Privacybeleid

De verwerkingsverantwoordelijke voor de persoonsgegevens op dit platform is Rafael Martins, handelend onder de naam Beautly, een natuurlijke persoon (eenmanszaak) gevestigd in Nederland.

Voor privacyzaken, en om een van de rechten uit artikel 9 uit te oefenen, mail naar [email protected].

Paddle.com Market Ltd is de Merchant of Record voor elke bestelling via deze website. Voor de betaalgegevens die Paddle bij het afrekenen verzamelt, treedt Paddle op als zelfstandig verwerkingsverantwoordelijke onder haar eigen privacybeleid — wij ontvangen of bewaren je kaartgegevens nooit.

Wij verzamelen de gegevens die nodig zijn om het platform te laten werken: naam, e-mailadres, telefoonnummer, bedrijfsgegevens (naam, fiscaal nummer, adres) en gebruiksinformatie (toegangslogs, gebruikte functies). Zet je de koppeling met Google Agenda aan, dan bewaren wij ook het OAuth-token dat je verleent en gebruiken wij afspraakgegevens (datum, tijd, klantnaam en dienst) om afspraken in je agenda te zetten.

Factuurgegevens — factuuradres, land, fiscaal nummer en betaalgegevens — worden bij het afrekenen door Paddle.com Market Ltd verzameld. Van Paddle ontvangen wij alleen wat wij nodig hebben om je abonnement te beheren: je naam, e-mailadres, land, abonnement en de status en bedragen van je transacties.

Wij verwerken persoonsgegevens voor de volgende doeleinden en op de volgende rechtsgronden uit artikel 6 AVG:

• Het leveren van de dienst waarvoor je je hebt aangemeld — uitvoering van een overeenkomst (art. 6 lid 1 sub b);
• Operationele meldingen (welkom, wachtwoordherstel, herinneringen, storingsberichten) — uitvoering van een overeenkomst (art. 6 lid 1 sub b);
• Facturatie, belasting en boekhouding — wettelijke verplichting (art. 6 lid 1 sub c);
• Beveiliging, misbruik- en fraudepreventie en verbetering van het platform — gerechtvaardigd belang (art. 6 lid 1 sub f);
• Productanalyse binnen het portaal (PostHog, gehost in de EU, nooit gebruikt voor advertenties) — gerechtvaardigd belang (art. 6 lid 1 sub f); je kunt hiertegen op elk moment bezwaar maken via ons contactkanaal.
• Analytische en marketingcookies van de publieke website (Google Analytics, PostHog, Meta Pixel) — toestemming (art. 6 lid 1 sub a), die je op elk moment kunt intrekken via de cookiebanner. Op deze website draait PostHog achter dezelfde toestemming als de andere twee en worden er nooit sessies opgenomen.

Wij verkopen je gegevens niet. Wij delen ze alleen met de onderstaande leveranciers, die allemaal gebonden zijn aan contractuele geheimhouding (een verwerkersovereenkomst) en je gegevens niet voor eigen doeleinden mogen gebruiken. Bij Cloudflare is geen aparte ondertekening aan de orde: het verwerkersaddendum is onderdeel van de abonnementsovereenkomst die wij bij het openen van het account hebben geaccepteerd.

De koppeling met Google Agenda is optioneel en zet je zelf aan in je accountinstellingen. Ons gebruik van informatie uit Google API's volgt het Google API Services User Data Policy, inclusief de Limited Use-vereisten.

5.1 Welke gegevens. Bij het autoriseren geef je toegang tot de scope https://www.googleapis.com/auth/calendar.events, waarmee afspraken in de Google Agenda van de salon kunnen worden aangemaakt, bijgewerkt en verwijderd. Beautly leest geen bestaande afspraken in je agenda en heeft geen toegang tot andere Google-gegevens (profiel, contacten, e-mail enzovoort).

5.2 Gebruik van de gegevens. Afspraakgegevens (datum en tijd, klantnaam, dienst en medewerker) worden uitsluitend naar Google Agenda gestuurd om afspraken te maken en bij te houden die de afspraken in het platform weerspiegelen. Die gegevens worden nooit gebruikt voor advertenties, marktonderzoek, het trainen van AI/ML-modellen of enig ander doel dan agendasynchronisatie.

5.3 Delen. Het OAuth-token en de afspraakgegevens worden alleen naar de Google Calendar API gestuurd om de geautoriseerde handelingen uit te voeren. Geen enkel gegeven uit Google API's wordt met andere derden gedeeld, doorverkocht of buiten deze koppeling gebruikt.

5.4 Opslag en beveiliging. Het OAuth-token wordt veilig opgeslagen in een PostgreSQL-database, gescheiden per salon (tenant), alleen bereikbaar vanaf de servers van Beautly. Het wordt nooit blootgesteld aan de browser van de eindgebruiker. Verloopt het, dan wordt het automatisch vernieuwd via het refresh token, zonder je opnieuw iets te vragen.

5.5 Bewaren en verwijderen. Het OAuth-token wordt direct verwijderd zodra je de koppeling in je instellingen verbreekt. Het wordt ook automatisch verwijderd als je de toegang rechtstreeks intrekt op myaccount.google.com/permissions. Bij het sluiten van een account worden alle tokens binnen 90 dagen verwijderd volgens de algemene bewaarregel in artikel 8. Wil je het eerder verwijderd hebben, mail dan [email protected].

De gegevens van je eigen klanten (afspraken, historie, contactgegevens) horen bij jouw bedrijf. Daarvoor ben jij verwerkingsverantwoordelijke en is Beautly verwerker in de zin van artikel 28 AVG: wij verwerken ze uitsluitend volgens jouw gedocumenteerde instructies en alleen voor zover nodig om de dienst te leveren. Jij bent verantwoordelijk voor een rechtsgrond om ze te verzamelen en voor het informeren van je klanten.

Beautly draait op een zelf gehoste server in Nederland, die wij zelf beheren en niet bij een cloudprovider. Fysieke toegang tot de machine is beperkt tot de beheerder.

De getroffen maatregelen zijn: versleuteling tijdens transport (HTTPS/TLS 1.2+), wachtwoorden opgeslagen als bcrypt-hash, sessies die na 16 uur verlopen, toegangscontrole per rol en uurlijkse back-ups. Wij beschrijven wat er is; wij beloven geen niveau van fysieke beveiliging of beschikbaarheid daarbovenop, en artikel 18 van de Algemene Voorwaarden stelt dat er geen uptime wordt gegarandeerd.

Wij bewaren geen kaartgegevens — betalingen worden verwerkt door Paddle.com Market Ltd.

Gegevens worden bewaard zolang het account actief is. Na opzegging worden ze binnen 90 dagen verwijderd, tenzij een langere wettelijke bewaarplicht geldt (bijvoorbeeld factuur- en belastingadministratie, die bewaard moet blijven zolang de toepasselijke belastingwetgeving vereist). Authenticatielogs worden maximaal 90 dagen bewaard.

Je hebt recht op inzage in je gegevens, op rectificatie of wissing, op beperking van of bezwaar tegen de verwerking, op gegevensoverdraagbaarheid, en om je toestemming op elk moment in te trekken zonder dat dit gevolgen heeft voor verwerkingen van vóór de intrekking.

Om een van deze rechten uit te oefenen, mail naar [email protected] met als onderwerp “AVG-verzoek” en het e-mailadres van je account. Wij reageren binnen één maand, zoals artikel 12 lid 3 voorschrijft.

Je hebt ook het recht een klacht in te dienen bij de toezichthoudende autoriteit voor gegevensbescherming van de EU-lidstaat waar je woont, werkt of waar je meent dat een inbreuk heeft plaatsgevonden. In Nederland is dat de Autoriteit Persoonsgegevens.

Wij gebruiken strikt noodzakelijke cookies voor authenticatie en voor de werking van de app. Analytische cookies (Google Analytics, PostHog) en marketingcookies (Meta Pixel) worden pas geladen nadat je uitdrukkelijk toestemming hebt gegeven in de cookiebanner. Je kunt die toestemming op elk moment intrekken door de gegevens van deze site in je browserinstellingen te wissen.

Beautly is gevestigd in Nederland en de server waarop het platform draait staat in Nederland. Je gegevens worden dus binnen de Europese Economische Ruimte verwerkt, en er is geen doorgifte daarbuiten nodig om de dienst te leveren.

De uurlijkse back-ups staan op Cloudflare R2 in de regio West-Europa, zodat ook de gegevens in rust binnen de Europese Unie blijven.

Doorgifte buiten de EER gebeurt alleen via de leveranciers uit artikel 4, in de landen die in die tabel staan. Elke doorgifte steunt op de waarborgen uit hoofdstuk V AVG — modelcontractbepalingen die de Europese Commissie heeft goedgekeurd — of op een adequaatheidsbesluit waar dat bestaat, zoals voor het Verenigd Koninkrijk. Je kunt een kopie van de toepasselijke waarborgen bij ons opvragen via [email protected].

Privacycontact: [email protected]. Dat adres komt rechtstreeks bij de verwerkingsverantwoordelijke uit.

Artikel 27 AVG verplicht alleen verwerkingsverantwoordelijken die niet in de Unie zijn gevestigd om schriftelijk een vertegenwoordiger in de Unie aan te wijzen. Beautly is gevestigd in Nederland, een EU-lidstaat, dus artikel 27 is niet van toepassing en er is geen vertegenwoordiger te noemen: je hebt al te maken met een vestiging in de Unie.

Wij hebben ook geen functionaris voor gegevensbescherming aangesteld. Artikel 37 maakt dat verplicht voor overheidsinstanties, voor verwerkingsverantwoordelijken wier kernactiviteit bestaat uit grootschalige regelmatige en stelselmatige observatie van betrokkenen, of uit grootschalige verwerking van bijzondere categorieën van gegevens. Niets daarvan beschrijft Beautly. Het contact hierboven vervult voor jou dezelfde praktische functie.