Privacybeleid

Laatst bijgewerkt: 16 april 2026

1. Inleiding en identiteit van de controller

In dit privacybeleid leggen we uit hoe Zumia je persoonsgegevens verzamelt, gebruikt, opslaat en beschermt wanneer je onze AI-dienst voor cv-optimalisatie gebruikt op zumia.app.

Zumia wordt beheerd door een particulier in Zwitserland. Er is geen formele rechtspersoon. Voor de toepassing van de Algemene verordening gegevensbescherming (AVG) van de EU en de Zwitserse wet op de gegevensbescherming (FADP) treedt de beheerder op als verwerkingsverantwoordelijke. De contactgegevens staan in artikel 12.

Door Zumia te gebruiken, gaat u akkoord met de praktijken die in dit beleid worden beschreven. Lees ook onze Servicevoorwaarden.

2. Gegevens die we verzamelen

Accountinformatie

  • E-mailadres - gebruikt voor authenticatie, accountherstel en transactiemeldingen
  • Wachtwoord - veilig gehasht met behulp van industriestandaard hashing (we slaan nooit leesbare wachtwoorden op)
  • Tijdstempels van accounts - wanneer uw account is aangemaakt en uw laatste activiteitsdatum

Toegang tot aanvraaginformatie

  • E-mailadres ingediend voor vroege toegang - verzameld wanneer u toegang vraagt, zodat we uw verzoek kunnen beoordelen en contact met u kunnen opnemen wanneer toegang wordt verleend

CV en taakgegevens

  • Basis CV-inhoud - de CV die u uploadt of in de service plakt
  • Functiespecificaties - functiebeschrijvingen en vereisten die u verstrekt
  • AI-gegenereerde geoptimaliseerde CV's - op maat gemaakte versies gemaakt door de AI-assistent
  • Gespreksgeschiedenis - uw interacties met de AI-assistent. Dit wordt met dezelfde zorg behandeld als uw CV-inhoud en wordt opgenomen in alle gegevensexports en -verwijderingen.
  • Kennisbibliotheekitems - herbruikbare ervaringsfeiten die u bewaart voor toekomstige CV-optimalisaties

Gebruikersvoorkeuren

  • AI richtlijnen (aangepaste instructies voor de AI assistent)
  • Sjabloon voor bestandsnaam
  • Marges afdrukken
  • Voorkeurstaal

Factureringsgegevens

  • Kredietsaldo en transactiegeschiedenis - beheerd via Lemon Squeezy. Wij slaan betaalkaartgegevens niet rechtstreeks op.

Analytics-gegevens (alleen aanmelden)

  • PostHog-analyses - paginaweergaven, functiegebruik en uitzonderingen. Deze gegevens worden alleen verzameld als u zich aanmeldt voor analyses. Als u weigert, worden er geen trackinggegevens verzameld.

3. Hoe wij uw gegevens gebruiken

Wij verwerken uw persoonlijke gegevens voor de volgende doeleinden, elk met een specifieke wettelijke basis onder GDPR:

Het leveren van de CV-optimalisatieservice

Doel: Het verwerken van uw CV-inhoud, taakspecificaties en gespreksgeschiedenis om gepersonaliseerde CV-optimalisatiesuggesties te genereren.

Wettelijke basis: Uitvoering van een contract (Art. 6(1)(b) GDPR) - deze verwerking is noodzakelijk om de dienst te leveren waarvoor u zich heeft aangemeld.

Accountbeheer en meldingen

Doel: Transactie-e-mails verzenden (accountverificatie, wachtwoordreset) via Loops.

Wettelijke basis: Uitvoering van een overeenkomst (Art. 6(1)(b) GDPR).

Facturatie- en tegoedbeheer

Doel: Beheer uw tegoed en verwerk transacties via Lemon Squeezy.

Wettelijke basis: Uitvoering van een overeenkomst (Art. 6(1)(b) GDPR).

Toegangsverzoeken beheren

Doel: Toegangsverzoeken beheren en gebruikers op de hoogte stellen wanneer toegang wordt verleend.

Wettelijke basis: Gerechtvaardigd belang (Art. 6(1)(f) GDPR) - we moeten de toegang tot de bèta controleren en contact opnemen met aanvragers over hun status.

Accountbeveiliging

Doel: CAPTCHA-verificatie via Cloudflare Turnstile om misbruik en geautomatiseerde aanvallen te voorkomen.

Wettelijke basis: Gerechtvaardigd belang (Art. 6(1)(f) GDPR) - bescherming van de dienst en zijn gebruikers tegen fraude en misbruik.

Analyse en serviceverbetering

Doel: Begrijpen hoe de service wordt gebruikt om de kwaliteit te verbeteren en problemen op te lossen, via PostHog-analyses.

Wettelijke basis: Toestemming (Art. 6(1)(a) GDPR) - analyses worden alleen verzameld als u zich daar expliciet voor aanmeldt.

We verkopen, verhuren of delen je persoonsgegevens niet met derden voor reclame- of marketingdoeleinden.

Is het verstrekken van uw gegevens verplicht? Het verstrekken van uw e-mailadres om toegang aan te vragen, en later uw e-mailadres en CV-inhoud om de dienst te gebruiken, zijn noodzakelijke stappen in elke fase. Zonder hen kunnen wij uw verzoek niet verwerken of de dienst leveren. Analytics-gegevens zijn volledig optioneel.

4. AI-verwerking en services van derden

OpenAI - AI-verwerking

Zumia gebruikt de API van OpenAI om de AI-assistent van stroom te voorzien. OpenAI is gevestigd in de Verenigde Staten. We gebruiken de huidige taalmodellen van OpenAI voor chatinteracties, CV-analyse, inhoudsextractie en semantische insluitingen.

Gegevens verzonden naar OpenAI:

  • Uw CV-inhoud
  • Functiespecificaties
  • Gespreksgeschiedenis
  • Kennisbibliotheekitems
  • AI-richtlijnen die u hebt geconfigureerd

Belangrijke waarborgen:

  • Nul-retentiemodus is ingeschakeld - OpenAI bewaart geen verzoek- of antwoordgegevens na verwerking van uw verzoek.
  • Geen modeltraining - Volgens de API-voorwaarden van OpenAI worden gegevens die via de API worden verzonden, niet gebruikt om de modellen van OpenAI te trainen of te verbeteren.
  • Geen autonome beslissingen - de AI helpt u bij het optimaliseren van uw CV door suggesties te genereren. Het neemt geen autonome beslissingen die juridische of vergelijkbare significante gevolgen voor u hebben. U behoudt de volledige controle over het accepteren, wijzigen of afwijzen van door AI gegenereerde suggesties.

Andere diensten van derden

  • Supabase - databasehosting en authenticatie (EU-hosted, Frankfurt)
  • Digital Ocean - serverinfrastructuur (EU-gehost, Frankfurt)
  • Lemon Squeezy - facturatie- en betalingsverwerking (Verenigde Staten)
  • Loops - transactionele e-mailbezorging (Verenigde Staten)
  • Cloudflare Turnstile - CAPTCHA-verificatie voor accountbeveiliging (Verenigde Staten)
  • PostHog - analytics (alleen aanmelden, gehost door EU)

We hebben gegevensverwerkingsovereenkomsten afgesloten met alle externe verwerkers.

5. Gegevensopslag en beveiliging

Wij nemen de beveiliging van uw gegevens serieus en implementeren de volgende maatregelen:

  • Database: - Uw gegevens worden opgeslagen in Supabase met strikte toegangscontroles, zodat elke gebruiker alleen toegang heeft tot zijn eigen gegevens.
  • Versleuteling tijdens verzending: - Alle gegevens die tussen uw browser, onze servers en diensten van derden worden verzonden, zijn gecodeerd.
  • Versleuteling in rust: - Gegevens die in de database zijn opgeslagen, worden in rust gecodeerd.
  • Wachtwoordbeveiliging: - Wachtwoorden worden gehasht met behulp van industriestandaard hashing via Supabase Auth. Wij slaan nooit wachtwoorden in leesbare tekst op en hebben er ook geen toegang toe.
  • Serverinfrastructuur: - De applicatie wordt geïmplementeerd op Digital Ocean met veilige standaardinstellingen.

6. Internationale gegevensoverdrachten

Omdat Zumia wordt beheerd vanuit Zwitserland en gebruik maakt van internationale dienstverleners, kunnen uw gegevens worden overgedragen buiten Zwitserland en de Europese Economische Ruimte (EEA). Wij zorgen ervoor dat er voor alle overdrachten passende waarborgen zijn getroffen:

  • OpenAI (Verenigde Staten) - CV-inhoud en gespreksgegevens worden verzonden naar OpenAI-servers in de VS voor verwerking door AI. OpenAI is gecertificeerd onder het EU-US Data Privacy Framework. Bovendien betekent de nul-retentiemodus dat uw gegevens na verwerking niet door OpenAI worden bewaard.
  • PostHog (Europese Unie) - analysegegevens worden gehost binnen de EU en worden alleen verzameld als u zich hiervoor aanmeldt.
  • Supabase (EU-gehost, Frankfurt) - databasehosting- en authenticatiediensten. Geen overdracht buiten de EEA.
  • Digital Ocean (EU-gehost, Frankfurt) - serverinfrastructuur. Geen overdracht buiten de EEA.
  • Lemon Squeezy (Verenigde Staten) - verwerking van factuur- en betalingsgegevens.
  • Loops (Verenigde Staten) - transactionele e-mailbezorging.
  • Cloudflare (Verenigde Staten) - CAPTCHA-verificatie (Turnstile).

Zwitserland wordt door de Europese Commissie erkend als land dat een adequaat niveau van gegevensbescherming biedt. Voor overdrachten naar de Verenigde Staten vertrouwen we, indien van toepassing, op het EU-US Data Privacy Framework, standaardcontractbepalingen (SCCs) die zijn goedgekeurd door de Europese Commissie, of andere passende waarborgen zoals vereist door de wet.

7. Gegevensbewaring

  • Toegangsverzoeken in behandeling - E-mailadressen die via de wachtlijst voor toegang tot verzoeken worden ingediend, worden maximaal 12 maanden bewaard terwijl het verzoek in behandeling is en worden vervolgens automatisch verwijderd.
  • Actieve accountgegevens - uw CV-inhoud, functiespecificaties, gespreksgeschiedenis, kennisbibliotheek, voorkeuren en andere accountgegevens worden bewaard zolang uw account actief is.
  • Inactieve accounts - Als uw account geen zinvolle activiteit voor 365 dagen heeft, sturen we waarschuwings-e-mails 30 dagen en 7 dagen voordat u uw opgeslagen functiecontexten, kennisbibliotheekitems, CV-versies, meldingen, basis-CV en AI-begeleiding opschoont. Uw account, authenticatiegegevens, tegoeden, tegoedgeschiedenis, voorkeurstaal, bestandsnaamsjabloon en afdrukmarges blijven beschikbaar, zodat u opnieuw kunt beginnen.
  • AI verwerkt gegevens - nul-retentiemodus is ingeschakeld. OpenAI bewaart na verwerking geen verzoek- of antwoordgegevens.
  • Analytics-gegevens - onderworpen aan het bewaarbeleid van PostHog. Voor Analytics is alleen aanmelding mogelijk.
  • Krediettransacties - transactiegeschiedenis wordt bewaard voor factureringsgegevens zolang uw account bestaat en wordt verwijderd wanneer uw account wordt verwijderd.
  • Betekenisvolle activiteit - Door een functiecontext aan te maken of bij te werken, een kennisbibliotheekitem aan te maken of bij te werken, een CV te genereren of te downloaden, of uw instellingen bij te werken, wordt de inactiviteitstimer opnieuw ingesteld. Inloggen of het vernieuwen van uw sessie gebeurt niet vanzelf.

8. Uw rechten

Onder de GDPR en de Zwitserse FADP heeft u de volgende rechten met betrekking tot uw persoonsgegevens:

  • Recht op toegang (Art. 15 GDPR) - U kunt een kopie van uw persoonsgegevens opvragen. Zumia biedt een ingebouwde functie voor gegevensexport in uw accountinstellingen.
  • Recht op rectificatie (Art. 16 GDPR) - U kunt onjuiste gegevens corrigeren. Al uw gegevens (CV inhoud, kennisbibliotheek, voorkeuren etc.) kunt u direct in de app bewerken.
  • Recht op verwijdering (art. 17 GDPR) - u kunt uw account en alle bijbehorende gegevens op elk gewenst moment verwijderen via de functie voor accountverwijdering in uw instellingen. Deze actie is onomkeerbaar en omvat het verwijderen van uw account- en authenticatiegegevens, CV-inhoud en functiespecificaties, door AI gegenereerde geoptimaliseerde cv's, gespreksgeschiedenis, kennisbibliotheekitems, gebruikersvoorkeuren en -instellingen, en tegoedsaldo en transactiegeschiedenis.
  • Recht op gegevensportabiliteit (Art. 20 GDPR) - Via de exportfunctie in uw accountinstellingen kunt u al uw gegevens exporteren naar een gestructureerd, machinaal leesbaar bestand. Dit omvat uw CV-inhoud, functiespecificaties, gespreksgeschiedenis, kennisbibliotheekitems en voorkeuren, zodat u uw gegevens desgewenst naar een andere service kunt overbrengen.
  • Recht op beperking van de verwerking (art. 18 GDPR) - U kunt ons verzoeken de verwerking van uw gegevens te beperken. Neem contact met ons op via privacy@zumia.app.
  • Recht van bezwaar (art. 21 GDPR) - U kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang. Neem contact met ons op via privacy@zumia.app.
  • Rechten met betrekking tot geautomatiseerde besluitvorming (Art. 22 GDPR) - De AI-assistent van Zumia biedt alleen suggesties en aanbevelingen. Het neemt geen autonome beslissingen die juridische of soortgelijke significante gevolgen voor u hebben. U heeft altijd de volledige controle over het accepteren, wijzigen of afwijzen van AI-suggesties.

Om deze rechten uit te oefenen, kunt u de in-app-functies gebruiken of contact met ons opnemen via privacy@zumia.app. Wij zullen binnen 30 dagen op uw verzoek reageren.

9. Cookies en trackingtechnologieën

Essentiële opslag

Wij gebruiken de lokale opslag van uw browser (geen cookies) voor essentiële functionaliteit:

  • Supabase-authenticatiesessie - houdt je ingelogd
  • Taalvoorkeur - onthoudt de door u gekozen taal

Deze zijn strikt noodzakelijk voor het functioneren van de dienst en vereisen geen toestemming.

Analytics (alleen aanmelden)

Als je toestemming geeft voor analyses, verzamelt PostHog gebruiksgegevens (paginaweergaven, functiegebruik en fouten) om onze dienst te verbeteren. Als je analyses weigert, worden er geen cookies of tracking-ID’s geplaatst.

Wat we niet gebruiken

  • Geen advertentiecookies
  • Geen marketingtrackers van derden
  • Geen trackingpixels voor sociale media

U kunt uw toestemming voor analyses op elk gewenst moment wijzigen via de cookie-instellingen in de app of door de lokale opslag van uw browser te wissen.

10. Privacy van kinderen

Zumia is niet bedoeld voor gebruik door personen jonger dan 16 jaar. We verzamelen niet bewust persoonlijke gegevens van kinderen jonger dan 16 jaar. Als u denkt dat een kind jonger dan 16 jaar ons persoonlijke gegevens heeft verstrekt, neem dan contact met ons op via privacy@zumia.app en we zullen stappen ondernemen om die informatie te verwijderen.

11. Wijzigingen in dit beleid

We kunnen dit privacybeleid van tijd tot tijd bijwerken om wijzigingen in onze praktijken, technologie of wettelijke vereisten weer te geven. Als we materiële wijzigingen aanbrengen, zullen we u hiervan per e-mail of via een prominente kennisgeving in de app op de hoogte stellen voordat de wijzigingen van kracht worden.

Wij raden u aan deze pagina regelmatig te bekijken. De datum 'Laatst bijgewerkt' bovenaan geeft aan wanneer het beleid voor het laatst is herzien.

12. Contact- en toezichthoudende autoriteit

Als u vragen, zorgen of verzoeken heeft met betrekking tot dit privacybeleid of de verwerking van uw persoonlijke gegevens, neem dan contact met ons op:

Als u van mening bent dat uw gegevensbeschermingsrechten zijn geschonden, heeft u het recht om een klacht in te dienen bij een toezichthoudende autoriteit:

  • Voor Zwitserse gebruikers: De Federal Data Protection and Information Commissioner (FDPIC) - www.edoeb.admin.ch
  • Voor EU-gebruikers: Uw lokale gegevensbeschermingsautoriteit (DPA) in de EU-lidstaat waar u woont, werkt of waar de vermeende inbreuk heeft plaatsgevonden.