Privacybeleid

1.Wie wij zijn

Donaraz is een omnichannel giftingplatform van Athom, gevestigd in Nederland. Bedrijven gebruiken Donaraz om cadeau-, cashback- en beloningsacties van begin tot eind te voeren: de aanvraagpagina, de serienummercontrole, de goedkeuring, het verzendlabel en de e-mails die de klant vertellen dat de beloning onderweg is.

Dit beleid geldt voor donaraz.com, het Donaraz-dashboard, onze API en de openbare aanvraagpagina’s die wij hosten op donaraz.app-subdomeinen en op de eigen domeinen van onze klanten. Voor alles in dit beleid bereikt u ons via:

2.Verwerkingsverantwoordelijke of verwerker: wat geldt voor u

Donaraz verwerkt twee heel verschillende soorten persoonsgegevens, met verschillende verantwoordelijkheden. Lees het onderdeel dat op u van toepassing is.

3.Welke gegevens wij verzamelen

4.Hoe wij uw gegevens gebruiken

Wij gebruiken de hierboven beschreven gegevens om:

• Het platform te laten draaien en de gegevens van elke werkruimte strikt gescheiden te houden
• U te authenticeren, rollen en rechten af te dwingen en tweefactorauthenticatie te ondersteunen
• Serienummers en aankoopbewijzen te controleren en dubbele of frauduleuze aanvragen te blokkeren
• Verzendlabels aan te maken, zendingen te volgen en de afleverstatus terug te melden aan het bedrijf
• Transactionele e-mail te versturen: aanvraag ontvangen, goedgekeurd of afgewezen, verzonden en track-and-trace-updates
• Abonnementen en uitbetalingen te verwerken en facturen op te stellen
• De prestaties van een actie te rapporteren aan het bedrijf dat de actie voert
• Support te bieden, fouten te onderzoeken en het product te verbeteren
• Te voldoen aan onze wettelijke, fiscale en administratieve verplichtingen

Wij verkopen uw persoonsgegevens niet, delen ze niet met advertentienetwerken en gebruiken uw content of aanvraaggegevens niet om AI-modellen te trainen.

5.Grondslag voor de verwerking (AVG)

Waar de AVG van toepassing is, baseren wij ons op de volgende grondslagen:

• Uitvoering van een overeenkomst: het leveren van het platform aan zakelijke gebruikers en het verwerken van aanvragen zodat een toegezegde beloning kan worden geleverd
• Gerechtvaardigd belang: het beveiligen van het platform, het voorkomen van frauduleuze en dubbele aanvragen, inzicht in het gebruik van het product en de verbetering daarvan, en het voeren van verweer bij juridische claims
• Wettelijke verplichting: het bewaren van facturen en administratie en het reageren op rechtmatige verzoeken van autoriteiten
• Toestemming: niet-essentiële cookies en marketingmail. U kunt uw toestemming altijd intrekken; dat raakt niet aan verwerkingen die al hebben plaatsgevonden

Waar wij aanvraaggegevens als verwerker verwerken, bepaalt het bedrijf achter de actie de grondslag en is dat bedrijf verantwoordelijk voor het informeren van aanvragers.

6.Met wie wij gegevens delen

Wij delen persoonsgegevens alleen waar dat nodig is om de dienst te leveren, en altijd onder een overeenkomst die beperkt wat de ontvanger ermee mag doen.

7.Serienummers, aankoopbewijs en fraudepreventie

Waar een actie dat vereist, controleren wij het ingediende serienummer of aankoopbewijs tegen de bereiken en lijsten die het bedrijf heeft geüpload, en houden wij bij welke serienummers al zijn gebruikt zodat dezelfde aankoop niet twee keer kan worden geclaimd.

Daarnaast beschermen Cloudflare Turnstile, rate limiting en dubbeldetectie de aanvraagpagina’s tegen geautomatiseerd misbruik. Wordt een aanvraag afgewezen, dan bewaren wij daarvan een registratie zodat het bedrijf geschillen kan afhandelen.

Deze controles filteren aanvragen; het zijn geen eindbeslissingen. Het bedrijf achter de actie neemt of bevestigt de beslissing om een aanvraag goed te keuren of af te wijzen, zodat geen enkel besluit met rechtsgevolgen uitsluitend geautomatiseerd tot stand komt.

8.Hoe lang wij gegevens bewaren

• Account- en werkruimtegegevens: zolang de werkruimte actief is, en verwijderd binnen 30 dagen na opheffing van het account
• Aanvraaggegevens: gedurende de periode die het bedrijf achter de actie voorschrijft, plus een eventuele wettelijke bewaartermijn. Zonder instructie hanteren wij standaard de actieperiode plus 24 maanden
• Registratie van gebruikte serienummers: zolang bescherming tegen dubbele aanvragen dat vereist, en ten hoogste zeven jaar
• Geüploade aankoopbewijzen: verwijderd samen met de bijbehorende aanvraag
• Facturen en administratie: zeven jaar, zoals de Nederlandse belastingwetgeving voorschrijft
• Server- en toegangslogs: 90 dagen
• Productanalyse: gepseudonimiseerd, tot 24 maanden
• Back-ups: doorlopend geroteerd en volledig gewist binnen 90 dagen

9.Beveiliging

Wij nemen technische en organisatorische maatregelen die passen bij de gevoeligheid van de gegevens die wij verwerken:

• Al het verkeer verloopt via HTTPS en gegevens zijn versleuteld tijdens transport
• Wachtwoorden worden gehasht met bcrypt; wij bewaren ze nooit leesbaar
• Tweefactorgeheimen en opgeslagen vervoerders- en integratiegegevens zijn versleuteld opgeslagen met AES-256
• Sessiecookies zijn HTTP-only, Secure en SameSite-beperkt, en ondertekend zodat ze niet gemanipuleerd kunnen worden
• Rolgebaseerde toegangscontrole bepaalt wat elk teamlid binnen een werkruimte kan zien en doen
• Geüploade bestanden zijn privé en worden geleverd via kortlopende, ondertekende links in plaats van openbare URL’s
• Cloudflare Turnstile en rate limiting beschermen aanvraagpagina’s en inlogendpoints
• Toegang van medewerkers tot productiegegevens is beperkt tot wat nodig is voor support en beheer

Geen enkel systeem is volledig veilig. Raakt een datalek uw persoonsgegevens, dan melden wij dit bij de toezichthouder en, waar vereist, bij de betrokkenen, binnen de termijnen die de AVG stelt.

10.Doorgifte naar het buitenland

Onze applicatie, database en bestandsopslag draaien in de Europese Unie, met uploads opgeslagen in Amsterdam en productanalyse op de EU Cloud van PostHog.

Sommige partijen, met name Stripe en Cloudflare, kunnen beperkte gegevens buiten de Europese Economische Ruimte verwerken. Waar dat gebeurt, valt de doorgifte onder een adequaatheidsbesluit of onder de standaardcontractbepalingen van de Europese Commissie met aanvullende waarborgen. U kunt bij ons opvragen welke waarborgen van toepassing zijn.

11.Uw rechten

Onder de AVG en vergelijkbare wetgeving hebt u het recht om:

• De persoonsgegevens die wij over u hebben in te zien en daarvan een kopie te ontvangen
• Onjuiste of onvolledige gegevens te laten corrigeren
• Uw gegevens te laten wissen, waar geen wettelijke grond ons verplicht ze te bewaren
• Uw gegevens in een gestructureerd, machineleesbaar formaat te ontvangen en te laten overdragen
• De verwerking te laten beperken zolang een geschil over juistheid of rechtmatigheid loopt
• Bezwaar te maken tegen verwerking op grond van ons gerechtvaardigd belang
• Uw toestemming in te trekken, waar de verwerking op toestemming berust

Mail naar [email protected] om een van deze rechten uit te oefenen. Wij reageren binnen 30 dagen. Gaat uw verzoek over een aanvraag die u hebt ingediend, neem dan ook contact op met het bedrijf achter de actie, want dat is voor die gegevens de verwerkingsverantwoordelijke. U hebt daarnaast het recht een klacht in te dienen bij uw toezichthouder; in Nederland is dat de Autoriteit Persoonsgegevens.

12.Kinderen

Het Donaraz-dashboard is een zakelijk hulpmiddel en richt zich niet op kinderen. Wij verzamelen via onze eigen diensten niet bewust persoonsgegevens van personen onder de 16 jaar. Richt een actie zich op minderjarigen, dan is het bedrijf achter die actie verantwoordelijk voor geldige toestemming van een ouder en voor eventuele aanvullende lokale eisen.

Denkt u dat een kind ons persoonsgegevens heeft verstrekt, mail dan [email protected]; wij verwijderen die gegevens dan direct.

13.Wijzigingen in dit beleid

Wij passen dit beleid aan wanneer onze verwerkingen veranderen. Bij ingrijpende wijzigingen informeren wij u ten minste 14 dagen van tevoren per e-mail of via een melding in het dashboard. De datum bovenaan deze pagina toont altijd de laatste herziening; gebruikt u de dienst na ingang van een wijziging, dan aanvaardt u het bijgewerkte beleid.

14.Contact

Voor privacyvragen, verzoeken over uw gegevens of details over de waarborgen bij doorgifte naar het buitenland bereikt u ons via [email protected] of per post: