Privacyverklaring

MyMesa is een handelsnaam van OfficeFlow, gevestigd in Roosendaal, Nederland (KvK 42041799, BTW NL869439686B01). MyMesa is je AI-voedings- en trainingscoach, beschikbaar als mobiele app (iOS en Android) en via WhatsApp. We hechten veel waarde aan jouw privacy. Deze verklaring beschrijft welke gegevens we verzamelen, waarom, hoe lang we ze bewaren en welke rechten je hebt onder de AVG/GDPR.

1. Welke gegevens verzamelen we

Bij gebruik van MyMesa verwerken we de volgende categorieën persoonsgegevens:

• Account: e-mailadres (en, als je het WhatsApp-kanaal gebruikt, je telefoonnummer)
• Profiel: naam, geboortedatum, geslacht, lengte, gewicht, doel, activiteit, kookprofiel
• Voorkeuren: dieet, allergieën, niet-lekker
• Voeding & voortgang: dagelijkse maaltijdplannen, gelogde maaltijden en drinken, gewichtsmetingen
• Sport & training: je sportdoelen, trainingsschema's, afgevinkte en losse trainingen (activiteit, duur, geschatte verbranding)
• Foto's van maaltijden: je maakt in de app (of via WhatsApp) een foto om te loggen. We slaan de foto zelf NIET op onze servers op. Wat we wél bewaren (max 7 dagen) is een technische vingerafdruk (perceptual hash) plus de macro-analyse-uitkomst (calorieën, eiwit, koolhydraten, vet, voedsel-label). De vingerafdruk bevat geen herleidbare beeldinformatie. Identieke of vrijwel identieke maaltijdfoto's van andere gebruikers krijgen dezelfde analyse — dat bespaart rekentijd en kosten, en de gedeelde uitkomst bevat geen profielgegevens.
• Communicatie: de berichten tussen jou en Lotte (in de app en/of via WhatsApp), en optionele spraakberichten
• Meldingen: een push-notificatie-token, zodat we je de meldingen kunnen sturen die je zelf aan- of uitzet (bijv. je ochtendplan)
• Betaalgegevens: je abonnement loopt via de App Store of Google Play. Apple en Google verwerken de betaling; wij ontvangen alleen de bevestiging dat je abonnement actief is — nooit je kaartgegevens. Klanten die zich vóór 28 juli 2026 via de website hebben aangemeld, betalen nog via Stripe (Ierland, EU); ook daar ontvangen wij alleen bevestigingen en geen volledige kaartnummers.
• Gebruiksstatistieken: beperkte, grotendeels geanonimiseerde gebruiks- en foutgegevens om de app en site te laten werken en te verbeteren (o.a. via Vercel Analytics, cookieless, en Sentry)

2. Waarvoor gebruiken we je gegevens

• Het personaliseren van je dagelijkse maaltijdplannen en coaching
• Het analyseren van foto's om je macro's automatisch te loggen
• Het opstellen van je trainingsschema's en het samen laten rekenen van sport en voeding naar je doel
• Het versturen van meldingen die je zelf instelt (bijv. ochtendplan, avondoverzicht) via push in de app en/of WhatsApp
• Het bijhouden van je voortgang en het aanpassen van je plan
• Facturatie en abonnementsbeheer (via de App Store of Google Play; voor bestaande webklanten via Stripe)
• Verbetering van het product (geanonimiseerd, opt-in)

3. Wettelijke grondslagen

We verwerken je gegevens op basis van:

• Uitvoering van de overeenkomst (artikel 6.1.b AVG): voor het leveren van de MyMesa-dienst
• Wettelijke verplichting (artikel 6.1.c AVG): voor fiscale administratie
• Gerechtvaardigd belang (artikel 6.1.f AVG): voor productverbetering en fraudepreventie
• Toestemming (artikel 6.1.a AVG): voor optionele marketingcommunicatie

4. Bewaartermijnen

• Foto's van maaltijden (origineel): niet bewaard op onze servers — direct na analyse weggegooid. Twilio bewaart media zelf ±7 dagen
• Foto-analyse cache (vingerafdruk + macro-resultaat, geanonimiseerd): 7 dagen
• Account-, profiel-, voedings- en sportgegevens: zolang je account/abonnement actief is + 12 maanden
• Berichten met Lotte (app en/of WhatsApp): zolang je account/abonnement actief is + 12 maanden
• Voice-notes (transcriptie): 30 dagen
• Facturen en betalingen: 7 jaar (wettelijke fiscale bewaarplicht)
• Sentry error-logs: 90 dagen
• Vercel Analytics: 30 dagen anoniem geaggregeerd
• Je kunt je account op elk moment zelf volledig verwijderen in de app (Profiel → Account verwijderen); je gegevens worden dan direct en onomkeerbaar gewist. Op verzoek via e-mail verwijderen we je gegevens binnen 30 dagen. In beide gevallen geldt: behalve waar een wettelijke bewaarplicht van toepassing is

5. Met wie delen we je gegevens

MyMesa verkoopt je gegevens nooit. We delen ze alleen met de volgende verwerkers, die contractueel verplicht zijn om de AVG na te leven:

• Supabase (Frankfurt, EU) — database en authenticatie
• Anthropic (Verenigde Staten, met EU Standard Contractual Clauses) — AI-verwerking via Claude voor tekst en foto-analyse. Anthropic verwerkt jouw berichten en foto's uitsluitend om antwoorden te genereren en gebruikt deze niet om hun modellen te trainen (per Anthropic Commercial Terms)
• OpenAI (Ierland, EU) — Whisper transcriptie van voice notes (alleen voice-input gebruikers)
• Expo — versturen van push-notificaties naar de app
• Twilio — WhatsApp Business API (alleen voor het WhatsApp-kanaal)
• Apple / Google — betalingsverwerking en abonnementsbeheer via de App Store en Google Play
• Stripe (Ierland, EU) — betalingsverwerking, uitsluitend nog voor bestaande webabonnementen van vóór 28 juli 2026
• Resend (EU) — transactionele e-mails (welkomstmail, trial-reminder, review-vraag, milestones)
• Vercel — webhosting + cookieless analytics
• Fly.io (Frankfurt, EU) — API hosting
• Sentry (Duitsland, EU) — error-monitoring (user-ID + stack traces, géén berichten-inhoud)

Een actueel verwerkersregister is op verzoek beschikbaar via info@mymesa.nl.

6. Doorgifte buiten de EU

We hosten je accountgegevens, profiel, voortgang en berichten binnen de EU (voornamelijk Frankfurt, via Supabase).

Anthropic (Verenigde Staten) verwerkt je berichten en maaltijdfoto's in de Verenigde Staten om de AI-responses te genereren. We hebben de EU Standard Contractual Clauses (SCC) ondertekend met Anthropic en Anthropic biedt aanvullende waarborgen (geen modeltraining op jouw data, encryption in transit, retentie beperkt tot operationele duur).

Twilio kan technisch verwerken buiten de EU voor WhatsApp Business API; ook hier zijn SCC's van toepassing.

Deze doorgiftes zijn rechtsgeldig onder de AVG op basis van art. 46 lid 2 sub c (SCC's) en alleen voor het leveren van de dienst.

7. Jouw rechten onder de AVG

• Inzage in je gegevens
• Rectificatie van onjuiste gegevens
• Verwijdering ("recht op vergetelheid")
• Beperking van verwerking
• Bezwaar tegen verwerking op basis van gerechtvaardigd belang
• Dataportabiliteit — je krijgt al je data in machine-leesbaar formaat
• Intrekken van toestemming waar van toepassing

Account verwijderen kan direct in de app via Profiel → Account verwijderen — dit wist al je gegevens onomkeerbaar. Voor inzage, een export of andere rechten stuur je een e-mail naar info@mymesa.nl. We reageren binnen 30 dagen.

Je hebt ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

8. Beveiliging

We nemen passende technische en organisatorische maatregelen om je gegevens te beschermen, waaronder versleuteling tijdens transport (TLS) en in rust, toegangscontrole op basis van rollen, en regelmatige beveiligingsaudits.

9. Cookies en analytics

Op mymesa.nl gebruiken we alleen functionele cookies (login-sessie). Voor bezoekersstatistieken gebruiken we Vercel Analytics, dat cookieless werkt en geen persoonsgegevens identificeert. Daarom is geen cookie-banner verplicht voor deze site. We gebruiken geen tracking-cookies, advertentie-cookies of profilering. Op de WhatsApp-dienst zelf zijn cookies niet van toepassing.

10. Wijzigingen

We kunnen deze privacyverklaring aanpassen. Bij belangrijke wijzigingen informeren we je per e-mail, via een melding in de app of via een bericht van Lotte. De actuele versie staat altijd op deze pagina.

11. Contact

Vragen? Mail info@mymesa.nl of stuur Lotte een bericht in de app.

MyMesa is een handelsnaam van OfficeFlow
Roosendaal, Nederland
KvK 42041799
BTW NL869439686B01
info@mymesa.nl