Privacyverklaring

Deze privacyverklaring legt uit hoe Fncy Studio, handelend onder de naam StageRally ("wij", "ons"), omgaat met persoonsgegevens wanneer je onze website (stagerally.app), web-applicatie (live.stagerally.app) en iOS/iPadOS-app (in de app ook Rally genoemd) gebruikt. Wij verwerken je persoonsgegevens in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG / GDPR).

1. Wie is verantwoordelijk voor je gegevens?

Verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens is:

• Bedrijfsnaam: Fncy Studio (handelsnaam: StageRally)
• Adres: Tribunusallee 3, 6852 RJ Huissen, Nederland
• KvK-nummer: 96672412
• Btw-nummer: NL005224547B94
• Contact voor privacyvragen: support@stagerally.app

2. Welke persoonsgegevens verwerken wij?

• Accountgegevens: je weergavenaam, e-mailadres, versleuteld wachtwoord (of je Apple-identificatietoken als je inlogt met Sign in with Apple), taalvoorkeur en tekstgrootte-instellingen.
• Bandgegevens en inhoud: de bands waarvan je lid bent, je rol binnen de band (owner/bandleider, admin, lid of crew), verzonden en ontvangen uitnodigingen, en alle inhoud die jij en je band opslaan: songs, songteksten, akkoorden, persoonlijke notities, setlists, optredens (gigs), crew-communicatieberichten en of een crewbericht als gezien is gemarkeerd.
• Technische gegevens voor live sync en beveiliging: apparaat- en browsertype, sessiestatus, IP-adres, het push-token van de iOS-app (om crewberichten te kunnen afleveren), tijdstippen van wijzigingen (audit-informatie binnen je band) en technische fout- of beveiligingslogs die nodig zijn om setlists live tussen schermen te synchroniseren en misbruik te voorkomen.
• Betaal- en factuurgegevens: betalingen lopen via Stripe (op de website) of Apple (in de iOS-app). Wij zien en bewaren nooit volledige creditcard- of bankkaartnummers. Wij ontvangen en bewaren uitsluitend je abonnementsstatus, gekozen plan, klant-/abonnements-ID en factuurreferenties voor onze administratie.
• Analytics (statistieken): met PostHog meten we paginabezoek, klikken, technische foutmeldingen en laadtijden (web vitals), in de web-app en op de marketingsite. Op de marketingsite meten we daarnaast klikken op knoppen (inclusief de zichtbare knoptekst), geopende vragen, scrolldiepte en campagneparameters (UTM). Op een pagina die niet bestaat bewaren we het pad, de querystring en de verwijzende site. In de web-app slaan we geen zichtbare tekst van knoppen of schermen op, en halen we tokens uit links weg voordat iets wordt verstuurd. IP-adressen worden niet bewaard. Zonder toestemming blijft dit anoniem. Met je toestemming koppelen we je gebruik aan je account (je account-ID, e-mailadres en naam) en maken we sessie-opnames: een reconstructie van wat je op het scherm doet, waarin alle tekst en invoervelden onleesbaar zijn gemaakt. Tijdens een livesessie en op gedeelde links nemen we niets op. In de iOS-app meten we met PostHog welke schermen je opent, wanneer de app start en sluit, en crashes en onverwachte foutmeldingen. Zonder toestemming gebeurt dat anoniem, met een nieuwe ID bij elke start. Met je toestemming koppelen we het aan je account. In de iOS-app maken we geen sessie-opnames. Daarnaast stuurt onze server bij het starten, wijzigen en stoppen van een abonnement het plan, de status en het bedrag per band naar PostHog. Daar zit geen naam, e-mailadres of account-ID bij.

3. Waarvoor en op welke grondslag verwerken wij gegevens?

4. Welke verwerkers en dienstverleners schakelen wij in?

Wij verkopen je persoonsgegevens nooit aan derden. Voor het leveren van StageRally maken wij gebruik van onderstaande gespecialiseerde verwerkers, waarmee wij verwerkersovereenkomsten hebben gesloten:

5. Doorgifte buiten de Europese Economische Ruimte (EER)

Onze primaire database draait binnen de Europese Unie. Een aantal van onze dienstverleners (zoals Stripe, Apple, Vercel, Resend, RevenueCat en PostHog) is gevestigd in de Verenigde Staten of kan gegevens buiten de EER verwerken. Wanneer persoonsgegevens buiten de EER worden doorgegeven, zorgen wij voor een passend beschermingsniveau conform hoofdstuk V van de AVG: via deelname van de betreffende partij aan het EU-US Data Privacy Framework (DPF) (adequaatheidsbesluit van de Europese Commissie) en/of door toepassing van de Standaardcontractbepalingen (Standard Contractual Clauses, SCC's) van de Europese Commissie.

6. Bewaartermijnen per soort gegevens

Wij bewaren je persoonsgegevens niet langer dan noodzakelijk voor het doel waarvoor ze zijn verzameld:

• Accountgegevens: zolang je een actief StageRally-account hebt. Wanneer je je account verwijdert via de accountinstellingen, worden je profiel- en authenticatiegegevens direct verwijderd.
• Bandgegevens (songs, setlists, teksten, akkoorden, notities en gigs): zolang je band actief is (ook wanneer een band na een betaald abonnement terugvalt op het gratis Soundcheck-plan, zodat je je repertoire niet kwijtraakt). Items die je verwijdert staan nog 30 dagen in de prullenbak en worden daarna automatisch definitief gewist. Wanneer je je account verwijdert, worden bands waarvan jij het enige lid bent direct volledig gewist.
• Crew-communicatieberichten: maximaal 90 dagen na verzending (of korter bij verwijdering van de band).
• Technische en beveiligingslogs: live-sync posities zijn vluchtig tijdens de sessie; server- en beveiligingslogs worden maximaal 30 tot 90 dagen bewaard.
• Sessie-opnames: 30 dagen, daarna worden ze automatisch verwijderd.
• Factuur- en betaaladministratie: 7 jaar na afloop van het betreffende boekjaar, om te voldoen aan onze wettelijke fiscale bewaarplicht voor de Belastingdienst.

7. Jouw privacyrechten en klachtrecht

Onder de AVG heb je de volgende rechten ten aanzien van jouw persoonsgegevens:

• Recht op inzage: je mag opvragen welke persoonsgegevens wij van je verwerken.
• Recht op correctie (rectificatie): je kunt je naam en bandgegevens direct aanpassen in de app, of ons vragen onjuiste gegevens te corrigeren.
• Recht op verwijdering (vergetelheid): je kunt je account en bijbehorende solo-bands direct zelf verwijderen in Account → Account verwijderen (zowel in de web-app als in de iOS-app), of ons mailen.
• Recht op gegevensoverdraagbaarheid (export): je hebt het recht om de gegevens die je bij ons hebt opgeslagen in een gestructureerd, gangbaar en machineleesbaar formaat te ontvangen.
• Recht van bezwaar en beperking: je kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang of vragen om de verwerking te beperken. Afmelden voor proefperiode-tips kan met één klik onderaan elke mail.
• Toestemming intrekken: voor verwerkingen die op toestemming berusten (zoals analytische cookies en sessie-opnames) kun je je toestemming op elk moment intrekken via Cookie-instellingen in de footer van de site, via Instellingen in de web-app, of via Instellingen → Privacy in de iOS-app. Dat is even makkelijk als toestemming geven.

Om gebruik te maken van je rechten kun je mailen naar support@stagerally.app. Wij reageren uiterlijk binnen 30 dagen.

Klacht indienen bij de toezichthouder: Ben je niet tevreden over hoe wij met je privacy omgaan? Dan heb je altijd het recht om een klacht in te dienen bij de Nederlandse toezichthouder, de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl), of bij de privacytoezichthouder in het EU-land waar je woont.

8. Cookies en lokale opslag

• Functionele opslag (altijd noodzakelijk): In de StageRally web-app en op de website gebruiken wij lokale browseropslag (localStorage en IndexedDB) voor het onthouden van je inlogsessie, taalvoorkeur, schermrotatie, lettergrootte en het lokaal op je apparaat bewaren van je songs en setlists zodat de app op het podium ook zonder internet werkt. Hiervoor is wettelijk geen cookie-toestemming vereist.
• Statistieken zonder toestemming (PostHog): Zolang je geen toestemming geeft, meten we met PostHog anoniem. Er wordt dan niets op je apparaat opgeslagen: elk bezoek krijgt een tijdelijke ID die verdwijnt zodra je de pagina sluit, en we koppelen niets aan je account.
• Analytische cookies met toestemming: Kies je in de cookiebanner voor "Alles accepteren", dan plaatst PostHog een cookie op .stagerally.app (naam begint met ph_, geldig tot 1 jaar). Daarmee herkennen we je bezoek op de site en in de web-app, koppelen we het aan je account zodra je inlogt, en maken we sessie-opnames met alle tekst en invoer onleesbaar gemaakt. Kies je voor "Alleen noodzakelijk", dan gebeurt dit allemaal niet en verwijderen we eerder geplaatste ph_-cookies. Je keuze bewaren we in de functionele cookie stagerally_consent (1 jaar), zodat je op de site en in de app niet twee keer hoeft te kiezen. Je wijzigt je keuze via Cookie-instellingen in de footer of via Instellingen in de web-app. De iOS-app gebruikt geen cookies. Daar kies je bij de eerste start of we je gebruik aan je account mogen koppelen, en je past dat aan via Instellingen → Privacy. Wij gebruiken nergens advertentiecookies. Lettertypen laden we vanaf onze eigen servers, niet vanaf Google.

9. Minimumleeftijd (jongeren in bands)

Wij begrijpen dat ook jongeren in bands en muziekteams spelen. Voor het zelfstandig aanmaken van een StageRally-account geldt een minimumleeftijd van 16 jaar. Ben je jonger dan 16 jaar, dan mag je alleen een account aanmaken met toestemming van je ouder of wettelijke vertegenwoordiger. Als wij merken dat er zonder vereiste ouderlijke toestemming persoonsgegevens van een kind onder de 16 jaar zijn verzameld, verwijderen wij die gegevens op verzoek direct.

10. Hoe wij je gegevens beveiligen

Wij nemen passende technische en organisatorische maatregelen om je gegevens te beschermen tegen verlies of onbevoegde toegang:

• Alle verbindingen tussen jouw apparaat en onze servers zijn versleuteld via TLS/HTTPS;
• Wachtwoorden worden versleuteld (gehasht) opgeslagen via Supabase Auth;
• Gegevens zijn op databaseniveau strikt per band gescheiden met Row-Level Security (RLS), zodat alleen geautoriseerde leden van een band toegang hebben tot de songs en setlists van die band;
• Betalingen lopen volledig via gecertificeerde betaalverwerkers (Stripe en Apple, PCI-DSS compliant).