Privacy Policy

Versie 2.1 — augustus 2026

Deze verklaring beschrijft welke persoonsgegevens Kernhem 3D verwerkt, waarom, op welke grondslag, met wie wij ze delen en hoe lang wij ze bewaren. Wij houden het zo concreet mogelijk: wat hieronder staat is wat de website daadwerkelijk doet.

1. Verwerkingsverantwoordelijke

Kernhem 3D
Laarwoud 24
6718 HZ Ede
Nederland

Telefoon: 0318 798313
E-mail: info@kernhem3d.nl
KvK-nummer: 62375539
BTW-nummer: NL001950468B48

Kernhem 3D is een eenmanszaak en is verwerkingsverantwoordelijke voor de verwerkingen die in deze verklaring staan. Wij hebben geen functionaris voor gegevensbescherming; vragen over privacy komen bij bovenstaand e-mailadres binnen.

2. Welke gegevens verwerken wij?

Bij een bestelling:

naam en e-mailadres;
factuuradres en bezorgadres (naam, straat en huisnummer, postcode, plaats, land) — zowel zoals opgeslagen bij je account als zoals vastgelegd bij de bestelling zelf;
je bestelgeschiedenis: bestelde producten, materialen, aantallen, bedragen, betaalstatus en verzendgegevens;
de ontwerpen en configuraties die je in de Boetseer-tool maakt, en het STL-bestand dat per besteld artikel wordt vastgelegd zodat wij precies kunnen printen wat je hebt besteld.

Bij een account:

je e-mailadres en je wachtwoord — dat laatste uitsluitend versleuteld opgeslagen (gehasht), wij kunnen het niet teruglezen;
je opgeslagen factuur- en bezorgadres;
als je tweefactorauthenticatie aanzet: het bijbehorende TOTP-geheim waarmee de codes uit je authenticator-app worden gecontroleerd;
een sessie-identificatie zolang je bent ingelogd.

Bij bezoek aan de website (bezoekersstatistieken):

je IP-adres in geanonimiseerde vorm — wij zetten het laatste octet op nul (192.0.2.44 wordt 192.0.2.0), zodat het adres niet naar één aansluiting herleidbaar is;
je browsertype (user-agent), de pagina's die je bezoekt, de pagina waar je vandaan komt (referrer), het tijdstip en hoe lang je op een pagina bleef;
een sessie-identificatie om opeenvolgende paginaweergaven aan één bezoek te koppelen.

Deze gegevens gebruiken wij alléén om te tellen hoe de website wordt gebruikt (bezoekers per dag, week en maand, en welke pagina's worden bekeken). Wij bouwen er geen profiel mee op, wij volgen je niet over andere websites en wij delen deze gegevens niet met derden.

Bij het opzoeken van je adres: als je in het afrekenformulier je postcode en huisnummer invult, sturen wij die twee gegevens naar de Locatieserver van PDOK om er straat en plaats bij te zoeken. Dat gebeurt via onze eigen server, dus je IP-adres gaat daarbij niet mee.

Bij het contactformulier: je naam, e-mailadres en je bericht. Deze gegevens slaan wij niet op in onze database — ze worden rechtstreeks per e-mail naar info@kernhem3d.nl gestuurd en blijven daar in de mailbox staan.

3. Doeleinden en rechtsgrondslag

Wij verwerken persoonsgegevens alleen voor de doelen hieronder. Achter elk doel staat de grondslag uit artikel 6 van de AVG waarop wij ons baseren.

Bestellingen verwerken, produceren, bezorgen en met je communiceren (orderbevestiging, statusmails, vragen over je bestelling) — noodzakelijk voor de uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG).
Een account aanmaken en beheren, inclusief e-mailverificatie, wachtwoordherstel en — als je die zelf aanzet — tweefactorauthenticatie — uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG).
Facturatie en onze fiscale administratie — wettelijke verplichting (art. 6 lid 1 sub c AVG), namelijk de bewaarplicht uit artikel 52 Algemene wet inzake rijksbelastingen.
Betalingen laten afhandelen en terugbetalingen verwerken — uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG).
Bezoekersstatistieken zonder profilering, om te zien welke pagina's werken en waar de website stukloopt — gerechtvaardigd belang (art. 6 lid 1 sub f AVG): wij hebben er belang bij te weten hoe onze webshop wordt gebruikt, en door het IP-adres te anonimiseren en niets te delen met derden is de inbreuk op jouw privacy minimaal.
Vragen via het contactformulier beantwoorden — uitvoering van de overeenkomst of maatregelen vóór het sluiten daarvan (art. 6 lid 1 sub b AVG) als je vraag over een (mogelijke) bestelling gaat, en anders ons gerechtvaardigd belang (art. 6 lid 1 sub f AVG) om bereikbaar te zijn.
Misbruik van het contactformulier tegengaan. Het contactformulier is beveiligd met Google reCAPTCHA Enterprise, dat een risicoscore berekent om spam en geautomatiseerde inzendingen te weren. Voor ingelogde gebruikers treedt die controle pas in werking na meer dan drie berichten per uur. Grondslag: gerechtvaardigd belang (art. 6 lid 1 sub f AVG) bij een bruikbaar, niet met spam volgelopen contactkanaal.

4. Met wie delen wij gegevens?

Wij verkopen je gegevens niet en gebruiken ze niet voor reclame van derden. Wel schakelen wij de volgende partijen in, die daarbij persoonsgegevens verwerken:

Mollie B.V. (Amsterdam) — onze betaaldienstverlener. Wij sturen Mollie het bestelnummer, het te betalen bedrag en een omschrijving; je betaalgegevens (bankrekening, kaartnummer) voer je rechtstreeks bij Mollie in en komen niet bij ons binnen. Mollie is voor een deel van die verwerking zelfstandig verwerkingsverantwoordelijke, onder meer omdat het wettelijke verplichtingen heeft op het gebied van fraudebestrijding en het tegengaan van witwassen. Verwerking vindt plaats binnen de EU.
Onze e-mailprovider — verzorgt de verzending van transactionele e-mail (bevestiging van je e-mailadres, wachtwoordherstel, orderbevestigingen). Daarbij worden je e-mailadres en de inhoud van die berichten verwerkt. Deze partij treedt op als verwerker.
PDOK / Het Kadaster (Nederlandse overheid) — voor het opzoeken van straat en plaats bij een postcode en huisnummer. Er gaan alleen die twee gegevens heen, geen naam en geen IP-adres van de bezoeker. Geen doorgifte buiten de EU.
Google Ireland Limited / Google LLC — voor reCAPTCHA Enterprise op het contactformulier: Google ontvangt je IP-adres en gedragssignalen (muisbewegingen, toetsaanslagen, browserkenmerken) om te bepalen of je een mens bent. Dit is de enige plek waar je browser bij het bekijken van de website nog contact maakt met Google, en het wordt alleen op de contactpagina geladen. Google kan die gegevens doorgeven aan de Verenigde Staten. Die doorgifte berust op het EU-VS Data Privacy Framework, waarvoor de Europese Commissie op 10 juli 2023 een adequaatheidsbesluit heeft genomen, en aanvullend op de door de Europese Commissie vastgestelde standaardcontractbepalingen in de voorwaarden van Google.
jsDelivr (een openbaar contentnetwerk) — levert de 3D-bibliotheek Three.js die de Boetseer-tool en de productpagina's gebruiken voor de 3D-weergave. Bij het ophalen van die bestanden ziet dit netwerk het IP-adres van je browser. Er worden geen cookies gezet en er gaan geen gegevens over jou of je ontwerp naartoe.
Google Drive en/of Microsoft OneDrive — als opslagplaats voor onze versleutelde databasebackups, mits die koppeling is ingeschakeld. In zo'n backup zitten ook klant- en bestelgegevens. Ook hier kan sprake zijn van doorgifte naar de Verenigde Staten, op dezelfde grondslag als hierboven (EU-VS Data Privacy Framework en standaardcontractbepalingen).
Hosting. De website en de database draaien op eigen serverapparatuur in Nederland, in beheer bij Kernhem 3D zelf. Er is dus geen externe hostingpartij die toegang tot de gegevens heeft.

Lettertypen. Onze lettertypen staan op onze eigen server en worden bij het openen van een pagina niet meer bij Google Fonts opgehaald. Er gaat daarbij dus geen enkel gegeven — ook je IP-adres niet — naar een derde partij, en er is voor het weergeven van tekst geen doorgifte buiten de EU.

Daarnaast kunnen wij gegevens verstrekken aan de bezorgdienst die je pakket bezorgt en aan onze boekhouder of de Belastingdienst, voor zover dat nodig is of wettelijk verplicht.

5. Hoe lang bewaren wij gegevens?

Bestel-, factuur- en betaalgegevens: 7 jaar na afloop van het boekjaar. Dit is de fiscale bewaarplicht; deze gegevens kunnen wij niet eerder verwijderen, ook niet op verzoek.
Accountgegevens (e-mailadres, wachtwoordhash, opgeslagen adressen, eventueel TOTP-geheim): zolang je account bestaat. Verwijder je je account of vraag je ons dat te doen, dan wissen wij deze gegevens binnen 30 dagen — met uitzondering van wat onder de fiscale bewaarplicht valt.
Boetseer-ontwerpen en STL-bestanden: ontwerpen die je zelf hebt opgeslagen bewaren wij zolang je account bestaat. De STL-bestanden die bij een bestelling horen bewaren wij zolang wij die bestelling moeten kunnen verantwoorden of nabestellen, en uiterlijk zo lang als de bestelgegevens zelf.
Bezoekersstatistieken (de geanonimiseerde paginaweergaven uit hoofdstuk 2): maximaal 12 maanden. De website ruimt deze rijen zelf op: een dagelijkse achtergrondtaak verwijdert alles wat ouder is dan die termijn, zonder dat daar handwerk aan te pas komt.
Contactberichten: deze staan alleen in onze mailbox en bewaren wij zo lang als voor de afhandeling en eventuele vervolgvragen nodig is, in beginsel maximaal 2 jaar.
Backups: een verwijderd gegeven kan nog in een backup voorkomen totdat die backup volgens onze bewaarschema's is verlopen.

6. Jouw rechten

Je hebt op grond van de AVG de volgende rechten. Wij reageren binnen een maand op je verzoek.

Inzage — je mag opvragen welke gegevens wij van je verwerken en daarvan een kopie krijgen.
Rectificatie — kloppen je gegevens niet, dan corrigeren of vullen wij ze aan. Je adres- en accountgegevens kun je ook zelf aanpassen in je account.
Verwijdering — je kunt vragen je gegevens te wissen. Let op: bestel-, factuur- en betaalgegevens vallen onder de fiscale bewaarplicht van 7 jaar; die kunnen wij niet eerder verwijderen. Alles wat daar niet onder valt (je account, opgeslagen ontwerpen, voorkeuren) wissen wij wel.
Beperking van de verwerking — bijvoorbeeld als je de juistheid van gegevens betwist, kun je vragen de verwerking tijdelijk stil te leggen.
Bezwaar — tegen verwerkingen die op ons gerechtvaardigd belang berusten (de bezoekersstatistieken en de spamcontrole) kun je bezwaar maken vanwege je specifieke situatie.
Dataportabiliteit — de gegevens die je zelf aan ons hebt verstrekt en die wij op basis van toestemming of de overeenkomst verwerken, kun je in een gangbaar, machineleesbaar formaat ontvangen of laten overdragen aan een andere partij.
Intrekken van toestemming — voor zover een verwerking op je toestemming berust, kun je die altijd intrekken. Dat raakt niet aan de rechtmatigheid van wat daarvóór gebeurde.

Een verzoek stuur je naar info@kernhem3d.nl. Om te voorkomen dat wij gegevens aan de verkeerde persoon geven, kunnen wij je vragen je verzoek te doen vanaf het e-mailadres van je account of je identiteit op een andere manier aannemelijk te maken.

Klacht indienen. Ben je het niet eens met hoe wij met je gegevens omgaan, dan horen wij dat het liefst eerst zelf. Je hebt daarnaast altijd het recht een klacht in te dienen bij de Nederlandse toezichthouder, de Autoriteit Persoonsgegevens: autoriteitpersoonsgegevens.nl. Woon je in een andere EU-lidstaat, dan kun je ook terecht bij de toezichthouder daar.

7. Cookies

Wij gebruiken geen advertentie- of trackingcookies. Dit zijn de cookies die kernhem3d.nl zet:

id — sessiecookie (functioneel). Houdt je winkelwagen en je inlogsessie bij. Zonder deze cookie werkt de webshop niet. Strikt noodzakelijk, dus hiervoor is geen toestemming nodig.
_pv — statistiekcookie (first party). Bevat één nummer dat verwijst naar de geregistreerde paginaweergave, zodat wij kunnen meten hoe lang een pagina bekeken is. SameSite=Strict, geldig gedurende 1 uur, alleen leesbaar door onze eigen site. Er wordt geen profiel opgebouwd en de gegevens gaan niet naar derden; het IP-adres dat eraan hangt is geanonimiseerd (zie hoofdstuk 2).

Naar onze inschatting valt deze statistiekcookie onder de uitzondering voor analytische cookies met geringe privacygevolgen uit artikel 11.7a lid 3 van de Telecommunicatiewet, en is daarvoor dus geen toestemmingsvenster nodig. Dat is een inschatting, geen zekerheid: het is uiteindelijk aan de toezichthouder om te oordelen. Zetten wij later een cookie die daar niet onder valt, dan vragen wij daar vooraf toestemming voor en passen wij deze verklaring aan.

reCAPTCHA op het contactformulier. Google kan bij het laden van reCAPTCHA Enterprise cookies plaatsen of uitlezen. Die vallen niet onder bovengenoemde uitzondering: het gaat om een derde partij. Deze techniek is beperkt tot de contactpagina en wordt niet op de rest van de website geladen. Wil je dat vermijden, neem dan contact met ons op per e-mail of telefoon in plaats van via het formulier. Wij onderzoeken of wij reCAPTCHA kunnen vervangen door een oplossing zonder derde partij.

8. Geautomatiseerde besluitvorming en profilering

Wij nemen geen besluiten met rechtsgevolgen of andere aanmerkelijke gevolgen voor jou op basis van uitsluitend geautomatiseerde verwerking, en wij doen niet aan profilering. De risicoscore van reCAPTCHA kan er hooguit toe leiden dat een contactformulier-inzending wordt geweigerd; je kunt ons dan gewoon per e-mail of telefoon bereiken.

9. Beveiliging

Wij nemen passende technische en organisatorische maatregelen. Het verkeer met de website loopt uitsluitend over een versleutelde verbinding (HTTPS), wachtwoorden worden gehasht opgeslagen, backups worden versleuteld, en toegang tot de administratie is afgeschermd met een apart beheerdersaccount met tweefactorauthenticatie.

10. Wijzigingen

Wij passen deze verklaring aan wanneer de website of de manier waarop wij gegevens verwerken verandert. Bovenaan staat het versienummer met de maand van de laatste wijziging.