Privacyverklaring Donnie

1. Wie is verantwoordelijk voor je gegevens?

Donnie is een samenwerking tussen Donature B.V. en Stichting Donnie.

Donature B.V.

Donature B.V. beheert en ontwikkelt het Donnie-platform en de technische systemen waarmee persoonsgegevens worden verwerkt.

Donature B.V.
KvK-nummer: 95248587
RSIN: 867057257
Btw-nummer: NL867057257B01
Adres: Van Walbeeckstraat 94 H
1058 CZ Amsterdam

Donature B.V. is de primaire verwerkingsverantwoordelijke voor de persoonsgegevens die via de website, het platform, je account en de technische systemen van Donnie worden verwerkt.

Stichting Donnie

Stichting Donnie ontvangt je maandelijkse bijdrage en zorgt voor de verdeling daarvan over maatschappelijke doelen en de ondersteunende werkzaamheden van Donnie.

Stichting Donnie
KvK-nummer: 88882764
RSIN: 864810568
Adres: Van Walbeeckstraat 94 H
1058 CZ Amsterdam

Voor zover Stichting Donnie zelfstandig bepaalt waarvoor persoonsgegevens binnen de donatie- en financiële administratie worden gebruikt, is Stichting Donnie daarvoor eveneens verwerkingsverantwoordelijke.

Donature B.V. en Stichting Donnie werken nauw samen en gebruiken voor hun werkzaamheden gedeeltelijk dezelfde systemen. Je kunt voor alle privacyvragen contact opnemen via:info@doedonnie.nl

2. Welke persoonsgegevens verwerken we?

Welke gegevens we verwerken, hangt af van hoe je Donnie gebruikt.

Wanneer je onze website bezoekt

We kunnen de volgende gegevens verwerken:

• je IP-adres;
• browser- en apparaatgegevens;
• besturingssysteem, taal en schermformaat;
• bezochte pagina’s en het moment van je bezoek;
• de website of pagina waarvandaan je bij Donnie terechtkwam;
• interacties met de website en de aanmeldflow;
• technische foutmeldingen;
• cookie- en sessie-identificatoren;
• UTM-parameters en andere campagnegegevens;
• een eventuele referralcode;
• de homepagevariant die aan je wordt getoond.

Niet al deze gegevens worden altijd verwerkt. Analytics- en marketingtechnologie gebruiken we alleen wanneer daarvoor toestemming vereist is en je die toestemming hebt gegeven.

Wanneer je je aanmeldt als Donnie

We kunnen de volgende gegevens verwerken:

• voornaam en eventueel achternaam;
• e-mailadres;
• Firebase-gebruikersidentificatie;
• donatiebedrag;
• gekozen verdeling of selectie van maatschappelijke doelen;
• akkoord met de voorwaarden;
• akkoord met de maandelijkse incasso;
• datum en tijdstip van je akkoord;
• telefoonnummer;
• geboortejaar;
• woonplaats;
• hoe je Donnie hebt leren kennen;
• referral- en campagnegegevens;
• status van je aanmelding;
• status van je betaling;
• technische gegevens die nodig zijn om de aanmelding veilig uit te voeren.

Je telefoonnummer, geboortejaar, woonplaats en antwoord op de vraag hoe je Donnie hebt leren kennen, kunnen na je betaling worden gevraagd. Deze profielvragen zijn bedoeld om onze community beter te begrijpen en onze communicatie en activiteiten te verbeteren.

We gebruiken je geboortejaar momenteel niet als technische leeftijdscontrole. Donnie richt zich op volwassenen, maar de aanmeldflow blokkeert op dit moment niet automatisch iedere minderjarige.

Voor e-mailverificatie en inloggen

We verwerken:

• je e-mailadres;
• een tijdelijke verificatiecode of verificatielink;
• het tijdstip van aanvraag en gebruik;
• technische beveiligingsgegevens;
• informatie over mislukte verificatiepogingen.

We bewaren verificatiecodes niet leesbaar in onze database. Daarin wordt alleen een beveiligde, cryptografische afgeleide van de code opgeslagen. De code zelf wordt per e-mail verzonden en is slechts tijdelijk geldig.

Voor betalingen en maandelijkse incasso’s

We verwerken onder andere:

• je naam;
• e-mailadres;
• donatiebedrag;
• betalingsstatus;
• betaalmethode;
• Mollie-klantnummer;
• Mollie-betaalnummer;
• Mollie-mandaatnummer;
• datum en status van betalingen en incasso’s;
• informatie over mislukte, geannuleerde of teruggeboekte betalingen;
• toestemming voor de terugkerende incasso.

Je bankrekeningnummer en de naam van de rekeninghouder worden door onze betaalprovider Mollie verwerkt. Donnie slaat je volledige IBAN niet zelf op in de eigen database.

Wanneer je je account gebruikt

We kunnen verwerken:

• account- en profielgegevens;
• je actieve of beëindigde Donnie-status;
• je maandelijkse bijdrage;
• je donatieverdeling;
• betaal- en donatiehistorie;
• pauzes, wijzigingen en opzeggingen;
• communicatievoorkeuren;
• referralgegevens;
• deelname aan events;
• gegevens die je zelf in je profiel aanpast.

Wanneer je deelneemt aan een event

We kunnen verwerken:

• je naam;
• telefoonnummer;
• het event waarvoor je je aanmeldt;
• status van je aanmelding;
• datum en tijd van je registratie;
• het aantal gasten dat je meeneemt;
• namen of contactgegevens van eventuele gasten.

Vraag je iemand mee, informeer die persoon dan dat je diens gegevens aan Donnie doorgeeft.

We vragen in onze huidige eventregistratie niet standaard naar medische informatie, allergieën, dieetwensen of andere bijzondere persoonsgegevens.

Wanneer je contact met ons opneemt

Wanneer je ons mailt, een formulier invult of via WhatsApp contact opneemt, kunnen we verwerken:

• naam;
• e-mailadres;
• telefoonnummer;
• WhatsApp-profielgegevens;
• inhoud van berichten;
• datum en tijd van het contact;
• technische bericht- en conversatie-identificatoren;
• eventuele andere gegevens die je zelf met ons deelt.

De inhoud van WhatsAppberichten kan worden verwerkt met behulp van geautomatiseerde systemen om te bepalen waar je vraag over gaat en je naar de juiste informatie of functionaliteit te leiden.

Deel via WhatsApp of e-mail geen medische of andere gevoelige persoonsgegevens wanneer dat niet noodzakelijk is.

3. Waarom gebruiken we je gegevens?

We gebruiken persoonsgegevens om:

• je als Donnie aan te melden;
• je e-mailadres te verifiëren;
• je account aan te maken en te beveiligen;
• je maandelijkse bijdrage te verwerken;
• incasso’s uit te voeren;
• betalingen en storneringen administratief af te handelen;
• je bijdrage over maatschappelijke doelen te verdelen;
• je account, donatiebedrag en voorkeuren te beheren;
• je te laten deelnemen aan Club Donnie-events;
• je vragen te beantwoorden en ondersteuning te bieden;
• verificatiecodes en andere noodzakelijke serviceberichten te sturen;
• betaalbevestigingen en meldingen over mislukte betalingen te sturen;
• je te informeren over wijzigingen in je bijdrage of account;
• informatie te geven over het maatschappelijke doel van de maand;
• impactupdates en uitnodigingen voor Donnie-events te sturen;
• fraude, misbruik en technische problemen te voorkomen;
• de veiligheid en werking van het platform te bewaken;
• de website en aanmeldflow te verbeteren;
• inzicht te krijgen in hoe mensen Donnie vinden en gebruiken;
• onze financiële en wettelijke administratie bij te houden;
• interne teamleden op de hoogte te brengen van nieuwe aanmeldingen en belangrijke gebeurtenissen;
• te voldoen aan wettelijke verplichtingen.

We gebruiken je gegevens niet om individuele donateursgegevens aan maatschappelijke doelen te verkopen of voor hen beschikbaar te maken.

4. Op welke grondslagen gebruiken we je gegevens?

Volgens de AVG mogen we persoonsgegevens alleen gebruiken wanneer daarvoor een geldige grondslag bestaat.

Afhankelijk van de verwerking baseren we ons op:

Uitvoering van onze afspraken met jou

Dit gebruiken we bijvoorbeeld voor:

• je aanmelding;
• je account;
• het verwerken van je maandelijkse bijdrage;
• betalingen en incasso’s;
• eventregistraties;
• noodzakelijke servicecommunicatie.

Hoewel je bijdrage juridisch een vrijwillige gift is, ontstaan rondom de verwerking daarvan wel afspraken en administratieve verplichtingen waarvoor persoonsgegevens nodig zijn.

Wettelijke verplichting

We moeten bepaalde financiële en administratieve gegevens bewaren om aan fiscale en andere wettelijke verplichtingen te voldoen.

Gerechtvaardigd belang

We kunnen een gerechtvaardigd belang hebben bij:

• beveiliging van onze systemen;
• bestrijding van fraude en misbruik;
• technische logging;
• het verbeteren van het platform;
• het bijhouden van beperkte campagne-attributie;
• interne bedrijfsvoering;
• het informeren van bevoegde teamleden over nieuwe aanmeldingen;
• het behandelen van vragen en klachten.

We wegen daarbij ons belang af tegen jouw privacybelang en proberen niet meer gegevens te gebruiken dan noodzakelijk.

Toestemming

We vragen toestemming wanneer dat nodig is, bijvoorbeeld voor:

• analytische cookies;
• bepaalde marketingcookies;
• inschrijving voor nieuwsbrieven;
• bepaalde vormen van marketingcommunicatie;
• optionele WhatsAppcommunicatie;
• andere niet-noodzakelijke trackingtechnologie.

Je kunt je toestemming altijd weer intrekken. Het intrekken van toestemming verandert niets aan de rechtmatigheid van het gebruik vóór de intrekking.

5. Welke berichten sturen we?

Als je Donnie bent, kunnen we je berichten sturen die verband houden met je bijdrage, account en deelname aan Donnie.

Dit kunnen zijn:

• verificatiecodes;
• betaalbevestigingen;
• meldingen over mislukte betalingen;
• informatie over wijzigingen in je bijdrage;
• informatie over pauzeren of beëindigen;
• informatie over het maatschappelijke doel van de maand;
• impactupdates;
• uitnodigingen voor Club Donnie-events;
• bevestigingen en praktische informatie over events;
• beveiligings- en serviceberichten.

Deze berichten zijn onderdeel van de werking van Donnie en zijn niet allemaal reclame.

We sturen geen afzonderlijke algemene commerciële nieuwsbrieven of promotionele berichten zonder daarvoor een passende grondslag of toestemming te hebben. Wanneer je je vrijwillig voor een nieuwsbrief inschrijft, kun je je via de afmeldlink in iedere nieuwsbrief weer uitschrijven.

6. Cookies, analytics en personalisatie

We gebruiken cookies en vergelijkbare technieken om:

• de website technisch te laten werken;
• je sessie te beveiligen;
• je aanmelding te onthouden;
• je cookievoorkeuren te bewaren;
• websitegebruik te meten;
• problemen te onderzoeken;
• content af te stemmen op de campagne waardoor je bij Donnie terechtkwam.

Noodzakelijke opslag

Voor technisch noodzakelijke functies kunnen we cookies, local storage, session storage en Firebase-opslag gebruiken. Dit is bijvoorbeeld nodig voor:

• sessiebeheer;
• beveiliging;
• e-mailverificatie;
• voortgang in de aanmeldflow;
• ingelogd blijven;
• het voorkomen van dubbele acties.

Google Analytics

Met jouw toestemming gebruiken we Google Analytics om te begrijpen hoe de website en aanmeldflow worden gebruikt.

We kunnen daarbij onder andere verwerken:

• bezochte pagina’s;
• interacties en conversiestappen;
• campagnegegevens;
• een pseudonieme browseridentificatie;
• het bedrag van een afgeronde bijdrage;
• de getoonde homepagevariant.

We sturen geen naam, e-mailadres of telefoonnummer als analyticsparameter naar Google Analytics.

UTM-personalisatie

Wanneer je via een campagne bij Donnie terechtkomt, kunnen UTM-parameters worden gebruikt om de inhoud van de homepage aan te passen. Je kunt daardoor bijvoorbeeld een andere kop, uitleg of call-to-action zien.

Deze aanpassing:

• is gebaseerd op de campagne of link waarmee je binnenkomt;
• wordt hoofdzakelijk binnen je browsersessie toegepast;
• bepaalt niet of je wel of geen Donnie mag worden;
• heeft geen juridische of vergelijkbare belangrijke gevolgen voor jou;
• wordt niet gebruikt voor automatische krediet-, risico- of geschiktheidsbeoordelingen.

Campagnegegevens kunnen daarnaast aan je aanmelding worden gekoppeld om te begrijpen via welke campagne je Donnie bent geworden.

Klaviyo

Klaviyo kan worden gebruikt voor nieuwsbriefinschrijvingen en communicatie waarvoor je toestemming hebt gegeven. Klaviyo en bijbehorende marketingtechnologie worden alleen geladen nadat je daarvoor via onze cookie-instellingen toestemming hebt gegeven.

Meer informatie over de gebruikte cookies, leveranciers en bewaartermijnen staat in onze cookiemelding en cookie-instellingen.

7. Met wie delen we persoonsgegevens?

We verkopen je persoonsgegevens niet.

We delen gegevens alleen wanneer dat nodig is voor onze dienstverlening, wettelijke verplichtingen of bedrijfsvoering.

We maken onder andere gebruik van:

Google en Firebase

Voor:

• hosting van de website;
• authenticatie en accounts;
• opslag in Cloud Firestore;
• technische infrastructuur;
• Google Analytics en Google Tag Manager.

Mollie

Voor:

• betalingen;
• SEPA-mandaten;
• maandelijkse incasso’s;
• betalingsstatussen;
• terugbetalingen en storneringen.

Mollie verwerkt bepaalde bank- en betaalgegevens die Donnie niet zelf volledig opslaat.

Postmark

Voor:

• verificatiecodes;
• inlogberichten;
• transactionele en noodzakelijke e-mails.

Klaviyo

Voor:

• nieuwsbriefinschrijvingen;
• communicatie waarvoor toestemming is gegeven;
• bijbehorende inschrijf- en afmeldadministratie.

Meta en WhatsApp

Voor:

• contact en ondersteuning via WhatsApp;
• het verzenden en ontvangen van WhatsAppberichten;
• interne notificaties aan bevoegde teamleden.

Bij een nieuwe aanmelding kunnen bevoegde teamleden via een interne WhatsAppnotificatie worden geïnformeerd. Deze notificatie kan gegevens bevatten zoals naam, e-mailadres, bijdrage, woonplaats, geboortejaar en herkomstkanaal. Deze informatie is uitsluitend bedoeld voor interne opvolging en bedrijfsvoering.

OpenAI

We kunnen geautomatiseerde taaltechnologie gebruiken om binnenkomende WhatsAppberichten te classificeren en te bepalen welke informatie of functionaliteit bij de vraag past. Daarbij kan de inhoud van het bericht voor verwerking aan OpenAI worden doorgegeven.

Sentry

Voor:

• het opsporen van technische fouten;
• beveiligingsmonitoring;
• prestatie- en stabiliteitsonderzoek.

We hebben technische maatregelen ingericht om persoonsgegevens in foutmeldingen zo veel mogelijk te verwijderen of af te schermen.

CookieChimp

Voor:

• het tonen van de cookiemelding;
• het opslaan en beheren van cookievoorkeuren.

Exact

Voor onze financiële en boekhoudkundige administratie. Welke persoonsgegevens daarbij worden verwerkt, hangt af van de noodzakelijke boekhoudkundige registratie en de gegevens die vanuit betalingen en administratieve overzichten worden verwerkt.

Hosting- en infrastructuurleveranciers

Voor:

• hosting van de backend;
• opslag;
• beveiliging;
• technisch beheer;
• back-ups en monitoring.

Deze partijen mogen gegevens alleen gebruiken voor de afgesproken dienstverlening en moeten persoonsgegevens passend beveiligen.

8. Krijgen maatschappelijke doelen je persoonsgegevens?

Maatschappelijke doelen ontvangen in beginsel geen persoonsgegevens van individuele Donnies.

Zij ontvangen bedragen of informatie over bijdragen op geaggregeerd niveau. Zij krijgen niet standaard je naam, e-mailadres, telefoonnummer, accountgegevens of individuele donatiehistorie.

Wanneer je jezelf rechtstreeks aanmeldt voor een activiteit van een maatschappelijke organisatie, of wanneer voor een event afzonderlijke gegevensdeling noodzakelijk is, informeren we je daar vooraf over.

9. Internationale doorgifte

Een aantal van onze leveranciers is gevestigd in, of verwerkt gegevens vanuit, landen buiten de Europese Economische Ruimte, waaronder de Verenigde Staten.

Dit kan onder andere gelden voor:

• Google en Firebase;
• Google Analytics;
• Postmark;
• Klaviyo;
• Meta en WhatsApp;
• OpenAI;
• Sentry;
• bepaalde hosting- of infrastructuurleveranciers.

Wanneer persoonsgegevens buiten de EER worden verwerkt, treffen we passende waarborgen. Dat kan bijvoorbeeld gebeuren op basis van:

• een adequaatheidsbesluit van de Europese Commissie;
• deelname aan het EU-US Data Privacy Framework;
• door de Europese Commissie goedgekeurde standaardcontractbepalingen;
• aanvullende technische en organisatorische maatregelen.

Welke waarborg van toepassing is, kan per leverancier verschillen.

10. Hoelang bewaren we je gegevens?

We bewaren persoonsgegevens niet langer dan nodig is voor het doel waarvoor we ze gebruiken. De AVG kent niet voor iedere gegevenscategorie één vaste termijn; organisaties moeten zelf noodzakelijke en onderbouwde termijnen vaststellen.

We hanteren in beginsel de volgende termijnen:

Actieve accounts

Gegevens die nodig zijn voor je account en maandelijkse bijdrage bewaren we zolang je Donnie bent.

Beëindigde accounts

Algemene account- en profielgegevens bewaren we in beginsel maximaal twee jaar na beëindiging van je account.

Gegevens worden eerder verwijderd wanneer ze niet meer noodzakelijk zijn, tenzij we ze langer moeten bewaren vanwege een wettelijke verplichting, geschil of lopende betaling.

Niet-afgeronde aanmeldingen

Gegevens uit een niet-afgeronde aanmelding verwijderen of anonimiseren we in beginsel binnen drie maanden nadat de aanmelding is verlopen.

Verificatiegegevens

Verificatiecodes zijn slechts kort geldig. Technische registraties rondom verlopen of gebruikte verificaties verwijderen we in beginsel binnen 30 dagen, tenzij een beperkte langere bewaring noodzakelijk is voor beveiliging of fraudepreventie.

Financiële administratie

Gegevens die onderdeel zijn van onze fiscale en financiële basisadministratie bewaren we in beginsel zeven jaar. Voor Nederlandse basisadministratie geldt doorgaans een wettelijke bewaartermijn van zeven jaar.

Eventgegevens

Gegevens over een eventinschrijving bewaren we in beginsel maximaal één jaar na het event, tenzij langer bewaren nodig is voor de afhandeling van een incident, klacht of financiële verplichting.

Correspondentie en support

E-mails, WhatsAppgesprekken en andere inhoudelijke correspondentie bewaren we in beginsel maximaal twee jaar na het laatste inhoudelijke contact.

Analytics

Analytische gegevens bewaren we volgens de ingestelde bewaartermijn van de betreffende analyticsdienst. Voor identificeerbare of pseudonieme gebruikersgegevens streven we naar een maximale termijn van veertien maanden, tenzij gegevens eerder worden geaggregeerd of geanonimiseerd.

Technische logs en foutmeldingen

Technische logs en foutmeldingen bewaren we in beginsel tussen 30 en 90 dagen, tenzij langer bewaren noodzakelijk is voor onderzoek naar een beveiligingsincident.

Back-ups

Verwijderde gegevens kunnen nog tijdelijk aanwezig zijn in beveiligde back-ups. Deze worden volgens de normale back-upcyclus overschreven en niet opnieuw voor andere doeleinden gebruikt.

We voeren periodiek controles en verwijderacties uit om persoonsgegevens die hun bewaartermijn hebben bereikt te verwijderen of te anonimiseren. Dit proces kan handmatig of geautomatiseerd worden uitgevoerd.

11. Hoe beveiligen we je gegevens?

We nemen technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen:

• onbevoegde toegang;
• verlies;
• misbruik;
• wijziging;
• onbedoelde openbaarmaking;
• onrechtmatige vernietiging.

We gebruiken onder andere:

• versleutelde verbindingen;
• toegangsbeperkingen;
• authenticatie;
• beveiligde sessiecookies;
• tijdelijke verificatiecodes;
• hashing van verificatiecodes;
• logging en foutmonitoring;
• filtering van gevoelige informatie uit foutmeldingen;
• beperking van toegang tot bevoegde teamleden;
• monitoring van verdachte of mislukte acties.

Geen enkel digitaal systeem kan absolute veiligheid garanderen. Bij een beveiligingsincident volgen we onze wettelijke verplichtingen en informeren we betrokkenen wanneer dat nodig is.

12. Welke privacyrechten heb je?

Je kunt ons verzoeken om:

• inzage in je persoonsgegevens;
• correctie van onjuiste gegevens;
• aanvulling van onvolledige gegevens;
• verwijdering van persoonsgegevens;
• beperking van het gebruik van je gegevens;
• bezwaar tegen bepaalde verwerkingen;
• overdracht van gegevens die je zelf hebt verstrekt;
• intrekking van toestemming.

Stuur je verzoek naar:info@doedonnie.nl

Vermeld duidelijk waarop je verzoek betrekking heeft. We kunnen je vragen om aanvullende informatie waarmee we je identiteit kunnen controleren. We vragen daarbij niet meer gegevens dan noodzakelijk.

We behandelen privacyverzoeken handmatig. Je hebt dus geen verwijderknop in je account nodig om van je rechten gebruik te kunnen maken.

We kunnen niet altijd alle gegevens verwijderen. Dit geldt bijvoorbeeld wanneer:

• we gegevens wettelijk moeten bewaren;
• de gegevens nodig zijn voor onze financiële administratie;
• er nog een betaling, klacht of geschil loopt;
• bewaring nodig is voor de vaststelling, uitoefening of onderbouwing van een rechtsvordering;
• verwijdering afbreuk zou doen aan wettelijke rechten of verplichtingen.

In dat geval leggen we uit welke gegevens we nog bewaren, waarom en hoelang.

13. Afmelden en toestemming intrekken

Je kunt:

• analytische en marketingcookies uitschakelen via de cookie-instellingen;
• je uitschrijven via de afmeldlink in een nieuwsbrief;
• communicatievoorkeuren laten aanpassen via info@doedonnie.nl;
• eerder gegeven toestemming intrekken;
• je maandelijkse bijdrage pauzeren, wijzigen of beëindigen via je account of door contact met ons op te nemen.

Het uitschrijven voor marketingberichten betekent niet dat we geen noodzakelijke service- of betalingsberichten meer mogen sturen.

14. Geautomatiseerde besluitvorming

Donnie gebruikt geen volledig geautomatiseerde besluitvorming die juridische of vergelijkbare belangrijke gevolgen voor je heeft.

We kunnen wel geautomatiseerde technieken gebruiken om:

• homepagecontent af te stemmen op UTM-campagnegegevens;
• technische fouten te herkennen;
• WhatsAppvragen naar de juiste categorie of functionaliteit te leiden;
• de status van betalingen en aanmeldingen te verwerken.

Deze systemen beslissen niet zelfstandig of je recht hebt op een dienst, krediet, uitkering of andere voorziening met belangrijke persoonlijke gevolgen.

15. Klachten

Heb je een vraag of klacht over hoe we met persoonsgegevens omgaan? Neem dan eerst contact met ons op via:info@doedonnie.nl

We proberen samen met jou een oplossing te vinden.

Je hebt daarnaast het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.

16. Wijzigingen in deze privacyverklaring

We kunnen deze privacyverklaring aanpassen wanneer:

• onze dienstverlening verandert;
• we nieuwe leveranciers of systemen gebruiken;
• wet- en regelgeving verandert;
• onze verwerking van persoonsgegevens verandert.

De meest actuele versie staat altijd op onze website. Bovenaan de verklaring staat wanneer deze voor het laatst is bijgewerkt.

Bij belangrijke veranderingen kunnen we je daarnaast via e-mail, je account of een andere passende manier informeren.