Privacybeleid
Laatst bijgewerkt: 7 augustus 2026 · Exantur
Dit beleid legt uit hoe Exantur je persoonsgegevens verzamelt, gebruikt en beschermt. We verwerken gegevens in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG/GDPR) en toepasselijk Nederlands recht. Onze verwerking beperkt zich tot wat nodig is om de dienst te leveren.
1. Wie we zijn
Exantur is een platform voor het beheer van professionele coachingpraktijken, geëxploiteerd vanuit Nederland. Exantur treedt op als verwerkingsverantwoordelijke voor de persoonsgegevens van coaches, organisatiebeheerders en coachees die op het platform geregistreerd zijn.
Voor vragen over dit beleid of je persoonsgegevens, neem contact op via: support@exantur.com
2. Welke persoonsgegevens we verwerken
Afhankelijk van hoe je Exantur gebruikt, verwerken we de volgende categorieën persoonsgegevens:
| Categorie | Voorbeelden | Op wie van toepassing |
|---|---|---|
| Accountgegevens | Naam, e-mailadres, wachtwoord-hash | Alle gebruikers |
| Profielgegevens | Weergavenaam, profielfoto, rol | Alle gebruikers |
| Coachingrelatiegegevens | Sessienotities, programmadetails, doelomschrijvingen, accountability-items | Coaches en coachees |
| Check-in-antwoorden | Antwoorden op reflectievragen ingediend tussen sessies | Coachees |
| Assessment-resultaten | DISC-profielgegevens, Wheel of Life-scores | Coachees |
| Documenten | Bestanden geüpload door coaches of coachees | Coaches en coachees |
| Gebruiksgegevens | Loggegevens, IP-adres, browsertype, bezochte pagina's | Alle gebruikers |
| Facturatiegegevens | Abonnementsstatus, factuuradres, laatste 4 cijfers van de kaart (beheerd door Stripe) | Abonnees |
Sessienotities kunnen bijzondere persoonsgegevens over coachees bevatten (gezondheid, persoonlijke omstandigheden, gedragspatronen). Coaches zijn verantwoordelijk om te beperken wat ze vastleggen tot wat professioneel noodzakelijk is.
3. Hoe we je gegevens gebruiken en onze grondslag
We gebruiken je gegevens niet voor advertenties, profilering voor marketingdoeleinden, en verkopen ze niet aan derden.
| Doel | Grondslag (AVG art. 6) |
|---|---|
| Het leveren van het Exantur-platform en zijn functies | Overeenkomst (art. 6(1)(b)) |
| Accountauthenticatie en beveiliging | Overeenkomst (art. 6(1)(b)) |
| Versturen van transactionele e-mails (uitnodigingen, wachtwoordreset, facturatie) | Overeenkomst (art. 6(1)(b)) |
| Voldoen aan wettelijke verplichtingen (belastingdocumentatie, legal holds) | Wettelijke verplichting (art. 6(1)(c)) |
| Voorkomen van fraude en misbruik | Gerechtvaardigd belang (art. 6(1)(f)) |
| Verbeteren en oplossen van problemen in de dienst | Gerechtvaardigd belang (art. 6(1)(f)) |
4. Gegevensopslag en beveiliging
Alle persoonsgegevens worden opgeslagen in de Europese Unie. Onze infrastructuur draait op Supabase, dat datacenters in de EU (Parijs) exploiteert. Gegevens worden versleuteld tijdens transport (TLS) en in rust.
Toegangscontroles worden afgedwongen op de databaselaag met row-level security (RLS). Een gebruiker kan geen gegevens benaderen waarvoor die niet expliciet geautoriseerd is, ongeacht hoe die toegang wordt geprobeerd. Coach-privénotities zijn nooit toegankelijk voor coachees. Organisatiedata is geïsoleerd op organisatieniveau.
Multifactorauthenticatie (MFA) is beschikbaar voor alle gebruikers en standaard vereist voor platformbeheerders.
6. Bewaartermijn
We bewaren je persoonsgegevens zolang je account actief is en gedurende een redelijke periode daarna om aan wettelijke verplichtingen te voldoen.
- Actieve accounts: gegevens bewaard voor de duur van het abonnement.
- Verwijderde accounts: 21 dagen respijtperiode voordat permanente verwijdering begint. In deze periode kunnen gegevens worden hersteld als de verwijdering per ongeluk gebeurde.
- Harde verwijdering: na de respijtperiode worden persoonsgegevens permanent en onomkeerbaar uit alle systemen verwijderd.
- Facturatiegegevens: 7 jaar bewaard om aan de Nederlandse belastingwet te voldoen.
7. Externe verwerkers
We delen gegevens met de volgende subverwerkers, die allen gebonden zijn aan passende verwerkersovereenkomsten:
| Verwerker | Doel | Locatie |
|---|---|---|
| Supabase | Database- en authenticatie-infrastructuur | EU (Parijs) |
| Stripe | Abonnementsfacturatie, en cliëntfacturatie/betalingen voor coaches die dit inschakelen (Stripe Connect) | EU / VS (modelcontractbepalingen) |
| Amazon Web Services (SES) | Levering van transactionele e-mail | EU / VS (modelcontractbepalingen) |
| Cloudflare | CDN, DDoS-bescherming, web application firewall | EU edge-nodes |
| Google (Calendar API) | Agendasynchronisatie in beide richtingen, alleen wanneer een coach de eigen Google Calendar koppelt (bezet/vrij-tijden en Exantur-sessies) | EU / VS (modelcontractbepalingen) |
| Microsoft (Graph) | Agendasynchronisatie in beide richtingen, alleen wanneer een coach de eigen Outlook/Microsoft 365-agenda koppelt | EU / VS (modelcontractbepalingen) |
| Anthropic | AI-sessievoorbereiding, door coach gestart (alleen coachinginhoud; geen namen of contactgegevens) | VS (modelcontractbepalingen) |
| Geocoding-provider (Nominatim / Geoapify / LocationIQ) | Een locatie omzetten naar coördinaten voor de afstandsfilter in de publieke coach-directory, alleen wanneer een coach zich voor de directory opgeeft | EU |
| Google Analytics | Websitestatistieken, alleen met jouw toestemming (standaard consent-denied) | EU / VS (modelcontractbepalingen) |
Google Agenda- en Microsoft Outlook-synchronisatie zijn optioneel en alleen actief wanneer een coach de eigen account expliciet koppelt. Bij koppeling leest Exantur uitsluitend bezet/vrij-blokken om dubbele boekingen te voorkomen - titels, omschrijvingen en deelnemers worden nooit in onze database gelezen - en schrijft alleen de coachingsessies die Exantur zelf inplant. Het e-mailadres van de gekoppelde account wordt opgeslagen zodat je ziet welke agenda gekoppeld is. Je kunt op elk moment ontkoppelen via Instellingen, waarmee de opgeslagen toegang en gesynchroniseerde bezette tijden direct worden verwijderd; je kunt de toegang ook intrekken via de beveiligingsinstellingen van je Google- of Microsoft-account.
Het gebruik en de doorgifte door Exantur van informatie ontvangen via Google API's voldoet aan het Google API Services User Data Policy, inclusief de Limited Use-vereisten. Gegevens verkregen via Google- of Microsoft-agendatoegang worden nooit verkocht, nooit voor advertenties gebruikt en nooit gebruikt om AI- of machine-learning-modellen te trainen.
8. Je rechten onder de AVG
Als betrokkene heb je de volgende rechten:
- Recht op inzage - een kopie opvragen van de persoonsgegevens die we over je bewaren.
- Recht op rectificatie - correctie vragen van onjuiste of onvolledige gegevens.
- Recht op verwijdering - verwijdering vragen van je persoonsgegevens (onder voorbehoud van wettelijke bewaarplichten).
- Recht op dataportabiliteit - je gegevens opvragen in een gestructureerd, machineleesbaar formaat.
- Recht op beperking - vragen dat we onze verwerking van je gegevens beperken.
- Recht van bezwaar - bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
Om een van deze rechten uit te oefenen, neem contact op via support@exantur.com. We reageren binnen 30 dagen. Data-export en -verwijdering kunnen ook direct vanuit het platform worden gestart.
Als je meent dat je rechten niet zijn gerespecteerd, heb je het recht een klacht in te dienen bij de Nederlandse toezichthouder: Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).
9. Cookies
Exantur gebruikt functionele cookies die nodig zijn om de dienst te laten werken (authenticatiesessietokens) en standaard cookieloze Cloudflare Web Analytics voor geaggregeerde sitestatistieken. Met jouw toestemming gebruiken we ook Google Analytics (GA4). Met Google Consent Mode staat de tag op elke pagina, maar plaatst deze geen cookies en slaat geen identifiers op tot je accepteert; zodra je accepteert plaatst het first-party cookies, met IP-anonimisering ingeschakeld. We gebruiken geen advertentiecookies en doen niet aan cross-site tracking. Zie het Cookiebeleid voor details en om je keuze te wijzigen.
10. Coachee-gegevens en verantwoordelijkheden van de coach
Sessienotities, doelen, check-ins en assessment-resultaten worden ingevoerd door coaches en bevatten persoonsgegevens over coachees. Voor deze gegevens treedt de organisatie van de coach op als verwerkingsverantwoordelijke en Exantur als verwerker. Organisaties die een verwerkersovereenkomst (DPA) nodig hebben voor AVG-compliance kunnen die aanvragen via support@exantur.com.
Coaches zijn verantwoordelijk om coachees te informeren dat hun coachinggegevens in Exantur worden opgeslagen en om eventuele toestemming te verkrijgen die hun eigen beroepsverplichtingen vereisen.
11. Wijzigingen in dit beleid
We kunnen dit privacybeleid bijwerken om veranderingen in onze werkwijze of om juridische redenen te weerspiegelen. Bij materiële wijzigingen informeren we actieve gebruikers per e-mail. De datum boven aan deze pagina geeft aan wanneer het beleid voor het laatst is bijgewerkt.
12. Contact
Voor privacyvragen, verzoeken van betrokkenen of DPA-verzoeken:
support@exantur.com