Privacy · Dutchbeard

Hoe ik persoonsgegevens verwerk en bescherm binnen de Dutchbeard-diensten.

Onder "Dutchbeard-diensten" versta ik in deze verklaring: dit accountportaal (account.dutchbeard.nl), de bijbehorende apps (waaronder RailBox en Dienstkaartje.nl) en alle overige websites en applicaties die ik onder de naam Dutchbeard aanbied. Je Dutchbeard ID werkt centraal voor al deze diensten: één inlog, één wallet, één set persoonsgegevens.

1. Verantwoordelijke

De Dutchbeard-diensten worden beheerd door mij, Dutchbeard, gevestigd in Nederland. Ik ben in de zin van de Algemene verordening gegevensbescherming (AVG) verwerkingsverantwoordelijke voor de in deze verklaring beschreven verwerkingen. Voor vragen of verzoeken kun je mij bereiken via brievenbus@dutchbeard.nl.

2. Welke gegevens ik verwerk

Wanneer je de Dutchbeard-diensten gebruikt, kan ik de volgende gegevens verwerken:

Accountgegevens. E-mailadres, naam, weergavenaam, optionele profielfoto en het tijdstip waarop je e-mailadres is bevestigd.
Inlog- en beveiligingsgegevens. Wachtwoordhash, status van tweestapsverificatie (2FA), eventuele recovery-codes en informatie over actieve sessies (apparaat, browser, IP-adres, tijdstip laatste activiteit).
Wallet- en creditgegevens. Saldo, transacties en de daarbij behorende metadata. Zie ook sectie 5 (Betalingen) van de Algemene Voorwaarden voor de betaalstroom.
Donatiegegevens. Bedrag, optioneel bericht, of je naam zichtbaar mag zijn op de supporter-pagina en het tijdstip van de donatie.
Push-tokens. Indien je notificaties hebt ingeschakeld in een Dutchbeard-app, registreer ik het bijbehorende push-token (FCM) zodat ik notificaties naar het juiste apparaat kan sturen. De inhoud van het token zelf is voor mij niet leesbaar buiten het verzenden van notificaties om.
App-specifieke gegevens. Voor sommige apps verwerk ik aanvullende gegevens die specifiek zijn voor die app, zoals een API-sleutel voor treinposities.nl, privacy-instellingen voor dienstkaartje.nl of door jou geüploade bestanden voor serverintensieve taken. Per-app verwerkingen worden, voor zover aanvullend, toegelicht in de betreffende app zelf.
Betaalgegevens. Voor het opwaarderen van credits en het doen van donaties verwerk ik enkel een transactie-id, het betaalde bedrag, het betaalmoment en je e-mailadres. Kaart- of bankrekeninggegevens worden rechtstreeks bij de betaalprovider (Stripe) ingevoerd en door mij niet opgeslagen.
Technische gegevens en logging. IP-adres, user-agent, taalvoorkeur en technische foutmeldingen die nodig zijn om de Dutchbeard-diensten te laten functioneren, te beveiligen en problemen te kunnen analyseren.

3. Waarom ik gegevens verwerk en op welke grondslag

Ik verwerk je gegevens voor de volgende doeleinden, telkens op basis van de in de AVG genoemde grondslagen:

Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG). Het aanmaken en beheren van je Dutchbeard ID, het inloggen op de Dutchbeard-diensten, het uitvoeren van serverintensieve taken waarvoor je credits gebruikt, het afhandelen van betalingen en het bijhouden van je wallet- en donatiehistorie.
Wettelijke verplichting (art. 6 lid 1 sub c AVG). Voldoen aan fiscale en boekhoudkundige bewaarplichten voor betaalgegevens.
Gerechtvaardigd belang (art. 6 lid 1 sub f AVG). Beveiliging, fraudepreventie, het tegengaan van misbruik (zoals het detecteren van ongebruikelijke inlogpogingen), het analyseren van technische fouten, het bijhouden van anonieme bezoekstatistieken (zie sectie 7, Cookies en tracking) en het algemeen verbeteren van de stabiliteit en kwaliteit van de Dutchbeard-diensten.
Toestemming (art. 6 lid 1 sub a AVG). Het versturen van push- notificaties en, waar van toepassing, het tonen van je naam en optionele bericht op de openbare supporter-pagina. Je kunt deze toestemming op elk moment intrekken via het portaal of de betreffende app.

Ik gebruik je gegevens niet voor advertentiedoeleinden of voor gepersonaliseerde profilering.

4. Bewaartermijnen

Ik bewaar je gegevens niet langer dan nodig is voor de hierboven beschreven doeleinden. Concreet betekent dat:

Account- en profielgegevens bewaar ik zolang je Dutchbeard ID actief is. Na verwijdering van je Dutchbeard ID worden deze gegevens binnen een redelijke termijn verwijderd of geanonimiseerd, behoudens gegevens die ik op grond van een wettelijke plicht langer moet bewaren.
Betaal- en donatiegegevens bewaar ik in de boekhouding tot het einde van de wettelijke fiscale bewaarplicht (in Nederland in de regel zeven jaar).
Sessie- en beveiligingsgegevens worden bewaard zolang de sessie actief is en daarna nog kort voor beveiligings- en fraudedoeleinden.
Technische logging wordt bewaard zo lang als nodig is voor het oplossen van storingen en het detecteren van misbruik en wordt vervolgens automatisch verwijderd of geaggregeerd.
Uploads voor serverintensieve taken worden niet langer bewaard dan nodig is om de gevraagde taak uit te voeren; zie sectie 6 (Uploads en gebruikersinhoud) van de Algemene Voorwaarden.

5. Delen met derden

Ik deel je gegevens alleen met derden als dit nodig is voor de uitvoering van de Dutchbeard-diensten of als ik daartoe wettelijk verplicht ben. De belangrijkste categorieën verwerkers waar ik mee samenwerk:

Betaalprovider: Stripe Payments Europe Ltd. (Ierland) verwerkt betalingen voor credits en donaties. Zie sectie 5 (Betalingen) van de Algemene Voorwaarden.
Hosting en CDN: partijen die de servers en het content-delivery netwerk leveren waarop de Dutchbeard-diensten draaien (waaronder Bunny CDN voor statische assets).
Push-notificaties: Google (Firebase Cloud Messaging) levert de push-infrastructuur waarmee notificaties naar je apparaat worden bezorgd als je deze hebt ingeschakeld.
E-mailverzending: een transactionele e-mailprovider voor het versturen van verificatie- en beveiligingsmails (bijvoorbeeld wachtwoord-reset).

Ik verkoop je gegevens niet en ik deel ze niet voor marketing- of advertentiedoeleinden van derden.

6. Doorgifte buiten de Europese Economische Ruimte

Sommige verwerkers (met name Google in het kader van push-notificaties) kunnen gegevens verwerken op servers buiten de Europese Economische Ruimte (EER). In dat geval baseer ik die doorgifte op de door de Europese Commissie vastgestelde Standard Contractual Clauses of een ander passend overdrachtsmechanisme uit de AVG. Waar mogelijk kies ik voor verwerkers met een EER-gevestigde entiteit.

7. Cookies en tracking

De Dutchbeard-diensten gebruiken alleen noodzakelijke cookies en lokale opslag voor het functioneren van de diensten (bijvoorbeeld voor het onthouden van je inlogsessie en je thema-voorkeur). Ik gebruik op geen enkel Dutchbeard-domein advertentie- of tracking-cookies van derden.

Om te kunnen zien hoe druk de Dutchbeard-diensten worden gebruikt, houd ik op een server in eigen beheer een anonieme telling bij van paginaweergaven en algemene bezoekstatistieken. Hierbij worden geen persoonsgegevens vastgelegd die naar jou te herleiden zijn en wordt geen profiel van je opgebouwd. Deze metingen worden niet met derden gedeeld en worden niet gekoppeld aan je Dutchbeard ID. Op grond van de Nederlandse cookiewet vallen dit soort privacyvriendelijke statistieken onder de uitzondering voor analytics en is daarvoor geen toestemming vereist.

Zie de cookieverklaring voor het volledige overzicht.

8. Beveiliging

Ik neem passende technische en organisatorische maatregelen om je gegevens te beschermen tegen misbruik, verlies, onbevoegde toegang en ongewenste openbaarmaking. Onder meer:

Verkeer tussen jouw apparaat en de Dutchbeard-diensten verloopt over een versleutelde verbinding (HTTPS).
Wachtwoorden worden uitsluitend opgeslagen als hash (afgeleide waarde) en nooit als leesbare tekst.
Sessies worden zo opgezet dat het deel van de inloggegevens dat een langlopende toegang vertegenwoordigt niet toegankelijk is voor scripts in je browser.
Tweestapsverificatie (2FA) is beschikbaar voor extra bescherming van je Dutchbeard ID.
Toegang tot productieomgevingen is beperkt tot de personen die dat technisch nodig hebben.
Verdachte activiteit wordt automatisch gedetecteerd en, indien nodig, zijn rate-limits en blokkades van toepassing.

Geen enkele beveiliging is honderd procent waterdicht; mocht er ondanks deze maatregelen toch een datalek plaatsvinden, dan zal ik dat conform de AVG behandelen en, waar vereist, melden bij de Autoriteit Persoonsgegevens en de betrokken gebruikers.

9. Minderjarigen

De Dutchbeard-diensten zijn niet specifiek gericht op kinderen jonger dan zestien jaar. Als je jonger bent dan zestien, kun je alleen een Dutchbeard ID aanmaken of betaalde functies (zoals credits) gebruiken met toestemming van een ouder of voogd. Vermoed je dat ik onbedoeld gegevens van een minderjarige zonder die toestemming verwerk? Neem dan contact met mij op zodat ik deze gegevens kan verwijderen.

10. Geautomatiseerde besluitvorming

Ik gebruik geen geautomatiseerde besluitvorming of profilering die rechtsgevolgen voor je heeft of je in aanmerkelijke mate treft. Automatische beveiligingsmaatregelen (zoals rate-limits of het tijdelijk blokkeren van verdachte inlogpogingen) zijn puur gericht op de veiligheid van de Dutchbeard-diensten.

11. Jouw rechten

Op grond van de AVG heb je onder andere de volgende rechten ten aanzien van je persoonsgegevens:

Inzage: een overzicht opvragen van welke gegevens ik van je verwerk.
Rectificatie: onjuiste of onvolledige gegevens laten corrigeren.
Verwijdering: verzoeken om je gegevens te verwijderen ("recht om vergeten te worden"), voor zover er geen wettelijke bewaarplicht of ander zwaarwegend belang geldt. Je kunt je Dutchbeard ID bovendien zelf direct verwijderen via Profiel in het portaal; je bevestigt dit met een code die ik naar je e-mailadres stuur, waarna de verwijdering definitief is. Je openstaande tegoed vervalt daarbij en je donaties worden geanonimiseerd.
Beperking: verzoeken om de verwerking tijdelijk te beperken.
Overdraagbaarheid: een gestructureerde, machineleesbare kopie van bepaalde door jou aangeleverde gegevens ontvangen of laten doorzenden.
Bezwaar: bezwaar maken tegen verwerking op grond van een gerechtvaardigd belang.
Intrekken van toestemming: toestemming voor verwerkingen die op die grondslag rusten (zoals push-notificaties) op elk moment intrekken, zonder dat dit terugwerkende kracht heeft op verwerkingen die al hebben plaatsgevonden.
Klacht bij de toezichthouder: een klacht indienen bij de Autoriteit Persoonsgegevens als je vindt dat ik je gegevens niet juist verwerk.

Voor het uitoefenen van deze rechten kun je contact met mij opnemen via het in sectie 13 (Contact) genoemde adres. Ik kan je vragen om aanvullende informatie waarmee ik kan vaststellen dat het verzoek daadwerkelijk van jou afkomstig is.

12. Wijzigingen van deze verklaring

Ik kan deze privacyverklaring van tijd tot tijd aanpassen, bijvoorbeeld omdat ik nieuwe functies introduceer of omdat regelgeving wijzigt. De datum bovenaan dit document geeft aan wanneer de verklaring voor het laatst is gewijzigd. Bij materiële wijzigingen informeer ik geregistreerde gebruikers redelijkerwijs vooraf, bijvoorbeeld per e-mail of via een melding in het portaal.

13. Contact

Heb je vragen over deze privacyverklaring of wil je gebruikmaken van je rechten? Neem dan contact met mij op via brievenbus@dutchbeard.nl. Ik streef ernaar binnen een redelijke termijn te reageren, maar ik kan geen vaste reactietijden garanderen.