Privacybeleid

1. Inleiding

Dit Privacybeleid legt uit hoe Sarpius ("wij", "ons", "onze"), een handelsnaam van Synthwave-technologies.nl, uw persoonsgegevens verwerkt wanneer u ons platform gebruikt: apphosting (deployen vanuit git, statische en containerapps), beheerde PostgreSQL-databases, S3-compatibele objectopslag (buckets), beheerde messagingqueues, geplande taken, aangepaste domeinen met TLS en edge caching, onze in-browser code-editor, en API/MCP-toegang voor ontwikkelaars en AI-agents (gezamenlijk de "Diensten"). Synthwave-technologies.nl is geregistreerd bij de Nederlandse Kamer van Koophandel (KVK) onder nummer 73239038. Wij voldoen aan de Algemene Verordening Gegevensbescherming (AVG) en andere toepasselijke Nederlandse en EU-wetgeving inzake gegevensbescherming.

2. Wie wij zijn

Synthwave-technologies.nl (KVK 73239038) is een eenmanszaak, gevestigd aan de Arnhemseweg 127, 7331BE Apeldoorn, Nederland. Sarpius is de handelsnaam voor de Diensten die in dit beleid worden beschreven. Onze primaire domeinen zijn sarpius.eu (website en console) en sarpius.dev (platformendpoints, zoals uw apps en API/MCP-toegang); de oudere domeinen synthcloud.nl en synthwave-technologies.nl leiden nog door naar sarpius.eu of bedienen nog een deel van de endpoints. Ons btw-identificatienummer is NL002410192B67.

3. Gegevens die we verzamelen

Accountinformatie - naam, bedrijfsnaam, factuuradres, e-mail, btw-nummer (indien van toepassing).
Gegevens van social login - als u zich aanmeldt of inlogt via GitHub, GitLab of Gitea, ontvangen wij de account-id, gebruikersnaam, e-mail en naam van de provider die u kiest.
Betalingsgegevens - transactie-ID's en laatste vier cijfers van kaart/IBAN (verwerkt door onze betalingspartner).
Gegevens voor platformbeheer - IP-adressen, toegangs- en foutlogs, en statistieken over verbruik van middelen.
Apparaat- en browservingerafdruk - een gehashte technische vingerafdruk die uitsluitend wordt gebruikt voor fraude- en misbruikpreventie, zie "Apparaat- en browservingerafdruk" hieronder.
Identiteitsverificatiegegevens - als u identiteitsverificatie doorloopt, zie "Identiteitsverificatie (KYC)" hieronder.
Referralcode - een ?ref=-code waarmee u binnenkomt, wordt alleen in het geheugen van de pagina bewaard totdat u zich registreert; hiervoor plaatsen wij geen cookie.
Berichten via het contactformulier - alles wat u ons stuurt via een contact- of supportformulier.
Zelfgehoste diagnostiek en producttelemetrie - wij beheren onze eigen Sentry- en Matomo-instanties. Session Replay legt een steekproef van sessies vast, plus sessies waarin een fout optreedt, waarbij alle tekst op het scherm, formuliervelden en media worden gemaskeerd zoals geconfigureerd, zodat het klikken, navigatie, paginaadressen (URL's) en paginastructuur toont, en is ingericht om niet vast te leggen wat u heeft getypt of gelezen; een opname wordt niet gekoppeld aan uw account. Matomo draait zonder cookies. Deze telemetrie blijft onder onze eigen controle: wij sturen haar niet naar een externe analyse- of observabilityprovider, gebruiken haar niet voor advertenties en verkopen haar niet.
Supportcommunicatie - tickets, chatlogs en e-mailcorrespondentie.
Misbruikpreventiesignalen - telemetrie gegenereerd door geautomatiseerde tools die malware, cryptomining of ander misbruik detecteren.

Accountinformatie is nodig om de Diensten te kunnen leveren: het is de basis van onze overeenkomst met u, en zonder deze gegevens kunnen wij uw account niet aanmaken of laten werken. Identiteitsverificatie is optioneel; zie "Identiteitsverificatie (KYC)" hieronder voor wat er gebeurt als u dit weigert.

4. Waarom wij uw gegevens verwerken (rechtsgrondslagen)

Doel	Rechtsgrondslag (AVG)
Diensten leveren en onderhouden	Art. 6(1)(b) - contractuitvoering
Social login	Art. 6(1)(b) - contractuitvoering
Facturering & betalingen	Art. 6(1)(b) & (c) - contract & wettelijke verplichting
Fraude- & misbruikpreventie	Art. 6(1)(f) - gerechtvaardigd belang
Apparaat- en browservingerafdruk voor fraudepreventie	Art. 6(1)(f) - gerechtvaardigd belang
Identiteitsverificatie	Art. 6(1)(f) - gerechtvaardigd belang
Klantenondersteuning	Art. 6(1)(b) - contractuitvoering
Betrouwbaarheid van de dienst en productverbetering via onze zelfgehoste telemetrie	Art. 6(1)(f) - gerechtvaardigd belang
Wettelijke naleving (belasting, boekhouding)	Art. 6(1)(c) - wettelijke verplichting

5. Gegevensdeling

Wij verkopen, verhuren of verhandelen uw persoonsgegevens nooit en gebruiken ze niet voor advertenties. Wij delen persoonsgegevens uitsluitend voor zover nodig om de Diensten te leveren of te beschermen:

• Mollie, onze betalingsverwerker, om transacties te voltooien.
• Cloudflare, voor DNS-, CDN- en DDoS-bescherming. Cloudflare ontvangt de netwerkgegevens die nodig zijn om verkeer te routeren en te beschermen.
• Andere essentiële subverwerkers, vermeld op onze pagina Subverwerkers, waar dit nodig is om een dienst te kunnen leveren.
• Autoriteiten of rechtbanken wanneer wettelijk vereist.

Onze zelfgehoste Sentry- en Matomo-installaties worden door onszelf beheerd en zijn geen externe analyse- of observabilityproviders. Discord ontvangt meldingen over platformgebeurtenissen, maar geen persoonsgegevens, en is daarom geen subverwerker.

6. Waar uw gegevens worden gehost

Onze kerninfrastructuur en opgeslagen account- en applicatiegegevens bevinden zich binnen de Europese Unie, voornamelijk in Nederland. Wij draaien onze compute- en opslagregio's uitsluitend binnen de EU/Europese Economische Ruimte (EER), en elke regio die wij in de toekomst toevoegen blijft binnen de EU/EER.

Wij gebruiken het wereldwijd gedistribueerde DNS-, CDN- en DDoS-beschermingsnetwerk van Cloudflare, omdat betrouwbare netwerkbescherming essentieel is voor een publiek PaaS. Bij het leveren van die bescherming kan Cloudflare beperkte netwerkgegevens, zoals IP-adressen, hostnamen, headers en verkeersmetadata, buiten de EER verwerken. Waar een doorgifte plaatsvindt, vertrouwen wij op AVG-goedgekeurde waarborgen zoals adequaatheidsbesluiten (inclusief het EU-US Data Privacy Framework waar van toepassing), modelcontractbepalingen, of andere rechtmatige doorgiftemechanismen.

Verkeer dat via Cloudflare loopt, wordt aan de edge van Cloudflare ontsleuteld en weer versleuteld naar Sarpius verstuurd, zodat Cloudflare technisch de inhoud van verzoeken en antwoorden kan zien. De standaardhostnamen *.sarpius.app en sarpius.eu lopen altijd via Cloudflare. Wilt u dat niet voor een eigen domein, dan kunt u de Privacy route gebruiken: die wordt per eigen domein ingesteld en staat beschreven op onze pagina Dataresidentie.

Wij beperken bewust de afhankelijkheid van deze edge-provider: onze kernbeheerlaag, opgeslagen gegevens, compute en opslag blijven onafhankelijk, en onze DNS- en edge-routing kunnen worden gewijzigd zonder dat het applicatieplatform verandert. Besluiten wij, na een gedocumenteerde afweging, om een andere provider buiten de EER te gebruiken, dan gebruiken wij alleen wat noodzakelijk is, beperken wij de betrokken persoonsgegevens, toegang en technische afhankelijkheid zoveel mogelijk, passen wij de vereiste doorgiftewaarborgen toe en werken wij, waar van toepassing, onze pagina Subverwerkers bij.

7. Apparaat- en browservingerafdruk

Wanneer u zich registreert of inlogt, verzamelen wij een technische vingerafdruk, alleen op dat moment en niet tijdens het verdere gebruik van de Diensten: de user agent, het platform, taal/talen, tijdzone, scherm- en vensterformaat, pixel ratio, aantal CPU-kernen, apparaatgeheugen, aantal touchpoints, of een automatiserings-/webdrivervlag aanwezig is, het aantal browserplug-ins en canvas-, WebGL- en audio-renderingkenmerken van uw browser. Deze signalen worden gehasht en, samen met uw IP-adres, verzonden naar Spectra, onze eigen antifraude-engine.

Wij gebruiken dit uitsluitend om fraude en misbruik te voorkomen: het herkennen van dubbele of alternatieve accounts, het omzeilen van een schorsing, en misbruik van de gratis tier of van betalingen. De rechtsgrondslag is ons gerechtvaardigd belang, Art. 6(1)(f) AVG. Wij gebruiken deze vingerafdruk nooit voor advertenties, delen hem nooit tussen niet-gerelateerde sites, en verkopen hem nooit.

U heeft het recht om op grond van Art. 21 AVG bezwaar te maken tegen deze verwerking; e-mail [email protected]. Bezwaar maken kan betekenen dat wij u de gratis tier of bepaalde vertrouwensniveaus voor uw account niet kunnen aanbieden, omdat wij hiermee een echte nieuwe klant onderscheiden van herhaald misbruik.

8. Identiteitsverificatie (KYC)

Wij kunnen u vragen uw identiteit te verifiëren om een beperking op uw account op te heffen of om een hoger vertrouwensniveau te bereiken; identiteitsverificatie is nooit vereist om het platform in het algemeen te gebruiken. Verificatie wordt intern afgehandeld, zonder externe provider.

Wij vragen om uw naam, geboortedatum, documenttype en vervaldatum, en een afbeelding van een geaccepteerd identiteitsdocument: een paspoort, nationale identiteitskaart of rijbewijs. Wanneer u een foto indient, dek dan uw burgerservicenummer (BSN) af en alles op het document behalve naam, geboortedatum, documenttype en vervaldatum; wij raden hiervoor de KopieID-app van de Nederlandse overheid aan.

Documentafbeeldingen zijn versleuteld (AES-256-GCM) en toegang is beperkt tot medewerkers met de reviewer-rol; elke weergave wordt gelogd en voorzien van een watermerk met de naam van de reviewer. Afbeeldingen worden 30 dagen na het verificatiebesluit verwijderd; het resultaat zelf (geverifieerd of niet, en de datum) wordt bewaard zolang uw account bestaat. De rechtsgrondslag is ons gerechtvaardigd belang bij fraudepreventie, Art. 6(1)(f) AVG.

Verificatie is vrijwillig: als u weigert, blijft de beperking of het vertrouwensniveau dat al op uw account van toepassing is, gewoon gelden. De optionele selfie-verificatieroute wordt momenteel niet aangeboden.

9. Geautomatiseerde besluiten

Spectra, onze antifraude-engine, kan een container of account automatisch beperken of schorsen. Daarbij weegt Spectra factoren mee zoals betalings- en accountsignalen, apparaatsignalen, en patronen in resourcegebruik zoals cryptomining. Dit is een geautomatiseerd besluit in de zin van Art. 22 AVG. Wij baseren ons op de uitzondering van art. 22 lid 2 onder a AVG: direct ingrijpen bij misbruik zoals cryptomining of malware is noodzakelijk voor de uitvoering van onze overeenkomst met u en met onze andere klanten, met wie de resources gedeeld worden. Bij elk zo'n besluit gelden de waarborgen hieronder.

U kunt om menselijke beoordeling vragen door contact op te nemen met support of [email protected], uw standpunt toelichten, en het besluit aanvechten. Wij reageren zonder onnodige vertraging, doorgaans binnen twee werkdagen.

10. Bewaartermijnen

• Accountgegevens - bewaard zolang uw account bestaat; na sluiting maximaal 6 maanden, daarna worden uw persoonsgegevens verwijderd of onomkeerbaar onleesbaar gemaakt. Wij bewaren alleen gegevens die wij wettelijk moeten bewaren, zoals financiële administratie op grond van de Nederlandse belastingwetgeving (7 jaar), en gegevens die nodig zijn om een rechtsvordering in te stellen of ons ertegen te verweren, zolang dat doel dat vereist.
• Gehoste content (apps, databases, buckets) - verwijderd zodra u de resource verwijdert; na accountsluiting binnen 30 dagen. Verwijderde gegevens verdwijnen binnen maximaal 90 dagen uit de versleutelde off-site back-ups.
• Back-ups - een nachtelijke, aan de clientzijde versleutelde (AES-256) off-site kopie van alle objectopslag-buckets, de platformdatabases en de platformconfiguratie, bewaard voor herstel van het platform na een calamiteit; het is geen herstelservice per klant. Nachtelijke herstelpunten van databases worden 7 dagen bewaard bij gedeelde databases en 14 dagen bij dedicated databases.
• Beveiligings- en toegangslogboeken, inclusief IP-adressen - maximaal 12 maanden.
• Apparaatvingerafdrukken - zolang het gekoppelde vertrouwensrecord van het account bestaat, met een maximum van 6 maanden na accountsluiting.
• Afbeeldingen van identiteitsdocumenten - 30 dagen na het verificatiebesluit; het resultaat zolang het account bestaat.
• Zelfgehoste diagnostiek (Sentry) en productanalyse (Matomo) - alleen zolang nodig voor diagnose en analyse, daarna automatisch verwijderd.

11. Beveiliging

Wij passen versleuteling tijdens transport (TLS) toe, netwerksegregatie, toegangscontroles met minimale privileges en continue monitoring. Persoonsgegevensvelden in accounts zijn per gebruiker versleuteld, identiteitsdocumenten zijn versleuteld met AES-256-GCM, en onze off-site back-ups zijn aan de clientzijde versleuteld met AES-256, waarbij de sleutel uitsluitend in handen is van Sarpius in de EU en nooit van de opslagprovider. Geautomatiseerde systemen markeren en blokkeren malware, cryptomining of ander misbruik. Toegang tot identiteitsdocumenten is beperkt tot medewerkers met de reviewer-rol, waarbij elke weergave wordt gelogd en voorzien van een watermerk met de naam van de reviewer. Onze Sentry- en Matomo-diagnostiek is zelfgehost en wordt door onszelf beheerd; het is geen route om klantgegevens te verkopen of extern te gelde te maken.

12. Uw rechten

Onder de AVG kunt u verzoeken om toegang tot, correctie of verwijdering van, of de export van uw persoonsgegevens; u kunt bezwaar maken tegen of bepaalde verwerkingen beperken; en waar de verwerking op uw toestemming berust, kunt u die toestemming op elk moment intrekken. Als een geautomatiseerd besluit u raakt, heeft u ook het recht om menselijke beoordeling te vragen, zie "Geautomatiseerde besluiten" hierboven. U heeft het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl) of de toezichthouder in het land waar u woont. E-mail [email protected] met uw verzoek; wij reageren binnen een maand.

13. Cookies en vergelijkbare technologieën

Onze sites gebruiken een klein aantal eerste-partijcookies, uitsluitend voor authenticatie, beveiliging en taalvoorkeur; wij gebruiken geen advertentie- of analysecookies. De hierboven beschreven apparaat- en browservingerafdruk is een "vergelijkbare technologie" die uitsluitend wordt gebruikt voor fraudepreventie, nooit voor tracking tussen sites. De volledige lijst van cookies en browseropslagsleutels die wij gebruiken, staat op onze Cookiebeleid-pagina. Als wij een niet-noodzakelijke cookie of vergelijkbare browsertechnologie introduceren waarvoor toestemming vereist is, vragen wij die toestemming voordat wij deze gebruiken.

14. Wijzigingen in dit beleid

Wij kunnen dit Privacybeleid periodiek bijwerken. Belangrijke wijzigingen worden aangekondigd op onze website of via e-mail.

15. Contact

Voor privacyvragen of om uw rechten uit te oefenen, e-mail [email protected] of schrijf naar Synthwave-technologies.nl, Arnhemseweg 127, 7331BE Apeldoorn, Nederland.