Privacybeleid

1. Verwerkingsverantwoordelijke

Grup Bages Formadors SL, NIF B61690723, gevestigd aan C/ Dupont 34, 08262 Callús (Barcelona, Spanje). Contact voor alle privacyzaken: hola@forholidays.app.

Functionaris voor gegevensbescherming: [COMPLETAR: confirmar si se ha designado Delegado de Protección de Datos; si no, indicar que el contacto es hola@forholidays.app]

Wanneer wij gegevens van reizigers beheren namens een Aanbieder (zie punt 3), is de Aanbieder de verwerkingsverantwoordelijke en treedt For Holidays op als verwerker.

2. Welke gegevens we verwerken, waarvoor en op welke grondslag

• Aanbieders (bedrijven die activiteiten publiceren): naam of bedrijfsnaam, NIF/btw-nummer, contactgegevens, gegevens over de activiteiten, bankgegevens voor uitbetalingen en communicatie. Doel: het account aanmaken en beheren, de dienst leveren, uitbetalen en factureren. Grondslag: uitvoering van de overeenkomst en wettelijke verplichtingen.
• Reizigers (wie boekt): naam, e-mailadres, telefoonnummer (indien gevraagd), boekingsgegevens (activiteit, datum, personen, bedrag), betalingsstatus en het IP-adres en technische gegevens die nodig zijn voor beveiliging. Doel: de boeking beheren, de betaling verwerken, bevestigingen versturen, incidenten afhandelen, fraude voorkomen en boekhoudkundige verplichtingen nakomen. Grondslag: uitvoering van de overeenkomst, wettelijke verplichting en gerechtvaardigd belang (beveiliging en fraudepreventie).
• Aanvragen en commercieel contact (aanvraag-, demo- of e-mailformulieren): contactgegevens en bedrijfsgegevens. Doel: je aanvraag beantwoorden. Grondslag: jouw toestemming of voorafgaand aan een overeenkomst op jouw verzoek genomen maatregelen.
• Websitebezoekers: technische surfgegevens en, alleen als je dat accepteert in de cookiebanner, gebruiksstatistieken via Google Analytics 4. Grondslag: toestemming (art. 6 lid 1 sub a AVG). Meer in het cookiebeleid.
• Commerciële communicatie naar professionals: ontvang je van ons een commerciële elektronische communicatie, dan kun je op elk moment bezwaar maken tegen verdere berichten (art. 21 LSSI en art. 21 AVG) door op het bericht te antwoorden of te mailen naar hola@forholidays.app. Grondslag: gerechtvaardigd belang bij het promoten van onze diensten onder bedrijven, of jouw toestemming [COMPLETAR: met de gestor de rechtsgrond voor zakelijke acquisitie bevestigen].

We nemen geen geautomatiseerde besluiten met rechtsgevolgen voor jou. De dienst is niet gericht op kinderen onder de 14 jaar en we verzamelen niet bewust hun gegevens zonder toestemming van hun wettelijk vertegenwoordigers.

3. Onze rol ten aanzien van gegevens van reizigers

Voor de eigen bedrijfsvoering (betaling, fraudepreventie, facturatie, beveiliging, platformondersteuning) is For Holidays verwerkingsverantwoordelijke. Voor het beheren van de boekingen van de Aanbieder en het namens hem versturen van bevestigingen is For Holidays verwerker en verwerkt de gegevens op zijn instructies volgens de Verwerkersovereenkomst. De Aanbieder is verantwoordelijk voor het gebruik van de gegevens die hij ontvangt om de activiteit uit te voeren.

4. Met wie we gegevens delen (verwerkers en ontvangers)

We verkopen je gegevens nooit. We delen ze alleen met de partijen die de dienst mogelijk maken en die onder een overeenkomst werken conform art. 28 AVG:

• Supabase — database en authenticatie (hosting van account- en boekingsgegevens).
• Vercel — hosting en uitvoering van de website en applicatie.
• Stripe — verwerking van betalingen en terugbetalingen. Stripe verwerkt betaalgegevens als zelfstandig verwerkingsverantwoordelijke voor zijn fraudepreventie- en wettelijke verplichtingen; zie het privacybeleid van Stripe.
• Google — versturen van transactionele e-mails (boekingsbevestigingen) via de Gmail API, optionele synchronisatie met Google Agenda voor Aanbieders die dat inschakelen en, alleen met jouw toestemming, Google Analytics 4.
• Upstash — dienst voor het beperken van verzoeken (rate limiting) die formulieren en de API beschermt tegen misbruik; verwerkt tijdelijk IP-adressen, wanneer ingeschakeld.
• De Aanbieder van de activiteit die je boekt, die de gegevens ontvangt die nodig zijn om die uit te voeren.
• Autoriteiten en adviseurs, wanneer de wet dat vereist of dat nodig is voor het fiscale, boekhoudkundige en juridische beheer van het bedrijf.

5. Doorgifte buiten de EER

Sommige partijen (bijvoorbeeld Stripe, Google, Vercel of Upstash) kunnen gegevens buiten de Europese Economische Ruimte verwerken, met name in de Verenigde Staten. In dat geval berust de doorgifte op een adequaatheidsbesluit van de Europese Commissie (zoals het EU-VS Data Privacy Framework, wanneer de partij gecertificeerd is) of op de modelcontractbepalingen van de Commissie, met aanvullende maatregelen waar nodig. De hostingregio van de database is [COMPLETAR: regio van Supabase (bijv. EU – Frankfurt/Ierland) en van Vercel; bevestigen].

6. Bewaartermijnen

• Boekings-, betalings- en factuurgegevens: zo lang als nodig en daarna geblokkeerd gedurende de wettelijke verjaringstermijnen van handels- en fiscale verplichtingen (in het algemeen tot 6 jaar).
• Gegevens van het account van de Aanbieder: zolang het account actief is en daarna gedurende de toepasselijke wettelijke termijnen.
• Aanvragen en commerciële contacten: zolang de relatie of aanvraag loopt en ten hoogste [COMPLETAR: termijn, bijv. 24 maanden] na het laatste contact.
• Statistieken (Google Analytics): volgens de configuratie van de tool, [COMPLETAR: in GA4 ingestelde bewaartermijn].

Na afloop van de termijnen verwijderen of anonimiseren we de gegevens.

7. Jouw rechten

Je kunt op elk moment je rechten op inzage, rectificatie, verwijdering, bezwaar, beperking van de verwerking en gegevensoverdraagbaarheid uitoefenen, en gegeven toestemming intrekken, door te mailen naar hola@forholidays.app met je verzoek (we kunnen vragen je identiteit te bevestigen). We reageren binnen één maand.

Ben je van mening dat je rechten niet zijn nageleefd, dan kun je een klacht indienen bij de Spaanse toezichthouder Agencia Española de Protección de Datos (aepd.es) of bij de Nederlandse Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

8. Beveiliging

We nemen redelijke technische en organisatorische maatregelen om gegevens te beschermen: versleutelde verbindingen (HTTPS), toegangsbeheer en scheiding van gegevens tussen aanbieders, geen opslag van kaartgegevens (die worden door Stripe verwerkt) en beperking van toegang van medewerkers tot wat nodig is. Bij een datalek dat jou raakt, melden we dit aan de toezichthouder en, waar vereist, aan jou, conform de wet.

9. Wijzigingen in dit beleid

We kunnen dit beleid aanpassen om wijzigingen in onze dienst of de wet te weerspiegelen. De datum boven aan de pagina laat zien wanneer het voor het laatst is bijgewerkt. Bij ingrijpende wijzigingen informeren we je op een passende manier.