Privacyverklaring

Versie 4 oktober 2026. Deze verklaring beschrijft hoe Studio in One persoonsgegevens verwerkt, welke providers daarbij betrokken zijn en welke rechten je hebt. Geplande diensten worden hieronder afzonderlijk benoemd.

1. Wie is verantwoordelijk?

Studio in One, bereikbaar via info@studioin.one, +31 6 57688804 en Zijdepark 9H, 2935 LB Ouderkerk aan den IJssel. KvK 86655299; btw-nummer NL004287961B68.

Voor onze website, aanvragen, eigen klantadministratie en ondersteuning bepaalt Studio in One de doelen van de verwerking. Een fotograaf die Studio in One gebruikt, bepaalt zelf waarom gegevens van zijn klanten en gefotografeerde personen worden verwerkt. Voor die studio-inhoud treedt Studio in One op als verwerker volgens een afzonderlijke verwerkersovereenkomst. Neem voor een opdracht of foto eerst contact op met de betreffende fotograaf.

2. Welke gegevens en waarvoor?

Bij een bericht of voorstelaanvraag: naam, e-mailadres, optionele bedrijfsnaam, onderwerp, bericht en de door jou ingevulde wensen, soort fotografie en eventuele website. We gebruiken dit om je aanvraag te behandelen en een mogelijk voorstel voor te bereiden. Grondslag: stappen op jouw verzoek vóór een overeenkomst of ons gerechtvaardigd belang om zakelijke vragen te beantwoorden. Zonder de benodigde contactgegevens kunnen we niet reageren. Deel geen onnodige gevoelige gegevens.

Bij dienstverlening: bedrijfs- en contactgegevens, afspraken, ondersteuning, account- en toegangsgegevens, documenten en financiële administratie. Doelen zijn uitvoering van de overeenkomst, ondersteuning, beveiliging en wettelijke administratie. De grondslagen zijn overeenkomst, wettelijke verplichting en gerechtvaardigd belang bij veilige dienstverlening en onderbouwing van afspraken.

Bij websitegebruik en beveiliging: IP-adres, verzoek- en browsergegevens, tijdstip, fouten en technische beveiligingssignalen kunnen worden verwerkt voor levering, storingsonderzoek en misbruikpreventie. Het belang is een betrouwbare en veilige dienst; we beperken gegevens en toegang tot wat daarvoor nodig is. Analytics en marketing worden alleen geladen volgens de bestaande toestemming en instellingen. Je kunt je keuzes aanpassen via de cookievoorziening; de actuele cookieverklaring staat op /cookies.

3. Providers en ontvangers

Vercel verzorgt de huidige websitehosting, verwerking van webverzoeken, delivery/cache, technische logs en bestaande Blob-mediaopslag. Neon beheert de PostgreSQL-database; de database van deze instance bevindt zich in AWS eu-central-1. Dat beschrijft de databaseplaatsing en is geen garantie dat iedere ondersteunings- of logverwerking uitsluitend in de EU plaatsvindt.

Google Workspace is momenteel gekoppeld voor e-mail en agenda. Hiervoor kunnen adressen, berichtinhoud, bijlagen, deelnemers en afspraakgegevens worden verwerkt. Een ontvanger en diens mailprovider ontvangen de berichten die wij daadwerkelijk versturen. Microsoft 365/Graph en een IMAP/SMTP-provider zijn beschikbare alternatieven; zij worden alleen ontvanger wanneer een passend account is gekoppeld en gebruikt. Amazon SES vervangt deze transactionele mailboxkoppeling niet automatisch.

Cloudflare Turnstile kan bij beveiligde interacties technische browser-, netwerk- en challengesignalen verwerken om misbruik tegen te gaan. De precieze rollen en verwerking volgen mede uit Cloudflare's Turnstile-privacyinformatie. Dit is geen nieuwsbrief- of marketingtoestemming.

Stripe en Mollie zijn ondersteunde betaalproviders. Alleen bij een daadwerkelijk ingestelde betaalflow worden relevante naam-, contact-, bedrag-, transactie- en betaalgegevens doorgegeven. De betaalprovider kan voor eigen wettelijke en fraudepreventiedoelen zelfstandig verantwoordelijk zijn. Deze saleswebsite start geen betaling met een voorstelaanvraag.

Voor kaartfuncties kunnen OpenFreeMap browser-/netwerkgegevens bij het ophalen van kaarttegels en Geoapify adres- of locatiegegevens bij geocodering ontvangen. OpenStreetMap is een bron van kaartinformatie; MapLibre is de gebruikte kaartbibliotheek. Deze diensten zijn geen reden om alle bezoekgegevens of klantadressen standaard naar hen te sturen.

Google Tag Manager en Meta Pixel/Conversions API zijn momenteel niet ingesteld op deze instance. Bij toekomstige activering moeten doelen, gebeurtenissen, identificatoren en toestemming opnieuw worden vastgelegd. Externe embeds zoals YouTube, Vimeo of Google Maps krijgen alleen gegevens wanneer zulke content daadwerkelijk wordt gebruikt en de toepasselijke toestemming is gegeven. De nieuwe salespagina's hebben deze embeds niet nodig.

Bevoegde medewerkers en dienstverleners krijgen alleen noodzakelijke toegang. Adviseurs, accountants en overheidsinstanties ontvangen gegevens waar dat nodig is voor een opdracht, wettelijke plicht of rechtsvordering. We verkopen geen persoonsgegevens. Je kunt via info@studioin.one informatie vragen over de subverwerkers die voor jouw dienstverlening relevant zijn.

4. Geplande nieuwsbrieven: Amazon AWS

Nieuwsbrieven via Amazon Simple Email Service (SES), met Amazon Simple Notification Service (SNS) voor aflever-, bounce- en klachtenfeedback, zijn in voorbereiding en nog niet uitgerold. De voorgenomen verwerking omvat e-mailadres, eventuele naam, inschrijfbron, datum en bewijs van toestemming, campagne-inhoud en verzend-/afmeld-/blokkeerstatus. AWS verwerkt de gegevens die nodig zijn voor verzending en feedback. Een EU SES-regio is voorzien; de uiteindelijke regio, contracten, logging en doorgiftewaarborgen moeten vóór activering worden bevestigd.

Nieuwsbrieven zijn voorzien op basis van afzonderlijke toestemming. Een contact- of voorstelaanvraag schrijft je niet in. Afmelden moet in iedere nieuwsbrief mogelijk zijn. Na afmelding stoppen nieuwe marketingverzendingen; een beperkte suppressieregistratie kan nodig blijven om jouw afmelding te respecteren. Tracking van opens of klikken wordt niet als vanzelfsprekend onderdeel aangenomen en vraagt een afzonderlijke beoordeling.

5. Geplande galerijen: Cloudflare R2

Galerijen via Cloudflare R2, Workers, Containers en Durable Objects zijn in voorbereiding en nog niet uitgerold. De voorgenomen verwerking omvat foto's/video's en afgeleide bestanden, bestandsmetadata, eventuele verificatieadressen, toegangsrechten, favorieten, download- en ordergegevens. Herkenbare personen en eventuele locatiegegevens in bestanden zijn persoonsgegevens. De fotograaf moet een passende grondslag, bewaartermijn en deelinstellingen bepalen.

De geplande architectuur voorziet private R2-opslag en verwerking in een EU-jurisdictie. Globale Cloudflare-queues vervoeren ondoorzichtige tenant-/job-identificatoren en hebben geen EU-locatiegarantie. Ook ondersteuning en andere provideronderdelen kunnen grensoverschrijdende verwerking hebben. Toegang, verwerking, aankoopbewaring en verwijdering worden vóór activering opnieuw gecontroleerd. Aangekochte bestanden kunnen een eigen bewaardoel hebben; een galerij verwijderen betekent daarom niet vanzelf dat alle aangekochte bestanden direct verdwijnen.

6. Doorgifte buiten de EER

Ook bij EU-opslag kunnen internationale providers en hun subverwerkers toegang of verwerking buiten de Europese Economische Ruimte hebben. Vóór gebruik moet worden vastgesteld welke ontvangers en landen betrokken zijn en welke AVG-waarborgen gelden: een toepasselijk adequaatheidsbesluit of standaardcontractbepalingen, waar nodig met aanvullende maatregelen en beoordeling. EU-opslag alleen vervangt die beoordeling niet. Vraag via info@studioin.one informatie over toepasselijke waarborgen of een kopie daarvan; beveiligingsgevoelige onderdelen mogen worden afgeschermd.

7. Bewaren en verwijderen

We bewaren aanvragen zolang dat nodig is om ze te beantwoorden en op te volgen. Daarna verwijderen of anonimiseren we de gegevens, tenzij een overeenkomst, geschil of wettelijke plicht verdere bewaring rechtvaardigt. Technische logs worden alleen bewaard zolang nodig voor dienstverlening, beveiliging en probleemoplossing; incidentgegevens kunnen langer nodig zijn voor onderzoek of rechtsvorderingen. Bij de termijn wegen we het doel, het laatste relevante contact, wettelijke termijnen en de technische backupcyclus mee. Verwijderde gegevens kunnen tijdelijk achterblijven in beperkt toegankelijke rollende backups totdat die normaal verlopen; bij herstel moeten eerdere verwijderverzoeken worden gerespecteerd. Vraag ons naar de bewaarinformatie voor jouw specifieke gegevens.

Bij een overeenkomst gelden de afgesproken looptijd en export-/verwijderafspraken. Wettelijk vereiste financiële basisadministratie wordt in beginsel 7 jaar bewaard; specifieke wettelijke uitzonderingen kunnen langer vereisen. Toestemmingsbewijs, noodzakelijke afmeldregistraties, incidentgegevens en stukken voor een rechtsvordering krijgen een afzonderlijke onderbouwde termijn. Voor fotograaf-inhoud volgt de termijn uit diens instructies, de verwerkersovereenkomst en eventuele aankoopbewaring. Backups mogen alleen beperkt toegankelijk zijn en niet opnieuw voor gewone doelen worden gebruikt.

8. Beveiliging en incidenten

Passende maatregelen omvatten beveiligde verbindingen, beperkte toegangsrechten, afgeschermde credentials, toegangscontrole en herstelprocedures. Geen dienst kan absolute beveiliging garanderen. Bij een incident beperken we de gevolgen en beoordelen we meldplichten. Fotograaf-inhoud wordt onder de overeengekomen instructies en rechten verwerkt; medewerkers krijgen geen onbeperkte toegang voor andere doeleinden.

9. Jouw rechten

Je kunt inzage, correctie, verwijdering, beperking, overdraagbaarheid of bezwaar vragen waar de AVG dat recht geeft. Je kunt toestemming intrekken zonder gevolgen voor eerdere rechtmatige verwerking. Bij direct marketing kun je altijd bezwaar maken. Mail info@studioin.one met je verzoek. We vragen alleen noodzakelijke informatie om je identiteit te controleren en vragen niet standaard om een volledige kopie van je identiteitsbewijs.

We reageren in beginsel binnen één maand. Bij een ingewikkeld verzoek kan de wettelijke termijn worden verlengd; je krijgt binnen die eerste maand uitleg. Wettelijke bewaring en rechten van anderen kunnen betekenen dat niet alles kan worden verwijderd. Je kunt een klacht indienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl. Voor gegevens waarvoor een fotograaf verantwoordelijk is, ondersteunen we diens behandeling van jouw verzoek.

10. Overige informatie en wijzigingen

De dienst is gericht op professionele studios en niet op zelfstandige inschrijving door kinderen. Studio-content kan wel minderjarigen bevatten; de verantwoordelijke fotograaf moet daarvoor passende informatie en grondslagen regelen. Er is in deze salesopzet geen uitsluitend geautomatiseerd besluit met juridische of vergelijkbare ingrijpende gevolgen voorzien. Technische misbruikdetectie is geen besluit over jouw professionele geschiktheid.

Gegevens komen van jou, jouw organisatie, een betrokken fotograaf of de gekoppelde accounts die jij autoriseert. Bij nieuwe doelen of providers informeren we je vooraf waar dat vereist is. Deze versie is gepubliceerd op 4 oktober 2026. Wezenlijke wijzigingen worden passend aangekondigd.