Privacyverklaring

Verwerkingsverantwoordelijke

NoudeX, gevestigd in Nederland (KVK: 42016543, BTW: NL005434487B97), is verwerkingsverantwoordelijke voor de gegevens over jou als gebruiker en installateur: je account, abonnement, support, facturen, aanmeldingen via deze website, websitestatistieken en crashrapporten van de app. Voor vragen over dit privacybeleid of het uitoefenen van je rechten kun je contact opnemen via info@heatpumpadvisor.nl.

Voor de gegevens van je klanten die je in HeatPump Advisor vastlegt, ben jij als installateur verantwoordelijk en is NoudeX verwerker. Die afspraken staan in de verwerkersovereenkomst. Ben je klant van een installateur en wil je je rechten gebruiken, neem dan contact op met die installateur; wij helpen de installateur daarbij.

Welke gegevens

De app verwerkt projectgegevens die jij invoert, zoals adresinformatie, technische woninggegevens, foto’s en eventueel handtekeningen voor rapportage. Daarnaast verwerken wij accountgegevens (e-mailadres, naam) en eventuele klantgegevens die je als installateur invoert ten behoeve van projectdossiers.

Waarom we die gebruiken

Deze gegevens zijn nodig om adviesrapporten te maken, berekeningen uit te voeren en projecten later opnieuw te openen in de app of het webportaal.

Rechtsgrondslag per verwerking

Wij verwerken persoonsgegevens op basis van de volgende grondslagen uit de Algemene Verordening Gegevensbescherming (AVG):

• Accountgegevens (e-mailadres, naam, wachtwoord-hash): uitvoering van de overeenkomst (Art. 6 lid 1 sub b AVG).
• Projectgegevens (woningdata, berekeningen, rapporten): uitvoering van de overeenkomst (Art. 6 lid 1 sub b AVG).
• Klantgegevens van de installateur (naam, adres en woninggegevens van eindklanten): gerechtvaardigd belang van de installateur (Art. 6 lid 1 sub f AVG).
• Crashrapporten van de app (Firebase Crashlytics): gerechtvaardigd belang, een stabiele en veilige app (Art. 6 lid 1 sub f AVG).
• Klantadministratie en akkoordbewijs van zakelijke klanten: uitvoering van de overeenkomst (Art. 6 lid 1 sub b AVG) en gerechtvaardigd belang, om te kunnen aantonen dat een overeenkomst is gesloten (Art. 6 lid 1 sub f AVG).
• Analytische cookies (Google Analytics): toestemming (Art. 6 lid 1 sub a AVG).
• Push notifications: toestemming (Art. 6 lid 1 sub a AVG).

Bewaartermijnen

• Accountgegevens: zolang het account actief is, plus 30 dagen na verwijdering van het account.
• Projectgegevens: zolang het account bestaat. De gegevens op je eigen toestel blijven altijd van jou; verwijdering door ons raakt uitsluitend de kopie op onze servers.
• Logbestanden: maximaal 90 dagen.
• Crashrapporten van de app: 90 dagen, bij Google (Firebase Crashlytics).
• Als je Pro-abonnement afloopt: de cloudkopie van je berekeningen blijft 30 dagen beschikbaar om in te zien en te exporteren; daarna wordt die cloudkopie verwijderd. Je projectdossiers en offertes blijven in je account bewaard, en alles op je eigen toestel blijft staan.
• Bij een overstap van Pro naar Standaard: Standaard werkt lokaal, zonder cloudsynchronisatie. De cloudkopie van je berekeningen wordt dan direct verwijderd; de gegevens op je toestel blijven staan.

Zakelijke klanten

Vraag je namens je bedrijf een Business-licentie aan, of word je daarvoor uitgenodigd? Dan leggen we in onze klantadministratie vast: de bedrijfsnaam, je naam als contactpersoon, je zakelijke e-mailadres en, als je die opgeeft, je telefoonnummer en het KVK-nummer. Ook bewaren we de looptijd en het aantal plaatsen van het contract. Dat doen we om het contract uit te voeren en de klantrelatie te beheren. Is jouw eenmanszaak de klant, dan is het uitvoering van de overeenkomst; anders is het ons gerechtvaardigd belang.

Akkoordbewijs. Ga je akkoord met de algemene voorwaarden en de verwerkersovereenkomst? Dan bewaren we als bewijs: je account, je e-mailadres, het bedrijf, het tijdstip, de pagina en de versie van de documenten. Een IP-adres bewaren we niet.

Hoe lang we dit bewaren

• Naam, e-mailadres, telefoonnummer en KVK-nummer van de contactpersoon: een jaar na het einde van het contract. Geeft je bedrijf eerder een andere contactpersoon op, dan verwijderen we de gegevens op jouw verzoek eerder.
• Bedrijfsnaam, contractgegevens, contractdocumenten en akkoordbewijs: acht jaar na het einde van het contract. De wet verplicht ons onze administratie zeven jaar te bewaren, en we moeten kunnen aantonen dat er een overeenkomst was.
• Akkoordbewijs van een account zonder zakelijk contract: vijf jaar na het verwijderen van je account.
• Een aanvraag waar geen contract uit komt: een jaar na de laatste wijziging.
• Een uitnodiging: 90 dagen nadat die is gebruikt, verlopen of ingetrokken.

Als je je account verwijdert. Dan wissen we je e-mailadres uit het akkoordbewijs en vervangen we je account-ID door een code. Het bewijs zelf blijft tot het einde van de termijn hierboven bestaan.

Inzage of verwijdering vragen kan altijd via info@heatpumpadvisor.nl, ook zonder account. We reageren binnen één maand.

Accountverwijdering en datarechten

Je kunt je account laten verwijderen door te mailen naar info@heatpumpadvisor.nl. Wij bevestigen je verzoek en handelen het af binnen één maand. Wij verwijderen dan je profiel, projecten, offertes, teamkoppelingen en contactinzendingen. Wat we als bewijs van een overeenkomst moeten bewaren, zoals contractdocumenten en akkoordbewijs (zie Zakelijke klanten), bewaren we zonder je e-mailadres tot het einde van de bewaartermijn daar. Ben je eigenaar van een werkruimte met actieve teamleden, dan vragen wij je eerst het eigenaarschap over te dragen of die teamleden te verwijderen; daarna verwijderen wij het account.

Operationele back-ups en securitylogs kunnen daarna tijdelijk nog aanwezig zijn binnen de geldende bewaartermijnen.

Externe bronnen

Bij een adresopzoeking kan de app gegevens ophalen bij BAG en EP-Online. Alleen de gegevens die nodig zijn voor die lookup worden verstuurd.

Sub-verwerkers

Wij maken gebruik van de volgende sub-verwerkers voor het leveren van onze dienst:

• Google LLC (Firebase) — database, bestandsopslag, serverfuncties en inloggen. De database en de bestandsopslag staan in de regio europe-west4 (Nederland), de serverfuncties draaien in europe-west1 (België) en inloggen loopt via Firebase Authentication in de Verenigde Staten.
• Google LLC (Firebase Crashlytics) — crashrapporten van de app, om fouten te vinden en de app stabiel te houden. Een crashrapport bevat technische gegevens over de crash en je apparaat (zoals model en systeemversie), installatie-ID’s van Firebase en Crashlytics en een code die van je account-ID is afgeleid, niet het ID zelf. Google bewaart crashrapporten 90 dagen.
• Google LLC (Google Analytics) — bezoekstatistieken van deze website, alleen als je analytische cookies accepteert en nooit in het ingelogde webportaal. Verwerkt welke pagina’s je bekijkt, je browser en apparaat en een cookie-ID.
• Google LLC (reCAPTCHA Enterprise) — bescherming van formulieren en API's tegen misbruik (App Check); verwerkt hiervoor IP-adres en apparaatkenmerken.
• Kadaster / BAG API — uitsluitend voor adresverificatie.
• RVO / EP-Online — uitsluitend voor het opvragen van energielabelgegevens.
• E-mailprovider (EU) — verzending van platform-e-mails zoals notificaties, offertes en uitnodigingen, onder een verwerkersovereenkomst.
• Apple Inc. (App Store Connect) — uitsluitend bij aanmelding voor de beta: naam en e-mailadres voor de TestFlight-uitnodiging.

Voor zakelijke klanten is een aparte verwerkersovereenkomst beschikbaar op de DPA-pagina.

Doorgifte buiten de EU

De database en de bestandsopslag staan in de EU, in de regio europe-west4 (Nederland); de back-ups staan ook in de EU. De serverfuncties draaien in europe-west1 (België).

Twee diensten van Google verwerken gegevens buiten de EU: Firebase Authentication, waarmee je inlogt, verwerkt inloggegevens in de Verenigde Staten, en Firebase Crashlytics is een wereldwijde dienst. Dat staat op de privacypagina van Firebase (geraadpleegd op 23 september 2026). Voor wat Google buiten de EU verwerkt, valt Google LLC onder het EU-VS Data Privacy Framework; daarnaast gelden de standaardcontractbepalingen van de Europese Commissie.

Opslag en beveiliging

Projectgegevens worden veilig opgeslagen in de cloud en zijn alleen toegankelijk voor de ingelogde gebruiker of geautoriseerde teamleden. Voor alle communicatie gebruiken wij versleutelde verbindingen (TLS/HTTPS). Authenticatie verloopt via Firebase Auth (e-mail/wachtwoord, Apple ID, Google). Teams maken gebruik van rolgebaseerde toegangscontrole.

Standaard bewaart projectbestanden lokaal op het toestel. Met Pro synchroniseren projectgegevens naar de persoonlijke cloudruimte van de installateur. Foto’s en handtekeningen synchroniseren op dit moment niet naar de cloud en blijven op het toestel; zodra dat beschikbaar komt, kondigen we dat vooraf aan, inclusief de bijbehorende bewaartermijn. Business gebruikt de gedeelde workspace.

Een ingetrokken Business-plaats sluit servertoegang direct. Een eerder versleuteld offline cachebestand kan op het apparaat uiterlijk 8 uur toegankelijk blijven; daarna wordt het verwijderd of onleesbaar gemaakt.

Een handtekening is geen gekwalificeerde elektronische handtekening (QES) en wordt aan één adviesrapport of offerterevisie gebonden. PDF-cloudsync is nog niet beschikbaar.

Cookies

HeatPump Advisor maakt gebruik van de volgende cookies en vergelijkbare technieken:

• Noodzakelijke cookies: sessie- en authenticatiecookies die vereist zijn voor het functioneren van de app. Hiervoor is geen toestemming nodig.
• Analytische cookies: Google Analytics, uitsluitend geplaatst na jouw toestemming (consent).
• Functionele opslag: taalvoorkeur via localStorage voor een betere gebruikerservaring.

Geautomatiseerde besluitvorming

HeatPump Advisor berekent geautomatiseerd een indicatie van het warmteverlies en stelt passende warmtepompen uit de catalogus voor. Deze uitkomsten zijn uitsluitend adviserend van aard. De installateur neemt altijd de eindbeslissing over de technische keuze en uitvoering. Er vindt geen geautomatiseerde besluitvorming plaats in de zin van Art. 22 AVG.

Jouw rechten

Op grond van de AVG heb je de volgende rechten met betrekking tot je persoonsgegevens:

• Recht op inzage — je kunt opvragen welke gegevens wij van je verwerken.
• Recht op rectificatie — je kunt onjuiste gegevens laten corrigeren.
• Recht op verwijdering — je kunt verzoeken om je gegevens te laten verwijderen.
• Recht op beperking — je kunt vragen om de verwerking tijdelijk te beperken.
• Recht op overdraagbaarheid — je kunt je gegevens in een gangbaar formaat ontvangen.
• Recht van bezwaar — je kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.

Neem contact op via info@heatpumpadvisor.nl als je gebruik wilt maken van een van deze rechten. Wij reageren binnen één maand op je verzoek.

Klacht indienen

Je hebt het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens als je van mening bent dat wij je gegevens niet correct verwerken. Meer informatie vind je op autoriteitpersoonsgegevens.nl.

Incidentmelding

Bij een beveiligingsincident met persoonsgegevens volgt melding zonder onredelijke vertraging, met een streeftermijn van maximaal 72 uur na ontdekking. Zakelijke klanten ontvangen hierbij de informatie die nodig is voor hun eigen meldplicht.

Wijzigingen

Wij behouden het recht om dit privacybeleid te wijzigen. Bij belangrijke wijzigingen word je via de app of het web geïnformeerd. De meest recente versie is altijd beschikbaar op deze pagina.