Privacybeleid

Wat is PathSignals?

PathSignals is een marketing-attributieplatform. Het koppelt websiteverkeer (Google Analytics), advertentiedata (Meta) en conversies aan elkaar, zodat organisaties inzicht krijgen in welke kanalen en campagnes resultaat opleveren. Dit beleid beschrijft welke gegevens we daarvoor verwerken en hoe we ermee omgaan.

Welke gegevens verwerken we?

• Accountgegevens — e-mailadres en inloggegevens van gebruikers van het platform.
• Gekoppelde platformdata — wanneer je jouw Google Analytics- of Meta-account koppelt, halen we met jouw toestemming rapportagedata op (campagnes, advertentiestatistieken, events en conversies). De toegangstokens die daarvoor nodig zijn worden versleuteld opgeslagen en nooit gedeeld met de browser of met derden.
• Event- en bezoekersdata — geaggregeerde en gepseudonimiseerde gegevens over websitebezoek en conversies. Persoonsgegevens zoals e-mailadres of telefoonnummer worden uitsluitend gehasht (SHA-256) verwerkt; IP-adressen worden na korte tijd automatisch verwijderd.

Waar en hoe wordt data opgeslagen?

Alle data staat in de Europese Unie (Supabase, regio eu-west-1). Toegangstokens van gekoppelde platforms worden versleuteld bewaard in een aparte kluis (Vault). Ruwe eventdata wordt automatisch opgeschoond volgens een vast retentiebeleid; verouderde identiteiten worden geanonimiseerd.

Met wie delen we gegevens?

We verkopen geen gegevens en delen ze niet met derden voor eigen doeleinden. Data stroomt uitsluitend terug naar de platforms die je zelf hebt gekoppeld (bijvoorbeeld conversie-events naar Meta Conversions API of Google Analytics), en alleen namens en in opdracht van jouw eigen organisatie.

Data van Meta en Google

Toegang tot Meta- en Google-data verloopt via de officiële API's en alleen na jouw expliciete toestemming via het OAuth-toestemmingsscherm. Je kunt die toegang op elk moment intrekken: in PathSignals via de Kanalen-pagina, of rechtstreeks bij Meta (Instellingen → Apps en websites) en Google (myaccount.google.com/permissions). Zie ook onze instructies voor gegevensverwijdering.

Het gebruik van gegevens uit Google API's door PathSignals volgt het Google API Services User Data Policy, inclusief de Limited Use-vereisten. In het Engels, zoals Google dit voorschrijft: PathSignals' use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements. We gebruiken Google-data uitsluitend om de rapportages in jouw eigen dashboard te leveren, niet voor advertenties, en we verkopen deze data niet. Google-data wordt niet gebruikt voor het trainen van AI- of ML-modellen.

Data protection for Google user data (English)

PathSignals accesses Google Analytics, Google Search Console, Google Ads, Google Tag Manager and Google BigQuery / Google Cloud (the GA4 BigQuery export in the user's own project) only after the user grants consent on Google's OAuth screen. We protect that data, and any other sensitive data, with the following mechanisms:

• Encryption in transit — all traffic between the browser, our servers and Google APIs uses HTTPS (TLS 1.2 or higher).
• Encryption at rest — the database and its backups are encrypted at rest (AES-256) and hosted in the European Union (Supabase, region eu-west-1).
• Token protection — OAuth access and refresh tokens are stored encrypted in a separate secrets vault, are only read by server-side functions, and are never sent to the browser, logged or shared with third parties.
• Access control — row-level security in the database ensures that each organisation can only read data of the websites it manages; server functions verify the user's session before returning data.
• Limited human access — no person reads Google user data, except with the user's explicit consent for support, when necessary for security purposes or to comply with applicable law. Administrative access is restricted to the PathSignals administrators.
• Data minimisation — personal identifiers such as e-mail addresses are only processed as SHA-256 hashes, IP addresses are removed shortly after collection, and raw analytics event data is automatically deleted after 90 days.
• Deletion — users can revoke access at any time on the Channels page in PathSignals or at myaccount.google.com/permissions. On revocation or a deletion request we delete the stored tokens and the Google-derived data of that site within 30 days.
• Incident response — in case of a data breach we notify the affected customers and the supervisory authority within 72 hours, as required by the GDPR.

Google user data is used only to provide the reports in the user's own dashboard and to send conversion events back to the user's own Google Analytics property. It is not sold, not used for advertising and not used to train AI or ML models.

Jouw rechten

Op grond van de AVG heb je recht op inzage, correctie en verwijdering van je persoonsgegevens. Neem daarvoor contact op via broekstra@vibecodex.nl. We reageren binnen 30 dagen.

Contact

Vragen over dit beleid? Mail naar broekstra@vibecodex.nl.