Privacybeleid — Specialty Atlas (app, website en B2B)

Laatst bijgewerkt: 4 november 2026

1. Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke voor persoonsgegevens is Marcin Dziubak (Polen), die Specialty Atlas exploiteert. Voor vragen over privacy mail je naar contact@specialtyatlas.com of gebruik je Help in de app.

2. Reikwijdte van dit document

We beschrijven de verwerking bij het gebruik van:

• de mobiele app (consumentenfuncties),
• de website (marketing, blog, openbare profielen van cafés, branderijen, evenementen en gebruikers, stadspagina's, hulppagina's voor authenticatie),
• het B2B-portaal voor cafés en koffiebranderijen (account, vermeldingen, abonnementen, statistieken).

Afzonderlijke processen (bijv. betaling) kunnen aanvullende korte informatie bevatten.

3. Welke gegevens we verwerken

Account en inloggen. E-mailadres, wachtwoord-hash, weergavenaam, gebruikersnaam en eerdere aliassen, profielbeschrijving (bio), avatarkeuze, accountidentificatoren bij inloggen via Google/Apple, sessietokens op het apparaat of in de browser, optionele geboortedatum.

Profiel en consumentenactiviteit. Taal, thema, tijdnotatie, favorieten, verborgen plekken, geblokkeerde gebruikers, zichtbaarheidsinstellingen van het profiel en de onderdelen daarvan, meldings- en geluidsvoorkeuren.

Paspoort en gamification. Check-ins (QR-scan ter plaatse: café, tijd, bron), stad- en locatiestempels, Coffee Miles — toekenningsgeschiedenis met reden, levels, badges en hun voortgang.

Koffieactiviteit. Bezoekbeoordelingen (score, tekst, highlight-chips), bonenbeoordelingen, recepten en zetsessies (parameters, apparatuur, molen, methode), smaakprofiel Coffee DNA en antwoorden in de voorkeursquiz, favoriete en uitgesloten smaaknoten, privénotities over plekken, de lijst „Wil ik bezoeken“.

Communitycontent. Buzz-berichten en reacties met foto's en @-vermeldingen, vriendschapsrelaties (verzoeken, acceptaties, blokkades), openbaar profiel, activiteitenfeed, Wrapped (terugblik op basis van je eigen geschiedenis) en deelbare kaarten.

Vertaling van content. Bij het opslaan van een Buzz-reactie of de beschrijving van een café of branderij sturen we de tekst naar Google Cloud Translation om de taal te laten herkennen. Kiest iemand voor „Vertaling bekijken“, dan vertaalt dezelfde dienst de tekst naar de taal van de app. We bewaren de vertaling bij het origineel en wissen die zodra de tekst wordt bewerkt of verwijderd. Google ontvangt alleen de tekst, zonder je accountgegevens.

Meldingen en voorstellen. Meldingen over content, plekken en evenementen, wijzigingsvoorstellen voor cafégegevens, aanmeldingen van nieuwe locaties, berichten uit Help-formulieren, moderatiebesluiten en de motivering daarvan.

Gegevens van B2B-partners. Bedrijfsnaam, factuurgegevens, adressen van locaties, telefoonnummers en contact-e-mails, foto's en beschrijvingen van het aanbod, openingstijden, bonen „op de bar“, evenementen, abonnementsstatus, gebeurtenissen in het portaal, notities en contactgeschiedenis in het interne CRM.

Locatiegegevens uit andere bronnen. De catalogus van cafés en branderijen bouwen we ook op basis van openbaar beschikbare informatie en meldingen van gebruikers. Het gaat vooral om bedrijfsgegevens (naam, adres, openingstijden, openbaar contact); omvatten die gegevens van een natuurlijke persoon die de zaak exploiteert, dan heeft die persoon de rechten uit punt 10.

Locatie. Bij benadering of nauwkeurige coördinaten na systeemtoestemming — kaart, zoeken in de buurt, wandelnavigatie, aanbevelingscontext en meldingen wanneer een plek uit de „Wil ik bezoeken“-lijst in de buurt is. Nabijheid controleren we alleen bij een actieve app, met frequentiebeperking en minimale afstand; we doen geen tracking op de achtergrond en bouwen geen blijvende routegeschiedenis.

Technische gegevens. IP-adres, apparaatmodel, systeem- en appversie, diagnostische logs, pushtokens (Expo, met gebruik van FCM/APNs).

Analytics van de mobiele app. De app gebruikt Google Analytics for Firebase — we leggen productgebeurtenissen vast (schermweergaven, weergaven van café-, branderij- en boonprofielen) met een identificator van de app-installatie en, na inloggen, ook je accountidentificator. Dat dient om gebruik en stabiliteit te meten. Grondslag: gerechtvaardigd belang (art. 6 lid 1 onder f) — je kunt via Help bezwaar maken. Deze gegevens gebruiken we niet voor gedragsgerichte advertenties en verkopen we niet.

Statistieken voor partners. We tellen weergaven van café-, branderij- en boonprofielen, kliks op de shoplink, check-ins en toevoegingen aan de „Wil ik bezoeken“-lijst. B2B-partners tonen we uitsluitend geaggregeerde gegevens — een partner ziet niet wie precies zijn profiel bekeek of de zaak aan een lijst toevoegde. Waar een klein aantal waarnemingen naar individuen zou kunnen wijzen, hanteren we een minimumdrempel en tonen we in plaats van het cijfer de melding dat gegevens worden verzameld.

Betalingen. Beperkte factureringsmetadata bij Stripe of exploitanten van mobiele stores; volledige kaartnummers bewaren we niet op eigen infrastructuur.

Media. Geüploade foto's (profiel, recepten, Buzz-berichten, partnergalerijen). De QR-scan van de paspoortfunctie draait op het apparaat — het camerabeeld gaat niet naar de server; alleen de uitgelezen identificator wordt verzonden.

Agenda. Voeg je een evenement toe aan je agenda, dan gebeurt dat op je apparaat; de rest van je agenda lezen we niet.

Website-analytics en advertentiemeting. Na jouw toestemming verzamelen we pseudonieme bezoekgegevens via Google Analytics 4 en Google Tag Manager. Meta Pixel (de cookie _fbp) meet dan de conversies van onze advertenties op de diensten van Meta, zoals een doorklik naar een appstore nadat je via een campagne op de site bent gekomen.

4. Doeleinden en grondslagen (AVG)

Levering van de dienst en het account, paspoort, recepten, communitycontent, B2B-facturering — art. 6 lid 1 onder b. Optionele locatie, agenda, camera- en fototoegang en een deel van de meldingen — onder b en/of a (systeemtoestemming). Website-analytics en advertentiemeting (Meta Pixel) — a (toestemming). App-analytics, partnerstatistieken, IT-beveiliging, misbruikpreventie (waaronder valse check-ins en recensies), contentmoderatie, vertaling van content naar de taal van de lezer, opbouw van de locatiecatalogus en het interne sales-CRM — f (gerechtvaardigd belang). Wettelijke verplichtingen (boekhouding, belastingen, verplichtingen uit de digitaledienstenverordening) — c. Promotioneel gebruik van openbare gebruikerscontent in sociale media — f, met recht van bezwaar. Instellen van vorderingen — f.

5. Promotie in sociale media

Promotioneel gebruik berust op een niet-exclusieve licentie (zie de voorwaarden); het draagt geen eigendom van auteursrechten of andere vermogensrechten over aan Specialty Atlas — jij blijft de maker, binnen de rechten die je toekomen en onder voorbehoud van de licenties die je verleent.

Content die je met andere gebruikers of de wereld deelt als openbaar (bezoekbeoordelingen, openbare recepten, Buzz-berichten), kunnen we gebruiken in promotiemateriaal van Specialty Atlas, ook in sociale media en advertentiecampagnes. We gebruiken daarvoor geen privécontent, content die alleen voor vrienden zichtbaar is of privénotities over plekken. Je kunt bezwaar maken tegen verder gebruik van specifiek materiaal — we honoreren dat waar technisch mogelijk en rechtmatig.

6. Advertenties en gesponsorde content

In de app tonen we banners en partnermateriaal, gelabeld als advertentie. De selectie is gebaseerd op de context van de plek in de app en campagne-instellingen aan onze kant (land, scherm, sectie) — voor deze advertenties bouwen we geen advertentieprofielen, gebruiken geen gedragsgerichte advertenties op basis van je geschiedenis en delen je persoonsgegevens niet met adverteerders. Adverteerders krijgen uitsluitend geaggregeerde weergavestatistieken.

Google-advertenties (AdMob). Op bepaalde plekken in de app (onder meer de Hub en de lijsten met cafés, branders, bonen en recepten) kun je advertenties van Google AdMob (Google Ireland Limited) zien, gelabeld als advertentie — alleen waar op dat moment geen partnerbanner loopt. Google kan daarvoor de advertentie-ID van je apparaat gebruiken (Advertising ID op Android; IDFA op iOS alleen als je dat toestaat in de systeemvraag over tracking), je IP-adres en informatie over je apparaat en je interacties met de advertentie. In de Europese Economische Ruimte, het Verenigd Koninkrijk en Zwitserland vragen we toestemming via het formulier van Google (een gecertificeerd platform voor toestemmingsbeheer, IAB TCF). Gepersonaliseerde advertenties tonen we alleen met je toestemming (art. 6 lid 1 sub a AVG); zonder toestemming kan Google niet-gepersonaliseerde of beperkte advertenties tonen. Je kunt je toestemming altijd wijzigen of intrekken via Instellingen → Privacy → Toestemming voor Google-advertenties (zonder account: Instellingen → Toestemming voor Google-advertenties) en als je bent ingelogd personalisatie uitzetten met de schakelaar Advertentie-personalisatie. Hoe Google gegevens gebruikt: policies.google.com/technologies/partner-sites.

Een aparte vorm van promotie is Lab Boost — tijdelijke verhoging van de matchscore van een geselecteerde boon van een branderij in het Lab, gestart door de branderij uit het tegoed van haar plan. Die werkt op het niveau van de rangschikking; de branderij ontvangt daarbij niet jouw gegevens of informatie over aan wie de boon is getoond, en je smaakprofiel wordt er niet door gewijzigd. De rangschikkingsregels beschrijven de voorwaarden van de mobiele app.

7. Ontvangers en verwerkers

Onder meer: Supabase (database, authenticatie, opslag, edge functions), Stripe (B2B-betalingen), Expo/EAS (builds en push), de kaartstack (MapLibre en tegelaanbieders), Google (OAuth, Firebase Cloud Messaging, Google Analytics for Firebase, na toestemming GA4 en GTM, AdMob — advertenties in de app, Cloud Translation — taalherkenning en vertaling van content), Apple (inloggen, APNs, distributie), Meta Platforms Ireland Limited (Meta Pixel op de website, na toestemming: conversiemeting van advertenties), hosting-/CDN-aanbieders en een aanbieder van transactionele e-mail. Verwerkersovereenkomsten sluiten we waar vereist. Gegevens kunnen op wettelijke grondslag aan bevoegde autoriteiten worden verstrekt.

8. Doorgifte buiten de EER

Gegevens kunnen buiten de EER worden verwerkt — we hanteren AVG-conforme mechanismen (standaardcontractbepalingen, adequaatheidsbesluiten).

9. Bewaartermijn

Accountgegevens bewaren we zolang het account bestaat. Na verwijdering van het account verwijderen of anonimiseren we de gegevens binnen een redelijke technische termijn, met uitzondering van: wettelijk vereiste gegevens (facturering — tot het verstrijken van fiscale termijnen), bewijs om vorderingen af te weren, vastleggingen over misbruik en moderatiebesluiten en feitelijke gegevens die blijvend in de gedeelde locatiecatalogus zijn opgenomen (zonder verband met jou). Back-ups kunnen gegevens gedurende een beperkte technische periode bewaren. Diagnostische logs en weergavetellers bewaren we kortlopend of geaggregeerd.

10. Rechten van betrokkenen

Je hebt recht op inzage, rectificatie, wissing, beperking van de verwerking, overdraagbaarheid (waar van toepassing), bezwaar tegen verwerking op basis van gerechtvaardigd belang, intrekking van toestemming en het indienen van een klacht bij PUODO of een andere toezichthouder.

Uitvoering: Instellingen → Jouw gegevens in de app (gegevensexport, lokale gegevens wissen, account verwijderen), zichtbaarheidsinstellingen van het profiel, het B2B-portaal, formulieren op de website en Help.

11. Geautomatiseerde besluiten en profilering

We gebruiken profilering om aanbevelingen te selecteren: matching van bonen en recepten in het Lab is gebaseerd op je smaakprofiel, beoordelingen, locatie en vertoningsgeschiedenis; vergelijkbare mechanismen ordenen content op de Hub en in ontdeklijsten. De hoofdparameters beschrijven de voorwaarden van de app.

We nemen geen uitsluitend geautomatiseerde besluiten met rechtsgevolgen in de zin van art. 22 AVG. Automatische signalen (bijv. detectie van check-in-misbruik) kunnen een controle starten, maar besluiten over accountbeperking of contentverwijdering neemt een mens, en daartegen kun je bezwaar maken (voorwaarden, punt 12).

12. Kinderen

De dienst richt zich niet op personen jonger dan 16 jaar zonder toestemming van een wettelijke vertegenwoordiger. Het opgeven van een geboortedatum is vrijwillig en dient onder meer voor contentafstemming en geaggregeerde statistieken. Vernemen we dat een account wordt gebruikt door iemand onder de vereiste leeftijd zonder de vereiste toestemming, dan verwijderen we het.

13. Beveiliging

We gebruiken onder meer transportversleuteling, toegangscontrole op rijniveau in de database (RLS), scheiding van omgevingen, beperking van medewerkersrechten tot het noodzakelijke en monitoring. Wees voorzichtig met je wachtwoord en apparaat.

14. Wijzigingen en contact

We kunnen dit beleid bijwerken; wezenlijke wijzigingen benadrukken we (datum, bericht in de app of e-mail). Heb je vragen? Mail dan naar contact@specialtyatlas.com, gebruik Help in de app of neem contact op via de website.