Privacybeleid

Plek is een online boekingsplatform. Studio's, clubs, scholen en andere organisaties gebruiken het om hun activiteiten, sessies en reeksen aan te bieden en om boekingen en betalingen te ontvangen. Dit beleid legt uit welke persoonsgegevens Plek verwerkt, waarom, wie ze nog ontvangt en welke rechten je hebt.

Wie we zijn en wie verantwoordelijk is

Plek wordt uitgebaat door Small Victories, Mellestraat 303, 9090 Merelbeke-Melle, ondernemingsnummer BE0793.301.929 ("Plek", "we", "ons"). Je bereikt ons via hello@small-victories.co.

Wie verantwoordelijk is voor je gegevens, hangt af van hoe je Plek gebruikt:

• Je boekt bij een organisatie (als klant, of voor een deelnemer zoals je kind): de organisatie waar je boekt is verwerkingsverantwoordelijke voor die gegevens. Zij beslist wat ze vraagt en wat ze ermee doet. Plek is haar verwerker: we bewaren en verwerken de gegevens in haar naam en volgens haar instructies, op basis van een verwerkersovereenkomst. Met vragen over je boekingen of om je rechten uit te oefenen, neem je eerst contact op met die organisatie; contacteer je ons, dan bezorgen we je vraag aan haar en helpen we haar antwoorden.
• Je gebruikt Plek als medewerker van een organisatie (eigenaar, beheerder, coach, ...), je bezoekt deze website of je neemt contact met ons op: dan is Plek verwerkingsverantwoordelijke.

Welke gegevens we verwerken

Klanten en deelnemers (in opdracht van de organisatie)

• Account: naam, e-mailadres, telefoonnummer (optioneel), voorkeurstaal, of je e-mailadres bevestigd is, een wachtwoord (enkel als hash bewaard) als je er een instelt, en eenmalige aanmeldcodes en -links. Een klantenaccount hoort bij één organisatie: wie bij twee organisaties boekt, heeft twee aparte accounts.
• Aanmelden met Google of Microsoft (optioneel): de unieke accountcode, het e-mailadres, of dat bevestigd is, en je naam. We krijgen je wachtwoord of andere gegevens uit die accounts niet.
• Deelnemers (wie deelneemt: jijzelf of bijvoorbeeld je kinderen): voor- en achternaam, geboortedatum en, enkel als de organisatie erom vraagt, rijksregisternummer, T-shirtmaat en opmerkingen.
• Extra vragen en toestemmingen die de organisatie aan haar boekingsformulier toevoegt, en je antwoorden. Daar kan gezondheidsinformatie bij zitten (zoals allergieën of medische opmerkingen) als de organisatie erom vraagt, en toestemmingen zoals voor het nemen van foto's.
• Boekingen: wat je wanneer boekte, annuleringen en hun reden, afwezigheden, aanwezigheden en check-ins, inschrijvingen op een wachtlijst, cadeaubonnen, kortingscodes, beurtenkaarten, abonnementen en het gebruik ervan, en je aanvaarding van de voorwaarden van de organisatie (welke versie, wanneer, en het IP-adres en de browser waarmee).
• Betalingen en facturen: bedragen, betaalmethode, status en de referentie van de betaalprovider, en op facturen de facturatienaam, het e-mailadres en het adres. Kaart- en bankgegevens geef je in bij de betaalprovider; die komen nooit bij Plek terecht.
• E-mails: de boekingsmails die je krijgt (bevestigingen, herinneringen, aanmeldcodes, berichten van de organisatie) en hun afleverstatus, zoals een bounce. E-mails bevatten nooit gegevens over kinderen of gezondheid.
• Notities van de organisatie: medewerkers kunnen interne notities over een deelnemer bijhouden.

Binnen de organisatie zien medewerkers enkel wat hun rol toelaat. Een coach ziet bijvoorbeeld de naam, geboortedatum, interne notities en medische antwoorden van de deelnemers aan zijn of haar eigen sessies, maar geen betaalgegevens.

Medewerkersaccounts (Plek is verwerkingsverantwoordelijke)

• Naam, e-mailadres, wachtwoord (enkel als hash bewaard), voorkeurstaal en -regio, en de organisaties waar je bij hoort met je rol.
• Als je tweestapsverificatie aanzet: het versleutelde geheim van je authenticator-app en je herstelcodes (als hash bewaard).
• Als je je aanmeldt met Google: de unieke accountcode, het e-mailadres en je naam.
• Uitnodigingen die je stuurt of krijgt, en een auditlog van belangrijke handelingen (bijvoorbeeld wie een klant anonimiseerde of een rol wijzigde).

Technische gegevens

Onze servers en Cloudflare houden verzoeken bij, met IP-adres, browser, tijdstip en het opgevraagde pagina- of API-adres, om de dienst veilig te houden en fouten te vinden en op te lossen. We gebruiken die gegevens niet om je te volgen of profielen op te bouwen.

Waarom we ze verwerken en op welke rechtsgrond

Plek verkoopt geen persoonsgegevens, toont geen advertenties, stuurt geen marketingmails naar klanten van organisaties en gebruikt je gegevens niet voor profilering of om AI-modellen te trainen.

Aanmelden met Google of Microsoft en Google-koppelingen

Aanmelden met Google of Microsoft. We vragen enkel de standaard OpenID Connect-scopes openid, email en profile, en gebruiken de unieke accountcode, het e-mailadres, of dat bevestigd is en je naam om je account aan te maken of aan een bestaand account te koppelen. Je kunt een aanmeldmethode ontkoppelen in je account.

Google Agenda (optioneel, voor medewerkers). Een medewerker kan zijn of haar Google Agenda koppelen, zodat de sessies van de organisatie daarin verschijnen. We gebruiken die toegang om in je hoofdagenda de afspraken voor de sessies van de organisatie aan te maken, bij te werken en te verwijderen. Je andere afspraken lezen, bewaren of wijzigen we niet.

Gmail (optioneel, voor organisaties). Een organisatie kan haar boekingsmails versturen vanaf haar eigen Gmail-adres. We gebruiken die toegang om die mails te versturen en om het e-mailadres van het gekoppelde account te lezen. Je berichten lezen, bewaren of analyseren we niet.

Plek's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Concreet: gegevens van Google gebruiken we enkel voor de functies hierboven. Ze worden nooit verkocht, nooit gebruikt voor advertenties, nooit gebruikt om algemene AI- of machine-learningmodellen te ontwikkelen, te verbeteren of te trainen, en niemand leest ze, tenzij je ons daarom vraagt (voor ondersteuning), het nodig is voor de beveiliging of de wet het vereist. Toegangstokens worden enkel voor deze functies gebruikt en verwijderd wanneer je de koppeling in Plek verbreekt; je kunt de toegang ook altijd intrekken in je Google-account.

Wie je gegevens ontvangt

We werken enkel met dienstverleners die de gegevens nodig hebben om Plek te laten werken, met contracten die hen verplichten ze te beschermen:

• Oracle Cloud Infrastructure: servers, database en bestandsopslag (zoals opgeladen afbeeldingen en exports), in een datacenter in de Europese Unie.
• Cloudflare: hosting van de webapps, DNS, contentlevering en bescherming tegen aanvallen.
• Brevo (Sendinblue SAS, Frankrijk): e-mails versturen en hun aflevering opvolgen. Koppelt een organisatie haar eigen Gmail of mailserver, dan lopen haar mails daarlangs.
• Betaalproviders die de organisatie kiest: Mollie, Worldline of Payconiq. Zij verwerken je betaling als zelfstandige verwerkingsverantwoordelijken, volgens hun eigen privacybeleid.
• Google en Microsoft, enkel als je hun aanmelding gebruikt of een organisatie Google Agenda of Gmail koppelt.

De organisatie waar je boekt, ziet de gegevens van haar eigen klanten en deelnemers. Organisaties zien nooit elkaars gegevens. Met overheden delen we gegevens enkel als de wet dat vereist.

Doorgifte buiten de Europese Unie

De database en bestanden van Plek staan in de Europese Unie. Sommige dienstverleners (Cloudflare, Google, Microsoft) kunnen gegevens buiten de Europese Economische Ruimte verwerken. Die doorgifte steunt dan op een adequaatheidsbesluit (zoals het EU-VS-kader voor gegevensbescherming) of op de standaardcontractbepalingen van de Europese Commissie.

Hoe lang we gegevens bewaren

• Gegevens van klanten en deelnemers bewaren we zolang de organisatie Plek gebruikt, of tot de organisatie of jij ze laat verwijderen. Elke organisatie kan een automatische opkuis aanzetten: klanten anonimiseren die al een aantal jaren niet actief zijn, accounts waarvan het e-mailadres na een aantal maanden nog altijd niet bevestigd is, en antwoorden op boekingsvragen (zoals medische opmerkingen) wissen een aantal maanden nadat de sessie of reeks voorbij is. De organisatie kiest die termijnen.
• Anonimiseren verwijdert namen, e-mailadres, telefoonnummer, geboortedatum, rijksregisternummer, antwoorden op boekingsvragen, aanmeldmethodes, en het IP-adres en de browser die bij aanvaarde voorwaarden bewaard werden. Wat overblijft (bijvoorbeeld dat een boeking betaald werd), is niet meer aan jou te koppelen.
• Facturen en betalingsgegevens bewaren we zolang de boekhoud- en belastingwetgeving dat vereist (in België momenteel tot 10 jaar), ook na anonimisering.
• Medewerkersaccounts bewaren we tot ze verwijderd worden; de auditlog bewaren we zolang het account van de organisatie bestaat.
• Serverlogs bewaren we kort, hoogstens 30 dagen, tenzij we ze nodig hebben om een incident te onderzoeken.
• Stopt een organisatie met Plek, dan verwijderen we haar gegevens binnen 90 dagen, behalve wat we wettelijk moeten bewaren.

Je rechten

Je hebt het recht om je gegevens in te kijken, te laten verbeteren of wissen, de verwerking te laten beperken of er bezwaar tegen te maken, je gegevens over te dragen, en je toestemming op elk moment in te trekken (zonder dat dat de verwerking daarvoor aantast). In het klantenportaal van de organisatie waar je boekt, kun je:

• je gegevens en die van je deelnemers bekijken en aanpassen;
• alle gegevens die over jou en je deelnemers bewaard worden als bestand downloaden;
• vragen om je account te verwijderen. Je bevestigt met een code die we je mailen. Heb je nog komende boekingen, dan worden je gegevens geanonimiseerd zodra die voorbij zijn.

Voor al de rest contacteer je de organisatie waar je boekt, of ons via hello@small-victories.co. We antwoorden binnen een maand. Je kunt ook een klacht indienen bij de Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel, www.gegevensbeschermingsautoriteit.be, of bij de toezichthouder in het land waar je woont.

Cookies en lokale opslag

Plek gebruikt geen advertentie-, analyse- of trackingcookies, en vraagt daarom geen toestemming voor cookies. De apps bewaren een paar dingen in de lokale opslag van je browser die ze nodig hebben om te werken: je aanmeldsessie, je gekozen taal, de organisatie die je beheert (voor medewerkers) en een boeking die je aan het afronden bent. Cloudflare kan een strikt noodzakelijke cookie plaatsen om de dienst tegen bots te beschermen. De pagina's van betaalproviders plaatsen hun eigen cookies.

Beveiliging

Alle verbindingen zijn versleuteld (HTTPS). Wachtwoorden worden als hash bewaard, medewerkers kunnen tweestapsverificatie gebruiken, toegang binnen een organisatie volgt rollen en rechten, belangrijke handelingen worden gelogd en er worden regelmatig back-ups gemaakt. Brengt een datalek je rechten in gevaar, dan worden de organisatie en, waar nodig, jij en de toezichthouder zonder onnodige vertraging verwittigd.

Kinderen

Deelnemers kunnen kinderen zijn. Hun gegevens worden ingevuld door een ouder of voogd, die de boeking beheert vanuit zijn of haar eigen klantenaccount. Klantenaccounts zijn bedoeld voor volwassenen.

Wijzigingen aan dit beleid

We kunnen dit beleid aanpassen wanneer Plek of de wet verandert. De datum bovenaan toont de laatste versie. Belangrijke wijzigingen melden we vooraf aan organisaties en medewerkers.

Contact

Small Victories, Mellestraat 303, 9090 Merelbeke-Melle, ondernemingsnummer BE0793.301.929. E-mail: hello@small-victories.co.