Privacybeleid

1Wie is verantwoordelijk voor jouw gegevens

De verwerkingsverantwoordelijke is de vennootschap die de website en de toepassing exploiteert:

„Momik” is een handelsmerk en productnaam die door A3 ENGINEERING BV wordt gebruikt; er bestaat geen afzonderlijke vennootschap „Momik BV”. Wanneer in dit document „wij”, „ons” of „Momik” staat, wordt A3 ENGINEERING BV bedoeld.

Wij hebben geen functionaris voor gegevensbescherming (DPO) aangesteld. Wij zijn daartoe naar onze inschatting niet verplicht, omdat wij geen overheidsinstantie zijn en onze kernactiviteit geen grootschalige of stelselmatige monitoring van personen inhoudt. Vragen over dit beleid en verzoeken over jouw gegevens gaan naar info@momik.ai.

2Waarop dit beleid van toepassing is

Dit beleid dekt twee afzonderlijke omgevingen die wij exploiteren:

• de publieke website momik.ai — openbaar toegankelijk, met een contactformulier, een inschrijvingsformulier voor een tijdelijke beursactie en de pagina's om een account aan te maken en aan te melden;
• de webtoepassing Momik Lighting op app.momik.ai (intern ontwikkeld onder de naam „LightEngine”) — een lichtberekeningstoepassing voor aangemelde gebruikers, met de bijhorende plug-in voor Autodesk Revit.

Sinds 8 september 2026 kan iedereen zelf een account aanmaken op momik.ai. Momik Lighting is bedoeld voor professioneel gebruik: bij het inschrijven bevestig je dat je handelt als onderneming of zelfstandige. Vandaag is de toepassing gratis voor elk aangemeld account; de betaalde plannen bestaan in onze programmacode, maar worden op dit moment niet aangerekend. Drie onderdelen van de toepassing zijn wel openbaar en zonder aanmelding bruikbaar: de demonstratiepagina (/showcase), de insluitbare rekenmodule (/embed) en het bijhorende reken-endpoint. Al het overige vereist een aangemelde sessie.

Wij verwerken in deze omgevingen ook gegevens die geen persoonsgegevens zijn, zoals de afmetingen van een ruimte of de eigenschappen van een verlichtingstoestel. Dit beleid gaat over de persoonsgegevens.

3Welke persoonsgegevens wij verwerken

3.1 Website momik.ai

Contactformulier: naam, e-mailadres, onderneming en jouw bericht. Naam, e-mailadres en bericht zijn verplicht; zonder die gegevens kunnen wij het formulier niet versturen en je niet antwoorden. De onderneming is optioneel. Dat bericht wordt per e-mail naar info@momik.ai verstuurd via Amazon SES; jouw e-mailadres wordt als antwoordadres meegegeven. Het formulier bevat een verborgen veld tegen automatische spam-inzendingen.

Account aanmaken (momik.ai/register): naam, onderneming, zakelijk e-mailadres en een wachtwoord. Die gegevens gaan rechtstreeks naar Amazon Cognito, de dienst waarin onze accounts staan (zie 3.2); Cognito stuurt je een e-mail met een verificatiecode van zes cijfers. Jouw naam, onderneming en e-mailadres — niet jouw wachtwoord — sturen wij daarnaast als melding naar ons interne klantenbeheersysteem (het „CRM”), zodat wij weten wie zich inschreef. Alle velden zijn verplicht; zonder die gegevens kunnen wij geen account aanmaken. Het vroegere formulier om toegang aan te vragen bestaat niet meer.

Aanvaarding van de algemene voorwaarden: om een account aan te maken, vink je verplicht aan dat je handelt voor een onderneming of als zelfstandige en dat je onze algemene voorwaarden en dit privacybeleid aanvaardt. Wat dit privacybeleid betreft, betekent dat vinkje dat je ervan kennisnam; het is geen toestemming, onze rechtsgronden staan in punt 4. Onze server controleert dat vinkje; zonder vinkje wordt er geen account aangemaakt. Die aanvaarding leggen wij op twee plaatsen vast. Ten eerste sturen wij jouw e-mailadres, het versienummer van de voorwaarden die je aanvaardde, het versienummer van dit privacybeleid en het tijdstip naar ons CRM, samen met de inschrijvingsmelding. Die stap wacht hoogstens drie seconden: lukt hij niet, dan wordt jouw account toch aangemaakt en ontbreekt dit record in ons CRM. Ten tweede schrijven wij bij elke inschrijving één regel in de logboeken van onze website bij AWS (Amazon CloudWatch), met dezelfde versienummers en hetzelfde tijdstip. Jouw e-mailadres staat daarin niet leesbaar, maar als hashwaarde (SHA-256): een vaste code die uit jouw e-mailadres berekend wordt. Wie jouw e-mailadres kent, kan die code opnieuw berekenen; het is dus een gepseudonimiseerd gegeven en blijft een persoonsgegeven. Schrijf je je later opnieuw in met hetzelfde e-mailadres, dan vervangt ons CRM de bewaarde versienummers en het tijdstip door de nieuwe; een geschiedenis van eerdere aanvaardingen houdt het CRM niet bij.

Beursactie (DCD Brussels): op een afzonderlijke pagina die niet in zoekmachines verschijnt en die wij bij de beurs uitdelen, kan je je inschrijven voor een promotie. Wij vragen jouw naam, onderneming, e-mailadres en telefoonnummer. Alle velden zijn verplicht; zonder die gegevens kan je je niet inschrijven voor de actie. Wij vragen jouw telefoonnummer omdat wij de actie na de beurs persoonlijk, ook telefonisch, met je willen opvolgen. Die gegevens gaan per e-mail naar info@momik.ai (via Amazon SES) en dienen enkel voor deze actie: om je na de beurs daarover te contacteren. Wij bewaren ze 12 maanden; enkel als je klant wordt, bewaren wij ze langer (zie punt 8). Het formulier sluit op 13 oktober 2026.

Recht van bezwaar tegen direct marketing: dat wij je na de beurs over deze actie contacteren, is direct marketing. Daartegen kan je op elk moment en zonder opgave van reden bezwaar maken, met een e-mail naar info@momik.ai of door het ons te zeggen wanneer wij je contacteren. Wij contacteren je daarna niet meer over deze actie en gebruiken jouw gegevens niet meer voor dat doel. Dat recht is onvoorwaardelijk: wij wegen jouw bezwaar niet af tegen ons eigen belang (artikel 21, lid 2 en 3, AVG).

IP-adres: bij elke inzending van een publiek formulier registreren wij tijdelijk jouw IP-adres om misbruik te beperken. Wij bewaren daarvoor een teller in een databank van Amazon (DynamoDB), waarvan de sleutel jouw IP-adres bevat. Die tellers verlopen automatisch: afhankelijk van het formulier na ongeveer één uur of na ongeveer één dag. Wij gebruiken het IP-adres dat door onze verdeelinfrastructuur (CloudFront) zelf wordt vastgesteld, en niet een waarde die de bezoeker kan opgeven.

Lettertypen van derden: de website laadt één lettertype (Switzer) rechtstreeks bij Fontshare: de stijlbeschrijving bij api.fontshare.com en de lettertypebestanden bij cdn.fontshare.com. Daardoor maakt jouw browser verbinding met die servers en ontvangen die jouw IP-adres, browsergegevens en de verwijzende pagina. Dat gebeurt zonder dat jouw toestemming wordt gevraagd, en die server staat mogelijk buiten de EU: wij kennen de vestigingsplaats ervan niet met zekerheid (zie punt 7). Wij beschouwen dat als een gebrek. Al onze andere lettertypen leveren wij inmiddels mee vanaf onze eigen infrastructuur — de verbinding met Google Fonts die hier eerder stond, bestaat niet meer. Voor dit ene lettertype kan dat pas wanneer de licentiegever ons schriftelijk toestaat het bestand zelf te leveren — de licentie behoudt het uitleveren voorlopig aan zijn eigen servers. Tot dan is dit de werkelijke situatie.

Andere onderdelen die laden zonder dat wij jouw toestemming vragen: de afbeelding bovenaan onze startpagina wordt rechtstreeks geladen bij de beeldhostingdienst postimg.cc (i.postimg.cc). Jouw browser maakt daardoor verbinding met die dienst, die jouw IP-adres, browsergegevens en de verwijzende pagina ontvangt. Wij willen die afbeelding vanaf onze eigen infrastructuur leveren. Daarnaast toont onze startpagina een venster met de rekenmodule van onze eigen toepassing (app.momik.ai/embed). Dat is een onderdeel van onszelf, geen derde partij; het plaatst geen cookies en gebruikt geen lokale opslag.

Demonstratieberekening op momik.ai: onze website bevat ook een anonieme demonstratieberekening (/api/demo-calc), die zonder account werkt. Om misbruik te beperken, houden wij daarbij jouw IP-adres kort bij in het werkgeheugen van onze server, om het aantal berekeningen per IP-adres over ongeveer één minuut te tellen. Dat IP-adres wordt niet in een databank opgeslagen en niet naar een derde gestuurd.

Websitestatistieken via Google Analytics 4: klik je in onze cookiebanner op „Accept”, dan laadt momik.ai Google Analytics 4. Vanaf dat moment verwerkt Google in onze opdracht een pseudonieme identificatie van jouw browser en van jouw bezoek (een willekeurig nummer dat op zichzelf niet zegt wie je bent), welke pagina's je bekijkt, het tijdstip en de duur van jouw bezoek, de pagina waarlangs je binnenkwam, en gegevens over jouw toestel, browser en schermformaat. Google leidt uit jouw IP-adres ook een benaderende locatie af (land en stad); Google Analytics 4 bewaart het IP-adres zelf niet. Klik je op „Decline”, of maak je geen keuze, dan wordt Google Analytics niet geladen en gaat er niets naar Google. Je kan jouw keuze op elk moment wijzigen via de link „Cookie settings” onderaan momik.ai. Dit geldt enkel voor de website; in Momik Lighting draait geen Google Analytics.

Video's van YouTube op onze tutorialpagina (momik.ai/educational/tutorials): vóór je op „Play video” klikt, laadt er niets van YouTube en gaat er niets naar Google; de voorbeeldafbeelding komt van onze eigen server. Na jouw klik haalt jouw browser de speler rechtstreeks bij YouTube, in de privacyvriendelijke modus (youtube-nocookie.com). Google ontvangt dan jouw IP-adres, gegevens over jouw browser en toestel, welke video je bekijkt, gegevens over het afspelen (zoals hoelang je kijkt), en dat je de video op momik.ai bekijkt. De speler bewaart ook enkele gegevens in de lokale opslag van jouw browser; welke, staat in ons cookiebeleid. Jouw klik geldt voor alle video's op die pagina. Wij onthouden hem 6 maanden in deze browser, zodat de video's bij een volgend bezoek meteen laden; daarna vragen wij het opnieuw. Je trekt die keuze in via „Cookie settings” onder de video's of onderaan momik.ai. Wij gebruiken hiervoor de diensten van YouTube; voor wat Google zelf met deze gegevens doet, geldt het privacybeleid van Google (policies.google.com/privacy).

3.2 Account en aanmelding (beide omgevingen)

• jouw gebruikers-identificatie en e-mailadres uit Amazon Cognito, de dienst waarin onze accounts staan, en jouw weergavenaam. Hebben wij geen naam, dan wordt jouw e-mailadres als weergavenaam gebruikt;
• onze toepassingen ontvangen, bewaren of verwerken jouw wachtwoord nooit zelf: het aanmelden wordt volledig door Amazon Cognito afgehandeld;
• een aanmelding met een niet-geverifieerd e-mailadres wordt geweigerd;
• de onderneming die je bij het inschrijven opgeeft, wordt als eigenschap van jouw account in Amazon Cognito bewaard;
• wachtwoord vergeten: je vraagt een nieuwe code aan op momik.ai of in de toepassing; Amazon Cognito mailt die code naar jouw e-mailadres;
• tussen twee stappen van het inschrijven, aanmelden of wachtwoordherstel op momik.ai (bijvoorbeeld van het inschrijfformulier naar de pagina waar je de code invult) onthoudt jouw browser jouw e-mailadres in een cookie van maximaal 15 minuten („le_pending_email”). Dat cookie is niet leesbaar voor scripts, geldt enkel voor momik.ai en wordt gewist zodra de stap gelukt is.

Beveiliging bij mislukte aanmeldingen: drie mislukte pogingen binnen één uur vergrendelen het account gedurende 24 uur; je krijgt dan een e-mail met een eenmalige ontgrendelingslink. Wij bewaren daarvoor jouw e-mailadres niet leesbaar, maar als hashwaarde (SHA-256): een vaste code die uit jouw e-mailadres berekend wordt. Wie jouw e-mailadres al kent, kan dezelfde code opnieuw berekenen en zo herkennen; het is dus een gepseudonimiseerd gegeven en blijft een persoonsgegeven. Wij bewaren die code samen met een teller en een gehashte ontgrendelingscode. Die gegevens verdwijnen automatisch na zeven dagen. Ook een poging met een onbekend e-mailadres leidt tot vergrendeling, zodat langs deze weg niet kan worden achterhaald welke adressen bestaan.

3.3 Cookies en lokale opslag

Wij plaatsen cookies die noodzakelijk zijn om aan te melden en om de toepassing te laten werken — waaronder het kortstondige cookie „le_pending_email” met jouw e-mailadres tijdens het inschrijven, aanmelden of wachtwoordherstel (zie 3.2) — plus één voorkeurencookie. Daarnaast plaatst de website momik.ai twee analysecookies van Google Analytics 4, maar uitsluitend nadat je daarvoor in onze cookiebanner op „Accept” geklikt hebt. Klik je op onze tutorialpagina op „Play video”, dan bewaart ook de YouTube-speler gegevens in jouw browser (zie 3.1). Verder gebruiken wij geen advertentie- of sociale-mediacookies en geen andere trackers van derden. De volledige lijst met namen, domeinen, looptijden en rechtsgronden staat in ons cookiebeleid.

Belangrijk om te weten: onze sessiecookies staan op het domein .momik.ai. Jouw browser stuurt ze daardoor mee naar elke server onder momik.ai, inclusief ons interne CRM. Dat is een bewuste keuze zodat één aanmelding voor beide omgevingen werkt, maar het betekent dat jouw sessietokens ook dat systeem bereiken.

3.4 Wat je zelf aanmaakt in Momik Lighting

• projecten: de naam en de volledige inhoud van jouw ontwerp (vorm en afmetingen van de ruimte, ingevoerde parameters, bestandsnamen, berekende resultaten en, als je met Revit werkt, de koppeling met de elementen in jouw Revit-model), met tijdstippen van aanmaak en wijziging;
• geüploade plannen: een grondplan als onderlegger. Een afbeelding (JPEG, PNG of WebP) wordt bewaard zoals je ze oplaadt, tot 5 MB. Een PDF wordt in jouw eigen browser omgezet naar een afbeelding (JPEG, tot 5 MB); het oorspronkelijke PDF-bestand wordt niet naar ons verstuurd. Bij een DXF-tekening bewaren wij de uitgelezen geometrie (tot 4 MB) én het oorspronkelijke DXF-bestand (tot 50 MB). Deze bestanden staan in een niet-publieke opslagruimte onder een map per gebruiker; een aanvraag voor een bestand buiten je eigen map wordt geweigerd. Wij zijn ons ervan bewust dat dit doorgaans grondplannen van reële gebouwen zijn, die aan jou of aan jouw klant toebehoren;
• geüploade fotometrische bestanden (IES/LDT) van verlichtingstoestellen; de inhoud ervan wordt in het project bewaard;
• een profielfoto, als je die oplaadt;
• een bedrijfslogo, als je dat oplaadt. Het logo wordt afgedrukt op de PDF-rapporten die je uit de toepassing haalt;
• projecten delen: deel je een project, dan bewaren wij het e-mailadres van de persoon die je uitnodigt, zijn of haar gebruikers-identificatie zodra die aanvaardt, de toegekende rol, het tijdstip van aanvaarding en jouw eigen e-mailadres als uitnodiger. De genodigde krijgt van ons een e-mail (via Amazon SES) met de naam van het project; jouw e-mailadres staat daarin als antwoordadres;
• feedback die je via de knop in de toepassing verstuurt.

3.5 Gebruiksgegevens en berekeningen

Deze categorie beschrijven wij uitdrukkelijk, omdat er in de toepassing vandaag geen melding en geen uitschakelmogelijkheid voor bestaat:

• gebruiksgebeurtenissen: per betekenisvolle handeling (aanmelden, berekenen, advies opvragen, project aanmaken/wijzigen/openen/verwijderen, in de catalogus zoeken, een toestel overnemen, feedback verzenden) bewaren wij het type handeling, jouw gebruikers-identificatie, jouw weergavenaam, een tijdstip en enkele technische details. Bevat jouw weergavenaam een e-mailadres, dan bewaren wij hem niet en staat enkel jouw gebruikers-identificatie bij de gebeurtenis;
• gebruik van de functies in de editor: welke functies van de editor je gebruikt, bijvoorbeeld welk tekengereedschap je kiest, of je naar de 2D- of 3D-weergave schakelt, dat je een berekening start, welk tabblad je opent bij het kiezen van toestellen of bij de resultaten, welke plaatsingswijze je kiest, dat je een PDF- of DXF-bestand uitvoert, ongedaan maken en opnieuw, jouw keuze voor thema en taal, en de rondleiding. Per gebruik bewaren wij de naam van de functie, jouw gebruikers-identificatie, jouw weergavenaam (op dezelfde manier als hierboven), een tijdstip en hoogstens één of twee vaste keuzes uit een vaste lijst (bijvoorbeeld „3D” of „licht thema”). Wij bewaren daarbij geen vrije tekst, geen coördinaten of afmetingen, geen namen van projecten of bestanden en geen inhoud van jouw ontwerp. Onze server weigert alles wat niet op die vaste lijst staat. Wij houden dit bij in onze eigen databank, zonder derden en zonder extra cookies: wij plaatsen hiervoor geen analyse- of trackingcookie; de melding draagt enkel het bestaande aanmeldcookie van de toepassing mee. Wij doen dit om de toepassing te verbeteren (ons gerechtvaardigd belang, zie punt 4);
• berekeningen: bij elke echte berekening bewaren wij de ingevoerde ruimte- en toestelgegevens (inclusief fabrikant en artikelnummer) samen met de berekende resultaten, jouw gebruikers-identificatie en jouw weergavenaam of e-mailadres. Vul je ter plaatse gemeten verlichtingssterktes in, dan bewaren wij die meetwaarden bij de berekening;
• ijkgegevens van de rekenkern: bij het zoeken naar een ontwerp bewaren wij per berekening de afmetingen van de ruimte en de kenmerken van de geteste toestellen, met jouw gebruikers-identificatie en een nummer van de berekening;
• tussenresultaten van rekentaken: grotere berekeningen worden als afzonderlijke taak uitgevoerd; het resultaat staat kort in onze opslag en verdwijnt automatisch na één dag.

Wij noemen deze gegevens niet pseudoniem: ze staan op jouw gebruikers-identificatie en vaak op jouw naam, en zijn dus tot jou herleidbaar. Sinds 31 juli 2026 bewaren wij bij gebruiksgebeurtenissen geen e-mailadres meer als weergavenaam. Oudere gebeurtenissen kunnen nog een e-mailadres bevatten, tot ze volgens de bewaartermijn in punt 8 verdwijnen. Bij berekeningen kan de weergavenaam nog een e-mailadres bevatten. De verzameling van berekeningen dient ook een tweede doel: wij willen onze rekenkern later kunnen vergelijken met werkelijke metingen ter plaatse. Dat doel staat vermeld in ons eigen broncodecommentaar en wij vermelden het daarom ook hier.

Overzicht in ons CRM: uit deze gebruiksgebeurtenissen stelt ons CRM per gebruiker een overzicht samen — wanneer je de toepassing voor het eerst en voor het laatst gebruikte, hoeveel handelingen van welk type, jouw projecten, en een geschat aantal sessies en minuten (afgeleid uit de tijd tussen jouw handelingen: een pauze van meer dan 30 minuten telt als een nieuwe sessie). Het gebruik van de functies in de editor komt niet in dat overzicht, ook niet in de grafieken of in de schatting van sessies en minuten; wij bekijken het enkel in totalen, om de toepassing te verbeteren. Daarbij horen ook jouw abonnementsgegevens. Wij gebruiken dat overzicht intern om klanten op te volgen, bijvoorbeeld om te zien wie vastloopt of hulp kan gebruiken. Je kan daartegen bezwaar maken via info@momik.ai.

3.6 Abonnement en betaling

Vandaag is Momik Lighting gratis voor elk aangemeld account, en betaalt niemand. Kies je later een betaald plan, dan geldt het volgende. Wij bewaren jouw klant- en abonnementsnummer bij Stripe, het gekozen plan, de status die Stripe ons doorgeeft, het einde van de lopende periode en van een eventuele proefperiode, en de tijdstippen van de laatste wijzigingen. Van de berichten die Stripe ons over jouw betaling stuurt, bewaren wij kort het nummer en het type, om te vermijden dat wij hetzelfde bericht twee keer verwerken. Wij ontvangen en bewaren nooit jouw kaartgegevens en nooit jouw factuuradres: de betaalpagina van Stripe vraagt die rechtstreeks aan jou, samen met — afhankelijk van hoe de betaling verloopt — jouw btw-nummer. Ook het opzeggen en het beheren van jouw betaalmiddel verloopt volledig via de betaalomgeving van Stripe.

3.7 API-sleutels

Voor de koppeling met onze Revit-plug-in bestaan API-sleutels. Je maakt ze zelf aan en trekt ze zelf in op jouw accountpagina. Wij bewaren de sleutel zelf nooit: enkel een hashwaarde waaruit de sleutel zelf niet terug te halen is, de eerste tekens ter herkenning, de naam die je hem gaf, de eigenaar, het tijdstip van laatste gebruik en van eventuele intrekking.

De plug-in voor Revit meldt zich aan via hetzelfde accountbeheer (Amazon Cognito). Projectgegevens — onder meer de ruimten, toestellen en resultaten — gaan dan tussen jouw Revit-model en onze eigen Revit-dienst, die ook bij AWS in Ierland draait. Dat gebeurt met jouw eigen aanmeldingsbewijs, zodat die dienst enkel jouw projecten ziet.

3.8 Feedback en schermafbeeldingen

Verstuur je feedback in de toepassing, dan gaan jouw bericht, e-mailadres, naam, de pagina waarop je stond en — als je die meestuurt — een schermafbeelding naar ons CRM. Een schermafbeelding is een beeld van wat op dat moment op jouw scherm stond. In de praktijk bevat dat vaak het grondplan en de projectgegevens van jouw eigen klant. Stuur ze dus enkel mee als je dat wil; het is optioneel.

3.9 Zoekopdrachten in de catalogus

Jouw zoekterm en filters gaan naar onze interne catalogusdienst. Daarbij wordt geen enkele gebruikersidentificatie meegestuurd.

3.10 Wat wij niet doen

• wij gebruiken geen advertentienetwerken, geen sociale-mediatrackers en geen foutrapporteringsdiensten van derden. Eén analysedienst gebruiken wij wel: Google Analytics 4 op de website momik.ai, en enkel wanneer je daarvoor in onze cookiebanner toestemming geeft (zie 3.1). Video's van YouTube tonen wij enkel op onze tutorialpagina, en pas nadat je op „Play video” klikt (zie 3.1);
• wij verkopen jouw gegevens niet en delen ze niet met derden voor hun eigen commerciële doeleinden;
• wij houden wel per klant een overzicht van het gebruik bij (zie 3.5), om klanten op te volgen en te helpen. Wij nemen op basis van dat overzicht geen geautomatiseerde beslissingen over jou, wij kennen geen automatische scores toe, en wij gebruiken het niet voor gerichte reclame, advertenties of gedragsgerichte targeting;
• wij versturen geen nieuwsbrieven en geen massamailings. De automatische e-mails die wij verzenden, zijn dienstberichten: de verificatiecode bij het inschrijven, de code om een wachtwoord opnieuw in te stellen, de ontgrendelingsmail na een vergrendeld account, en de uitnodiging wanneer iemand een project met je deelt. Heb je je op de beurs ingeschreven voor onze actie (zie 3.1), dan contacteren wij je daarover persoonlijk, per e-mail of telefoon; dat is geen massamailing.

3.11 Waar de gegevens vandaan komen

De meeste gegevens krijgen wij rechtstreeks van jou, of ontstaan doordat je onze website of toepassing gebruikt. Twee uitzonderingen:

• deelt iemand een project met jou, dan krijgen wij jouw e-mailadres van de persoon die het project deelt, niet van jou;
• kies je een betaald plan, dan krijgen wij de status van jouw abonnement, de periodes en de nummers bij Stripe van Stripe zelf (zie 3.6).

4Waarom wij die gegevens verwerken, en op welke rechtsgrond

Waar wij ons op een gerechtvaardigd belang beroepen, kan je daartegen bezwaar maken (zie punt 9). Wij melden eerlijk dat de toepassing vandaag geen knop bevat om de gebruiksgebeurtenissen of het overzicht in ons CRM uit te schakelen; een bezwaar wordt daarom manueel behandeld.

Onze gebruiksgebeurtenissen, het gebruik van de functies in de editor en onze berekeningen worden aan de serverzijde in onze eigen databank bewaard, niet in cookies. Voor het gebruik van de functies in de editor stuurt de editor in jouw browser een korte melding naar onze server; daarbij wordt niets in jouw browser opgeslagen en plaatsen wij geen extra cookie; de melding draagt enkel het bestaande aanmeldcookie van de toepassing mee, zodat onze server weet wie je bent. De melding gaat enkel naar ons, niet naar een derde. De regels over rechtsgrond, transparantie en bewaartermijn gelden er uiteraard wel voor.

5Cookies

Ons cookiebeleid bevat de volledige lijst met cookies en lokale opslag, per stuk met naam, domein, pad, doel, looptijd en rechtsgrond, en legt uit hoe je ze uit jouw browser verwijdert.

Op de website momik.ai tonen wij een cookiebanner, en die dient voor één zaak: Google Analytics 4. Klik je niet op „Accept”, dan wordt Google Analytics niet geladen. Voor de YouTube-video's op onze tutorialpagina vragen wij jouw toestemming apart, met de knop „Play video” bij de video zelf; klik je niet, dan laadt er niets van YouTube. Dat zijn de twee verwerkingen waarvoor wij jouw toestemming vragen. Jouw keuzes blijven in jouw eigen browser bewaard en gelden 6 maanden; daarna vragen wij het opnieuw. Je kan ze op elk moment wijzigen via „Cookie settings” onderaan momik.ai of onder de video's. Onze cookies voor het aanmelden en voor het functioneren van de toepassing, en ons ene voorkeurencookie (dat 7 dagen geldt), blijven noodzakelijk en vragen geen toestemming. Eén zaak vermelden wij daarbij open: de looptijd van onze vernieuwingscookies (30 dagen) is langer dan wat de Gegevensbeschermingsautoriteit voor vrijgestelde cookies als richtsnoer geeft. Wij hebben dit op onze lijst met aanpassingen staan en beschrijven de huidige situatie hier liever dan ze te verzwijgen.

6Met wie wij gegevens delen

Wij gebruiken de volgende partijen en interne systemen:

Verder geven wij gegevens door wanneer wij daartoe wettelijk verplicht zijn, of wanneer dat noodzakelijk is om onze rechten te vrijwaren.

Wij zijn open over de stand van onze contracten: wij beschikken vandaag niet over een ondertekende verwerkersovereenkomst met elk van bovenstaande partijen, en wij houden nog geen formeel register van subverwerkers bij. Wij zijn dat aan het rechtzetten. Wij vermelden het hier omdat het jouw beoordeling van deze dienst kan beïnvloeden.

7Waar jouw gegevens staan, en doorgifte buiten de EU

Onze volledige infrastructuur bij AWS staat in de regio Ierland (eu-west-1): de databank, het accountbeheer, de opslag van jouw bestanden, de beveiligingstabel, de e-mailverzending, de serverlogboeken en onze Revit-dienst. Ook ons interne CRM draait bij AWS in de regio Ierland. De databank heeft geen publiek eindpunt en is enkel bereikbaar vanuit ons eigen netwerk.

Onze testomgeving, waarop wij nieuwe versies uitproberen voor ze live gaan, gebruikt dezelfde databank en dezelfde bestandsopslag als de echte toepassing. Jouw gegevens worden daar niet naartoe gekopieerd; het is dezelfde plek, met dezelfde beveiliging en in dezelfde regio. Wel betekent het dat een nieuwe versie die wij testen, met jouw echte gegevens werkt.

Wij beweren echter niet dat al jouw gegevens de EU nooit verlaten, om twee redenen die wij niet kunnen wegwerken met een boute bewering:

1. 1.Onze website en toepassing worden geleverd via CloudFront, het wereldwijde verdeelnetwerk van AWS. Wij hebben geen geografische beperking ingesteld, dus jouw verzoek kan technisch door een knooppunt buiten de EU worden afgehandeld.
2. 2.Wat Stripe met de gegevens doet die zij van ons ontvangen, waar zij die verwerken en met welke vennootschap wij daarvoor contracteren, blijkt niet uit onze eigen systemen. Dat volgt uit onze overeenkomst met Stripe.

Google Analytics: gaf je toestemming, dan kan Google de gegevens uit punt 3.1 ook in de Verenigde Staten verwerken. Onze tegenpartij is Google Ireland Ltd, gevestigd in de EU. Voor de doorgifte naar de Verenigde Staten steunen wij op het EU-VS-kader voor gegevensbescherming (het EU-US Data Privacy Framework, een besluit van de Europese Commissie dat gegevensdoorgifte naar gecertificeerde Amerikaanse bedrijven toestaat), waarvoor Google LLC gecertificeerd is, én op de standaardvoorwaarden voor gegevensverwerking van Google, die de modelcontractbepalingen van de Europese Commissie bevatten.

YouTube: start je een video op onze tutorialpagina, dan kan Google de gegevens uit punt 3.1 ook in de Verenigde Staten verwerken. Voor gebruikers in de Europese Economische Ruimte is Google Ireland Ltd, gevestigd in de EU, de aanbieder van YouTube en de verantwoordelijke voor die gegevens. Wat Google daarna met de gegevens doet en waar, regelt Google zelf. Google LLC, het Amerikaanse moederbedrijf, is gecertificeerd onder het EU-VS-kader voor gegevensbescherming (zie hierboven). Op 23 september 2026 stond die certificering op dataprivacyframework.gov als actief vermeld.

Het lettertype en de afbeelding in punt 3.1 worden geleverd door partijen buiten de EU, of door partijen waarvan wij de vestigingsplaats niet met zekerheid kennen. Dat is een van de redenen waarom wij ze willen meeleveren vanaf onze eigen servers. Waar Hostinger onze mailbox bewaart, bezorgen wij je op vraag.

Vraag je ons om de concrete waarborgen voor een doorgifte buiten de EU, dan bezorgen wij je wat wij daarover hebben, en zeggen wij het eerlijk waar wij het niet hebben.

8Hoe lang wij jouw gegevens bewaren

Dit is het onderdeel waarover wij het duidelijkst willen zijn. Hieronder staat per soort gegevens hoe lang wij ze bewaren, en ook hoe die termijn in de praktijk wordt uitgevoerd: automatisch, of door ons met de hand.

Waar hierboven „met de hand” of „een script dat wij zelf starten” staat, voeren wij de termijn uit, maar niet automatisch op de dag zelf. Gegevens kunnen dus iets langer blijven staan dan de vermelde termijn, tot wij de volgende opruiming uitvoeren. Wij vermelden dat liever dan een automatisme te beweren dat er niet is.

9Jouw rechten, en hoe wij ze in de praktijk uitvoeren

Je hebt het recht op inzage in jouw gegevens, op verbetering, op verwijdering, op beperking van de verwerking, op overdraagbaarheid van de gegevens die je ons zelf hebt bezorgd, en het recht om bezwaar te maken tegen verwerkingen die wij op een gerechtvaardigd belang baseren. Twee verwerkingen baseren wij op jouw toestemming: Google Analytics 4 op momik.ai, en de YouTube-video's op onze tutorialpagina. Die toestemming kan je op elk moment intrekken, even eenvoudig als je ze gaf, via „Cookie settings” onderaan momik.ai of onder de video's. Het intrekken werkt naar de toekomst toe en raakt niet aan de rechtmatigheid van wat vóór jouw intrekking al gebeurde. Voor wat Google zelf met de gegevens van de YouTube-speler doet, kan je jouw rechten ook rechtstreeks bij Google uitoefenen, zoals beschreven in het privacybeleid van Google.

Zo werkt dat vandaag concreet:

• Stuur jouw verzoek naar info@momik.ai. Wij antwoorden binnen één maand na ontvangst. Is jouw verzoek uitzonderlijk complex, dan mogen wij die termijn met twee maanden verlengen; wij brengen je dan binnen de eerste maand op de hoogte.
• Wij kunnen je vragen jouw identiteit aan te tonen wanneer wij redelijke twijfel hebben, zodat wij jouw gegevens niet aan iemand anders bezorgen.
• Inzage en overdraagbaarheid: op jouw accountpagina in Momik Lighting kan je zelf al jouw gegevens downloaden, als een machineleesbaar bestand (JSON) samen met jouw geüploade bestanden.
• Verwijdering: op diezelfde accountpagina kan je zelf jouw account verwijderen. Daarmee verdwijnen jouw gegevens uit onze databank en onze opslag — ook jouw berekeningen, de ijkgegevens van de rekenkern en de uitnodigingen waarmee anderen een project met jou deelden —, verdwijnt ook jouw aanmelding voor momik.ai, en wordt een lopend abonnement bij Stripe stopgezet. Nodigde je zelf iemand uit op het project van een ander, dan vervangen wij jouw e-mailadres als uitnodiger door „deleted-user” (verwijderde gebruiker); de toegang van wie je uitnodigde blijft bestaan. In ons CRM wist de toepassing automatisch jouw naam, onderneming, rol en bericht uit jouw inschrijvingsmelding; een oudere inschrijvingsmelding zonder bewijs van aanvaarding verwijderen wij volledig. Lukt dat niet, dan doen wij het met de hand. Wat wij om wettelijke redenen moeten bewaren, zoals facturen, het bewijs dat je onze algemene voorwaarden aanvaardde (e-mailadres, versienummer en tijdstip) en het bewijs van de verwijdering zelf, blijft bewaard (zie punt 8).
• Wat die knoppen niet dekken: de overige gegevens in ons CRM (feedback, andere meldingen en e-mails, het overzicht per gebruiker), e-mails in onze mailbox en onze serverlogboeken. Wil je daarvan een kopie of wil je dat die verdwijnen, stuur dan een verzoek naar info@momik.ai; dat behandelen wij manueel, binnen één maand. Reservekopieën van de databank kunnen wij niet per persoon aanpassen; verwijderde gegevens verdwijnen eruit wanneer die kopieën volgens de gewone cyclus vervallen, en wij zetten ze in de tussentijd niet terug (zie punt 8).
• Bezwaar tegen direct marketing: schreef je je in voor onze beursactie (zie 3.1), dan kan je op elk moment en zonder opgave van reden bezwaar maken tegen het feit dat wij je daarover contacteren. Dat recht is onvoorwaardelijk (artikel 21, lid 2 en 3, AVG): wij wegen het niet af tegen ons eigen belang, contacteren je daarna niet meer over de actie en gebruiken jouw gegevens niet meer voor dat doel. Een e-mail naar info@momik.ai volstaat.
• Werd je voor een project uitgenodigd maar heb je geen account bij Momik, dan kan je niet zelf op een knop drukken. Wil je dat jouw e-mailadres uit die uitnodiging verdwijnt, stuur dan een e-mail naar info@momik.ai.
• Verbetering van jouw naam of e-mailadres gebeurt door ons; de toepassing bevat daarvoor geen eigen scherm.
• Bezwaar tegen onze gebruiksgebeurtenissen, tegen het overzicht in ons CRM of tegen het bewaren van berekeningen behandelen wij manueel, omdat er geen uitschakelknop bestaat.

Wij vermelden uitdrukkelijk dat de verzoeken die niet via de accountpagina lopen, manueel behandeld worden en dat wij ze nog niet vaak hebben uitgevoerd. Dat is geen reden om jouw verzoek anders te behandelen: de termijn van één maand geldt en wij houden ons daaraan.

Bepaalde gegevens kunnen wij niet verwijderen zolang wij ze nodig hebben, bijvoorbeeld om onze eigen wettelijke verplichtingen na te komen of om een geschil te behandelen. Is dat het geval, dan zeggen wij welke gegevens dat zijn en waarom.

10Beveiliging

Wij nemen de volgende maatregelen. Dit is een beschrijving, geen garantie:

• aanmelden verloopt via Amazon Cognito; wij zien jouw wachtwoord nooit. Sessiecookies zijn niet leesbaar voor scripts in jouw browser, worden enkel over een beveiligde verbinding verzonden en worden bij afmelden zowel bij ons als bij Cognito ongeldig gemaakt;
• drie mislukte aanmeldingen binnen één uur vergrendelen het account 24 uur; jouw e-mailadres staat daarbij enkel als hashwaarde in onze beveiligingstabel;
• jouw projecten en bestanden zijn per gebruiker afgeschermd: elke aanvraag wordt getoetst aan de eigenaar, en een aanvraag voor een bestand buiten je eigen map wordt geweigerd;
• geüploade afbeeldingen worden beperkt tot JPEG, PNG en WebP van maximaal 5 MB; SVG is bewust uitgesloten omdat dat formaat scripts kan bevatten. DXF-tekeningen zijn beperkt tot 50 MB;
• onze pagina's worden geleverd met een strikt beveiligingsbeleid dat enkel onze eigen scripts toelaat, en met de gebruikelijke beveiligingsheaders; alle verbindingen lopen over HTTPS. Op momik.ai zijn daarop twee uitzonderingen toegevoegd: de scripts van Google Analytics, en het afzonderlijke venster van de YouTube-speler op onze tutorialpagina. Beide laden enkel nadat je daarvoor toestemming gaf;
• onze databank heeft geen publiek eindpunt en is versleuteld opgeslagen; onze bestandsopslag is niet publiek toegankelijk en weigert onbeveiligde verbindingen;
• wachtwoorden van databanken staan niet in onze programmacode; geheimen worden buiten de broncode beheerd;
• API-sleutels bewaren wij enkel als hashwaarde; de vergelijking gebeurt op een manier die geen informatie prijsgeeft via de duur van de vergelijking;
• op alle onderdelen van de toepassing gelden limieten op het aantal aanvragen per minuut;
• betalingsberichten van Stripe worden op hun ondertekening gecontroleerd voordat wij ze verwerken.

Even belangrijk is wat wij niet beweren, omdat wij het niet doen:

• de scheiding tussen gebruikers is in onze programmacode geregeld, niet door de databank zelf afgedwongen;
• wij hebben geen tweestapsverificatie in gebruik;
• wij hebben geen webtoepassingsfirewall en geen bescherming tegen verspreide, grootschalige aanvallen; onze limieten per minuut zijn beperkt in opzet;
• het aanmeldformulier zelf kent geen limiet per IP-adres; de rem is de vergrendeling per e-mailadres. Een aanval die veel verschillende adressen probeert, wordt daardoor niet afgeremd;
• wij houden geen logboek bij van welke van onze eigen medewerkers welke gegevens heeft geraadpleegd;
• wij hebben geen automatische inbraakdetectie, geen waarschuwingssysteem en geen wachtdienst. Fouten komen in onze serverlogboeken terecht en worden door ons nagekeken;
• wij doen vandaag geen belofte over reservekopieën of over herstel na verlies, omdat wij daarvoor niets zelf hebben ingesteld. Gegevens die je liet verwijderen, zetten wij niet terug uit een reservekopie (zie punt 8);
• de inhoud van jouw projecten en jouw grondplannen wordt niet bijkomend versleuteld binnen onze eigen omgeving;
• onze testomgeving gebruikt dezelfde databank en bestandsopslag als de echte toepassing (zie punt 7); er is geen afzonderlijke testkopie zonder echte gegevens.

Gegevenslek: stellen wij een inbreuk vast die een risico voor jou inhoudt, dan melden wij die binnen 72 uur aan de Gegevensbeschermingsautoriteit en brengen wij jou op de hoogte wanneer het risico hoog is. Wij zeggen daarbij eerlijk dat onze mogelijkheden om een inbreuk zélf op te merken vandaag beperkt zijn, omdat wij geen automatische detectie hebben.

11Geautomatiseerde beslissingen

Wij houden per klant een overzicht van het gebruik bij (zie 3.5), om klanten op te volgen en te helpen. Op basis daarvan nemen wij geen geautomatiseerde beslissingen over jou als persoon, en wij gebruiken het niet voor gerichte reclame of advertenties. Twee geautomatiseerde controles raken wel jouw toegang:

1. 1.de vergrendeling na drie mislukte aanmeldingen binnen één uur, met een duur van 24 uur, opheffen via de link die wij je mailen;
2. 2.de toegangscontrole op jouw abonnement: onze server weigert de rekenfuncties wanneer er geen actief abonnement, interne toegang of tijdelijke toegangsverlening bestaat. Bij een storing in onze databank weigert die controle de toegang in plaats van ze toe te staan. Vandaag staat de toepassing gratis open voor elk aangemeld account, zodat deze controle in de praktijk niemand de toegang weigert.

In beide gevallen kan je ons contacteren en grijpt een mens in. De beslissingen die onze rekenkern neemt — waar toestellen komen, of een ontwerp aan een norm voldoet — gaan over jouw ontwerp, niet over jou als persoon.

12Leeftijd

Onze dienst is bestemd voor professioneel gebruik: bij het inschrijven bevestig je dat je handelt als onderneming of zelfstandige. Wij richten ons niet op kinderen en wij vragen geen leeftijdsgegevens op. Wij hebben ook geen leeftijdscontrole; wij beweren dus niet dat wij die uitvoeren.

13Klachten

Ben je niet tevreden over hoe wij met jouw gegevens omgaan, spreek ons dan eerst aan via info@momik.ai — wij lossen het liefst zelf op. Je hebt daarnaast altijd het recht een klacht in te dienen bij de toezichthouder:

Gegevensbeschermingsautoriteit (GBA / APD), Drukpersstraat 35, 1000 Brussel — contact@apd-gba.be — www.gegevensbeschermingsautoriteit.be. Je kan ook naar de rechter stappen.

14Wijzigingen aan dit beleid

Dit is versie 1.4, van kracht vanaf 29 september 2026. De belangrijkste wijziging: wij beschrijven dat wij bijhouden welke functies van de editor je gebruikt (zie 3.5), wat wij daarbij wel en niet bewaren, en dat wij die gegevens 180 dagen bewaren. Daarnaast vermelden wij dat wij sinds 31 juli 2026 geen e-mailadres meer als weergavenaam bewaren bij gebruiksgebeurtenissen, en dat je bij het aanmaken van een account naast onze algemene voorwaarden ook dit privacybeleid aanvaardt, waarvan wij het versienummer bewaren.

Versie 1.3 (27 september 2026): wij hebben dit beleid opnieuw naast onze programmacode gelegd en bijgewerkt. De belangrijkste wijzigingen: iedereen kan nu zelf een account aanmaken (het formulier om toegang aan te vragen bestaat niet meer), en de toepassing is vandaag gratis; wij beschrijven de beursactie van DCD Brussels, het delen van projecten, profielfoto's, bedrijfslogo's, DXF-bestanden, de koppeling met Revit, het overzicht per gebruiker in ons CRM en wat Stripe bij een betaling vraagt; Hostinger (onze mailbox) en postimg.cc staan nu bij de ontvangers; wij vermelden dat onze testomgeving de echte databank gebruikt; export en verwijdering kan je nu zelf doen op jouw accountpagina; wij beschrijven hoe wij bewaren dat je onze algemene voorwaarden aanvaardde, het kortstondige cookie „le_pending_email” en de anonieme demonstratieberekening op momik.ai; en wij vermelden vaste bewaartermijnen.

Versie 1.2 (23 september 2026) had ten opzichte van versie 1.1 (5 september 2026) één inhoudelijke wijziging: onze tutorialpagina toont video's van YouTube, die pas laden nadat je op „Play video” klikt. Wij vermelden daarom Google Ireland Ltd (YouTube) als ontvanger, en de mogelijke doorgifte naar de Verenigde Staten. Daarnaast gelden jouw keuzes over cookies en video's voortaan 6 maanden. In versie 1.1 kwam Google Analytics 4 erbij, met een cookiebanner en uitsluitend na jouw toestemming. Elke volgende versie krijgt een nieuw nummer en een nieuwe datum. Vorige versies bewaren wij en bezorgen wij op eenvoudige vraag via info@momik.ai.

Wijzigen wij dit beleid op een manier die voor jou van belang is, dan brengen wij aangemelde gebruikers per e-mail op het adres van hun account op de hoogte, en vermelden wij de wijziging op deze pagina.

15Contact

Vragen over dit beleid, verzoeken over jouw gegevens en meldingen van een beveiligingsprobleem: info@momik.ai, of per post naar A3 ENGINEERING BV, Kempenlaan 14, 2300 Turnhout, België.

Meld je een beveiligingsprobleem, zet dan „beveiliging” in het onderwerp. Wij nemen zulke meldingen ernstig en ondernemen geen juridische stappen tegen wie een probleem in redelijkheid en zonder schade aan ons rapporteert.