Privacybeleid
Verordening (EU) 2016/679 (AVG/GDPR) en LO 3/2018 (LOPDGDD)
Verwerkingsverantwoordelijke
- Houder: Chantell Adelina Gebauer Larrosa
- NIF: 60183993P
- Adres: C/ Alcalde Antonio Pariente Cuesta, 11B, 3G, 28342, Valdemoro, Madrid, España.
- Contact inzake gegevensbescherming: contacto@universopumpkin.es
- Functionaris voor gegevensbescherming: niet van toepassing. Deze activiteit valt onder geen van de gevallen die het aanstellen ervan verplicht maken.
Welke gegevens worden verzameld
De gegevens die nodig zijn voor elk van de doeleinden die in het volgende onderdeel worden toegelicht, en geen enkele meer.
| Wanneer | Welke gegevens |
|---|---|
| Bij het kopen | Voor- en achternaam, e-mailadres, verzendadres en, als je een bedrijfsfactuur vraagt, NIF en fiscaal adres. Een contacttelefoonnummer, zodat de vervoerder je kan waarschuwen over de levering. Als je kiest voor levering op een afhaalpunt, welk punt |
| Bij het aanmaken van een account | E-mailadres en wachtwoord (versleuteld, nooit zichtbaar), plus de adressen die je opslaat |
| Als je stukken als favoriet markeert (met een account) | Welke stukken je met het hartje hebt gemarkeerd, en wanneer. Anderen zien alleen hoeveel mensen een stuk als favoriet hebben, nooit wie |
| Bij het inloggen met Apple of met Google | Wat Apple of Google ons met jouw toestemming verstrekken: je e-mailadres en, als je dat opgeeft, je naam. Met Apple kun je je echte e-mailadres verbergen; dan ontvangen wij een doorstuuradres van Apple. Als je inlogt met Apple, bewaren wij versleuteld de toestemming die Apple ons geeft, uitsluitend om die te kunnen intrekken wanneer je het account verwijdert |
| Bij het betalen | Geen enkel kaartnummer. De kaartgegevens voer je rechtstreeks in op de betaalpagina van de bank of in PayPal; hier wordt alleen opgeslagen of de betaling goed is verlopen, het bedrag en een referentiecode |
| Als je «Deze kaart onthouden voor de volgende keer» aanvinkt | Het merk van de kaart (Visa, Mastercard…), de laatste 4 cijfers ervan, de vervaldatum en een referentie die de bank ons geeft en die alleen dient om in deze winkel af te rekenen. Nooit het volledige nummer, noch de beveiligingscode (CVV): die heeft alleen de bank |
| Als je onze apps gebruikt en meldingen toestaat | Een identificatiecode van de telefoon om er meldingen naartoe te sturen, de taal van de app en of je de meldingen over nieuwigheden accepteert |
| Bij het openen van een retourzending | De reden die je opschrijft, de foto's die je toevoegt om het probleem te tonen en de bijbehorende gesprekken |
| Als je ons schrijft via het contactformulier | Je naam, je e-mailadres, de reden, het bestelnummer als je dat opgeeft en het bericht |
| Bij het navigeren | De gekozen taal en de inhoud van het winkelmandje, in technische cookies van je browser. Daarnaast noteert de server in zijn technische logbestanden het IP-adres, de opgevraagde pagina, de browser en het tijdstip van elk bezoek |
| Bij het accepteren van de voorwaarden, het aanmelden voor nieuwigheden of het afmelden | Wat je hebt geaccepteerd of ingetrokken, wanneer, vanwaar (de website, de app, de betaling…), de versie van de tekst die je is getoond en het IP-adres vanwaar het is gebeurd |
Waarvoor en met welke rechtsgrondslag
De commerciële communicatie —nieuwigheden en aanbiedingen, per e-mail en via meldingen van onze apps— wordt uitsluitend verstuurd naar wie dat vakje aanvinkt, dat losstaat van de voorwaarden en nooit vooraf is aangevinkt. Het niet aanvinken ervan belet niet om te kopen of een account te hebben.
Elk van deze e-mails bevat een link om je met één klik uit te schrijven, zonder wachtwoord en zonder ons te hoeven schrijven. Je kunt het ook wijzigen via «Mijn account» of door erom te vragen per e-mail. De afmelding is onmiddellijk, geldt zowel voor de e-mail als voor de meldingen op de mobiele telefoon, en wordt bewaard, juist om je niet opnieuw te schrijven.
De meldingen op de mobiele telefoon verschijnen bovendien alleen als je telefoon je om toestemming heeft gevraagd en je die hebt gegeven. Je kunt ze op elk moment uitschakelen via de instellingen van de telefoon, zonder je af te melden voor de e-mail.
De e-mails en meldingen over de bestelling —de bevestiging, de verzending, de factuur of een retour— zijn niet commercieel: ze maken deel uit van de aankoop en worden verstuurd, ook al wil je de andere niet.
Er worden geen geautomatiseerde beslissingen genomen en er worden geen profielen opgesteld.
| Doel | Rechtsgrondslag | Bewaring |
|---|---|---|
| De bestelling verwerken, innen en verzenden | Uitvoering van de overeenkomst (art. 6.1.b RGPD (GDPR)) | Zolang de relatie duurt |
| De facturen opstellen en bewaren | Wettelijke verplichting (art. 6.1.c) | 4 jaar wegens fiscale verjaring; 6 jaar volgens het Wetboek van Koophandel (Código de Comercio) |
| Retouren en garanties afhandelen | Uitvoering van de overeenkomst en wettelijke verplichting | Totdat de vorderingen verjaren |
| Je account beheren als je er een aanmaakt | Uitvoering van de overeenkomst | Totdat je hem verwijdert |
| Je favorieten bewaren en, zonder te zeggen wie, tonen hoeveel mensen elk stuk hebben | Uitvoering van de overeenkomst: het is een functie van je account die je gebruikt als je wilt (art. 6.1.b RGPD (GDPR)) | Totdat je het stuk uit je favorieten haalt of je account verwijdert |
| Je kaart onthouden om sneller te betalen, als je daarom vraagt | Jouw toestemming, door bij het betalen «Deze kaart onthouden voor de volgende keer» aan te vinken (art. 6.1.a RGPD (GDPR)) | Totdat je hem verwijdert via «Betaalmethoden» in je account, of de account verwijdert |
| Je op de mobiele telefoon op de hoogte houden van de status van je bestelling (betaald, verzonden, afgeleverd) | Uitvoering van de overeenkomst (art. 6.1.b). Daarnaast vraagt de telefoon zijn eigen toestemming om meldingen te tonen: dat is een technische systeeminstelling, niet de rechtsgrondslag van de verwerking | Totdat je de toestemming op de telefoon intrekt, uitlogt of de account verwijdert |
| Weten hoe de website wordt gebruikt —welke pagina's worden bezocht, waarop wordt geklikt, bij welke stap van de aankoop wordt afgehaakt— om hem te verbeteren | Jouw toestemming, door op «Accepteren» te klikken in de melding over statistieken (art. 6.1.a RGPD (GDPR) en art. 22.2 LSSI). Als je niet accepteert, wordt er niets gemeten. Je kunt haar op elk moment intrekken via «Statistiekvoorkeuren», onderaan elke pagina, en het intrekken heeft geen invloed op wat eerder is gemeten. De gegevens worden gepseudonimiseerd: ze worden niet gekoppeld aan je naam, je e-mail of je account | Eén jaar vanaf elk bezoek: dat is wat PostHog bewaart in het abonnement dat wij gebruiken (het gratis abonnement), en na die tijd wordt het verwijderd |
| Reageren op wat je ons vraagt via het contactformulier of per e-mail | Als het over een bestelling of een aankoop gaat die je wilt doen, uitvoering van de overeenkomst of precontractuele maatregelen (art. 6.1.b); voor het overige, gerechtvaardigd belang om te reageren op wie ons schrijft (art. 6.1.f) | Eén jaar nadat de vraag is opgelost; langer alleen als er een openstaande klacht is, totdat die wordt afgesloten |
| Fraude bij de betalingen voorkomen | Gerechtvaardigd belang (art. 6.1.f) | Het strikt noodzakelijke om het op te sporen |
| Kunnen aantonen wat je hebt geaccepteerd en wanneer | Wettelijke verplichting om de toestemming te kunnen aantonen (art. 7.1 AVG (GDPR)) en gerechtvaardigd belang om ons te verweren tegen een vordering (art. 6.1.f) | Zolang deze geldig is en daarna 3 jaar, de termijn waarna de ernstigste overtredingen verjaren (art. 72.2 LOPDGDD en art. 45 LSSI). Na die tijd wordt het gewist; van een afmelding bewaren we alleen je e-mailadres, zonder het IP-adres, om je niet opnieuw te schrijven |
| De website veilig houden en fouten of misbruik opsporen, met de technische logbestanden van de server | Gerechtvaardigd belang bij de beveiliging van de dienst (art. 6.1.f) | 30 dagen; daarna worden ze automatisch gewist |
| Je nieuwtjes en aanbiedingen van de winkel sturen, per e-mail en via meldingen op de mobiel, als je daarom vraagt | Jouw toestemming (art. 6.1.a AVG (GDPR) en art. 21 LSSI), via een apart vakje dat je onaangevinkt kunt laten | Totdat je je afmeldt; de afmelding wordt bewaard om je niet opnieuw te schrijven |
Wie je gegevens nog meer ziet
Alleen de leveranciers die we nodig hebben om de dienst te verlenen. Elk van hen verwerkt de gegevens uitsluitend met het doel zijn eigen dienst te verlenen:
- Supabase — database en accountsysteem. De gegevens worden gehost in de Europese Unie.
- Redsys — betaalgateway voor betaling met kaart, Bizum en Apple/Google Pay. Spaans bedrijf.
- PayPal (Europe) S.à r.l. et Cie, S.C.A. — betaling met PayPal, als je daarvoor kiest. Treedt op als onafhankelijke verwerkingsverantwoordelijke voor de betaalgegevens die je rechtstreeks aan hen verstrekt.
- Sendcloud (Sendcloud B.V., Nederland) — platform waarmee de verzendingen worden beheerd, als verwerker; bewaart de gegevens in de Europese Unie. Via dit platform ontvangt de vervoerder die je bij de aankoop kiest wat nodig is om je bestelling te bezorgen: naam, adres of afhaalpunt, e-mailadres en telefoonnummer. Correos en Correos Express verwerken ze namens ons en uitsluitend voor de bezorging; InPost (InPost Spain, S.L.U.) verwerkt ze als verantwoordelijke voor zijn eigen bezorgdienst bij Punto Pack en Locker, conform zijn privacybeleid.
- PostHog Inc. — statistieken over het gebruik van de website, in hun Europese cloud (Frankfurt, Duitsland), alleen als je ze accepteert. Ontvangt welke pagina's worden bekeken en waarop wordt geklikt, het IP-adres, de browser, het besturingssysteem, de taal en de schermgrootte, waarmee op hun servers een pseudonieme identificatie wordt berekend die elke dag verandert. Ontvangt niet je naam, je e-mailadres of wat je in de formulieren schrijft, en in het account, de betaling en de bestellingen registreert het geen klikken.
- Amazon Web Services EMEA SARL — hosting van de website, back-ups en het versturen van de e-mails over bestellingen, retourzendingen en, als je daarom vraagt, nieuwtjes (Amazon SES). De servers, de back-ups en het versturen van e-mail bevinden zich in Parijs (Frankrijk, Europese Unie). De e-mails bevatten niets dat meldt of je ze opent, noch links die registreren of je erop klikt.
- Apple (Apple Distribution International Ltd., Ierland) en Google (Google Ireland Ltd.) — verspreiden onze apps in hun stores, bezorgen de meldingen op de telefoon (we sturen hun de identificatie van de telefoon en de tekst van elke melding, meer niet) en bevestigen, als je ervoor kiest om via hen in te loggen, je identiteit. Voor wat je in hun stores en in je Apple- of Google-account doet, gelden hun eigen privacybeleid.
Doorgiften buiten de Europese Unie
Als je kiest om met PayPal te betalen. PayPal (Europe) S.à r.l. et Cie, S.C.A. verwerkt die gegevens als onafhankelijke verwerkingsverantwoordelijke, conform zijn eigen privacybeleid, en de PayPal-groep geeft gegevens door buiten de Europese Economische Ruimte op basis van de modelcontractbepalingen die door de Europese Commissie zijn goedgekeurd. Die doorgifte vindt plaats vanaf het moment dat je deze betaalmethode kiest; als je dit liever vermijdt, blijft elk van de andere betaalwijzen binnen de Europese Unie.
Als je onze apps gebruikt en meldingen toestaat. Deze worden bezorgd door Apple (op de iPhone) en Google (op Android), die de identificatie van de telefoon en de tekst van elke melding ontvangen. Hun meldingsdiensten kunnen die gegevens in de Verenigde Staten verwerken. Apple baseert die doorgiften op de modelcontractbepalingen van de Commissie, en Google op het EU-VS-kader voor gegevensbescherming (Data Privacy Framework), waarbij Google LLC is aangesloten, en op diezelfde bepalingen. Als je deze doorgifte niet wilt, hoef je alleen maar de meldingen op de telefoon niet toe te staan: de app werkt daar gewoon mee.
Bij de statistieken (PostHog), als je ze accepteert. Bewaart de gegevens in de Europese Unie, maar sommige van zijn leveranciers of supportteams bevinden zich in de Verenigde Staten en kunnen er toegang toe hebben. Die toegang is gebaseerd op het EU-VS-kader voor gegevensbescherming (Data Privacy Framework), waar PostHog deel van uitmaakt, en op modelcontractbepalingen.
De overige leveranciers — de hosting en de e-mail, de database, de gateway van Redsys, Sendcloud en de vervoerders — verwerken de gegevens in de Europese Unie, en aangezien we alleen naar landen binnen de Unie verzenden, verlaten ook je verzendgegevens de Unie niet. Amazon Web Services behoort tot een Amerikaanse groep: de gegevens blijven in de EU, en elke toegang vanuit de Verenigde Staten valt onder het EU-VS-kader voor gegevensbescherming (Data Privacy Framework) en onder de modelcontractbepalingen van zijn verwerkersovereenkomst.
Minimumleeftijd
Vanaf 14 jaar kun je zelf toestemming geven voor de verwerking van je gegevens. Onder die leeftijd is de toestemming nodig van degene die het ouderlijk gezag of de voogdij uitoefent.
We controleren de leeftijd van niemand: bij het aanmaken van een account of het plaatsen van een bestelling verklaar je dat je aan deze voorwaarde voldoet. Als we gegevens van een kind onder de 14 jaar zonder die toestemming aantreffen, wissen we ze.
Jouw rechten
Je kunt op elk moment vragen om toegang tot je gegevens, om ze te corrigeren, te verwijderen, bezwaar te maken tegen de verwerking, deze te beperken of ze in een overdraagbaar formaat te ontvangen. Je hoeft alleen maar te schrijven naar contacto@universopumpkin.es met vermelding van wat je wilt; er kan een document worden gevraagd dat je identiteit aantoont.
Als je van mening bent dat je gegevens niet correct zijn verwerkt, kun je een klacht indienen bij het Spaanse Agentschap voor Gegevensbescherming (Agencia Española de Protección de Datos) (www.aepd.es).
Er is een uitzondering die je goed moet kennen: de gegevens van een reeds uitgereikte factuur kunnen niet op verzoek worden gewist, omdat er een wettelijke verplichting bestaat om deze te bewaren gedurende de hierboven aangegeven termijnen.
Als je een account hebt, kun je dit ook zelf verwijderen via «Persoonlijke gegevens» in je account: we sturen je een e-mail ter bevestiging en, zodra je bevestigt, worden het account, je persoonlijke gegevens, de opgeslagen adressen en je favorieten gewist. De bestellingen en facturen worden bewaard, zonder ze aan enig account te koppelen, zolang de wet dit vereist.
Wat wordt gewist, verdwijnt ook uit de back-ups wanneer deze verlopen. Er wordt elke nacht een versleutelde back-up gemaakt, die alleen wordt gebruikt om de winkel te herstellen als er iets misgaat, en elke back-up wordt na 400 dagen automatisch verwijderd.
Beveiliging
De site werkt volledig via een versleutelde verbinding. De wachtwoorden worden versleuteld opgeslagen en zijn niet leesbaar, zelfs niet vanuit het beheer. Het kaartnummer en de beveiligingscode komen op geen enkel moment via deze site: ze worden ingevoerd in de omgeving van de bank of van PayPal. Als je vraagt om een kaart te onthouden, bewaren we alleen de referentie die de bank ons geeft, het merk, de laatste 4 cijfers en de vervaldatum, waarmee niemand deze buiten deze winkel zou kunnen gebruiken.