WrapSheet — Privacybeleid / Privacy Policy

Dit privacybeleid legt uit welke persoonsgegevens WrapSheet verwerkt, op welke rechtsgrond, met welke partijen we gegevens delen, en hoe je jouw rechten onder de Algemene Verordening Gegevensbescherming (AVG / GDPR) en de Uitvoeringswet AVG (UAVG) uitoefent. WrapSheet is een iOS-app voor de Nederlandse filmcrew die hun eigen administratie regelen.

1. Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke voor de in dit beleid beschreven verwerkingen is:

Muayad Hilamia, h/o WrapSheet (eenmanszaak, gevestigd in Nederland)
KVK-nummer: 91896940
E-mail: hello@wrapsheet.nl
Postadres: op verzoek beschikbaar via bovenstaand e-mailadres

Functionaris voor Gegevensbescherming (FG / DPO). Een DPO is niet aangesteld; WrapSheet is een eenmanszaak en valt buiten de aanstellingsplicht van Art. 37 AVG. Vragen over privacy kun je rechtstreeks sturen naar het bovenstaande e-mailadres.

2. Welke gegevens we verwerken

2.1 Lokaal op je apparaat (het grootste deel)

De meeste gegevens die je in WrapSheet invoert blijven op je iPhone, iPad of Mac en worden niet naar onze servers verzonden. Dit zijn onder andere:

Projecten, bonnen, werkdagen, kilometer-ritten, voorschotten, facturen, budgetcodes
Filmlocaties, contacten, voertuigen
GPS-coördinaten tijdens een actief opgenomen rit — uitsluitend lokaal opgeslagen en niet naar onze servers verzonden
Foto's van bonnen — lokaal opgeslagen, tenzij je de Slimme Scanner gebruikt (zie §2.3)

Deze lokale gegevens vallen buiten de scope van WrapSheet als verwerkingsverantwoordelijke: wij verwerken ze niet server-side, hebben er geen toegang toe en kunnen er geen kopie van maken. Optionele iCloud-back-ups worden door Apple beheerd onder jouw iCloud-account; wij hebben daar geen toegang toe.

2.2 Op onze servers (Supabase) — alleen als je een abonnement hebt

Auth-rij: je e-mailadres (of een Apple-proxy-adres als je Hide My Email gebruikt), aangemaakt zodra je een abonnement afsluit.
Sign in with Apple — Hide My Email. Als je bij het inloggen kiest voor "Verberg mijn e-mailadres", ontvangen wij uitsluitend een proxy-adres op @privaterelay.appleid.com. We krijgen jouw echte Apple-ID nooit te zien.
Abonnementsgegevens: SKU (pro_monthly), laatste transactie-ID, vervaldatum, abonnementsstatus (bv. free, pro, lapsedOver). Opgeslagen in jouw profielrij en in de audit-tabel app_store_webhook_events.
Gebruiksteller Slimme Scanner: elke keer dat je een bon of draaiplanning aan de AI-scan aanbiedt, leggen we één rij vast in ai_scan_logs met je gebruikers-ID, een tijdstempel en het type scan. Niet de afbeelding en niet de inhoud. Deze teller is nodig om de fair-use-limiet van 500 scans per maand af te dwingen. De afbeelding zelf wordt real-time door Google Gemini verwerkt en daarna verwijderd (zie §2.3).

2.3 Verzonden naar Google Gemini (Verenigde Staten) wanneer de Slimme Scanner is ingeschakeld

De afbeelding of PDF van de bon plus de namen van je budgetcodes (voor automatische categorisering).
Draaiplanning-PDF's die je via "Schedule Import" / "Draaiplanning importeren" aanbiedt. Een call sheet kan namen, telefoonnummers, adressen en draailocaties van derden bevatten. Je bent zelf verantwoordelijk voor de bevoegdheid om deze documenten te uploaden.

Je kunt de Slimme Scanner uitschakelen in Instellingen → AI. In dat geval verwerkt WrapSheet bonnen uitsluitend lokaal met Apple Vision (gratis, onbeperkt, blijft op je apparaat). De draaiplanning-import is alleen beschikbaar mét AI; zonder AI-toestemming wordt deze functie niet aangeboden.

3. Rechtsgrond per verwerking

Op grond van Art. 13(1)(c) AVG noemen we voor elke verwerking de specifieke rechtsgrond uit Art. 6(1) AVG:

Verwerking	Rechtsgrond
Aanmaken account (Sign in with Apple)	Art. 6(1)(b) — uitvoering van de overeenkomst
Slimme Scanner: bon-OCR (Gemini)	Art. 6(1)(b) — uitvoering van de overeenkomst (door jou geïnitieerd)
Slimme Scanner: draaiplanning-OCR (Gemini)	Art. 6(1)(b) — uitvoering van de overeenkomst (door jou geïnitieerd)
Abonnement + facturatie-registratie	Art. 6(1)(b) — uitvoering van de overeenkomst Art. 6(1)(c) — wettelijke fiscale bewaarplicht
Gegevens lokaal op je apparaat	Buiten de controller-scope: wij verwerken deze niet server-side

4. Subverwerkers

Wij schakelen de volgende verwerkers in. Een actuele lijst houden we onder dit beleid bij; ingrijpende wijzigingen kondigen we aan in de app (§11).

Supabase (database, authenticatie, opslag, Edge Functions, realtime, S2S-webhook-verwerking). Regio: eu-west-1 (Ireland) (EU/EEA). Verwerker voor alle server-side gegevens in §2.2.
Google Gemini (gemini-2.5-flash, benaderd via de Google Generative Language API). Locatie: Verenigde Staten. Doorgiftewaarborg: Standaardcontractbepalingen (SCC's) plus het EU-VS Data Privacy Framework — Google LLC is DPF-gecertificeerd. Een kopie van de waarborgen is op verzoek beschikbaar via hello@wrapsheet.nl.
Apple MapKit (zoeken van adressen, routeberekening). Verwerking gebeurt op het apparaat zelf; er is geen aparte gegevensstroom naar WrapSheet.
Apple App Store Server Notifications V2. Apple stuurt ons abonnements-levenscyclus-events (verlenging, verlopen, terugbetaling) als door Apple ondertekende JWS-payloads. We slaan deze events op in app_store_webhook_events voor controle-doeleinden.

5. Internationale doorgifte

Op grond van Art. 13(1)(f) en Art. 44–50 AVG: er is één doorgifte buiten de EU/EEA:

Naar Google Gemini in de Verenigde Staten — uitsluitend de bon- of draaiplanning-afbeelding die je zelf aan de Slimme Scanner aanbiedt, plus je budgetcode-namen. Waarborgen: SCC's (via de Google Cloud Data Processing Addendum) én EU-VS Data Privacy Framework. Een afschrift van de waarborgen is op verzoek beschikbaar via hello@wrapsheet.nl.

Er zijn geen andere doorgiftes buiten de EU/EEA. De Supabase-regio blijft binnen de EU.

6. Bewaartermijnen

Lokale gegevens op je apparaat: zolang je de app geïnstalleerd hebt. Verwijderen van de app wist alle lokale gegevens.
Auth-rij en ai_scan_logs (gebruikstellers): direct verwijderd zodra je je account verwijdert.
app_store_webhook_events: bewaard zolang het Supabase-project bestaat. Doel: een controleerbaar grootboek voor abonnementsstatus-afstemming bij een geschil of terugbetaling.
Gegenereerde facturen: WrapSheet bewaart jouw gegenereerde facturen niet server-side. Ze staan op je apparaat. Je bent zelf verantwoordelijk voor het bewaren van een kopie gedurende de 7-jaars-bewaarplicht voor btw-administratie van de Belastingdienst.
iCloud-back-ups: beheerd door Apple onder jouw iCloud-account; wij hebben hier geen toegang toe.

7. Jouw rechten

Onder de AVG heb je de volgende rechten:

Recht van inzage (Art. 15) — een kopie van je server-side gegevens opvragen.
Recht op rectificatie (Art. 16) — onjuiste gegevens laten corrigeren.
Recht op gegevenswissing / "vergetelheid" (Art. 17) — via Instellingen → Account verwijderen. De delete-account Edge Function verwijdert dan hard: je auth-rij, je ai_scan_logs en je code_redemptions.
Recht op beperking (Art. 18).
Recht op gegevensoverdraagbaarheid (Art. 20) — je administratie is in de app exporteerbaar als CSV, XLSX en UBL.
Recht van bezwaar (Art. 21).
Recht om toestemming in te trekken (Art. 7(3)) — zonder dat dit eerder verwerkte gegevens onrechtmatig maakt.
Recht een klacht in te dienen bij de toezichthouder. In Nederland is dat de Autoriteit Persoonsgegevens.

Hoe oefen je deze rechten uit? Stuur een e-mail naar hello@wrapsheet.nl. We reageren binnen 30 dagen, zoals Art. 12(3) AVG voorschrijft.

8. Geen tracking

WrapSheet bevat geen analytics-SDK's, advertentienetwerken, third-party crash-tools of trackers van derden. Wij loggen wél essentiële servicegebruik-tellers (bijvoorbeeld een teller voor je AI-scans per maand) om de fair-use-limieten te kunnen handhaven. We loggen geen scherm-views, knop-taps of andere gedragsgegevens.

9. Minimale leeftijd

WrapSheet is niet bedoeld voor gebruikers jonger dan 16 jaar (UAVG Art. 5). Als ouder of voogd vermoedt dat je kind een account heeft aangemaakt, neem contact op via hello@wrapsheet.nl voor verwijdering.

10. Beveiliging

Server-side gegevens worden versleuteld in transit (TLS) en at rest (door Supabase). De toegang tot productiegegevens is beperkt tot de eigenaar van WrapSheet via Multi-Factor Authentication. Row-Level-Security-policies (RLS) beperken iedere gebruiker tot de eigen rijen; cross-account-toegang is op databank-niveau onmogelijk gemaakt. Bij een datalek dat een hoog risico vormt voor jouw rechten en vrijheden, informeren we je rechtstreeks en melden we dit binnen 72 uur bij de Autoriteit Persoonsgegevens, zoals Art. 33–34 AVG voorschrijft.

11. Wijzigingen

Wanneer we deze policy wijzigen, tonen we een melding in de app voordat de wijziging van kracht wordt. De datum bovenaan deze pagina geeft de meest recente versie aan.

12. Contact

Vragen over dit privacybeleid of over jouw rechten? Stuur een e-mail naar hello@wrapsheet.nl.

This privacy policy explains what personal data WrapSheet processes, on what lawful basis, with which parties we share data, and how you can exercise your rights under the EU General Data Protection Regulation (GDPR) and the Dutch UAVG implementation act. WrapSheet is an iOS app for Dutch film crew who manage their own admin.

1. Controller

The controller responsible for the processing activities described in this policy is:

Muayad Hilamia, trading as WrapSheet (sole proprietor, based in the Netherlands)
Chamber of Commerce (KVK) number: 91896940
Email: hello@wrapsheet.nl
Postal address: available on request via the email above

Data Protection Officer (DPO). No DPO has been appointed; WrapSheet is a sole proprietorship and falls outside the appointment requirement of Art. 37 GDPR. Privacy questions can be sent directly to the email address above.

2. What data we process

2.1 Local on your device (most of it)

Most of the data you enter into WrapSheet stays on your iPhone, iPad or Mac and is never sent to our servers. This includes:

Projects, receipts (bonnen), work days (werkdagen), mileage trips (kilometer-rits), advances (voorschotten), invoices, budget codes
Film locations, contacts, vehicles
GPS coordinates while a trip is being actively recorded — stored locally only, not transmitted to our servers
Photos of receipts — stored locally, unless you use the Smart Scanner (see §2.3)

This local data sits outside WrapSheet's scope as a controller: we don't process it server-side, we have no access to it, and we cannot make a copy of it. Optional iCloud backups are managed by Apple under your own iCloud account; we have no access to those backups.

2.2 On our servers (Supabase) — only if you subscribe

Auth row: your email (or an Apple proxy address if you use Hide My Email), created the moment you take out a subscription.
Sign in with Apple — Hide My Email. If you select "Hide My Email" at sign-in, we only ever receive a proxy address on @privaterelay.appleid.com. We never receive your real Apple ID.
Subscription data: SKU (pro_monthly), latest transaction ID, expiry date, subscription status (e.g. free, pro, lapsedOver). Stored in your profile row and in the audit table app_store_webhook_events.
Smart Scanner usage counter: each time you submit a receipt or schedule (draaiplanning) to AI scan, we write a single row into ai_scan_logs containing your user ID, a timestamp and the scan type. Not the image and not its contents. This counter exists to enforce the 500-scans-per-month fair-use cap. The image itself is processed by Google Gemini in real time and then discarded (see §2.3).

2.3 Sent to Google Gemini (United States) when the Smart Scanner is enabled

The receipt image or PDF plus your budget-code names (for automatic categorisation).
Draaiplanning PDFs that you import via "Schedule Import". A call sheet may contain names, phone numbers, addresses and shooting locations of third parties. You are responsible for having permission to upload these documents.

You can turn off the Smart Scanner in Settings → AI. In that case, WrapSheet processes receipts locally using Apple Vision (free, unlimited, never leaves your device). The schedule-import feature is AI-only; if AI is disabled, the feature is not offered.

3. Lawful basis per processing activity

Under Art. 13(1)(c) GDPR, here is the specific lawful basis from Art. 6(1) GDPR for each processing activity:

Processing activity	Lawful basis
Account creation (Sign in with Apple)	Art. 6(1)(b) — performance of a contract
Smart Scanner: receipt OCR (Gemini)	Art. 6(1)(b) — performance of a contract (user-initiated)
Smart Scanner: schedule OCR (Gemini)	Art. 6(1)(b) — performance of a contract (user-initiated)
Subscription + billing record	Art. 6(1)(b) — performance of a contract Art. 6(1)(c) — statutory tax-retention obligation
Local data on device	Outside controller scope: we do not process it server-side

4. Sub-processors

We engage the following processors. We keep a current list under this policy; material changes are announced inside the app (§11).

Supabase (database, authentication, storage, Edge Functions, realtime, S2S webhook ingest). Region: eu-west-1 (Ireland) (EU/EEA). Processor for all server-side data in §2.2.
Google Gemini (gemini-2.5-flash, accessed via the Google Generative Language API). Location: United States. Transfer safeguard: Standard Contractual Clauses (SCCs) plus the EU-US Data Privacy Framework — Google LLC is DPF-certified. A copy of the safeguards is available on request via hello@wrapsheet.nl.
Apple MapKit (address search, route calculation). Processing happens on the device itself; there is no separate data flow to WrapSheet.
Apple App Store Server Notifications V2. Apple sends us subscription-lifecycle events (renew, expire, refund) as Apple-signed JWS payloads. We store these events in app_store_webhook_events for audit purposes.

5. International transfers

Under Art. 13(1)(f) and Art. 44–50 GDPR: there is one transfer outside the EU/EEA:

To Google Gemini in the United States — only the receipt or schedule image that you submit to the Smart Scanner, plus your budget-code names. Safeguards: SCCs (via the Google Cloud Data Processing Addendum) and the EU-US Data Privacy Framework. A copy of the safeguards is available on request via hello@wrapsheet.nl.

There are no other transfers outside the EU/EEA. The Supabase region stays within the EU.

6. Retention

Local data on your device: retained as long as you keep the app installed. Uninstalling wipes all local data.
Auth row and ai_scan_logs (usage counters): deleted immediately when you delete your account.
app_store_webhook_events: retained as an audit ledger for as long as the Supabase project exists. Purpose: subscription-status reconciliation if a customer disputes a charge.
Generated invoices: WrapSheet does not store your generated invoices server-side. They live on your device. You are responsible for retaining copies for the 7-year Belastingdienst (Dutch tax authority) retention period for VAT records.
iCloud backups: managed by Apple under your iCloud account; we have no access.

7. Your rights

Under the GDPR you have the following rights:

Right of access (Art. 15) — request a copy of your server-side data.
Right to rectification (Art. 16) — have inaccurate data corrected.
Right to erasure / "to be forgotten" (Art. 17) — via Settings → Delete Account. The delete-account Edge Function hard-deletes: your auth row, your ai_scan_logs, and your code_redemptions.
Right to restriction of processing (Art. 18).
Right to data portability (Art. 20) — your admin is exportable in-app as CSV, XLSX and UBL.
Right to object (Art. 21).
Right to withdraw consent (Art. 7(3)) — without affecting the lawfulness of processing already carried out.
Right to lodge a complaint with the supervisory authority. In the Netherlands, that is the Autoriteit Persoonsgegevens.

How to exercise these rights. Send an email to hello@wrapsheet.nl. We respond within 30 days, as required by Art. 12(3) GDPR.

8. No tracking

WrapSheet contains no analytics SDKs, ad networks, third-party crash tools or third-party trackers. We do log essential service-usage counters (for example a counter for your AI scans per month) so we can enforce the fair-use caps. We do not log screen views, button taps or other behavioural data.

9. Minimum age

WrapSheet is not intended for users under 16 (Dutch UAVG, Art. 5). If you are a parent or legal guardian and suspect that your child has created an account, please contact hello@wrapsheet.nl so we can delete it.

10. Security

Server-side data is encrypted in transit (TLS) and at rest (by Supabase). Access to production data is limited to the WrapSheet owner via Multi-Factor Authentication. Row-Level-Security (RLS) policies restrict every user to their own rows; cross-account access is impossible at the database level. If a data breach poses a high risk to your rights and freedoms, we will inform you directly and notify the Autoriteit Persoonsgegevens within 72 hours, as required by Art. 33–34 GDPR.

11. Changes to this policy

When we change this policy, we show an in-app notice before the change takes effect. The date at the top of this page reflects the most recent version.

12. Contact

Questions about this privacy policy or your rights? Send an email to hello@wrapsheet.nl.