Anthropic gestuurd. Alleen antwoordteksten en locatie-informatie worden verwerkt.
• Anthropic gebruikt gegevens die via de API worden aangeleverd niet voor het trainen van hun AI-modellen. Dit is vastgelegd in de API-gebruiksvoorwaarden van Anthropic.
• Anthropic bewaart API-invoer en -uitvoer voor maximaal 30 dagen voor veiligheids- en misbruikpreventiedoeleinden, waarna de gegevens worden verwijderd.
• De gegevens worden verwerkt in de Verenigde Staten. Wij baseren deze doorgifte op Standard Contractual Clauses (SCC's).

Wij bouwen geen gebruikersprofielen op basis van spelgedrag of antwoorden.

13. Wijzigingen

Wij kunnen dit privacybeleid van tijd tot tijd aanpassen. Bij substantiele wijzigingen informeren wij je via e-mail of een melding op het platform. De datum bovenaan deze pagina geeft aan wanneer het beleid voor het laatst is bijgewerkt.

14. Contact en klachten

Heb je vragen over dit privacybeleid of wil je een van je rechten uitoefenen? Neem contact met ons op:

Implica BV
E-mail: [email protected]
Contactformulier: oppatt.io/contact

Als je een klacht hebt over de manier waarop wij met je gegevens omgaan, kun je een klacht indienen bij de Autoriteit Persoonsgegevens:

Autoriteit Persoonsgegevens
Postbus 93374
2509 AJ Den Haag
autoriteitpersoonsgegevens.nl