Privacyverklaring

Laatst bijgewerkt: 11 juli 2026 · CONCEPT — juridische controle vereist · English version below

1. Wie is verantwoordelijk?

GlasHuis is een platform voor een eerlijk, gedeeld verslag van een huurwoning — van inhuizing tot terugkrijgen van de borg. Verwerkingsverantwoordelijke: [TODO founders: rechtsvorm + statutaire naam, vestigingsadres, KvK-nummer, e-mailadres voor privacyvragen].

2. Welke gegevens, waarvoor, en op welke grond

Account

Uw e-mailadres, voor inloggen zonder wachtwoord (magic link). Grondslag: uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG).

Huurdossier

Wat u zelf vastlegt: adres van de woning, begindatum, borgbedrag, opnamestaten met notities en foto's, ondertekeningen (e-mailadres + tijdstip), borgteruggave met de door de verhuurder gegeven redenen, en gebreken/meldingen. Grondslag: uitvoering van de overeenkomst. Foto's worden vóór het uploaden op uw apparaat ontdaan van metadata (GPS-locatie, tijdstip, toestelkenmerken).

Verhuurdersprofiel en portfolio

Naam of bedrijfsnaam, contact-e-mailadres en telefoonnummer — de gegevens die een verhuurder op grond van de Wet goed verhuurderschap schriftelijk aan huurders moet geven (grondslag: wettelijke plicht, art. 6 lid 1 sub c). Daarnaast panden, eenheden en een boekhoudkundige administratie (bedragen, tegenpartij, notities) die de verhuurder zelf invoert; grondslag: gerechtvaardigd belang bij een eigen administratie. Legt een verhuurder de naam van een huurder vast, dan is de verhuurder verplicht die huurder daarover te informeren (art. 14 AVG) — de app wijst daarop.

Huurcheck (zonder account)

De WWS-puntentelling werkt zonder inloggen. Woningkenmerken die u invult blijven in uw browser; met uw toestemming (categorie "functioneel") worden ze daar maximaal 30 dagen bewaard. Zoekt u een adres op (postcode + huisnummer), dan gaat die vraag via onze server naar de BAG (PDOK, Nederlandse overheid); uw IP-adres bereikt PDOK niet en het adres wordt nergens opgeslagen, ook niet in logbestanden. Deellinks bevatten alleen woningkenmerken, nooit een adres.

Technisch noodzakelijk

Onze hostingpartijen verwerken IP-adressen om de site te leveren en te beveiligen (grondslag: gerechtvaardigd belang). GlasHuis gebruikt geen analytics, geen advertenties en geen tracking, en leest geen BSN in — invoer die op een BSN lijkt wordt actief geweigerd.

3. Verwerkers en doorgifte

• Supabase — database, login en foto-opslag. [TODO founders: EU-regio van het project bevestigen + verwerkersovereenkomst vastleggen]
• Vercel — hosting. [TODO founders: verwerkersovereenkomst (DPA) vastleggen; EU-regio waar mogelijk]
• PDOK / Kadaster — adresgegevens (open data, Nederlandse overheid); ontvangt geen gegevens over u.
• E-mailnotificaties staan uit. Zodra ze aangaan via Resend wordt deze verklaring bijgewerkt en wordt vooraf een verwerkersovereenkomst met doorgiftemechanisme geregeld.

GlasHuis verkoopt geen gegevens en deelt niets met derden voor marketing.

4. Bewaartermijnen

• Account en dossier: zolang uw account bestaat — u verwijdert ze zelf via Account & privacy.
• Afgeronde, door beide partijen ondertekende opnamestaten: tot 5 jaar na einde van de huur (verjaringstermijn contractuele vorderingen, art. 3:307 BW) — ook na verwijdering van een account, als bewijs voor de andere partij.
• Uitnodigingslinks: onbruikbaar na 14 dagen.
• Notificaties: maximaal 12 maanden.
• Huurcheck-concepten in uw browser: 30 dagen.

5. Uw rechten

Inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar (art. 15–21 AVG). Ingelogd regelt u dit direct via Account & privacy: gegevens exporteren (JSON), profiel corrigeren, account en gegevens verwijderen. Overige verzoeken: [TODO founders: privacy-e-mailadres] — reactie binnen één maand. Klachten kunt u indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

6. Beveiliging

Versleuteld verkeer (HTTPS, HSTS), toegangsregels per rij in de database (alleen betrokkenen bij een huurdossier zien het), foto's in een afgeschermde opslag met kortlopende links, strikte Content-Security-Policy, en metadataverwijdering uit foto's op uw eigen apparaat.

7. Wijzigingen

Bij inhoudelijke wijzigingen wordt de datum bovenaan aangepast en — waar het cookies of opslag raakt — uw toestemming opnieuw gevraagd.

Privacy policy (English)

Last updated: 11 July 2026 · DRAFT — requires legal review · The Dutch version above is authoritative.

1. Who is responsible?

GlasHuis is a platform for a fair, shared record of a rental home. Controller: [TODO founders: legal entity, registered address, Chamber of Commerce number, privacy contact email].

2. What we process, why, and on what basis

• Account: your email address, for passwordless sign-in (contract, art. 6(1)(b) GDPR).
• Rental dossier:what you record yourself — the dwelling's address, start date, deposit, condition reports with notes and photos, signatures (email + timestamp), deposit-return tracking, defect reports (contract). Photos are stripped of metadata (GPS location, capture time, device identifiers) on your device before upload.
• Landlord profile & portfolio:name/company, contact email, phone (legal duty under the Dutch Good Landlord Act, art. 6(1)(c)); properties, units and a record-only ledger (legitimate interest). A landlord recording a tenant's name must inform that tenant (art. 14) — the app says so at the field.
• Rent check (no account):dwelling characteristics stay in your browser (30 days, only with your "functional" consent). Address look-ups are proxied server-side to the Dutch government's BAG register: your IP never reaches PDOK and the address is not stored or logged. Share links contain dwelling characteristics only, never an address.
• Technically necessary: our hosting providers process IP addresses to serve and secure the site (legitimate interest). No analytics, no ads, no tracking; BSN-like input is actively refused.

3. Processors and transfers

Supabase (database, auth, photo storage) and Vercel (hosting) act as processors — [TODO founders: confirm EU regions and record DPAs]. PDOK/Kadaster receives no data about you. Email is off; before enabling Resend, a processor agreement and transfer mechanism will be put in place and this policy updated. We sell nothing and share nothing for marketing.

4. Retention

Account and dossier: for as long as your account exists — delete them yourself in Account & privacy. Completed reports signed by both parties: up to 5 years after the tenancy ends (Dutch limitation period for contractual claims), even after account deletion, as the other party's evidence. Invite links: unusable after 14 days. Notifications: 12 months. Rent-check drafts in your browser: 30 days.

5. Your rights

Access, rectification, erasure, restriction, portability, objection (arts. 15–21). Signed in, exercise them directly in Account & privacy. Anything else: [TODO founders: privacy contact email] — answered within one month. You can complain to the Dutch DPA (Autoriteit Persoonsgegevens).

6. Security

HTTPS with HSTS, row-level access control, private photo storage with short-lived links, a strict Content-Security-Policy, and on-device photo metadata stripping.