Privacyverklaring EventJet

Twee rollen: wanneer zijn wij verantwoordelijke en wanneer verwerker

Dit onderscheid bepaalt bij wie u moet zijn met een vraag over uw gegevens, en het loopt door de hele verklaring heen.

EventJet als verwerkingsverantwoordelijke. Voor de gegevens van bezoekers van onze website, van de personen die bij onze klanten een EventJet-account gebruiken, en van onze eigen contactpersonen bepalen wij zelf het doel en de middelen van de verwerking. Denk aan accountgegevens, facturatie, support en communicatie over onze dienstverlening. Op die verwerkingen ziet deze privacyverklaring.

EventJet als verwerker. Onze klanten, doorgaans evenementenorganisaties, personeelsbureaus, verenigingen en stichtingen, voeren in de EventJet-applicatie gegevens in over hun eigen personeel, vrijwilligers en deelnemers. Over die gegevens beslissen wij niets. De klant is voor die gegevens de verwerkingsverantwoordelijke; wij verwerken ze uitsluitend in opdracht van die klant en op grond van een verwerkersovereenkomst.

Bent u vrijwilliger, medewerker of deelnemer bij een organisatie die EventJet gebruikt? Dan zijn uw gegevens door die organisatie ingevoerd en is die organisatie uw aanspreekpunt voor inzage, correctie en verwijdering. Weet u niet bij welke organisatie u moet zijn, of reageert die niet, neem dan gerust contact met ons op via [email protected]. Wij mogen uw gegevens niet zelfstandig wijzigen of verwijderen, maar wij kunnen u wel doorverwijzen en de betreffende organisatie op haar verplichtingen wijzen.

Reikwijdte

Deze privacyverklaring geldt voor onze website, voor de EventJet-applicatie en voor alle communicatie die daarmee samenhangt, ongeacht het domein waarop deze worden aangeboden. Websites van derden waarnaar wij linken vallen er niet onder; daarvoor gelden de privacyverklaringen van die partijen.

Welke persoonsgegevens wij verwerken als verantwoordelijke

Van gebruikers, contactpersonen en websitebezoekers verwerken wij:

• 1. Voor- en achternaam;
• 2. Zakelijk e-mailadres en telefoonnummer;
• 3. Functie en de organisatie waaraan u verbonden bent;
• 4. Accountgegevens, waaronder inloggegevens en voorkeuren;
• 5. Facturatie- en betaalgegevens;
• 6. Gebruiks- en loggegevens, waaronder IP-adres, browsertype en tijdstippen van gebruik;
• 7. De inhoud van correspondentie met ons, waaronder e-mail, supportgesprekken en WhatsApp-berichten;
• 8. Overige gegevens die u zelf actief verstrekt.

Welke gegevens onze klanten in de applicatie invoeren over hun personeel, vrijwilligers en deelnemers bepalen zij zelf. Wij leggen dat niet in deze verklaring vast; dat volgt uit de verwerkersovereenkomst met die klant.

Doeleinden en grondslagen

Wij verwerken uw persoonsgegevens voor de volgende doelen, telkens op de daarbij vermelde grondslag uit artikel 6 AVG:

• 1. Het aanbieden, leveren en onderhouden van de EventJet-applicatie, waaronder het aanmaken en beheren van accounts. Grondslag: uitvoering van de overeenkomst, artikel 6 lid 1 sub b;
• 2. Het tot stand brengen van de overeenkomst, waaronder het vastleggen van het akkoord van de organisatie. Grondslag: uitvoering van de overeenkomst en het treffen van maatregelen voorafgaand daaraan, artikel 6 lid 1 sub b, en het voldoen aan onze verantwoordingsplicht, artikel 6 lid 1 sub c;
• 3. Facturatie en betalingsverwerking. Grondslag: uitvoering van de overeenkomst, artikel 6 lid 1 sub b, en wettelijke verplichting, artikel 6 lid 1 sub c;
• 4. Support, contact over uw account en informatie over wijzigingen in onze dienstverlening. Grondslag: uitvoering van de overeenkomst, artikel 6 lid 1 sub b;
• 5. Beveiliging, fraudepreventie, foutopsporing en het waarborgen van de beschikbaarheid van de applicatie. Grondslag: gerechtvaardigd belang, artikel 6 lid 1 sub f;
• 6. Verbetering van onze dienstverlening op basis van geaggregeerde gebruiksstatistieken. Grondslag: gerechtvaardigd belang, artikel 6 lid 1 sub f;
• 7. Het verzenden van onze nieuwsbrief en overige commerciële communicatie. Grondslag: toestemming, artikel 6 lid 1 sub a, dan wel gerechtvaardigd belang bij bestaande klanten voor eigen gelijksoortige diensten, artikel 6 lid 1 sub f;
• 8. Het voldoen aan wettelijke verplichtingen en het instellen, uitoefenen of onderbouwen van een rechtsvordering. Grondslag: wettelijke verplichting en gerechtvaardigd belang, artikel 6 lid 1 sub c en sub f.

Voor de verwerkingen op grond van sub b, c en f is uw toestemming niet vereist en kan die ook niet worden ingetrokken; zonder die verwerkingen kunnen wij de dienst niet leveren of niet aan de wet voldoen. Waar wij ons wél op toestemming baseren, zoals bij de nieuwsbrief, kunt u die toestemming op elk moment intrekken zonder dat dit gevolgen heeft voor uw gebruik van de applicatie.

Akkoord van de organisatie bij stage-, proef- en gratis accounts

EventJet wordt regelmatig aangevraagd door iemand die niet zelf tekenbevoegd is, bijvoorbeeld een stagiair die de applicatie meebrengt naar de organisatie waar hij stage loopt. In dat geval is de organisatie onze klant en niet de aanvrager. Voordat het account in gebruik kan worden genomen vragen wij daarom om een akkoord van een bevoegde vertegenwoordiger van die organisatie.

Van de aanvrager verwerken wij daarvoor de opgegeven organisatiegegevens en de naam en het zakelijke e-mailadres van de beoogde goedkeurder. Van de goedkeurder verwerken wij naam, zakelijk e-mailadres, functie, de verklaring dat hij bevoegd is namens de organisatie te aanvaarden, en de gegevens die nodig zijn om dat akkoord aantoonbaar te maken: het tijdstip, het IP-adres, het gebruikte apparaat en de versie van de documenten die op dat moment is aanvaard.

Grondslag hiervoor is het treffen van maatregelen voorafgaand aan het sluiten van de overeenkomst en het uitvoeren daarvan, artikel 6 lid 1 sub b, in combinatie met onze verantwoordingsplicht op grond van artikel 5 lid 2 AVG.

Zolang dat akkoord niet is gegeven mogen in de applicatie geen persoonsgegevens van derden worden ingevoerd. Wij blokkeren dat technisch. Dit voorkomt dat wij gegevens van personeel of vrijwilligers verwerken zonder dat er een organisatie is die daarvoor als verwerkingsverantwoordelijke optreedt en zonder dat er een verwerkersovereenkomst is.

Minderjarigen

Onze website en applicatie richten zich op zakelijke gebruikers en zijn niet bedoeld voor personen jonger dan 16 jaar. Wij kunnen bij het aanmaken van een account niet controleren of iemand ouder is dan 16.

Bij evenementen worden regelmatig vrijwilligers of medewerkers onder de 16 jaar ingezet. Voert een organisatie gegevens van minderjarigen in de applicatie in, dan is die organisatie er als verwerkingsverantwoordelijke voor verantwoordelijk dat daarvoor een geldige grondslag bestaat en dat, waar toestemming de grondslag is, die toestemming door een ouder of voogd is gegeven. Wij controleren dat niet en kunnen dat ook niet. Meent u dat wij zonder geldige grondslag gegevens van een minderjarige verwerken, neem dan contact op via [email protected]; wij nemen dan contact op met de betreffende organisatie.

Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan nodig is voor de doelen waarvoor ze zijn verzameld. Concreet hanteren wij de volgende termijnen:

• 1. Accountgegevens: tot u uw account verwijdert of tot 24 maanden na de laatste keer dat u bent ingelogd. Deze termijn is gekozen omdat jaarlijks terugkerende evenementen daarmee ook na een overgeslagen jaar de eerder ingevoerde gegevens kunnen hergebruiken;
• 2. Facturen en administratie: zeven jaar, op grond van de fiscale bewaarplicht;
• 3. Het akkoord van de organisatie en de aanvaarde versies van de voorwaarden en de verwerkersovereenkomst: gedurende de looptijd van de overeenkomst en daarna zolang wij die aanvaarding moeten kunnen aantonen. Deze gegevens vallen niet onder de termijn van 24 maanden, omdat zij het bestaan van de overeenkomst zelf bewijzen;
• 4. Support- en e-mailcorrespondentie: 24 maanden na afronding van het contact;
• 5. Beveiligings- en applicatielogs: maximaal 12 maanden;
• 6. Gegevens die onze klanten invoeren over derden: conform de verwerkersovereenkomst met die klant. Bij beëindiging van de overeenkomst blijft de exportmogelijkheid gedurende dertig dagen beschikbaar, waarna wij de gegevens verwijderen, behoudens wettelijke bewaarplichten.

Wilt u eerder verwijdering, dan kunt u dat verzoeken of uw account zelf verwijderen. Voor gegevens waarvoor een wettelijke bewaarplicht geldt kunnen wij daar niet aan voldoen.

Verwerkers en subverwerkers

Wij schakelen voor onze dienstverlening andere partijen in. Met elk van hen sluiten wij een verwerkersovereenkomst waarin een gelijkwaardig niveau van beveiliging en vertrouwelijkheid is vastgelegd. Deze partijen mogen niet zonder onze voorafgaande schriftelijke toestemming zelf weer derden inschakelen.

Wij maken onder meer gebruik van de volgende categorieën dienstverleners:

• 1. Hosting en infrastructuur, binnen de Europese Unie;
• 2. E-mailverzending en -ontvangst, binnen de Europese Unie;
• 3. Betaalverwerking;
• 4. Berichtendiensten voor communicatie met gebruikers, waaronder WhatsApp;
• 5. Aanbieders van taalmodellen ten behoeve van onze supportfunctionaliteit;
• 6. Kaart- en locatiediensten.

Een actueel overzicht van de door ons ingeschakelde verwerkers en subverwerkers, inclusief vestigingsland, vindt u op de pagina voor subverwerkers. Klanten worden op grond van de verwerkersovereenkomst vooraf geïnformeerd over voorgenomen wijzigingen in deze lijst.

Doorgifte buiten de Europese Economische Ruimte

Onze infrastructuur en gegevensopslag bevinden zich binnen de Europese Unie. Een aantal van de door ons ingeschakelde dienstverleners is gevestigd buiten de EER of kan gegevens buiten de EER verwerken. Vindt doorgifte plaats, dan gebeurt dat uitsluitend op basis van een adequaatheidsbesluit van de Europese Commissie, standaardcontractbepalingen of een andere in hoofdstuk V AVG genoemde waarborg, aangevuld met passende technische en organisatorische maatregelen. Op de in de vorige paragraaf genoemde pagina staat per dienstverlener vermeld of en op welke grondslag doorgifte plaatsvindt.

Gebruik van taalmodellen in onze supportfunctionaliteit

Onze supportfunctionaliteit maakt gebruik van taalmodellen om vragen van gebruikers te beantwoorden. De inhoud van uw supportvraag en de daarvoor benodigde context worden daarbij verwerkt door de aanbieder van dat model, als verwerker en uitsluitend in onze opdracht. Deze gegevens worden niet gebruikt voor het trainen van modellen. Antwoorden uit deze functionaliteit zijn adviserend; besluiten met rechtsgevolg of vergelijkbaar aanmerkelijke gevolgen worden er niet mee genomen.

Geautomatiseerde besluitvorming

EventJet neemt geen besluiten op basis van uitsluitend geautomatiseerde verwerking die voor u rechtsgevolgen hebben of u anderszins in aanmerkelijke mate treffen, in de zin van artikel 22 AVG.

Cookies

EventJet gebruikt uitsluitend functionele en analytische cookies. Een cookie is een klein tekstbestand dat bij het eerste bezoek aan de website wordt opgeslagen op uw computer, tablet of smartphone. De cookies die wij gebruiken zijn noodzakelijk voor de technische werking van de website en uw gebruiksgemak. U kunt zich afmelden voor cookies door uw browser zo in te stellen dat deze geen cookies meer opslaat, en eerder opgeslagen cookies via uw browserinstellingen verwijderen.

Uw rechten

U heeft het recht op inzage in uw persoonsgegevens, op rectificatie, op verwijdering, op beperking van de verwerking, op bezwaar tegen de verwerking en op gegevensoverdraagbaarheid. Waar wij ons op toestemming baseren, kunt u die te allen tijde intrekken.

Een groot deel hiervan kunt u zelf regelen via de instellingen van uw account. Lukt dat niet, of wilt u een van uw andere rechten uitoefenen, stuur dan een bericht naar [email protected]. Wij reageren binnen één maand. Bij een complex verzoek kunnen wij die termijn met twee maanden verlengen; wij laten u dat dan binnen de eerste maand weten.

Gaat uw verzoek over gegevens die een organisatie over u heeft ingevoerd, dan sturen wij u door naar die organisatie. Wij mogen die gegevens als verwerker niet zelfstandig aanpassen of verwijderen, maar wij helpen u wel de juiste partij te vinden.

Om te voorkomen dat wij gegevens verstrekken aan de verkeerde persoon, moeten wij uw identiteit kunnen vaststellen. In de regel lukt dat via het e-mailadres dat aan uw account is gekoppeld. Alleen als daarover redelijke twijfel bestaat, vragen wij om aanvullende gegevens. Wij vragen niet standaard om een kopie van uw identiteitsbewijs.

U heeft daarnaast het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens, via autoriteitpersoonsgegevens.nl. Wij stellen het op prijs als u eerst contact met ons opneemt, zodat wij er samen uit kunnen komen.

Beveiliging

Wij nemen passende technische en organisatorische maatregelen om misbruik, verlies, onbevoegde toegang, ongewenste openbaarmaking en ongeoorloofde wijziging tegen te gaan. Daaronder vallen onder meer:

• 1. Versleutelde verbindingen via TLS voor al het verkeer met de applicatie;
• 2. Versleutelde opslag van wachtwoorden en gevoelige gegevens;
• 3. Toegangsbeperking op basis van rollen, zodat medewerkers alleen bij gegevens kunnen die zij nodig hebben;
• 4. Regelmatige back-ups en monitoring van de beschikbaarheid en integriteit van onze systemen;
• 5. Beveiligingssoftware en firewalls op onze infrastructuur;
• 6. DKIM, SPF en DMARC om te voorkomen dat uit onze naam frauduleuze e-mail wordt verstuurd;
• 7. Geheimhoudingsverplichtingen voor iedereen die bij de verwerking betrokken is.

Heeft u de indruk dat gegevens niet goed beveiligd zijn of zijn er aanwijzingen van misbruik, neem dan direct contact op via [email protected]. Bij een datalek informeren wij, waar de AVG dat voorschrijft, de Autoriteit Persoonsgegevens en de betrokken partijen. Treedt een lek op in gegevens waarvoor wij verwerker zijn, dan informeren wij de betreffende klant onverwijld, zodat die als verwerkingsverantwoordelijke kan beoordelen of melding nodig is.

Commerciële communicatie

Wij verkopen uw gegevens niet en delen ze niet met derden voor hun eigen commerciële doeleinden. Wij kunnen u wel informeren over onze eigen dienstverlening en over relevante nieuwe functionaliteit, per e-mail op het adres dat bij ons bekend is. Iedere commerciële e-mail bevat een afmeldmogelijkheid, en u kunt zich ook afmelden via [email protected].

Contact

Verwerkingsverantwoordelijke is EventJet VOF, Dierenriemstraat 100-27, 9742 AK Groningen, KvK 98639242. Contactpersoon voor privacyzaken is Jasper van der Kooi, bereikbaar via [email protected]. Wij hebben geen functionaris voor gegevensbescherming aangesteld; daartoe zijn wij op grond van artikel 37 AVG niet verplicht.