Privacystatement

Laatst bijgewerkt: 9 oktober 2026

1. Wie wij zijn

Attributions is de verwerkingsverantwoordelijke voor persoonsgegevens die via deze website en de SaaS-dienst Server Side Support worden verwerkt.

• Bedrijfsnaam: Attributions
• Adres: Tijmhof 36, 4907 BE Oosterhout
• KvK: 73595039
• E-mail: support@ga4support.nl

2. Welke gegevens wij verwerken

2.1 Als klant van de SaaS-dienst

• Contactgegevens: naam, e-mailadres, telefoonnummer
• Bedrijfsgegevens: bedrijfsnaam, adres, KvK-nummer, BTW-nummer (voor Business en Agency-pakketten)
• Betaalgegevens: wordt rechtstreeks afgehandeld door Mollie, wij zien alleen of een betaling gelukt is
• Technische gegevens: domein, gekoppelde Google-account, GTM-container-ID's, IP van je VPS
• Communicatie: berichten die je stuurt via e-mail, WhatsApp of de chat
• GA4-data via Google Analytics Data API: alleen aggregate event-counts per event-naam, via ons service-account dat als Viewer op jouw GA4-property wordt gekoppeld (zie 2.4 voor de toestemmingen die daarvoor nodig zijn). We bewaren géén user-IDs, transactie-bedragen of sessie-details.

2.2 Als bezoeker van serverside-support.nl

• IP-adres (tijdelijk, voor security en logging)
• Gegevens over je bezoek (pagina's, referrer, browser, taal) — als je toestemming hebt gegeven via de cookiebanner
• Zie het cookiestatement voor welke cookies wij plaatsen

2.3 Bij migratie naar onze infra

Tijdens een migratie krijgen wij tijdelijk gebruikerstoegang tot je Google Tag Manager-containers (web en server) om ze op onze infrastructuur te hosten. We verwerken geen event-payloads persistent; zie Security & Compliance voor technische details.

2.4 Google-toestemmingen (OAuth): wat we vragen en waarom

Je logt in met je Google-account en geeft per stap alleen toestemming voor wat dan nodig is. Google toont die toestemmingen zelf op het toestemmingsscherm, en je kunt daar afzonderlijke toestemmingen uitvinken. Wat we vragen, per moment:

1. Inloggen — alleen identiteit.

Toestemming	Waarom	Wat we ermee doen — en wat niet
openid .../auth/userinfo.email .../auth/userinfo.profile	Om te weten wie je bent en je account te herkennen.	We lezen naam, e-mailadres en profielfoto van je Google-account. Meer vragen we bij het inloggen niet. Ook aanmelden via de WordPress-plugin vraagt alleen dit; klanten zonder Google Tag Manager worden niet gevraagd om Tag Manager te koppelen.

2. Koppelen bij het starten van je setup — Google Tag Manager en Google Analytics. Deze vier vragen we samen op het koppelscherm; wat we er elk mee doen staat hieronder. Voor alleen de cookiebanner vragen we alleen de twee Tag Manager-toestemmingen (geen Analytics).

Toestemming	Waarom	Wat we ermee doen — en wat niet
.../auth/tagmanager.readonly	Om je Tag Manager-account en containers te vinden en te lezen welke meet-ID's erin staan.	Alleen lezen. Wijzigingen in je container voeren we niet met jouw account uit, maar met ons service-account.
.../auth/tagmanager.manage.users	Om ons service-account en ons support-adres als beheerder aan het Tag Manager-account toe te voegen dat jij kiest, zodat we de setup kunnen uitvoeren en onderhouden zonder jouw persoonlijke login.	Alleen gebruikersrechten toevoegen. Je kunt die rechten zelf altijd weer verwijderen in Tag Manager.
.../auth/analytics.readonly	Om te zien welke GA4-property bij het meet-ID (G-…) in je container hoort.	Alleen de lijst met accounts, properties en datastromen. Rapportagegegevens lezen we hiermee niet; de event-aantallen lezen we met ons service-account.
.../auth/analytics.manage.users	Alleen als jij de event-breakdown activeert: om ons service-account als Viewer aan je GA4-property toe te voegen.	Alleen die ene koppeling. Zet je de event-breakdown in het dashboard weer uit, dan halen we het service-account van je property af.

3. Databronnen verbinden — optioneel, alleen als jij ze zelf in het dashboard verbindt (voor de AI-add-ons voor Google Ads, Search Console of BigQuery). Google toont dan een eigen toestemmingsscherm.

Toestemming	Waarom	Wat we ermee doen — en wat niet
.../auth/adwords	Voor het inzicht “wat kost een conversie?”.	Google kent voor Google Ads maar één toestemming en toont die als “bekijken en bewerken”. Wij voeren met jouw toestemming uitsluitend leesopdrachten uit: kosten, klikken, vertoningen en conversies per campagne of per dag, voor een periode die je zelf kiest (maximaal 90 dagen terug), op het moment dat je erom vraagt in het dashboard of de AI-chat. We wijzigen niets in je Ads-account.
.../auth/bigquery.readonly	Om te meten hoeveel van je metingen zonder toestemming binnenkomt.	Alleen lezen. We zoeken in de namen van je BigQuery-projecten en -datasets naar je GA4-export (analytics_…) en stellen daarop één vaste vraag: het aantal events met en zonder toestemming (standaard 7 dagen, maximaal 30). Geen vrije query's en geen andere tabellen.
.../auth/webmasters.readonly	Voor je belangrijkste zoekopdrachten in Google.	Alleen lezen: zoekopdrachten en pagina’s met clicks en vertoningen, voor een periode die je zelf kiest (maximaal 90 dagen terug), van je eigen Search Console-sites.

2.5 Hoe lang we je Google-toegang en -gegevens bewaren

• Geen refresh token. We vragen Google uitdrukkelijk om alleen kortdurende toegang (access_type=online). Met jouw account komen we dus niet bij je Google-gegevens zolang jij niet zelf bent ingelogd. Rechten die je ons service-account hebt gegeven (bijvoorbeeld Viewer op een GA4-property) staan daar los van en blijven staan tot jij of wij ze weghalen.
• Het toegangstoken zit in je sessiecookie (alleen via een beveiligde verbinding en niet leesbaar voor scripts op de pagina) en niet in onze database. Een sessie duurt maximaal 24 uur; Google laat een toegangstoken zelf doorgaans na ongeveer een uur verlopen.
• Gegevens uit Google Ads, BigQuery en Search Console halen we op het moment van je vraag op en slaan we niet op. Gebruik je de AI-chat, dan gaan de opgehaalde resultaten (bijvoorbeeld de aantallen uit BigQuery) naar Anthropic om je vraag te beantwoorden. Je chatgeschiedenis slaan wij niet op; per maand bewaren we alleen het aantal vragen en het aantal gebruikte tokens, voor het quotum en de facturering.

2.6 Toestemming intrekken

• In het dashboard (Instellingen → “Waar hebben we toegang tot?”) zie je wat je hebt verleend, inclusief de databronnen die je voor deze sessie hebt verbonden.
• Intrekken doe je bij Google, via myaccount.google.com/permissions (de knop in het dashboard brengt je daar). Google trekt per app in, dus alles tegelijk: inloggen, Tag Manager, Analytics en databronnen.
• Bij het toestemmingsscherm zelf kun je afzonderlijke toestemmingen uitvinken. Onze databronnen-functies melden dan welke toestemming ontbreekt.
• Zet je de event-breakdown in het dashboard uit, dan halen we ons service-account van je GA4-property af. In Tag Manager kun je ons service-account zelf verwijderen.

2.7 Google API Services User Data Policy (Limited Use)

Het gebruik en de doorgifte van informatie die wij via Google-API's ontvangen, voldoet aan het Google API Services User Data Policy, inclusief de Limited Use-vereisten. Concreet:

• We gebruiken die gegevens alleen om de functies te leveren die hierboven staan en die je in het dashboard ziet.
• We verkopen ze niet en gebruiken ze niet voor advertenties.
• We gebruiken ze niet om AI-modellen te trainen.
• Mensen bij ons lezen die gegevens niet, behalve met jouw toestemming voor specifieke gegevens, voor beveiliging (bijvoorbeeld het onderzoeken van misbruik), om aan de wet te voldoen, of als samengevoegde en geanonimiseerde cijfers voor intern gebruik.
• Doorgifte aan derden gebeurt alleen om de functie te leveren: Google Cloud (hosting) en, als je de AI-chat gebruikt, Anthropic voor het beantwoorden van jouw vraag (zie hoofdstuk 4).

2.8 Advanced Data Keeper (add-on)

Met de Advanced Data Keeper bewaar je zelf gegevens via je GTM-server-container, bijvoorbeeld om een aankoop achteraf aan een bezoeker te koppelen.

• Waar: op de server van je eigen setup (de VPS die wij voor je beheren, naast je server-container). Niet in onze eigen database.
• Hoe lang: elke collectie heeft een verplichte bewaartermijn. Standaard 30 dagen, maximaal 400 dagen; “voor altijd” bestaat niet. Jij past de termijn per collectie aan in het dashboard.
• Verwijderen: een collectie, een document of een waarde (bijvoorbeeld bij een verwijderverzoek van je bezoeker) wis je zelf in het dashboard; wissen op een waarde werkt op al je websites tegelijk.
• Na opzegging: zeg je de add-on op, dan wissen wij na 30 dagen de opgeslagen gegevens op je server, de opslagdienst zelf en de toegangssleutel. Zet je de add-on binnen die 30 dagen weer aan, dan is alles er nog. Een verwijderverzoek (gegevens van één persoon wissen) blijft in die periode mogelijk. Je GTM-container verwijderen wij nooit.
• Wat wij zien: voor ons overzicht gebruiken we alleen aantallen en opslaggrootte per collectie. De inhoud bekijk en beheer je zelf in het dashboard.
• Onze rol: voor wat je hier bewaart ben jij de verwerkingsverantwoordelijke en zijn wij de verwerker. Dat leggen we vast in de DPA (zie hoofdstuk 4 en Security & Compliance).

3. Waarom wij deze gegevens verwerken

Wij verwerken persoonsgegevens uitsluitend op basis van één van de volgende AVG-rechtsgronden:

• Uitvoering van de overeenkomst (art. 6.1.b AVG): om de SaaS-dienst te leveren, te factureren en support te bieden.
• Wettelijke verplichting (art. 6.1.c AVG): fiscale bewaarplicht, belasting- en financiële administratie.
• Gerechtvaardigd belang (art. 6.1.f AVG): beveiliging van onze systemen, logging, fraudepreventie, en het technisch onderhoud van de website.
• Toestemming (art. 6.1.a AVG): voor niet-noodzakelijke cookies (analytics, marketing) op deze website.

4. Wie toegang heeft tot jouw gegevens

Wij delen persoonsgegevens alleen met subprocessors die noodzakelijk zijn voor de dienstverlening. Volledige lijst met locatie en rol staat op de pagina Security & Compliance. Samengevat:

• UpCloud (Amsterdam, NL) — hosting van klant-VPS'en
• Google Cloud (europe-west1, BE) — dashboard-infrastructuur en database
• Mollie (Amsterdam, NL) — betalingsverwerking
• Rompslomp (NL) — facturatie en administratie
• Anthropic (VS) — AI-chat support, alleen actief per sessie, zonder persistente opslag. Gebruik je de AI-chat, dan ontvangt Anthropic je vraag en de gegevens die de chat voor het antwoord ophaalt

Op aanvraag leveren wij een DPA (Data Processing Agreement) die de verwerkingsafspraken formaliseert.

5. Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan noodzakelijk, en maximaal conform de wettelijke bepalingen:

Gegevens	Bewaartermijn
Facturen en administratie	7 jaar (fiscale bewaarplicht, art. 52 AWR)
Klantaccount na opzegging	Zo lang als nodig voor restlevering + 30 dagen
Technische logs (nginx, server)	30 dagen
Support-correspondentie	2 jaar na laatste contact
Google-toegangstoken (sessie)	Maximaal 24 uur, alleen in je sessiecookie; niet in onze database; geen refresh token
Gegevens uit Google Ads, BigQuery en Search Console	Niet opgeslagen; opgehaald op het moment van je vraag
AI-chat	Gesprek niet door ons opgeslagen; per maand alleen het aantal vragen en tokens
Advanced Data Keeper	Door jou ingesteld per collectie: standaard 30 dagen, maximaal 400 dagen. Na opzegging van de add-on: nog 30 dagen, daarna wissen wij alles
Cookies op de website	Zie cookiestatement

6. Jouw rechten

Op grond van de AVG heb je de volgende rechten met betrekking tot jouw persoonsgegevens:

• Inzage (art. 15) — opvragen welke gegevens wij van je verwerken
• Rectificatie (art. 16) — onjuiste of onvolledige gegevens laten corrigeren
• Verwijdering (art. 17) — gegevens laten wissen (onder voorwaarden)
• Beperking (art. 18) — verwerking laten beperken
• Overdraagbaarheid (art. 20) — gegevens in een machineleesbaar formaat ontvangen
• Bezwaar (art. 21) — bezwaar maken tegen verwerking op basis van gerechtvaardigd belang
• Intrekken toestemming — voor verwerking op basis van toestemming

Stuur je verzoek naar support@ga4support.nl. Wij reageren binnen 30 dagen.

7. Klacht indienen

Als je vindt dat wij niet zorgvuldig omgaan met jouw persoonsgegevens, kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

8. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies of onrechtmatige verwerking. Details staan op Security & Compliance.

9. Wijzigingen

Wij kunnen dit privacystatement wijzigen als wet- of regelgeving daarom vraagt, of als onze dienstverlening wijzigt. De laatste versie is altijd op deze pagina te vinden. Bij ingrijpende wijzigingen informeren wij bestaande klanten per e-mail.

10. Contact

Voor vragen over privacy of dit statement kun je terecht bij:

• E-mail: support@ga4support.nl
• Telefoon/WhatsApp: +31 6 25 11 82 13
• Post: Attributions, Tijmhof 36, 4907 BE Oosterhout