Privacybeleid

1. Inleiding

Handelend (hierna: "wij", "ons" of "het platform") exploiteert de online marktplaats handelend.nl, waar gebruikers artikelen kunnen kopen, verkopen en (ver)huren met escrow-bescherming, borg en identiteitsverificatie.

Dit privacybeleid beschrijft hoe wij omgaan met persoonsgegevens van bezoekers en gebruikers van het platform, in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG/GDPR) en overige toepasselijke privacywetgeving.

Door het platform te bezoeken of te gebruiken, erken je kennis te hebben genomen van dit privacybeleid.

2. Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke voor de persoonsgegevens is:

3. Welke gegevens verzamelen wij

Wij kunnen de volgende categorieën persoonsgegevens verwerken:

3.1 Gegevens die je zelf verstrekt

• Accountgegevens: e-mailadres, wachtwoord (versleuteld opgeslagen), weergavenaam.
• iDIN-verificatie: bij verificatie via iDIN ontvangen wij je voor- en achternaam, geboortedatum en BIN (Bank Identification Number) ter bevestiging van je identiteit. Wij ontvangen geen bankrekeningnummer of financiële gegevens via iDIN.
• Advertentiegegevens: titels, beschrijvingen, foto's en prijzen van de artikelen die je plaatst.
• Communicatie: berichten die je via het contactformulier of de klantenservice stuurt.
• Betaalgegevens: wanneer betalingen actief zijn, worden betalingen verwerkt door onze betaaldienstverlener (Stripe). Wij slaan zelf geen volledige creditcard- of bankrekeningnummers op; Stripe verwerkt deze als zelfstandig verwerkingsverantwoordelijke of verwerker.

3.2 Gegevens die automatisch worden verzameld

• Technische gegevens: IP-adres, browsertype, besturingssysteem, apparaatgegevens, verwijzende URL.
• Gebruiksgegevens: pagina's die je bezoekt, kliktijden, zoektermen, sessieduur.
• Cookies en vergelijkbare technologieën: zie artikel 9.

3.3 Gegevens van derden

• Betaaldienstverlener (Stripe): informatie over de status van betalingen, onboardingstatus van verkopers (wel/niet volledig gekoppeld) en transactie-ID's.
• iDIN-dienstverlener: verificatieresultaat (bevestigd/niet bevestigd) en de onder 3.1 genoemde identiteitsgegevens.

4. Doeleinden van de verwerking

Wij verwerken persoonsgegevens voor de volgende doeleinden:

• Accountbeheer en authenticatie: het aanmaken, onderhouden en beveiligen van je account.
• Uitvoering van de dienst: het mogelijk maken van advertenties, transacties, escrow, borg en de afhandeling daarvan.
• Identiteitsverificatie: het uitvoeren van iDIN-verificatie ter bevordering van vertrouwen en veiligheid.
• Betalingsverwerking: het faciliteren van veilige betalingen via onze betaaldienstverlener.
• Communicatie: het beantwoorden van vragen, het verzenden van servicemeldingen (zoals transactiestatus) en, met je toestemming, nieuwsbrieven.
• Geschillenbeslechting: het bemiddelen bij geschillen tussen gebruikers.
• Veiligheid en fraudepreventie: het detecteren en voorkomen van fraude, misbruik en ongeautoriseerde toegang.
• Verbetering van het platform: het analyseren van gebruikspatronen om de functionaliteit en gebruikerservaring te verbeteren.
• Wettelijke verplichtingen: het voldoen aan toepasselijke wet- en regelgeving, waaronder belastingwetgeving en het bewaren van transactiegegevens.

5. Rechtsgrondslag

De verwerking van persoonsgegevens is gebaseerd op een of meer van de volgende AVG-grondslagen:

• Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG): verwerking die noodzakelijk is om je account aan te maken, advertenties te faciliteren en transacties af te handelen.
• Gerechtvaardigd belang (art. 6 lid 1 sub f AVG): platformbeveiliging, fraudepreventie, verbetering van de dienst en het afhandelen van geschillen. Wij maken daarbij steeds een belangenafweging.
• Wettelijke verplichting (art. 6 lid 1 sub c AVG): het bewaren van transactiegegevens voor fiscale verplichtingen en het meewerken aan bevoegde autoriteiten.
• Toestemming (art. 6 lid 1 sub a AVG): voor niet-essentiële cookies, nieuwsbrieven en marketingcommunicatie. Je kunt je toestemming te allen tijde intrekken.

6. Delen met derden

Wij delen persoonsgegevens uitsluitend in de volgende situaties:

• Betaaldienstverlener (Stripe): voor betalingsverwerking, escrow en uitbetalingen aan verkopers. Stripe is gecertificeerd onder PCI-DSS en verwerkt betalingsgegevens onder eigen verwerkingsverantwoordelijkheid of als verwerker.
• iDIN-dienstverlener / banken: voor identiteitsverificatie. De bank verifieert je identiteit; wij ontvangen alleen het verificatieresultaat en basisgegevens.
• Hostingpartij: ons platform wordt gehost op beveiligde servers. De hostingpartij verwerkt gegevens uitsluitend in onze opdracht en onder verwerkersovereenkomst.
• Analytische diensten: wij gebruiken Google Analytics (met geanonimiseerde IP-adressen) om het gebruik van het platform te analyseren.
• Bevoegde autoriteiten: wanneer wij daartoe wettelijk verplicht zijn of bij een gerechtvaardigd vermoeden van strafbare feiten.
• Andere gebruikers: bij een transactie kunnen beperkte gegevens (zoals je weergavenaam en iDIN-verificatiestatus) zichtbaar zijn voor de andere partij. Wij delen nooit je e-mailadres, wachtwoord of volledige identiteitsgegevens met andere gebruikers.

Wij verkopen persoonsgegevens nooit aan derden.

7. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen ongeoorloofde toegang, verlies, vernietiging of wijziging, waaronder:

• Versleutelde verbindingen (TLS/HTTPS) voor alle dataverkeer.
• Wachtwoorden worden versleuteld opgeslagen met industriestandaard hashing (bcrypt).
• Toegangscontrole: alleen geautoriseerde medewerkers hebben toegang tot persoonsgegevens, op basis van noodzaak.
• Regelmatige back-ups en beveiligingsupdates.
• Betalingsgegevens worden verwerkt door PCI-DSS-gecertificeerde partijen (Stripe) en niet op onze eigen servers opgeslagen.

8. Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan noodzakelijk voor de doeleinden waarvoor zij zijn verzameld, of zoals vereist door de wet:

• Accountgegevens: zolang je account actief is, en tot 12 maanden na verwijdering van je account (voor eventuele geschillen).
• Transactiegegevens: 7 jaar na de transactie, conform de fiscale bewaarplicht.
• iDIN-verificatieresultaat: zolang je account actief is. Na accountverwijdering wordt het resultaat geanonimiseerd of verwijderd.
• Communicatie en klantenservice: tot 2 jaar na het laatste contactmoment.
• Logbestanden en technische gegevens: maximaal 12 maanden.

Na afloop van de bewaartermijn worden gegevens verwijderd of geanonimiseerd.

9. Cookies en vergelijkbare technologieën

Wij gebruiken cookies en vergelijkbare technologieën op het platform:

9.1 Noodzakelijke cookies

Deze cookies zijn essentieel voor de werking van het platform (inloggen, sessie, beveiligingstokens). Zij worden geplaatst zonder toestemming, omdat het platform zonder deze cookies niet correct functioneert.

9.2 Analytische cookies

Wij gebruiken Google Analytics om inzicht te krijgen in het gebruik van het platform. IP-adressen worden geanonimiseerd. Je kunt analytische cookies weigeren of je afmelden via de Google Analytics Opt-out Browser Add-on.

9.3 Cookies van derden

Onze betaaldienstverlener (Stripe) kan bij het betaalproces eigen cookies plaatsen. Raadpleeg het privacybeleid van Stripe voor meer informatie.

10. Jouw rechten

Onder de AVG heb je de volgende rechten met betrekking tot je persoonsgegevens:

• Recht op inzage (art. 15 AVG): je mag opvragen welke gegevens wij van je verwerken.
• Recht op rectificatie (art. 16 AVG): je kunt onjuiste of onvolledige gegevens laten corrigeren.
• Recht op verwijdering (art. 17 AVG): je kunt ons verzoeken je gegevens te verwijderen ("recht op vergetelheid"), tenzij wij een wettelijke bewaarplicht hebben.
• Recht op beperking (art. 18 AVG): je kunt ons verzoeken de verwerking tijdelijk te beperken.
• Recht op dataportabiliteit (art. 20 AVG): je kunt een kopie van je gegevens opvragen in een gestructureerd, gangbaar en machineleesbaar formaat.
• Recht van bezwaar (art. 21 AVG): je kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
• Recht om toestemming in te trekken: waar de verwerking op toestemming berust, kun je deze te allen tijde intrekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking vóór intrekking.

Om je rechten uit te oefenen, neem contact op via [email protected]. Wij reageren binnen 30 dagen op je verzoek. Wij kunnen om aanvullende identificatie vragen om misbruik te voorkomen.

11. Minderjarigen

Het platform is niet bedoeld voor personen jonger dan 18 jaar. Wij verzamelen niet bewust gegevens van minderjarigen. Mochten wij ontdekken dat wij gegevens van een minderjarige hebben verwerkt, dan verwijderen wij deze zo spoedig mogelijk.

12. Wijzigingen in dit privacybeleid

Wij kunnen dit privacybeleid van tijd tot tijd wijzigen, bijvoorbeeld bij nieuwe functionaliteiten of gewijzigde wetgeving. De actuele versie wordt altijd op het platform gepubliceerd met vermelding van de datum. Bij wezenlijke wijzigingen informeren wij je waar redelijk vooraf.

13. Contact en klachten

Voor vragen over dit privacybeleid of het uitoefenen van je rechten:

Mocht je ontevreden zijn over de manier waarop wij met je persoonsgegevens omgaan, dan heb je het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Zie ook onze algemene voorwaarden en klantenservice.