Privacyverklaring

TICKTS LTD (Company No. 17029682), gevestigd aan 124-128 City Road, Londen, EC1V 2NX, Verenigd Koninkrijk (“wij”, “ons”, “onze”), is de verwerkingsverantwoordelijke voor de persoonsgegevens die via het tickts-platform worden verzameld. Wij zijn in het Verenigd Koninkrijk geregistreerd bij de Information Commissioner’s Office (ICO) onder nummer ZC108275. In deze privacyverklaring lees je hoe wij je gegevens verzamelen, gebruiken, delen en beveiligen wanneer je ons platform gebruikt.

Woon je in Nederland, dan is de Algemene verordening gegevensbescherming (AVG) van toepassing op je persoonsgegevens. Je oefent je rechten uit bij ons (zie artikel 6) en je kunt een klacht indienen bij de Autoriteit Persoonsgegevens (zie artikel 13).

1. Welke gegevens we verzamelen

We verzamelen de volgende soorten persoonsgegevens:

• Accountgegevens: naam, e-mailadres, wachtwoord (opgeslagen als eenrichtingshash; we bewaren nooit leesbare wachtwoorden) en telefoonnummer (optioneel) wanneer je een account aanmaakt. Log je in met Google of Apple, dan ontvangen we je naam en e-mailadres van die aanbieder. Je wachtwoord bij Google of Apple ontvangen of bewaren we niet.
• Profielgegevens: naam van de organisatie, clubgegevens, links naar sociale media en profielfoto’s bij accounts van organisatoren.
• Gegevens over je betaalaccount: ben je organisator, dan het kenmerk en de status van het Stripe- of PayPal-account dat je koppelt om je ticketgeld te ontvangen, en wanneer je het hebt gekoppeld en wanneer het betalingen kon ontvangen, zodat we de betalingen van kopers naar jou kunnen sturen en je kunnen helpen de koppeling af te ronden.
• Transactiegegevens: gegevens over gekochte tickets, betaalde bedragen, bestelgeschiedenis en betalingsregelingen. Volledige betaalkaartgegevens bewaren we niet; die worden veilig verwerkt door Stripe.
• Gift Aid-verklaringen: doneer je via het platform aan een geverifieerd Brits goed doel en kies je voor Gift Aid, dan verzamelen we je naam, woonadres, postcode en je verklaring dat je in het Verenigd Koninkrijk belasting betaalt, zodat het goede doel Gift Aid kan aanvragen bij HMRC. Dit zijn gegevens bovenop een gewone ticketaankoop.
• Wachtlijst- en aanmeldgegevens: zet je jezelf op de wachtlijst voor een evenement, dan verzamelen we je e-mailadres, je naam als je die opgeeft en, als de organisator daarom vraagt, een telefoonnummer, dat daar altijd optioneel is. Meld je je aan op een eigen aanmeldpagina van een organisator (een pagina om interesse te tonen voordat de kaartverkoop begint), dan verzamelen we wat die organisator vraagt: je e-mailadres, meestal je naam, een telefoonnummer als daarom wordt gevraagd en je antwoorden op de vragen die de organisator heeft toegevoegd. Staat er op de pagina een vakje voor toestemming, dan bewaren we de tekst die je te zien kreeg en het moment waarop je toestemming gaf. De organisator kan deze gegevens zien, zodat hij contact met je kan opnemen zoals bij de aanmelding beschreven, bijvoorbeeld om je een plek aan te bieden of te laten weten wanneer de kaartverkoop begint. Kom je binnen via een link van een van de reps (promotors) van de organisator of via een van diens trackinglinks, dan leggen we vast welke rep of link je heeft doorverwezen. Een organisator kan ervoor kiezen elke rep de mensen te laten zien die zich via diens eigen link hebben aangemeld; in dat geval staat dat op het formulier voordat je je aanmeldt, en een rep krijgt nooit iemand te zien die dat niet is verteld (zie artikel 5).
• Scan- en aanwezigheidsgegevens: scanlogboeken van tickets, met het tijdstip, de locatie, het scanapparaat en het resultaat (geldig, ongeldig of al gescand).
• Toestemmingsregistraties: je cookievoorkeuren, het tijdstip van je toestemming en een SHA256-hash van je IP-adres en user agent, om aan te kunnen tonen dat we de regels naleven.
• Activiteitenlogboeken van beheer: heb je een organisatoraccount, dan leggen we handelingen vast waarmee je in je dashboard iets wijzigt (route, IP-adres, user agent, de namen van de velden die je hebt gewijzigd en de wijzigingen per veld) en bewaren we die maximaal 30 dagen, voor beveiliging, foutopsporing en het oplossen van geschillen. Gevoelige waarden (wachtwoorden, betaalvelden, CSRF-tokens) worden bij het vastleggen onleesbaar gemaakt.
• Handelingen van tickts-medewerkers: voert een medewerker van tickts een handeling met bijzondere rechten uit op je account (bijvoorbeeld inloggen als jou voor ondersteuning, een handmatige terugbetaling of het blokkeren van een account), dan leggen we de handeling, de medewerker, het tijdstip en het betrokken account vast. Ben je organisator en logt een medewerker voor ondersteuning in als jou, dan krijg je daarover een e-mail.
• Gebruiksgegevens: hoe je ons platform gebruikt, zoals bezochte pagina’s, gebruikte functies en de tijd die je op de site doorbrengt.
• Apparaatgegevens: IP-adres, type browser, besturingssysteem en apparaat-ID’s.
• Tracking- en replinks: kom je binnen via een trackinglink (affiliatelink) van een organisator, dan leggen we de code van de link, je IP-adres en je user agent vast om de doorverwijzing toe te kunnen rekenen. Kom je binnen via de link van een rep, dan tellen we het bezoek mee voor die rep en het evenement dat werd geopend; je IP-adres slaan we daarvoor niet op (een versleutelde vorm ervan bewaren we maximaal een uur, alleen om hetzelfde bezoek niet dubbel te tellen). Heb je cookies geaccepteerd, dan onthoudt een cookie de link in beide gevallen 30 dagen (zie ons cookiebeleid); zo niet, dan onthouden we de link alleen tijdens je huidige bezoek, zonder daarvoor iets op je apparaat op te slaan. Een aanmelding of aankoop in die periode kan worden toegerekend aan de rep of link die je heeft doorverwezen. Heb je je via de link van een rep aangemeld voor de wachtlijst of aanmeldpagina van een organisator en koop je later zonder replink een ticket bij die organisator, dan gebruiken we het e-mailadres van je bestelling om de verkoop tot 90 dagen na je aanmelding aan die rep toe te rekenen. Dit bepaalt alleen aan wie de organisator commissie betaalt; het verandert niets aan de prijs die je betaalt of wat je ziet.
• Communicatie: berichten die je ons stuurt via ons contactformulier of onze ondersteuningskanalen.
• Niet-afgeronde bestellingen: begin je aan een bestelling en geef je je e-mailadres op zonder de aankoop af te ronden, dan bewaren we je e-mailadres en een momentopname van je winkelmandje, zodat we je één herinnering kunnen sturen (zie artikel 4). Je kunt je afmelden via de link in die e-mail; daarna sturen we je nooit meer zo’n herinnering.
• Apparaattokens van de app: gebruik je de tickts-app en sta je meldingen toe, dan bewaren we een pushtoken voor je apparaat (platform en datum van laatste gebruik), zodat we de meldingen kunnen sturen die je hebt ingeschakeld.
• Toegankelijkheidswensen: als een evenement erom vraagt, de wensen op het gebied van toegang of toegankelijkheid die je bij het afrekenen zelf invult (een vrij tekstveld van maximaal 1.000 tekens), zodat de organisator daar rekening mee kan houden. Omdat hieruit informatie over je gezondheid of een beperking kan blijken, behandelen we dit als een bijzondere categorie persoonsgegevens en verwerken we het alleen met je uitdrukkelijke toestemming (zie artikel 2a). Het is optioneel; als je het leeg laat, heeft dat geen invloed op je aankoop.
• Opgeslagen kaarten voor Call Dibs en toezeggingen: gebruik je Call Dibs (een plek reserveren bij een uitverkocht evenement) of een Make-it-happen-toezegging, dan sla je via Stripe een kaart op (een Stripe SetupIntent), zodat die later kan worden belast als er een plek vrijkomt of het evenement doorgaat. Net als bij elke betaling bewaren wij je kaartgegevens niet: Stripe bewaart de opgeslagen kaart en wij alleen een verwijzing ernaar en de status ervan.

2. Grondslagen voor de verwerking

We verwerken je persoonsgegevens op de volgende grondslagen uit artikel 6 AVG:

• Overeenkomst (art. 6 lid 1 onder b): je registratie, ticketaankopen, het afhandelen en leveren van bestellingen, betalingsregelingen, het doorgeven van tickets en het beheer van seizoenskaarten.
• Gerechtvaardigd belang (art. 6 lid 1 onder f): beveiliging van het platform en het voorkomen van fraude, analyse en prestatiemetingen, het toerekenen van aanmeldingen en verkopen aan de link of rep die je heeft doorverwezen, het verbeteren van onze diensten en het informeren over wijzigingen in de dienst.
• Wettelijke verplichting (art. 6 lid 1 onder c): het bewaren van transactiegegevens voor de financiële administratie (eisen van de Britse belastingdienst HMRC), het beantwoorden van verzoeken van opsporingsinstanties, het bijhouden van audit- en toestemmingslogboeken en het verwerken van Gift Aid-verklaringen volgens de eisen van HMRC (waarbij het goede doel verwerkingsverantwoordelijke is, op zijn eigen grondslag).
• Toestemming (art. 6 lid 1 onder a): het plaatsen van analytische en advertentiecookies (Google Analytics, Meta, TikTok), het plaatsen van de cookies die een tracking- of replink 30 dagen onthouden, het vanaf onze server meten van conversies voor die advertentieplatforms, het sturen van marketingmails en het delen van je gegevens met derden voor andere doelen dan het leveren van de dienst.

2a. Bijzondere categorieën persoonsgegevens (artikel 9 AVG)

Vul je bij het afrekenen wensen op het gebied van toegang of toegankelijkheid in, dan kan daaruit informatie blijken over je gezondheid of een beperking. Dat is een bijzondere categorie persoonsgegevens in de zin van artikel 9 AVG. We verwerken die gegevens alleen op basis van je uitdrukkelijke toestemming (artikel 9 lid 2 onder a AVG), die je geeft door ze in te vullen, en uitsluitend om ze door te geven aan de organisator, zodat die bij het evenement redelijke aanpassingen voor je kan doen. Het invullen is optioneel, de gegevens worden alleen gedeeld met de organisator van dat evenement (die daarvoor zelf verwerkingsverantwoordelijke wordt) en je kunt ons of de organisator op elk moment vragen ze te verwijderen. We gebruiken ze voor geen enkel ander doel en we verwerken geen bijzondere categorieën persoonsgegevens op grote schaal.

3. Cookies

We gebruiken cookies en vergelijkbare technieken om ons platform beter te laten werken. Welke cookies we gebruiken en waarvoor, lees je in ons cookiebeleid.

4. Derden en subverwerkers

We delen je gegevens met de volgende partijen, die optreden als subverwerker of als zelfstandige verwerkingsverantwoordelijke:

Partij	Doel	Gedeelde gegevens	Locatie
Stripe	Betalingsverwerking (Stripe Connect), waaronder iDEAL | Wero	Betaalgegevens, naam, e-mailadres, transactiegegevens	VS (EU-standaardcontractbepalingen)
PayPal (Europe) S.à r.l. et Cie, S.C.A.	Betalingsverwerking als de organisator betalingen via PayPal ontvangt (de organisator is dan de verkoper)	Naam, e-mailadres, transactiegegevens, IP-adres	EU (Luxemburg)
TicketPlan	Optionele terugbetalingsregeling die bij het afrekenen wordt aangeboden (beheer van de regeling en afhandeling van aanvragen), alleen als je die zelf kiest	Naam, e-mailadres, ticketgegevens, naam en datum van het evenement	VK
Google Analytics (GA4) en Measurement Protocol	Websiteanalyse en prestatiemetingen; als een organisator dit heeft ingeschakeld, het vanaf de server meten van aankopen (Measurement Protocol)	IP-adres (geanonimiseerd), gebruiksgegevens, apparaatgegevens; bij een afgeronde aankoop, als ingeschakeld, een SHA-256-hash van je e-mailadres (Measurement Protocol)	VS (EU-standaardcontractbepalingen)
Brevo (Sendinblue)	Versturen van transactionele en marketingmails, inclusief het meten van openen en klikken via ingesloten pixels en aangepaste links	Naam, e-mailadres, gebeurtenissen rond e-mails (geopend, geklikt, onbestelbaar)	EU
Sentry	Foutbewaking en crashrapportage	Foutgegevens, IP-adres, browsergegevens	VS (EU-standaardcontractbepalingen)
Cloudflare	CDN, bescherming tegen DDoS-aanvallen, DNS	IP-adres, metagegevens van verzoeken	Wereldwijd (EU-standaardcontractbepalingen)
Apple Wallet	Tickets in de digitale portemonnee	Ticketgegevens (naam van het evenement, datum, locatie), naam van de bezoeker als opgegeven, barcodetoken, PassKit-metagegevens voor weergave op het vergrendelscherm	VS (EU-standaardcontractbepalingen)
Google Wallet	Tickets in de digitale portemonnee	Ticketgegevens (naam van het evenement, datum, locatie), naam van de bezoeker als opgegeven, barcodetoken, Google Wallet-metagegevens voor weergave op het vergrendelscherm	VS (EU-standaardcontractbepalingen)
Google Places API	Opzoeken en controleren van adressen van locaties	Zoekopdrachten, locatiegegevens	VS (EU-standaardcontractbepalingen)
Google OAuth	Inloggen met een sociaal account (“Doorgaan met Google”)	Naam, e-mailadres	VS (EU-standaardcontractbepalingen)
Inloggen met Apple	Inloggen met een sociaal account (“Doorgaan met Apple”)	Naam, e-mailadres (je kunt ervoor kiezen je e-mailadres te verbergen)	VS (EU-standaardcontractbepalingen)
Google reCAPTCHA v3	Herkennen van bots en voorkomen van fraude bij registratie	IP-adres, browsergedrag, apparaatgegevens	VS (EU-standaardcontractbepalingen)
Meta (Facebook) Pixel en Conversions API	Conversiemeting en toeschrijving van advertenties, in de browser (Pixel) en vanaf de server (Conversions API); alleen met toestemming	Paginaweergaven en apparaatgegevens (Pixel); bij een afgeronde aankoop een SHA-256-hash van je e-mailadres en je IP-adres (Conversions API)	VS (EU-standaardcontractbepalingen)
TikTok Pixel en Events API	Conversiemeting en toeschrijving van advertenties, in de browser (Pixel) en vanaf de server (Events API); alleen met toestemming	Paginaweergaven en apparaatgegevens (Pixel); bij een afgeronde aankoop een SHA-256-hash van je e-mailadres en je IP-adres (Events API)	VS / Singapore (standaardcontractbepalingen)
Companies House	Controle van de bedrijfsidentiteit van organisatoraccounts	Registratienummer van het bedrijf, bedrijfsnaam	VK
Cloudways (DigitalOcean)	Hosting van de applicatie en beheerde cloudinfrastructuur	Alle gegevens die op het platform zijn opgeslagen (versleuteld opgeslagen)	VK / EU (regio Londen)
Anthropic (Claude)	AI-schrijfhulp voor organisatoren (het verbeteren van evenementbeschrijvingen) en AI-hulpmiddelen voor organisatoren	Gegevens over het evenement en concepttekst die de organisator invoert; wordt niet gebruikt om de modellen van Anthropic te trainen	VS (UK IDTA / standaardcontractbepalingen)
Klarna / Clearpay	Optionele betaalmethoden om achteraf te betalen, via Stripe aangeboden bij het afrekenen	Betaal- en geschiktheidsgegevens die je aan de aanbieder geeft als je voor die betaalmethode kiest	EU / VS (via Stripe)
Stay22	Kaart met overnachtingsmogelijkheden op sommige evenementpagina’s	IP-adres en context van de pagina als je de kaart gebruikt	Canada (adequaatheidsbesluit)
Mailchimp (Intuit)	Optionele koppeling voor organisatoren: koppelt een organisator zijn eigen Mailchimp-account, dan worden de gegevens van zijn kopers gesynchroniseerd met zijn eigen lijst (in opdracht van de organisator; de organisator is verwerkingsverantwoordelijke)	Naam, e-mailadres, gegevens van de bestelling	VS (UK IDTA / standaardcontractbepalingen)

Conversiemeting vanaf de server. Heeft een organisator dit ingeschakeld en heb je advertentiecookies geaccepteerd, dan sturen we een registratie van een afgeronde aankoop rechtstreeks vanaf onze server naar Meta, Google en/of TikTok, om te meten hoe goed de advertenties van die organisator werken. Dit loopt gelijk met de pixels in de browser en wordt daartegen ontdubbeld. Deze serverberichten bevatten een SHA-256-hash (gepseudonimiseerd) van je e-mailadres en, voor Meta en TikTok, je IP-adres; ze bevatten nooit je naam in leesbare vorm of je betaalkaartgegevens. Dit gebeurt alleen met je toestemming voor advertentiecookies, en helemaal niet bij organisatoren die het niet hebben ingesteld. Meta, Google en TikTok zijn zelfstandig verwerkingsverantwoordelijke voor de advertentiemetingen die zij met deze gegevens doen, onder hun eigen privacybeleid.

Meten van e-mailgebruik. Gebeurtenissen rond het openen en aanklikken van e-mails die Brevo vastlegt, bewaren we bij je account om de resultaten van marketing te kunnen meten. Je kunt je op elk moment afmelden voor marketingmails via de afmeldlink in elke marketingmail; daarmee stopt ook het meten bij volgende mails. Transactionele e-mails (bestelbevestigingen, het opnieuw instellen van je wachtwoord, berichten over betalingsregelingen en over doorgegeven tickets) hebben geen afmeldlink voor marketing en worden verstuurd op grond van de overeenkomst.

Herinneringen bij een niet-afgeronde bestelling. Begin je aan een bestelling, geef je je e-mailadres op en rond je de aankoop niet af, dan kunnen we je één herinnering over dat winkelmandje sturen (op grond van artikel 11.7 lid 3 Telecommunicatiewet, omdat je je gegevens hebt gegeven in het kader van een aankoop). We sturen hooguit één herinnering per evenement, met een afmeldlink; als je je afmeldt, krijg je op je adres nooit meer zo’n herinnering.

Wijzigingen in subverwerkers. De actuele lijst van subverwerkers is de lijst hierboven. We werken deze lijst bij wanneer we een subverwerker toevoegen of vervangen. Organisatoren die verwerkingsverantwoordelijke zijn, kunnen op redelijke gronden van gegevensbescherming bezwaar maken tegen een nieuwe subverwerker door te mailen naar [email protected].

5. Delen met organisatoren

Koop je een ticket, dan ontvangt de organisator van dat evenement je naam, e-mailadres en bestelgegevens. Dat is nodig om je ticket te leveren, de toegang tot het evenement te regelen (inclusief het scannen van QR-codes) en je belangrijke informatie over het evenement te sturen.

Organisatoren zijn zelfstandig verwerkingsverantwoordelijke voor de gegevens van kopers die zij ontvangen en zijn zelf verantwoordelijk voor het naleven van de privacywetgeving. We verplichten organisatoren om volgens onze voorwaarden voor organisatoren met de gegevens van kopers om te gaan, maar we zijn niet verantwoordelijk voor de manier waarop zij gegevens verwerken.

Wachtlijsten en aanmeldpagina’s. Zet je jezelf op de wachtlijst van een evenement of meld je je aan op de aanmeldpagina van een organisator, dan meld je je aan bij die organisator. De organisator ontvangt de gegevens die je opgeeft en is daarvoor verwerkingsverantwoordelijke, op zijn eigen grondslag (je toestemming, als de pagina daarom vraagt); tickts host de pagina en bewaart de gegevens namens de organisator als diens verwerker. Een aanmeldpagina toont de eigen vragen, toestemmingstekst en voorwaarden van de organisator; die schrijft de organisator zelf en daar is hij verantwoordelijk voor. Wil je van de lijst van een organisator af, of wil je weten welke gegevens hij over je heeft, neem dan contact op met de organisator, of met ons; dan geven wij je verzoek door en helpen we hem het af te handelen.

Reps (promotors). Sommige organisatoren laten hun evenementen promoten door reps. Een rep ziet altijd zijn eigen totalen (hoeveel mensen zijn link openden, zich aanmeldden of kochten). Een rep ziet de naam, contactgegevens en antwoorden van iemand die zich via zijn link heeft aangemeld alleen als de organisator dat heeft ingeschakeld en het formulier die persoon vóór de aanmelding heeft verteld dat de rep zijn gegevens zou zien. De gegevens worden gedeeld zodat de rep je kan benaderen over de evenementen van die organisator. De rep handelt namens de organisator, moet eerst onze gegevensvoorwaarden voor reps accepteren voordat hij iemands gegevens ziet, en verliest de toegang zodra de organisator de instelling uitzet. Via deze instelling krijgen reps nooit de gegevens van ticketkopers te zien.

Als je rep bent. De organisator voor wie je rep bent, kan een telefoonnummer, een Instagram-account en notities over je bijhouden, om je over je link te kunnen bereiken. De organisator is de verwerkingsverantwoordelijke voor die gegevens. Ze zijn te zien voor de organisator en, als je in het team van een hoofdrep zit, voor je hoofdrep, die eerst het teamdeel van de gegevensvoorwaarden voor reps moet accepteren. Andere reps zien ze nooit, en ook geen andere organisator voor wie je rep bent. Je eigen telefoonnummer en Instagram kun je zien en wijzigen op je repdashboard. Ze worden automatisch verwijderd 12 maanden nadat je link voor het laatst is gepauzeerd. We houden ook bij wanneer je link voor het laatst is geopend en gebruikt, zodat de organisator en je hoofdrep zien wie actief is en een melding krijgen als een rep stil is gevallen; er gebeurt daardoor niets automatisch met jou. Als de organisator een teamranglijst aanzet, zien alleen de andere leden van je team je voornaam en de tickets die je voor het team hebt verkocht, en je kunt jezelf eraf halen. Een organisator kan ook een privélink naar een spreadsheet met de cijfers van zijn reps maken; daarin staan alleen namen en cijfers, nooit een e-mailadres, telefoonnummer of notitie.

Analyse door organisatoren op evenementpagina’s. Organisatoren met een betaald abonnement kunnen hun eigen Google Analytics-property of Meta Pixel koppelen aan hun evenementpagina’s en de bevestiging na het afrekenen. Die werken alleen als je toestemming hebt gegeven voor analytische of marketingcookies, en de gegevens die ze verzamelen gaan naar de organisator (en naar Google of Meta) onder het eigen privacybeleid van de organisator, die daarvoor verwerkingsverantwoordelijke is.

Koppelingen in opdracht van de organisator (API, webhooks en Zapier). Organisatoren met een betaald abonnement kunnen hun evenementen koppelen aan hun eigen systemen via onze API voor ontwikkelaars, webhooks of Zapier. Doet een organisator dat, dan worden bestelgegevens van zijn kopers (zoals naam, e-mailadres en bestelgegevens) in opdracht van de organisator verstuurd naar het adres of de dienst die de organisator heeft ingesteld (bijvoorbeeld zijn eigen CRM, spreadsheet of automatisering). Dat verdere doorsturen wordt bepaald en beheerd door de organisator als verwerkingsverantwoordelijke, onder zijn eigen privacybeleid en zijn afspraken met de systemen die hij gebruikt; tickts verstuurt de gegevens als verwerker op instructie van de organisator en is niet verantwoordelijk voor wat het ontvangende systeem ermee doet. Dit gebeurt alleen als een organisator zo’n koppeling voor zijn evenementen heeft ingesteld.

Doneer je aan een organisator die een Brits goed doel is en kies je voor Gift Aid, dan worden je naam en woonadres gedeeld met dat goede doel, zodat het Gift Aid kan aanvragen bij HMRC. Het goede doel is verwerkingsverantwoordelijke voor die Gift Aid-gegevens en is verantwoordelijk voor de aanvraag bij HMRC en het bewaren van de verklaringen; tickts verwerkt de gegevens namens het goede doel.

5a. Doorverkoop van tickets

Bied je een ticket aan of verkoop je het via onze functie voor doorverkoop tussen fans, dan verwerken we je naam, e-mailadres en de doorverkooptransactie om de doorverkoop uit te voeren, het ticket over te dragen en jou te betalen. Om je geld te ontvangen koppel je een Stripe Express-uitbetalingsrekening; Stripe verzamelt en controleert daarbij de identiteits- en bankgegevens die nodig zijn om je te betalen (inclusief, waar de wet dat eist, gegevens voor identiteitscontrole). Stripe is hierbij onze subverwerker voor betalingen, zoals vermeld in artikel 4. Ontvangt een organisator betalingen via PayPal, dan worden je naam, e-mailadres en de transactie gedeeld met PayPal, zodat PayPal de betaling aan die organisator kan verwerken; PayPal verwerkt die gegevens daarnaast onder zijn eigen privacyverklaring. Koop je een doorverkocht ticket, dan ontvangt de verkoper je persoonsgegevens niet; de overdracht en een nieuw ticket worden automatisch door het platform aan je uitgegeven.

6. Je rechten onder de AVG

Onder de Algemene verordening gegevensbescherming (AVG) heb je de volgende rechten over je persoonsgegevens:

• Recht op inzage: je kunt een kopie opvragen van de persoonsgegevens die we over je hebben. Je kunt je gegevens ook op elk moment zelf exporteren vanuit je accountinstellingen.
• Recht op rectificatie: je kunt ons vragen onjuiste of onvolledige gegevens te corrigeren. De meeste gegevens kun je zelf aanpassen in je accountinstellingen.
• Recht op verwijdering: je kunt je account verwijderen vanuit je accountinstellingen. Heb je geen transacties gedaan, dan wordt je account definitief verwijderd. Heb je wel transacties gedaan (als koper of organisator), dan wordt je account geanonimiseerd in plaats van volledig gewist: je naam wordt vervangen door “Deleted User”, je e-mailadres door een onbruikbaar vervangend adres, je wachtwoord en tweestapsverificatie worden verwijderd en gekoppelde Stripe-, sociale-inlog- en factuur-ID’s worden gewist. De onderliggende transacties, tickets, scans en bestellingen blijven in hun oorspronkelijke vorm bewaard, om te voldoen aan de bewaarplicht van HMRC en om terugbetalingen en geschillen van kopers te kunnen afhandelen. Organisatoren kunnen hun account niet opheffen zolang ze komende evenementen met verkochte tickets hebben, of binnen 90 dagen na hun laatste transactie.
• Recht op beperking van de verwerking: je kunt ons vragen het gebruik van je persoonsgegevens te beperken.
• Recht op overdraagbaarheid: je kunt een kopie van je gegevens opvragen in een gestructureerde, gangbare en machineleesbare vorm (JSON).
• Recht van bezwaar: je kunt bezwaar maken tegen de verwerking van je persoonsgegevens voor bepaalde doelen, waaronder direct marketing.
• Recht om toestemming in te trekken: als we gegevens verwerken op basis van je toestemming (bijvoorbeeld analytische cookies of marketingmails), kun je die toestemming op elk moment intrekken. Dat doet niets af aan de rechtmatigheid van de verwerking vóór de intrekking.

Wil je een van deze rechten uitoefenen, mail ons dan via [email protected]. Je verzoek mag in het Nederlands. We reageren binnen een maand. Hebben we meer tijd nodig (bij ingewikkelde verzoeken maximaal twee maanden extra), dan laten we je dat binnen de eerste maand weten.

7. Geautomatiseerde besluitvorming

We gebruiken geen geautomatiseerde besluitvorming of profilering die rechtsgevolgen voor je heeft of je op een vergelijkbare manier in aanmerkelijke mate treft. Onze fraudebestrijding kan automatische controles gebruiken, maar daar kijkt altijd een mens naar voordat er iets met je account gebeurt.

8. Bewaartermijnen

We bewaren je persoonsgegevens zolang je account actief is of zolang dat nodig is om je onze diensten te leveren. Daarnaast kunnen we je gegevens bewaren en gebruiken voor zover dat nodig is om aan onze wettelijke verplichtingen te voldoen, geschillen op te lossen en onze afspraken te handhaven.

In het bijzonder:

• Accountgegevens: zolang je account bestaat en tot 2 jaar nadat je account is opgeheven.
• Transactiegegevens: 7 jaar, om te voldoen aan de administratieplicht van HMRC.
• Verwijderde accounts: persoonsgegevens worden direct bij verwijdering geanonimiseerd. Transacties, bestelgeschiedenis en evenementgegevens worden 7 jaar bewaard (HMRC).
• Gift Aid-verklaringen: volgens de eisen van HMRC. Het goede doel is verwerkingsverantwoordelijke voor deze gegevens en verantwoordelijk voor die bewaarplicht; tickts bewaart de verklaringen namens het goede doel.
• Gebruiks- en analysegegevens: maximaal 26 maanden.
• Scanlogboeken: 2 jaar, voor het oplossen van geschillen en de betrouwbaarheid van het platform.
• Wachtlijst- en aanmeldgegevens: een plek op de wachtlijst van een evenement wordt 90 dagen na de datum van dat evenement verwijderd. Een aanmelding op de aanmeldpagina van een organisator wordt 24 maanden na je aanmelding verwijderd. De organisator kan je eerder verwijderen en je kunt de organisator of ons op elk moment vragen je te verwijderen. Na verwijdering bewaren we alleen een telling van het aantal aanmeldingen dat een rep of link heeft opgeleverd, zonder iets waaraan je herkenbaar bent. Een organisator kan zijn lijst eerder hebben geëxporteerd; voor een kopie die hij zelf bewaart, is hij verwerkingsverantwoordelijke.
• Contact met onze ondersteuning: tot 3 jaar na het laatste contact.
• Toestemmingsregistraties (cookies, marketing): 2 jaar, daarna automatisch verwijderd.
• Activiteitenlogboeken van beheer door organisatoren: 30 dagen, daarna automatisch verwijderd.
• Auditlogboeken van overstappen (de bevestiging van een organisator dat de inhoud die hij met de overstaptool heeft geïmporteerd van hem is): 6 jaar vanaf de import, om ons te kunnen verweren tegen claims van derden over geïmporteerde inhoud.
• Fout- en beveiligingslogboeken: maximaal 90 dagen, behalve als er een onderzoek loopt.

9. Beveiliging

We nemen passende technische en organisatorische maatregelen om je persoonsgegevens te beschermen tegen onbevoegde toegang, wijziging, openbaarmaking of vernietiging. Daaronder vallen:

• versleuteling tijdens verzending (TLS/SSL) van alle gegevens van en naar het platform;
• veilige hashing van wachtwoorden met bcrypt;
• regelmatige beveiligingscontroles en kwetsbaarheidsonderzoeken;
• toegangsbeheer dat de toegang van medewerkers en systemen tot persoonsgegevens beperkt;
• bescherming tegen DDoS-aanvallen en een webapplicatiefirewall (WAF) van Cloudflare;
• optionele tweestapsverificatie (TOTP) met herstelcodes voor eenmalig gebruik; de geheime sleutels worden versleuteld opgeslagen.

10. Doorgifte buiten de EER

tickts.nl wordt beheerd door TICKTS LTD in het Verenigd Koninkrijk en de gegevens van de applicatie worden in het Verenigd Koninkrijk gehost bij Cloudways/DigitalOcean (regio Londen). De doorgifte van persoonsgegevens vanuit de Europese Economische Ruimte naar het Verenigd Koninkrijk is gebaseerd op het adequaatheidsbesluit van de Europese Commissie voor het Verenigd Koninkrijk (Uitvoeringsbesluit (EU) 2021/1772 van 28 juni 2021). Mocht dat besluit worden ingetrokken of zonder verlenging aflopen, dan sluiten we vóór elke verdere doorgifte EU-standaardcontractbepalingen (Uitvoeringsbesluit (EU) 2021/914) of treffen we een andere passende waarborg uit artikel 46 AVG.

Een aantal van onze subverwerkers (Stripe, Google, Sentry, Apple, Meta, TikTok, Cloudflare) is gevestigd in of werkt vanuit de Verenigde Staten (TikTok ook vanuit Singapore). Voor die doorgifte zorgen we voor passende waarborgen zoals bedoeld in artikel 46 AVG, zoals de EU-standaardcontractbepalingen, of vertrouwen we op de deelname van de ontvanger aan een erkend adequaatheidskader (bijvoorbeeld het EU-VS-kader voor gegevensbescherming, waar van toepassing).

Je kunt een overzicht opvragen van de waarborg die voor een bepaalde subverwerker geldt door te mailen naar [email protected].

11. Datalekken

Bij een datalek dat waarschijnlijk een risico inhoudt voor je rechten en vrijheden, melden we dat binnen 72 uur nadat we het hebben ontdekt bij de bevoegde toezichthouder, zoals artikel 33 AVG voorschrijft. Brengt het datalek waarschijnlijk een hoog risico voor je rechten met zich mee, dan laten we het jou ook zonder onnodige vertraging rechtstreeks weten.

12. Kinderen

Ons platform is niet bedoeld voor kinderen jonger dan 16 jaar. We verzamelen niet bewust persoonsgegevens van kinderen jonger dan 16. Denk je dat we gegevens van een kind jonger dan 16 hebben verzameld, neem dan direct contact met ons op; dan zorgen we dat die gegevens worden verwijderd.

13. Contact en klachten

We zijn niet verplicht een functionaris voor gegevensbescherming aan te stellen (artikel 37 AVG), omdat we geen overheidsinstantie zijn en onze kernactiviteiten niet bestaan uit het op grote schaal volgen van personen of het op grote schaal verwerken van bijzondere categorieën persoonsgegevens. We verwerken wel in beperkte mate bijzondere persoonsgegevens als je vrijwillig toegankelijkheidswensen invult (zie artikel 2a), maar dat is optioneel, gebeurt incidenteel en niet op grote schaal. Alle vragen over privacy worden behandeld door het privacyteam van tickts via de contactgegevens hieronder; dat team is ons aanspreekpunt voor gegevensbescherming.

Heb je vragen over deze privacyverklaring of over hoe we met gegevens omgaan, wil je je rechten uitoefenen of een klacht indienen, neem dan contact met ons op:

• E-mail: [email protected]
• Telefoon: +44 7723 231454
• Post: TICKTS LTD, 124-128 City Road, Londen, EC1V 2NX, Verenigd Koninkrijk

Toezichthouder. Woon je in Nederland, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens als je vindt dat we je rechten op het gebied van gegevensbescherming niet goed naleven. Kijk op autoriteitpersoonsgegevens.nl hoe je dat doet. Je kunt ook een klacht indienen bij de toezichthouder in het land waar je woont of werkt.