Privacybeleid

1. Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke voor de in dit beleid beschreven verwerkingen is Buurly, een vennootschap onder firma (V.O.F.), gevestigd te Enschede.

• KvK-nummer: 42041884
• Adres: Kottendijk 55, 7522 BN Enschede
• E-mail (privacy): info@buurly.app
• Functionaris voor Gegevensbescherming (FG/DPO): Buurly heeft geen functionaris voor gegevensbescherming aangesteld. Gelet op de omvang van het platform is dit naar de huidige inschatting niet wettelijk verplicht; deze inschatting wordt nog juridisch getoetst.

2. Welke persoonsgegevens verwerken wij

Afhankelijk van het gebruik van het Platform en de rol (Huurder en/of Verhuurder) verwerken wij onder meer de volgende categorieën persoonsgegevens:

Bijzondere persoonsgegevens. Identiteitsverificatie kan gegevens uit een identiteitsdocument en biometrische verificatie omvatten (art. 9 AVG). De biometrische verwerking vindt uitsluitend plaats bij Stripe Identity, niet bij Buurly zelf. Voor het burgerservicenummer (BSN) geldt een aanvullend, strenger regime: het verwerkingsverbod van art. 46 UAVG staat verwerking van een BSN alleen toe voor zover dat bij wet is voorzien. Buurly verwerkt het BSN uitsluitend voor de wettelijke DAC7-rapportageplicht (zie hoofdstuk 3a), niet voor de identiteitsverificatie zelf.

2a. Locatiegegevens via de zoekfunctie (browser-geolocatie)

Los van de locatie die u zelf typt in het zoekveld, kunt u op de homepage kiezen voor de knop "Gebruik mijn locatie". Dit is een uitdrukkelijk, door u zelf geïnitieerd verzoek: Buurly vraagt uw precieze apparaatlocatie uitsluitend op het moment dat u op deze knop klikt (permission-first, via de geolocatiefunctie van uw browser). Zonder die klik gebeurt er niets: er is geen achtergrondmeting en geen automatische locatiebepaling bij het laden van de pagina.

Geeft u toestemming in de browser-prompt die daarna verschijnt, dan wordt de opgehaalde coördinaat (breedte- en lengtegraad) rechtstreeks vanuit uw browser doorgestuurd naar Mapbox, voor "reverse geocoding": het omzetten van een coördinaat naar een plaatsnaam (bijvoorbeeld "Utrecht"). Die plaatsnaam wordt vervolgens automatisch in het zoekveld ingevuld. Dit dient uitsluitend om het zoekveld voor u vooraf in te vullen. De coördinaat zelf wordt door deze functie niet opgeslagen op de servers van Buurly, niet gekoppeld aan uw Account en niet voor een ander doel gebruikt: zij blijft alleen tijdelijk, client-side in het geheugen van uw browser, aanwezig zolang de pagina open staat.

Weigert u toestemming, of lukt de locatiebepaling of de plaatsnaambepaling niet, dan verschijnt een tekstuele melding die u vraagt zelf uw stad of buurt in te typen. Zoeken blijft op die manier altijd mogelijk, met of zonder deze knop.

3. Doeleinden en grondslagen (art. 6 AVG)

Wij verwerken persoonsgegevens uitsluitend voor welbepaalde doeleinden en op basis van een geldige grondslag:

3a. Fiscale rapportage aan de Belastingdienst (DAC7)

Als aanbieder van een platform waarmee Verhuurders opslag- en stallingsruimte tegen vergoeding aanbieden, is Buurly wettelijk verplicht tot jaarlijkse rapportage van Verhuurdersgegevens aan de Belastingdienst, op grond van de Wet implementatie EU-richtlijn gegevensuitwisseling digitale platformeconomie (implementatie van Richtlijn (EU) 2021/514, "DAC7"). Voor verhuur van onroerend goed, waaronder opslag- en stallingsruimte, geldt geen drempelbedrag: iedere betaalde Boeking maakt de Verhuurder rapportabel, ongeacht het bedrag.

Wij verwerken hiertoe van Verhuurders: naam, adres, geboortedatum, burgerservicenummer (BSN), bankrekeninggegevens, en gegevens over de via het Platform behaalde vergoedingen en het aantal boekingen per kwartaal en per jaar. Deze gegevens worden verzameld en geverifieerd vóór 31 december van het jaar waarover wordt gerapporteerd, en gerapporteerd aan de Belastingdienst vóór 31 januari van het jaar daarna. De Verhuurder ontvangt uiterlijk op diezelfde datum een overzicht van de gerapporteerde gegevens.

De grondslag voor deze verwerking is wettelijke verplichting (art. 6 lid 1 sub c AVG). Voor de verwerking van het burgerservicenummer geldt daarnaast de aanvullende, strengere eis van art. 46 UAVG: een BSN mag alleen verwerkt worden voor zover dat bij wet is voorzien.

Wij gebruiken deze gegevens uitsluitend voor de wettelijke rapportageverplichting, niet voor andere doeleinden zoals marketing of profilering. Het BSN wordt gescheiden van de overige profielgegevens en versleuteld opgeslagen, met toegang beperkt tot de personen die de jaarlijkse rapportage voorbereiden (in de praktijk een klein, met naam genoemd aantal personen).

Bewaartermijn. Wij hanteren voor DAC7-gegevens voorlopig dezelfde termijn als de fiscale bewaarplicht voor administratie: 7 jaar (art. 52 AWR), tenzij nadere toetsing een andere termijn vereist.

Rapportage aan de Belastingdienst in het kader van DAC7 betekent niet automatisch dat een Verhuurder daarover (extra) belasting verschuldigd is; de rapportageverplichting en een eventuele belastingplicht van de Verhuurder zijn twee verschillende dingen.

4. Verwerkers en andere ontvangers (art. 28 AVG)

Wij schakelen dienstverleners (verwerkers) in die namens ons persoonsgegevens verwerken. Met elke verwerker sluiten wij een verwerkersovereenkomst (art. 28 AVG). De belangrijkste zijn:

Daarnaast kunnen gegevens worden gedeeld met: de andere partij bij een Boeking (Huurder/Verhuurder) voor zover nodig voor de Huurovereenkomst; de Belastingdienst (DAC7, zie hoofdstuk 3a); en met autoriteiten, adviseurs of in het kader van een bedrijfsoverdracht, voor zover wettelijk toegestaan of vereist.

4a. Verstrekking aan opsporings- en toezichthoudende autoriteiten

De identiteitsverificatie via Stripe Identity dient mede de veiligheid van het Platform: beide partijen bij een Boeking zijn geen anonieme vreemden. Daarbij hoort de volgende doelbinding, die wij expliciet in dit beleid vastleggen:

Bij een concreet vermoeden van strafbare feiten (bijvoorbeeld opslag van gestolen waar, verboden goederen als bedoeld in Artikel 21 van de Algemene Voorwaarden, of fraude) kunnen wij identiteits- en verificatiegegevens, transactiegegevens en berichtenverkeer verstrekken aan bevoegde autoriteiten wanneer die daartoe een rechtsgeldige vordering doen (zoals een vordering van de officier van justitie of een rechterlijk bevel). Wij verstrekken in dat geval niet meer gegevens dan de vordering omvat, registreren elke verstrekking intern, en informeren de betrokkene waar dat wettelijk is toegestaan.

Voor de beschikbaarheid van het onderliggende verificatiedossier bij Stripe (bewaartermijnen, redactie) zie hoofdstuk 6.

5. Doorgifte buiten de EER (art. 44-49 AVG)

Sommige verwerkers zijn (mogelijk) gevestigd of verwerken gegevens buiten de Europese Economische Ruimte (EER), met name in de Verenigde Staten (onder meer Stripe, Mapbox, Vercel en Sentry). In dat geval zorgen wij voor een passend beschermingsniveau, bijvoorbeeld via een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework), de standaardcontractbepalingen (SCC's) van de Europese Commissie en/of aanvullende maatregelen.

Plausible is een aanbieder die stelt EU-servers te gebruiken en geen cookies of persistente identifiers te plaatsen; als dit klopt en bevestigd wordt is doorgifte buiten de EER voor deze verwerking naar verwachting niet aan de orde.

Voor bestandsbijlagen in transactieberichten (waaronder check-in-/check-out-foto's) geldt aanvullend: de opslaglocatie/regio van de Sharetribe-file-storage moet worden bevestigd (EER-verwachting gezien Sharetribe-EU, maar onbevestigd; het technische upload-endpoint verwijst naar een AWS-S3-bucket waarvan de regio bevestigd moet worden).

Een kopie van de gebruikte waarborgen is op verzoek beschikbaar via info@buurly.app.

6. Bewaartermijnen (art. 5 lid 1 sub e AVG)

Wij bewaren persoonsgegevens niet langer dan noodzakelijk voor de doeleinden waarvoor ze zijn verzameld, of zolang wettelijk vereist.

7. Rechten van betrokkenen (art. 15-22 en 77 AVG)

U heeft ten aanzien van uw persoonsgegevens de volgende rechten:

• Recht op inzage (art. 15 AVG): opvragen welke gegevens wij van u verwerken.
• Recht op rectificatie (art. 16 AVG): onjuiste gegevens laten corrigeren of aanvullen.
• Recht op verwijdering / "vergetelheid" (art. 17 AVG): gegevens laten wissen, voor zover geen bewaarplicht of ander zwaarwegend belang geldt.
• Recht op beperking van de verwerking (art. 18 AVG).
• Recht op dataportabiliteit / overdraagbaarheid (art. 20 AVG): uw gegevens in een gestructureerd, gangbaar formaat ontvangen of laten overdragen.
• Recht van bezwaar (art. 21 AVG): bezwaar tegen verwerking op grond van gerechtvaardigd belang, en te allen tijde tegen direct marketing.
• Rechten bij geautomatiseerde besluitvorming en profilering (art. 22 AVG): zie hoofdstuk 11.
• Recht om toestemming in te trekken (art. 7 lid 3 AVG): waar de verwerking op toestemming berust, zonder dat dit eerdere verwerking onrechtmatig maakt.

U kunt een verzoek indienen via info@buurly.app. Wij reageren binnen de wettelijke termijn van één maand (art. 12 lid 3 AVG), die bij complexe verzoeken met twee maanden kan worden verlengd. Ter verificatie van uw identiteit kunnen wij aanvullende gegevens vragen.

Klachtrecht bij de toezichthouder (art. 77 AVG). U heeft het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (AP), Postbus 93374, 2509 AJ Den Haag, via autoriteitpersoonsgegevens.nl. Wij stellen het op prijs als u een klacht eerst met ons bespreekt.

8. Cookies en vergelijkbare technieken

Het Platform gebruikt de volgende categorieën cookies en vergelijkbare technieken:

Op dit moment worden geen marketing- of trackingcookies gebruikt. Indien dit in de toekomst verandert, wordt dit privacybeleid vooraf aangepast en wordt, waar wettelijk vereist, voorafgaande toestemming gevraagd conform art. 11.7a Telecommunicatiewet en art. 6 AVG.

9. Beveiliging (art. 32 AVG)

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking, waaronder: versleuteld dataverkeer (TLS/HTTPS) tussen browser en Platform via de hostingomgeving; gehashte wachtwoorden (verwerkt door Sharetribe); versleutelde opslag van het burgerservicenummer voor DAC7-doeleinden, met ontsleuteling uitsluitend server-side en toegang beperkt tot een klein, met naam genoemd aantal personen (zie hoofdstuk 3a); en toegangsbeheer tot administratieve omgevingen. Wij verlangen ook van onze verwerkers passende beveiliging.

Voor bestandsbijlagen in transactieberichten (waaronder check-in-/check-out-foto's) geldt aanvullend: bijlagen worden bij upload automatisch op malware gescand en schadelijke bestanden worden automatisch verwijderd; toegang tot bijlagen is beperkt tot de partijen bij de betreffende transactie en de platformbeheerder (operator).

Betaalgegevens worden niet door Buurly zelf opgeslagen, maar verwerkt door Stripe conform de toepasselijke betaalkaartbeveiligingsstandaarden.

10. Datalekken (art. 33-34 AVG)

Bij een inbreuk in verband met persoonsgegevens die een risico voor de rechten en vrijheden van betrokkenen inhoudt, melden wij deze binnen 72 uur aan de Autoriteit Persoonsgegevens en, bij een hoog risico, aan de betrokkenen. Wij houden een intern register van datalekken bij.

11. Geautomatiseerde besluitvorming en profilering (art. 22 AVG)

Voor zover bij Buurly bekend, vindt geautomatiseerde fraude- en risicoscoring bij Boekingen, betalingen en identiteitsverificatie plaats bij Stripe (Stripe Radar en Stripe Identity), die daarvoor zelfstandig verwerkingsverantwoordelijke is. Buurly zelf neemt geen uitsluitend geautomatiseerde besluiten met rechtsgevolg voor u. Dit wordt nog juridisch bevestigd.

12. Minderjarigen

Het Platform is niet gericht op personen jonger dan 18 jaar, aansluitend bij de leeftijdseis in de Algemene Voorwaarden (Artikel 4.2). Wij verwerken niet bewust gegevens van minderjarigen zonder de vereiste toestemming (art. 8 AVG).

13. Wijzigingen van dit privacybeleid

Wij kunnen dit privacybeleid wijzigen. De actuele versie is steeds beschikbaar op deze pagina van het Platform. Bij wezenlijke wijzigingen informeren wij u via e-mail en een melding in het Platform, aansluitend bij Artikel 18 van de Algemene Voorwaarden.

14. Contact

Vragen over dit privacybeleid of over de verwerking van uw persoonsgegevens? Neem contact op met Buurly via info@buurly.app, Kottendijk 55, 7522 BN Enschede, KvK 42041884.