Privacyverklaring Woningwarmte

1. Persoonsgegevens die wij verwerken

Woningwarmte verwerkt jouw persoonsgegevens omdat je gebruikmaakt van onze diensten en/of omdat je deze gegevens zelf aan ons verstrekt. Wij verwerken de volgende categorieën persoonsgegevens:

• Voor- en achternaam
• Adresgegevens (postcode, huisnummer, straat, woonplaats)
• E-mailadres
• Telefoonnummer (alleen als je dit zelf opgeeft)
• Woninggegevens die je invult in de woning-check (zoals bouwjaar, isolatie, gasverbruik, aantal bewoners) en gegevens in jouw Huisdossier
• Het energieadviesrapport dat voor jouw woning is opgesteld, als je dat hebt aangevraagd (ook adviezen uit de periode dat wij Zonnewarmte heetten)
• Inloggegevens (gebruikersnaam, gehasht wachtwoord)
• IP-adres en browserkenmerken bij het versturen van een formulier (ter voorkoming van misbruik)
• Gegevens over jouw gebruik van de website (bezochte pagina's, klikgedrag, tijdstip) via ons statistiekprogramma
• Overige gegevens die je actief verstrekt via formulieren, e-mail of telefoon

Gegevens uit openbare registers. Vul je in de woning-check je postcode en huisnummer in, dan halen wij kenmerken van de woning op uit openbare registers: bouwjaar, oppervlakte en daktype uit de Basisregistratie Adressen en Gebouwen (BAG) van het Kadaster, PDOK en 3DBAG, het geregistreerde energielabel uit EP‑Online (RVO) en de WOZ‑waarde uit de Landelijke Voorziening WOZ (Kadaster). Zonder deze kenmerken kan de woning-check niet worden uitgevoerd. Daarbij versturen wij alleen het adres, geen naam of andere persoonsgegevens. De opgehaalde kenmerken bewaren wij maximaal 180 dagen in een adrescache op onze eigen server, zodat wij de registers niet bij elk bezoek opnieuw hoeven te bevragen.

2. Bijzondere en/of gevoelige persoonsgegevens

Onze website is niet gericht op kinderen jonger dan 16 jaar. Wij hebben niet de intentie gegevens te verzamelen over websitebezoekers die jonger zijn dan 16 jaar, tenzij zij toestemming hebben van een ouder of voogd. Omdat wij dit niet altijd kunnen controleren, raden wij ouders aan betrokken te zijn bij de online activiteiten van hun kinderen. Vermoed je dat wij zonder toestemming gegevens hebben verzameld over een minderjarige? Neem dan contact op via info@woningwarmte.nl, dan verwijderen wij deze gegevens.

Woningwarmte verwerkt geen bijzondere persoonsgegevens zoals bedoeld in artikel 9 AVG (gezondheid, religie, politieke opvattingen, etniciteit en dergelijke).

3. Doelen en grondslagen voor de verwerking

Wij verwerken jouw persoonsgegevens voor de volgende doelen, op basis van de daarbij vermelde wettelijke grondslagen uit artikel 6 AVG:

Gegevens over woningen in de wijk. Voor de planning van de eerste ronde verwerken wij ook openbare gegevens over alle woningen in het Ramplaankwartier, dus ook van bewoners die de woning-check niet hebben gedaan: de adressenlijst van de gemeente Haarlem, woningkenmerken uit de BAG, luchtfoto's en de daaruit afgeleide inschatting of er zonnepanelen op het dak liggen. Deze gegevens zijn alleen zichtbaar voor ons kernteam, worden niet gedeeld en worden niet gebruikt om individuele bewoners te benaderen zonder dat zij zelf contact hebben gezocht. Grondslag: gerechtvaardigd belang (art. 6 lid 1 sub f); je kunt hiertegen bezwaar maken (zie paragraaf 9).

4. Bewaartermijnen

Wij bewaren jouw persoonsgegevens niet langer dan strikt nodig is voor de doelen waarvoor ze worden verzameld. Concreet:

• Woning-check en dashboard zonder account: je antwoorden en de keuzes die je op het dashboard maakt bewaren wij, gekoppeld aan het ingevulde adres, maximaal 12 maanden voor de analyse uit paragraaf 3. Daarna verwijderen wij ze automatisch, of bewaren wij alleen niet tot een woning herleidbare totalen.
• Accountgegevens en Huisdossier (inclusief opgeslagen woning-check-antwoorden en dashboardkeuzes): zolang je account actief is. Na inactiviteit langer dan 2 jaar nemen wij contact op en verwijderen wij het account daarna. Zeg je je account op, dan bewaren wij je gegevens daarna nog maximaal 2 jaar (voor vervolgvragen en aansprakelijkheid) en verwijderen wij ze vervolgens; vraag je zelf om verwijdering, dan doen wij dat eerder (zie paragraaf 9).
• Formulierinzendingen (interesse eerste ronde, contact, accountaanvraag): maximaal 2 jaar na het laatste contact. Het meegeslagen IP-adres en browserkenmerk verwijderen of anonimiseren wij uiterlijk 12 maanden na de inzending.
• Nieuwsbrief- en projectupdate-abonnees: tot je je afmeldt. Na afmelding bewaren wij het e-mailadres maximaal 6 maanden op een uitsluitlijst om herinschrijving zonder bevestiging te voorkomen.
• Aanvragen voor diensten (zoals energieadvies): zolang de dienst loopt en daarna 5 jaar in verband met aansprakelijkheid en eventuele vervolgvragen.
• Financiële en administratieve gegevens: 7 jaar (wettelijke bewaarplicht, art. 52 AWR).
• Logbestanden van de webserver: 30 dagen.
• Back-ups: van onze database en bestanden maken wij dagelijks een versleutelde reservekopie. Die bewaren wij maximaal 15 dagen; daarna wordt hij automatisch overschreven. Gegevens die wij op jouw verzoek verwijderen, verdwijnen binnen die termijn dus ook uit de back-ups. Back-ups gebruiken wij uitsluitend om onze systemen te herstellen na een storing of incident.

5. Delen met derden

Wij verstrekken jouw persoonsgegevens uitsluitend aan derden als dit noodzakelijk is voor de uitvoering van onze diensten of om aan een wettelijke verplichting te voldoen. Met partijen die jouw gegevens namens ons verwerken sluiten wij een verwerkersovereenkomst conform artikel 28 AVG.

Onze huidige verwerkers en dienstverleners zijn:

Ons nieuwsbrief- en contactbeheer (FluentCRM) draait als software binnen onze eigen, bij Infomaniak gehoste omgeving; er is geen externe CRM-partij die jouw gegevens ontvangt.

Geef je op je woningdashboard interesse door in een offerte, dan delen we je naam, adres, e‑mailadres, het gekozen onderwerp en voor de aanvraag relevante woningkenmerken via Pico, het platform van HomeZero B.V., met ten minste één installatiepartner om een offerte voor je te laten maken. HomeZero treedt daarbij op als verwerker; de installatiepartner die contact met je opneemt, is voor het offertetraject zelf verwerkingsverantwoordelijk.

Daarnaast versturen wij bij de woning-check jouw postcode en huisnummer aan het Kadaster (BAG en de Landelijke Voorziening WOZ), PDOK, 3DBAG (TU Delft) en EP‑Online (RVO) om openbare woningkenmerken, de WOZ‑waarde en het geregistreerde energielabel op te halen. Deze partijen ontvangen alleen het adres en geen naam of contactgegevens; zij zijn zelf verantwoordelijk voor hun verwerking van deze bevragingen.

Onze captcha (ALTCHA) draait volledig op onze eigen server; daarbij worden geen gegevens met een externe dienst gedeeld.

Externe inhoud. Het lettertype en de icoontjes van de website worden vanaf onze eigen server geladen; daarbij worden geen gegevens met externe partijen gedeeld. Op de pagina van de woning-check haalt jouw browser de kaartweergave (Leaflet) op via unpkg.com en de luchtfoto van jouw dak rechtstreeks bij PDOK (Kadaster); die partijen ontvangen daarbij technisch noodzakelijke gegevens zoals jouw IP‑adres en, bij PDOK, het stukje kaart rond jouw woning. Op elke pagina laadt jouw browser het statistiekscript van Umami en het feedbackscript van BugHerd; die partijen ontvangen daarbij eveneens jouw IP‑adres en browserkenmerken. Umami slaat het IP‑adres niet op en zet geen cookies; de feedbackbalk van BugHerd is alleen zichtbaar voor leden van ons reviewteam die bij BugHerd zijn ingelogd. Het statistiekscript van Microsoft Clarity laadt pas na jouw cookietoestemming.

6. Doorgifte buiten de Europese Economische Ruimte (EER)

In een aantal gevallen worden jouw gegevens verwerkt buiten de EER:

• Zwitserland (Infomaniak): Zwitserland heeft van de Europese Commissie een adequaatheidsbesluit. Het beschermingsniveau is daarmee gelijkwaardig aan dat binnen de EU.
• Verenigde Staten (Google Workspace, Microsoft Clarity, unpkg-CDN): Google en Microsoft zijn gecertificeerd onder het EU‑US Data Privacy Framework, het door de Europese Commissie erkende kader voor doorgifte van persoonsgegevens naar de Verenigde Staten. Daarnaast hanteren zij aanvullende waarborgen via Standard Contractual Clauses (SCC's).
• Umami (Verenigde Staten) en BugHerd (Australië): beide partijen verwerken hooguit technische gegevens (IP‑adres, browserkenmerken, bezochte pagina's) op basis van Standard Contractual Clauses (SCC's); Umami bewaart daarbij geen IP‑adressen.

7. Cookies en vergelijkbare technieken

Onze website gebruikt cookies en vergelijkbare technieken. Een cookie is een klein tekstbestand dat bij jouw bezoek wordt opgeslagen in de browser van jouw apparaat.

Wij onderscheiden:

• Functionele cookies (geen toestemming nodig): noodzakelijk voor de werking van de website, zoals de inlogcookies die onthouden dat je bent ingelogd en de cookie waarin jouw cookievoorkeur wordt opgeslagen.
• Statistiek zonder cookies – Umami (geen toestemming nodig): Umami telt bezoeken en bekeken pagina's zonder cookies en zonder iets op jouw apparaat op te slaan; het IP‑adres wordt niet bewaard en bezoekers zijn niet over meerdere dagen te volgen. Daarom laadt Umami zonder cookiebanner.
• Tijdelijke opslag in jouw browser (geen toestemming nodig): tijdens de woning-check bewaart jouw browser zelf het ingevulde adres, jouw antwoorden en de vraag waar je gebleven was, zodat je later verder kunt gaan waar je was, ook na het sluiten van je browser. Op het dashboard geldt hetzelfde voor de maatregelen en warmteoplossing die je aanvinkt. Deze browseropslag wordt niet met derden gedeeld en blijft op jouw apparaat staan tot je hem wist: met "begin opnieuw" in de woning-check, of door de sitegegevens in je browser te wissen. Je antwoorden en dashboardkeuzes sturen wij daarnaast wél naar onze eigen server om de woning-check te verbeteren; zie paragraaf 3 (analyse van de woning-check) en de bewaartermijnen in paragraaf 4.
• Analytische cookies – Microsoft Clarity (toestemming nodig): wij gebruiken Microsoft Clarity om te begrijpen hoe bezoekers onze site gebruiken, via statistieken, heatmaps en geanonimiseerde weergaven van sessies (waarbij ingevoerde tekst wordt gemaskeerd). Clarity plaatst daarvoor cookies (onder meer _clck en _clsk) en verwerkt apparaat-, browser- en gebruiksgegevens. Omdat hierbij gegevens worden gedeeld met Microsoft, laden wij Clarity pas nadat je daarvoor via de cookiebanner toestemming hebt gegeven.

Wij gebruiken geen tracking- of marketingcookies en tonen geen advertenties.

Je kunt jouw toestemming op elk moment intrekken of alsnog geven via de link "Cookie-instellingen" onderaan de website, of door de cookies in jouw browser te verwijderen.

8. Jouw Huisdossier

Gegevens die je opslaat in jouw Huisdossier – waaronder je antwoorden uit de woning-check – zijn alleen zichtbaar voor jou en voor de beheerders van Woningwarmte die deze toegang nodig hebben voor ondersteuning en dienstverlening. Jouw gegevens zijn niet zichtbaar voor andere gebruikers en worden niet gedeeld met derden, tenzij je daar zelf expliciet toestemming voor geeft (bijvoorbeeld bij een offerteaanvraag).

Heb je eerder een energieadvies aangevraagd – ook in de periode dat wij Zonnewarmte heetten – dan bewaren wij dat adviesrapport (PDF) in onze eigen omgeving en kun je het downloaden via jouw Huisdossier. Alleen jij, als oorspronkelijke aanvrager, krijgt die downloadmogelijkheid te zien.

9. Jouw rechten

Je hebt onder de AVG de volgende rechten ten aanzien van jouw persoonsgegevens:

• Recht op inzage (art. 15 AVG): weten welke gegevens wij van jou verwerken.
• Recht op rectificatie (art. 16): onjuiste gegevens laten corrigeren.
• Recht op verwijdering (art. 17): jouw gegevens laten wissen ("recht om vergeten te worden"). Uit onze back-ups verdwijnen je gegevens daarna vanzelf, uiterlijk na 15 dagen (zie Bewaartermijnen).
• Recht op beperking van de verwerking (art. 18).
• Recht op gegevensoverdraagbaarheid (art. 20): jouw gegevens in een leesbaar bestand ontvangen of laten doorsturen naar een andere partij.
• Recht van bezwaar (art. 21) tegen verwerking op grond van gerechtvaardigd belang of voor direct marketing.
• Recht om toestemming in te trekken: voor verwerkingen die op jouw toestemming zijn gebaseerd, even gemakkelijk als waarop je deze hebt gegeven.

Stuur voor een verzoek een e-mail naar info@woningwarmte.nl.

Identificatie
Wij stellen jouw identiteit vast op de minst ingrijpende manier die past bij het verzoek. Vaak volstaat het versturen vanaf het e-mailadres dat bij ons bekend is. Alleen als wij gerede twijfel hebben over jouw identiteit, kunnen wij om aanvullende informatie vragen. Wij vragen niet standaard om een kopie identiteitsbewijs.

Wij reageren binnen vier weken op jouw verzoek. Bij complexe of veelvuldige verzoeken kunnen wij deze termijn met maximaal twee maanden verlengen; wij laten je dat dan binnen de eerste vier weken weten.

10. Klachten

Ben je niet tevreden over hoe wij met jouw gegevens omgaan, dan horen wij dat graag eerst via info@woningwarmte.nl. Daarnaast heb je het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens, via autoriteitpersoonsgegevens.nl.

11. Beveiliging van persoonsgegevens

Wij nemen de bescherming van jouw gegevens serieus en nemen passende technische en organisatorische maatregelen om misbruik, verlies, onbevoegde toegang, ongewenste openbaarmaking en ongeoorloofde wijziging tegen te gaan. Concreet:

• Versleutelde verbinding via HTTPS (TLS).
• Toegang tot persoonsgegevens uitsluitend voor bevoegde personen, op basis van rolgebaseerde toegangsrechten.
• Wachtwoorden worden uitsluitend versleuteld (gehasht) opgeslagen.
• Gevoelige instellingen en sleutels staan buiten de webomgeving en buiten het versiebeheer.
• Dagelijkse back-up van onze database en bestanden, versleuteld voordat die onze server verlaat. De versleutelde kopie staat bij een tweede hostingpartij in Duitsland (STRATO GmbH); de sleutel om de back-up te ontsleutelen staat niet bij die partij.
• Periodieke updates van software en serversystemen.

Heb je het vermoeden dat jouw gegevens niet goed beveiligd zijn, of zie je een aanwijzing van misbruik of een datalek? Neem dan direct contact op via info@woningwarmte.nl. Wij melden datalekken met een risico voor betrokkenen binnen 72 uur bij de Autoriteit Persoonsgegevens, zoals voorgeschreven door artikel 33 AVG.

12. Geautomatiseerde besluitvorming

De woning-check berekent automatisch een indicatie en vergelijking op basis van jouw invoer, maar dit is een vrijblijvend hulpmiddel: er worden geen besluiten over jou genomen met rechtsgevolgen of besluiten die je anderszins in aanmerkelijke mate treffen, in de zin van artikel 22 AVG.

13. Wijzigingen in deze privacyverklaring

Woningwarmte kan deze privacyverklaring van tijd tot tijd wijzigen, bijvoorbeeld bij veranderingen in onze diensten of in de wetgeving. De meest actuele versie staat altijd op onze website met de datum van laatste wijziging bovenaan. Bij ingrijpende wijzigingen informeren wij actieve gebruikers daarover per e-mail.