Privacybeleid

De Auto App B.V. is de verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG / GDPR) voor de verwerking van uw persoonsgegevens. De Auto App B.V. Mozartlaan 27 1217 CM Hilversum KvK-nummer: 97064564 E-mail: info@deautoapp.nl Website: www.deautoapp.nl Voor vragen over de verwerking van uw persoonsgegevens kunt u contact opnemen via privacy@deautoapp.nl. Functionaris Gegevensbescherming (FG): De Auto App B.V. heeft op dit moment geen wettelijke verplichting tot het aanstellen van een FG. Bij privacyvragen kunt u contact opnemen via bovenstaand e-mailadres.

Wij verwerken de volgende categorieën persoonsgegevens: Consumenten (automobilisten): • Identificatiegegevens: voor- en achternaam, e-mailadres, telefoonnummer, adres • Voertuiggegevens: kenteken, merk, model, bouwjaar, kilometerstand, APK-vervaldatum • Afspraak- en servicegegevens: geboekte diensten, datums, tijdstippen, garagebezoeken • Beoordelingen en communicatie: reviews, berichten via de in-app chat • Technische gegevens: IP-adres, browsertype, apparaatinformatie, sessiegegevens Garagebedrijven: • Bedrijfsgegevens: bedrijfsnaam, KvK-nummer, BTW-nummer, adres, telefoonnummer • Contactpersoon: naam en e-mailadres van de eigenaar/contactpersoon • Financiële gegevens: facturatie-informatie (betaalgegevens worden uitsluitend verwerkt door Stripe — wij slaan geen bankgegevens op) • Profielgegevens: bedrijfsomschrijving, openingstijden, diensten, foto's Wij verwerken geen bijzondere categorieën persoonsgegevens (zoals gezondheids- of strafrechtelijke gegevens).

Wij verwerken uw persoonsgegevens uitsluitend voor bepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Per doel vermelden wij de rechtsgrondslag (art. 6 AVG): a) Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG): • Aanmaken en beheren van gebruikersaccounts • Verwerken en bevestigen van serviceafspraken • Doorsturen van afspraakgegevens naar de betreffende garage • Facturatie en abonnementsbeheer voor garagebedrijven • In-app communicatie tussen consument en garage b) Wettelijke verplichting (art. 6 lid 1 sub c AVG): • Bewaren van factuurgegevens (fiscale bewaarplicht van 7 jaar) • Reageren op verzoeken van toezichthouders of justitie c) Gerechtvaardigd belang (art. 6 lid 1 sub f AVG): • Verbetering en veiligstelling van onze diensten en infrastructuur • Versturen van service-gerelateerde notificaties (bijv. APK-herinneringen) • Fraudepreventie en platformbeveiliging • Klachtenafhandeling d) Toestemming (art. 6 lid 1 sub a AVG): • Versturen van commerciële nieuwsbrieven en marketingberichten • Plaatsen van niet-functionele cookies (analytisch, marketing) U kunt uw toestemming te allen tijde intrekken zonder dat dit gevolgen heeft voor de rechtmatigheid van eerdere verwerking.

Wij bewaren persoonsgegevens niet langer dan noodzakelijk voor de doeleinden waarvoor zij zijn verzameld, tenzij een wettelijke bewaarplicht een langere termijn vereist: • Accountgegevens: tot 12 maanden na sluiting van het account • Afspraak- en servicehistorie: tot 5 jaar na de afspraakdatum • Factuur- en betalingsgegevens: 7 jaar (fiscale bewaarplicht, art. 52 AWR) • Chat- en communicatiegegevens: tot 2 jaar na de laatste activiteit • Technische logbestanden: maximaal 90 dagen • Cookiegegevens (analytics): geanonimiseerd na 26 maanden • Gegevens na ingetrokken toestemming: worden zo spoedig mogelijk verwijderd

Wij verkopen uw persoonsgegevens nooit aan derden. Wij kunnen uw gegevens delen met de volgende ontvangers, uitsluitend voor zover noodzakelijk: Verwerkers (met wie wij een verwerkersovereenkomst hebben gesloten): • Stripe Inc. — betalingsverwerking (PCI-DSS Level 1 gecertificeerd) • Hostingprovider — opslag en verwerking van platformdata op EU-servers • E-mailprovider — transactionele en service-e-mails Zelfstandige verwerkingsverantwoordelijken: • Aangesloten garagebedrijven — ontvangt uw afspraakgegevens om de dienst te kunnen uitvoeren • Autoriteiten en toezichthouders — indien wettelijk verplicht of op rechtmatig verzoek Internationale doorgifte: Stripe verwerkt betalingsgegevens in de Verenigde Staten. Stripe maakt gebruik van door de Europese Commissie goedgekeurde standaardcontractbepalingen (Standard Contractual Clauses) als passende waarborg voor doorgifte buiten de EER. Overige gegevensverwerking vindt plaats binnen de Europese Economische Ruimte (EER).

Wij treffen passende technische en organisatorische maatregelen om uw persoonsgegevens te beveiligen tegen ongeautoriseerde toegang, verlies of vernietiging: Technische maatregelen: • TLS/SSL-versleuteling voor alle dataoverdracht • Versleutelde opslag van wachtwoorden (hashing) • Beveiligde API-verbindingen met toegangscontrole • Regelmatige beveiligingsupdates en patches Organisatorische maatregelen: • Toegang op basis van het need-to-know principe • Medewerkers zijn gebonden aan geheimhoudingsplicht • Procedures voor het melden en afhandelen van datalekken Datalekken: Bij een datalek dat risico's oplevert voor uw rechten en vrijheden, melden wij dit binnen 72 uur bij de Autoriteit Persoonsgegevens en informeren wij de betrokkenen indien vereist (art. 33 en 34 AVG).

Op grond van de AVG heeft u de volgende rechten, die u kosteloos kunt uitoefenen: • Recht op inzage (art. 15 AVG): u kunt opvragen welke gegevens wij over u verwerken. • Recht op rectificatie (art. 16 AVG): u kunt onjuiste of onvolledige gegevens laten corrigeren. • Recht op vergetelheid / wissing (art. 17 AVG): u kunt verzoeken uw gegevens te verwijderen. • Recht op beperking van verwerking (art. 18 AVG): u kunt de verwerking laten beperken in bepaalde situaties. • Recht op dataportabiliteit (art. 20 AVG): u kunt uw gegevens ontvangen in een gestructureerd, machine-leesbaar formaat. • Recht van bezwaar (art. 21 AVG): u kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang of directe marketing. • Recht om toestemming in te trekken (art. 7 lid 3 AVG): eerder gegeven toestemming kunt u altijd intrekken. • Recht om niet te worden onderworpen aan geautomatiseerde besluitvorming (art. 22 AVG): wij passen geen volledig geautomatiseerde besluitvorming toe die rechtsgevolgen heeft. Hoe uw rechten uitoefenen? Stuur een e-mail naar privacy@deautoapp.nl met een duidelijke omschrijving van uw verzoek. Wij verifiëren uw identiteit en reageren binnen 1 maand. Bij complexe of omvangrijke verzoeken kan deze termijn met maximaal 2 maanden worden verlengd.

Wij maken gebruik van cookies en vergelijkbare technieken. Een cookie is een klein tekstbestand dat bij uw eerste bezoek op onze website wordt opgeslagen in uw browser. Categorieën cookies: Strikt noodzakelijke cookies (geen toestemming vereist): • Sessiecookies voor authenticatie en beveiliging • Cookies voor het onthouden van uw cookievoorkeur Analytische cookies (met toestemming): • Meten van websitegebruik en verbeterpunten (geanonimiseerd) Functionele cookies (geen toestemming vereist): • Onthouden van voorkeuren zoals taal en regio Wij plaatsen geen tracking- of advertentiecookies van derden zonder uw uitdrukkelijke toestemming. U kunt uw cookievoorkeuren op elk moment aanpassen via onze cookiebanner of uw browserinstellingen. Meer informatie vindt u in ons cookiebeleid.

Heeft u een klacht over de manier waarop wij uw persoonsgegevens verwerken? Neem dan eerst contact met ons op via privacy@deautoapp.nl. Wij streven ernaar uw klacht binnen 4 weken te behandelen. Indien wij er samen niet uitkomen, heeft u het recht een klacht in te dienen bij de toezichthoudende autoriteit: Autoriteit Persoonsgegevens Postbus 93374 2509 AJ Den Haag Telefoon: 088-1805 250 Website: www.autoriteitpersoonsgegevens.nl U kunt ook rechtstreeks een klacht indienen bij de AP via: https://www.autoriteitpersoonsgegevens.nl/nl/contact-met-de-autoriteit-persoonsgegevens/tip-ons

Wij kunnen dit privacybeleid van tijd tot tijd aanpassen om het in overeenstemming te houden met nieuwe wetgeving, platformwijzigingen of gewijzigde verwerkingsactiviteiten. De meest actuele versie is altijd beschikbaar op www.deautoapp.nl/Privacy. Bij wezenlijke wijzigingen die uw rechten raken, informeren wij u per e-mail of via een melding in het platform, minimaal 30 dagen vóór inwerkingtreding. Versiegeschiedenis: • Versie 2.0 — mei 2026: volledig herzien conform AVG-vereisten • Versie 1.0 — februari 2026: initiële versie