Privacybeleid

1. Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke is EXAUTHYS, met maatschappelijke zetel in Cayenne — Frans-Guyana (volledige gegevens in de Wettelijke vermeldingen). Onze Functionaris voor Gegevensbescherming (DPO) is bereikbaar via rgpd@exauthys.com.

2. Verzamelde gegevens en doeleinden

2.1 Accountcreatie en identificatie

Achternaam, voornaam, e-mail, wachtwoord (bcrypt cost 12 hash), telefoonnummer, voorkeurstaal en geboortedatum indien relevant. Rechtsgrond: uitvoering van het contract (AVG art. 6.1.b). Bewaartermijn: levensduur van het account + 3 jaar (handelsverjaring).

2.2 Boekingen en betalingen

Boekingsgeschiedenis, bedragen, gekozen Aanbieders, data. EXAUTHYS bewaart kaartgegevens nooit in platte tekst: de nummers worden getokeniseerd door de PCI-DSS-gecertificeerde betalingsverwerker (Stripe als eerste implementatie). Bewaartermijn: 10 jaar voor boekhoudgegevens (Franse Handelscode art. L.123-22).

2.3 Loyaliteitsprogramma

Saldo en geschiedenis van de punten (EARN / SPEND / BONUS / EXPIRE transacties). Bewaartermijn: levensduur van het account. De punten zelf verlopen automatisch 3 jaar na hun verwerving.

2.4 Communicatie en marketing

E-mailadres en communicatievoorkeuren. Rechtsgrond: expliciete toestemming (AVG art. 6.1.a), op elk moment intrekbaar via het voorkeurscentrum of de uitschrijfkoppeling in elke e-mail. Bewaartermijn: tot intrekking van de toestemming.

2.5 Veiligheid en auditlog

IP-adres, user-agent, tijdstempels van verbindingen, mislukte aanmeldingen en gevoelige handelingen (betaling, wijziging Aanbieder-rekening). Rechtsgrond: gerechtvaardigd belang om het platform te beschermen (AVG art. 6.1.f). Bewaartermijn: 5 jaar (overeenkomstig de antifraude-plicht, Franse Monetaire en Financiële Code L.561-12).

2.6 Aanbieders — administratieve informatie

SIRET, IBAN/BIC (AES-256 versleuteld), bewijsstukken van documentaire verificatie. Rechtsgrond: wettelijke verplichting (identiteitsverificatie, antiwitwas) en uitvoering van de partnerschapsovereenkomst.

3. Cookies en trackers

Het detail van de gebruikte cookies (strikt noodzakelijk, analyse, marketing) is gedocumenteerd in het Cookiebeleid beschikbaar in het overzicht. Geen enkele analyse- of marketingcookie wordt geplaatst voor uw expliciete toestemming verzameld via de CNIL-banner.

4. Ontvangers en subverwerkers

Uw gegevens zijn enkel toegankelijk voor bevoegde EXAUTHYS-medewerkers, evenals voor de volgende subverwerkers, omkaderd door een AVG-art.-28 contract:

• Stripe (betalingsverwerker, PCI-DSS Niveau 1) — voor de betalingsverwerking;
• Twilio — voor het verzenden van authenticatie-SMS;
• AWS / Scaleway — voor de hosting en S3-opslag van media;
• Nodemailer + SMTP-server — voor transactie-e-mails.

5. Doorgiften buiten de EU

EXAUTHYS host zijn gegevens in de Europese Unie. Elke doorgifte naar een derde land (bijvoorbeeld bij een boeking bij een Aanbieder buiten de EU) wordt omkaderd door de Standaardcontractbepalingen van de Europese Commissie (besluit 2021/914) of door een adequaatheidsbesluit indien van toepassing.

6. Uw rechten

U beschikt te allen tijde over de volgende rechten:

• Toegang (art. 15) — een kopie van uw gegevens verkrijgen;
• Rectificatie (art. 16) — onjuiste gegevens corrigeren;
• Wissing / recht op vergetelheid (art. 17) — onder voorbehoud van wettelijke bewaarverplichtingen;
• Beperking van de verwerking (art. 18);
• Overdraagbaarheid (art. 20) — uw gegevens ontvangen in een gestructureerd, machine-leesbaar formaat;
• Bezwaar (art. 21) — tegen verwerking gebaseerd op gerechtvaardigd belang of marketingprofilering;
• Postmortem-richtlijnen (art. 40-1 LIL).

U kunt deze rechten uitoefenen via het tabblad “Privacy” van uw account of via e-mail naar rgpd@exauthys.com. EXAUTHYS verbindt zich ertoe binnen één maand te antwoorden (verlengbaar met twee maanden bij complexiteit, AVG art. 12.3). U heeft het recht om klacht in te dienen bij de CNIL (www.cnil.fr).

7. Beveiliging

EXAUTHYS implementeert passende technische en organisatorische maatregelen: TLS 1.3-versleuteling in transit, AES-256 at-rest versleuteling voor gevoelige gegevens (IBAN/BIC), meervoudige authenticatie op administratieve accounts, rate limiting en detectie van verdachte aanmeldingen, uitgebreide auditlog van gevoelige handelingen.

8. Minderjarigen

Registratie is verboden voor minderjarigen jonger dan 15 jaar. Tussen 15 en 18 jaar vereist registratie de toestemming van een houder van het ouderlijk gezag. EXAUTHYS behoudt zich het recht voor om een bewijsstuk te vragen en elk niet-conform account zonder voorafgaande kennisgeving te sluiten.

9. Wijzigingen

Elke substantiële evolutie van dit beleid wordt minstens 30 dagen vóór de inwerkingtreding per e-mail aan de gebruikers meegedeeld. De datum van laatste bijwerking staat bovenaan de pagina.