Privacy Policy

English version

1. Introduction

This Privacy Policy explains how ADS Web Services B.V. (KvK 42022140) ("we", "us", "our", the "Controller") collects, uses, discloses, and protects your personal data when you use the AI Coin Collector mobile application, website (aicoincollector.com), and related services (collectively, the "Service").

We act as the data controller within the meaning of Regulation (EU) 2016/679 (the "GDPR") and the Dutch GDPR Implementation Act (Uitvoeringswet AVG).

Company details:

• ADS Web Services B.V.
• Registered office: Amsterdam, the Netherlands
• Chamber of Commerce (KvK) number: 42022140
• VAT (BTW) number: <BTW_NL_NUMMER>
• General contact: info@adswebservices.nl
• Support contact: support@aicoincollector.com
• Privacy contact (internal DPO): privacy@aicoincollector.com

In short: no ads, no analytics, no tracking

Nobody needs to know which coins you own. The AI Coin Collector app contains no advertising, no analytics,no crash reporting and no tracking or attribution SDKs. We do not use an advertising ID, we do not build profiles, and we do not track you across other apps or websites. What you photograph and collect goes only to our own servers, to make the app work.

2. Personal data we collect

We collect the following categories of personal data:

• Account data: email address, display name, and (optionally) a profile picture you choose to upload.
• Authentication data: identifiers received from third party sign-in providers (Google, Apple, Microsoft Azure AD). We only request the minimum public profile scope (e.g. name, email, unique provider ID); the provider's token is verified on our own server. We do not receive or store your password from those providers.
• User content: photographs of coins captured via your device camera, coin collections you create, social posts, comments, likes, follows and marketplace listings.
• Technical data: app version, operating system and language sent with requests to our server, and server security logs with a truncated IP address. We do not collect an advertising ID, device fingerprint, or crash/diagnostic logs.
• Usage data: only the number of scans per day, to apply your plan's limits. We do not record in-app events, sessions or conversions.
• Payment data: when you subscribe via Stripe, we receive your Stripe customer ID, the last 4 digits of your card, card brand, expiry month/year, billing country, and invoice metadata. We donot store full card numbers. In-app purchases made through Apple App Store or Google Play are processed by Apple/Google; we only receive the transaction receipt and entitlement information.

3. Purposes and legal bases for processing (GDPR Art. 6)

4. Recipients and sub-processors

We share personal data with carefully selected service providers acting as processors on our behalf. We have signed Data Processing Agreements (DPAs) with each of them in accordance with Art. 28 GDPR.

• Cloudflare, Inc. – CDN, WAF, DNS, file storage (R2) (EU + US, EU-US Data Privacy Framework certified).
• WorldStream B.V. (Naaldwijk, the Netherlands) – hosting of our servers and database.
• Stripe Payments Europe Ltd – payment processing (Ireland, EU).
• Apple Inc. – Sign in with Apple and In-App Purchases (DPF certified).
• Coin recognition – runs on our own AI server in the Netherlands with an open model; no third-party AI provider receives your photos. The photo travels there through Cloudflare (transit only), with location and device data (EXIF) removed, and is not used to train models.
• Google LLC – Google Sign-In and Google Play Billing (DPF certified). No Google advertising services; on the website Google Analytics only with your consent (section 7).
• Microsoft Corporation – Azure AD sign-in (DPF certified).
• RevenueCat, Inc. – manages your in-app subscription status for Apple and Google purchases (USA; Standard Contractual Clauses).
• Numista SAS – numismatic catalogue API (France).
• Resend Inc. – transactional email delivery (Ireland / EU region).

We do not sell personal data. We do not disclose personal data to other third parties except where required by law, court order, or where strictly necessary to enforce our Terms of Service or protect our rights.

5. Retention periods

• Active account data: retained as long as the account is active.
• After account deletion: 30 days soft-delete window (for account recovery), after which personal data is permanently deleted or irreversibly anonymised.
• Invoices / VAT administration: 7 years (Dutch tax legislation – Art. 52 Algemene wet inzake rijksbelastingen).
• Audit, security and login logs: 12 months.
• Marketing data: until you withdraw consent or after 24 months of inactivity.

6. Your rights under the GDPR

As a data subject you have the following rights, which you can exercise free of charge by emailingsupport@aicoincollector.comorprivacy@aicoincollector.com. We respond within 30 days (extendable by 60 days for complex requests):

• Right of access (Art. 15): request a Data Subject Access Request (DSAR) and receive a copy of your personal data.
• Right to rectification (Art. 16): correct inaccurate data, primarily via in-app settings.
• Right to erasure / "right to be forgotten" (Art. 17):delete your account via Account → Delete account in the app or by email.
• Right to data portability (Art. 20): request a machine readable export of your data at any time viaGET /api/v1/users/me/export, which delivers a ZIP archive.
• Right to restriction of processing (Art. 18).
• Right to object (Art. 21), including the absolute right to object to direct marketing.
• Right to withdraw consent (Art. 7(3)): for marketing e-mails at any time, without affecting processing prior to withdrawal.
• Right to lodge a complaint with the Dutch Data Protection Authority (Autoriteit Persoonsgegevens,autoriteitpersoonsgegevens.nl), or with the supervisory authority of your habitual residence.

7. Cookies and tracking technologies

• App: no advertising, no analytics, no crash reporting and no tracking technologies. There is no advertising ID and no App Tracking Transparency prompt, because we do not track.
• Website: no advertising or analytics cookies. At most we count page views with Cloudflare Web Analytics, which sets no cookies and does not identify you. If we turn on Google Analytics 4, it only loads after you click "Accept" in the cookie banner; with "Only necessary" no Google script runs and no analytics cookies are set. You can change your choice with "Cookie settings" at the bottom of every page.
• Strictly necessary: session and security tokens needed to keep you signed in. These cannot be switched off.

8. Children

The Service is intended for users aged 13 and over, in line with the Google Play Developer Program Policies and the Apple App Store Review Guidelines. In some jurisdictions (including parts of the EU under Art. 8 GDPR), the digital age of consent is 16 and parental consent is required below that age. We do not knowingly collect personal data from children under 13 (or the applicable local age of digital consent). If you are a parent or legal guardian and believe your child has provided us with personal data, please contactsupport@aicoincollector.comand we will delete the data without undue delay.

9. International data transfers

Some of our sub-processors are located outside the European Economic Area (EEA). Where they are certified under the EU-US Data Privacy Framework (DPF) — which currently applies to Google, Apple, Microsoft, Stripe and Cloudflare — transfers are based on an adequacy decision of the European Commission (Art. 45 GDPR).

For sub-processors that are not DPF-certified we rely on the Standard Contractual Clauses (SCCs, 2021/914) and, where required, supplementary measures (encryption in transit and at rest, pseudonymisation) based on a Transfer Impact Assessment (TIA).

10. Security

• TLS 1.3 in transit for all API and web traffic.
• AES-256 encryption at rest for databases and S3 storage.
• Row-level security policies in PostgreSQL per user.
• Short-lived JWT access tokens with refresh token rotation and reuse detection.
• bcrypt with high work factor for password hashing.
• Two-factor authentication (2FA) – planned post-launch.
• 24/7 monitoring, vulnerability scanning, and a documented incident response plan including 72-hour data breach notification (Art. 33 GDPR).

11. Updates to this Privacy Policy

We may update this Privacy Policy from time to time. Material changes will be communicated by email and via an in-app banner at least 30 days before they take effect. Continued use of the Service after the effective date constitutes acceptance of the revised Privacy Policy.

12. Contact

ADS Web Services B.V.
Amsterdam, the Netherlands
KvK: 42022140 · BTW:<BTW_NL_NUMMER>
Email: info@adswebservices.nl
Privacy / DPO: privacy@aicoincollector.com
Support: support@aicoincollector.com

Nederlandse versie

1. Inleiding

Deze Privacyverklaring legt uit hoeADS Web Services B.V. ("wij", "ons", de "Verwerkingsverantwoordelijke") jouw persoonsgegevens verzamelt, gebruikt en beschermt wanneer je gebruikmaakt van de AI Coin Collector mobiele app, de website (aicoincollector.com) en aanverwante diensten (gezamenlijk de "Dienst").

Wij treden op als verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet AVG.

Bedrijfsgegevens:

• ADS Web Services B.V.
• Statutaire zetel: Amsterdam, Nederland
• KvK-nummer: 42022140
• BTW-nummer: <BTW_NL_NUMMER>
• Algemeen contact: info@adswebservices.nl
• Support: support@aicoincollector.com
• Privacy / interne functionaris: privacy@aicoincollector.com

In het kort: geen advertenties, geen analytics, geen tracking

Niemand hoeft te weten welke munten je hebt. De AI Coin Collector-app bevat geen advertenties, geen analytics,geen crashrapportage en geen tracking- of attributie-SDK's. Wij gebruiken geen advertentie-ID, maken geen profielen en volgen je niet in andere apps of op andere websites. Wat je fotografeert en verzamelt gaat alleen naar onze eigen servers, zodat de app werkt.

2. Welke gegevens wij verzamelen

• Accountgegevens: e-mailadres, weergavenaam en optioneel een profielfoto.
• Authenticatiegegevens: identifiers van Google, Apple en Microsoft Azure AD (alleen de publieke profielscope); het token wordt op onze eigen server gecontroleerd. Wij ontvangen geen wachtwoord van deze providers.
• Gebruikersinhoud: foto's van munten via je camera, collecties, social posts, reacties, likes, volgers, en marktplaatsadvertenties.
• Technische gegevens: app-versie, besturingssysteem en taal die met verzoeken aan onze server meegaan, en beveiligingslogs met een ingekort IP-adres. Wij verzamelen geenadvertentie-ID, device-fingerprint of crash- en diagnoselogs.
• Gebruiksgegevens: alleen het aantal scans per dag, om de limieten van je abonnement toe te passen. Wij registreren geen in-app events, sessies of conversies.
• Betaalgegevens: bij abonnementen via Stripe: Stripe customer ID, laatste 4 cijfers van de kaart, kaartmerk, vervaldatum (maand/jaar), factuurland en factuurmetadata. Wij slaangeen volledige kaartnummers op. In-app aankopen via Apple App Store of Google Play worden door Apple/Google verwerkt; wij ontvangen alleen de transactiebon en de entitlement-informatie.

3. Doelen en rechtsgronden (Art. 6 AVG)

• Uitvoering van de overeenkomst (Art. 6 lid 1 sub b):accountbeheer, AI munt-herkenning, collectiebeheer, social features, marktplaats, abonnementsverwerking.
• Gerechtvaardigd belang (Art. 6 lid 1 sub f):fraudedetectie, misbruikpreventie en security monitoring.
• Toestemming (Art. 6 lid 1 sub a): marketing e-mails, alleen als je daarvoor kiest. Te allen tijde intrekbaar.
• Wettelijke verplichting (Art. 6 lid 1 sub c):BTW-administratie, boekhouding, AML/CTF verplichtingen, gehoor geven aan rechtmatige verzoeken van autoriteiten.

4. Ontvangers en sub-verwerkers

Wij delen persoonsgegevens met zorgvuldig geselecteerde dienstverleners die optreden als verwerker. Met elk van hen hebben wij een verwerkersovereenkomst (DPA) gesloten op grond van Art. 28 AVG.

• Cloudflare, Inc. — CDN, WAF, DNS, bestandsopslag (R2) (EU + VS, DPF gecertificeerd).
• WorldStream B.V. (Naaldwijk, Nederland) — hosting van onze servers en database.
• Stripe Payments Europe Ltd — betalingsverwerking (Ierland, EU).
• Apple Inc. — Sign in with Apple, In-App Purchases (DPF).
• Muntherkenning — draait op onze eigen AI-server in Nederland met een open model; geen externe AI-aanbieder krijgt je foto's. De foto gaat er via Cloudflare naartoe (alleen doorgifte), zonder locatie- en apparaatgegevens (EXIF), en wordt niet gebruikt om modellen te trainen.
• Google LLC — Google Sign-In en Google Play Billing (DPF). Geen advertentiediensten van Google; op de website Google Analytics alleen met je toestemming (hoofdstuk 7).
• Microsoft Corporation — Azure AD sign-in (DPF).
• RevenueCat, Inc. — beheert de status van je in-app abonnement bij aankopen via Apple en Google (VS; Standard Contractual Clauses).
• Numista SAS — numismatische catalogus-API (Frankrijk).
• Resend Inc. — transactionele e-mail (Ierland / EU regio).

Wij verkopen geen persoonsgegevens. Wij verstrekken jouw gegevens alleen aan andere derden indien wij daartoe wettelijk verplicht zijn, een rechterlijk bevel hebben ontvangen, of indien dit strikt noodzakelijk is om onze Algemene Voorwaarden te handhaven of onze rechten te beschermen.

5. Bewaartermijnen

• Actieve accountgegevens: zolang het account actief is.
• Na verwijdering account: 30 dagen soft-delete (voor herstel), daarna permanent verwijderd of onomkeerbaar geanonimiseerd.
• Facturen / BTW-administratie: 7 jaar (Art. 52 AWR).
• Audit-, security- en loginlogs: 12 maanden.
• Marketinggegevens: tot intrekking toestemming of na 24 maanden inactiviteit.

6. Jouw rechten onder de AVG

Je kunt deze rechten kosteloos uitoefenen viasupport@aicoincollector.comofprivacy@aicoincollector.com. Wij reageren binnen 30 dagen (te verlengen met 60 dagen bij complexe verzoeken):

• Recht op inzage (Art. 15): via DSAR een kopie van je gegevens.
• Recht op rectificatie (Art. 16): via app-instellingen of e-mail.
• Recht op gegevenswissing (Art. 17): viaAccount → Account verwijderen of via e-mail.
• Recht op dataportabiliteit (Art. 20): viaGET /api/v1/users/me/export ontvang je een ZIP-archief.
• Recht op beperking (Art. 18).
• Recht van bezwaar (Art. 21), waaronder een absoluut recht van bezwaar tegen direct marketing.
• Recht om toestemming in te trekken (Art. 7 lid 3): voor marketing e-mails, op elk moment, zonder gevolgen voor verwerkingen daarvóór.
• Recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

7. Cookies en trackingtechnologieën

• App: geen advertenties, geen analytics, geen crashrapportage en geen trackingtechnologie. Er is geen advertentie-ID en geen App Tracking Transparency-vraag, omdat wij niet tracken.
• Website: geen advertentie- of analyticscookies. Hooguit tellen wij paginaweergaven met Cloudflare Web Analytics; dat plaatst geen cookies en herkent jou niet. Zetten we Google Analytics 4 aan, dan laadt dat pas als je in de cookiemelding op "Accepteren" klikt; met "Alleen noodzakelijk" draait er geen Google-script en worden er geen analyticscookies geplaatst. Je keuze wijzig je via "Cookie-instellingen" onderaan elke pagina.
• Strikt noodzakelijk: sessie- en beveiligingstokens om ingelogd te blijven. Deze kunnen niet uitgeschakeld worden.

8. Minderjarigen

De Dienst is bedoeld voor gebruikers van 13 jaar of ouder, in lijn met het Google Play Developer Program en de Apple App Store Review Guidelines. In sommige EU-landen geldt op grond van Art. 8 AVG een hogere digitale toestemmingsleeftijd (in Nederland 16 jaar); onder die leeftijd is toestemming van een ouder of voogd vereist. Wij verzamelen niet bewust gegevens van kinderen onder 13. Ouders en wettelijk vertegenwoordigers kunnen verwijdering verzoeken viasupport@aicoincollector.com.

9. Internationale doorgifte

Voor sub-verwerkers buiten de EER vertrouwen wij op het EU-US Data Privacy Framework (DPF; o.a. Google, Apple, Microsoft, Stripe, Cloudflare) als adequaatheidsbesluit (Art. 45 AVG). Voor niet-DPF gecertificeerde partijen gebruiken wij de Standard Contractual Clauses (SCC, 2021/914) gecombineerd met aanvullende maatregelen (encryptie, pseudonimisering) op basis van een Transfer Impact Assessment.

10. Beveiliging

• TLS 1.3 voor alle netwerkverkeer.
• AES-256 encryptie at rest voor database en S3-opslag.
• Row-level security in PostgreSQL per gebruiker.
• Kort levende JWT access tokens met refresh token rotation en reuse-detectie.
• Bcrypt met hoge work factor voor wachtwoord-hashing.
• 2FA — gepland na launch.
• 24/7 monitoring, vulnerability scanning, gedocumenteerd incident-response plan met 72-uurs meldplicht datalekken (Art. 33 AVG).

11. Wijzigingen

Wij kunnen deze Privacyverklaring van tijd tot tijd wijzigen. Materiële wijzigingen worden minimaal 30 dagen vooraf gecommuniceerd via e-mail en/of een in-app banner. Voortgezet gebruik na de ingangsdatum geldt als acceptatie.

12. Contact

ADS Web Services B.V.
Amsterdam, Nederland
KvK: 42022140 · BTW:<BTW_NL_NUMMER>
E-mail: info@adswebservices.nl
Privacy / interne functionaris: privacy@aicoincollector.com
Support: support@aicoincollector.com