Privacyverklaring

In het kort

• We verzamelen zo weinig mogelijk. Geen tracking, geen advertenties, geen verkoop van gegevens. Alleen de app zet cookies, om in te loggen en ingelogd te blijven. Bezoeken tellen we zonder cookies, alleen als totalen.
• Een adres opzoeken in de app kan zonder account. Dan vragen en bewaren we niets over jou. Alleen je IP-adres gebruiken we kort, in het werkgeheugen, om het aantal opvragingen te begrenzen; het komt niet in een log of op schijf. Een account is alleen nodig om adressen te bewaren, eigen metingen toe te voegen of te uploaden, en voor Projecten.
• Meetdata en projecten in de app zijn van wie ze aanlevert. We slaan ze versleuteld op in Duitsland en gebruiken ze voor het eigen profiel en project. Verwijderen kan altijd en is direct.
• Metingen kunnen daarnaast anoniem meetellen om de schattingen voor iedereen te verbeteren: alleen samengevoegd in groepen van minstens 10 gebouwen, nooit per gebouw en nooit terug te leiden. Bij zakelijke aansluitingen staat dat standaard aan en is het altijd uit te zetten, ook later. Bij kleine aansluitingen en waar een persoon herkenbaar kan zijn, gebeurt het alleen als je daar zelf ja op zegt.
• Per woonadres toont de app openbare feiten over het gebouw, zoals bouwjaar, energielabel, dak en zonpotentie, en een geschat verbruik. Die schatting gaat over het gebouw, niet over de bewoners: ze staat er altijd als schatting, met een marge en de bronnen. We tonen niets over de bewoners. Een straatpagina toont per woning de geschatte rekening, de besparing en het label, en zoekmachines kunnen de schatting in hun resultaten tonen. Wat je zelf toevoegt, zoals je eigen verbruik of meetdata, is nooit openbaar. Bezwaar maken of een adres laten afschermen kan via [email protected].
• In Mijn adressen bewaar je je eigen adressen, metingen, plannen en subsidies. Alleen jij ziet ze. Van een woning bewaren we alleen het jaarverbruik en meterstanden. Woon je samen met iemand die dat doet, dan kun je daar bezwaar tegen maken. Een contactverzoek gaat pas naar een uitvoerder als je voor die uitvoerder uitdrukkelijk ja zegt.
• Mail krijg je alleen als je daar per adres zelf voor kiest: een bericht als er iets nieuws is voor dat adres, hooguit 1 keer per maand. Een account is geen toestemming voor mail. Afmelden kan altijd, ook zonder in te loggen.
• Voor projecten van een adviseur zijn wij verwerker: de adviseur bepaalt wat er met de gegevens gebeurt. Voor accounts, contact, logs en het anonieme, samengevoegde gebruik zijn wij zelf verantwoordelijk.
• Vragen of een verzoek over je gegevens: [email protected].

Wie we zijn

Capendo laat per adres zien wat je bespaart, welke subsidie past en wie het doet. Dat gebeurt in de app Capendo (app.capendo.nl), met twee standen: Particulier voor woningen en Zakelijk voor bedrijfsgebouwen en bedrijventerreinen. De app toont per gebouw en bedrijventerrein wat er kan, wat het oplevert en kost, welke subsidies bij het adres horen en welke uitvoerders in de regio het doen, met een schatting van netruimte en verbruik op basis van open data en, als iemand die aanlevert, eigen meetdata. Per woning toont de app openbare feiten over het gebouw en een geschat verbruik (zie Woonadressen).

Verantwoordelijk voor deze verklaring: Capendo (capendo.nl), bereikbaar via [email protected].

De app is voor organisaties, zoals adviseurs, bedrijven, terreinen, gemeenten, energieloketten, woningcorporaties en financiers, en voor bewoners en eigenaren die willen weten wat er bij hun eigen woning kan. Voor bewoners is het gebruik gratis.

Twee rollen

Gegevens	Rol van Capendo	Wat dat betekent
Projecten van een adviseur en wat via een aanleverlink binnenkomt	Verwerker	De adviseur (of zijn organisatie) is verantwoordelijk en bepaalt doel en bewaren. Wij verwerken alleen in opdracht, volgens de verwerkersovereenkomst.
Eigen meetdata van een ingelogde gebruiker voor een bedrijfsgebouw, ook in Mijn adressen	Verwerker voor de organisatie van de gebruiker	Zoals hierboven: de meting dient alleen het eigen profiel en rapport.
Accounts, contact per e-mail, beveiliging, logs en het begrenzen van opvragingen	Verwerkingsverantwoordelijke	Wij bepalen waarom en hoe, binnen deze verklaring.
Openbare feiten over gebouwen en het geschatte verbruik, ook per woonadres	Verwerkingsverantwoordelijke	Wij kiezen welke openbare bronnen we per adres samenbrengen en hoe we schatten. Zie Woonadressen.
Mijn adressen van een bewoner of eigenaar, voor de eigen woning	Verwerkingsverantwoordelijke	Wij bewaren je adressen, metingen en plannen voor jou. Zie Mijn adressen.
Contactverzoeken aan uitvoerders	Verwerkingsverantwoordelijke, tot het verzoek gedeeld is	Na het delen is de uitvoerder zelf verantwoordelijk voor wat hij ontvangt. Zie Contactverzoeken.
Gegevens over uitvoerders	Verwerkingsverantwoordelijke	Zakelijke gegevens uit openbare registers. Zie Uitvoerders.
Anoniem, samengevoegd gebruik van metingen om schattingen te verbeteren	Verwerkingsverantwoordelijke	Een eigen doel van Capendo, beperkt tot het maken van anonieme, samengevoegde uitkomsten. Zie hieronder.

Veel gegevens in de app gaan over gebouwen en bedrijven, niet over mensen. Ze vallen pas onder de privacywet als ze iets zeggen over een persoon, bijvoorbeeld bij een eenmanszaak, een praktijk aan huis of een slimme meter van een kleinverbruiker. We behandelen meetdata daarom altijd alsof het persoonsgegevens zijn.

Welke gegevens, waarvoor en hoe lang

Website capendo.nl

• Wat: technische gegevens die elke browser meestuurt, zoals IP-adres en browsertype.
• Waarvoor: de pagina's leveren en de site beschermen tegen misbruik. Dat doet Cloudflare voor ons.
• Grondslag: gerechtvaardigd belang (een veilige en bereikbare website).
• Bewaren: wij houden geen toegangslog bij. Cloudflare verwerkt verkeersgegevens kort voor beveiliging, volgens de eigen voorwaarden.

De site gebruikt geen cookies en geen lettertypen van anderen. Bezoeken tellen we met Cloudflare Web Analytics, ook in de app: zonder cookies, zonder profiel en zonder je te herkennen bij een volgend bezoek. We zien alleen totalen, zoals bezoeken per pagina, land, type browser en laadtijd (grondslag: gerechtvaardigd belang, een site die werkt en gebruikt wordt). Zie de cookieverklaring.

Contact per e-mail

• Wat: naam, e-mailadres, organisatie en wat je ons schrijft.
• Waarvoor: je vraag beantwoorden en een eventuele afspraak voorbereiden.
• Grondslag: gerechtvaardigd belang (een vraag beantwoorden), of de voorbereiding van een overeenkomst.
• Bewaren: zolang nodig voor de vraag, daarna uiterlijk 2 jaar na het laatste contact.

Mail aan [email protected] gaat via Cloudflare Email Routing naar een mailbox bij Google.

De app zonder account

Iedereen kan in de app een adres opzoeken en de openbare feiten en schattingen zien: de energierekening, de verbruiksband, het plan met besparingen, subsidies en uitvoerders. Daar is geen account voor nodig.

• Wat: geen accountgegevens. Je browser stuurt, zoals bij elke website, technische gegevens mee, zoals het IP-adres. De app gebruikt het IP-adres alleen om het aantal opvragingen per bezoeker te tellen.
• Waarvoor: voorkomen dat iemand de gegevens per adres in bulk opvraagt of de app overbelast (zie Woonadressen).
• Grondslag: gerechtvaardigd belang (een veilige dienst en bescherming van bewoners tegen het verzamelen van gegevens per adres).
• Bewaren: alleen in het werkgeheugen van de server, nooit in een log of op schijf. De telling kijkt hooguit een uur terug; daarna gebruiken we het IP-adres niet meer en verdwijnt het uit het werkgeheugen, uiterlijk bij de volgende herstart van de app. Welk adres je opzoekt, bewaren we niet bij je IP-adres.

Wil je adressen bewaren in Mijn adressen, eigen metingen toevoegen of uploaden, of Projecten gebruiken, dan heb je een account nodig.

Account in de app

• Wat: e-mailadres, naam (als Google of Microsoft die meegeeft), een kenmerk van het account bij Google of Microsoft, de datum van aanmaken en van de laatste keer inloggen, en de sessies (een versleutelde verwijzing, geen wachtwoord). Bij inloggen met een code per mail: het mailadres en, 10 minuten lang, een versleutelde vorm van de code.
• Waarvoor: inloggen, misbruik van het inloggen beperken en de eigen adressen, projecten en metingen aan het juiste account koppelen.
• Grondslag: uitvoering van de overeenkomst (de gebruiksvoorwaarden).
• Bewaren: een sessie 14 dagen na het laatste gebruik, een code 10 minuten, het account zolang het bestaat. Na het einde van het gebruik verwijderen we het account, uiterlijk binnen 30 dagen.

Inloggen kan met een account van Google of Microsoft, of met een code per mail. Kies je Google of Microsoft, dan verwerkt die partij het inloggen als zelfstandig verantwoordelijke, volgens de eigen privacyverklaring; wij krijgen alleen het mailadres, de naam en het kenmerk van het account. Kies je de code per mail, dan verstuurt Lettermint die mail voor ons. Geeft Capendo iemand toegang tot een onderdeel van de app dat niet voor iedereen open is, dan kan diegene een uitnodiging per mail krijgen, ook via Lettermint; het mailadres bewaren we dan in de lijst van wie toegang heeft, tot de toegang wordt ingetrokken. Wachtwoorden zien en bewaren we niet.

Woonadressen

Per woning toont de app openbare of zichtbare feiten over het gebouw en een geschat verbruik, voor alle woonadressen in Nederland (ongeveer 8,5 miljoen). Een overzicht in gewone taal staat op Wat we per adres tonen. Omdat die aan een woonadres hangen, kunnen ze iets zeggen over de bewoners of de eigenaar. We behandelen ze daarom als persoonsgegevens.

Per woonadres tonen we:

• adres, soort woning, bouwjaar en oppervlakte (BAG, Kadaster);
• het geregistreerde energielabel met de datum van registratie (EP-online, RVO);
• het dak en hoeveel zonnepanelen erop passen (3D BAG); bij een appartement gaat het om het dak van het hele gebouw;
• zonnepanelen die op de luchtfoto te zien zijn (luchtfoto's van Beeldmateriaal Nederland via PDOK, herkend met een eigen model), alleen als het model daar voldoende zeker van is;
• de ruimte op het stroomnet in de postcode (capaciteitskaart van de netbeheerders);
• of de woning geschikt lijkt voor een warmtepomp (all-electric, hybride of eerst isoleren), afgeleid met een vaste regel uit bouwjaar en label;
• als context het gemiddelde verbruik in de buurt: een cijfer van de netbeheerder per groep van minstens 10 aansluitingen;
• een geschat jaarverbruik van stroom en gas, met een marge (van laag tot hoog) en de bronnen, en daarmee per maatregel de besparing, de kosten en de terugverdientijd. De schatting komt uit gegevens over het gebouw (label, soort woning, bouwjaar, oppervlakte, vorm en dak) en uit buurtcijfers van het CBS en de netbeheerder. Ze zegt wat een woning als deze gewoonlijk verbruikt, niet wat de bewoners verbruiken, en staat er altijd als schatting;
• subsidies die bij het adres kunnen horen en uitvoerders in de regio.

Verder geldt:

• Wat we niet doen: we schatten geen piek, dagprofiel of aanwezigheid per woning, en gebruiken niets over de bewoners voor de schatting. We tonen geen namen, eigenaren, bewoners, inkomen, gezinssamenstelling of gedrag, en koppelen niet met de Basisregistratie Personen of met eigenaarsgegevens van het Kadaster. Woningen kunnen niet in een project en zitten niet in batch-opvragingen, CSV-bestanden of andere exports. Eigen meetdata voor een woning kan alleen de bewoner of eigenaar zelf invoeren, voor de eigen woning, in Mijn adressen.
• Waarvoor: bewoners, eigenaren en wie hen helpt (zoals een gemeente, energieloket, woningcorporatie of installateur) laten zien wat er bij een woning kan: zon, het label, isoleren, een warmtepomp en de ruimte op het net, en wat dat ongeveer oplevert.
• Grondslag: gerechtvaardigd belang (artikel 6 lid 1 sub f AVG), met de afweging hieronder. De gegevens komen uit openbare bronnen, niet van de bewoners zelf; deze verklaring is de informatie daarover (artikel 14 AVG).
• Wie ziet het: iedereen die in de app een adres opzoekt, ook zonder account. Per adres is er een eigen pagina, en per straat een overzicht dat bij elke woning de geschatte rekening per maand, de besparing per maand en het label toont. Er is geen zoekfunctie op kenmerken, geen bestand en geen export van woningen, en het aantal opvragingen per bezoeker is begrensd. Partijen die betalen, krijgen buurtbeelden en geen lijsten met adressen.
• Zoekmachines en crawlers: de pagina's van adressen en straten zijn te vinden via zoekmachines en AI-zoekdiensten, met een sitemap. Daarop staan alleen openbare feiten en de schatting die we daaruit afleiden (BAG, 3D BAG, EP-online, CBS, KNMI en de netbeheerders), altijd als schatting. De beschrijving die een zoekmachine bij het resultaat toont, noemt de geschatte rekening en besparing. We sluiten geen crawlers uit, ook niet die van diensten die pagina's verzamelen voor archieven of voor het trainen van taalmodellen. Wat een gebruiker zelf toevoegt, zoals eigen verbruik, meetdata of uploads, komt nooit op een openbare pagina of bij een zoekmachine.
• Juistheid: bij elk gegeven staan de bron en de datum. Een label of een herkenning op de luchtfoto kan verouderd of onjuist zijn. Een schatting kan veel afwijken van het werkelijke verbruik; daarom staat er een marge bij. Wie er woont, kan in Mijn adressen eigen metingen invoeren; die ziet alleen die gebruiker, en ze veranderen niet wat anderen zien. Fouten melden kan via [email protected]; een label laat je verbeteren via EP-online.
• Bezwaar en afschermen: bewoners en eigenaren kunnen bezwaar maken (artikel 21 AVG) of vragen een woonadres af te schermen, via [email protected]. Je kiest: alleen de schatting weghalen, of het hele adres. We zetten het adres op de afschermlijst; die geldt direct, voor iedereen, met of zonder account, en ook voor elke volgende versie van de gegevens. De pagina geeft dan aan zoekmachines door dat ze weg is, het adres verdwijnt uit de sitemap en de straatpagina, we legen de tijdelijke kopie bij Cloudflare en vragen Google en Bing het adres te verwijderen. Kopieën die anderen al gemaakt hebben, zoals archieven of trainingsdata van taalmodellen, vallen buiten ons bereik. We vragen alleen wat nodig is om te weten dat je bij het adres hoort.
• Bewaren: we vervangen de gegevens bij elke nieuwe versie van de bronnen, eens per maand tot eens per jaar. Opzoeken van een adres bewaren we niet, niet per gebruiker en niet per IP-adres.

Mijn adressen

In Mijn adressen bewaren bewoners, eigenaren en bedrijven wat bij hun eigen gebouwen hoort.

• Wat: de adressen die je bewaart (met het BAG-nummer), eigen metingen (jaarverbruik van stroom en gas, meterstanden of een export van een P1-lezer), maatregelen met hun stand (idee, gepland, offerte, gedaan) en datum, en subsidies die je bewaart met hun stand.
• Waarvoor: je eigen overzicht, en rekenen met je eigen metingen in plaats van de schatting.
• Eigen woning: metingen voor een woning kun je alleen invoeren voor je eigen woning, als eigenaar of huurder die er woont, en voor hooguit een woning. Je bevestigt dat je er woont. Van een woning bewaren we alleen het jaarverbruik en meterstanden: een export, ook van een P1-lezer, brengen we bij het bevestigen terug tot het jaartotaal, zonder kwartierwaarden, piek of EAN. Alleen jij ziet de metingen; ze veranderen niet wat anderen over het adres zien. Anoniem meetellen gebeurt alleen als je daar uitdrukkelijk ja op zegt, zoals bij elke kleine aansluiting (zie hieronder).
• Grondslag: uitvoering van de overeenkomst (de gebruiksvoorwaarden), ook voor de metingen van je eigen woning. De vraag of je er woont, is een bevestiging en een waarborg, geen toestemming. Voor anoniem meetellen van metingen van een woning: je toestemming (artikel 6 lid 1 sub a AVG), apart gevraagd en altijd in te trekken.
• Medebewoners: het verbruik van een woning zegt ook iets over de anderen die er wonen. Zij zijn daarom ook betrokkenen. Voor hen is de grondslag gerechtvaardigd belang (artikel 6 lid 1 sub f AVG): het belang van de bewoner om het eigen verbruik bij te houden, met als waarborgen dat we alleen het jaartotaal bewaren, versleuteld en alleen zichtbaar voor die bewoner. Woon je op een adres waarvoor een medebewoner metingen in Mijn adressen bewaart en wil je dat niet, maak dan bezwaar via [email protected] met het adres. We verwijderen dan de metingen van die woning en laten de gebruiker weten dat een medebewoner bezwaar maakte; nieuwe metingen voor die woning bewaren we alleen als je ermee instemt. We vragen alleen wat nodig is om te weten dat je op het adres woont.
• Rol: voor de eigen woning zijn wij verwerkingsverantwoordelijke. Gebruik je Mijn adressen namens een organisatie voor een bedrijfsgebouw, dan zijn wij voor de metingen verwerker voor die organisatie, zoals bij meetdata hieronder.
• Bewaren: tot je het verwijdert of je account opheft. Verwijderen is direct en definitief. Na het opheffen van een account verwijderen we de rest, uiterlijk binnen 30 dagen.

Bericht bij nieuws over een bewaard adres

Wie een adres bewaart in Mijn adressen, kan per adres kiezen voor een mail als er iets nieuws is voor dat adres.

• Wat: een nieuwe of hogere subsidie die past bij een stap in je plan, een regeling die sluit voor een stap die je gepland hebt, of een nieuw geregistreerd energielabel. Geen herinneringen, geen periodieke overzichten en geen nieuwsbrief.
• Hoe vaak: hooguit 1 mail per maand per adres; wat in een maand nieuw is, komt samen in een mail.
• Keuze: dit staat standaard uit en staat los van het account; een account is geen toestemming voor mail. Je kiest het per adres bij het bewaren of later in Mijn adressen, en zet alles in een keer uit op de accountpagina.
• Gegevens: het mailadres van je account, de bewaarde adressen met je keuze per adres, en per adres wat er bij de vorige mail bekend was (subsidies en label), zodat we alleen melden wat nieuw is. We leggen vast wanneer en met welke tekst je toestemming gaf of introk.
• Grondslag: je toestemming (artikel 6 lid 1 sub a AVG; voor elektronische berichten ook artikel 11.7 Telecommunicatiewet).
• Afmelden: altijd, met de link in elke mail (zonder inloggen), per adres in Mijn adressen of voor alles op de accountpagina.
• Versturen: via Lettermint, dat ook de inlogmail verstuurt. Mails bevatten geen trackingpixel en we houden niet bij of je ze opent.
• Bewaren: je keuze en het vastleggen van je toestemming zolang je account bestaat. Is er mail verstuurd, dan bewaren we na het opheffen van je account hooguit 2 jaar na de laatste mail een bewijs van je toestemming, zonder de inhoud van Mijn adressen.

Contactverzoeken aan uitvoerders

Bij een maatregel kun je een contactverzoek klaarzetten voor een uitvoerder in de regio, zoals een installateur of isolatiebedrijf.

• Wat: je naam, e-mailadres, eventueel je telefoonnummer, het adres, de maatregel, je bericht, de gekozen uitvoerder, en per deling je ja met datum en tijd.
• Delen: pas als je voor die uitvoerder apart en uitdrukkelijk ja zegt. Niets staat vooraf aangevinkt; een ja geldt voor een uitvoerder en een verzoek. Je ziet vooraf wat er gedeeld wordt. Nu worden verzoeken alleen bewaard en getoond in Mijn adressen; we sturen nog niets naar uitvoerders. Gaan we verzoeken versturen, dan vermelden we hier vooraf hoe.
• Grondslag: je toestemming per deling (artikel 6 lid 1 sub a AVG). Intrekken kan zolang het verzoek nog niet gedeeld is.
• Na het delen: de uitvoerder is zelf verantwoordelijk voor wat hij ontvangt en gebruikt het alleen voor je verzoek. Vragen over die gegevens stel je dan aan de uitvoerder; wij helpen mee.
• Bewaren: tot je het verzoek verwijdert of je account opheft. Een verzoek dat nooit gedeeld is, verwijderen we na 12 maanden zonder activiteit.

Uitvoerders in de app

De app toont per regio en maatregel uitvoerders, met zakelijke gegevens uit OpenStreetMap (bedrijfsnaam, soort bedrijf, plaats, werkgebied, website en zakelijke contactgegevens) en uit EP-online (hoeveel energielabels een gecertificeerde adviseur in de regio registreerde). Bij een eenmanszaak kan dat over een persoon gaan.

Voor erkenningen en keurmerken linkt de app naar externe registers, zoals InstallQ, Zonnekeur en de registers van certificatie-instellingen, zodat je een erkenning zelf bij de bron nakijkt. De gegevens van die registers nemen we niet over en we bewaren ze niet.

• Grondslag: gerechtvaardigd belang: bewoners en bedrijven laten zien wie een maatregel in hun regio uitvoert.
• Wat we niet tonen: privé-adressen, privé-telefoonnummers en gegevens die een register heeft afgeschermd. Bij een bedrijf op een woonadres tonen we geen adres, telefoon of e-mail.
• Beoordelingen: alleen uit bronnen waarvan de licentie dat toestaat, met de bron, het aantal en de datum. Beoordelingen van Google tonen we nu niet; gaan we dat doen, dan vermelden we het hier vooraf.
• Volgorde: volgens openbare uitgangspunten, met bij elke uitvoerder de reden van de plek; zie de gebruiksvoorwaarden.
• Correctie of niet vermeld worden: via [email protected]. Een eenmanszaak of vof die niet vermeld wil worden, halen we uit de lijst, uiterlijk binnen een maand.

Projecten

• Wat: projectnaam, naam van het bureau en van het bedrijf waarvoor het project is, de gekozen gebouwen (adres en BAG-nummer), ingevulde feiten zoals contractvermogen en zonnepanelen, scenario's en uploadlinks.
• Waarvoor: de werkruimte van de adviseur: locaties bundelen, rekenen, het projectrapport maken.
• Rol en grondslag: wij zijn verwerker; de adviseur bepaalt de grondslag.
• Bewaren: tot de adviseur het project verwijdert. Verwijderen wist het projectbestand en de links direct. Na het einde van het gebruik verwijderen we resterende projecten, uiterlijk binnen 30 dagen.

Meetdata

• Wat: jaarverbruik of een export met kwartier- of uurwaarden van afname en teruglevering, met de bron (meetbedrijf, netbeheerder, leverancier, P1-lezer of jaarafrekening), de EAN-code als die eenduidig in het bestand staat, en de keuze voor anoniem gebruik.
• Waarvoor: het profiel en het rapport van dat gebouw rekenen met de gemeten waarden, voor het account of project dat de meting aanlevert. Andere projecten en andere gebruikers zien de meting niet. Daarnaast kan de meting anoniem meetellen om schattingen te verbeteren, volgens de keuze bij de meting (zie hieronder).
• Rol en grondslag: voor het eigen profiel en project zijn wij verwerker voor de gebruiker of de adviseur. Voor het anonieme, samengevoegde gebruik zijn wij zelf verantwoordelijk.
• Bewaren: tot de meting verwijderd wordt ("Meetdata verwijderen" in de app). Verwijderen is direct: er is geen prullenbak. In de dagelijkse back-up van de server (zie Back-ups) staat de versleutelde meting daarna nog hooguit 7 dagen. Een upload die niet bevestigd wordt, verdwijnt na een uur. Het originele bestand en de bestandsnaam bewaren we niet; alleen de omgerekende reeks en een samenvatting.

Aanleveren via een link

Een adviseur kan een bedrijf een link sturen om meetdata en gegevens van het eigen gebouw aan te leveren (app.capendo.nl/aanleveren). Daar is geen account voor nodig.

• Wat: wat het bedrijf invult of uploadt, zoals hierboven bij meetdata en projecten.
• Wie ziet het: alleen de adviseur die de link maakte. Het bedrijf ziet alleen de eigen gebouwen.
• Rol: wij zijn verwerker voor de adviseur. Vragen over het gebruik gaan in eerste instantie naar de adviseur; wij helpen mee.
• Bewaren: zoals bij projecten en meetdata. Een link verloopt na 7, 30 of 90 dagen en is eerder in te trekken.

Anoniem gebruik om schattingen te verbeteren

De app schat verbruik, pieken en dagprofielen uit open data. Met gemeten waarden worden die schattingen beter, voor iedereen die de app gebruikt, ook voor wie aanlevert. Daarom kunnen metingen anoniem meetellen, bijvoorbeeld om een kental per soort gebouw, een dagprofiel of de gelijktijdigheid op een terrein bij te stellen. Het doel is betere schattingen, niets anders.

• Hoe: we halen eerst alles weg wat naar een gebouw, bedrijf of persoon wijst (adres, BAG-nummer, EAN, namen). Daarna gebruiken we alleen samengevoegde uitkomsten van groepen van minstens 10 gebouwen. Nooit per gebouw, en nooit zo dat een uitkomst terug te leiden is naar een gebouw, bedrijf of persoon.
• Wat we niet doen: we verkopen geen metingen, publiceren ze niet en delen ze niet per gebouw. Het anonieme gebruik heeft geen invloed op het eigen profiel, project of rapport, wat de keuze ook is.
• Zakelijke aansluitingen (groter dan 3x80 ampere, of met een gecontracteerd vermogen): anoniem meetellen staat standaard aan. Bij elke upload staat de schakelaar "Anoniem meetellen om schattingen voor iedereen te verbeteren", die aan staat. Uitzetten kan bij de upload en altijd later, per meting in de app of via [email protected]. Grondslag: gerechtvaardigd belang (artikel 6 lid 1 sub f AVG), met de afweging hieronder.
• Kleine aansluitingen (kleinverbruik tot en met 3x80 ampere, gegevens van een slimme meter of P1-lezer) en alles waarbij een natuurlijk persoon herkenbaar kan zijn, zoals een eenmanszaak of een praktijk aan huis: alleen met uitdrukkelijke toestemming (artikel 6 lid 1 sub a en artikel 7 AVG, in lijn met de gedragscode voor slimme-meterdata van ODA). We vragen het een keer, apart, bij de eerste upload, met twee gelijkwaardige keuzes en niets vooraf ingevuld. Geen antwoord of "Liever niet" betekent: de meting telt niet mee. Is de grootte van de aansluiting onbekend, dan behandelen we haar als klein.
• Later wijzigen: de keuze is per meting te wijzigen in de app. Uitzetten, bezwaar maken (artikel 21 AVG) of toestemming intrekken werkt vanaf dat moment: de meting telt bij geen enkele volgende samenvoeging meer mee. Uitkomsten die al eerder zijn samengevoegd, zijn niet terug te leiden naar een meting en blijven bestaan.
• Wat we vastleggen: bij elke meting de keuze (aan of uit), de grondslag en de datum van de laatste wijziging. Verwijderen van de meting wist ook die keuze.
• Stand van zaken: de stap die metingen samenvoegt, draait nog niet. Tot die tijd leggen we de keuze vast en respecteren we die; er wordt niets samengevoegd. Gaat de samenvoeging van start, dan vermelden we hier de datum. Keuzes die al gemaakt zijn, blijven gelden.
• Rol: voor dit anonieme, samengevoegde gebruik is Capendo zelf verwerkingsverantwoordelijke, ook voor metingen die een adviseur in een project aanlevert. Voor het project zelf blijft Capendo verwerker voor de adviseur.

Back-ups

• Wat: Hetzner maakt elke dag een kopie van de schijf van de server. Daarop staan de accounts, Mijn adressen, meetdata, projecten, het bewijs van toestemming voor mail en de afschermlijst, versleuteld zoals op de server zelf. De openbare gegevens per adres zitten er niet in; die bouwen we opnieuw op uit de bronnen.
• Waarvoor: gegevens terugzetten na een storing of een fout, zodat bewaarde adressen niet verloren gaan en een afgeschermd adres afgeschermd blijft.
• Grondslag: gerechtvaardigd belang (een betrouwbare dienst), en voor accounts de uitvoering van de overeenkomst.
• Bewaren: 7 dagelijkse kopieën; de oudste vervalt vanzelf. Wat je verwijdert, verdwijnt daarmee uiterlijk na 7 dagen ook uit de back-up. De back-ups staan bij Hetzner in Duitsland.

Beveiliging en logs

• Wat: een korte, niet terug te rekenen code van het account, aantallen en foutcodes. Geen IP-adressen, geen meetwaarden, geen adressen en geen bestandsnamen. Het IP-adres voor het begrenzen van opvragingen staat alleen in het werkgeheugen (zie De app zonder account).
• Waarvoor: storingen vinden en misbruik tegengaan.
• Grondslag: gerechtvaardigd belang (een veilige en werkende dienst).
• Bewaren: logs worden doorlopend overschreven (ten hoogste 30 MB per onderdeel), in de praktijk na enkele dagen tot weken.

Gerechtvaardigd belang: onze afweging

Waar we gerechtvaardigd belang gebruiken voor website, contact, logs en het begrenzen van opvragingen, is ons belang een veilige, bereikbare dienst en antwoord op vragen. De inbreuk is klein: het gaat om technische gegevens en wat je ons zelf schrijft, we bewaren zo kort mogelijk, profileren niet en delen niets voor marketing.

Voor het tonen van openbare feiten en een geschat verbruik per woonadres hebben we de afweging vastgelegd; we sturen die op verzoek. In het kort:

• Belang: bewoners, eigenaren en wie hen helpt een begrijpelijk antwoord geven op de vraag wat er bij een woning kan en wat het oplevert, in een tijd van een vol stroomnet en de overstap van aardgas.
• Noodzaak: het antwoord gaat over een bepaald gebouw, dus het adres is nodig. Zonder verbruik is geen besparing in euro's te noemen. We gebruiken alleen feiten over het gebouw en buurtcijfers, niets over de bewoners.
• Inbreuk: label, bouwjaar en dak zijn per adres al op te zoeken. De schatting kan gelezen worden als iets over het huishouden; daarom staat ze er altijd als schatting met marge en bron. De app is zonder account te gebruiken, dus iedereen kan een adres opzoeken. Daarom tonen we geen namen en geen eigenaren, leveren we geen bestanden of exports, begrenzen we het aantal opvragingen per bezoeker tegen het verzamelen in bulk, en komt wat een gebruiker zelf toevoegt nooit op een openbare pagina. De pagina's van adressen en straten zijn wel te vinden via zoekmachines; ze bevatten alleen wat uit openbare bronnen volgt, met de bron en het woord schatting erbij.
• Uitkomst: het belang weegt zwaarder, ook nu de app zonder account open is, op voorwaarde dat de schatting alleen op het gebouw en de buurt rust, altijd als schatting getoond wordt, niet in bulk beschikbaar is, eigen gegevens van gebruikers nooit openbaar zijn en dat bezwaar en afschermen per adres altijd kunnen.

Voor medebewoners bij eigen metingen van een woning en voor uitvoerders die een eenmanszaak zijn, hebben we de afweging ook vastgelegd; we sturen die op verzoek. In het kort: we bewaren van een woning alleen het jaartotaal, zichtbaar voor de bewoner die het invoert, en van uitvoerders alleen zakelijke gegevens; een bezwaar van een medebewoner of een eenmanszaak honoreren we altijd.

Voor het anonieme gebruik van metingen van zakelijke aansluitingen hebben we de afweging ook vastgelegd; we sturen die op verzoek. In het kort:

• Belang: betere schattingen van verbruik, pieken en netruimte voor iedereen die de app gebruikt, ook voor wie aanlevert. Dat helpt bedrijven, terreinen en gemeenten om beter te plannen op een vol stroomnet.
• Noodzaak: zonder gemeten waarden zijn de modellen niet te toetsen en bij te stellen. Open data alleen geeft die metingen niet. We gebruiken alleen wat nodig is: de omgerekende reeks en het soort gebouw, zonder namen, adressen of EAN.
• Inbreuk: het gaat meestal om gegevens van bedrijven, niet van personen. We gebruiken alleen samengevoegde uitkomsten van minstens 10 gebouwen, publiceren niets per gebouw en bewaren metingen versleuteld. Wie aanlevert, ziet bij elke upload wat we doen en kan het met een schakelaar uitzetten, ook later.
• Uitkomst: het belang weegt zwaarder, op voorwaarde dat de schakelaar er altijd is en dat kleine aansluitingen en metingen waarbij een persoon herkenbaar kan zijn, alleen met toestemming meetellen.

Bezwaar maken kan altijd: met de schakelaar bij de meting of via [email protected].

Diensten die je browser zelf aanspreekt

De kaart in de app laadt kaartbeelden en zoekresultaten rechtstreeks bij deze open diensten. Zij zien daarbij het IP-adres van je browser, net als bij elke website:

• OpenFreeMap (basiskaart en gebouwen): volgens de eigen privacyverklaring geen cookies en geen opslag van IP-adressen. Kaartgegevens van OpenStreetMap.
• PDOK van het Kadaster (luchtfoto, perceelgrenzen en het zoeken van adressen): een publieke dienst van de Nederlandse overheid.

We sturen deze diensten geen meetdata, projecten of accountgegevens, alleen het kaartgebied of de zoekterm die je intypt.

Met wie we gegevens delen

We verkopen geen gegevens en delen ze niet voor marketing. We gebruiken deze dienstverleners (subverwerkers):

Dienstverlener	Waarvoor	Waar	Doorgifte buiten de EER
Hetzner Online GmbH	Server, opslag en dagelijkse back-up van de app en capendo.nl	Neurenberg, Duitsland	Nee
Lettermint	Versturen van de inlogcode, van uitnodigingen en van berichten bij nieuws over een bewaard adres (mailadres en de mail zelf)	Nederland, servers in de EU	Nee
Cloudflare, Inc.	Beveiligde verbinding (TLS), bescherming tegen aanvallen, DNS, tijdelijk bewaren van openbare pagina's (tot een uur), doorsturen van e-mail, bezoekersstatistieken zonder cookies	Wereldwijd netwerk, ook in de EU	Mogelijk; Cloudflare valt onder het EU-VS Data Privacy Framework en de modelcontractbepalingen van de Europese Commissie
Google (Gmail)	Mailbox voor [email protected]	EU en VS	Mogelijk; Google valt onder het EU-VS Data Privacy Framework en de modelcontractbepalingen

Meetdata en projecten staan alleen op de server in Duitsland en in de back-up daarvan. Cloudflare ziet ze versleuteld voorbijkomen bij het doorgeven en slaat ze niet op. Openbare pagina's van adressen, straten en plaatsen en de sitemaps bewaart Cloudflare tot een uur in het eigen netwerk, zodat ze snel laden; dat zijn dezelfde pagina's die iedereen zonder account ziet, nooit eigen gegevens van een gebruiker. Een nieuwe dienstverlener die persoonsgegevens verwerkt, vermelden we hier vooraf; gebruikers met een verwerkersovereenkomst horen het 30 dagen van tevoren.

Verder geven we gegevens alleen af als de wet ons daartoe verplicht.

Hoe we gegevens beschermen

• Meetdata en projecten worden versleuteld opgeslagen (AES met HMAC-controle), gescheiden van de open data. Bestandsnamen zijn codes: op schijf staan geen namen of adressen.
• Alle verkeer gaat versleuteld (TLS). De server heeft geen open poorten naar internet; beheer kan alleen met een persoonlijke sleutel.
• Een gebruiker ziet alleen de eigen projecten en metingen. Een aanleverlink geeft alleen toegang tot de gebouwen van die link.
• Per woonadres openbare feiten en een schatting, geen projecten of exports, een limiet op het aantal opvragingen per bezoeker; eigen gegevens van gebruikers zijn nooit openbaar. Mijn adressen en contactverzoeken staan versleuteld per gebruiker, net als meetdata.

Een datalek melden we binnen 72 uur bij de Autoriteit Persoonsgegevens als dat moet, en aan betrokkenen als het lek een hoog risico voor ze geeft. Als verwerker melden we een lek zo snel mogelijk aan de adviseur, uiterlijk binnen 72 uur na ontdekking.

Je rechten

Je kunt ons vragen om je gegevens in te zien, te verbeteren, te verwijderen of over te dragen, de verwerking te beperken, of bezwaar te maken. Toestemming kun je altijd intrekken; dat geldt vanaf dat moment. Voor anoniem meetellen kan dat ook direct met de schakelaar bij de meting. Mail naar [email protected]. We antwoorden binnen een maand. We vragen geen kopie van een identiteitsbewijs, alleen om extra gegevens als dat nodig is om te weten dat het verzoek van jou komt.

Gaat het om gegevens in een project van een adviseur, dan beslist die adviseur over je verzoek, behalve over anoniem meetellen: dat kun je altijd ook bij ons uitzetten. Je kunt je verzoek ook bij ons doen: dan sturen we het door en helpen we de adviseur het uit te voeren.

De app neemt geen besluiten over personen. Ze schat gebouwen en terreinen, ook het verbruik van een woning op basis van het gebouw. Er is geen geautomatiseerde besluitvorming over personen, en we gebruiken niets over de bewoners. Wie de schatting voor een besluit over iemand gebruikt, handelt in strijd met de gebruiksvoorwaarden.

Woon je op een adres of ben je er eigenaar van, dan kun je bezwaar maken tegen het tonen van de gegevens over die woning of vragen het adres af te schermen, via [email protected]. Je kunt kiezen: het hele adres, of alleen de schatting. Een bezwaar van een van de bewoners of eigenaren is genoeg. Bewaart een medebewoner metingen van je woning in Mijn adressen, dan kun je daar op dezelfde manier bezwaar tegen maken (zie Mijn adressen).

Jonger dan 16

Een eigen account in de app, zoals voor Mijn adressen, is voor wie 16 jaar of ouder is. Ben je jonger, vraag dan een ouder of verzorger. Merken we dat iemand jonger dan 16 toestemming gaf, dan behandelen we dat als geen toestemming.

Klacht

Ben je het niet eens met hoe we met je gegevens omgaan, laat het ons eerst weten. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.

Wijzigingen

Verandert er iets wezenlijks, zoals een nieuw doel of een nieuwe dienstverlener, dan passen we deze verklaring aan, verhogen we het versienummer en melden we het vooraf in de app. Eerdere versies sturen we op verzoek.