Privacybeleid

1. Verwerkingsverantwoordelijke

Ouchiner — vereenvoudigde vennootschap op aandelen met één aandeelhouder (SASU) met een maatschappelijk kapitaal van € 1.000, ingeschreven in het handels- en vennootschapsregister van Épinal onder nummer 106 905 938, statutaire zetel 39 rue Alix le Clerc, 88500 Poussay, Frankrijk, vertegenwoordigd door haar voorzitter de heer Stéphane Perry.
Contact: [email protected] — Website: ouchiner.com

2. Verzamelde gegevens

Gegeven	Doel	Rechtsgrond	Bewaartermijn
E-mailadres	Aanmaken van het account, transactionele communicatie	Uitvoering van de overeenkomst	Tot het account wordt verwijderd
Wachtwoord (gehasht, PBKDF2 met 100.000 iteraties)	Authenticatie (professionele, winkel- en ambassadeursomgeving)	Uitvoering van de overeenkomst	Duur van het account
Telefoonnummer (Pro-meldingen met sms-optie)	Verzending van meldingen per sms	Uitvoering van de overeenkomst	Duur van het account; gemaskeerd in logbestanden (laatste 4 cijfers bewaard)
Winkel- en evenementgegevens	Weergave op de kaart	Uitvoering van de overeenkomst	Duur van het abonnement
Geüploade foto's	Illustratie van het item	Uitvoering van de overeenkomst	Duur van het abonnement
Berichten, foto's en pdf's uitgewisseld via de berichtendienst	Rechtstreekse communicatie tussen kopers en handelaren (contact over een advertentie)	Uitvoering van de overeenkomst	365 dagen, daarna automatisch gewist; bijlagen opgeslagen bij Cloudflare (R2); alles wordt gewist bij verwijdering van het account
Betaalgegevens	Verwerking van betalingen (via Stripe)	Wettelijke verplichting	10 jaar (boekhoudkundige verplichting)
Gps-locatie (optioneel)	Functie „bij mij in de buurt”	Toestemming	Niet opgeslagen — alleen tijdens de sessie
IP-adres bij registratie	Bewijs van toestemming, bestrijding van misbruik	Gerechtvaardigd belang	Maximaal 13 maanden

3. Cookies en trackers

OuChiner gebruikt geen advertentiecookies en geen profileringstrackers, en er is geen toestemmingsbanner nodig: wij gebruiken uitsluitend cookies die strikt noodzakelijk zijn voor de dienst (sessie, voorkeuren) en hulpmiddelen voor publieks- en kwaliteitsmeting die werken zonder cookies en zonder persoonsgegevens. Eén uitzondering, toegelicht in onderstaande tabel: de kaartbibliotheek Mapbox schrijft een technische identificatiecode naar de lokale opslag van uw browser zodra er een kaart wordt weergegeven.

Cookie / Hulpmiddel	Soort	Duur	Doel
session, admin_session, amb_session	Noodzakelijk	Sessie (8 uur tot 30 dagen)	Aangemeld blijven
localStorage (token, geolocatie)	Noodzakelijk	Blijvend	PWA-authenticatie + opgeslagen positie voor de functie „bij mij in de buurt”
localStorage mapbox.eventData	Geplaatst door Mapbox	Blijvend	Technische identificatiecode die de kaartbibliotheek Mapbox schrijft voor haar eigen gebruiksmeting wanneer u een kaart weergeeft. Te verwijderen door de sitegegevens in uw browser te wissen. Beleid: mapbox.com/legal/privacy
Plausible Analytics	Anonieme statistieken	Geen cookies	Tellen van bezoeken, zonder individuele tracking of profilering. Vrijgesteld van toestemming (volgens de CNIL).
Cloudflare Web Analytics	Anonieme statistieken	Geen cookies	Prestaties en bezoekersaantallen, zonder individuele tracking
Sentry	Foutmonitoring (zonder cookies)	30 dagen	Opsporing van JavaScript-fouten in de modus zonder persoonsgegevens (geen IP-adres, geen identiteit, geen sessieopname). Grondslag: gerechtvaardigd belang.

Omdat er geen trackingcookie wordt geplaatst, is er geen toestemmingskeuze te beheren. Om bezwaar te maken tegen de verwerking voor publieks- of kwaliteitsmeting (gerechtvaardigd belang), schrijft u naar [email protected].

4. Delen van gegevens — verwerkers

Uw gegevens worden nooit verkocht. Zij kunnen worden gedeeld met de volgende verwerkers, uitsluitend voor zover noodzakelijk voor de uitvoering van de dienst:

• Stripe (betalingen) — e-mailadres en kaartgegevens worden doorgegeven bij een betaling. Beleid: stripe.com/privacy
• Resend (transactionele e-mails) — e-mailadres doorgegeven voor het verzenden van bevestigingen, meldingen en kennisgevingen. Beleid: resend.com/legal/privacy-policy
• OVH SMS (sms-verzending voor Pro-abonnees met de sms-optie) — het telefoonnummer wordt uitsluitend op het moment van verzending doorgegeven. Beleid: ovhcloud.com/nl/personal-data-protection
• Mapbox (kaarten en geocodering) — zoekopdrachten naar adressen kunnen de door u getypte termen bevatten. Beleid: mapbox.com/legal/privacy
• Cloudflare (hosting en database) — alle gegevens van de dienst worden bij Cloudflare gehost. Beleid: cloudflare.com/privacypolicy
• Sentry (monitoring van JavaScript-fouten, in de modus zonder persoonsgegevens) — beleid: sentry.io/privacy
• Plausible / Cloudflare Web Analytics (anonieme statistieken zonder cookies, zie §3)
• Open-Meteo (weersverwachtingen voor rommelmarktmeldingen) — de bij benadering bepaalde gps-coördinaten van het evenement worden doorgegeven. Geen persoonsgegevens. Voorwaarden: open-meteo.com/en/terms
• Anthropic (ondersteuning door kunstmatige intelligentie — Claude-API) — afhankelijk van de functie kunnen worden doorgegeven: beschrijvingen en foto's van de door handelaren gepubliceerde objecten en items (analyse en opstellen van advertenties), de inhoud van ingediende evenementaankondigingen, de openbare berichten van onze socialemedia-accounts, en de op die accounts ontvangen berichten (tekst en openbare gebruikersnaam van de afzender) om een conceptantwoord voor te bereiden. Deze gegevens worden niet gebruikt om de modellen te trainen. Beleid: anthropic.com/legal/privacy
• OpenAI (genereren van de illustraties bij onze socialemediaberichten) — er worden geen gebruikersgegevens doorgegeven: uitsluitend door OuChiner geschreven decoraanwijzingen. Beleid: openai.com/policies/privacy-policy
• DataForSEO (zoekwoordonderzoek voor de blog) — er worden geen gebruikersgegevens doorgegeven
• Franse API voor het opzoeken van ondernemingen (annuaire-entreprises.data.gouv.fr) — het door een Partner-Ambassadeur ingevoerde SIRET-nummer wordt aan deze openbare overheids-API doorgegeven om het bestaan en de activiteit van de vestiging te controleren en de naam en het statutaire adres op te halen.
• Billit (erkend platform voor elektronische facturatie) — uitsluitend voor Partner-Ambassadeurs en op het moment van een uitbetaling: naam, SIRET-nummer, statutair adres, in voorkomend geval btw-nummer, en bankgegevens, nodig voor het opstellen van de selffacturatie. Beleid: billit.eu/nl-be/privacy

Programma Partner-Ambassadeur

Als u deelneemt aan het betaalde niveau van het ambassadeursprogramma, verzamelen wij daarnaast het volgende om u te kunnen betalen en facturen op uw naam op te stellen (selffacturatiemandaat):

• Uw SIRET-nummer, evenals de naam en het statutaire adres van uw vestiging, automatisch opgehaald uit het SIRENE-register — verplichte vermeldingen op een factuur.
• Uw intracommunautaire btw-nummer, berekend op basis van uw SIREN-nummer, indien u verklaart btw in rekening te brengen.
• Uw bankgegevens (IBAN en rekeninghouder), versleuteld in de database opgeslagen en uitsluitend op het moment van een overschrijving ontsleuteld. Elke raadpleging wordt vastgelegd.

Rechtsgrond: uitvoering van de tussen ons gesloten overeenkomst (artikel 6, lid 1, onder b, AVG) en naleving van onze boekhoudkundige en fiscale verplichtingen (artikel 6, lid 1, onder c). Deze gegevens worden bewaard voor de duur van de relatie en vervolgens gedurende de wettelijke bewaartermijn voor facturen. Uw bankgegevens worden gewist zodra uw account wordt gesloten, evenals uw factuurgegevens indien er geen uitbetaling heeft plaatsgevonden.

De via uw link aangebrachte bezoeken worden zonder cookies geteld: wij bewaren een onomkeerbare vingerafdruk van het IP-adres van de bezoeker (gesalte hash), die uitsluitend dient om dezelfde persoon niet dubbel te tellen, nooit om die te identificeren.

Doorgifte buiten de Europese Unie

Sommige van deze verwerkers zijn in de Verenigde Staten gevestigd of kunnen daar gegevens naartoe doorgeven — met name Cloudflare, Stripe, Sentry, Mapbox, Resend, Anthropic en OpenAI. Afhankelijk van de dienstverlener berust deze doorgifte op het adequaatheidsbesluit van de Europese Commissie van 10 juli 2023 inzake het EU—VS-kader voor gegevensbescherming (Data Privacy Framework), wanneer de dienstverlener daaronder is gecertificeerd, en/of op de modelcontractbepalingen van de Europese Commissie die in zijn verwerkersovereenkomst zijn opgenomen. U kunt een kopie van de voor een bepaalde dienstverlener geldende waarborgen verkrijgen door te schrijven naar [email protected].

De overige genoemde dienstverleners — OVH, Plausible Analytics en Open-Meteo — zijn in de Europese Unie gevestigd.

5. Uw rechten

Op grond van de AVG beschikt u over de volgende rechten:

• Recht op inzage — een kopie van uw gegevens verkrijgen
• Recht op rectificatie — onjuiste gegevens laten corrigeren
• Recht op wissing — verwijdering van uw account en gegevens vragen
• Recht op overdraagbaarheid — uw gegevens in een gestructureerd formaat ontvangen
• Recht van bezwaar — bezwaar maken tegen bepaalde verwerkingen
• Recht op beperking van de verwerking — vragen om het gebruik van uw gegevens tijdelijk te bevriezen, bijvoorbeeld terwijl wij de juistheid ervan controleren (art. 18 AVG)
• Recht om uw toestemming in te trekken — op elk moment, voor verwerkingen die op toestemming berusten. Dat geldt voor de gps-locatie: het volstaat de locatietoestemming in uw browser of apparaat in te trekken. De intrekking doet geen afbreuk aan de rechtmatigheid van de verwerking die daarvóór heeft plaatsgevonden.

Om deze rechten uit te oefenen: [email protected]
Wij verbinden ons ertoe elk verzoek binnen uiterlijk 1 maand na ontvangst te beantwoorden.
U kunt ook een klacht indienen bij de Franse toezichthoudende autoriteit, de CNIL, of bij de toezichthoudende autoriteit van de lidstaat van uw gewone verblijfplaats, uw werkplek of de plaats van de vermeende inbreuk (art. 77 AVG).

6. Beveiliging

Wachtwoorden worden gehasht opgeslagen met PBKDF2-SHA256 met 100.000 iteraties en een unieke salt. Eenmalige codes (sms, e-mail) worden gegenereerd door een CSPRNG (crypto.getRandomValues), zijn beperkt tot 3 pogingen en verlopen na 10 minuten. De gegevens worden gehost op de infrastructuur van Cloudflare met TLS-versleuteling. De toegang tot de gegevens is uitsluitend voorbehouden aan de verwerkingsverantwoordelijke.

7. Contact gegevensbescherming

Verantwoordelijke voor gegevensbescherming: Stéphane Perry — [email protected]