Privacyverklaring

Not Just Tours, handelend onder not just tours, is de verwerkingsverantwoordelijke voor de persoonsgegevens die hier worden beschreven — wij bepalen dus waarvoor en hoe ze worden gebruikt. Wij zijn een eenmanszaak gevestigd in Duitsland, geen vennootschap; de volledige wettelijke gegevens, inclusief het postadres voor formele correspondentie, staan in het colofon.

Privacyvragen: info@notjusttours.com

Omdat wij in Duitsland zijn gevestigd, gelden voor alles wat hier staat de Algemene verordening gegevensbescherming (AVG/GDPR) en de Duitse federale wet gegevensbescherming (BDSG) — waar ter wereld je ook boekt en waarheen je ook reist.

Wij zitten ruim onder de omvang waarbij het Duitse recht een aangewezen functionaris voor gegevensbescherming vereist, dus een privacyverzoek komt op het adres hierboven en wordt door de eigenaar beantwoord.

Deze verklaring geldt voor deze website, het boekingsproces en de ondersteuning rond je reis. Ze geldt niet voor sites van derden waarnaar wij linken; die hebben hun eigen verklaringen.

Alleen wat wij nodig hebben om je een reis te verkopen en je op weg te helpen. Concreet:

• Je account — je e-mailadres, je voor- en achternaam, je telefoon- en WhatsApp-nummer, je nationaliteit en geboortedatum, je taal en valuta, je opgeslagen favorieten, de activiteitenniveaus en eventuele dieet- of toegankelijkheidsnotities die je wilt bewaren, en de vastlegging of je hebt ingestemd met marketing. Je wachtwoord wordt bewaard als eenrichtingshash en is nooit leesbaar, ook niet voor ons.
• Je boeking — wie er meereist, je hotel- of ophaaladres, je vluchtnummer en de antwoorden op de vragen die de ervaring zelf stelt. Dat laatste verschilt per ervaring. Waar een locatie, een grensovergang of een luchtvaartmaatschappij het vereist, kan het formulier om gegevens van een identiteitsdocument vragen, en die staan volledig op de voucher die je downloadt — wie hem controleert moet ze kunnen lezen.
• Betaling — verwerkt door Stripe. Wij ontvangen de uitkomst, het bedrag, het kaartmerk en de laatste vier cijfers. Wij zien of bewaren nooit je volledige kaartnummer.
• Ondersteuning — de berichten die je ons stuurt en alle bestanden of foto's die je bijvoegt.
• Beoordelingen — wat je schrijft en het cijfer dat je geeft. Je naam staat er alleen bij als je daar bij het versturen om vroeg, en dan alleen als voornaam met een initiaal; anders is de beoordeling anoniem. Je land publiceren wij niet.
• Hoe de site wordt gebruikt — welke ervaringen zijn bekeken, van wat voor apparaat, in welke taal, uit welk land, en of de bezoeker was ingelogd. Wij bewaren je IP-adres niet. Het wordt op het moment zelf gebruikt om inlogpogingen te begrenzen, en het komt voor in de kortlevende serverlogs van onze hostingprovider.

• Om je boeking uit te voeren — bevestigen, je voucher maken, de gegevens doorgeven aan je gids of chauffeur, en je voor en tijdens de reis ondersteunen. Grondslag: uitvoering van onze overeenkomst met jou.
• Om betaling te innen en fraude te voorkomen. Grondslag: overeenkomst, en ons gerechtvaardigd belang bij bescherming tegen frauduleuze transacties.
• Om wettelijke, fiscale en boekhoudkundige gegevens te bewaren. Grondslag: onze wettelijke verplichtingen.
• Om te zien naar welke ervaringen mensen zoeken — welke worden bekeken, van welk apparaat en uit welk land. Dit loopt op onze eigen servers, slaat niets op je apparaat op en voedt geen profiel over jou. Grondslag: ons gerechtvaardigd belang om te weten wat wij moeten aanbieden.
• Om te meten hoe de site presteert, met Google Analytics. Dit slaat wél cookies op je apparaat op, dus het start pas nadat je hebt ingestemd — daarvoor wordt er niets bij Google opgevraagd. Grondslag: jouw toestemming.
• Om marketing te sturen, als je daarmee instemt. Grondslag: jouw toestemming. Wij leggen vast wanneer en via welke handeling je die gaf, en je kunt haar op elk moment intrekken in je profiel. Intrekken maakt niet ongedaan wat eerder is verstuurd.
• Om in te spelen op een gezondheids-, dieet- of toegankelijkheidsbehoefte. Grondslag: jouw uitdrukkelijke toestemming, gegeven op het moment dat je het ons vertelt.

Wij verkopen je persoonsgegevens niet, en wij nemen over jou geen geautomatiseerde besluiten met rechtsgevolgen.

Zo weinig mogelijk, met zo weinig partijen mogelijk. Dit is de hele lijst.

• De aanbieder die je ervaring uitvoert — de gids, bootexploitant of chauffeur ontvangt de namen van de reizigers, met hoeveel jullie zijn, de ophaalgegevens en alles wat voor de veiligheid van belang is. Niets over je betaling, en niets anders.
• Stripe neemt de betaling aan en verwerkt eventuele terugbetalingen.
• Google Cloud host deze site, de database en de opgeslagen bestanden, in de regio `europe-west1` in België.
• Google Analytics ontvangt gebruiksgegevens van de site — en pas nadat je analytische cookies hebt geaccepteerd.
• Hostinger bezorgt onze e-mail, dus een bericht dat wij je sturen loopt via hun servers.
• Autoriteiten, waar de wet dat vereist, of om een rechtsvordering in te stellen of te verdedigen.
• Een koper, als de onderneming ooit wordt verkocht of geherstructureerd — met dezelfde waarborgen.

Iedereen op die lijst verwerkt je gegevens op onze instructie op basis van een verwerkersovereenkomst — behalve de autoriteiten, en behalve de aanbieder die je reis uitvoert, die zelf verantwoordelijk is voor wat hij ter plaatse doet.

Je gegevens staan in de Europese Economische Ruimte: de database, de opgeslagen bestanden en de back-ups staan allemaal in de regio `europe-west1` van Google Cloud.

Twee dingen verlaten haar.

• Wat je aanbieder op de bestemming nodig heeft. Een reis kan niet doorgaan als de mensen die haar uitvoeren niet weten wie er komt, dus de namen van de reizigers, de ophaalgegevens en alles wat de veiligheid raakt gaan naar de aanbieder op de bestemming — vandaag Egypte, waarvoor geen EU-adequaatheidsbesluit bestaat. Wij geven het minimum door dat de reis vereist, alleen voor die reis, en wij zijn de Standaardcontractbepalingen van de Europese Commissie met onze aanbieders aan het regelen als duurzame grondslag voor deze doorgiften.
• Wat onze verwerkers nodig hebben. Google is gecertificeerd onder het EU-US Data Privacy Framework, dus doorgifte daarheen rust op het adequaatheidsbesluit van de Commissie voor de Verenigde Staten. Voor een verwerker die niet onder een adequaatheidsbesluit valt, gebruiken wij de Standaardcontractbepalingen samen met passende technische en organisatorische maatregelen.

Landen buiten de EER beschermen gegevens mogelijk niet op het niveau dat het EU-recht stelt, en in sommige hebben autoriteiten ruimere toegangsrechten. Je kunt ons altijd vragen welke waarborgen voor een specifieke doorgifte gelden.

Wij houden cookies tot een minimum, en er zijn maar twee soorten.

• Noodzakelijk — dat je bent ingelogd, wat er in je mandje zit, het token dat verhindert dat een formulier van elders wordt verstuurd, en de taal en valuta die je koos. Zonder deze is er geen boeking, dus is er ook geen keuze te bieden.
• Analytisch — Google Analytics, zodat wij kunnen zien welke pagina's helpen en welke in de weg zitten. Worden alleen geplaatst als je instemt, en nooit eerder.

Er zijn geen advertentiecookies, en wij meten geen marketingcampagnes. Je kunt je antwoord altijd wijzigen via de cookie-instellingen in de voettekst; trek je de analytische toestemming in, dan zeggen wij de tag te stoppen en verwijderen wij de cookies die hij had geschreven.

Het cookiebeleid noemt elke cookie bij naam, waarvoor die dient en hoe lang die meegaat.

• Boekings-, betaal- en factuurgegevens — zolang het Duitse fiscale en handelsrecht dat vereist, wat oploopt tot tien jaar na het einde van het jaar waartoe een stuk hoort. Wij kunnen deze niet eerder wissen, ook niet op jouw verzoek.
• Je account — zolang je account bestaat. Vraag ons het te sluiten en wij wissen of anonimiseren alles wat wij niet moeten bewaren.
• Supportgesprekken en de bijlagen daarvan — nadat een zaak is gesloten, zodat wij de context nog hebben als je erop terugkomt.
• Notities over gezondheid, dieet en toegankelijkheid op je profiel — die kun je altijd wijzigen of verwijderen; ze verdwijnen met je account.
• Marketingtoestemming — de vastlegging van de toestemming en van een eventuele intrekking blijft ook na intrekking bestaan, want om te bewijzen dat je op tijd bent uitgeschreven is de datum van de uitschrijving nodig.
• Gebruiksgegevens van de site — bewaard om trends over de tijd te volgen.

Als een bewaartermijn eindigt, wissen wij de gegevens of anonimiseren wij ze onomkeerbaar.

Je hebt het recht om:

• de persoonsgegevens die wij over je hebben in te zien en een kopie te ontvangen;
• onjuiste of onvolledige gegevens te laten corrigeren — veel kun je zelf aanpassen in je profiel;
• je gegevens te laten wissen, behalve waar de wet ons verplicht ze te bewaren (zie hierboven, hoe lang wij ze bewaren);
• de verwerking te laten beperken of daartegen bezwaar te maken, inclusief alles wat wij op een gerechtvaardigd belang baseren;
• je gegevens in een machineleesbaar formaat naar een andere aanbieder over te dragen;
• toestemming in te trekken wanneer je wilt, zonder gevolgen voor wat daarvoor is gedaan.

Denk je dat wij slecht met je gegevens zijn omgegaan, zeg het dan eerst tegen ons, zodat wij het kunnen rechtzetten. Je hebt ook het recht een klacht in te dienen bij een toezichthouder — die van je woonplaats, of de voor ons bevoegde: de Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

Het verkeer naar en van deze site is versleuteld. Wachtwoorden worden bewaard als eenrichtingshashes en zijn nooit leesbaar. Kaartgegevens bereiken onze servers niet — die gaan van je browser naar Stripe. Administratieve toegang tot persoonsgegevens vereist een apart account met eigen rechten, en wat dat account mag zien is beperkt tot wat het werk nodig heeft.

Geen enkel systeem is volmaakt veilig. Als een inbreuk je rechten ooit in gevaar brengt, melden wij die binnen 72 uur aan de toezichthouder en vertellen wij het je zonder onnodige vertraging rechtstreeks.

Wij verkopen aan volwassenen. Kinderen reizen vaak met ons mee, maar hun gegevens krijgen wij altijd van de volwassene die boekt, en wij verzamelen niet bewust gegevens rechtstreeks van een kind. Denk je dat een kind ons gegevens heeft gegeven, neem dan contact op en wij verwijderen ze.

Wij werken deze verklaring bij als onze diensten of de wet veranderen. De datum bovenaan toont de laatste herziening, en wij laten het je rechtstreeks weten als een wijziging wezenlijk raakt aan hoe wij je gegevens gebruiken.

Mail info@notjusttours.com voor alles op deze pagina, of info@notjusttours.com voor al het andere. Beide komen op dezelfde plek terecht.

Onze naam en het postadres voor formele correspondentie staan in het colofon.

Je kunt ook de contactpagina gebruiken of onze algemene voorwaarden en ons cookiebeleid lezen.