Privacyverklaring

1. Wie is verantwoordelijk?

Path2You is een eenmanszaak, gevestigd aan Doornenburg 2, 7339 DT Ugchelen, ingeschreven bij de Kamer van Koophandel onder nummer 42119323. Path2You is de verwerkingsverantwoordelijke voor de persoonsgegevens die via het platform worden verwerkt. Vragen kun je stellen via info@path2you.com. Voor facturen die wij namens een aanbieder maken, is de aanbieder verantwoordelijk en werken wij in zijn opdracht (zie 'Je factuur en declareren').

2. Welke persoonsgegevens verwerken wij?

Afhankelijk van je gebruik van het platform verwerken wij onder meer:

• account- en inloggegevens: naam, e-mailadres en inloggegevens via magic-link, Google- of Microsoft-account;
• je woonplaats, alleen als je die zelf invult in Mijn profiel, om events dichtbij je te laten zien;
• je adres (je naam of een bedrijfsnaam, straat en huisnummer, postcode en land; de woonplaats is je woonplaats hierboven), alleen als je dat zelf invult in Mijn profiel, om het factuurveld bij het afrekenen vooraf in te vullen;
• profielgegevens van aanbieders: naam of bedrijfsnaam, adres, telefoonnummer, bio, foto, disciplines en certificeringen; het telefoonnummer wordt alleen openbaar op het profiel getoond als de aanbieder daar zelf voor kiest, en straat en postcode kan de aanbieder van het profiel afhalen;
• boekings- en transactiegegevens: welke gebruiker bij welke aanbieder een dienst of sessie boekt, datum en tijd, en de betaalstatus;
• communicatiegegevens: e-mails over boekingen, accounttoegang en klantenservice;
• technische en beveiligingsgegevens: IP-adres, apparaat- en browsergegevens, logbestanden, foutmeldingen en informatie voor misbruikbescherming;
• gebruiksgegevens: favorieten, reviews en interacties met het platform;
• websitestatistieken via Vercel Web Analytics: de bezochte pagina, de website die je hierheen verwees (voor zover jouw browser die meestuurt) en, uit de technische referentie van Vercel, onder meer je locatie tot op stadsniveau (land, regio, plaats) en een apparaat-identificatie (besturingssysteem, browser, apparaattype, merk en model). Er wordt geen cookie geplaatst; bezoekers worden dagelijks herkend via een hash die na 24 uur vervalt.
• botcontrole bij twee formulieren: de inschrijving voor de nieuwsbrief en de volgknop op een aanbiedersprofiel. Alleen op het moment dat je een van die twee verstuurt, en niet bij gewoon rondkijken, sturen wij de technische gegevens van dat verzoek naar Vercel, dat beoordeelt of er een mens of een geautomatiseerd script verstuurt. Daarbij gaan mee: je IP-adres, de browser- en apparaatgegevens die je browser zelf meestuurt, je taalvoorkeur, de pagina waar je vandaan kwam en het adres waar je naartoe verstuurt. Je browser draait daarvoor een kort controlescript van Vercel; wat dat script precies uitleest bepaalt Vercel, en dat kunnen wij niet inzien. Het doel is voorkomen dat geautomatiseerde scripts uit onze naam massaal mail laten versturen en onze lijsten vullen. Houdt de controle je ten onrechte tegen, dan staat in de melding een mailadres waarop wij je alsnog met de hand inschrijven.
• botcontrole bij het aanmaken van een account. Net als bij die twee formulieren gebeurt dit alleen op het moment dat je het formulier verstuurt, en niet bij gewoon rondkijken of het openen van het formulier. Je browser vraagt dan eerst, hoogstens anderhalve seconde lang, een controle aan bij onze server, die dezelfde technische gegevens als hierboven naar Vercel stuurt. Duurt het te lang of lukt het niet, dan gaat je aanmelding gewoon door. De uitslag (mens, bot of geen uitslag) blijft bij ons: wij bewaren hem 25 dagen in een aparte meettabel, bij een korte afgeleide code van je e-mailadres waar je adres niet rechtstreeks uit te lezen is, zonder je naam, je IP-adres of je account. Bevestig je je adres, dan noteren wij dat erbij. Het doel is alleen meten hoe vaak de controle een echt mens voor een bot aanziet. Wij doen niets met die uitslag: niemand wordt erdoor tegengehouden of anders behandeld. Hiervoor wordt geen cookie geplaatst.
• de nieuwsbrief van Path2You: je e-mailadres, het moment waarop je je inschreef, het moment waarop je je adres bevestigde en, als je je afmeldt, dat moment. Van elke nieuwsbrief die wij je sturen bewaren wij dat wij hem verstuurden en of hij is aangekomen, zonder je adres erbij. Wij tellen niet of je een nieuwsbrief opent of op een link klikt. Kies je tijdens het boeken of kopen voor de nieuwsbrief, dan bewaren wij je e-mailadres als nog niet bevestigde inschrijving. De bevestigingsmail sturen wij pas als je boeking of betaling definitief is. Pas als je op de link in die mail klikt, ben je ingeschreven.

De identiteitscontrole (KYC) voor betaalde stromen verloopt rechtstreeks bij onze betaaldienstverlener OPP (zie sectie 4). Identiteitsdocumenten die je daar aanlevert, ontvangen wij niet.

Wij leggen geen medisch dossier of gezondheidsprofiel aan, en vragen je niet om gezondheidsgegevens of andere bijzondere persoonsgegevens in te vullen. Vermeld die dus ook niet in vrije-tekstvelden. De enige uitzondering is een declareerbare factuur die je zelf aanvraagt; zie hieronder bij "Je factuur en declareren".

Wel onthouden wij bij wie je boekt, wie je volgt, wie je als favoriet bewaart en over wie je een recensie schrijft, en sturen wij je bericht door als je een aanbieder via het contactformulier schrijft. Omdat het vak van een aanbieder op zijn profiel staat, kan daaruit iets over je gezondheid of welzijn blijken. De privacywet noemt dat een bijzonder persoonsgegeven, en daarom vragen wij je bij elk van die handelingen apart om uitdrukkelijke toestemming, met een vinkje dat niet vooraf is aangezet. Bij een boeking, volg-actie, favoriet of recensie leggen wij vast welke tekst je zag en wanneer je akkoord gaf; een contactbericht bewaren wij zelf niet. Laat je bij zo'n bericht een telefoonnummer achter, dan sturen wij dat op dezelfde manier door en bewaren wij het zelf ook niet. Een recensie verschijnt openbaar met je naam bij de aanbieder. Zonder dat vinkje gaat de handeling niet door, omdat een boeking of een volglijst niet bestaat zonder te weten bij wie.

Het vinkje bij een boeking geldt ook voor een afspraak die je aanbieder voor je klaarzet. Zo'n afspraak bevestig je altijd zelf, via een link of een QR-code. Vanuit zijn klantenlijst kan je aanbieder je alleen een uitnodiging laten mailen als je het vinkje gaf met de tekst van 17 oktober 2026 of later.

Tikt je aanbieder je e-mailadres in, dan mailen wij je de uitnodiging. Je adres zelf bewaren we niet, alleen een onleesbare code ervan: zolang de uitnodiging openstaat, en na een afmelding, zodat die blijft gelden.

Je trekt die toestemming in door een favoriet zelf te verwijderen of je af te melden bij een aanbieder die je volgt; dan verwijderen wij die koppeling. Voor boekingen en recensies trek je hem in door je gegevens te laten wissen via je privacygegevens. Wij wissen dan je naam, je e-mailadres en de koppeling met je account; recensies verwijderen wij helemaal. Alleen een strippenkaart die je nog kunt gebruiken blijft aan je account gekoppeld, zodat je niet kwijtraakt wat je betaald hebt. Trek je in vóór een afspraak, dan gelden voor die afspraak de gewone annuleringsregels. Onze betaalpartner OPP ziet bij wie je betaalt en wat je koopt, omdat de aanbieder het geld ontvangt; OPP is daarvoor zelf verantwoordelijk (zie sectie 4).

Voor de suggesties "ook interessant" op een profiel tellen wij hoe vaak kopers bij twee aanbieders allebei iets kochten. Daarin staan geen namen of adressen, een telling verschijnt pas vanaf vijf verschillende kopers, alleen aankopen waarvoor je toestemming gaf tellen mee, en wie zijn gegevens heeft laten wissen telt vanaf de eerstvolgende nachtelijke telling niet meer mee.

De nieuwsbrief en de meting

Volg je een aanbieder, dan stuurt Path2You je zijn nieuwsbrieven. Wij versturen ze namens de aanbieder, onder zijn naam, met het antwoordadres van de aanbieder. Wij zijn verantwoordelijk voor de lijst en de verzending; de aanbieder is verantwoordelijk voor wat hij schrijft. Op de bevestigingspagina, nadat je je inschrijft, staat een vakje dat niet vooraf is aangezet: "Path2You mag tellen of ik de nieuwsbrief open en op welke links ik klik." Zonder dat vinkje sturen wij je de nieuwsbrief zonder enige meting.

• Wat wij tellen: alleen óf een nieuwsbrief is geopend en óf een link is aangeklikt, voor elke nieuwsbrief per volger hoogstens één keer. Dat gebeurt met een onzichtbaar plaatje in de mail en met links die eerst via Path2You lopen. In de telling zelf staat geen adres, naam, IP-adres of tijdstip, en wij koppelen de telling nergens aan jou. Wel registreert onze hostingpartij Vercel in haar serverlogs dat het plaatje of de link is opgevraagd, met je IP-adres, het tijdstip en de gecodeerde link. Die logs staan buiten de telling en gebruiken wij alleen voor beveiliging en foutopsporing, niet om te zien wat jij deed; zie het stuk over beveiligings- en loggegevens bij de bewaartermijnen.
• Wat de aanbieder ziet: per nieuwsbrief het totaal aantal geopend en het totaal aantal geklikt, en alleen als het aantal dat opende én het aantal dat niet opende elk minstens vijf is. Daaronder blijft het leeg. De aanbieder ziet nooit wat jij zelf deed.
• Intrekken: je zet de meting uit met de link "Niet meer meten" onderaan elke nieuwsbrief, of door je af te melden. Daarna telt een eerder verstuurde mail niet meer mee.
• Afmeldingen: melden jij of de aanbieder je af, of klaagt je mailprogramma over de mail, dan verwijderen wij je van de lijst en tellen wij dat op voor die aanbieder: één regel met alleen de aanbieder, de dag en of je je afmeldde, klaagde of verwijderd werd. Geen adres en geen naam. Een aanbieder die de lijst voor en na een afmelding naast elkaar legt, ziet wel wie vertrok.
• Verzending: de mail gaat via Resend in de Verenigde Staten (zie sectie 5). De eigen registratie van openen en klikken door Resend laten wij voor de nieuwsbrief uitstaan; wij controleren dat regelmatig en krijgen een melding als hij toch aan blijkt te staan.

Je factuur en declareren

Maakt je aanbieder een factuur via Path2You (zelf, op jouw verzoek bij een ticket, of automatisch na afloop van je sessie of ruimteverhuur), dan maken wij die in zijn naam. Voor die factuur is je aanbieder verantwoordelijk; wij maken en bewaren hem in zijn opdracht.

• Factuuradres. Bij het afrekenen kun je je naam of bedrijfsnaam en je adres invullen. Dat hoeft niet: tot en met € 100 krijg je ook zonder adres een factuur. Wij bewaren wat je invult tot de factuur is gemaakt, en uiterlijk 30 dagen na je afspraak; komt er geen factuur, dan wissen wij het dan. Daarna staat het alleen nog op de factuur. Heb je in Mijn profiel een adres bewaard, dan vullen wij het hier vooraf in; wat je bij het afrekenen aanpast, bewaren wij niet in je profiel.
• Land en adres bij een aanbieder die zelf factureert. Koop je bij een aanbieder in Italië of Spanje die zijn factuur zelf maakt, dan vragen wij je land en, als de aanbieder dat wil, ook je adres. Dat hoort bij het uitvoeren van je aankoop, en bij het belang van je aanbieder om je een factuur te kunnen geven. Wij zetten je land en adres, samen met je naam, in het verkoopoverzicht van je aanbieder, zodat hij je factuur kan maken. Je aanbieder gebruikt ze op zijn eigen grondslag en is daarvoor zelf verwerkingsverantwoordelijke. Wij bewaren je land en adres 24 maanden na je betaling.
• De factuur. Je aanbieder moet zijn facturen zeven jaar bewaren (in België tien jaar). Ons exemplaar bewaren wij tot zeven jaar (bij een aanbieder in België tien jaar) na het einde van het jaar van de factuur; daarna halen wij je naam en adres eraf. Laat je je gegevens eerder bij ons wissen, dan halen wij je naam en adres meteen van ons exemplaar. Heb je geen account, dan kunnen wij je aankoop tot 24 maanden na afloop van de dienst aan je e-mailadres koppelen (loopt er nog iets, dan tot dat klaar is); daarna noem je ons je factuurnummer en dan doen wij het alsnog. Het exemplaar dat je aanbieder al heeft, valt onder zijn eigen verantwoordelijkheid.
• Digitale content: je factuur van Path2You. Koop je een download, dan verkoopt Path2You die aan jou en maken wij zelf de factuur, met je naam, het bedrag, de datum en wat je kocht. Wij maken die factuur als bewijs van je aankoop (uitvoering van de overeenkomst) en moeten hem daarna bewaren voor de Belastingdienst (wettelijke bewaarplicht, art. 52 AWR). Wij bewaren die factuur tot zeven jaar na het einde van het jaar van de factuur; verkopen wij de download aan iemand in een ander EU-land (nu België) en rekenen wij daar btw af, dan tien jaar. Daarna halen wij je naam eraf. Laat je je gegevens eerder wissen, dan halen wij je naam er meteen af. Heb je geen account, dan kunnen wij je aankoop tot 24 maanden na afloop van je downloadlink aan je e-mailadres koppelen (loopt er nog iets, dan tot dat klaar is); daarna noem je ons je factuurnummer en dan doen wij het alsnog. Voor deze factuur zijn wij zelf verantwoordelijk.
• Declareren bij je zorgverzekeraar. Maak je een declareerbare versie, dan vul je je polisnummer, je geboortedatum en voor wie de behandeling was in. Samen met de behandeling zegt dat iets over je gezondheid, en daarom vragen wij eerst je toestemming. Wij gebruiken die gegevens alleen om die ene factuur te maken en bewaren ze niet; je aanbieder krijgt ze niet. Wij leggen alleen vast dat en wanneer je toestemming gaf, zonder je gegevens. Voor dit onderdeel zijn wij zelf verantwoordelijk.

De verwijsregeling

Breng je als aanbieder een andere aanbieder aan, of kom je zelf via een verwijscode binnen, dan geldt de Verwijsregeling. Voor deze verwerking zijn wij zelf verantwoordelijk.

• Welke gegevens. Je verwijscode, de koppeling tussen de twee aanbieders en de vergoedingen die daaruit volgen. Wil je een vergoeding ontvangen, dan ook je IBAN, je btw-status en je adres, en als particulier ook je naam en geboortedatum (nooit je BSN). Verder je antwoord op de vraag "Hoe kwam je bij Path2You?" bij het aanmelden.
• Waarvoor en op welke grond. Om de regeling uit te voeren: de overeenkomst (art. 6 lid 1 sub b AVG). Voor onze fiscale administratie: een wettelijke verplichting (art. 6 lid 1 sub c AVG). Voor de controle op misbruik en om te meten of de regeling werkt, ook zonder dat je een code gebruikte: ons gerechtvaardigd belang (art. 6 lid 1 sub f AVG).
• Wat de verwijzer ziet. Je verwijzer ziet alleen opgetelde bedragen, niet wat jij zelf betaalt.
• Hoe lang. Gegevens over uitbetalingen bewaren wij 7 jaar na het einde van het boekjaar waarin de uitbetaling plaatsvond (artikel 10 van de Verwijsregeling); daarna wissen wij je naam, adres, geboortedatum en IBAN. Je antwoord op de herkomstvraag bewaren wij zolang je account bestaat. Alleen de Belastingdienst krijgt gegevens van ons, en alleen als die daarom vraagt.

3. Doeleinden en grondslagen

• accountaanmaak, login en accountbeheer: uitvoering van de overeenkomst of precontractuele maatregelen;
• tonen van profielen, zoekresultaten en platformfunctionaliteit: uitvoering van de overeenkomst en, waar nodig, ons gerechtvaardigd belang bij een goed werkend platform;
• boekingen, aankopen, betalingen en uitbetalingen: uitvoering van de overeenkomst;
• je land en adres bij een aankoop bij een aanbieder in Italië of Spanje die zijn factuur zelf maakt: uitvoering van de overeenkomst en het gerechtvaardigd belang van die aanbieder om zijn factuur te kunnen maken. De aanbieder ontvangt het als zelfstandig verwerkingsverantwoordelijke en verwerkt het op zijn eigen grondslag;
• je woonplaats in Mijn profiel: uitvoering van de overeenkomst, omdat je zelf om deze functie van je account vraagt;
• je adres in Mijn profiel: uitvoering van de overeenkomst, omdat je zelf om deze functie van je account vraagt. Wij gebruiken het alleen om het factuurveld bij het afrekenen vooraf in te vullen, niet voor mail en niet voor een aanbieder. Een aanbieder krijgt het alleen te zien op een factuur die jij zelf laat maken;
• vastleggen bij welke aanbieder je boekt, wie je volgt of bewaart, en je recensies en berichten aan aanbieders: je uitdrukkelijke toestemming (sectie 2);
• transactionele e-mails (bevestigingen, statusupdates, magic-links): uitvoering van de overeenkomst;
• fraudepreventie, misbruikdetectie en beveiliging: gerechtvaardigd belang, mits noodzakelijk en proportioneel;
• fiscale en administratieve verplichtingen: wettelijke verplichting;
• een factuur namens je aanbieder: de uitvoering van jullie overeenkomst, en bij een zakelijke koper ook zijn wettelijke plicht om te factureren; wij verwerken dit in zijn opdracht;
• een declareerbare factuur: je uitdrukkelijke toestemming;
• optionele nieuwsbrief of volg-updates per e-mail: toestemming; voor de nieuwsbrief van Path2You bevestig je die toestemming met een klik op de link in de bevestigingsmail, ook als je je inschrijft tijdens het boeken of kopen; het tellen of je een nieuwsbrief opent of aanklikt: een eigen, aparte toestemming;
• één e-mail na afloop van een betaalde boeking of aankoop met de vraag een review te schrijven: gerechtvaardigd belang bij betrouwbare reviews van mensen die er echt waren. In de mail staat de naam van de aanbieder. Je kunt altijd bezwaar maken via de afmeldlink in elke mail, zonder opgave van reden; daarna krijg je geen reviewverzoek meer;
• Mails over je account sturen we op grond van de overeenkomst, op je bevestigde inlogadres. Productnieuws sturen we alleen als je dat zelf aanzet; uitzetten kan altijd, ook met één klik in de mail.
• e-mails aan aanbieders over hun proefperiode (dat die loopt, bijna afloopt en is afgelopen): gerechtvaardigd belang bij een aanbieder die weet waar hij aan toe is. Elke mail draagt een afmeldlink; afmelden raakt alleen deze mails en niet de berichten over je account, je boekingen of je facturen;
• websitestatistieken (waar bezoekers vandaan komen, welke pagina's bezocht worden): gerechtvaardigd belang.

4. Met wie delen wij persoonsgegevens?

Wij delen gegevens alleen voor zover nodig en verkopen ze nooit.

Verwerkers (verwerken namens ons, onder verwerkersafspraken):

• Supabase: database en authenticatie;
• Vercel: hosting;
• Resend: transactionele e-mail en het versturen van de nieuwsbrief;
• Sentry: foutmonitoring en stabiliteit;
• Upstash: misbruikbescherming (rate limiting) en caching;
• GitHub: opslag van onze back-ups van de database en van geüploade bestanden.

Zelfstandige verwerkingsverantwoordelijken (eigen doel, eigen privacybeleid):

• Online Payment Platform (OPP): de door De Nederlandsche Bank vergunde betaaldienstverlener die betalingen tussen zoekers en aanbieders int, houdt en uitbetaalt;
• Mollie: voor wat een aanbieder aan Path2You zelf betaalt, namelijk het Pro-abonnement en de eenmalige activeringskosten bij het koppelen van een uitbetaalrekening;
• Google en Microsoft: als je met hun account inlogt;
• Vercel: voor Vercel Web Analytics (website-bezoekersstatistieken);
• Vercel: voor de botcontrole op de nieuwsbrief-inschrijving, de volgknop en het aanmaken van een account. Onze verwerkersovereenkomst met Vercel noemt deze controle niet bij naam, en dezelfde overeenkomst geeft Vercel voor gegevens die bij het gebruik van zijn diensten ontstaan de rol van zelfstandig verantwoordelijke. Wij gaan er daarom uit voorzorg van uit dat Vercel deze gegevens ook voor eigen doelen mag gebruiken.

Wettelijke ontvanger:

• Belastingdienst: bij een controle van onze administratie kan de Belastingdienst inzage krijgen in de transactiegegevens die daarin zijn opgenomen, op grond van onze fiscale bewaar- en administratieplicht.

Kaarten van OpenStreetMap en ingesloten video's worden door je browser bij die partijen geladen, en pas nadat je daar zelf voor kiest; zie sectie 7.

5. Doorgifte buiten de EER

De meeste gegevens worden binnen de Europese Economische Ruimte (EER) verwerkt. Per partij:

• Supabase (database, auth, opslag): Ierland (EU), geen doorgifte buiten de EER;
• OPP (betalingen tussen zoekers en aanbieders) en Mollie (betalingen van aanbieders aan Path2You): Nederland, geen doorgifte buiten de EER;
• Vercel (hosting): kan gegevens buiten de EER verwerken, op basis van standaardcontractbepalingen;
• Resend (e-mail): Verenigde Staten, op basis van het EU-VS Data Privacy Framework en standaardcontractbepalingen;
• Sentry (foutmonitoring) en Upstash (misbruikbescherming): op basis van standaardcontractbepalingen;
• GitHub (opslag van back-ups): kan gegevens buiten de EER verwerken, op basis van standaardcontractbepalingen. Onze nieuwe kopieën van de database en van geüploade bestanden zijn versleuteld met een sleutel die GitHub niet heeft; zie sectie 6 voor de oude kopieën;
• Google en Microsoft (login, indien gebruikt): eigen verwerkingsverantwoordelijken met eigen waarborgen; zie hun privacybeleid;
• Vercel Web Analytics (website-bezoekersstatistieken) en de Vercel-botcontrole (nieuwsbrief-inschrijving, volgknop en het aanmaken van een account): Verenigde Staten. Voor deze twee diensten behandelen wij Vercel als zelfstandig verantwoordelijke. Vercel is volgens eigen opgave gecertificeerd onder het EU-VS Data Privacy Framework, en op die certificering rust de doorgifte.

Kaarten van OpenStreetMap en ingesloten video's worden door je browser bij die partijen geladen, waarbij je IP-adres zichtbaar kan worden. Zie sectie 7.

6. Hoe lang bewaren wij persoonsgegevens?

Wij bewaren gegevens niet langer dan nodig en hanteren een gelaagd bewaarbeleid:

• fiscale kerngegevens en transactieadministratie: 7 jaar, op grond van de fiscale bewaarplicht;
• accountgegevens: zolang het account actief is en daarna een beperkte periode voor afwikkeling, beveiliging en herstel, tenzij een langere wettelijke plicht of een geschil anders vereist;
• een aanmelding waarvan je je e-mailadres nooit bevestigt: we verwijderen het account met je e-mailadres bij de eerste nachtelijke opruiming na 48 uur;
• boekings- en communicatiegegevens: zolang nodig voor uitvoering, ondersteuning, geschillen en bewijs;
• naam en e-mailadres van een bestelling zonder account: 24 maanden na afloop van de dienst of activiteit; is de betaling nooit gelukt, dan 30 dagen na de bestelling; wacht de betaling nog, dan tot na afloop; loopt er nog iets, zoals een terugbetaling of een betaalplan, dan wachten wij tot dat klaar is, uiterlijk tot 5 jaar na afloop. Voor een digitale aankoop kun je daarna geen nieuwe downloadlink meer aanvragen. Het bedrag, de datum en het betaalnummer blijven staan. Facturen: zeven jaar, zoals hieronder;
• verzendspoor van bijlagen (een onleesbaar gemaakt e-mailadres van de ontvanger, de aanbieder en de bijlage): 12 maanden, ook na een wisverzoek, om misbruik te kunnen opsporen;
• beveiligings- en loggegevens: korter, voor zover nodig voor beveiliging, foutanalyse en fraudepreventie;
• back-ups: wij bewaren kopieën om na een storing te kunnen herstellen. Supabase houdt zijn back-ups 7 dagen. Onze eigen versleutelde kopieën van de database blijven 30 dagen bestaan en die van geüploade bestanden 28 dagen. Wat je laat verwijderen, kan dus nog tot 30 dagen in een back-up staan. Wij zetten het niet terug, en moeten wij na een storing toch herstellen, dan voeren wij de verwijdering daarna opnieuw uit;
• gegevens op basis van toestemming: tot je die intrekt;
• de nieuwsbrief van Path2You: tot je je afmeldt. Een inschrijving die je niet binnen 30 dagen bevestigt, wissen wij. Na je afmelding bewaren wij je adres met het moment van je inschrijving en afmelding 2 jaar lang, als bewijs van je toestemming en van je afmelding; daarna wissen wij het. Vraag je eerder om wissing, dan wissen wij het eerder. Met je adres verdwijnt ook het overzicht van de nieuwsbrieven die wij je stuurden. Dat geldt ook voor een inschrijving tijdens het boeken of kopen: bewaard tot je je afmeldt. Gaat je boeking of betaling niet door, of klik je niet op de bevestigingslink, dan wissen wij de nog niet bevestigde inschrijving na 30 dagen;
• nieuwsbriefmeting: de tellers per nieuwsbrief blijven zolang de nieuwsbrief bestaat en bevatten niets over een persoon; het hulpgegeven waarmee wij dubbel tellen voorkomen, wissen wij 30 dagen na het versturen, en na die 30 dagen telt een open of klik niet meer mee; de afmeldtelling (aanbieder, dag en reden) bewaren wij 24 maanden;
• verstuurde reviewverzoeken (een onleesbaar gemaakt e-mailadres, de aanbieder en het aanbod): 12 maanden; je afmelding voor reviewverzoeken, als onleesbaar gemaakt e-mailadres: zolang die moet blijven gelden;
• je woonplaats in Mijn profiel: tot je hem weghaalt of je gegevens laat verwijderen;
• je adres in Mijn profiel: tot je het weghaalt of je gegevens laat verwijderen;
• factuuradres: tot de factuur is gemaakt, en uiterlijk 30 dagen na de dienst;
• je land en adres bij een aankoop bij een aanbieder die zijn factuur zelf maakt: 24 maanden na je betaling, of eerder als je je gegevens laat verwijderen;
• facturen die wij namens een aanbieder maken: tot zeven jaar (bij een aanbieder in België tien jaar) na het einde van het jaar van de factuur, daarna zonder je naam en adres;
• facturen voor digitale content die wij zelf uitreiken: tot zeven jaar (bij btw in een ander EU-land, nu België, tien jaar) na het einde van het jaar van de factuur, daarna zonder je naam; bij een wisverzoek meteen zonder je naam; heb je geen account, dan tot 24 maanden na afloop van je downloadlink (loopt er nog iets, dan tot dat klaar is), daarna op je factuurnummer;
• verzekeringsgegevens voor een declaratie: niet bewaard; de vastlegging dat je toestemming gaf (zonder die gegevens): zeven jaar, zoals ons auditlogboek;
• websitestatistieken via Vercel Web Analytics: geen bewaartermijn die Vercel toezegt. Op ons abonnement kunnen wij de cijfers twaalf maanden in het Vercel-dashboard terugzien (het rapportagevenster); Vercel zegt niet toe dat de onderliggende gegevens daarna gewist worden.
• botcontrole: bij de nieuwsbrief-inschrijving en de volgknop leggen wij de uitslag niet vast bij je gegevens. Bij het aanmaken van een account bewaren wij de uitslag 25 dagen in een aparte meettabel, daarna wordt hij gewist. Hoe lang Vercel de gegevens van het verzoek bewaart, is ons niet bekend: Vercels eigen documentatie over de botcontrole noemt geen bewaartermijn.

Bij beëindiging beoordelen wij per categorie welke termijn nog geldt; wij verwijderen dus niet automatisch alles ineens.

7. Cookies, vergelijkbare technieken en embedded content

Wij gebruiken functionele technieken die nodig zijn voor de werking van het platform (sessiebeheer, login, beveiliging). Voor niet-noodzakelijke of third-party functionaliteiten vragen wij waar nodig vooraf toestemming. Wij gebruiken geen advertentiecookies. Een kaart van OpenStreetMap laadt pas als je zelf de kaartweergave kiest, en een ingesloten video pas als je op afspelen klikt, omdat daarbij je IP-adres bij die derde bekend wordt. Afbeeldingen en videoposters van andere sites (zoals Unsplash of YouTube) halen wij via onze eigen server op, zodat die partij je IP-adres niet te zien krijgt. Afbeeldingen in onze nieuwsbrief komen van onze eigen server; omdat iedereen dezelfde afbeelding ophaalt, kunnen wij niet zien wie hem opent. Tijdens het betalen word je naar de omgeving van onze betaaldienstverlener (OPP) geleid, die daarvoor een eigen privacy- en cookiebeleid hanteert.

8. Beveiliging

Wij treffen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies en ongeoorloofde toegang, afgestemd op het risico: onder meer HTTPS, toegangsbeperking, logging, databasebeveiliging, foutmonitoring en waar passend pseudonimisering of versleuteling.

9. Geautomatiseerde besluitvorming

Path2You gebruikt geen uitsluitend geautomatiseerde besluitvorming met rechtsgevolgen of een vergelijkbaar aanmerkelijk effect. Verandert dat, dan nemen wij het vooraf in deze verklaring op.

10. Jouw rechten

Voor zover wettelijk van toepassing heb je recht op inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar tegen verwerking op basis van gerechtvaardigd belang, en intrekking van toestemming (zonder afbreuk aan eerdere verwerking). Verzoeken kun je sturen naar info@path2you.com. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.

11. Bron van gegevens

Wij verkrijgen gegevens in beginsel rechtstreeks van jou. Log je in via Google of Microsoft, dan ontvangen wij bepaalde accountgegevens via die partij; wij informeren je daarover.

12. Wijzigingen en contact

Wij kunnen deze verklaring aanpassen; de actuele versie staat altijd op deze pagina en bij wezenlijke wijzigingen informeren wij je via het platform of per e-mail.

Vragen of klachten over hoe wij met je gegevens omgaan: info@path2you.com. Wij reageren binnen een maand. Kom je er met ons niet uit, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens, de Nederlandse toezichthouder. Dat recht heb je altijd, ook zonder eerst bij ons te klagen.