1. Wie is verantwoordelijk
Voor gastenlijsten, uitnodigingen en toegang bepaalt de organisator van het evenement de doeleinden en middelen van de verwerking: hij is de verwerkingsverantwoordelijke, en InviteKey handelt voor zijn rekening als verwerker, onder de voorwaarden van afdeling 6 van de gebruiksvoorwaarden.
Voor gebruikersaccounts, facturatie, beveiliging en deze website is InviteKey de verwerkingsverantwoordelijke. Wij raden gasten aan ook het privacybeleid van de organisator te raadplegen.
2. Verwerkte gegevens en doeleinden
Accounts en ondersteuning: naam, zakelijk e-mailadres, organisatie en rol, authenticatiegegevens en contacten met de ondersteuning. Ze dienen om de accounts te leveren, verzoeken te beantwoorden en de dienst te beheren en te beschermen. Rechtsgrond: de uitvoering van de overeenkomst, ons gerechtvaardigd belang bij een veilige dienst of een wettelijke verplichting, naargelang het geval.
Evenementen en gasten: informatie en afbeeldingen van het evenement, naam, e-mailadres en categorie van de gasten, elk ander veld dat de organisator invoert, status van de uitnodiging en van de aflevering ervan, pas-ID’s, en tijdstip, controlepunt en toestel van de toegang. Deze gegevens worden op instructie van de organisator verwerkt om de toegang aan te maken, te versturen en te controleren; het is aan de organisator om zijn eigen rechtsgrond te bepalen en aan zijn gasten uit te leggen.
Opvolging van e-mails: voor elke uitnodigingsmail registreert onze verzenddienst de aflevering en, als de mailbox van de gast dat toelaat, het openen en de klikken op de links. Deze informatie laat de organisator weten of de uitnodiging is aangekomen en maakt het mogelijk foutieve adressen te behandelen.
Technisch gebruik: IP-adres, toegangs- en beveiligingslogboeken, onmisbare sessie-informatie en, voor verificatieapparaten voor uitnodigingen (de telefoons en tablets die bij de ingang van een evenement de QR-codes lezen) en Apple Wallet-passen, de technische identificatoren van het toestel, om de applicatie en de API te laten werken en te beveiligen. Rechtsgrond: ons gerechtvaardigd belang bij de veiligheid en betrouwbaarheid van de dienst.
Bescherming tegen bots: vóór een aanmelding, een registratie, de aanvaarding van een uitnodiging om lid te worden van een team of het opnieuw versturen van een code controleert Cloudflare Turnstile of het verzoek van een persoon komt en niet van een geautomatiseerd programma. Daarvoor analyseert het technische informatie over de browser en het toestel, waaronder het IP-adres, meestal zonder iets te vragen, soms door u een vakje te laten aanvinken. Rechtsgrond: ons gerechtvaardigd belang om de dienst en zijn gebruikers tegen misbruik te beschermen.
Cloudflare — Bezoekersmeting van de website: alleen op de publieke website, bekeken pagina’s, verwijzende website, land, type toestel en browser, zonder cookies of opslag in uw browser en zonder tracking over websites heen, om te weten hoe de website wordt bezocht. De applicatie, ook op de verificatieapparaten, en de uitnodigingspagina’s worden niet gemeten. Rechtsgrond: ons gerechtvaardigd belang om het bezoek aan de website te kennen.
Google Analytics: met uw toestemming meet Google Analytics, alleen op de publieke website, de bekeken pagina’s en de klikken naar een betaald aanbod of een offerte. Google kan cookies plaatsen en technische gegevens over uw bezoek ontvangen, met name het IP-adres en de kenmerken van de browser. Deze meting heeft geen betrekking op de applicatie, de uitnodigingspagina’s, de toegangscontrole of de betalingen. U kunt uw toestemming op elk moment weigeren of intrekken via ‘Statistiekkeuze’ onderaan de pagina. Rechtsgrond: uw toestemming.
Facturatie: bestellingen, aanbiedingen en transacties, bij de aankoop van een betalend aanbod, om de aankoop te beheren en onze boekhoudkundige en fiscale verplichtingen na te komen. Kaartbetalingen worden geïnd door Paypercut (afdeling 3).
Er wordt geen beslissing die rechtsgevolgen voor u heeft of u anderszins in aanmerkelijke mate treft, uitsluitend op geautomatiseerde verwerking gebaseerd.
3. Ontvangers en dienstverleners
Wij verkopen geen persoonsgegevens en geven geen gastenlijsten door aan adverteerders of aan partners zonder band met de dienst. Toegang is voorbehouden aan de gemachtigde gebruikers van de organisator, aan de personen die ze voor de dienst nodig hebben en aan de volgende dienstverleners:
Brevo verstuurt de uitnodigings- en accountmails; het ontvangt het e-mailadres en de inhoud van het bericht, en meet de aflevering, het openen en de klikken; het bewaart de verzendgeschiedenis een maand, zonder de inhoud van de berichten te bewaren. Backblaze B2 bewaart in een privéruimte de afbeeldingen van de evenementen en, zolang een import loopt, het bestand van de geïmporteerde gastenlijst, dat uiterlijk drie dagen na het uploaden wordt verwijderd. Railway host de API, de verwerkingen en de database; de technische logboeken ervan bewaren de ontvangen verzoeken, inclusief het IP-adres van het apparaat, dertig dagen. Cloudflare levert de website en de applicatie, meet het bezoek aan de publieke website en controleert vóór een aanmelding of registratie dat het verzoek niet van een geautomatiseerd programma komt. Paypercut int de kaartbetalingen voor online gekochte aanbiedingen; het ontvangt het e-mailadres van de koper, om zijn betaalpagina vooraf in te vullen, en de kaartgegevens, die rechtstreeks op die pagina worden ingevoerd en nooit aan InviteKey worden doorgegeven. Google: wanneer een gast kiest voor ‘Toevoegen aan Google Wallet’, worden de gegevens van zijn pas — naam, evenement, categorie, QR-code — aan Google doorgegeven, dat ze volgens zijn eigen regels verwerkt. Apple: wanneer een gast kiest voor ‘Toevoegen aan Apple Wallet’, wordt de pas rechtstreeks op zijn toestel gedownload, zonder dat InviteKey de inhoud ervan aan Apple doorgeeft; diensten van Apple zoals iCloud kunnen hem vervolgens volgens de regels van Apple tussen zijn toestellen synchroniseren.
Voor een pas die aan een Wallet is toegevoegd, raadpleeg het privacybeleid van Apple of het privacybeleid van Google. Zij beschrijven de verwerkingen van die bedrijven; deze pagina blijft die van de verwerkingen van InviteKey.
De organisator kan zijn team en zijn verificatieapparaten toegang geven. Wij kunnen ook informatie verstrekken wanneer de wet dat vereist of om rechten of de veiligheid van personen te beschermen, voor zover strikt noodzakelijk.
4. Doorgiften buiten de Europese Unie
Onze gegevens worden gehost in de Europese Unie. Sommige dienstverleners, of hun infrastructuur, kunnen echter gegevens verwerken buiten de Europese Economische Ruimte. Zulke doorgiften worden dan omkaderd door een erkend mechanisme, zoals een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie. Neem contact met ons op om de waarborgen te kennen die op uw gegevens van toepassing zijn. Apple en Google kunnen Wallet-gegevens ook volgens hun eigen regels verwerken.
5. Bewaartermijnen
De bewaartermijn van de gegevens van een evenement hangt af van het gekozen aanbod; hij wordt in de dienst getoond en loopt vanaf de dag waarop het evenement begint; die dag kan niet worden verschoven tot na de periode die door het aanbod wordt gedekt. Wanneer hij verstrijkt, eindigt de toegang en worden de gegevens uit onze actieve systemen verwijderd via onze geautomatiseerde verwijderingsprocedure. Zolang er voor een evenement geen uitnodiging is verstuurd, worden de gegevens ervan bewaard tot het gebruikte aanbod verloopt – bij het gratis aanbod twaalf maanden na het aanmaken van het evenement – en daarna op dezelfde manier verwijderd. Beperkte kopieën kunnen na het verstrijken van de termijn tijdelijk blijven bestaan: hoogstens vier weken in de back-ups van de database, dertig dagen in de technische logboeken van onze hostingprovider en een maand in de verzendgeschiedenis van onze e-mailprovider. Als een back-up wordt teruggezet, blijven deze gegevens ontoegankelijk en worden ze opnieuw verwijderd. Wij beloven niet dat elke kopie onmiddellijk wordt verwijderd wanneer de termijn verstrijkt.
Drie soorten kopieën ontsnappen aan onze controle en kunnen blijven bestaan na het einde van de toegang.
De exports die de organisator heeft gedownload, worden onder zijn uitsluitende verantwoordelijkheid bewaard; het is aan hem om ze te verwijderen.
De gastenlijst die offline op de verificatieapparaten wordt bewaard (namen, categorieën en, als de organisator het inschakelt, e-mailadressen) wordt van het toestel gewist wanneer het wordt afgemeld of, zo niet, zodra de applicatie er na het einde van zijn toegang opnieuw wordt geopend. Een toestel dat nooit opnieuw wordt geopend, bewaart ze tot de gegevens van zijn browser worden gewist: de organisator moet zijn toestellen dus afmelden aan het einde van het evenement.
De passen die in de Wallet-app van een gast zijn opgeslagen, blijven op zijn toestel: de gast kan ze op elk moment verwijderen, en Apple en Google beslissen zelf over de bewaring van Wallet-gegevens. Bij het verwijderen van de gegevens van het evenement vervangt InviteKey de pas door een versie die de naam van de gast en diens QR-code niet meer bevat; een apparaat dat langer dan 30 dagen uit of offline blijft, kan de vorige versie behouden.
Account- en ondersteuningsgegevens worden bewaard zolang het account bestaat en de verzoeken het vereisen, en daarna gedurende een beperkte termijn wanneer de beveiliging, een geschil of een wettelijke verplichting dat vereist. Facturatiegegevens worden bewaard gedurende de toepasselijke boekhoudkundige en fiscale termijnen. U kunt ons vragen welke termijn op een bepaald gegeven van toepassing is.
Het beveiligings- en auditlogboek wordt één jaar bewaard, en ten minste zes maanden na de verwijdering van de gegevens van het evenement waarop het betrekking heeft; sporen van verzendingen, betalingen en beslissingen over aanbiedingen worden vijf jaar bewaard.
6. Uw rechten
Afhankelijk van uw situatie en de betrokken verwerking kunt u inzage in uw gegevens vragen, of de rectificatie, wissing, beperking van de verwerking of overdraagbaarheid ervan, bezwaar maken tegen de verwerking en uw toestemming intrekken wanneer die de grondslag is. Deze rechten kunnen bij wet beperkt zijn. Schrijf naar support@invitekey.app; mogelijk moeten wij uw identiteit controleren voordat wij handelen.
Bent u gast op een evenement, dan is de organisator in principe het eerste aanspreekpunt voor elk verzoek over uw uitnodiging of uw aanwezigheid. U kunt ons ook schrijven: wij geven het verzoek door of behandelen het, naargelang het geval. U kunt een klacht indienen bij de Franse gegevensbeschermingsautoriteit (Commission nationale de l’informatique et des libertés, CNIL), www.cnil.fr, of bij de gegevensbeschermingsautoriteit van uw land.
7. Beveiliging en opslag op uw toestel
Wij passen toegangscontroles en andere technische en organisatorische maatregelen toe om de gegevens te beschermen. Geen enkele onlinedienst kan absolute veiligheid garanderen. Meld elk vermoed misbruik aan support@invitekey.app.
De website slaat in uw browser uw taal, uw voorkeur voor een licht of donker thema en uw keuze over de statistieken op. De applicatie slaat er uw taal, uw thema, de gekozen aanmeldmethode, de meldingen die u hebt verborgen en, gedurende vierentwintig uur, de aankoop die u na het aanmelden kunt hervatten op; tijdens een aanmelding of registratie bewaart het tabblad ook het lopende verzoek — ingevoerd adres en referentie —, dat wordt gewist wanneer het tabblad wordt gesloten. Ze gebruikt een onmisbare sessiecookie om gebruikers aangemeld te houden en de toegang te beveiligen, en de verificatieapparaten bewaren de evenementgegevens die nodig zijn voor de offline verificatie. De lettertypen en afbeeldingen van de interface worden door InviteKey zelf geleverd; alleen de botbescherming van Cloudflare, op de aanmeld- en registratiepagina’s — ook die om lid te worden van een team —, en Google Analytics, op de publieke website en met uw toestemming, laden een script van een derde.
8. Wijzigingen en vragen
Wij kunnen dit beleid wijzigen wanneer de dienst of de regelgeving verandert. De geldende versie en de datum ervan staan bovenaan deze pagina. Voor vragen of verzoeken: support@invitekey.app.
De verwerkingsverantwoordelijke is Adrian Tanasescu EI, eenmanszaak ingeschreven in Frankrijk (SIREN 529 157 810), 9 rue des Grisemottes, 69220 Belleville-en-Beaujolais, France, uitgever van InviteKey.