Op deze pagina · 8 onderdelen
- Je bent verwerkingsverantwoordelijke; de configuratorleverancier is verwerker en tekent een verwerkersovereenkomst.
- EU-hosting haalt de vraag over doorgifte buiten de EU weg.
- Klantfoto's horen server-side opnieuw gecodeerd te worden, zonder EXIF- en GPS-gegevens.
- Tracking-pixels vuren pas na cookietoestemming, ook binnen een embed.
Een configurator valt onder de AVG zodra een klant een offerteaanvraag indient, en hij verzamelt meer dan een gewoon contactformulier: adressen, terrasfoto’s en soms een inmeetafspraak. De praktische lijst is kort: EU-hosting, een getekende verwerkersovereenkomst, foto’s zonder metadata, een vaste bewaartermijn en tracking die pas na toestemming vuurt. Hieronder vind je de checklist om af te vinken bij een leveranciersgesprek, gevolgd door de uitleg per punt. Het kost vijf minuten en voorkomt gedoe na de lancering.
Waarom dit specifiek voor een configurator geldt
Een 3D-productconfigurator is niet alleen een visuele tool. Zodra een klant een offerteaanvraag indient, worden er persoonsgegevens verzameld: naam, e-mail, telefoonnummer, vaak een bezorg- of montageadres, en steeds vaker foto’s van het eigen terras of huis van de klant, meegestuurd met de aanvraag. Ondersteunt de configurator ook het boeken van een inmeetafspraak, dan verwerkt hij ook een geplande huisbezoek gekoppeld aan dat adres. Onder de AVG ben jij (de handelaar) de verwerkingsverantwoordelijke voor deze gegevens, en is je configurator-leverancier de verwerker die namens jou handelt, dat brengt een specifieke, controleerbare set verplichtingen met zich mee.
Dit is niet uniek voor configuratoren. Elk contactformulier draagt dezelfde basisverplichtingen. Het is de moeite waard dit hier expliciet te benoemen, omdat een configurator meer en rijkere gegevens verzamelt dan een simpel contactformulier (foto’s, exacte adressen, device- en surfsignalen voor tracking), waardoor de inzet hoger wordt als je het verkeerd doet.
De checklist
- Hostinglocatie: worden klantgegevens (aanvragen, offertes, foto’s) in de EU gehost? Zo niet: waar dan, en onder welk juridisch doorgiftemechanisme?
- Verwerkersovereenkomst: biedt de leverancier standaard een getekende verwerkersovereenkomst (artikel 28) aan, niet alleen op speciaal verzoek?
- Fotometadata: worden geüploade foto’s opnieuw gecodeerd en ontdaan van EXIF/GPS-data, of opgeslagen zoals geüpload?
- Bewaartermijn: is er een vastgelegde, redelijke bewaartermijn voor aanvragen, offertes en foto’s, met verwijdering erna?
- Toestemming voor tracking-pixels: vuren Google/Meta/TikTok-conversiepixels pas na cookietoestemming?
- Export en verwijdering: kun jij (en op verzoek de klant) de gegevens binnen een redelijke termijn exporteren of laten verwijderen?
- Subverwerkers: maakt de leverancier bekend welke derde partijen (e-mailbezorging, PDF-generatie, hosting) met de gegevens in aanraking komen?
Neem deze lijst letterlijk mee naar een leveranciersgesprek. Een leverancier die gewend is aan zakelijke klanten in de EU, beantwoordt alle zeven punten zonder aarzelen.
Hostinglocatie en de verwerkersovereenkomst
De AVG vereist niet strikt EU-hosting. Er is een rechtmatige grondslag nodig voor elke overdracht buiten de EU/EER (adequaatheidsbesluiten, modelcontractbepalingen, enzovoort) wanneer gegevens wél vertrekken. In de praktijk haalt EU-hosting die vraag helemaal weg en is het het eenvoudigste compliance-verhaal voor een kleine of middelgrote handelaar zonder eigen juridische afdeling die internationale overdrachtsmechanismen beheert. Host een leverancier buiten de EU, vraag dan specifiek, schriftelijk, welk overdrachtsmechanisme van toepassing is.
Los daarvan, en dit geldt ongeacht de hostinglocatie, heb je een getekende verwerkersovereenkomst (DPA) met de leverancier nodig, zoals artikel 28 AVG vereist zodra een verwerker namens een verwerkingsverantwoordelijke persoonsgegevens verwerkt. Een leverancier die standaard EU-handelaren bedient, zou een standaard-DPA klaar moeten hebben liggen om te tekenen, niet iets wat je vanaf nul moet uitonderhandelen.
Klantfoto’s: het makkelijk over het hoofd geziene risico
Foto’s die een klant meestuurt met een offerteaanvraag (van hun terras, hun bestaande erfafscheiding, de muur waar een constructie aan vastkomt) zijn persoonsgegevens, en foto’s gemaakt met een telefoon bevatten doorgaans EXIF-metadata inclusief GPS-coördinaten: de exacte locatie waar de foto is genomen, onzichtbaar ingebed in het bestand. Opgeslagen en doorgestuurd zoals ze zijn, is dat een reëel risico als de foto ooit uitlekt of verkeerd wordt behandeld. In feite een huisadres van een klant gekoppeld aan een afbeeldingsbestand.
De oplossing is eenvoudig en zou standaard moeten zijn in elke configurator die klantuploads verwerkt: de afbeelding decoderen, valideren dat het daadwerkelijk een afbeelding is (geen vermomd bestandstype (net zo goed een basisveiligheidsmaatregel als een privacymaatregel), schalen naar een redelijk maximum, en opnieuw coderen) waarbij EXIF/GPS en andere ingebedde metadata verdwijnen. Vraag een leverancier rechtstreeks: “worden klantfoto’s server-side opnieuw gecodeerd, of opgeslagen precies zoals geüpload?” Het antwoord hoort het eerste te zijn.
Bewaartermijn
Het opslagbeperkingsbeginsel van de AVG betekent dat persoonsgegevens niet “voor de zekerheid” onbeperkt bewaard mogen worden. Een configurator-leverancier zou moeten kunnen aangeven (en binnen redelijke grenzen configureerbaar moeten maken) hoe lang aanvraaggegevens, offertes en foto’s worden bewaard, en dat geweigerde/afgewezen aanvragen en verlopen offertes daadwerkelijk worden verwijderd in plaats van standaard voor altijd bewaard. Heeft een leverancier geen vastgelegd bewaarbeleid, dan is dat een hiaat dat het waard is om rechtstreeks te bevragen in plaats van aan te nemen dat het geregeld is.
Consent voor tracking-pixels
De meeste configuratoren vuren conversietracking (Google Ads, Meta, TikTok) af bij offerteaanvragen, omdat de aanvraag voor een bedrijf in buitenverblijven dat adverteert de natuurlijke “conversie” is. Deze pixels vallen zelf onder de cookietoestemmingsregels in de EU (ePrivacy, gehandhaafd naast de AVG). Ze zouden pas moeten vuren nadat de bezoeker toestemming heeft gegeven, niet standaard bij het laden van de pagina. Controleer dat de tracking-snippets van de configurator consent-gated zijn (en, bij insluiting op je bestaande site, dat die gating ook binnen de embed wordt gerespecteerd, zie een configurator insluiten in WordPress, Shopify of Webflow) in plaats van onvoorwaardelijk af te vuren.
Export en verwijdering op verzoek
Een klant heeft onder de AVG recht op inzage en recht op vergetelheid. Controleer of de configurator je in staat stelt de gegevens van een specifieke klant (hun aanvragen, offertes, foto’s) op te zoeken, te exporteren en op verzoek te verwijderen, binnen een praktische termijn. Dit is een basale operationele mogelijkheid die een platform dat klantgegevens verwerkt al zou moeten hebben, geen aangepast ontwikkelverzoek dat je zou moeten indienen.
Alles samen
Niets hiervan is exotisch als je het zo op een rij zet. Het is dezelfde categorie zorgvuldigheid die je (hopelijk) al toepast op elk formulier of CRM met klantgegevens. De configurator-specifieke toevoegingen zijn de vraag over fotometadata en de rijkere gegevens die een inmeetafspraak met zich meebrengt (een bevestigd huisadres en afspraaktijd, niet alleen een e-mailadres). Loop de checklist hierboven na bij elke leverancier voordat de gegevens van je klanten erdoorheen beginnen te stromen. Het is een gesprek van vijf minuten dat veel makkelijker te voeren is vóór de lancering dan na een gegevensverzoek van een klant of een vraag van een toezichthoudende autoriteit.
Voor de bredere aankoopbeslissing waar deze checklist in past, lees onze koopgids voor 3D-productconfigurators. Wil je hosting en gegevensverwerking liever direct doorspreken? Plan een rondleiding van 30 minuten.
