Privacybeleid

SimpliEd (eenmanszaak), handelend onder de naam Vriendenpoule
Hanzelaan 40
8262 VG Kampen
Nederland
KvK: 97463140
E-mail: edwin@clubrooster.nl

Wij hebben geen functionaris voor gegevensbescherming aangesteld; dat is voor een onderneming van deze omvang niet verplicht. Vragen over privacy komen binnen op het e-mailadres hierboven en worden door ons zelf behandeld.

Dit is het belangrijkste onderscheid in dit hele document, dus het staat vooraan.

Voor de gegevens van deelnemers is de Poulebaas verwerkingsverantwoordelijke. Maakt een Poulebaas een team aan in Vriendenpoule en voegt hij deelnemers toe (of laat hij ze zichzelf aanmelden), dan bepaalt de Poulebaas — niet wij — wie er meedoet en wat er met de ranglijst en de voorspellingen gebeurt. Wij verwerken die gegevens uitsluitend in zijn opdracht, als verwerker. De afspraken daarover staan in de verwerkersovereenkomst, die automatisch geldt zodra een Poulebaas een team aanmaakt (zie die pagina, artikel 1).

Voor onze eigen dienst zijn wij verantwoordelijk. Dat gaat om het e-mailadres waarmee een Poulebaas een account aanmaakt, onze facturatie via Stripe, en de technische exploitatie en beveiliging van het platform. Daarvoor zijn wij zelf verwerkingsverantwoordelijke, en geldt dit beleid rechtstreeks.

Ben je deelnemer (je voorspelt mee met voornaam en pincode)? Dan is dit beleid nuttig om te weten wat er technisch gebeurt, maar de Poulebaas van jouw team bepaalt wat er over jou in het systeem staat. Een verzoek om inzage of verwijdering richt je dus in eerste instantie tot hem of haar. Zie artikel 12.

• Poulebaas-account: een e-mailadres, waarmee je inlogt via een tijdelijke inloglink ("magic link") of met een zelfgekozen wachtwoord. Kies je voor een wachtwoord, dan bewaren we nooit het wachtwoord zelf, maar een eenrichtings-hash — net als bij de pincode van een deelnemer hieronder.
• Deelnemersgegevens: voornaam, optioneel een achternaam, en een pincode. De pincode wordt niet leesbaar opgeslagen: er ligt een eenrichtings-hash (voor het inloggen zelf) én een apart, omkeerbaar versleutelde versie (zodat de Poulebaas hem kan opzoeken en doorgeven aan wie hem kwijt is) — nooit plat in de database.
• Voorspellingen en bonusvraag-antwoorden: de cijfers en teksten die een deelnemer zelf invult, gekoppeld aan zijn deelnemer-id.
• Team-instellingen: een teamnaam, een gekozen accentkleur, en optioneel een logo-URL die de Poulebaas zelf aanlevert (geen bestandsupload naar ons).
• Betaalgegevens: welke tariefschijf is gekozen, of het seizoen betaald is, en het Stripe Checkout-sessienummer. Kaartgegevens zien en bewaren wij zelf niet — die lopen rechtstreeks via Stripe.
• Activiteitenlog: een logboek van gevoelige acties binnen een team (bijvoorbeeld een uitslag wijzigen of een deelnemer verwijderen) — wat er gebeurde, wanneer, en het e-mailadres van de Poulebaas die het deed (of "zelf-registratie" / "superadmin" als dat van toepassing is).
• Inlogpogingen: om pincodes en inloglinks te beschermen tegen gokken, telt het systeem tijdelijk mislukte pogingen (gekoppeld aan een team+ deelnemer of aan een e-mailadres), niet aan een IP-adres — wij loggen op dit moment geen IP-adressen.

• het leveren van de dienst: teams en seizoenen beheren, voorspellingen verwerken, de ranglijst berekenen;
• inloggen en accountbeveiliging (pincode-controle, magic links, brute-force-bescherming);
• het afhandelen van de seizoensbetaling en het bijhouden van onze administratie;
• het voldoen aan wettelijke verplichtingen, zoals de fiscale bewaarplicht;
• het bijhouden van een activiteitenlog, zodat een Poulebaas kan zien wat er in zijn team gebeurd is.

Wij verkopen geen gegevens, wij bouwen geen reclameprofielen, en wij gebruiken jouw gegevens niet om modellen mee te trainen. Ongevraagde commerciële e-mail sturen wij niet.

• Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG): het leveren van de dienst aan de Poulebaas, inclusief het faciliteren van de deelnemersaccounts die daarvoor nodig zijn.
• Wettelijke verplichting (sub c): waar de wet ons verplicht gegevens te bewaren, zoals de administratieplicht rond betalingen.
• Gerechtvaardigd belang (sub f): beveiliging en misbruikpreventie, zoals de brute-force-bescherming op het inloggen.

Voor de gegevens die een Poulebaas over zijn deelnemers vastlegt (of die een deelnemer zelf invult via zelf-registratie), bepaalt de Poulebaas zelf de grondslag — meestal uitvoering van een afspraak binnen het team of een gerechtvaardigd belang bij het organiseren van de pool.

Wij vragen zelf geen leeftijd of geboortedatum: een deelnemer geeft alleen een voornaam (en optioneel een achternaam) op. Vriendenpoule wordt regelmatig gebruikt voor jeugdteams. Zet een Poulebaas gegevens van deelnemers onder de 16 in het systeem — zelf toegevoegd, of via de zelf-registratielink — dan is hij er als verwerkingsverantwoordelijke voor verantwoordelijk dat daarvoor een geldige grondslag bestaat, bijvoorbeeld omdat de ouder zelf de teamlink deelt of toestemming geeft.

Vriendenpoule is nog in een vroege fase en heeft nog geen automatische opschoning van gegevens — anders dan bij sommige van onze andere diensten. Concreet betekent dit:

• Account-, team-, deelnemers- en wedstrijdgegevens blijven staan zolang het team niet is verwijderd. Een Poulebaas kan een individuele deelnemer op elk moment zelf verwijderen.
• Het activiteitenlog toont de 50 meest recente gebeurtenissen per team; oudere gebeurtenissen worden op dit moment niet automatisch gewist.
• Inlogpogingen (voor de brute-force-bescherming) vervallen vanzelf zodra een blokkade afloopt, meestal binnen enkele minuten.

Wil je dat gegevens van een heel team verwijderd worden, mail dan naar het e-mailadres hierboven — dat kan op dit moment nog niet met één druk op de knop in de app zelf.

Facturen en financiële administratie bewaren wij zoals de wet dat voorschrijft: in Nederland in de regel zeven jaar.

Vriendenpoule is gebouwd op Next.js (Vercel) met Firestore (Google Cloud/Firebase) als database — dezelfde combinatie die wij ook voor onze andere diensten gebruiken. Het definitieve Firebase- en Vercel-project voor Vriendenpoule moet nog gekozen worden; zodra dat gebeurd is, kiezen wij daarbinnen bewust voor een regio binnen de Europese Unie, en werken wij dit artikel bij met de definitieve locatie.

Wij delen geen gegevens met derden voor hun eigen doeleinden. Wel schakelen wij dienstverleners in die in onze opdracht verwerken.

• Stripe — de seizoensbetaling van een Poulebaas. Verwerking via Stripe Payments Europe (Ierland). Wij ontvangen geen kaartgegevens.
• SMTP2GO — voorzien voor het versturen van inloglinks en betaalbevestigingen, maar nog niet aangesloten. Zolang dat zo is, toont Vriendenpoule een inloglink of bevestiging rechtstreeks op het scherm in plaats van dat te mailen — er gaat op dit moment dus geen e-mailadres naar een externe mailpartij.
• Google Cloud/Firebase en Vercel — hosting van de applicatie en de database, zodra het definitieve project gekozen is (zie artikel 8).

Wij gebruiken geen analysediensten, geen advertentienetwerken en geen externe foutmeldingsdienst.

Wij gebruiken alleen cookies die noodzakelijk zijn om ingelogd te blijven: één voor een deelnemer, één voor een Poulebaas en één voor de super admin — nooit tegelijk voor dezelfde rol. Er zijn geen tracking- of advertentiecookies, en geen andere partij die via ons cookies bij je plaatst. Voor strikt noodzakelijke cookies is geen toestemming vereist, en daarom zie je bij ons geen cookiebanner.

Wij nemen passende technische en organisatorische maatregelen. De belangrijkste, concreet:

• Pincodes worden gehasht opgeslagen (met een salt) voor het inloggen zelf; de aparte, omkeerbaar versleutelde versie voor het tonen aan de Poulebaas gebruikt een eigen sleutel, los van de rest van de beveiliging.
• Sessies zijn ondertekende, kort geldige tokens; een inloglink is maar 15 minuten geldig.
• Elke actie die teamgegevens wijzigt, controleert zelf of je bevoegd bent — niet alleen de pagina die je ziet, ook de actie zelf, zodat een omweg via het netwerkverkeer niet werkt.
• Op het inloggen zit een snelheidsbegrenzer: na een paar foutieve pogingen moet je even wachten.
• Verkeer gaat versleuteld (HTTPS) zodra Vriendenpoule live gehost wordt.

Bij een datalek melden wij dat aan de betrokken Poulebaas zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking. Zie artikel 7 van de verwerkersovereenkomst.

Onder de AVG heb je, voor zover van toepassing, het recht op:

• inzage in de gegevens die over jou worden verwerkt;
• rectificatie van gegevens die niet kloppen;
• wissing ("het recht om vergeten te worden"), voor zover wij niet wettelijk verplicht zijn te bewaren;
• beperking van de verwerking in bepaalde situaties;
• overdraagbaarheid van de gegevens die je zelf hebt aangeleverd;
• bezwaar tegen verwerking op basis van gerechtvaardigd belang.

Ben je deelnemer, richt je verzoek dan eerst aan de Poulebaas van je team: hij bepaalt wat er over jou in het systeem staat. Wij helpen hem daarbij.

Een verzoek aan ons kan naar edwin@clubrooster.nl. Wij reageren binnen één maand, met de verlenging die de AVG bij complexe verzoeken toestaat.

Ben je het oneens met hoe wij met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl. We horen het natuurlijk liever eerst zelf.

Wij kunnen dit beleid bijwerken, bijvoorbeeld zodra e-mailverzending, een definitieve hostinglocatie of automatische opschoning is toegevoegd. De actuele versie staat altijd op deze pagina, met de datum en het versienummer bovenaan.