arrow_back Terug naar homepage Back to homepage

Privacy en cookies Privacy and cookies

Privacy- en cookieverklaring Privacy and cookie statement

Versie 2.2  |  Laatste update: 1 oktober 2026  |  Ingangsdatum: 1 oktober 2026 Version 2.2  |  Last updated: 1 October 2026  |  Effective date: 1 October 2026

Privacy- en cookieverklaring

Versie 2.2  |  Laatste update: 1 oktober 2026  |  Ingangsdatum: 1 oktober 2026

Deze verklaring legt uit welke persoonsgegevens Xion Software verwerkt wanneer je gebruikmaakt van het Xion-platform (xion-projecten.nl), waarom we dat doen, met wie we ze delen, hoe lang we ze bewaren en welke rechten je hebt. We schrijven dit document zelf en houden het bewust kort en concreet, geen juridisch wollige taal, wel volledige openheid.

1. Wie wij zijn

Xion Software is verantwoordelijk voor de verwerking van jouw persoonsgegevens (de "verwerkingsverantwoordelijke" in de zin van artikel 4 lid 7 AVG).

HandelsnaamXion Software
RechtsvormEenmanszaak
VestigingsplaatsLelystad, Nederland
PostadresRanonkellaan 249, 8245HE Lelystad
KVK-nummer42049375
BTW-nummerNL005455657B75
E-mail (algemeen)info@xion-projecten.nl
E-mail (privacyvragen)info@xion-projecten.nl
Functionaris voor Gegevensbescherming (FG)Niet aangesteld, Xion is niet verplicht een FG aan te wijzen onder art. 37 AVG.

2. Welke gegevens wij verwerken

We verwerken alleen wat nodig is om Xion te laten werken. Hieronder zie je per categorie wat we opslaan en waarom.

2.1 Accountgegevens

  • Naam, e-mailadres, wachtwoord (versleuteld met bcrypt).
  • Profiel (optioneel): volledige naam, telefoonnummer, adres, woonplaats, website, geboortedatum, bio, vaardigheden, statusbericht (met emoji en een eindmoment dat je zelf kiest, zichtbaar voor de leden van je omgevingen), werkuren, vakantieperiode, avatar.
  • Rol binnen workspace (admin/lid) en familierol (gezinshoofd/gezinslid/kind).
  • Voorkeuren: thema (één keuze voor je hele account), taal, notificatie-instellingen, beta-features, referral-code.
  • Geboortedatum bij kind-accounts: verplicht, ingevuld door de ouder bij de kind-uitnodiging (nodig voor de leeftijdsgebonden waarborgen uit sectie 13).
  • Leeftijdscheck bij registratie: we controleren eenmalig of je 16 of ouder bent. De ingevulde geboortedatum slaan we niet op; we bewaren alleen het moment van je 16+-verklaring.
  • Welke versie van de voorwaarden je accepteerde en wanneer (bij aanmelden of bij het activeren van een account dat je beheerder voor je maakte).

2.2 Inhoud die je zelf aanmaakt

  • Taken, subtaken, opmerkingen, taakgeschiedenis.
  • Projecten, kolommen, projectleden.
  • Documenten en bestanden in de Kluis (Vault).
  • Chatberichten en kanalen.
  • Boodschappenlijsten, voorraad, recepten, maaltijdplanning, budget en beloningen (Xion Family).
  • Het medisch dossier, end-to-end versleuteld (zie sectie 7).
  • Xion Mailing-campagnes, e-mailcontacten, sjablonen.
  • AI-gesprekken met de Xion-assistent.

2.3 Technische gegevens

  • IP-adres en user-agent (bij login-sessies, toegang tot de Kluis en het medisch dossier, geweigerde verzoeken en downloads van je gegevens).
  • Sessie-token en device-fingerprint (om je ingelogd te houden en verdachte logins te detecteren).
  • Inlogpogingen (rate-limiting: 5 pogingen per 15 minuten per IP).
  • Audit-trail voor Kluis-toegang (wie heeft welk bestand wanneer geopend).
  • Plaatjes van buiten Xion (GIF's van GIPHY in de chat, productfoto's van Open Food Facts, winkellogo's via Google) haalt onze server voor je op. Die partijen zien dus alleen onze server, niet jouw IP-adres. Een andere link naar een plaatje in de chat laden we niet vanzelf.

2.4 Beveiliging en 2FA

  • TOTP-secret voor authenticator-apps (Google Authenticator en vergelijkbaar).
  • Backup-codes (SHA-256 gehasht, niet leesbaar voor ons).
  • Passkeys en WebAuthn: publieke sleutel en credential-ID, geen privesleutel.
  • Wachtwoord-reset-tokens (gehasht, 1 uur geldig).

2.5 Betaalgegevens (alleen bij betaald abonnement)

  • Naam, bedrijfsnaam, adres, postcode, woonplaats, land, BTW- en KVK-nummer.
  • Mollie customer-ID, subscription-ID, mandaat-ID, betaal-ID.
  • Facturen (factuurnummer, bedrag, BTW, PDF).
  • We slaan zelf nooit creditcard-, IBAN- of pasgegevens op. Die blijven volledig bij Mollie.
  • Bij het afrekenen: dat je akkoord ging met de voorwaarden en vroeg om meteen te beginnen, met de versie en het tijdstip.
  • Als je herroept (/herroepen): je naam, het e-mailadres voor de bevestiging, welke overeenkomst, het tijdstip en het bedrag dat terugging. Geen IP-adres.

2.6 Koppelingen met andere diensten (optioneel)

Google, als je die koppelt:

  • Versleutelde Google access- en refresh-tokens.
  • Google-ID, e-mailadres, naam, profielfoto.
  • Calendar-sync-status en laatste sync-tijdstip.

Microsoft, als je ermee inlogt of het in de Hub koppelt:

  • Je vaste Microsoft-kenmerk (object-id en tenant-id) en het e-mailadres van dat account. Op dat kenmerk herkennen we je, niet op je e-mailadres.
  • Alleen als je OneDrive aanzet: versleutelde access- en refresh-tokens, en per document waar het in je OneDrive staat.
  • Met OneDrive aan zet Xion een kopie van je uploads in je eigen OneDrive, in de map Xion. Andere bestanden in je OneDrive lezen we niet.

Slack, als een beheerder van je werkruimte die koppelt:

  • De naam en het id van de Slack-omgeving, en een versleuteld token waarmee Xion daar berichten plaatst.
  • Welke Slack-gebruiker bij welk Xion-account hoort. Dat leg je zelf vast door in te loggen op Xion; we koppelen nooit op e-mailadres.
  • Welk Slack-kanaal welk project volgt, en waarvoor (nieuwe taak, afgerond, reactie, verlopen deadline).
  • Berichten uit Slack lezen of bewaren we niet. Maak je met "Maak Xion-taak" een taak van een bericht, dan wordt de tekst die je zelf in het venster laat staan een taak in Xion, met een link terug naar het bericht.

Een agenda-link of de afvalkalender, als je die toevoegt:

  • De link die je plakt (van Google, iCloud of je gemeente) of het .ics-bestand dat je neerzet, en de afspraken daaruit. Zo'n link geeft toegang tot die agenda en bevat bij een afvalkalender vaak je postcode en huisnummer. Hij gaat daarom nooit terug naar de browser (je ziet alleen het domein) en komt nooit in een logregel.
  • Een link halen we elk half uur opnieuw op. Dat doet onze server, dus de agenda ziet alleen onze server.
  • Bij de afvalkalender ook: of het een herinnering of een klusje wordt, wie om de beurt de container buiten zet, hoeveel punten dat oplevert, en per ophaaldag wat Xion maakte. Heeft wie hem buiten zet Google Agenda aan, dan komt de herinnering ("Container buiten zetten" met het soort afval) ook in die Google Agenda.

Siri via Apple Opdrachten, als je een Siri-sleutel maakt op de boodschappenpagina:

  • De sleutel, alleen als hash (wij kunnen hem niet teruglezen), de naam van je telefoon als je die invult, wanneer hij voor het laatst gebruikt is en vanaf welk IP-adres.
  • Wat je tegen Siri zegt, komt bij ons binnen als tekst en wordt een product op je boodschappenlijst. Je stem verwerkt Apple; die krijgen wij niet. In ons logboek staat alleen hoeveel producten erbij kwamen, nooit welke.
  • De sleutel kan alleen iets op de boodschappenlijst zetten. Je trekt hem in op de boodschappenpagina of in de Hub, onder Koppelingen.

2.7 E-mail en logs

  • Mail-log: ontvanger, onderwerp, sjabloon, succes/fout (om bezorgproblemen te kunnen oplossen).
  • Webhook-log: inkomende Mollie-webhooks.
  • AI-gebruik: model, tokens, kosten per AI-aanvraag.
  • Xion Mailing-tracking: openingen en kliks per ontvanger (alleen bij marketing-mails, niet bij transactionele mails).

2.8 Feedback en meldingen

Stuur je ons feedback, een idee of een melding (via "Iets melden of een idee" onder je foto), dan ontvangen wij wat je invult plus je naam en e-mailadres. Staat de schakelaar "Technische gegevens meesturen" aan (standaard), dan gaat er ook mee: de pagina waar je was (zonder de rest van het adres), een open venster en het project-id, je browser, besturingssysteem en schermmaat, de versie van Xion, of het Work of Family is, je rol en het plan, het tijdstip, en de laatste tien foutmeldingen uit je browser (hooguit 300 tekens per stuk). Je ziet dat allemaal op het scherm voordat je op Versturen drukt. Nooit de inhoud van je taken, chat, documenten of Kluis.

Het komt binnen bij feedback@ (een melding bij familie@, met voorrang) en op ons feedbackbord. Feedback en ideeën laten we eerst lezen door een AI-assistent (Claude van Anthropic) die helpt het probleem na te doen; een melding nooit. Meld je samen met de AI, dan loopt dat gesprek via Anthropic zoals in sectie 11, maar we bewaren het niet: alleen wat je verstuurt komt bij ons. Een kind meldt altijd via het formulier, zonder AI-gesprek. Om misbruik te remmen houden we één dag bij wie wanneer iets stuurde (geen IP-adres).

3. Doeleinden en rechtsgronden

DoelRechtsgrond (AVG)
Account aanmaken en je laten inloggenUitvoering overeenkomst (art. 6.1.b)
Het platform werkend houden (taken, projecten, chat, Kluis)Uitvoering overeenkomst (art. 6.1.b)
Google Calendar, Drive en Docs synchroniserenToestemming (art. 6.1.a), kan je intrekken via je profiel
Beveiliging, fraudepreventie, rate-limitingGerechtvaardigd belang (art. 6.1.f)
Betalingen verwerken en facturen versturenUitvoering overeenkomst en wettelijke verplichting (art. 6.1.b en 6.1.c)
Facturen bewaren voor de BelastingdienstWettelijke verplichting, 7 jaar (art. 6.1.c)
Mails over Xion zelf (uitlegreeks, check-in na tien dagen, verjaardag, maandbericht)Gerechtvaardigd belang (art. 6.1.f) en art. 11.7 lid 3 Telecommunicatiewet (je bent klant); afmelden via de link in elke mail
Akkoord op de voorwaarden en herroepingen vastleggenWettelijke verplichting (art. 6.1.c): consumentenrecht en de fiscale bewaarplicht
AI-assistent gebruiken voor jouw projectvragenUitvoering overeenkomst (art. 6.1.b)
Productverbetering en debuggingGerechtvaardigd belang (art. 6.1.f)

4. Google-gegevens en Limited Use

Als je inlogt met Google of de Google-integratie activeert, vragen wij toegang tot specifieke Google-services. We tonen je een Google-consent-scherm waarin je per dienst ziet wat we vragen.

4.1 Welke Google-scopes wij gebruiken

ScopeWaarvoorVerplicht?
userinfo.email en userinfo.profileInloggen via Google (je e-mail, naam en profielfoto matchen met je Xion-account)Alleen bij Google-login
calendar.eventsTaken met deadline als event in jouw Google Agenda zettenOptioneel (kerntaak van de integratie)
drive.fileGoogle Docs aanmaken en bestanden vanuit Xion in je Drive opslaan. Alleen bestanden die de app zelf aanmaakt; de rest van je Drive kunnen wij niet zienOptioneel
documentsGoogle Docs aanmaken en updaten (taakbeschrijvingen, AI-gegenereerde inhoud)Optioneel

4.2 Hoe wij Google-data opslaan

  • Access- en refresh-tokens worden met AES-256-CBC versleuteld opgeslagen.
  • De versleutelingssleutel staat in een bestand buiten de webroot, niet in onze database en niet in onze code-repository.
  • Tokens worden automatisch ververst circa 5 minuten voor ze verlopen.
  • Je kunt de koppeling op elk moment intrekken via je Xion-profiel of via jouw Google-accountinstellingen.

4.3 Hoe lang wij Google-gegevens bewaren en hoe je ze laat verwijderen

  • Wat wij van Google bewaren: je e-mailadres, naam en profielfoto (alleen bij Google-login), en de versleutelde tokens die de koppeling laten werken. Wij kopieren de inhoud van je Drive-bestanden, Documenten of Agenda niet naar onze database, behalve het ene bestand dat jij zelf importeert of het agenda-item dat jij zelf aanmaakt. De andere kant op geldt hetzelfde: een bestand dat je in Xion uploadt gaat alleen naar je Drive als jij dat zelf doet (met de knop) of als je de schakelaar "Kopie van uploads in Drive" bewust hebt aangezet. Die staat standaard uit.
  • Hoe lang: zolang de koppeling actief is. Trek je de koppeling in, dan verwijderen wij de tokens direct.
  • Bij verwijdering van je account: alle Google-tokens en gekoppelde gegevens worden verwijderd binnen 30 dagen, samen met de rest van je account (zie sectie 8 en 9).
  • Zelf intrekken: in Xion via je profiel, of bij Google via myaccount.google.com/permissions. Beide werken los van elkaar.
  • Doorgifte: wij delen Google-gebruikersgegevens met niemand. Ze gaan niet naar onze AI-leverancier, niet naar analysediensten en niet naar adverteerders.

4.4 Google API Services User Data Policy, Limited Use

Limited Use disclosure. Het gebruik door Xion van informatie die is ontvangen vanuit Google API's voldoet aan het Google API Services User Data Policy, inclusief de Limited Use-vereisten. De officiele verklaring van Google luidt:

"Xion's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements."

Concreet betekent dit:

  • We gebruiken Google-gebruikersgegevens uitsluitend voor de functionaliteit die je in Xion zelf activeert (agenda-sync, documenten aanmaken, bestanden importeren, inloggen).
  • We verkopen Google-gebruikersgegevens niet aan derden.
  • We gebruiken Google-gebruikersgegevens niet voor advertenties en niet om reclameprofielen op te bouwen.
  • We gebruiken Google-gebruikersgegevens niet om AI- of machine-learning-modellen te trainen. Inhoud die je in Xion aanmaakt kan naar Anthropic Claude worden gestuurd voor de AI-assistent (zie sectie 11), maar Google Drive-, Docs- en Calendar-data sturen wij niet naar Anthropic of een andere AI-provider.
  • Alleen Xion-medewerkers met een operationele noodzaak (bijvoorbeeld bij een supportverzoek dat je zelf indient) kunnen Google-gebruikersgegevens lezen, en alleen om jou te helpen.

5. Met wie wij gegevens delen

Xion deelt alleen gegevens met partijen die noodzakelijk zijn om de dienst te leveren. Met elk van deze partijen hebben we (of sluiten we) een verwerkersovereenkomst conform artikel 28 AVG.

VerwerkerRolVestigingslandVerwerkersovereenkomst
TransIP B.V.Hosting (VPS), e-mailbezorging, DNS, back-upsNederlandStandaard verwerkersovereenkomst van TransIP van toepassing
Google Ireland Ltd. en Google LLCOAuth-login, Calendar, Drive, Docs (alleen als je die koppelt)Ierland (EU) / VSGoogle Cloud DPA (standaard)
Anthropic PBCAI-assistent (Claude API), alleen wanneer je de assistent gebruiktVerenigde StatenAnthropic Commercial Terms en DPA
Mollie B.V.Betalingsverwerker (abonnementen, mandates, facturen)NederlandMollie DPA
Giphy Inc.GIF-zoekopdrachten in de chat. Alleen de zoekterm gaat naar GIPHY; de GIF's zelf haalt onze server op, dus GIPHY ziet je IP-adres nietVerenigde StatenNiet vereist, er gaan geen persoonsgegevens naartoe
Open Food FactsProductgegevens bij een gescande barcode in de voorraad. Alleen de barcode, via onze serverFrankrijk (EU)Niet vereist, er gaan geen persoonsgegevens naartoe
Umami Software, Inc.Bezoekersstatistiek op de publieke pagina's (cookieloos, geen profielen)Amerikaans bedrijf, opslag in de EU-regioUmami DPA
Microsoft Ireland Operations Ltd.Inloggen met Microsoft, en OneDrive als je dat aanzet (een kopie van je uploads in je eigen OneDrive)Ierland (EU) / VSNiet van ons: je Microsoft-account valt onder je eigen afspraken met Microsoft. Xion zet er alleen neer wat jij aanzet
Slack (Slack Technologies, onderdeel van Salesforce)Alleen als je werkruimte Slack koppelt: taaktitel, projectnaam, kolom, deadline en voornamen gaan naar de Slack-kanalen die jullie zelf kiezenIerland (EU) / VSNiet van ons: jullie Slack-omgeving valt onder jullie eigen afspraken met Slack. Xion plaatst er alleen wat jullie instellen

We verkopen nooit persoonsgegevens. We delen geen gegevens met advertentienetwerken, data-brokers of marketingplatforms. We gebruiken geen advertentie-analytics zoals Google Analytics of Facebook Pixel, en we volgen je niet over andere websites heen.

Wel meten we sinds augustus 2026 hoeveel mensen onze publieke pagina's bezoeken, met Umami. Dat werkt zonder cookies en zonder profielen: we zien aantallen per pagina, het land en het type apparaat, niet wie je bent. Op pagina's waar een geheim in het adres kan staan (een uitnodigingslink, een kortingscode, een wachtwoord-herstellink) staat de meting bewust uit, zodat die codes de site niet verlaten. In het ingelogde gedeelte, je dashboard en je kluis, meten we helemaal niets.

6. Internationale doorgifte

Onze servers staan in Nederland (TransIP). Voor sommige diensten worden gegevens verwerkt buiten de Europese Economische Ruimte:

  • Google kan data verwerken in de Verenigde Staten. Google is gecertificeerd onder het EU-US Data Privacy Framework.
  • Anthropic verwerkt AI-aanvragen in de Verenigde Staten. Doorgifte gebeurt op basis van EU-modelcontractbepalingen (Standard Contractual Clauses, SCC's).
  • Giphy verwerkt zoektermen in de Verenigde Staten.
  • Umami slaat de bezoekcijfers op in de EU-regio, dus binnen de Europese Economische Ruimte. Umami Software, Inc. is wel een Amerikaans bedrijf; doorgifte gebeurt op basis van EU-modelcontractbepalingen (SCC's). Het gaat alleen om geaggregeerde bezoekcijfers van de publieke pagina's, niet om accountgegevens of kluisinhoud.

7. Beveiliging en versleuteling

We nemen technische en organisatorische maatregelen om jouw gegevens te beschermen:

  • HTTPS en TLS overal afgedwongen, met HSTS-header.
  • Wachtwoorden opgeslagen met bcrypt, wij kunnen jouw wachtwoord nooit teruglezen.
  • Je persoonlijke kluis is end-to-end versleuteld (AES-256-GCM, in jouw browser). De sleutel wordt afgeleid uit je wachtwoord én je Xion Key en verlaat je apparaat nooit: wij kunnen de inhoud niet openen, ook niet met databasetoegang, en ook niet op verzoek. Wij bewaren alleen de versleutelde sleutel en de bijbehorende publieke zoutwaarden. Raak je zowel je wachtwoord als je Xion Key kwijt, dan zijn die bestanden definitief onleesbaar; er is geen achterdeur. Bestanden van vóór augustus 2026 zijn nog met een serversleutel versleuteld: tot 11 november 2026 kun je ze omzetten in je kluis, daarna zijn ze vergrendeld en op 25 november 2026 verwijderen we wat niet is omgezet.
  • De Xion Key is daarnaast je reddingslijn: vergeet je je wachtwoord, dan kun je met die code een nieuw wachtwoord instellen zonder je bestanden te verliezen. Dat betekent ook dat wie die code heeft je kluis kan openen. Bewaar hem daarom buiten Xion, in een wachtwoordmanager of op papier, en nooit in je mailbox. Wij mailen hem nooit en slaan hem nergens op.
  • Bestanden in een project- of gedeelde kluis zijn versleuteld met AES-256-CBC voordat ze op disk landen, met een sleutel op de server. Die zijn dus niet end-to-end versleuteld: dat kan niet, omdat meerdere mensen erbij moeten kunnen.
  • Het medisch dossier is end-to-end versleuteld (AES-256-GCM, in jouw browser): wij kunnen de medische inhoud nooit inzien, ook niet bij databasetoegang. Niet versleuteld zijn de bijbehorende metadata die we functioneel nodig hebben: de naam en het e-mailadres van een noodcontact (voor de uitnodiging), en de toegangslogs (tijdstip, IP-adres); die logs worden na 12 maanden automatisch gewist.
  • Google-tokens versleuteld met AES-256-CBC, sleutel buiten de webroot.
  • CSRF-bescherming op alle wijzigingsverzoeken.
  • Rate-limiting op login (5 pogingen per 15 minuten per IP).
  • Strikte sessie-cookies: HttpOnly, Secure, SameSite=Lax, 2 uur geldig.
  • Workspace-isolatie in elke database-query, gegevens van andere workspaces zijn nooit zichtbaar.
  • 2FA en passkeys beschikbaar (TOTP en WebAuthn).
  • Back-ups: elke nacht maken we een back-up van de database, versleuteld (libsodium, XChaCha20-Poly1305) voordat hij op de schijf blijft staan, op onze server in Nederland. We bewaren er 14; oudere worden automatisch verwijderd.
  • Beveiligingsincidenten: bij een datalek met risico voor jou stellen we je binnen 72 uur op de hoogte, conform art. 33-34 AVG.

8. Bewaartermijnen

CategorieBewaartermijn
Actief account (profiel, inhoud)Tot je je account verwijdert
Verwijderd accountJe profiel, je eigen inhoud, sessies, logs en je privéberichten verdwijnen meteen. Wat je in een werkruimte met anderen maakte (taken, berichten in een kanaal) blijft daar voor de groep staan, zonder je naam. Facturen, abonnementshistorie en herroepingen bewaren we 7 jaar (fiscale bewaarplicht), ondertekende contracten zolang ze juridisch nodig zijn.
Kluis-prullenbak30 dagen, daarna handmatig leeg te maken
Sessies (user_sessions)30 dagen na laatste activiteit, daarna automatisch opgeruimd
Inlogpogingen (login_attempts, IP-adres)1 dag, en meteen bij een geslaagde login of wachtwoord-reset
Wachtwoord-reset-tokens1 uur geldig, een dag later opgeruimd
2FA-pending challenges10 minuten geldig
Account-verwijdercode15 minuten geldig
Google access-tokensTot je de koppeling intrekt of je account verwijdert
Mail-log12 maanden
Webhook-log (Mollie)24 maanden
AI-gebruikslog24 maanden
Geweigerde verzoeken (wie, welke actie, IP-adres)90 dagen, daarna automatisch opgeruimd
Bestanden in de chatZolang het bericht bestaat. Verwijder je het bericht of het kanaal, dan gaat het bestand mee. Bij het verwijderen van je account verdwijnen de bestanden uit je privéberichten; bestanden in een kanaal blijven voor de groep staan, net als de berichten (zonder je naam). Een bestand is alleen te openen na inloggen, door wie het gesprek mag zien.
Statusbericht, emoji en eindmomentTot het eindmoment dat je kiest (of tot je het zelf wist), daarna 's nachts automatisch opgeruimd
Rem op feedback en meldingen (wie, soort, tijd)1 dag, daarna automatisch opgeruimd
Downloads van je gegevens (wanneer, IP-adres)90 dagen, daarna automatisch opgeruimd. De ZIP zelf staat hooguit 30 minuten klaar
Taakgeschiedenis (task_history)Levenslang met de taak, verwijderd zodra de taak of het project verwijderd wordt
Toegangslog van de Kluis en herstelpogingen (wie, wanneer, IP-adres)24 maanden
Toegangslog van het medisch dossier (tijdstip, IP-adres)12 maanden
Akkoord op de voorwaardenZolang je account bestaat; bij een betaald abonnement 7 jaar, samen met dat abonnement
Herroepingen7 jaar (er hoort een terugbetaling en een creditfactuur bij)
Microsoft-koppeling (kenmerk, e-mailadres, tokens)Tot je loskoppelt in de Hub, of met je account. Wat al in je OneDrive staat, blijft daar staan: dat is van jou
Slack-koppeling (omgeving, token, gekoppelde gebruikers, gevolgde kanalen)Tot een beheerder loskoppelt in de Hub of de app in Slack verwijdert, en met de werkruimte of je account. Een koppelcode werkt tien minuten en is na een dag weg; welke verlopen deadline al gemeld is, bewaren we 30 dagen
Agenda-links en de afvalkalender (link, afspraken, wie om de beurt gaat)Tot je de agenda of de afvalkalender weghaalt, en met de werkruimte. De klusjes die Xion maakte, blijven als gewone klusjes staan; een gemist klusje van een voorbije ophaaldag ruimt Xion zelf op
Siri-sleutel (hash, telefoonnaam, laatst gebruikt)Tot je hem intrekt, hooguit een jaar. Een ingetrokken of verlopen sleutel is na 90 dagen weg
Back-ups van de database14 dagen, versleuteld
Xion Mailing-tracking (open en click met IP/UA)12 maanden
Facturen7 jaar (wettelijke bewaarplicht Belastingdienst)
Server-logs (onze foutlogs, webserver access log)30 dagen; onze eigen logbestanden snoeien we elke nacht

Wat er gebeurt als je je account verwijdert. Verwijder je je account (zelf via de Gevarenzone of op verzoek per e-mail), dan wissen we meteen wat van jou is: je profiel, je bestanden, je privéberichten, je AI-gesprekken, je sessies, logs en kluis-audit. Wat je deelde met een werkruimte waar anderen in zitten, zoals een taak of een bericht in een kanaal, blijft voor die groep staan, maar zonder je naam. Facturen, je abonnementshistorie en herroepingen bewaren we 7 jaar, omdat de wet dat eist. Voor verwijdering hoef je geen reden op te geven en wij vragen daar niet om.

9. Jouw AVG-rechten

Onder de AVG heb je de volgende rechten:

  • Recht op inzage (art. 15): opvragen welke gegevens we van je hebben.
  • Recht op rectificatie (art. 16): onjuiste gegevens laten corrigeren (kan grotendeels zelf via je profiel).
  • Recht op verwijdering (art. 17): Hub → Beveiliging → Gevarenzone → "Verwijder mijn account". Je krijgt een 6-cijferige bevestigingscode per e-mail. Na bevestiging wordt je account meteen verwijderd, zoals beschreven in sectie 8. Facturen, abonnementshistorie en herroepingen blijven 7 jaar staan vanwege de wettelijke bewaarplicht.
  • Recht op beperking (art. 18): verwerking pauzeren in geschilsituaties.
  • Recht op dataportabiliteit (art. 20): Hub → Account → Je gegevens → "Download als ZIP" levert één ZIP met leesbare bestanden (CSV en JSON): je profiel, per omgeving je taken, reacties, documenten en chatberichten, je privéberichten en je eigen uploads buiten de kluis (samen tot 200 MB). Je bevestigt eerst dat jij het bent, en je kunt één keer per dag downloaden.
  • Recht van bezwaar (art. 21): tegen verwerking op basis van gerechtvaardigd belang. Mails over Xion zelf stop je met de afmeldlink onderaan zo'n mail.
  • Recht om toestemming in te trekken (art. 7 lid 3): bijvoorbeeld de Google-koppeling of de AI-assistent.
  • Klacht indienen bij de Autoriteit Persoonsgegevens als je vindt dat we ons niet aan de AVG houden.

Verzoeken kun je sturen naar info@xion-projecten.nl. We reageren binnen 30 dagen. We kunnen om aanvullende identificatie vragen om misbruik van rechten van derden te voorkomen.

Wat de download niet bevat. Je kluis en je medisch dossier zijn end-to-end versleuteld: alleen jij hebt de sleutel, dus wij kunnen ze niet inpakken. Die download je in de kluis zelf en via de noodkaart in Medisch. AI-gesprekken, beloningen, logboeken en Xion Mailing leveren we op verzoek binnen 30 dagen. De README in de ZIP noemt per onderdeel waarom het er wel of niet in zit.

10. Cookies en tracking

Xion gebruikt alleen cookies die nodig zijn om in te loggen en veilig te werken, en geen enkele tracking- of advertentiecookie. Daarom vraagt de cookiemelding op de publieke pagina's ook geen toestemming: er valt niets te kiezen. Ze vertelt alleen wat we gebruiken.

10.1 Functionele cookies (strikt noodzakelijk)

NaamDoelDuurType
PHPSESSIDHoudt je ingelogde sessie vast (CSRF-token, gebruikers-ID, workspace-ID, rol)2 uurHttpOnly, Secure, SameSite=Lax
xion_remember"Ingelogd blijven": logt je stil opnieuw in als je sessie is verlopen. Alleen gezet als je het vinkje bij het inloggen aan laat staan; het geheim staat uitsluitend gehasht in onze database en wisselt bij elk gebruik. Verdwijnt bij uitloggen of wachtwoordwijziging.180 dagenHttpOnly, Secure, SameSite=Lax
xion_langOnthoudt je taalkeuze (Nederlands of Engels) voor de website1 jaarHttpOnly, Secure, SameSite=Lax
xion_deviceHerkent je apparaat om verdachte inlogpogingen te detecteren (beveiliging)30 dagenHttpOnly, Secure, SameSite=Lax
xion_kdOnthoudt dat je op dit apparaat eerder bent ingelogd, zodat we je alleen mailen bij een aanmelding op een apparaat dat we niet kennen (beveiliging)1 jaarHttpOnly, Secure, SameSite=Lax

Voor strikt noodzakelijke cookies hebben we volgens artikel 11.7a van de Telecommunicatiewet geen toestemming nodig, ze zijn essentieel om de dienst te laten werken.

10.2 Lokale opslag in je browser (geen cookies)

Voor jouw gemak slaan we voorkeuren op in localStorage. Dit zijn geen cookies en deze gegevens worden niet naar onze server gestuurd:

  • xion-public-theme: gekozen kleurthema op de publieke site. De weergave van de app bewaren we bij je account; oude sleutels zoals xion-theme en xion-hub-theme ruimt Xion zelf op.
  • xion-last-project, xion-last-view: laatst geopende project en weergave.
  • xion_vault_view, xion_doc_view, xion_kanban_mobile_view, xion_mytasks_view: voorkeur grid of lijst.
  • bdp-last-list-*, xion_fav_store_*, xion_route_sort_*: boodschappenlijst-voorkeuren.
  • xion_brand_settings: branding-instellingen voor broadcast.
  • LS_PROJECTS, LS_PERSONS, LS_ONLY_MINE, LS_SHOW_UNASSIGNED: agendafilters.
  • hub_active_tab, hub_seen_changelog_version: hub-state.
  • xion-cookie-consent, xion-cookie-lang: dat je de cookiemelding zag, en in welke taal.

Je kunt deze waarden op elk moment wissen via de instellingen van je browser.

10.3 Third-party verzoeken

  • Lettertypen en iconen komen sinds 24 september 2026 van onze eigen server, niet meer van Google Fonts. Google ziet dus niet meer wie Xion bezoekt.
  • GIF's, productfoto's en winkellogo's halen we via onze eigen server op (zie 2.3).
  • Umami (cloud.umami.is): bezoekersstatistiek op de publieke pagina's. Plaatst geen cookies en leest niets uit je apparaat, dus je hoeft hier niets voor toe te staan. Umami ziet de bezochte pagina, de verwijzende site en je IP-adres om het land te bepalen; dat IP wordt niet opgeslagen. Niet actief in het ingelogde gedeelte en niet op pagina's met een code in het adres.
  • Geen Google Analytics, geen Tag Manager, geen Facebook Pixel, geen advertentienetwerken.

11. AI-assistent (Claude)

Xion biedt een ingebouwde AI-assistent die draait op Anthropic Claude. Wanneer je de assistent gebruikt, wordt de volgende informatie naar Anthropic gestuurd:

  • Je vraag aan de assistent.
  • Relevante context van het project waar je in werkt (taaktitels, beschrijvingen, kolommen, deadlines).
  • Resultaten van eerdere tool-aanroepen binnen hetzelfde gesprek.

Wat we niet doorsturen: bestandsinhoud uit de Kluis, Google Drive- of Calendar-data, wachtwoorden, betaalgegevens, of inhoud van andere workspaces.

Anthropic verwerkt aanvragen in de Verenigde Staten. Onder de zakelijke voorwaarden van Anthropic worden API-aanvragen niet gebruikt om hun modellen te trainen. Anthropic bewaart aanvragen maximaal 30 dagen voor misbruikdetectie, daarna worden ze verwijderd.

Je kunt de assistent gewoon links laten liggen, hij start nooit vanzelf. Voor kind-accounts gelden extra waarborgen: de AI staat standaard uit en gaat alleen aan als een ouder dat per kind instelt. Staat hij aan, dan draait de assistent in jeugdmodus (eenvoudige taal, alleen hulp bij taken, school en gezin, en doorverwijzing naar de ouders bij gevoelige onderwerpen), is er geen agent-keuze en staat web zoeken tot de 16e verjaardag altijd uit. Ouders kunnen de AI-gesprekken van hun kind teruglezen via de Hub (alleen lezen, geen export); het kind ziet dat ook als vaste regel in de chat.

12. Browser-extensie (Xion Quick Capture)

Xion Quick Capture is onze optionele browser-extensie (Chrome/Edge) waarmee je vanaf elke webpagina taken toevoegt aan je eigen Xion-account. De extensie is zo gebouwd dat hij zo min mogelijk gegevens verwerkt:

  • Geen wachtwoord in de extensie. Je logt in via een koppelflow op xion-projecten.nl zelf (inclusief tweestapsverificatie of Google-login) en bevestigt de koppeling daar. De extensie ontvangt alleen een toegangstoken.
  • Toegangstoken. Het token is 90 dagen geldig, wordt versleuteld (gehasht) opgeslagen in onze database en lokaal bewaard in de opslag van je browser. Bij elke nieuwe koppeling ontvang je een bevestigingsmail. Ontkoppelen kan altijd door in de extensie uit te loggen; bij verwijdering van je account worden alle extensie-tokens direct gewist.
  • Pagina-inhoud alleen op jouw initiatief. De extensie leest de titel, URL of geselecteerde tekst van een webpagina uitsluitend wanneer jij daar expliciet om vraagt (via de knop, het rechtermuisklikmenu of de sneltoets). Er draait geen script mee op de pagina's die je bezoekt.
  • Alleen communicatie met Xion. De extensie praat uitsluitend met xion-projecten.nl. Er zijn geen advertenties, geen tracking en geen datadeling met derden. Wat je vastlegt, valt onder dezelfde bewaartermijnen en AVG-rechten als de rest van je Xion-data.
  • Kluis blijft buiten bereik. De extensie heeft geen toegang tot je Kluis, wachtwoorden of betaalgegevens.

13. Xion Family en minderjarigen

Xion hanteert de Nederlandse digitale toestemmingsleeftijd van 16 jaar (art. 8 AVG). Onder de 16 kun je geen eigen Xion-account aanmaken: bij registratie controleren we eenmalig je geboortedatum, zonder die op te slaan. Kinderen gebruiken Xion via een beheerd kind-account binnen Xion Family, aangemaakt via een kind-uitnodiging van een ouder of verzorger. Uitleg voor kinderen en ouders staat op xion-projecten.nl/voor-ouders.

  • Alleen een gezinshoofd kan een kind-uitnodiging versturen. De geboortedatum van het kind is verplicht (jonger dan 16) en wordt bij het account bewaard voor de leeftijdsgebonden waarborgen hieronder.
  • Met de uitnodiging geeft de ouder of voogd toestemming voor de verwerking van de gegevens van het kind (art. 8 AVG). Het kind ziet bij het accepteren duidelijk wat een beheerd kind-account inhoudt en stemt daarmee in.
  • Een bestaand account kan niet worden omgezet naar een kind-account; kind-accounts ontstaan uitsluitend via de kind-uitnodiging.
  • De AI-assistent staat voor kind-accounts standaard uit. Een ouder kan hem per kind aanzetten; hij draait dan in jeugdmodus en web zoeken blijft tot de 16e verjaardag altijd uit (zie sectie 11).
  • Ook chatten, projecten aanmaken, taken verwijderen en leden uitnodigen staan standaard uit. De ouder beheert deze permissies per kind en kan het kind-account op elk moment verwijderen.
  • Documenten in mappen met de naam medisch, paspoort, BSN of zorg krijgen automatisch zichtbaarheid parents_only en zijn voor kind-accounts onzichtbaar.
  • Ouders kunnen de AI-gesprekken van hun kind teruglezen via de Hub (alleen lezen, geen export). Daar zijn we transparant over: het kind ziet dit als vaste regel in de chat.
  • Een gezinshoofd kan het kluiswachtwoord van een kind onder de 16 opnieuw instellen, bijvoorbeeld als het kind het vergeten is. Daarvoor is de Xion Key van het kind nodig; die hebben wij niet en kunnen we niet leveren. Elke reset wordt vastgelegd (wie, wanneer) en het kind krijgt er altijd bericht van per mail. Vanaf de 16e verjaardag vervalt dit recht.
  • Vanaf de 16e verjaardag heeft de jongere recht op eigen beheer van het account. Dertig dagen vooraf krijgt de ouder daar mail over; op de verjaardag zelf het kind. De ouder kan het account daarna binnen 14 dagen zelf overdragen via Gezinsleden; gebeurt dat niet, dan draagt Xion het automatisch over. Bij de overdracht stoppen meelezen, de ouderlijke toegang tot het medisch dossier en het recht om het kluiswachtwoord te resetten, en kan de jongere de geboortedatum aanpassen of laten verwijderen via de accountinstellingen.
  • Accounts van kinderen onder de 16 die buiten de gezinsflow om zijn aangemaakt, worden bij ontdekking omgezet naar een beheerd kind-account of gesloten.

14. E-mail

14.1 Dienstberichten

Mails voor wachtwoord-resets, account-bevestiging, deadline-herinneringen, 2FA en facturen worden verstuurd vanaf noreply@xion-projecten.nl. Deze mails bevatten geen tracking-pixels en geen click-tracking. We loggen wel of de verzending technisch geslaagd is (in onze mail-log).

14.2 Mails over Xion zelf

Als klant krijg je af en toe een mail over Xion zelf: een reeks met uitleg over wat Xion kan, een check-in tien dagen na je aanmelding, een mail als je lang niet bent geweest, een verjaardagsmail met korting (alleen als je je geboortedatum invulde, en nooit aan kinderen) en een maandbericht. Die mails bevatten geen tracking-pixels en geen klik-tracking. Onderaan staat een afmeldlink; wie zich afmeldt, krijgt ze niet meer. We houden bij welke van deze mails je al kreeg, zodat je er geen twee keer een krijgt.

Nieuwsbrieven die jij zelf met Xion Mailing verstuurt, vallen onder de privacyverklaring op mailing.xionsoftware.nl; daar worden openingen en kliks wel gemeten (12 maanden bewaard).

14.3 E-mailinfrastructuur

Mails worden verstuurd via de SMTP/MTA van onze hostingpartner TransIP. We gebruiken geen externe mailproviders zoals SendGrid, Mailgun of Postmark.

15. Klachten en toezicht

Heb je een klacht over hoe wij met jouw gegevens omgaan? Stuur eerst een mail naar info@xion-projecten.nl, we lossen het graag samen op. Kom je er met ons niet uit, dan kun je een klacht indienen bij de Nederlandse toezichthouder:

Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag
autoriteitpersoonsgegevens.nl

16. Wijzigingen in deze verklaring

We kunnen deze privacyverklaring aanpassen wanneer we nieuwe functies introduceren, verwerkers wijzigen of de wetgeving verandert. Bij ingrijpende wijzigingen sturen we je vooraf een e-mail. Kleinere aanpassingen vermelden we hier met een nieuwe versiedatum.

Versiegeschiedenis:

  • 2.2, 1 oktober 2026, inloggen met Microsoft en OneDrive (sectie 2.6, 5 en 8). We herkennen je aan je vaste Microsoft-kenmerk, niet aan je e-mailadres. OneDrive staat standaard uit; zet je het aan, dan komt een kopie van je uploads in je eigen OneDrive. Er is niets veranderd voor wie Microsoft niet gebruikt. Ook nieuw in 2.2: agenda-links, de afvalkalender en Siri via Apple Opdrachten (sectie 2.6 en 8), met wat we daarvan bewaren en hoe lang.
  • 2.1, 1 oktober 2026, de koppeling met Slack (sectie 2.6, 5 en 8). Alleen als een beheerder van je werkruimte hem aanzet; dan gaan taaktitel, projectnaam, kolom, deadline en voornamen naar de Slack-kanalen die jullie kiezen. Er is niets veranderd voor wie Slack niet gebruikt.
  • 2.0, 24 september 2026, grote opschoning na een juridische controle. Lettertypen en iconen komen van onze eigen server, dus Google ziet niet meer wie Xion bezoekt. GIF's, productfoto's en winkellogo's gaan via onze server. De cookiemelding vraagt geen toestemming meer voor iets wat er niet is. Nieuw vastgelegd: je akkoord op de voorwaarden en een herroeping (sectie 2.5), met de bewaartermijnen erbij. Mails over Xion zelf hebben allemaal een werkende afmeldlink en houden rekening met je afmelding. Mislukte inlogpogingen bewaren we één dag, de toegangslogs van de Kluis 24 maanden, onze eigen logbestanden 30 dagen, en back-ups zijn versleuteld (14 dagen). Uitgelegd wat er bij het verwijderen van je account wel blijft staan. Sectie 14 herschreven: de oude broadcast-mails bestaan niet meer. Niets gedeeld met nieuwe partijen; Open Food Facts staat er nu bij (alleen een barcode, geen persoonsgegevens).
  • 1.10, 24 september 2026, minder toegang: Xion vraagt de Google-scope calendar.calendarlist.readonly niet meer. Wij zien dus niet langer welke agenda's je hebt; de overlay in Xion toont je hoofdagenda. Google keurde de verificatie goed voor documents en calendar.events, en deze scope zat daar niet bij. Er is niets bijgekomen.
  • 1.9, 24 september 2026, profielmenu en melden: je statusbericht kan een emoji en een eindmoment hebben, en verdwijnt daarna vanzelf. Je thema is één keuze voor je hele account in plaats van een instelling in je browser. Nieuw: iets melden samen met de AI, en welke technische gegevens een melding meestuurt als jij dat aan laat staan (sectie 2.8), met een rem die één dag bewaard blijft. Een kind meldt via het formulier. Niets gedeeld met nieuwe partijen.
  • 1.8, 24 september 2026, chat: bestanden in de chat zijn alleen nog te openen na inloggen en verdwijnen met hun bericht, kanaal of (bij privéberichten) je account; privéberichten horen voortaan bij de omgeving waarin je ze stuurt. Voor kinderen gaat GIPHY pas aan als een ouder de chat aanzet. Er is niets bijgekomen aan gegevens die wij verwerken.
  • 1.7, 23 september 2026, je gegevens downloaden: in plaats van een HTML-rapport download je nu één ZIP met leesbare bestanden, na een bevestiging dat jij het bent en hooguit één keer per dag. Daarvoor houden we bij wanneer je downloadde en vanaf welk IP-adres, 90 dagen bewaard. De ZIP zelf staat hooguit 30 minuten op onze server klaar. Niets gedeeld met nieuwe partijen.
  • 1.6, 23 september 2026, beveiliging: je krijgt een mail als er op je account wordt ingelogd vanaf een apparaat dat we niet kennen. Daarvoor is er het functionele cookie xion_kd, dat alleen onthoudt dat je op dit apparaat eerder inlogde. Plus een log van geweigerde verzoeken (wie, welke actie, IP-adres) om misbruik te herkennen, 90 dagen bewaard. Niets gedeeld met nieuwe partijen.
  • 1.5, 21 september 2026, verduidelijking: een bestand dat je in Xion uploadt gaat niet meer automatisch naar je Google Drive. Dat gebeurt alleen als je het zelf doet of de schakelaar "Kopie van uploads in Drive" aanzet (standaard uit). Er is niets bijgekomen.
  • 1.4, 17 september 2026, minder toegang: Xion vraagt de Google-scope drive.readonly niet meer. Wij kunnen dus niet langer door je Drive bladeren; alleen bestanden die Xion zelf in je Drive aanmaakt blijven bereikbaar (drive.file). Er is niets bijgekomen.
  • 1.3, 16 september 2026, verduidelijking zonder verandering in wat wij doen: nieuw onderdeel 4.3 met hoe lang wij Google-gegevens bewaren, wat er bij het verwijderen van je account gebeurt, hoe je de koppeling zelf intrekt en dat wij die gegevens met niemand delen. De pagina toont zich voortaan in de taal van je browser. Er is niets bijgekomen aan gegevens die wij verwerken, en niets gedeeld met nieuwe partijen.
  • 1.2, 28 juli 2026, meelezen live: ouders kunnen AI-gesprekken van hun kind teruglezen via de Hub (alleen lezen); vaste meelees-regel in de kind-chat; meldknop "Feedback & melden". Plus: "ingelogd blijven" (remember-cookie, 180 dagen) en inloggen met passkey.
  • 1.1, 26 juli 2026, kind-waarborgen: leeftijdspoort bij registratie (16+, datum wordt niet opgeslagen), kind-accounts alleen via kind-uitnodiging met instemmingsscherm, jeugdmodus voor de AI, web zoeken uit onder de 16, contactadres familie@xion-projecten.nl.
  • 1.0, 7 juni 2026, vervangt iubenda-verklaring met een eigen, Xion-specifieke versie.

17. Contact

Vragen over deze verklaring, een verzoek tot inzage, correctie of verwijdering, of een melding van een (vermoedelijk) datalek?

Xion Software
E-mail: info@xion-projecten.nl
Vestiging: Lelystad, Nederland
KVK: 42049375

Privacy and cookie statement

Version 2.2  |  Last updated: 1 October 2026  |  Effective date: 1 October 2026

This statement explains which personal data Xion Software processes when you use the Xion platform (xion-projecten.nl), why we do so, who we share it with, how long we keep it and what rights you have. We write this document ourselves and deliberately keep it short and concrete: no woolly legal language, but full transparency.

1. Who we are

Xion Software is responsible for the processing of your personal data (the "data controller" within the meaning of Article 4(7) GDPR).

Trade nameXion Software
Legal formSole proprietorship (eenmanszaak)
Place of establishmentLelystad, the Netherlands
Postal addressRanonkellaan 249, 8245HE Lelystad
Chamber of Commerce (KVK) number42049375
VAT numberNL005455657B75
Email (general)info@xion-projecten.nl
Email (privacy questions)info@xion-projecten.nl
Data Protection Officer (DPO)Not appointed. Xion is not required to appoint a DPO under Article 37 GDPR.

2. What data we process

We only process what is necessary to make Xion work. Below you can see, per category, what we store and why.

2.1 Account data

  • Name, email address, password (encrypted with bcrypt).
  • Profile (optional): full name, phone number, address, town, website, date of birth, bio, skills, status message (with an emoji and an end time you choose, visible to the members of your workspaces), working hours, holiday period, avatar.
  • Role within the workspace (admin/member) and family role (head of family/family member/child).
  • Preferences: theme (one choice for your whole account), language, notification settings, beta features, referral code.
  • Date of birth for child accounts: mandatory, entered by the parent when creating the child invitation (needed for the age-based safeguards in section 13).
  • Age check at registration: we verify once that you are 16 or older. The date of birth you enter is not stored; we only record the moment of your 16+ declaration.
  • Which version of the terms you accepted and when (at sign-up, or when activating an account your administrator created for you).

2.2 Content you create yourself

  • Tasks, subtasks, comments, task history.
  • Projects, columns, project members.
  • Documents and files in the Vault (Kluis).
  • Chat messages and channels.
  • Shopping lists, inventory, recipes, meal planning, budget and rewards (Xion Family).
  • The medical record, end-to-end encrypted (see section 7).
  • Xion Mailing campaigns, email contacts, templates.
  • AI conversations with the Xion assistant.

2.3 Technical data

  • IP address and user agent (for login sessions, access to the Vault and the medical record, refused requests and downloads of your data).
  • Session token and device fingerprint (to keep you logged in and to detect suspicious logins).
  • Login attempts (rate limiting: 5 attempts per 15 minutes per IP).
  • Audit trail for Vault access (who opened which file and when).
  • Images from outside Xion (GIFs from GIPHY in the chat, product photos from Open Food Facts, shop logos via Google) are fetched for you by our server. Those parties therefore only see our server, not your IP address. Any other image link in the chat is not loaded automatically.

2.4 Security and 2FA

  • TOTP secret for authenticator apps (Google Authenticator and similar).
  • Backup codes (SHA-256 hashed, not readable by us).
  • Passkeys and WebAuthn: public key and credential ID, no private key.
  • Password reset tokens (hashed, valid for 1 hour).

2.5 Payment data (only with a paid subscription)

  • Name, company name, address, postal code, town, country, VAT and KVK number.
  • Mollie customer ID, subscription ID, mandate ID, payment ID.
  • Invoices (invoice number, amount, VAT, PDF).
  • We never store credit card, IBAN or card details ourselves. These remain entirely with Mollie.
  • At checkout: that you accepted the terms and asked us to start straight away, with the version and time.
  • If you withdraw (/herroepen): your name, the email address for the confirmation, which contract, the time and the amount refunded. No IP address.

2.6 Connections with other services (optional)

Google, if you connect it:

  • Encrypted Google access and refresh tokens.
  • Google ID, email address, name, profile picture.
  • Calendar sync status and last sync timestamp.

Microsoft, if you sign in with it or connect it in the Hub:

  • Your permanent Microsoft identifier (object ID and tenant ID) and the email address of that account. We recognise you by that identifier, not by your email address.
  • Only if you turn on OneDrive: encrypted access and refresh tokens, and for each document where it is stored in your OneDrive.
  • With OneDrive on, Xion puts a copy of your uploads in your own OneDrive, in the folder Xion. We do not read other files in your OneDrive.

Slack, if an admin of your workspace connects it:

  • The name and ID of the Slack workspace, and an encrypted token that lets Xion post messages there.
  • Which Slack user belongs to which Xion account. You confirm that yourself by signing in to Xion; we never link accounts by email address.
  • Which Slack channel follows which project, and for what (new task, completed, comment, missed deadline).
  • We do not read or store messages from Slack. If you turn a message into a task with "Maak Xion-taak", the text you leave in the window becomes a task in Xion, with a link back to the message.

A calendar link or the waste collection calendar, if you add one:

  • The link you paste (from Google, iCloud or your municipality) or the .ics file you upload, and the events in it. Such a link gives access to that calendar, and for a waste calendar it often contains your postcode and house number. It therefore never goes back to the browser (you only see the domain) and never ends up in a log line.
  • We fetch a link again every half hour. Our server does that, so the calendar only sees our server.
  • For the waste calendar also: whether it becomes a reminder or a chore, who takes turns putting the bin out, how many points that earns, and for each collection day what Xion created. If the person putting the bin out has Google Calendar turned on, the reminder ("Container buiten zetten" with the type of waste) also goes into that Google Calendar.

Siri through Apple Shortcuts, if you create a Siri key on the shopping page:

  • The key, only as a hash (we cannot read it back), the name of your phone if you fill it in, when it was last used and from which IP address.
  • What you say to Siri reaches us as text and becomes a product on your shopping list. Apple processes your voice; we do not receive it. Our log only records how many products were added, never which ones.
  • The key can only add things to the shopping list. You revoke it on the shopping page or in the Hub, under Connections.

2.7 Email and logs

  • Mail log: recipient, subject, template, success/failure (to be able to resolve delivery problems).
  • Webhook log: incoming Mollie webhooks.
  • AI usage: model, tokens, cost per AI request.
  • Xion Mailing tracking: opens and clicks per recipient (only for marketing emails, not for transactional emails).

2.8 Feedback and reports

When you send us feedback, an idea or a report (via "Report something or share an idea" under your photo), we receive what you fill in plus your name and email address. If the "Include technical details" switch is on (the default), we also receive: the page you were on (without the rest of the address), an open window and the project id, your browser, operating system and screen size, the Xion version, whether it is Work or Family, your role and the plan, the time, and the last ten error messages from your browser (at most 300 characters each). You see all of this on screen before you press Send. Never the content of your tasks, chat, documents or Vault.

It arrives at feedback@ (a report at familie@, with priority) and on our feedback board. Feedback and ideas are first read by an AI assistant (Claude by Anthropic) that helps reproduce the problem; a report never is. If you report together with the AI, that conversation runs through Anthropic as described in section 11, but we do not store it: only what you send reaches us. A child always reports through the form, without an AI conversation. To curb misuse we keep a one-day record of who sent something and when (no IP address).

3. Purposes and legal bases

PurposeLegal basis (GDPR)
Creating an account and letting you log inPerformance of a contract (Article 6(1)(b))
Keeping the platform running (tasks, projects, chat, Vault)Performance of a contract (Article 6(1)(b))
Synchronising Google Calendar, Drive and DocsConsent (Article 6(1)(a)), which you can withdraw via your profile
Security, fraud prevention, rate limitingLegitimate interest (Article 6(1)(f))
Processing payments and sending invoicesPerformance of a contract and legal obligation (Article 6(1)(b) and 6(1)(c))
Keeping invoices for the Dutch Tax AdministrationLegal obligation, 7 years (Article 6(1)(c))
Emails about Xion itself (explainer series, ten-day check-in, birthday, monthly update)Legitimate interest (Article 6(1)(f)) and Article 11.7(3) of the Dutch Telecommunications Act (you are a customer); unsubscribe via the link in every email
Recording acceptance of the terms and withdrawalsLegal obligation (Article 6(1)(c)): consumer law and tax record-keeping
Using the AI assistant for your project questionsPerformance of a contract (Article 6(1)(b))
Product improvement and debuggingLegitimate interest (Article 6(1)(f))

4. Google data and Limited Use

If you log in with Google or activate the Google integration, we request access to specific Google services. We show you a Google consent screen where you can see, per service, what we are requesting.

4.1 Which Google scopes we use

ScopeWhat forRequired?
userinfo.email and userinfo.profileLogging in with Google (matching your email, name and profile picture to your Xion account)Only with Google login
calendar.eventsAdding tasks with a deadline as an event in your Google CalendarOptional (core function of the integration)
drive.fileCreating Google Docs and saving files from Xion to your Drive. Only files the app creates itself; we cannot see the rest of your DriveOptional
documentsCreating and updating Google Docs (task descriptions, AI-generated content)Optional

4.2 How we store Google data

  • Access and refresh tokens are stored encrypted with AES-256-CBC.
  • The encryption key is stored in a file outside the webroot, not in our database and not in our code repository.
  • Tokens are automatically refreshed approximately 5 minutes before they expire.
  • You can revoke the connection at any time via your Xion profile or via your Google account settings.

4.3 How long we keep Google data and how you have it deleted

  • What we keep from Google: your email address, name and profile picture (only when you log in with Google), and the encrypted tokens that keep the connection working. We do not copy the contents of your Drive files, Documents or Calendar into our database, apart from the single file you import yourself or the calendar event you create yourself. The same applies the other way round: a file you upload to Xion only goes to your Drive if you send it yourself (with the button) or have deliberately turned on the "Copy of uploads in Drive" switch. That switch is off by default.
  • For how long: for as long as the connection is active. If you revoke the connection, we delete the tokens immediately.
  • If you delete your account: all Google tokens and linked data are deleted within 30 days, together with the rest of your account (see sections 8 and 9).
  • Revoking it yourself: in Xion through your profile, or at Google through myaccount.google.com/permissions. Both work independently of each other.
  • Sharing: we share Google user data with nobody. It is not sent to our AI provider, not to analytics services and not to advertisers.

4.4 Google API Services User Data Policy, Limited Use

Limited Use disclosure. Xion's use of information received from Google APIs complies with the Google API Services User Data Policy, including the Limited Use requirements. The official Google disclosure reads:

"Xion's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements."

In concrete terms this means:

  • We use Google user data solely for the functionality you activate in Xion yourself (calendar sync, creating documents, importing files, logging in).
  • We do not sell Google user data to third parties.
  • We do not use Google user data for advertising and not to build advertising profiles.
  • We do not use Google user data to train AI or machine learning models. Content you create in Xion may be sent to Anthropic Claude for the AI assistant (see section 11), but we do not send Google Drive, Docs or Calendar data to Anthropic or any other AI provider.
  • Only Xion staff with an operational need (for example, in response to a support request you submit yourself) can read Google user data, and only to help you.

5. Who we share data with

Xion only shares data with parties that are necessary to deliver the service. With each of these parties we have (or are concluding) a data processing agreement in accordance with Article 28 GDPR.

ProcessorRoleCountry of establishmentData processing agreement
TransIP B.V.Hosting (VPS), email delivery, DNS, backupsThe NetherlandsTransIP's standard data processing agreement applies
Google Ireland Ltd. and Google LLCOAuth login, Calendar, Drive, Docs (only if you connect them)Ireland (EU) / USAGoogle Cloud DPA (standard)
Anthropic PBCAI assistant (Claude API), only when you use the assistantUnited StatesAnthropic Commercial Terms and DPA
Mollie B.V.Payment processor (subscriptions, mandates, invoices)The NetherlandsMollie DPA
Giphy Inc.GIF searches in the chat. Only the search term goes to GIPHY; the GIFs themselves are fetched by our server, so GIPHY does not see your IP addressUnited StatesNot required, no personal data is sent
Open Food FactsProduct details for a scanned barcode in the inventory. Only the barcode, via our serverFrance (EU)Not required, no personal data is sent
Umami Software, Inc.Visitor statistics on the public pages (cookieless, no profiling)US company, data stored in the EU regionUmami DPA
Microsoft Ireland Operations Ltd.Sign in with Microsoft, and OneDrive if you turn it on (a copy of your uploads in your own OneDrive)Ireland (EU) / USNot ours: your Microsoft account falls under your own agreement with Microsoft. Xion only stores there what you turn on
Slack (Slack Technologies, part of Salesforce)Only if your workspace connects Slack: task title, project name, column, deadline and first names go to the Slack channels you choose yourselvesIreland (EU) / USNot ours: your Slack workspace falls under your own agreement with Slack. Xion only posts what you set up

We never sell personal data. We do not share data with advertising networks, data brokers or marketing platforms. We do not use advertising analytics such as Google Analytics or Facebook Pixel, and we do not track you across other websites.

We do measure how many people visit our public pages, using Umami, since August 2026. It works without cookies and without profiles: we see counts per page, the country and the device type, not who you are. On pages where the address may contain a secret (an invitation link, a discount code, a password reset link) the measurement is deliberately switched off, so those codes never leave the site. In the logged-in area, your dashboard and your vault, we measure nothing at all.

6. International transfers

Our servers are located in the Netherlands (TransIP). For some services, data is processed outside the European Economic Area:

  • Google may process data in the United States. Google is certified under the EU-US Data Privacy Framework.
  • Anthropic processes AI requests in the United States. Transfers take place on the basis of EU Standard Contractual Clauses (SCCs).
  • Giphy processes search terms in the United States.
  • Umami stores the visitor statistics in the EU region, so within the European Economic Area. Umami Software, Inc. is a US company; transfers take place on the basis of EU Standard Contractual Clauses (SCCs). This concerns only aggregated visitor counts for the public pages, not account data or vault contents.

7. Security and encryption

We take technical and organisational measures to protect your data:

  • HTTPS and TLS enforced everywhere, with an HSTS header.
  • Passwords stored with bcrypt, we can never read your password back.
  • Your personal vault is end-to-end encrypted (AES-256-GCM in your browser); we cannot open its contents. Files uploaded before August 2026 still use a server-side key until 11 November 2026; after that they are locked, and on 25 November 2026 unconverted files are deleted. Shared project vault files are encrypted with AES-256-CBC before they land on disk.
  • The medical record is end-to-end encrypted (AES-256-GCM, in your browser): we can never view the medical contents, not even with database access. Not encrypted are the functionally required metadata: an emergency contact's name and email address (for the invitation), and the access logs (timestamp, IP address); those logs are automatically deleted after 12 months.
  • Google tokens encrypted with AES-256-CBC, key outside the webroot.
  • CSRF protection on all change requests.
  • Rate limiting on login (5 attempts per 15 minutes per IP).
  • Strict session cookies: HttpOnly, Secure, SameSite=Lax, valid for 2 hours.
  • Workspace isolation in every database query, data from other workspaces is never visible.
  • 2FA and passkeys available (TOTP and WebAuthn).
  • Backups: every night we back up the database, encrypted (libsodium, XChaCha20-Poly1305) before it is stored on disk, on our server in the Netherlands. We keep 14; older ones are deleted automatically.
  • Security incidents: in the event of a data breach that poses a risk to you, we will notify you within 72 hours, in accordance with Articles 33-34 GDPR.

8. Retention periods

CategoryRetention period
Active account (profile, content)Until you delete your account
Deleted accountYour profile, your own content, sessions, logs and your private messages are deleted immediately. What you created in a workspace shared with others (tasks, messages in a channel) stays there for the group, without your name. We keep invoices, subscription history and withdrawals for 7 years (tax record-keeping), and signed contracts for as long as they are legally needed.
Vault trash30 days, then to be emptied manually
Sessions (user_sessions)30 days after last activity, then cleaned up automatically
Login attempts (login_attempts, IP address)1 day, and immediately on a successful login or password reset
Password reset tokensValid for 1 hour, cleaned up a day later
2FA pending challengesValid for 10 minutes
Account deletion codeValid for 15 minutes
Google access tokensUntil you revoke the connection or delete your account
Mail log12 months
Webhook log (Mollie)24 months
AI usage log24 months
Refused requests (who, which action, IP address)90 days, then cleaned up automatically
Files in the chatAs long as the message exists. Delete the message or the channel and the file goes with it. When you delete your account, the files in your direct messages are removed; files in a channel stay for the group, like the messages (without your name). A file can only be opened after signing in, by someone who may see the conversation.
Status message, emoji and end timeUntil the end time you choose (or until you clear it), then cleaned up automatically at night
Rate limit on feedback and reports (who, type, time)1 day, then cleaned up automatically
Downloads of your data (when, IP address)90 days, then cleaned up automatically. The ZIP itself is kept ready for at most 30 minutes
Task history (task_history)Lifelong with the task, deleted as soon as the task or the project is deleted
Vault access log and recovery attempts (who, when, IP address)24 months
Medical record access log (time, IP address)12 months
Acceptance of the termsAs long as your account exists; with a paid subscription 7 years, together with that subscription
Withdrawals7 years (a refund and a credit invoice belong to it)
Microsoft connection (identifier, email address, tokens)Until you disconnect in the Hub, or together with your account. What is already in your OneDrive stays there: it is yours
Slack connection (workspace, token, linked users, followed channels)Until an admin disconnects it in the Hub or removes the app in Slack, and together with the workspace or your account. A link code works for ten minutes and is gone after a day; which missed deadline was already reported, we keep for 30 days
Calendar links and the waste calendar (link, events, who takes turns)Until you remove the calendar or the waste calendar, and together with the workspace. The chores Xion created stay as ordinary chores; a missed chore from a past collection day is cleaned up by Xion itself
Siri key (hash, phone name, last used)Until you revoke it, at most one year. A revoked or expired key is deleted after 90 days
Database backups14 days, encrypted
Xion Mailing tracking (open and click with IP/UA)12 months
Invoices7 years (statutory retention obligation, Dutch Tax Administration)
Server logs (our error logs, web server access log)30 days; we prune our own log files every night

What happens when you delete your account. When you delete your account (yourself via the Danger Zone or on request by email), we immediately erase what is yours: your profile, your files, your private messages, your AI conversations, your sessions, logs and vault audit. What you shared with a workspace that has other members, such as a task or a message in a channel, stays for that group, but without your name. We keep invoices, your subscription history and withdrawals for 7 years because the law requires it. You do not need to give a reason for deletion and we do not ask for one.

9. Your GDPR rights

Under the GDPR you have the following rights:

  • Right of access (Article 15): request which data we hold about you.
  • Right to rectification (Article 16): have incorrect data corrected (largely possible yourself via your profile).
  • Right to erasure (Article 17): Hub → Security → Danger Zone → "Delete my account". You receive a 6-digit confirmation code by email. After confirmation your account is deleted immediately, as described in section 8. Invoices, subscription history and withdrawals are kept for 7 years due to the statutory retention obligation.
  • Right to restriction (Article 18): pause processing in dispute situations.
  • Right to data portability (Article 20): Hub → Account → Your data → "Download as ZIP" delivers one ZIP with readable files (CSV and JSON): your profile, per workspace your tasks, comments, documents and chat messages, your private messages and your own uploads outside the vault (up to 200 MB in total). You first confirm it is you, and you can download once a day.
  • Right to object (Article 21): against processing based on legitimate interest. You stop emails about Xion itself with the unsubscribe link at the bottom of such an email.
  • Right to withdraw consent (Article 7(3)): for example the Google connection or the AI assistant.
  • Lodge a complaint with the Dutch Data Protection Authority (Autoriteit Persoonsgegevens) if you believe we are not complying with the GDPR.

You can send requests to info@xion-projecten.nl. We respond within 30 days. We may ask for additional identification to prevent misuse of other people's rights.

What the download does not contain. Your vault and your medical file are end-to-end encrypted: only you hold the key, so we cannot package them. You download those in the vault itself and via the emergency card in Medical. AI conversations, rewards, logs and Xion Mailing are provided on request within 30 days. The README in the ZIP says for each part why it is or is not included.

10. Cookies and tracking

Xion only uses cookies it needs to sign you in and keep things secure, and no tracking or advertising cookies whatsoever. That is why the cookie notice on the public pages does not ask for consent: there is nothing to choose. It only tells you what we use.

10.1 Functional cookies (strictly necessary)

NamePurposeDurationType
PHPSESSIDKeeps your logged-in session (CSRF token, user ID, workspace ID, role)2 hoursHttpOnly, Secure, SameSite=Lax
xion_remember"Stay signed in": silently signs you back in when your session has expired. Only set when you leave the sign-in checkbox ticked; the secret is stored hashed only and rotates on every use. Removed on sign-out or password change.180 daysHttpOnly, Secure, SameSite=Lax
xion_langRemembers your language choice (Dutch or English) for the website1 yearHttpOnly, Secure, SameSite=Lax
xion_deviceRecognises your device to detect suspicious login attempts (security)30 daysHttpOnly, Secure, SameSite=Lax
xion_kdRemembers that you signed in on this device before, so we only email you about a sign-in from a device we don't recognise (security)1 yearHttpOnly, Secure, SameSite=Lax

For strictly necessary cookies we do not need consent under Article 11.7a of the Dutch Telecommunications Act, they are essential to make the service work.

10.2 Local storage in your browser (not cookies)

For your convenience we store preferences in localStorage. These are not cookies and this data is not sent to our server:

  • xion-public-theme: chosen colour theme on the public site. The app's appearance is stored with your account; Xion removes old keys such as xion-theme and xion-hub-theme itself.
  • xion-last-project, xion-last-view: last opened project and view.
  • xion_vault_view, xion_doc_view, xion_kanban_mobile_view, xion_mytasks_view: grid or list preference.
  • bdp-last-list-*, xion_fav_store_*, xion_route_sort_*: shopping list preferences.
  • xion_brand_settings: branding settings for broadcast.
  • LS_PROJECTS, LS_PERSONS, LS_ONLY_MINE, LS_SHOW_UNASSIGNED: calendar filters.
  • hub_active_tab, hub_seen_changelog_version: hub state.
  • xion-cookie-consent, xion-cookie-lang: that you saw the cookie notice, and in which language.

You can clear these values at any time via your browser settings.

10.3 Third-party requests

  • Since 24 September 2026 fonts and icons come from our own server, no longer from Google Fonts. Google therefore no longer sees who visits Xion.
  • GIFs, product photos and shop logos are fetched through our own server (see 2.3).
  • No Google Analytics, no Tag Manager, no Facebook Pixel, no advertising networks.

11. AI assistant (Claude)

Xion offers a built-in AI assistant that runs on Anthropic Claude. When you use the assistant, the following information is sent to Anthropic:

  • Your question to the assistant.
  • Relevant context of the project you are working in (task titles, descriptions, columns, deadlines).
  • Results of earlier tool calls within the same conversation.

What we do not send: file content from the Vault, Google Drive or Calendar data, passwords, payment data, or content from other workspaces.

Anthropic processes requests in the United States. Under Anthropic's commercial terms, API requests are not used to train their models. Anthropic retains requests for a maximum of 30 days for abuse detection, after which they are deleted.

You can simply ignore the assistant, it never starts on its own. Extra safeguards apply to child accounts: the AI is off by default and is only enabled when a parent turns it on per child. When enabled, the assistant runs in youth mode (simple language, help with tasks, school and family only, and referral to the parents for sensitive topics), there is no agent selection, and web search stays off until the 16th birthday. Parents can review their child's AI conversations in the Hub (read-only, no export); the child sees this in the chat as a fixed notice as well.

12. Browser extension (Xion Quick Capture)

Xion Quick Capture is our optional browser extension (Chrome/Edge) that lets you add tasks to your own Xion account from any web page. It is built to process as little data as possible:

  • No password in the extension. You sign in through a linking flow on xion-projecten.nl itself (including two-factor authentication or Google sign-in) and confirm the link there. The extension only ever receives an access token.
  • Access token. The token is valid for 90 days, stored hashed in our database and kept locally in your browser's extension storage. Every new link triggers a confirmation email. You can unlink at any time by signing out in the extension; when you delete your account, all extension tokens are removed immediately.
  • Page content only on your initiative. The extension reads a page's title, URL or selected text only when you explicitly ask it to (via the button, the right-click menu or the keyboard shortcut). No script runs on the pages you visit.
  • Talks to Xion only. The extension communicates exclusively with xion-projecten.nl. There are no ads, no tracking and no data sharing with third parties. Anything you capture is covered by the same retention periods and GDPR rights as the rest of your Xion data.
  • The Vault stays out of reach. The extension has no access to your Vault, passwords or payment details.

13. Xion Family and minors

Xion applies the Dutch digital age of consent of 16 (Article 8 GDPR). Under 16 you cannot create your own Xion account: at registration we check your date of birth once, without storing it. Children use Xion through a managed child account within the Family Space, created via a child invitation from a parent or guardian. An explanation for children and parents is available at xion-projecten.nl/voor-ouders (Dutch).

  • Only a head of family can send a child invitation. The child's date of birth is mandatory (under 16) and is stored with the account for the age-based safeguards below.
  • With the invitation, the parent or guardian gives consent for the processing of the child's data (Article 8 GDPR). When accepting, the child clearly sees what a managed child account means and agrees to it.
  • An existing account can never be converted into a child account; child accounts are created exclusively through the child invitation.
  • The AI assistant is off by default for child accounts. A parent can enable it per child; it then runs in youth mode and web search stays off until the 16th birthday (see section 11).
  • Chat, creating projects, deleting tasks and inviting members are also off by default. The parent manages these permissions per child and can delete the child account at any time.
  • Documents in folders named medisch, paspoort, BSN or zorg automatically receive parents_only visibility and are invisible to child accounts.
  • Parents can review their child's AI conversations in the Hub (read-only, no export). We are transparent about this: the child sees it in the chat as a fixed notice.
  • From the 16th birthday, the young person is entitled to manage their own account. The parent is emailed thirty days in advance, and the child on the birthday itself. The parent can then hand over the account within 14 days via Family members; if they do not, Xion hands it over automatically. On handover, parental review and parental access to the medical record end, and the young person can change or delete their date of birth in the account settings.
  • Accounts of children under 16 created outside the family flow will be converted into a managed child account or closed upon discovery.

14. Email

14.1 Service emails

Emails for password resets, account confirmation, deadline reminders, 2FA and invoices are sent from noreply@xion-projecten.nl. These emails contain no tracking pixels and no click tracking. We do log whether the delivery technically succeeded (in our mail log).

14.2 Emails about Xion itself

As a customer you occasionally get an email about Xion itself: a series explaining what Xion can do, a check-in ten days after you sign up, an email if you haven't been around for a while, a birthday email with a discount (only if you entered your date of birth, and never to children) and a monthly update. These emails contain no tracking pixels and no click tracking. At the bottom there is an unsubscribe link; once you unsubscribe, you no longer get them. We record which of these emails you already received, so you never get one twice.

Newsletters you send yourself with Xion Mailing are covered by the privacy statement at mailing.xionsoftware.nl; opens and clicks are measured there (kept for 12 months).

14.3 Email infrastructure

Emails are sent via the SMTP/MTA of our hosting partner TransIP. We do not use external mail providers such as SendGrid, Mailgun or Postmark.

15. Complaints and supervision

Do you have a complaint about how we handle your data? First send an email to info@xion-projecten.nl, we are happy to resolve it together. If we cannot work it out together, you can lodge a complaint with the Dutch supervisory authority:

Autoriteit Persoonsgegevens (Dutch Data Protection Authority)
Postbus 93374, 2509 AJ The Hague
autoriteitpersoonsgegevens.nl

16. Changes to this statement

We may amend this privacy statement when we introduce new features, change processors or the legislation changes. For significant changes we will email you in advance. We note smaller adjustments here with a new version date.

Version history:

  • 2.2, 1 October 2026, sign in with Microsoft and OneDrive (sections 2.6, 5 and 8). We recognise you by your permanent Microsoft identifier, not by your email address. OneDrive is off by default; if you turn it on, a copy of your uploads goes to your own OneDrive. Nothing changed for anyone who does not use Microsoft. Also new in 2.2: calendar links, the waste calendar and Siri through Apple Shortcuts (sections 2.6 and 8), with what we keep and for how long.
  • 2.1, 1 October 2026, the Slack connection (sections 2.6, 5 and 8). Only if an admin of your workspace turns it on; then task title, project name, column, deadline and first names go to the Slack channels you choose. Nothing changed for anyone who does not use Slack.
  • 2.0, 24 September 2026, a major clean-up after a legal review. Fonts and icons come from our own server, so Google no longer sees who visits Xion. GIFs, product photos and shop logos go through our server. The cookie notice no longer asks consent for something that doesn't exist. Newly recorded: your acceptance of the terms and any withdrawal (section 2.5), with their retention periods. Emails about Xion itself all have a working unsubscribe link and respect your choice. We keep failed login attempts for one day, the Vault access log for 24 months, our own log files for 30 days, and backups are encrypted (14 days). Explained what remains when you delete your account. Section 14 rewritten: the old broadcast emails no longer exist. Nothing shared with new parties; Open Food Facts is now listed (only a barcode, no personal data).
  • 1.10, 24 September 2026, less access: Xion no longer requests the Google scope calendar.calendarlist.readonly. We therefore no longer see which calendars you have; the overlay in Xion shows your primary calendar. Google approved our verification for documents and calendar.events, and this scope was not part of it. Nothing was added.
  • 1.9, 24 September 2026, profile menu and reporting: your status message can have an emoji and an end time, after which it disappears on its own. Your theme is one choice for your whole account instead of a setting in your browser. New: reporting something together with the AI, and which technical details a report includes if you leave that on (section 2.8), with a rate limit kept for one day. A child reports through the form. Nothing shared with new parties.
  • 1.8, 24 September 2026, chat: files in the chat can only be opened after signing in and are removed with their message, channel or (for direct messages) your account; direct messages now belong to the workspace you send them in. For children, GIPHY only works once a parent switches chat on. No new data is processed.
  • 1.7, 23 September 2026, downloading your data: instead of an HTML report you now download one ZIP with readable files, after confirming it is you and at most once a day. For that we record when you downloaded and from which IP address, kept for 90 days. The ZIP itself is kept ready on our server for at most 30 minutes. Nothing shared with new parties.
  • 1.6, 23 September 2026, security: you get an email when someone signs in to your account from a device we don't recognise. This uses the functional cookie xion_kd, which only remembers that you signed in on this device before. Plus a log of refused requests (who, which action, IP address) to spot misuse, kept for 90 days. Nothing shared with new parties.
  • 1.5, 21 September 2026, clarification: a file you upload to Xion is no longer copied to your Google Drive automatically. That only happens if you do it yourself or turn on the "Copy of uploads in Drive" switch (off by default). Nothing was added.
  • 1.4, 17 September 2026, less access: Xion no longer requests the Google scope drive.readonly. We can therefore no longer browse your Drive; only files that Xion itself creates in your Drive remain accessible (drive.file). Nothing was added.
  • 1.3, 16 September 2026, clarification without any change to what we do: new section 4.3 covering how long we keep Google data, what happens when you delete your account, how to revoke the connection yourself, and that we share that data with nobody. The page now shows itself in your browser's language. No new data is processed and nothing is shared with new parties.
  • 1.2, 28 July 2026, parental review live: parents can read back their child's AI conversations in the Hub (read-only); fixed notice in the child chat; "Feedback & report" button. Plus: "stay signed in" (remember cookie, 180 days) and passkey sign-in.
  • 1.1, 26 July 2026, child safeguards: age gate at registration (16+, date not stored), child accounts only via child invitation with a consent screen, youth mode for the AI, web search off under 16, contact address familie@xion-projecten.nl.
  • 1.0, 7 June 2026, replaces the iubenda statement with our own, Xion-specific version.

17. Contact

Questions about this statement, a request for access, correction or deletion, or a report of a (suspected) data breach?

Xion Software
Email: info@xion-projecten.nl
Establishment: Lelystad, the Netherlands
KVK: 42049375