Privacy

Hieronder staat feitelijk wat wij verwerken als je Notura gebruikt, waarom, hoe lang, en welke rechten je hebt. We houden het bewust klein: geen tracking-cookies, geen profielen, geen doorverkoop.

Laatst bijgewerkt: 28 juli 2026.

Wat we verwerken

Als je de gratis scan uitvoert

Je vult een domeinnaam en een e-mailadres in. Met de domeinnaam halen wij een paar openbare adressen van die site op om de scan te draaien: de startpagina en, als ze bestaan, /robots.txt, /sitemap.xml en /llms.txt. Het rapport tonen we direct op de pagina. Het rapport zelf slaan we niet op.

Eén ding hoor je te weten voordat je op scannen drukt: de domeinnaam die je invult verlaat onze servers. Om te kunnen zien hoe je e-mail is ingesteld, stellen we vragen over dat domein aan twee openbare DNS-diensten: die van Google en die van Cloudflare. Zij zien daarbij de domeinnaam en het adres van onze server; jouw e-mailadres en jouw eigen IP-adres gaan daar niet in mee. Het ophalen van de pagina's hierboven doet onze server ook zelf, dus die bezoeken verschijnen in de logs van de hosting van het gescande domein.

Je e-mailadres en de gescande domeinnaam bewaren we daarna wél, zodat je aanvraag niet stil verloren gaat: ze gaan in onze serverlog én in een database. Wat daar in komt te staan is je e-mailadres, de domeinnaam, het adres van de pagina die we uiteindelijk ophaalden, of de aanvraag uit de scan of het contactformulier kwam, en het tijdstip. Verder alleen technische velden die nodig zijn om je aanvraag te kunnen afhandelen.

Dat gebeurt ook als we je aanvraag zelf niet uitvoeren. Doen er vanaf jouw internetverbinding te veel aanvragen achter elkaar, dan weigeren we de aanvraag maar bewaren we je e-mailadres wel, met een technisch veld erbij dat aangeeft dat het om zo'n geweigerde aanvraag ging. Anders zou juist iemand die zijn verbinding met collega's deelt spoorloos verdwijnen. De tekst van een bericht bewaren we ook op dat pad niet.

Om misbruik te voorkomen

Bij een scan- of contactaanvraag verwerken we tijdelijk je IP-adres om het aantal aanvragen per bezoeker te begrenzen (maximaal enkele aanvragen per tien minuten); de teller vervalt vanzelf binnen dat tijdvenster. Bij een contactaanvraag en bij een nieuwsbrief-aanmelding slaan we je IP-adres daarnaast op bij je aanvraag, in de serverlog en in de database, zodat we misbruik kunnen herleiden.

Als je het contactformulier gebruikt

We verwerken je naam, je e-mailadres, het onderwerp en je bericht om je vraag te beantwoorden. Naam, e-mailadres en onderwerp komen in dezelfde database terecht als hierboven.

Wat er niet in komt, is je bericht zelf. Van de vrije tekst bewaren we alleen de lengte: hoeveel tekens je typte, niet wat er stond. Dat is geen belofte achteraf: de tekst zit niet in wat we wegschrijven, en een geautomatiseerde controle blokkeert het als dat verandert.

Als je je aanmeldt voor de nieuwsbrief

Hiervoor vragen we alleen je e-mailadres. Bij je aanmelding leggen we daarnaast vast in welke taal je de pagina gebruikte, je IP-adres, en of je aanmelding al bevestigd is. Dat komt in dezelfde database als de aanvragen hierboven. Meer velden zijn er niet: geen naam, geen bedrijf, geen leesgedrag.

Aanmelden kan al, maar we noteren dan alleen je adres bij ons: er gaat nog geen adres naar Brevo en er wordt nog geen verzendlijst opgebouwd. Voordat je ooit een nieuwsbrief krijgt, sturen we eerst die bevestigingsmail waarin je zelf op een link klikt.

Voor de nieuwsbrief is jouw toestemming de grondslag, en die kun je altijd weer intrekken: afmelden of ons vragen je adres te wissen, zonder dat je er een reden bij hoeft te geven. Voor de gegevens die je bij een scan of een bericht achterlaat geldt een andere grondslag; die staat hieronder.

Waar die gegevens staan

De database draait bij Supabase, een externe dienst die dit voor ons uitvoert. Ons project staat in een Europese regio (Ierland).

De site zelf draait bij Vercel. Die host de pagina's en de serverfuncties, en bewaart de serverlogs waarin dezelfde aanvraag terechtkomt als in de database. Dat dubbele is bewust: de log is het vangnet voor het geval de database even niet bereikbaar is.

Die logkopie leeft korter dan de database. Hoe lang precies bepalen wij niet zelf: dat is de standaardtermijn van de host. Die gaat over dagen, niet over maanden. Wij zetten er geen verlenging op en sturen de logs niet door naar een tweede bewaarplaats. Zodra we de exacte termijn uit het dashboard van de host hebben nagelezen, staat hij hier met een getal in plaats van met deze zin.

Over wie er bij de database kan, houden we ons bij wat we hebben nagemeten: met de publieke sleutel waarmee de website in je browser praat, wordt zowel lezen als schrijven geweigerd. Wegschrijven en uitlezen gebeurt met een aparte sleutel die alleen op de server staat en nooit in je browser terechtkomt.

Wie hiervoor verantwoordelijk is

De verwerkingsverantwoordelijke is MitoVex, de eenmanszaak van Thiemo Sjors de Vos. Dat is de partij die formeel bepaalt wat er met je gegevens gebeurt, en waar je ons op kunt aanspreken. Notura is de handelsnaam waaronder wij deze site voeren.

Ingeschreven bij de Kamer van Koophandel onder nummer 69293902, btw-identificatienummer NL002314589B07, gevestigd in Ankeveen.

Tot 28 juli 2026 stond hier geen verantwoordelijke, met als reden dat de gegevens er nog niet waren. Ze zijn er nu, dus staan ze er.

Wie het voor ons uitvoert

De partijen die wij kennen, en waarvoor:

Supabase draait de database met je aanvraag. De gegevens staan in een Europese regio (Ierland); het bedrijf erachter is Amerikaans.
Vercelhost de pagina's en bewaart de serverlogs. Ook dat is een Amerikaans bedrijf; onze omgeving draait in Europa.
Plausible levert de cookieloze bezoekstatistiek, als die aanstaat.
Google en Cloudflare beantwoorden de DNS-vragen over het domein dat je laat scannen.
Upstash houdt de teller bij die misbruik tegengaat, als die dienst aanstaat; anders telt onze eigen server mee en gaat er niets naar buiten. Daar staat je IP-adres kort in, en verder niets. Ook Upstash is een Amerikaans bedrijf.
Brevo (Europees, Frankrijk) verstuurt de e-mail: het scan-rapport dat je opvraagt en de bevestiging van je bericht. Die koppeling staat op dit moment AAN: je e-mailadres gaat naar Brevo om je het rapport of de bevestiging te sturen, en de tekst van een bericht via het contactformulier gaat via Brevo naar ons eigen postvak.

Dit is de lijst zoals wij hem uit onze eigen code kunnen aflezen. Zie de status onderaan deze pagina voor wat er nog niet is nagemeten.

Vijf van deze partijen horen bij Amerikaanse ondernemingen, ook al staan onze gegevens in Europa. Het gaat om de database, de host, de misbruik-teller en de twee diensten die de DNS-vragen beantwoorden. De bezoekstatistiek (Ests) en de maildienst (Frans) niet. Amerikaans eigendom betekent dat toegang vanuit de Verenigde Staten niet op voorhand is uitgesloten, en dat hoor je te weten, ook als er in de praktijk niets de EU verlaat. Waar zo'n doorgifte op gebaseerd is, leggen we vast in de verwerkersovereenkomst met elke partij. Die overeenkomsten zijn er nog niet; zie de status onderaan.

Waarom we dit mogen bewaren

Je vraagt zelf iets aan: een scan, of een antwoord op je bericht. Wij hebben je gegevens nodig om daar gevolg aan te geven, en niet meer dan daarvoor nodig is. Dat is de grondslag: gerechtvaardigd belang. We gebruiken je gegevens niet voor iets anders: geen nieuwsbrief zonder dat je erom vraagt, geen lijst die we doorverkopen.

Bij het contactformulier staat een vinkje dat je moet aanzetten. Dat is geen toestemming maar een bevestiging dat je hebt gelezen wat hier staat. Dat verschil is niet cosmetisch. Toestemming moet je vrij kunnen weigeren en later kunnen intrekken; een vinkje dat het formulier blokkeert is dat niet. Wat je bij deze verwerking wél hebt, is het recht om bezwaar te maken. Dat staat hieronder bij je rechten, en het weegt zwaarder dan een vinkje.

Eén verwerking loopt wél op toestemming: de nieuwsbrief. Die vraag je apart aan, je bevestigt hem in een aparte mail, en je kunt je toestemming op elk moment weer intrekken.

Bezoekstatistieken

Als bezoekmeting aanstaat, gebruiken we een cookieloze methode (Plausible) die geen persoonsgegevens tot een individu herleidt en geen profielen bouwt. Er worden hiervoor geen tracking-cookies geplaatst.

Wat we niet doen

Geen tracking- of advertentiecookies, geen cross-site volgen.
Geen verkoop of verhuur van je gegevens aan derden.
Geen profielopbouw of geautomatiseerde besluitvorming over jou.
Geen opslag van de vrije tekst uit je bericht in onze database. Daar staat alleen de lengte. De tekst zelf gaat wel naar ons postvak, anders konden we je niet antwoorden.

Hoe lang we het bewaren

De rate-limit-teller op je IP-adres vervalt vanzelf binnen hetzelfde tijdvenster van tien minuten dat hierboven staat. Er is daarnaast een tweede teller op je IP-adres die een uur meegaat; die gebruiken we alleen om te voorkomen dat we een aanvraag die we net geweigerd hebben eindeloos vaak opnieuw vastleggen. Het rapport van je scan bewaren we niet: dat staat alleen op je scherm.

Voor de gegevens in de database geldt een vaste termijn: twaalf maanden na ons laatste contact. Neem je in die periode opnieuw contact op, dan begint de termijn opnieuw te lopen. Anders zouden we een lopend gesprek halverwege moeten weggooien. Daarna hoort het weg. Tot 28 juli 2026 stond hier dat er nog geen termijn was; die is nu vastgesteld.

Eerlijk over de uitvoering: het opruimen gebeurt met de hand, niet met een automatische klok. Dat betekent concreet dat wij zelf periodiek in de database kijken welke aanvragen ouder zijn dan twaalf maanden en die verwijderen. Er zit dus tijd tussen het verstrijken van de termijn en het moment dat de rij echt weg is, en hoe veel tijd staat hier bewust niet: een cadans opschrijven die nergens is vastgelegd zou een tweede belofte zijn bovenop de eerste. Dat is een verschil tussen de afspraak en het mechanisme, en we schrijven het liever op dan dat je het zelf moet ontdekken. Een opruiming die vanzelf loopt staat op de lijst; zodra die er is, staat hier hoe vaak hij draait.

Wil je niet wachten? Vraag ons je gegevens te wissen en we doen het. Zie hieronder bij je rechten.

Je rechten

Onder de AVG heb je het recht op inzage, correctie en verwijdering van je gegevens, het recht om bezwaar te maken of de verwerking te beperken, en het recht op overdraagbaarheid. Wil je hier gebruik van maken, neem dan contact op via de contactpagina. Ben je het oneens met hoe wij met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

Status van deze verklaring

Deze verklaring beschrijft wat de site vandaag technisch doet. Ze is opgesteld op eigen toets, zonder externe juridische controle. Dat is een bewuste keuze, en we zeggen het er liever bij dan dat we de indruk wekken dat er een jurist naar gekeken heeft.

Twee van de drie dingen die hier tot 28 juli 2026 als "nog niet geregeld" stonden, zijn dat nu wel: de bewaartermijn staat op twaalf maanden na het laatste contact, en de verwerkingsverantwoordelijke staat hierboven met KvK- en btw-nummer. Wat nog open staat zijn de verwerkersovereenkomsten. Die ontbreken bij de databasedienst, de host, de misbruik-teller, de bezoekstatistiek en de maildienst. In diezelfde overeenkomsten leggen we vast waarop een doorgifte naar buiten de EU is gebaseerd. Ze horen er te zijn vóórdat de mailkoppeling aangaat, niet erna.

In hetzelfde eerlijke straatje: de lijst met partijen hierboven is wat wij uit onze eigen code kunnen aflezen, niet een afgevinkt register. Of er in de productie-omgeving nog een dienst meedraait die daar niet uit blijkt, is niet nagemeten. Zodra dat wél is uitgezocht, staat het hier.

Over e-mail, precies zoals het is. Er zijn twee schakelaars: één voor de post die je zelf aanvraagt (het rapport van je scan, de bevestiging van je bericht) en één voor de nieuwsbrief. Hierboven staat per partij wat er vandaag aanstaat. Zonder sleutels zoekt de code niet eens verbinding. Dat is geen belofte maar hoe hij werkt. De eerste schakelaar staat nu aan: je krijgt alleen post die je zelf hebt aangevraagd. Voor de nieuwsbrief kun je je nu wel aanmelden, maar dan noteren we alleen je adres; voordat je ooit een nieuwsbrief krijgt, sturen we eerst die bevestigingsmail.

Vragen over deze verklaring? Kijk bij Contact.