Privacybeleid

Laatst bijgewerkt: 28 mei 2026

Dit beleid legt uit welke persoonsgegevens Popcha verzamelt wanneer je popcha.eu gebruikt, waarom, hoe we ze gebruiken en welke rechten je hebt. We hebben het kort gehouden en specifiek voor wat onze site daadwerkelijk doet, zonder standaardtekst.

Wie wij zijn

Popcha is een matcha-thee-verkoper gevestigd in Vilnius, Litouwen. Wij zijn de verwerkingsverantwoordelijke voor de persoonsgegevens die in dit beleid worden beschreven. Voor privacyvragen of het uitoefenen van je rechten kun je ons bereiken op hello@popcha.eu.

Wat we verzamelen, waarom en op welke grondslag

We verzamelen persoonsgegevens in drie situaties.

1. Wanneer je je aanmeldt voor terugkomst- of launch-meldingen

Wanneer je het "Stuur mij een melding"-formulier op een productpagina of het launch-formulier op de winkelwagenpagina verstuurt, slaan we op:

je e-mailadres;
het product waarvoor je een melding wilt (indien van toepassing) en de taal waarin je de site gebruikte;
een gehashte versie van je IP-adres (eenwegs-SHA-256, ingekort tot 32 tekens) en de user-agent van je browser, gebruikt om misbruik te detecteren en onbeperkte heraanmeldingen te voorkomen.

We gebruiken dit alleen om de gevraagde melding te versturen en om het formulier tegen misbruik te beschermen. Grondslag: je toestemming (art. 6 lid 1 onder a AVG) voor het e-mailadres zelf, en ons gerechtvaardigd belang (art. 6 lid 1 onder f AVG) voor de gehashte IP en user-agent ter voorkoming van misbruik.

2. Wanneer je iets koopt

Zodra de afrekenmodule actief is en je een bestelling plaatst, verzamelt onze betalingspartner Stripe Payments Europe Ltd. (Dublin) je betaalkaartgegevens rechtstreeks: die komen niet op onze servers. Van Stripe ontvangen en bewaren we vervolgens:

je naam, e-mailadres, bezorgadres, factuuradres en telefoonnummer;
de bestelgegevens (producten, hoeveelheden, betaalde bedragen);
de Stripe-betalings-ID's die je bestelling koppelen aan de oorspronkelijke transactie.

We gebruiken dit om je bestelling te verwerken, bevestigingsmails te versturen, retouren of restituties af te handelen en aan belasting- en boekhoudverplichtingen te voldoen. Grondslag: uitvoering van een overeenkomst (art. 6 lid 1 onder b AVG) en wettelijke verplichting (art. 6 lid 1 onder c AVG).

3. Wanneer je gewoon de site bekijkt

Bij elk verzoek geeft onze hostingprovider Vercel Inc. ons automatisch een tweeletterige landcode die uit je IP-adres wordt afgeleid. We gebruiken die eenmalig bij je eerste bezoek om de juiste taalversie van de site voor te stellen (Duits voor bezoekers uit Duitsland en Oostenrijk, Nederlands voor Nederland) en bewaren hem niet.

We plaatsen daarnaast twee first-party cookies in je browser:

NEXT_LOCALE: je taalvoorkeur, één jaar bewaard zodat we je niet steeds doorverwijzen. Bevat alleen "en", "de" of "nl".
popcha_consent: je cookie- en marketingvoorkeuren, één jaar bewaard. Bevat alleen de categorieën die je hebt geaccepteerd (op dit moment staan beide standaard uit).

Geen van beide cookies identificeert je persoonlijk. Grondslag: gerechtvaardigd belang (art. 6 lid 1 onder f AVG) voor de taalsuggestie en je toestemming (art. 6 lid 1 onder a AVG) voor toekomstige analyse- of marketingcookies (op dit moment geen actief).

Met wie we gegevens delen

We delen persoonsgegevens alleen met de verwerkers die we nodig hebben om de site te draaien:

Vercel Inc.: hosting- en edge-infrastructuur. Ontvangt standaard requestgegevens (IP, request-headers, opgevraagde pagina's). Servers in de EU en de VS.
Stripe Payments Europe Ltd.: betalingsverwerking bij afrekenen. Ontvangt betalings-, facturatie-, bezorg- en contactgegevens. Servers in de EU en de VS.
Resend (Resend, Inc., VS, met EU-subverwerker): verzending van transactionele e-mails (terugkomst- en launch-meldingen, en bestelbevestigingen zodra afrekenen actief is). Ontvangt het e-mailadres en de inhoud van het bericht.
Cloudflare, Inc. (R2): beeldopslag. Geen persoonsgegevens. Wereldwijd.
Postgres-database, gehost in de EU. Slaat alle hierboven beschreven gegevens op.

We delen je gegevens niet met adverteerders, datahandelaren of marketingnetwerken. We draaien geen analytics die je gegevens naar derden sturen.

Internationale doorgiften

Sommige van onze verwerkers (Vercel, Stripe, Cloudflare) opereren wereldwijd en verwerken gegevens mogelijk op servers buiten de Europese Economische Ruimte. In die gevallen vinden doorgiften plaats op basis van de door de Europese Commissie goedgekeurde modelcontractbepalingen, aangevuld met extra waarborgen die elke verwerker op zijn eigen privacypagina's publiceert.

Hoe lang we je gegevens bewaren

We bewaren persoonsgegevens alleen zolang als nodig voor de hierboven beschreven doeleinden en om aan wettelijke verplichtingen te voldoen: met name belasting- en boekhoudregels, die ons doorgaans verplichten transactiegegevens tot tien jaar te bewaren. E-mails uit het meldingsformulier bewaren we tot na de launch en een redelijke periode daarna; daarna verwijderen we ze op verzoek of bij de eerstvolgende gegevensbeoordeling.

Je rechten

Onder de EU- en VK-privacywetgeving heb je het recht op:

Inzage: een kopie van wat we over je bewaren.
Rectificatie: correctie van onjuiste gegevens.
Wissing ("recht om vergeten te worden"), onder voorbehoud van wettelijke bewaartermijnen.
Beperking van de verwerking in bepaalde situaties.
Overdraagbaarheid: ontvangst van je gegevens in een machineleesbaar formaat.
Bezwaar tegen verwerking op basis van gerechtvaardigd belang.
Intrekken van toestemming op elk moment, voor verwerkingen die op toestemming zijn gebaseerd.

Om een van deze rechten uit te oefenen, stuur een e-mail naar hello@popcha.eu. We reageren binnen één maand.

Je hebt daarnaast het recht een klacht in te dienen bij de toezichthouder in het land waar je woont. In Nederland is dat de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl). Een lijst van EU- en EER-toezichthouders vind je op edpb.europa.eu.

Kinderen

popcha.eu is niet bedoeld voor gebruik door kinderen onder de 16 jaar. We verzamelen niet bewust gegevens van personen onder de 16 jaar. Als je vermoedt dat een kind ons gegevens heeft verstrekt, neem dan contact op zodat we deze kunnen verwijderen.

Geautomatiseerde besluitvorming en profilering

We nemen geen geautomatiseerde besluiten met juridische of vergelijkbaar aanzienlijke gevolgen voor jou, en we maken geen profielen.

Wijzigingen in dit beleid

Bij wezenlijke wijzigingen werken we de datum bovenaan bij en informeren we je waar nodig op een andere manier (bv. via een banner op de site of per e-mail, als we je adres hebben).

Contact

Popcha
hello@popcha.eu
Vilnius, Litouwen