Welke gegevens verzamelen wij?
Bij het maken van een boeking vragen we om je naam, e-mail, telefoonnummer en land van herkomst. Voor het wettelijk verplichte nachtregister noteren we daarnaast je geboortedatum, nationaliteit en identiteitsbewijsnummer. Deze gegevens zijn nodig voor je verblijf en de Vreemdelingenwet.
Daarnaast verzamelen we anonieme gebruiksstatistieken via Plausible Analytics. We gebruiken hiervoor géén cookies en je IP-adres wordt niet opgeslagen.
Waarom hebben we deze gegevens nodig?
Boekingsgegevens gebruiken we om je verblijf voor te bereiden, je toegang tot de kamer te regelen en facturen op te stellen. Het nachtregister is een wettelijke verplichting voor elk type logies in Nederland.
Met je expliciete toestemming sturen we eens per kwartaal een seizoensbericht. Je kunt je hier op elk moment voor uitschrijven via de link onderaan elke e-mail.
Hoe lang bewaren we je gegevens?
Boekings- en factuurgegevens: 7 jaar (fiscale bewaarplicht).
Nachtregister: 1 jaar (Vreemdelingenwet).
Foto's van identiteitsbewijs: 24 uur na check-out automatisch verwijderd.
Marketing-toestemming: 2 jaar of tot je je uitschrijft.
Cookies en tracking
We plaatsen alleen functionele cookies die nodig zijn voor je boekingsproces (sessie, taalvoorkeur). Voor analytics gebruiken we Plausible — een privacyvriendelijke tool die geen tracking-cookies plaatst en je IP-adres niet opslaat.
Hieronder staat per categorie welke cookies of script-elementen we plaatsen, met bewaartermijn en doel. Statistieken en marketing worden pas geladen na jouw toestemming via de cookie-banner.
| Categorie | Naam / provider | Bewaartermijn | Doel |
|---|---|---|---|
| Functioneel | cookie_consent_v2 LocalStorage + Vercel-sessie + Supabase JWT | Sessie / 13 maanden | Boekingsproces, login, voorkeur-onthouden |
| Voorkeuren | wlv-locale cookie + currency-keuze | 12 maanden | Taal- en valuta-onthouden |
| Statistieken | Plausible (script met data-domain) | Geen cookie — server-side aggregaat | Anonieme bezoek-statistieken |
| Statistieken | Sentry session-replay (alleen na opt-in voor statistieken-categorie) | Sessie | Foutcontext bij bugs (error tracking + performance draait op gerechtvaardigd belang) |
| Marketing | Geen actieve marketing-cookies. Als we Google Ads of Meta later activeren, vragen we opnieuw expliciete toestemming met een nieuwe banner. | N.v.t. | Reservering voor toekomstige advertentie-campagnes |
Welke gegevens delen we waarmee
Per feature staat hieronder welke gegevens we verwerken, met welke partij we ze delen en hoe lang ze bewaard blijven. We delen uitsluitend wat nodig is voor de betreffende functie.
Boekingsflow
- Gegevens:
- Naam, e-mail, telefoon, land van herkomst
- Gedeeld met:
- Mollie (betaling) + Smoobu (channel-sync) + Supabase (opslag)
- Bewaartermijn:
- 7 jaar factuur (fiscale plicht), 1 jaar nachtregister
Nachtregister
- Gegevens:
- Geboortedatum, nationaliteit, ID-nummer (AES-256-GCM versleuteld)
- Gedeeld met:
- VisitorData NL (gemeente-export op aanvraag)
- Bewaartermijn:
- 5 jaar (Vreemdelingenwet). Paspoort-foto: 24u na check-out auto-verwijderd
Contactformulier
- Gegevens:
- Naam, e-mail, bericht-inhoud
- Gedeeld met:
- Resend (e-mailbezorging) + Supabase (audit-log)
- Bewaartermijn:
- 12 maanden of tot je een verwijderverzoek indient
Klantenboek — verzoeken voor je verblijf
- Gegevens:
- Allergieën/dieetwensen (gezondheidsgegevens AVG art. 9), aankomst-tijd, bijzondere wensen
- Gedeeld met:
- Alleen je host (geen externe partijen)
- Bewaartermijn:
- 5 jaar gekoppeld aan booking-retention. Wissen via /portal-avg AVG-portal verwijderverzoek — alle verzoeken verdwijnen samen met de booking.
Nieuwsbrief
- Gegevens:
- E-mail + voorkeur-tags
- Gedeeld met:
- Resend (e-mailbezorging)
- Bewaartermijn:
- 24 maanden of tot uitschrijving via link in e-mail
Analytics — pagina-bezoek
- Gegevens:
- Viewport, pagina-pad, UTM-parameters (geen IP-adres)
- Gedeeld met:
- Plausible (EU, geen cookies)
- Bewaartermijn:
- Aggregaat eeuwig (geen herleidbare PII)
Analytics — boekingsfunnel (server-side events)
- Gegevens:
- Boekings-referentie (random ID) + factuurbedrag in EUR (geen naam/e-mail/IP)
- Gedeeld met:
- Plausible (server-side custom-events: funnel_step, mollie_init, purchase)
- Bewaartermijn:
- Aggregaat eeuwig — referentie is intern ID, niet herleidbaar zonder DB-toegang
Error tracking + performance
- Gegevens:
- Stack-trace + gehashed user-id op gerechtvaardigd belang (AVG art. 6.1.f) voor bug-fix
- Gedeeld met:
- Sentry (errors + performance-trace standaard actief)
- Bewaartermijn:
- 30 dagen events, 90 dagen replay (alleen na expliciete opt-in)
Session replay (Sentry)
- Gegevens:
- DOM-snapshot + interactie-log van sessie (input-velden gemaskeerd, alleen na opt-in)
- Gedeeld met:
- Sentry (replay-sample 10% sessie / 100% error)
- Bewaartermijn:
- 90 dagen, daarna automatisch verwijderd
Embedded maps (contact-pagina)
- Gegevens:
- Approximate locatie via IP + browser-fingerprint (Google Maps iframe)
- Gedeeld met:
- Google Maps Embed API (gerelateerde Google Ads/Analytics standaard tracking via iframe)
- Bewaartermijn:
- Conform Google retention-policy — buiten onze controle
Verwerkers en sub-processors
We werken alleen met verwerkers die een verwerkersovereenkomst (DPA) onder AVG art. 28 hebben getekend of beschikbaar stellen. Voor verwerkers buiten de EER gelden Standard Contractual Clauses (SCC).
| Verwerker | Doel | Locatie | DPA-status |
|---|---|---|---|
| Supabase | Database, auth, storage | EU (eu-west) | Standaard DPA beschikbaar |
| Vercel | Hosting + edge-functions | EU/US (Frankfurt edge) | Standaard DPA |
| Mollie | Betalingen + PSD2 | EU (Nederland) | Standaard DPA |
| Resend | Transactionele e-mail | US (Delaware) — SCC | Standaard DPA |
| Smoobu | Channel manager | EU (Berlijn) | DPA beschikbaar |
| Plausible | Analytics (zonder cookies) | EU (Tallinn) | Standaard DPA |
| Sentry | Error tracking + performance (replay alleen na opt-in) | US (SF) — SCC + EU-region | Standaard DPA |
| Google Maps | Embedded kaart op contact-pagina (iframe) | US (Mountain View) — SCC | Google Maps Platform DPA — additionele tracking via iframe buiten ons bereik |
| Higgsfield | Content-generatie (pre-LIVE — geen PII) | US — SCC | Standaard DPA |
Jouw rechten
Je hebt op elk moment het recht om je gegevens in te zien, te wijzigen of te laten verwijderen. Stuur een mail naar onze host en we reageren binnen vijf werkdagen. Voor klachten kun je terecht bij de Autoriteit Persoonsgegevens.
Contact
Heb je vragen over je privacy? Stuur ons gerust een bericht via de contactpagina. We helpen je graag verder.