Privacyverklaring

1. Wie is verantwoordelijk

Deze verklaring legt uit hoe Vulsmul met persoonsgegevens omgaat. Vulsmul is een dienst van:

Er zijn twee rollen, en het hangt van de gegevens af welke geldt:

• Lovit is verwerkingsverantwoordelijke voor de gegevens van wie een account heeft (bestuursleden, beheerders, managers), voor de facturatie aan verenigingen, voor berichten via het contactformulier en voor de beveiliging van de website.
• De vereniging is verwerkingsverantwoordelijke voor de gegevens van haar evenementen: wat gasten bestellen, de naam die een gast opgeeft bij bestellen via QR-code, de gegevens van wie een voorverkoopticket koopt, en de namen van vrijwilligers en medewerkers. Lovit verwerkt die gegevens alleen in opdracht van de vereniging, als verwerker. Ben je gast of vrijwilliger, richt je dan voor vragen over je gegevens tot de vereniging die het evenement organiseert; wij helpen haar daarbij.

2. Welke gegevens, waarvoor en op welke grond

• Account — naam, e-mailadres, wachtwoord (enkel als onomkeerbare hash), rol in de vereniging, bevestiging van je e-mailadres. Om je toegang te geven en de dienst te leveren. Grond: uitvoering van de overeenkomst met de vereniging (art. 6.1.b en f AVG).
• Vereniging en facturatie — naam, webadres, facturatiegegevens, de omvang van afgesloten evenementen (omzet en aantal verkochte items) en onze facturen en betalingen. Om te factureren en onze boekhouding te voeren. Grond: overeenkomst en wettelijke verplichting (art. 6.1.b en c AVG).
• Aanvaarding van voorwaarden — welke versie je wanneer aanvaardde, met IP-adres, browser en taal. Om te kunnen aantonen wat overeengekomen is. Grond: gerechtvaardigd belang (art. 6.1.f AVG).
• Contactformulier — naam, e-mailadres, vereniging en je bericht. Om je vraag te beantwoorden. Grond: gerechtvaardigd belang.
• Opvolging nieuwe klanten — wanneer een vereniging zich aanmeldt, krijgt ons team een interne melding met de naam van de vereniging en het e-mailadres van wie ze aanmaakte, zodat we kunnen helpen bij de start. Grond: gerechtvaardigd belang.
• Beveiliging — IP-adressen, kortstondig, om misbruik te beperken (bijvoorbeeld het aantal aanmeldpogingen) en storingen op te sporen. Grond: gerechtvaardigd belang.
• E-mails — we sturen e-mails die bij de dienst horen: bevestiging van je e-mailadres, wachtwoordherstel, uitnodigingen, facturen en aankondigingen van wijzigingen. Geen nieuwsbrieven zonder je toestemming.

We verkopen geen persoonsgegevens, gebruiken ze niet voor reclame en nemen geen geautomatiseerde beslissingen over personen.

3. Hoe lang we gegevens bewaren

• Accountgegevens: zolang het account bestaat.
• Facturen en boekhoudkundige stukken: minstens 7 jaar, of langer als de fiscale wetgeving dat vereist.
• Gegevens van evenementen: volgens de verwerkersovereenkomst; gegevens van gasten standaard tot 90 dagen na het evenement, het logboek van handelingen 18 maanden.
• Berichten via het contactformulier: tot twee jaar na het laatste contact.
• Aanvaardingen van voorwaarden: zolang het account bestaat.

4. Wie de gegevens ontvangt

We schakelen een beperkt aantal dienstverleners in. Voor het draaien van Vulsmul zelf (hosting, e-mail en back-ups):

Hetzner — Hetzner Online GmbH, Gunzenhausen (DE)

Hosting van de servers, de database en de wachtrij van Vulsmul.

Datacenters in Neurenberg en Falkenstein, Duitsland (EU).

Amazon Web Services — Amazon Web Services EMEA SARL, Luxembourg (LU)

Versturen van e-mails (Amazon SES) en versleutelde back-ups van de database (Amazon S3).

Regio eu-west-1, Ierland (EU). Moederbedrijf in de Verenigde Staten — zie "Doorgifte buiten de EU".

Voor onze eigen facturatie, boekhouding en opvolging:

Mollie — Mollie B.V., Amsterdam (NL)

Opmaken en versturen van onze facturen en innen van betalingen (Mollie Invoicing, betaallinks).

EU.

Octopus — Octopus (BE)

Boekhouding: onze facturen worden er voor de boekhouding naartoe gestuurd.

België (EU).

Slack — Slack Technologies Limited, Dublin (IE)

Interne melding aan ons team wanneer een nieuwe vereniging zich aanmeldt (naam en webadres van de vereniging, e-mailadres van wie ze aanmaakte).

Kan in de Verenigde Staten verwerkt worden — zie "Doorgifte buiten de EU".

Laat een vereniging gasten online betalen, dan gebeurt dat via het eigen Mollie- of Stripe-account van de vereniging. De gast betaalt rechtstreeks op de betaalpagina van die provider, die daarvoor zelf verantwoordelijk is. Vulsmul geeft enkel het bedrag, een omschrijving en een referentie door, en krijgt de betaalstatus terug.

Daarnaast kunnen we gegevens delen met onze boekhouder, en met overheden wanneer de wet ons daartoe verplicht.

5. Doorgifte buiten de EU

Vulsmul draait in datacenters in Duitsland, met e-mail en back-ups in Ierland. Amazon Web Services en Slack zijn dochters van Amerikaanse bedrijven; een doorgifte naar of toegang vanuit de Verenigde Staten is daardoor niet uit te sluiten. Die gebeurt dan op basis van het EU-VS-gegevensprivacykader (Data Privacy Framework), waaronder die bedrijven gecertificeerd zijn, en de modelcontractbepalingen van de Europese Commissie.

6. Cookies en lokale opslag

Vulsmul gebruikt alleen functionele cookies: cookies die nodig zijn om je aan te melden, een toestel gekoppeld te houden of je keuzes te onthouden. Er zijn geen cookies voor analyse, statistieken of reclame, en geen trackers van derden. Daarom vragen we geen toestemming via een cookiebanner.

authjs.session-token

Houdt je aangemeld. 30 dagen.

authjs.csrf-token, authjs.callback-url

Beveiliging van het aanmelden en de pagina waarnaar je daarna terugkeert. Tot je de browser sluit.

vulsmul_active_org

Welke van je verenigingen je laatst open had. 1 jaar.

vulsmul-device

Houdt een gekoppeld toestel (kassa, bar, keuken) aangemeld op zijn post. 7 dagen.

vulsmul-rejoin

Laat een toestel na een herstart opnieuw koppelen aan dezelfde post. 30 dagen.

vulsmul-locale

De taal die je koos, als je er een koos.

In productie dragen sommige namen het voorvoegsel __Secure-. Daarnaast bewaart Vulsmul gegevens in de browser zelf: gekoppelde toestellen bewaren bestellingen lokaal zodat ze offline verder kunnen werken, en wie via QR-code bestelt of een ticket koopt, kan zijn naam en e-mailadres op het eigen toestel laten onthouden. Die gegevens verlaten het toestel pas bij een bestelling.

7. Je rechten

Je hebt het recht op inzage, verbetering en wissing van je gegevens, op beperking van de verwerking, op overdraagbaarheid, en om bezwaar te maken tegen een verwerking op basis van gerechtvaardigd belang. Stuur je verzoek naar het contactformulier. We antwoorden binnen een maand. Gaat het om gegevens van een evenement, dan sturen we je verzoek door naar de vereniging.

Ben je niet tevreden over hoe we met je gegevens omgaan, dan kan je klacht indienen bij de Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel, www.gegevensbeschermingsautoriteit.be.

8. Beveiliging

Alle verkeer is versleuteld, wachtwoorden worden enkel als hash bewaard, de gegevens van verenigingen zijn in de database van elkaar gescheiden en back-ups zijn versleuteld. Meer staat in de verwerkersovereenkomst in de algemene voorwaarden.

9. Wijzigingen

Verandert deze verklaring, dan publiceren we een nieuwe versie op deze pagina met de datum bovenaan. Eerdere versies blijven raadpleegbaar. Bij belangrijke wijzigingen verwittigen we de eigenaars en beheerders van verenigingen per e-mail.