Privacybeleid

1. Privacy in een oogopslag

Algemene informatie

De volgende informatie geeft een eenvoudig overzicht van wat er met uw persoonsgegevens gebeurt wanneer u deze website bezoekt. Persoonsgegevens zijn alle gegevens waarmee u persoonlijk geïdentificeerd kunt worden.

2. Gegevensverzameling op deze website

Wie is verantwoordelijk voor de gegevensverzameling op deze website?

Verantwoordelijk voor de gegevensverwerking op deze website is Curved Corner UG (haftungsbeschränkt), vertegenwoordigd door haar directeur Fabian Fuchs, Kampenwandstraße 18, 83104 Ostermünchen, Duitsland. Nadere informatie vindt u in het colofon van deze website.

Hoe worden uw gegevens verzameld?

Uw gegevens worden verzameld wanneer u deze aan de aanbieder verstrekt. Dit kan bijvoorbeeld uw e-mailadres zijn dat u in een registratieformulier invoert.

Andere gegevens worden automatisch door IT-systemen verzameld wanneer u de website bezoekt. Dit zijn voornamelijk technische gegevens (bijv. internetbrowser, besturingssysteem of tijdstip van paginatoegang).

3. Lokale gegevensopslag

Zonder gebruikersaccount slaat grafcet.io uw gemaakte GRAFCET-diagrammen uitsluitend lokaal op in uw browser (LocalStorage). In dat geval worden deze gegevens niet aan de aanbieder doorgestuurd en kunt u ze op elk moment verwijderen door de browsercache te wissen. Zodra u bent ingelogd, worden uw diagrammen in de cloud opgeslagen (zie punt 5).

4. Gebruikersaccounts en authenticatie

U kunt een gratis gebruikersaccount aanmaken met uw e-mailadres en wachtwoord. Een account maakt cloudopslag en synchronisatie van uw GRAFCET-diagrammen mogelijk, evenals optioneel de Pro-functies. De authenticatie verloopt via Supabase Auth.

Supabase wordt gehost op EU-servers (Frankfurt, Duitsland).

Opgeslagen gegevens: e-mailadres, gehasht wachtwoord, profielgegevens en licentiestatus.

U kunt uw account op elk moment zelf verwijderen via het accountpaneel in de editor ("Account verwijderen"). Daarbij worden uw profiel, uw in de cloud opgeslagen GRAFCET-diagrammen en de bijbehorende gegevens onherroepelijk verwijderd en worden actieve licenties gedeactiveerd.

Optioneel kunt u zich aanmelden via Google (OAuth 2.0). Uw e-mailadres en uw Google-account-ID worden doorgegeven aan Google Ireland Ltd.; de verwerking vindt deels in de VS plaats op basis van het EU-US Data Privacy Framework en de standaardcontractbepalingen. Rechtsgrond: art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst).

5. Cloudopslag

Zodra u bent ingelogd, worden uw GRAFCET-diagrammen automatisch opgeslagen in Supabase op EU-servers (gratis accounts: maximaal 3 diagrammen; Pro: onbeperkt). De naam en de inhoud (knooppunten en verbindingen) van uw diagrammen worden opgeslagen.

Uw opgeslagen diagrammen zijn in principe alleen voor u als geauthenticeerde gebruiker toegankelijk. Als u echter actief een deel-link voor een diagram aanmaakt, kan iedereen die over die link beschikt een kopie van dat diagram openen zonder in te loggen. Zolang u geen deel-link aanmaakt, blijft het diagram privé.

Na het verlopen van uw licentie worden cloudgegevens 90 dagen bewaard en vervolgens automatisch verwijderd.

U kunt uw cloudgegevens op elk moment zelf verwijderen.

6. Betalingsverwerking

Betalingen worden verwerkt door Paddle (Paddle.com Market Limited) als Merchant of Record.

De aanbieder ontvangt van Paddle uitsluitend: e-mailadres, transactie-ID en betalingsstatus.

Creditcardgegevens of andere betalingsinformatie worden door de aanbieder niet ontvangen of opgeslagen.

Privacybeleid van Paddle: https://www.paddle.com/legal/privacy

Bij de activering van een licentiesleutel in het accountpaneel slaat de aanbieder daarnaast het moment van uw uitdrukkelijke toestemming (eu_consent_at) en de versie van de toestemmingstekst (eu_consent_text_version) op. Deze velden vormen het bewijs voor het vroegtijdig vervallen van het herroepingsrecht volgens § 356 lid 5 Duits Burgerlijk Wetboek. Rechtsgrondslag: art. 6 lid 1 onder b) AVG (uitvoering van de overeenkomst).

7. E-mailcommunicatie en contactformulier

Transactionele en authenticatie-e-mails (bijv. levering van licentiesleutel, accountmeldingen, wachtwoordherstel) worden verzonden via Resend (Plus Five Five, Inc., VS). De doorgifte naar de VS wordt gewaarborgd door het EU-VS Data Privacy Framework en standaardcontractbepalingen.

Alleen uw e-mailadres wordt gedeeld met Resend.

Marketing-e-mails worden alleen verzonden met uw uitdrukkelijke toestemming.

De in grafcet.io ingesloten formulieren (bijv. contactformulier, feedbackformulier in de editor, wachtlijstformulier) worden geleverd door Tally (Tally B.V., België, EU) en als ingesloten formulier geladen. De gegevens die u daar invoert (bijv. e-mailadres en bericht) worden door Tally verwerkt om uw aanvraag te beantwoorden. Rechtsgrond: art. 6 lid 1 sub f AVG (gerechtvaardigd belang bij de afhandeling van aanvragen).

8. Cookies en lokale opslag

In de basiswerking gebruikt deze website alleen technisch noodzakelijke cookies (bijv. authenticatiesessie). Eventuele andere cookies worden alleen met uw toestemming geplaatst.

LocalStorage wordt gebruikt om GRAFCET-diagrammen en editor-instellingen op te slaan.

Zonder uw toestemming worden er geen tracking- of marketingcookies van derden gebruikt.

Voor gebruiksanalyses gebruikt de aanbieder PostHog (PostHog Inc., EU-regio eu.i.posthog.com). De analyse verloopt in twee niveaus: (1) Zonder uw toestemming wordt uitsluitend een anonieme, cookieloze bereikmeting uitgevoerd. Er worden geen cookies geplaatst en er vindt geen toegang tot uw apparaat plaats (geen toegang tot cookies of lokale opslag). Alleen paginaweergaven worden geteld; de schatting van terugkerende bezoekers gebeurt via een serverzijdig gegenereerde, dagelijks wisselende hashwaarde (afgeleid van o.a. IP-adres en browserkenmerk), die aan het einde van de dag wordt verwijderd en u niet identificeerbaar maakt. De rechtsgrondslag hiervoor is art. 6 lid 1 sub f AVG (gerechtvaardigd belang bij een dataminimaliserende, anonieme bereikmeting). (2) Alleen met uw uitdrukkelijke toestemming worden daarnaast afzonderlijke gebeurtenissen, persistente identificatoren, sessieopnames (session replays) en foutrapporten vastgelegd, waarbij alle invoervelden (bijv. wachtwoorden en e-mailadressen) worden gemaskeerd. De rechtsgrondslag hiervoor is art. 6 lid 1 sub a AVG (toestemming) juncto § 25 lid 1 TDDDG. De toestemmingsbanner wordt geleverd door Cookiebot (Cybot A/S, Denemarken). U kunt uw toestemming op elk moment intrekken via de link "Cookie-instellingen" in de footer. Zie het Cookiebeleid voor details.

Hosting & CDN: de website wordt gehost door Vercel Inc. (VS). Vercel verwerkt verbindings- en serverloggegevens (waaronder IP-adres, user-agent, request-URL) ten behoeve van de levering en het tegengaan van misbruik. Rechtsgrond: art. 6 lid 1 sub f AVG (gerechtvaardigd belang bij veilige werking). Doorgifte buiten de EU: EU-US Data Privacy Framework en standaardcontractbepalingen.

Amazon Partnerprogramma (affiliate-links): op de pagina «Aanbevelingen» zijn links naar amazon.de gemarkeerd als reclame. Pas wanneer u actief op zo'n link klikt, bereikt u Amazon — daarvoor worden geen cookies geplaatst en geen gegevens aan Amazon doorgegeven (geen preconnect, geen ingesloten script). Na de klik geldt het privacybeleid van Amazon (Amazon Europe Core S.à r.l., Luxemburg): https://www.amazon.de/gp/help/customer/display.html?nodeId=GVP69FUJ48X9DK8X.

Bot- en spambescherming (Cloudflare Turnstile): om de inlog-, registratie- en wachtwoordherstelformulieren te beschermen tegen geautomatiseerd misbruik wordt Cloudflare Turnstile (Cloudflare, Inc., VS) gebruikt. Daarbij worden technische gegevens zoals IP-adres, browserkenmerk en interactiesignalen verwerkt; Turnstile werkt zonder tracking-cookies. Rechtsgrondslag: art. 6 lid 1 f AVG (gerechtvaardigd belang bij het weren van bots en spam). Doorgifte naar een derde land: EU-US Data Privacy Framework en standaardcontractbepalingen. Privacyverklaring: https://www.cloudflare.com/turnstile-privacy-policy/.

9. Verwerkers (overzicht)

De volgende dienstverleners verwerken persoonsgegevens in opdracht van grafcet.io (verwerkers in de zin van art. 28 AVG) of zijn ontvangers in de zin van art. 13 AVG. Doorgiften naar de VS zijn afgedekt door het EU-US Data Privacy Framework en/of standaardcontractbepalingen.

Supabase Inc. — authenticatie, database, cloudopslag. Locatie: EU (Frankfurt). Gegevens: e-mail, wachtwoord-hash, profiel, licenties, opgeslagen GRAFCETs. Geen doorgifte naar derde landen.
Vercel Inc. — hosting, CDN, cronjobs. Locatie: VS. Gegevens: server-/verzoeklogs, IP-adres (kortstondig), user-agent. Waarborg: DPF + standaardcontractbepalingen.
Cloudflare, Inc. — bot-/spambescherming in de auth-flow (Turnstile). Locatie: VS. Gegevens: IP-adres, browserkenmerk, interactiesignalen. Waarborg: DPF + standaardcontractbepalingen.
Paddle.com Market Limited — betalingsverwerking (Merchant of Record). Locatie: Verenigd Koninkrijk; gedeeltelijke verwerking in de VS (Paddle.com Inc.). Gegevens: e-mail, transactie-ID, betaalstatus (geen kaartgegevens). Waarborg: adequaatheidsbesluit van de EU (VK) en standaardcontractbepalingen (VS).
Resend (Plus Five Five, Inc.) — transactionele en authenticatie-e-mails. Locatie: VS. Gegevens: e-mailadres. Waarborg: DPF + standaardcontractbepalingen.
PostHog Inc. — bereikmeting en (na toestemming) gebruiksanalyse. Locatie: EU-hosting (Frankfurt); aanbieder VS. Gegevens: zonder toestemming een anonieme dagelijkse hash en paginaweergaven; met toestemming sessie-ID, gebeurtenissen, URL's, session replays (wachtwoorden gemaskeerd). Waarborg: EU-dataopslag, aanvullend standaardcontractbepalingen.
Cybot A/S (Cookiebot) — toestemmingsbeheer. Locatie: EU (Denemarken). Gegevens: toestemmingskeuze, cookie-ID. Geen doorgifte naar derde landen.
Google Ireland Ltd. — optionele OAuth-aanmelding en ingesloten YouTube-video's (click-to-load). Locatie: EU/VS. Gegevens: e-mail en Google-account-ID (aanmelding); bij YouTube na een klik aanvullende gebruiksgegevens. Waarborg: DPF + standaardcontractbepalingen.
Tally B.V. — ingesloten formulieren (bijv. contact, feedback, wachtlijst). Locatie: EU (België). Gegevens: e-mailadres, berichtinhoud. Geen doorgifte naar derde landen.

Op verzoek stelt de aanbieder een verwerkersovereenkomst (DPA) beschikbaar: hi@grafcet.io. Ingelogde Pro-klanten kunnen binnen 30 dagen bezwaar maken tegen de inzet van nieuwe verwerkers.

10. Uw rechten

Op grond van de AVG heeft u de volgende rechten:

Recht op informatie (Art. 15 AVG)
Recht op rectificatie (Art. 16 AVG)
Recht op wissing (Art. 17 AVG)
Recht op overdraagbaarheid van gegevens (Art. 20 AVG)
Recht van bezwaar (Art. 21 AVG)
Recht op beperking van de verwerking (Art. 18 AVG)
Recht om gegeven toestemming met werking voor de toekomst in te trekken (Art. 7 lid 3 AVG)
Recht om een klacht in te dienen bij een toezichthoudende autoriteit (Art. 77 AVG) — de bevoegde autoriteit is het Beierse deelstaatbureau voor gegevensbeschermingstoezicht (BayLDA)

Contact: hi@grafcet.io

11. Laatste update

Dit privacybeleid is geldig vanaf 23 juni 2026.