Privacyverklaring

Wie is verantwoordelijk

De verwerkingsverantwoordelijke is Merlijn Bruijnes, gevestigd in Nederland. Privacycontact: hello@todomeister.com. De productiesite is https://todomeister.com.

Welke gegevens we verzamelen

Account: je naam en e-mailadres. Als je inlogt met Google slaan we ook het account-id van die aanbieder op, en een profielfoto als die wordt meegestuurd. Bij e-mail/wachtwoord slaan we een hash van het wachtwoord op — niet het wachtwoord zelf.

Jouw inhoud: taken, projecten, labels, secties en voorkeuren (thema, taal, lijstsortering, ingeklapte projecten, dagdoel, e-mailvoorkeuren). Als je e-mail-naar-taak gebruikt bewaren we ook een privé inbound-token en het message-id van mail die we al in een taak hebben gezet (zodat retries geen dubbele taak maken). Als je abonneert bewaren we Stripe-klant- en abonnements-id’s en de status — niet je volledige kaartnummer.

Sessie: een sessietoken zodat je ingelogd blijft. Better Auth kan bij die sessie ook je IP-adres en browser-user-agent bewaren.

De iOS-companion-app gebruikt hetzelfde account. Die stuurt een bearer-token naar /api/mobile in plaats van een browsercookie.

Waarom we ze gebruiken

Om de dienst te leveren: je account aanmaken, je lijsten tonen, je ingelogd houden en transactionele e-mail sturen (het welkomstbericht als je een account aanmaakt). Als je mail doorstuurt of stuurt naar je privé Todomeister-adres maken we een Inbox-taak van het onderwerp (en optioneel de body). Dat is transactioneel, geen marketing.

Productupdates / marketingmail is alleen opt-in. De instelling notify_product_updates staat standaard uit. Die mail sturen we niet tenzij jij hem aanzet.

Beperkte technische gegevens gebruiken we ook voor beveiliging en tegen misbruik.

Grondslagen (AVG)

Overeenkomst: je account en de taken die je opslaat, zodat we Todomeister kunnen leveren.

Gerechtvaardigd belang: beveiliging, misbruik voorkomen en de dienst laten draaien.

Toestemming: marketing- / productupdatemail; en inloggen met Google als jij die knop gebruikt.

Wie gegevens voor ons verwerkt

Vercel host de app.

Supabase Postgres bewaart je gegevens in eu-central-1 (Frankfurt). Auth is Better Auth, niet Supabase Auth.

Resend verstuurt e-mail vanaf hello@todomeister.com. Als je e-mail-naar-taak gebruikt, ontvangt Resend die inbound mail op inbound.todomeister.com en post die naar onze webhook.

Stripe verwerkt kaartbetalingen als je Pro neemt. Stripe ziet het e-mailadres en de betaalgegevens die je in Checkout invult.

Google, alleen als je inlogt met Google.

We hosten Plus Jakarta Sans zelf. Het is een zelf gehost lettertypebestand op onze site, geen advertentiepixel.

Hoe lang we ze bewaren

We bewaren je gegevens zolang je account bestaat. Sessies verlopen. Er is nog geen knop “account verwijderen” in de app — mail hello@todomeister.com en we verwijderen je account en de gegevens die eraan hangen.

Je rechten

Je kunt om inzage, correctie, wissen, beperking, overdraagbaarheid vragen, of bezwaar maken. Mail hello@todomeister.com. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Doorgifte buiten de EER

De database staat in de EU (Frankfurt). Sommige verwerkers zitten in de Verenigde Staten (Vercel, Google, Resend, Stripe). Je gegevens kunnen buiten de EER worden verwerkt. Die doorgiften steunen op passende waarborgen, zoals standaardcontractbepalingen (SCC’s).

We verkopen geen persoonsgegevens

We verkopen je persoonsgegevens niet.

Kinderen

Todomeister is niet gericht op kinderen onder de 16. Maak geen account aan als je jonger bent dan 16.