Privacybeleid

1. Wie we zijn

KOCOA ("wij", "ons", "onze") exploiteert kocoa.nl en het merk innerTIDE. Wij zetten ons in om uw persoonsgegevens te beschermen in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG/AVG) en de toepasselijke Nederlandse en EU-privacywetgeving.

2. Welke gegevens we verzamelen

Wanneer u onze website bezoekt, een bestelling plaatst of een account aanmaakt, kunnen wij de volgende gegevens verzamelen: naam, e-mailadres, verzend- en factuuradres, telefoonnummer, betalingsgegevens (veilig verwerkt door onze betalingsprovider — wij slaan nooit kaartgegevens op) en alle informatie die u verstrekt wanneer u contact met ons opneemt of een groothandelsaanvraag indient.

Productbeoordelingen

Als u een productbeoordeling schrijft, publiceren we de naam die u invult (we raden een voornaam en de eerste letter van uw achternaam aan), uw score en tekst, uw huidtype en locatie als u die opgeeft, de taal van de beoordeling en de datum. We bewaren ook, maar tonen nooit, de bestelling waarbij de beoordeling hoort en uw account als u er een hebt, om de aankoop te controleren en beloningspunten toe te kennen. De rechtsgrond is uw toestemming, die u geeft door de beoordeling in te dienen (art. 6, lid 1, onder a, AVG), voor beloningspunten de voorwaarden van het beloningsprogramma, die een overeenkomst met u vormen (art. 6, lid 1, onder b), en, om de aankoop te controleren en misbruik te voorkomen, ons gerechtvaardigd belang (art. 6, lid 1, onder f). We bewaren een beoordeling zolang het product te koop is, of totdat u ons vraagt haar te verwijderen: u kunt uw toestemming op elk moment intrekken via de contactgegevens in punt 10 hieronder. Als u uw account verwijdert, blijven uw gepubliceerde beoordelingen online onder de naam die u hebt ingevuld, tenzij u ons vraagt ze te verwijderen. Een beoordeling die we uitsluiten, of op uw verzoek verwijderen, wordt binnen 30 dagen gewist; we bewaren alleen een aantekening dat ze heeft bestaan, met de reden en de datum.

3. Gebruikersaccounts

Wanneer u een account aanmaakt, slaan wij uw naam, e-mailadres, opgeslagen adressen en bestelgeschiedenis op. U kunt uw accountgegevens op elk moment bekijken, bijwerken of verwijderen via uw accountinstellingen. Als u verzoekt om verwijdering van uw account, verwijderen wij uw persoonsgegevens binnen 30 dagen, behalve wanneer bewaring wettelijk vereist is (bijv. belastingadministratie).

4. Hoe we uw gegevens gebruiken

Wij gebruiken uw gegevens om: bestellingen te verwerken en uit te voeren, uw account te beheren, klantenondersteuning te bieden, transactionele e-mails te verzenden (orderbevestigingen, verzendmeldingen), marketingcommunicatie te verzenden (alleen met uw uitdrukkelijke toestemming, die u bevestigt via de link in onze bevestigingsmail), websitegebruik te analyseren om onze diensten te verbeteren, fraude te voorkomen en te voldoen aan wettelijke verplichtingen.

Om u de verzendkosten voor uw land te tonen, gebruiken wij uw IP-adres eenmalig om uw land in te schatten; wij slaan het hiervoor niet op.

5. Cookies & tracking

Wij gebruiken cookies en vergelijkbare technologieën op onze website. U kunt uw voorkeuren op elk moment beheren via de cookie-instellingen in de voettekst. Wij onderscheiden de volgende categorieën:

Essentiële cookies

Noodzakelijk voor het functioneren van de website (bijv. winkelmand, authenticatie, cookievoorkeuren). Deze kunnen niet worden uitgeschakeld.

Analytische cookies

Google Analytics 4, Microsoft Clarity en PostHog helpen ons begrijpen hoe bezoekers onze website gebruiken, waaronder paginaweergaven, scrolldiepte, klikken (ook herhaalde klikken en klikken die niets doen), laadsnelheid van pagina's, klik-heatmaps en sessie-opnamen. Wij gebruiken Google Analytics ook voor onze Google-advertenties, zoals beschreven onder Marketingcookies. U kunt deze op elk moment uitschakelen via de cookie-instellingen. Wanneer een bestelling is betaald of terugbetaald, meldt onze server dit ook aan Google Analytics en PostHog, ongeacht uw cookiekeuze: het bestelnummer, het bedrag, de valuta, de taal en een eventuele verwijzende affiliate, de producten (alleen aan Google Analytics), uw account-ID als u een account heeft en, voor PostHog, de ID van uw browsersessie als die is vastgelegd, en, voor Google Analytics, de analyse-ID van uw browser en bezoek als die is vastgelegd. Deze servermeldingen bevatten uw naam of e-mailadres niet.

Marketingcookies

Meta Pixel (Facebook/Instagram) stelt ons in staat de effectiviteit van onze advertentiecampagnes te meten en u relevante advertenties te tonen. Daarnaast gebruiken wij Google Analytics 4 voor Google-advertenties: de Google-tag zoekt naar e-mailadressen, telefoonnummers, namen en adressen die op onze pagina's worden ingevoerd of getoond, bijvoorbeeld bij het afrekenen of in uw account (inclusief een bezorgadres dat u voor iemand anders invoert), zet ze in uw browser om in een eenrichtingscode (een SHA-256-hash) en stuurt die code naar Google. Uw postcode en land worden ongewijzigd verzonden. Google koppelt de codes aan Google-accounts om te meten welke advertenties tot een aankoop hebben geleid en om onze advertenties op Google-diensten te tonen, ook aan u. Google ontvangt van ons uw e-mailadres, telefoonnummer, naam of straatadres niet in leesbare vorm. Als u bent ingelogd bij een Google-account en gepersonaliseerde advertenties toestaat, koppelt Google uw bezoeken ook aan dat account (Google signals) voor cross-device-rapporten en advertentiedoelgroepen. U kunt ze op elk moment uitschakelen via de cookie-instellingen; voor het Google-deel schakelt u de analysecookies uit, waarna er niets meer vanuit uw browser naar Google wordt verzonden.

6. Diensten van derden

Wij delen gegevens met deze dienstverleners. De meeste verwerken die alleen in onze opdracht, onder een verwerkersovereenkomst; de vervoerders en Mollie treden daarnaast op als zelfstandige verwerkingsverantwoordelijken voor het bezorg- en betaalrecht, en Meta is voor de Meta Pixel onze gezamenlijke verwerkingsverantwoordelijke:

Mollie — betalingsverwerking (iDEAL, PayPal, Bancontact, creditcards)
Supabase — gebruikersauthenticatie en opslag van account- en bestelgegevens (EU: Frankfurt, Duitsland)
Cloudflare — versleutelde externe back-ups van onze database en kopieën van onze facturen, opgeslagen in de EU en vóór het uploaden versleuteld met een sleutel die alleen wij beheren, zodat Cloudflare ze niet kan lezen
Resend (via Amazon SES) — transactionele en marketing-e-mails
Netlify — hosting van de website
MyParcel, PostNL en DHL — bezorging van uw bestellingen
PostHog — websiteanalyse en sessie-opnamen (gegevens opgeslagen in de EU; u kunt het uitzetten in de cookie-instellingen)
Sentry — foutmonitoring, inclusief opnamen van een steekproef van bezoeken en van bezoeken waarbij een fout optreedt, met alle tekst gemaskeerd en afbeeldingen verborgen (gegevens opgeslagen in de EU)
Slack — interne meldingen over bestellingen en fouten voor ons team
Upstash — tellers voor snelheidsbeperking die IP-adressen of account-ID's bevatten (maximaal één uur bewaard; 24 uur voor de limiet op het downloaden van gegevens) en kortlevende sleutels afgeleid van e-mailadressen die voorkomen dat wij dubbele interne meldingen versturen (24 uur bewaard)
tawk.to — livechat (wordt op elke pagina geladen)
Google Analytics 4 — websiteanalyse en Google-advertenties, inclusief gehashte e-mailadressen, telefoonnummers, namen en adressen die op onze pagina's worden aangetroffen, postcodes en landen, en, voor bezoekers die bij Google zijn ingelogd, de koppeling met hun Google-account (Google signals); u kunt het uitzetten in de cookie-instellingen. Voor de meting handelt Google in onze opdracht; wanneer Google de gegevens gebruikt om advertenties in zijn eigen diensten te tonen, en wanneer Google Analytics-gegevens in geaggregeerde vorm gebruikt om zijn diensten te verbeteren, is Google een zelfstandige verwerkingsverantwoordelijke en geldt het privacybeleid van Google.
Microsoft Clarity — heatmaps en sessie-opnamen (u kunt het uitzetten in de cookie-instellingen)
Meta Pixel — advertentiemeting (u kunt het uitzetten in de cookie-instellingen)
Google Maps Places — adressuggesties bij het afrekenen
Google Customer Reviews — als u ervoor kiest uw aankoop op Google te beoordelen, geven we uw e-mailadres, bestelnummer, leveringsland, verwachte leverdatum en de GTIN's van de producten door aan Google, dat u als zelfstandige verwerkingsverantwoordelijke zijn enquête stuurt (het privacybeleid van Google is van toepassing). Rechtsgrond: uw toestemming; u kunt in het dialoogvenster weigeren.
PDOK (Kadaster) — opzoeken van Nederlandse postcodes bij het afrekenen (een overheidsorgaan)
Onze accountant — boekhouding en belastingaangiften

7. Bewaartermijnen

Wij bewaren uw persoonsgegevens niet langer dan noodzakelijk: bestelgegevens worden 7 jaar bewaard om te voldoen aan de Nederlandse fiscale verplichtingen, accountgegevens worden bewaard totdat u uw account verwijdert en analytische gegevens worden automatisch na 14 maanden verwijderd. Voor onze nieuwsbrief: een inschrijving die u niet bevestigt, wordt na 30 dagen verwijderd. Wanneer u zich afmeldt, stoppen we direct met het verzenden van marketing-e-mails en markeren we uw inschrijving als beëindigd. Het overzicht van uw inschrijving en toestemming (wanneer en hoe u zich hebt ingeschreven, hebt bevestigd en hebt afgemeld) bewaren we tot 3 jaar na uw afmelding, zodat we kunnen aantonen dat we uw toestemming hadden; daarna verwijderen we het. Uw e-mailadres houden we ook op een lijst van adressen die geen e-mails meer ontvangen, zo lang als nodig is om uw keuze te respecteren. Versleutelde back-ups van onze database worden maximaal 6 maanden bewaard en back-upkopieën van facturen 7 jaar. Gegevens die u heeft laten verwijderen, blijven in deze back-ups staan totdat deze verlopen; wij gebruiken ze niet en als wij ooit een back-up moeten terugzetten, verwijderen wij ze opnieuw voordat de teruggezette gegevens worden gebruikt.

8. Internationale doorgifte van gegevens

Sommige van onze dienstverleners zijn gevestigd buiten de EU/EER: Netlify, Resend met Amazon SES, Slack, Google, Meta en Microsoft zijn gevestigd in de Verenigde Staten. Doorgifte aan hen berust op het EU-VS Data Privacy Framework of op standaardcontractbepalingen (SCC's). PostHog en Sentry slaan onze gegevens op in de EU; toegang door hun Amerikaanse moederbedrijven berust op het Data Privacy Framework of op SCC's. Cloudflare slaat onze versleutelde back-ups op in de EU; toegang door Cloudflare, Inc., dat gevestigd is in de Verenigde Staten, berust op het Data Privacy Framework of op SCC's. Supabase slaat onze gegevens op in de EU (Frankfurt, Duitsland); toegang door Supabase, dat gevestigd is in Singapore, van buiten de EU berust op SCC's.

9. Uw rechten

Op grond van de AVG heeft u het recht om: uw persoonsgegevens in te zien, onjuiste gegevens te corrigeren, verwijdering van uw gegevens te verzoeken, verwerking te beperken of daartegen bezwaar te maken, gegevensoverdraagbaarheid te vragen en uw toestemming op elk moment in te trekken. Om een van deze rechten uit te oefenen, neemt u contact met ons op via onderstaand adres. Wij reageren binnen 30 dagen. U heeft ook het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.

10. Contact

Neem voor privacy-gerelateerde vragen of om uw rechten uit te oefenen contact met ons op via privacy@kocoa.nl.