P1On Privacybeleid

Vertaling van de Engelse versie van 2026-10-05; bij verschillen prevaleert de [ENGELSE / NEDERLANDSE — door counsel te bepalen] versie.

Voor counsel: bepaal welke taalversie prevaleert bij een verschil tussen de versies (Engels, Nederlands, Frans) en of de toepasselijke taal- en consumentenwetgeving (bijvoorbeeld de taalvereisten voor consumentenovereenkomsten in Vlaanderen, Wallonië en Brussel) een bepaalde taal voorschrijft. Dit ontwerp beslist hierover niet.

⚠️ ONTWERP — vereist nazicht door counsel vóór publicatie. Plaatshouders tussen [HAAKJES] moeten door de verwerkingsverantwoordelijke worden ingevuld. Dit ontwerp is opgesteld om te voldoen aan art. 13/14 AVG en om te dienen als de privacybeleid-URL die de Apple App Store en Google Play vereisen.

Elke verklaring over gegevens hieronder is getoetst aan de code (tabellen in backend/template.yaml, entiteitsdefinities in DATA_MODEL.md). Vragen die alleen counsel of de eigenaar kan beantwoorden zijn gemarkeerd met > **Voor counsel:**. De identiteit van de verwerkingsverantwoordelijke, de functionaris voor gegevensbescherming en de rechtsgronden vallen onder eigenaarstaak O15 en worden hier niet bepaald.

Datum van inwerkingtreding: [DATE] Versie: [SEMVER — bump on every material change; the app stores the version the user accepted] Laatst bijgewerkt: 2026-10-05

1. Wie wij zijn (verwerkingsverantwoordelijke)

[CONTROLLER LEGAL NAME], [REGISTERED ADDRESS], [COMPANY NUMBER] ("P1On", "wij", "ons") is de verwerkingsverantwoordelijke voor uw persoonsgegevens.

• Contact / functionaris voor gegevensbescherming: [DPO NAME, EMAIL]
• Toezichthoudende autoriteit: u kunt een klacht indienen bij de Belgische Gegevensbeschermingsautoriteit (Autorité de protection des données, www.gegevensbeschermingsautoriteit.be) of, als u in Nederland woont, bij de Autoriteit Persoonsgegevens (www.autoriteitpersoonsgegevens.nl).

Voor counsel: benoem de juridische entiteit die verwerkingsverantwoordelijke is en beslis of een functionaris voor gegevensbescherming moet worden aangewezen (art. 37 AVG) — eigenaarstaak O15. Dit ontwerp noemt geen van beide.

2. Wat P1On doet

P1On is een mobiele app die de gegevens van uw slimme meter thuis uitleest via een P1-wifilezer die u bezit, u realtime en historisch energieverbruik en de kosten toont, en wekelijkse AI-gegenereerde inzichten, verbruiksmeldingen en een voortgangsweergave ("skyline") maakt.

Huishoudens. In P1On is een woning de eenheid die lezers en gegevens bezit. U kunt andere personen via een link uitnodigen in uw woning. Elk lid van een woning ziet de apparaten, metingen, inzichten, meldingen, meldingenhistoriek en voortgang van die woning, en de ledenlijst. Zie §3 ("Gedeeld met de andere leden van uw woning").

Belangrijk: verbruiksgegevens van een slimme meter zijn persoonsgegevens. Ze kunnen onthullen wanneer u thuis bent, uw slaap- en vakantiepatronen en welke toestellen u gebruikt. P1On leidt bovendien gedrag op toestelniveau af met behulp van niet-intrusieve belastingsmonitoring (NILM). Wij behandelen deze gegevens dienovereenkomstig.

3. Welke gegevens wij verwerken

Elke rij noemt de databasetabel of dienst waarin de gegevens worden bewaard, zodat de bewaartermijnen in §6 daartegen kunnen worden gelezen.

Gedeeld met de andere leden van uw woning. Elk lid van een woning kan alle bovenstaande rijen zien die aan de woning gekoppeld zijn: apparaten (inclusief de contractgegevens), metingen en overzichten, inzichten, meldingen, meldingenhistoriek, voortgang en de ledenlijst (gebruikers-id, rol, datum van toetreding en de weergavenaam die elk lid heeft ingesteld; nooit e-mailadressen). Alleen eigenaars van de woning kunnen het energieplan en de prijszone wijzigen, en alleen eigenaars kunnen leden uitnodigen of verwijderen. Wie vertrekt of wordt verwijderd, verliest onmiddellijk de toegang.

Voor counsel: (a) de rechtsgrond voor het bekendmaken van de huishoudgegevens van de ene persoon aan de andere leden die de eigenaar uitnodigt; (b) of de huishoudelijke uitzondering (art. 2, lid 2, onder c, AVG) of gezamenlijke verwerkingsverantwoordelijkheid van toepassing is tussen leden; (c) of een lid moet worden meegedeeld dat een eigenaar zijn verbruik kan zien.

Wij verzamelen geen gegevens van uw netbeheerder of het portaal van uw leverancier: alle energiegegevens komen van hardware die u bezit. Wij verzamelen uw locatie, adres of telefoonnummer niet. Twee gedeelde caches bevatten helemaal geen persoonsgegevens: day-ahead groothandelsprijzen voor elektriciteit (p1on-prices) en het dagelijkse gemiddelde van de buitentemperatuur per prijszone (p1on-weather).

4. Waarom wij gegevens verwerken en onze rechtsgrond

Voor counsel: bevestig de rechtsgrond voor elke rij tussen haakjes (eigenaarstaak O15). Of NILM-toestelontbinding, die toestelgedrag afleidt, op de overeenkomst kan steunen of toestemming vereist, is de centrale vraag.

Wanneer een doel op toestemming berust, vragen wij die uitdrukkelijk en kunt u ze te allen tijde intrekken zonder dat dit afbreuk doet aan de rechtmatigheid van eerdere verwerking.

5. Door AI gegenereerde inhoud

Uw wekelijkse inzichten worden gegenereerd door een groot taalmodel dat wordt gehost op AWS Bedrock — de Amazon Nova-modellen (Nova Micro, met Nova 2 Lite als reserve als het primaire model niet beschikbaar is), in de EU. Het model ontvangt alleen de cijfers van de week (totaal kWh, kWh per dag, kWh per toestelcategorie, de vooraf berekende bevindingen en tipkandidaten, en uw antwoorden op de toestellenenquête) en de tipteksten van vorige week. Het ontvangt uw naam, e-mailadres, woningnaam of enige identificator niet. De inzichten zijn louter adviserend — ze leiden niet tot geautomatiseerde besluitvorming met rechtsgevolgen of anderszins aanmerkelijke gevolgen voor u (art. 22 AVG is niet van toepassing). Door AI gegenereerde tekst is in de app als zodanig gemarkeerd.

6. Hoe lang wij gegevens bewaren

De bewaartermijn wordt afgedwongen door de time-to-live (TTL) van DynamoDB waar een TTL is vermeld. DynamoDB verwijdert een verlopen item binnen ongeveer 48 uur na het verstrijken ervan, dus een TTL is een opruiming en geen nauwkeurige klok.

Er is vandaag geen afzonderlijke analyse- of trainingsopslag: de langetermijnhistoriek zijn de 2-jaaroverzichten hierboven. (Er bestaat een koudeopslagbucket, maar er wordt niets naar geschreven; zie §7.) Twee gedeelde caches bevatten geen persoonsgegevens en staan hierboven niet vermeld: day-ahead elektriciteitsprijzen (40 dagen) en gemiddelde dagtemperaturen (400 dagen).

Back-ups. Voor elke DynamoDB-tabel is point-in-time recovery ingeschakeld, wat een voortschrijdende back-up van 35 dagen bijhoudt waaruit wij kunnen herstellen als gegevens verloren gaan of beschadigd raken. Wanneer u uw account verwijdert (of iets verloopt), worden uw gegevens onmiddellijk uit de live tabellen gewist, maar kopieën ervan kunnen in deze back-ups blijven staan tot het venster van 35 dagen is verstreken; back-ups worden niet bewerkt, ze vallen gewoon weg. Wij herstellen een back-up niet op een manier die een gewiste account zou terugbrengen. Dit is gangbare praktijk, en 35 dagen is de langste periode waarin uw gegevens na wissing kunnen blijven bestaan (plus de vertraging van maximaal 48 uur door de TTL hierboven).

Voor counsel: bevestig de termijn van 2 jaar voor overzichten, inzichten en voortgangsrijen en de rechtvaardiging ervan (seizoensgebondenheid van het huishoudelijk verbruik), en de bewaartermijn bij Sentry.

Wanneer u uw account verwijdert, wissen wij uw gegevens zoals beschreven in §9.

7. Training van machine learning

[NOT YET LIVE — the ML training/export pipeline this section describes (readings → S3 → training store) is not implemented yet; do not publish this section, or reword it to the present tense, until it ships. Kept here as the intended design:]

Wij gebruiken uw metingen om modellen te trainen die inzichten en anomaliedetectie aansturen. Voordat gegevens in onze trainingsopslag terechtkomen, [pseudonymise it by replacing device and user identifiers with salted tokens held separately]. De optionele feedbacklus over toestellabels is strikt opt-in. Wanneer u uw account verwijdert, worden uw gegevens ook uit de trainingsopslag verwijderd.

8. Met wie wij gegevens delen (subverwerkers)

Wij gebruiken gescreende dienstverleners op grond van verwerkersovereenkomsten overeenkomstig art. 28 AVG. Onze actuele lijst van subverwerkers staat in sub-processors.md (alleen in het Engels beschikbaar). Wat elke ontvanger ontvangt:

Doorgiften buiten de EER. Het bezorgen van pushberichten verloopt via Expo, een Amerikaans bedrijf, en verder via Apple en Google; uw pushtoken en de inhoud van het bericht verlaten de EER via dat traject. De regio van Sentry is nog niet bevestigd. Al het overige blijft in de EU.

Voor counsel: het doorgiftemechanisme voor Expo, Apple/Google en (indien in de VS) Sentry — standaardcontractbepalingen, het EU-VS-gegevensprivacykader (Data Privacy Framework) of iets anders — en of de pushinhoud moet worden beperkt zodat ze geen cijfers of identificatoren bevat (beslissing van de eigenaar; ontwerpwijziging).

Openbare gegevensbronnen ontvangen geen persoonsgegevens. Om dynamische tarieven te prijzen en voortgangsdoelen te berekenen halen wij day-ahead elektriciteitsprijzen (api.energy-charts.info) en de gemiddelde dagtemperatuur (KMI/IRM in België, KNMI in Nederland) op. Elk verzoek vermeldt enkel een prijszone (BE, NL of LU), een weerstation en een datum. Er wordt geen informatie over gebruiker, apparaat of woning verstuurd.

9. Uw rechten

U hebt het recht op inzage, rectificatie, wissing, beperking van en bezwaar tegen de verwerking van uw gegevens, en het recht op gegevensoverdraagbaarheid. In de app kunt u:

• Uw account verwijderen (Profiel → Account verwijderen) — wist uw gegevens in al onze opslagplaatsen; de toegang wordt binnen 30 seconden ingetrokken en de opgeslagen gegevens worden op de achtergrond fysiek verwijderd, normaal binnen 15 minuten en in elk geval binnen 24 uur.

  Gedeelde woningen. Wat wordt gewist, hangt af van wie er nog in uw woning zit:

  • Als u het enige lid bent, wordt de hele woning verwijderd: haar apparaten, metingen, overzichten, inzichten, meldingen, meldingenhistoriek, voortgangsrijen en uitnodigingslinks.
  • Als er nog andere personen lid zijn, blijven de woning en haar gegevens voor hen bestaan. Alleen uw eigen lidmaatschap, pushtokens, live verbindingen, profiel en aanmeldaccount worden verwijderd. Als u de enige eigenaar was, wordt het langst aanwezige resterende lid de eigenaar. Rijen die vastleggen wie iets heeft aangemaakt (wie een apparaat heeft gekoppeld, een melding of uitnodiging heeft aangemaakt, wie een lid heeft uitgenodigd) behouden uw gebruikers-id, die niet meer naar een account verwijst.

  Voor counsel: of het behouden van het ondoorzichtige gebruikers-id van een vertrokken lid op rijen van gedeelde woningen, en het behouden van de metingen van een gedeelde woning, aanvaardbaar is onder art. 17 AVG, of dat het gebruikers-id moet worden gewist (beslissing van de eigenaar; een codewijziging).

[Data export: a machine-readable export endpoint exists server-side (GET /profile?export=1) but is not yet exposed in the app UI — remove this bracket and add "Export your data (Profile → Export my data)" above once that screen ships, before this policy is published. The export covers your profile, homes, devices, alerts, insights and progress; it does not yet include raw readings, summaries or alert history (issue #43 tracks completing it), so do not claim a complete export until it does.]

U kunt ook contact opnemen met [DPO EMAIL]. Wij antwoorden binnen één maand (art. 12, lid 3, AVG).

10. Beveiliging

Gegevens worden versleuteld tijdens het transport (TLS) en in rust (AWS KMS op onze databanken en opslag). Elk verzoek wordt geauthenticeerd, en de toegang tot de gegevens van een woning wordt bij elk verzoek gecontroleerd aan de hand van uw actuele lidmaatschap van die woning (een consistente leesbewerking, zodat een verwijderd lid onmiddellijk wordt geweigerd). Lezers authenticeren zich bij onze broker met hun eigen in de fabriek geïnstalleerd certificaat. Foutrapporten zijn zo geconfigureerd dat ze geen request-bodies, headers of cookies meesturen.

11. Kinderen

P1On is niet gericht op kinderen. U moet minstens 16 jaar oud zijn om het te gebruiken.

12. Wijzigingen

Wij kunnen dit beleid bijwerken; wij brengen u in de app op de hoogte van ingrijpende wijzigingen en leggen de versie vast die u aanvaardt.

13. Contact

[CONTROLLER LEGAL NAME] — [DPO / PRIVACY EMAIL] — [POSTAL ADDRESS].