Privacyverklaring

Musicdott is een werkomgeving voor muziekscholen en de docenten en leerlingen die het gebruiken. Deze verklaring beschrijft precies welke persoonsgegevens we vasthouden, waarom we ze vasthouden, en wat je kunt doen om ze te beheren. We zijn een klein bedrijf; dit is geen 30-pagina-juridisch-document — het is de bouwer die uitlegt hoe het werkt.

Waar deze verklaring en de Algemene Verordening Gegevensbescherming (AVG) iets anders zeggen, wint de wet. Als je iets ziet dat niet klopt, mail mail@musicdott.app en we passen het aan.

Wie is verantwoordelijk voor jouw gegevens?

De verwerkingsverantwoordelijke is:

• Musicdott — handelsnaam van Bèta Development VOF (KvK 71344233). Vennoten: Stefan van de Brug en Oscar Knijff.
• Aalbessenstraat 6, 's-Gravenhage, Nederland
• mail@musicdott.app

Welke persoonsgegevens houden we vast?

Verschillende gegevens per rol. Alleen wat we nodig hebben om het platform te laten werken.

Schooleigenaren

• Naam, e-mail, gebruikersnaam, gehashed wachtwoord.
• Schoolnaam, adres, telefoon, website (optioneel).
• Stripe klant-ID en abonnement-ID zodra je abonneert — kaartgegevens liggen bij Stripe, niet bij ons.
• Loginhistorie (tijdstip laatste login + IP voor security-alerts).

Docenten

• Naam, e-mail, gehashed wachtwoord, instrumenten die gedoceerd worden.
• Lessen die zijn aangemaakt en de contentblokken erin.

Leerlingen

• Naam, e-mail, optioneel telefoon en geboortedatum, optioneel ouder-e-mail.
• Lestoegewezenheid, oefenlogs, voortgangsnotities van de docent.
• Aanwezigheid en tijd doorgebracht in lessessies.

Minderjarigen: Veel drum- en bandleerlingen zijn onder de 16. Hun accounts worden aangemaakt door de muziekschool-eigenaar onder diens eigen rechtsgrond als dienstverlener; het ouder-e-mailadres (indien opgegeven) wordt alleen gebruikt voor facturatie en lesreminders. Ouders kunnen inzage, correctie of verwijdering aanvragen via de schooleigenaar of rechtstreeks via mail@musicdott.app.

Waarom houden we deze gegevens vast?

Strikt om de dienst te leveren:

• Gebruikers authenticeren en accounts beschermen (rechtsgrond: overeenkomst).
• Leerlingen hun lesmateriaal tonen en hun voortgang bijhouden (rechtsgrond: overeenkomst).
• De schooleigenaar factureren via Stripe (rechtsgrond: overeenkomst + wettelijke verplichting voor facturatie).
• Transactionele e-mails versturen (signup, wachtwoord-reset, uitnodiging, lesreminders) (rechtsgrond: overeenkomst).

We gebruiken je gegevens niet voor marketing, profiling of enige vorm van geautomatiseerde besluitvorming.

Met wie delen we gegevens?

Alleen met subverwerkers die strikt nodig zijn om de dienst te leveren. Elk heeft zijn eigen verwerkersovereenkomst.

• Stripe — Betalingsverwerking. Ontvangt de naam, e-mail en kaartgegevens van de betaler rechtstreeks (wij zien het kaartnummer nooit).
• Hostinger — Uitgaande transactionele e-mail. Ontvangt het ontvangersadres + de berichtinhoud.
• Railway — Hosting en database (PostgreSQL) binnen de EU. Bevat de volledige Musicdott-database.
• Sentry — Foutmeldingen. Ontvangt stacktraces en request-paden wanneer er iets breekt; persoonsgegevens worden zoveel mogelijk gefilterd.

We verkopen of verhandelen onder geen enkele omstandigheid persoonsgegevens met derden.

Hoe lang bewaren we jouw gegevens?

• Actieve accounts: zolang het schoolabonnement actief is.
• Na opzegging: 90 dagen waarin de schooleigenaar kan herstarten; daarna definitief verwijderd, behalve factuurgegevens.
• Facturen en betalingsgegevens: 7 jaar (Nederlandse fiscale bewaarplicht).
• Auth-tokens (wachtwoord-reset, e-mailverificatie, uitnodigingen): verlopen na respectievelijk 1 uur tot 14 dagen, daarna automatisch verwijderd.

Jouw rechten onder de AVG

Je kunt op elk moment de volgende rechten uitoefenen. De meeste zijn self-service in de app:

• Inzage — Zie wat we over je vasthouden in je accountinstellingen, of vraag een volledige kopie aan via mail@musicdott.app.
• Dataportabiliteit — Gebruik de knop "Exporteer mijn gegevens" in accountinstellingen (roept /api/user/export aan). Je krijgt een JSON-download met al je gegevens.
• Correctie — Pas je profiel aan in accountinstellingen, of mail ons als een correctie speciale aandacht vereist.
• Verwijdering ("recht om vergeten te worden") — Gebruik "Verwijder mijn account" in accountinstellingen. We anonimiseren eerst de gekoppelde leerling-records, daarna verwijderen we je gebruikersaccount definitief. Facturen worden 7 jaar bewaard (wettelijke plicht).
• Bezwaar — Maak bezwaar tegen een specifieke verwerking door ons te mailen. Omdat we geen marketing of profiling doen, is dit zelden van toepassing.
• Klacht — Dien een klacht in bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl. We hopen dat je eerst met ons praat; we lezen elke mail.

Hoe beschermen we jouw gegevens?

Wachtwoorden zijn scrypt-gehasht (of bcrypt voor legacy-accounts). Sessies gebruiken HTTP-only secure cookies. De database staat bij Railway in de EU met dagelijkse backups. Al het verkeer gaat over HTTPS. Auth-tokens worden sha256-gehasht opgeslagen. We volgen OWASP Top 10 in onze code-reviews. We zijn eerlijk over wat we nog niet hebben: een formele SOC2-audit, externe pentest-rapporten, of een 24/7-SOC. Als die voor jouw school harde eisen zijn, is Musicdott waarschijnlijk niet de juiste keuze.

Cookies

We gebruiken alleen functionele cookies: een sessiecookie om je ingelogd te houden, en een CSRF-cookie. Geen marketing- of analyticscookies. We gebruiken geen Google Analytics, Facebook Pixel, Hotjar of enige tracker die je profileert.

Wijzigingen in deze verklaring

Als we iets wezenlijks wijzigen, mailen we alle accounthouders. Kleinere wijzigingen worden hier op deze pagina aangepast met een nieuwe "laatst bijgewerkt"-datum. Belangrijke beleidswijzigingen vereisen expliciete herbevestiging voordat ze ingaan.

Contact

Vragen over je gegevens, of over deze verklaring: mail@musicdott.app. We antwoorden binnen één werkdag tijdens de bèta. Na de bèta binnen vijf werkdagen.