English

Versie-ontwerp 2.0-draft — 20 september 2026.

Verwerkingsverantwoordelijke: Brian Vanderheyden, België. Contact: brianvanderheyden.bv@gmail.com. Postadres: *nog in te vullen*. Ondernemingsnummer: *nog in te vullen*. Merk: Mayley (voorheen Reisgenoot). Publieke site (canonical): https://mayley.app — niet mayley.be als winkel-URL, niet mayley.com (bezet). Tijdelijk: https://nieuwevloer.be/mayley/

In één alinea. Mayley verzamelt zo weinig mogelijk. Een account is je naam, je e-mailadres en een wachtwoord — dat laatste bewaren we nooit zelf, alleen een onomkeerbare versleuteling (scrypt). Je reisplannen bewaren we om ze voor jou te bewaren. We verkopen niets door, we volgen je niet voor advertenties, en verwijderen kan altijd, meteen en volledig. De AVG is onze wereldwijde baseline, ook als je buiten de EER woont.

Welke gegevens we verwerken

• Account (optioneel): naam en e-mailadres. Zonder account blijft

alles op je toestel.

• Reisplannen: bestemming, data, aantal volwassenen en kinderen,

voorkeuren, of de hond meegaat. Bij een bewaard plan ook: leden (naam, e-mail, rol), uitgaven, reserveringen (geen foto), inpaklijst.

• Blijft op je toestel: leeftijden en lengtes van kinderen,

vertrekplaats, maten van de auto, dagboek en foto’s, kind-pincode.

• Klikken en boekingen: willekeurig klik-id, tijdstip, zoekterm;

bij een account ook reis en programmapunt. Geen e-mail in de partnerlink.

• Wachtlijst: alleen e-mail, één bericht bij lancering.
• Partneraanvraag: zaakgegevens + btw-nummer (VIES).
• Live meekijken: welke reis, wanneer, wie — geen inhoud, geen GPS.
• Locatie: de app vraagt geen GPS. De webdemo heeft een GPS-knop

die alleen werkt als je erop tikt en niets bewaart.

Wat we niet doen

Geen advertentie- of trackingcookies. Geen verkoop of “sale/share” van persoonsgegevens (CCPA/CPRA). Geen kindaccounts. Geen crashrapportagedienst.

Kinderen

Mayley is 18+ in de winkels. Kind-modus is een scherm van de ouder. We verwerken geen gegevens van kinderen.

Rechtsgrond, bewaartermijn, rechten

Overeenkomst (account, plannen) en toestemming (wachtlijst). Bewaar zolang het account bestaat. DELETE /account met het Bearer-token wist meteen en antwoordt 204 zonder body: het account, de reizen, de taken op die reizen en een taak die jouw adres draagt, het Pro-entitlement, winkel- en webbonnen, doorgestuurde maar nog niet bevestigde boekingsitems, deel-links, lidmaatschappen, uitnodigingen, de wachtlijst, een partneraanvraag, een partner-login met hetzelfde adres, en klik- en boekingsregels met dit adres. In de app: Wij → Account verwijderen. Zonder app: /verwijderen (dat formulier bewaart het adres tot het verzoek is afgehandeld). Wat blijft: de verdienstenregel in de boekhouding (datum, bedrag, kanaal, geen adres) en de dagelijkse reservekopie, zestig dagen, op eigen apparatuur. Daarna is ook die kopie weg.

Rechten: inzage, verbetering, verwijdering, beperking, overdraagbaarheid, bezwaar. Klacht: Gegevensbeschermingsautoriteit (België). UK GDPR, CCPA/CPRA (“we do not sell or share”) en LGPD volgen dezelfde lijn — de AVG is de strengste lat.

Externe diensten

Bestemmingscoördinaten + IP naar de dienst, nooit samen met naam of e-mail. Weer: Open-Meteo (DE). Plekken: Overpass (DE/FR). Foto’s: Wikimedia (VS). Zoeken: Nominatim via onze server (BE). Kaart: eigen server (BE); terugval OpenStreetMap-tegel (NL/DE). Demo: OSRM (DE), Frankfurter (DE), unpkg (VS).

Nog niet live — niet in deze verklaring zetten tot het zo is: RevenueCat (VS) als verwerker voor rg_pro (aankoopstatus, app_user_id). DPA + SCC verplicht vóór de eerste IAP (iap-pro-placeholders.md).

Boekknoppen

Doorklik via onze server met een willekeurig klik-id. Geen naam, geen e-mail naar de partner. Vanaf hun site gelden hun voorwaarden.

Demo-fase

Gegevens staan op een eigen server in België, bij de verantwoordelijke. Dagelijkse kopie, zestig dagen, eigen apparatuur. Verhuizing naar een hostingpartner = eerst deze verklaring bijwerken + verwerkersovereenkomst (AVG art. 28).

---