Privacybeleid

Wie verantwoordelijk is

De verwerkingsverantwoordelijke voor de hier beschreven persoonsgegevens is OnwardTrust S.a.r.l., Rue du puits Romain 33-39, 8070 Bertrange, Luxemburg. Alle identificatiegegevens vindt u in onze juridische informatie.

Voor alles wat met uw gegevens te maken heeft, waaronder elk van de verzoeken in artikel 11, schrijft u naar help@onwardtrust.com.

Dit beleid geldt voor onze website, de betaalpagina's op onwardtrust.com/pay/ en de correspondentie die wij met u voeren. Het geldt niet voor het reisbureau waar u hebt geboekt; dat bepaalt zelf wat het doet met de gegevens die het bewaart en is daarvoor een afzonderlijke verwerkingsverantwoordelijke.

Waar uw gegevens vandaan komen

Het meeste van wat wij over een reiziger bewaren, komt niet van de reiziger zelf. Het komt uit een van drie bronnen:

• Van het reisbureau, wanneer het een betaling aanmaakt: de naam van de reiziger, het e-mailadres, de voorkeurstaal, de boeking waarop de betaling betrekking heeft en het verschuldigde bedrag.
• Van de bank, wanneer een overboeking binnenkomt: de naam op de rekening van de afzender, het IBAN daarvan, het bedrag, de valutadatum en de vrije omschrijving die de afzender heeft ingevuld.
• Van uzelf, als u ons schrijft, de betaalpagina gebruikt of ons bewijsmateriaal stuurt ter onderbouwing van een verzoek of een geschil.

Wat wij bewaren

• Identificatie- en contactgegevens — naam, e-mailadres, en elk postadres of telefoonnummer dat u ons in correspondentie wilt geven.
• Betaalgegevens — het betalingskenmerk, het bedrag, de valuta, de status waarin de betaling verkeert, de tijdstippen waarop die status wijzigde, en de bankgegevens van de rekening waarvan het geld afkomstig is.
• Boekingsgegevens — het eigen boekingsnummer van het reisbureau en, in het bewijs van uitgifte dat een reisbureau indient, het ticketnummer en de naam van de passagier bij de boeking.
• Correspondentie — de berichten die u ons stuurt en onze antwoorden, met inbegrip van eventuele bijlagen.
• Technische gegevens — onze webserver legt bij elk verzoek het IP-adres, het verzoek, het tijdstip en de browseridentificatie vast, zoals vrijwel elke webserver doet. Daarnaast leggen de logbestanden van onze eigen applicatie de verwerking van een betaling vast, met inbegrip van het bijbehorende betalingskenmerk.

Wij vragen niet om en willen ook niet beschikken over een kaartnummer, een kaartveiligheidscode, een wachtwoord voor internetbankieren of een eenmalige code. Wij accepteren op geen enkele manier kaartbetalingen, dus er is geen situatie waarin wij die nodig zouden hebben. Vraagt iemand u hierom in onze naam, zie dan artikel 9 van onze Algemene voorwaarden.

Waarom, en op welke rechtsgrondslag

Het uitvoeren van de escrow: het geld ontvangen, het aan een boeking koppelen, het reisbureau melden dat het wordt vastgehouden, en het vrijgeven of terugstorten

Uitvoering van een overeenkomst (artikel 6(1)(b) van de AVG), en ons gerechtvaardigd belang bij de uitvoering van de overeenkomst die wij met het reisbureau hebben wanneer de reiziger niet rechtstreeks onze wederpartij is (artikel 6(1)(f)).

U informeren over wat er met uw geld gebeurt

Uitvoering van een overeenkomst, en ons gerechtvaardigd belang erbij dat een reiziger niet in het ongewisse blijft over geld dat hij heeft verstuurd (artikel 6(1)(f)).

Fraude, identiteitsmisbruik en misbruik van de dienst voorkomen, opsporen en onderzoeken

Ons gerechtvaardigd belang, en het gerechtvaardigd belang van elke andere gebruiker van de dienst, bij een betaalsysteem dat niet wordt gebruikt om mensen op te lichten (artikel 6(1)(f)).

Voldoen aan onze verplichtingen tegen witwassen en terrorismefinanciering, en screenen op sancties

Naleving van een wettelijke verplichting (artikel 6(1)(c)).

Boekhoudkundige en fiscale gegevens bewaren

Naleving van een wettelijke verplichting (artikel 6(1)(c)).

Rechtsvorderingen instellen, uitoefenen of daartegen verweer voeren, ook bij een geschil over een boeking

Ons gerechtvaardigd belang om te kunnen aantonen wat er is gebeurd (artikel 6(1)(f)), en naleving van een wettelijke verplichting wanneer een rechter of autoriteit dit verlangt.

De dienst veilig en beschikbaar houden

Ons gerechtvaardigd belang bij een veilige exploitatie van de dienst (artikel 6(1)(f)).

Wij verkopen geen persoonsgegevens, wij delen ze niet voor marketing van wie dan ook, en wij sturen reizigers geen marketingmail.

Cookies en tracking

Deze website plaatst geen cookies, en de betaalpagina's plaatsen geen cookies. Op geen van beide staat analytics, een advertentiepixel of enig script van derden. Daarom wordt u ook nergens om toestemming gevraagd.

Het is bovendien een ontwerpkeuze en geen omissie. Uw taal volgt uit het adres van de pagina waarop u zich bevindt, niet uit iets dat op uw apparaat is opgeslagen — daarom heeft elke taal een eigen webadres — en een betaalpagina draagt geen gegevens over van de ene bezoeker op de volgende, zodat de taal of boeking van de ene reiziger niet zichtbaar kan worden voor de volgende persoon die een gedeelde computer gebruikt.

Onze webserver bewaart logbestanden van verzoeken, zoals beschreven in artikel 3. Dat zijn geen cookies en zij volgen u niet naar andere websites.

Met wie wij het delen

• Onze bank, noodzakelijkerwijs, om het geld te ontvangen en te versturen.
• Het reisbureau van uw boeking: dat een betaling is ontvangen en wordt vastgehouden, dat zij is vrijgegeven of teruggestort, en het kenmerk waarop zij betrekking heeft. Wij geven het reisbureau niet de bankgegevens door van de rekening waarvan u hebt betaald.
• Onze dienstverleners, hoofdzakelijk hosting en e-mailbezorging, op grond van schriftelijke overeenkomsten die hun uitsluitend toestaan te handelen volgens onze instructies.
• Onze professionele adviseurs — accountants, auditors en advocaten — voor zover zij het nodig hebben en aan geheimhouding zijn gebonden.
• Overheidsinstanties, wanneer de wet dat vereist, onder meer in verband met witwassen, sancties, belastingen of een rechterlijk bevel.

Waar het wordt opgeslagen

Onze servers staan in de Europese Unie, en de in dit beleid beschreven persoonsgegevens worden daar opgeslagen. Wij dragen ze niet routinematig over buiten de Europese Economische Ruimte. Verandert dat ooit, dan gebruiken wij een doorgiftemechanisme dat wordt erkend onder hoofdstuk V van de AVG, zoals de modelcontractbepalingen van de Europese Commissie, en zeggen wij dat hier eerst.

Hoe lang wij het bewaren

• De vastlegging van een betaling en de bijbehorende statuspagina — 24 maanden vanaf de datum waarop de betaling is afgerond of teruggestort, zodat beide partijen bij een boeking later nog dezelfde vastlegging kunnen raadplegen als er iets ter discussie komt te staan.
• Boekhoudkundige bescheiden, met inbegrip van de onderliggende transactiegegevens — tien jaar, de termijn die het Luxemburgse handelsrecht ons voorschrijft.
• Bescheiden die wij bewaren voor onze antiwitwasverplichtingen — vijf jaar na het einde van de zakelijke relatie of de transactie, zoals die wetgeving voorschrijft.
• Correspondentie — 24 maanden, of langer wanneer zij betrekking heeft op een geschil dat nog loopt of op een rechtsvordering.
• Logbestanden van verzoeken aan de webserver — 14 dagen.
• Logbestanden van de applicatie, die de afhandeling van een betaling vastleggen in plaats van een webverzoek — 8 weken.

Gelden twee van deze termijnen voor dezelfde gegevens, dan geldt de langste, omdat wij niet kunnen wissen wat de wet ons voorschrijft te bewaren.

Geautomatiseerde besluiten

Geen enkel besluit over uw geld wordt automatisch genomen. Het koppelen van een overboeking aan een boeking, het verifiëren van het bewijs van uitgifte, het vrijgeven van geld en het terugstorten van geld worden elk beslist door een medewerker van ons, en boven een drempelbedrag vereist een vrijgave bovendien een tweede persoon. Er is geen geautomatiseerde profilering en geen besluit met rechtsgevolgen dat zonder tussenkomst van een mens tot stand komt.

Hoe wij het beschermen

Verbindingen met deze site en met de betaalpagina's zijn tijdens het transport versleuteld. Toegang tot betalingsgegevens is beperkt tot met naam genoemde medewerkers, elk met een eigen account, en de bevoegdheid om geld vrij te geven ligt bij minder mensen dan de bevoegdheid om die gegevens in te zien.

Elke wijziging in een betaling wordt vastgelegd in een auditlog waaraan alleen kan worden toegevoegd, met wat er is gewijzigd, wanneer en door wie. Dat log kan niet worden bewerkt of gewist door de mensen wier handelingen erin zijn vastgelegd.

Een betaalpagina is bereikbaar voor iedereen die het adres ervan heeft; zo bereikt een reiziger de pagina zonder zich te registreren. Het adres bevat een lange willekeurige verwijzing die niet te raden of te achterhalen is, en de pagina is uitgesloten van zoekmachines. Behandel de link zoals u de betaalgegevens zelf zou behandelen.

Uw rechten

Op grond van de AVG kunt u ons vragen om:

• u een kopie te geven van de persoonsgegevens die wij over u bewaren, en u te vertellen wat wij ermee doen;
• te corrigeren wat onjuist of onvolledig is;
• te wissen wat wij geen reden meer hebben om te bewaren;
• te beperken wat wij ermee doen zolang een geschil over de juistheid ervan of over onze gronden wordt beslecht;
• u, of een andere verwerkingsverantwoordelijke, een overdraagbare kopie te geven van de gegevens die u ons hebt verstrekt, voor zover wij die op grond van een overeenkomst bewaren; en
• te stoppen met de verwerking ervan waar wij ons op gerechtvaardigde belangen beroepen — wij doen dat, tenzij wij gronden hebben die zwaarder wegen dan de uwe, en dan leggen wij uit welke.

Schrijf naar help@onwardtrust.com. Wij antwoorden binnen één maand. Mogelijk moeten wij vaststellen wie u bent voordat wij handelen, zeker wanneer een verzoek geld betreft — wij vragen daarbij naar zo min mogelijk.

Sommige van deze rechten kennen grenzen. Wij kunnen geen vastlegging wissen die wij wettelijk moeten bewaren, en wij kunnen de verwerking niet zo ver beperken dat wij geld dat wij voor u vasthouden niet meer kunnen terugstorten.

Een klacht indienen bij de toezichthouder

Wij horen het liever eerst van u, via help@onwardtrust.com, zodat wij het kunnen rechtzetten. U bent daartoe niet verplicht.

U kunt een klacht indienen bij de Luxemburgse gegevensbeschermingsautoriteit, de Commission nationale pour la protection des données (CNPD), waarvan de contactgegevens zijn gepubliceerd op cnpd.lu. U kunt ook een klacht indienen bij de toezichthoudende autoriteit van het land waar u woont of werkt.

Wijzigingen in dit beleid

De datum boven aan deze pagina is de datum van de versie die u leest. Raakt een wijziging wezenlijk de manier waarop wij gegevens gebruiken die wij al bewaren, dan informeren wij de betrokkenen rechtstreeks in plaats van erop te vertrouwen dat deze pagina opnieuw is gelezen.