1. Inleiding

Lucyd B.V. (handelend onder de naam Treffix) ("Treffix", "wij", "ons" of "onze") exploiteert het Treffix-platform, een prestatiegerichte marktplaats voor Creator-marketing. Dit Privacybeleid is van toepassing op alle gegevens die worden verzameld via de Treffix-website, webapplicatie, API's en alle gerelateerde diensten (gezamenlijk het "Platform").

Door een Account aan te maken of het Platform te gebruiken, stemt u in met de gegevenspraktijken zoals beschreven in dit beleid. Dit beleid maakt integraal onderdeel uit van onze Algemene Voorwaarden.

Wij verkopen, verhuren of verhandelen uw persoonsgegevens niet aan derden voor reclame- of marketingdoeleinden.

2. Gegevens die wij verzamelen

2.1 Accountgegevens

Wanneer u een Treffix-Account aanmaakt, verzamelen wij:

• Voornaam en achternaam
• E-mailadres
• Wachtwoord (opgeslagen in gehashte, versleutelde vorm via Supabase Auth — wij hebben nooit toegang tot uw wachtwoord in leesbare tekst)
• Accounttype (Creator of Brand)
• Bedrijfsnaam (alleen Brand-accounts)

2.2 TikTok-integratiegegevens

Wanneer u uw TikTok-account koppelt aan Treffix (alleen Creators), verzamelen en bewaren wij:

• TikTok open_id (een unieke identificatiecode die TikTok aan uw account toewijst binnen onze applicatie)
• TikTok-weergavenaam en gebruikersnaam
• TikTok OAuth access token en refresh token
• Weergaveaantallen voor specifieke TikTok-video's die u indient als onderdeel van campagnedeelname

Belangrijk: Wij slaan uw TikTok OAuth access token en refresh token op in onze database. Deze tokens zijn noodzakelijk om geautomatiseerde, doorlopende synchronisatie van weergaveaantallen mogelijk te maken gedurende het verdienvenster van campagnes. Wij gebruiken deze tokens uitsluitend voor het ophalen van weergaveaantallen van ingediende campagnevideo's. Wij hebben geen toegang tot uw TikTok-berichten, volgerslijst, contactenlijst of enige inhoud buiten hetgeen noodzakelijk is voor weergaveverificatie.

2.3 Instagram-integratiegegevens

Wanneer u uw Instagram-account koppelt aan Treffix (alleen Creators), verzamelen en bewaren wij:

• Instagram-gebruikers-ID (een unieke identificatiecode voor uw Instagram Professional-account)
• Instagram-gebruikersnaam
• Instagram langlevend OAuth access token (geldig voor circa 60 dagen, automatisch vernieuwd)
• Instagram media-ID's en permalinks voor Reels die u indient als onderdeel van campagnedeelname
• Weergaveaantallen en betrokkenheidsstatistieken (weergaven, likes, reacties, shares) voor ingediende Reels, opgehaald via de Instagram API

Belangrijk: Wij vragen slechts twee Instagram-machtigingen aan: instagram_business_basic (om uw account te identificeren) en instagram_business_manage_insights (om weergaveaantallen van uw ingediende Reels te lezen). Wij hebben geen toegang tot uw Instagram-berichten, volgerslijst, verhalen (tenzij ingediend voor een campagne) of enige inhoud buiten hetgeen noodzakelijk is voor verificatie van campagneprestaties.

Uw Instagram-account moet een Professional-account zijn (Business- of Creator-type) om te koppelen aan Treffix. Persoonlijke Instagram-accounts kunnen niet worden gekoppeld vanwege beperkingen van de Instagram API.

2.4 Campagne- & activiteitsgegevens

Via normaal gebruik van het Platform verzamelen wij:

• Brands: Campagnebriefings, budgetten, uitbetalingsstructuren, vereisten, toonrichtlijnen, hashtagspecificaties en campagnestatusgeschiedenis
• Creators: Video-inzendings-URL's, TikTok-video-ID's, Instagram Reel-permalinks en media-ID's, indieningstijdstippen, prestatiegegevens (weergaveaantallen in de tijd), verdiende uitbetalingsbedragen
• Alle gebruikers: Transactiegeschiedenis, geschil- en beroepsregistraties, accountactiviteitenlogboeken

2.5 Betalingsgegevens

Betalingsverwerking wordt verzorgd door Stripe, Inc. Treffix slaat geen creditcardnummers, bankrekeningnummers of volledige betalingsgegevens op, verwerkt deze niet en heeft hier geen toegang toe. Stripe verzamelt en verwerkt betalingsgegevens rechtstreeks, onderworpen aan het eigen Privacybeleid van Stripe. Wij slaan wel op: transactiebedragen, transactiestatus, uitbetalingsregistraties en verwijzingen naar Stripe-transactie-ID's voor boekhoudkundige en wettelijke nalevingsdoeleinden.

2.6 Leveranciers-, KVK-, btw- en acceptatiegegevens van Creators

Vóór betaald Creatorwerk registreert Treffix de gegevens die nodig zijn om de btw-behandeling van uitbetalingen te bepalen en self-billingdocumenten op te stellen:

• Weergavenaam en de wettelijke leveranciersnaam en het adres uit het actuele gekoppelde Stripe-account
• Wanneer een KVK-controle voor uw ingeschreven eenmanszaak van toepassing is: het nummer van acht cijfers en genormaliseerd bewijs uit het KVK-Basisprofiel, waaronder wettelijke naam en handelsnaam, actieve inschrijving, exacte rechtsvorm, vestigingsadres, controletijd, beoordelingsstatus en een cryptografische vingerafdruk. Wij bewaren de onbewerkte KVK-reactie niet in het leveranciersprofiel. Toegelaten Creators die de registratiedrempel toepassen verstrekken geen KVK-nummer
• De ID van het gekoppelde Stripe-account, de actuele Stripe Person-ID van de vertegenwoordiger, een teller voor de identiteitsversie en relevante tijdstippen van onboarding en wijzigingen. Met deze identificatoren wordt het KVK- en belastingbewijs aan de actuele Stripe-context gekoppeld; het gewone leveranciersprofiel van Treffix neemt geen identiteitsdocumenten, volledige bankrekeninggegevens of door Stripe verzamelde belastingnummers over
• Eventueel Nederlands btw-id en keuze voor btw/KOR/geen registratie
• Bevestigingen over leeftijd en Nederlandse fiscale woonplaats
• De exacte versie en tekst van btw-, betaald-werk-, self-billing-, Voorwaarden- en Privacyacceptaties, met tijdstip, IP-adres en user-agent als bewijs
• Btw-validatiestatus en aanvraagreferenties van de Europese VIES-dienst

Vóór uw eerste campagne-inzending die tot betaling kan leiden vraagt Treffix om uw burgerservicenummer (BSN), uitsluitend om te voldoen aan toepasselijke DAC7-verplichtingen voor identificatie, verificatie, rapportage, correcties en controle. De iOS-app stuurt het BSN rechtstreeks naar een afzonderlijk geïmplementeerde EU-kluis voor belastingidentiteiten. De gewone Treffix-applicatie en database ontvangen alleen een ondoorzichtige recordreferentie, verzamelstatus, verificatiemethode en tijdstippen; zij ontvangen het BSN of de versleutelde waarde niet. De kluis bewaart het nummer versleuteld met sleutels die afzonderlijk van de kluisdatabase worden beheerd. Wij gebruiken het BSN niet voor inloggen, reclame, profilering, fraudescores of algemene accountkoppeling en tonen het nooit opnieuw in de app.

2.7 Technische gegevens

Via uw gebruik van het Platform kunnen onze infrastructuurproviders standaard technische gegevens verzamelen, waaronder:

• IP-adres en geschatte geografische locatie
• Browsertype, versie en apparaatinformatie
• Bezochte pagina's en uitgevoerde acties binnen het Platform
• Sessietijdstippen en -duur

Deze gegevens worden verzameld door Supabase (onze infrastructuurprovider) als onderdeel van de normale database- en authenticatiebewerkingen. Ze worden gebruikt voor beveiliging, fraudepreventie en platformstabiliteit.

2.8 Locatiegegevens

Als u in de app of uw browser toegang tot uw locatie geeft, gebruiken wij de geschatte locatie van uw apparaat om campagnes in de buurt te tonen en op afstand te sorteren. Uw locatie wordt alleen naar onze servers gestuurd om dat verzoek te beantwoorden. Wij slaan haar niet op in uw profiel en houden geen locatiegeschiedenis bij. Locatietoegang is optioneel: u kunt haar altijd uitzetten in de instellingen van uw apparaat of browser; campagnes worden dan zonder afstand getoond.

3. Hoe wij uw gegevens gebruiken

Wij gebruiken de verzamelde gegevens voor de volgende doeleinden:

• Platformwerking: Om uw Account te authenticeren, platformfuncties te bieden en campagnes en uitbetalingen te faciliteren
• TikTok-weergaveverificatie: Om uw opgeslagen TikTok OAuth-tokens te gebruiken voor het ophalen van weergavegegevens via de TikTok API voor ingediende campagnevideo's
• Instagram-weergaveverificatie: Om uw opgeslagen Instagram OAuth-token te gebruiken voor het ophalen van weergave- en betrokkenheidsgegevens via de Instagram API voor ingediende campagne-Reels
• Fraudedetectie: Om patronen in weergaveaantallen te analyseren en mogelijk frauduleuze activiteit te identificeren met behulp van onze eigen detectiesystemen
• Betalingsverwerking: Om campagnelanceringskosten en Creator-uitbetalingen te verwerken via Stripe
• Geschiktheid van Creators en integriteit van registraties: Om actuele KVK-inschrijvingsfeiten te controleren, leveranciers- en btw-bewijs aan de actuele Stripe-account- en vertegenwoordigerscontext te koppelen en te voorkomen dat inzendingen die tot betaling kunnen leiden worden gedaan met verouderd of niet-overeenkomend bewijs
• Geschillenbeslechting: Om geschillen en beroepen te onderzoeken en op te lossen aan de hand van inzendingen en activiteitsgegevens
• Transactionele communicatie: Om accountgerelateerde e-mails te verzenden, zoals uitbetalingsbevestigingen, campagne-updates en beveiligingsmeldingen
• Wettelijke naleving: Om te voldoen aan belastingrapportageverplichtingen, te reageren op rechtmatige verzoeken van autoriteiten en onze Algemene Voorwaarden te handhaven
• Platformverbetering: Om te begrijpen hoe het Platform wordt gebruikt en de functies en prestaties ervan te verbeteren

Op grond van de GDPR zijn onze rechtsgronden voor verwerking:

• Uitvoering van een overeenkomst: Verwerking die noodzakelijk is om de Platformdiensten te leveren waarvoor u zich heeft aangemeld (accountgegevens, campagnegegevens, TikTok- en Instagram-tokens, uitbetalingen)
• Gerechtvaardigde belangen: Fraudedetectie, platformbeveiliging, misbruikpreventie
• Wettelijke verplichting: Belastingregistraties, naleving van regelgeving, reageren op rechtmatige verzoeken
• Toestemming: Wanneer wij uitdrukkelijk om toestemming vragen (bijv. marketingcommunicatie, indien in de toekomst geïntroduceerd)

4. Diensten van derden & gegevensdeling

4.1 TikTok / ByteDance Ltd.

Wij gebruiken de TikTok Open API om Creator-accounts te authenticeren en videoprestatie gegevens op te halen. Wanneer u uw TikTok-account koppelt, vindt de OAuth-tokenuitwisseling rechtstreeks plaats met de servers van TikTok. De verzameling en verwerking van uw gegevens door TikTok tijdens dit proces valt onder het Privacybeleid van TikTok. Wij verkopen of delen uw TikTok-gegevens niet met enige partij anders dan TikTok, voor zover vereist voor API-functionaliteit.

4.2 Meta Platforms / Instagram

Wij gebruiken de Instagram API (via Instagram Login) om Creator-accounts te authenticeren en Reel-prestatiegegevens op te halen. Wanneer u uw Instagram-account koppelt, vindt de OAuth-tokenuitwisseling rechtstreeks plaats met de servers van Meta. De verzameling en verwerking van uw gegevens door Meta tijdens dit proces valt onder het Privacybeleid van Meta en de gebruiksvoorwaarden van Instagram. Wij verkopen of delen uw Instagram-gegevens niet met enige partij anders dan Meta, voor zover vereist voor API-functionaliteit.

Wanneer u uw Instagram-account loskoppelt van Treffix, verwijderen wij onmiddellijk uw Instagram access token, gebruikers-ID en gebruikersnaam uit onze database. U kunt ook de toegang intrekken via Instagram's Instellingen → Websitemachtigingen.

4.3 Stripe, Inc.

Alle betalingsverwerking wordt verzorgd door Stripe. Bij het verwerken van betalingen delen wij met Stripe uw naam, e-mailadres, transactiebedragen en uitbetalingsbestemmingsinformatie. Tijdens de onboarding van een gekoppeld account verzamelt en verwerkt Stripe zelfstandig de door Stripe vereiste gegevens over de identiteit van de vertegenwoordiger, bankrekening en belasting. Treffix registreert de ID van het gekoppelde account, de actuele Stripe Person-ID van de vertegenwoordiger, signalen over de onboardingstatus en een teller voor de identiteitsversie, zodat bewijs voor betaald werk aan de actuele Stripe-context kan worden gekoppeld en verouderd raakt wanneer die context verandert. Treffix behandelt die statussignalen niet als bewijs dat de vertegenwoordiger eigenaar is van of bevoegd is om de bij de KVK ingeschreven onderneming te binden. De gegevenspraktijken van Stripe vallen onder het Privacybeleid van Stripe. Als u een Creator bent die uitbetalingen ontvangt, moet u een gekoppeld Stripe-account aanmaken, onderworpen aan de Connected Account Agreement van Stripe.

4.4 Supabase, Inc.

Treffix maakt gebruik van Supabase voor databaseopslag, authenticatie en bestandsopslaginfrastructuur. Alle Platformgegevens (accountgegevens, campagnegegevens, transactieregistraties) worden opgeslagen op door Supabase beheerde servers. De gegevenspraktijken van Supabase vallen onder het Privacybeleid van Supabase.

4.5 Hosting, e-mail, beveiliging, foutmonitoring en pushmeldingen

Treffix gebruikt de volgende verwerkers om het Platform te laten werken. Elk van hen verwerkt persoonsgegevens alleen in onze opdracht op grond van een verwerkersovereenkomst:

• Vercel Inc. host de Treffix-website en applicatieservers en verwerkt verzoekgegevens zoals IP-adres, browsergegevens en verzoeklogs.
• Resend (Plus Five Five, Inc.) verstuurt onze transactionele en accountgerelateerde e-mails en verwerkt uw e-mailadres, de inhoud van de e-mail en de afleverstatus.
• Functional Software, Inc. (Sentry) verzamelt fout- en prestatierapporten van de website en de iOS-app in de EU-regio. Rapporten kunnen technische apparaat- en browsergegevens, de betrokken pagina of het betrokken scherm en een account-ID bevatten; wij sturen niet bewust BSN's, betaalgegevens of wachtwoorden naar Sentry.
• Expo (650 Industries, Inc.) en Apple leveren pushmeldingen aan de iOS-app. Zij verwerken een push-token van het apparaat en de inhoud van de melding.
• Upstash, Inc. beheert de rate limiter die aanmelden, inloggen en andere verzoeken beschermt tegen misbruik. Upstash verwerkt kortlevende tellers op basis van IP-adres, account-ID of een eenrichtingshash van een e-mailadres. Deze tellers verlopen automatisch, uiterlijk binnen enkele uren.
• Amazon Web Services EMEA SARL (AWS) levert de sleutelbeheerdienst (AWS KMS, regio Frankfurt) die BSN's versleutelt voor de kluis voor belastingidentiteiten uit Artikel 4.9. Het BSN gaat alleen door AWS KMS om te worden versleuteld; de sleutels verlaten AWS KMS nooit en zijn niet beschikbaar voor de gewone Treffix-applicatie.

Wanneer deze aanbieders gegevens buiten de EER verwerken, gelden de waarborgen uit Artikel 9.

4.6 Kaarten en adreszoeken

De campagnekaart laadt kaartafbeeldingen van OpenFreeMap. Uw browser of app vraagt deze afbeeldingen rechtstreeks op, waardoor OpenFreeMap uw IP-adres en het kaartgebied dat u bekijkt ontvangt, maar geen accountgegevens. Wanneer een Brand bij het aanmaken van een campagne naar een winkeladres zoekt, gaat de zoektekst rechtstreeks vanuit de browser van de Brand naar PDOK Locatieserver (de adresdienst van de Nederlandse overheid, beheerd door het Kadaster) en, bij zoeken naar winkelketens, naar openbare OpenStreetMap Overpass-servers.

4.7 Europese Commissie VIES

Wij sturen Nederlandse btw-id's naar het VAT Information Exchange System (VIES) van de Europese Commissie om de registratiestatus te controleren. Wij bewaren de teruggestuurde validatiestatus, controletijd en aanvraagreferentie als fiscaal bewijs.

4.8 Kamer van Koophandel (KVK)

Wanneer een KVK-controle voor uw ingeschreven eenmanszaak van toepassing is, sturen wij het door u verstrekte nummer van acht cijfers naar de officiële KVK Basisprofiel-API. Wij gebruiken de reactie om te controleren dat het teruggestuurde nummer overeenkomt, de inschrijving actief is, de rechtsvorm exact "Eenmanszaak" is en de vereiste naam- en vestigingsadresvelden aanwezig zijn. Wij bewaren het in Artikel 2.6 genoemde genormaliseerde bewijs en de vingerafdruk daarvan, niet de onbewerkte reactie van de dienstverlener. Dit is een controle van registergegevens en geschiktheid; de KVK bevestigt daarmee niet aan Treffix dat de persoon die het account gebruikt eigenaar is van, zeggenschap heeft over of bevoegd is om de onderneming te vertegenwoordigen. Deze KVK-controle geldt niet voor toegelaten Creators die de registratiedrempel toepassen.

4.9 DAC7: rapportage van Creator-inkomsten aan de Belastingdienst

Treffix is een digitaal platform onder de Europese DAC7-regels (in Nederland: de Wet implementatie EU-richtlijn gegevensuitwisseling digitale platformen). Lucyd B.V. moet daarom gegevens verzamelen, controleren en rapporteren aan de Belastingdienst over Creators die via Treffix worden betaald voor campagnewerk. Dit geldt vanaf uw eerste betaalde campagnevergoeding; voor diensten geldt geen minimumbedrag.

Per kalenderjaar rapporteren wij het volgende over u:

• Uw naam, hoofdadres en geboortedatum
• Uw burgerservicenummer (BSN) en het land dat het heeft uitgegeven, en uw btw-id en KVK-nummer als u die heeft
• De bankrekening waarop uw uitbetalingen binnenkomen, voor zover die bij ons bekend is
• Per kwartaal: het totaal aan vergoedingen dat aan u is betaald of gecrediteerd, het aantal betaalde campagneactiviteiten en de kosten die Treffix u in rekening heeft gebracht

Hoe wij met uw BSN omgaan. U vult uw BSN in de Treffix iOS-app in vóór uw eerste betaalde inzending. Het gaat rechtstreeks naar een afzonderlijke, streng afgeschermde EU-kluis voor belastingidentiteiten, waar het wordt versleuteld. De gewone Treffix-applicatie en database ontvangen het nooit; zij zien alleen een referentie, de status en tijdstippen. Wij gebruiken uw BSN uitsluitend voor DAC7-identificatie, -verificatie, -rapportage, correcties en controles, nooit voor inloggen, marketing, profilering of iets anders. Onze grondslag is een wettelijke verplichting (artikel 6, lid 1, onder c AVG). U kunt zonder BSN rondkijken en voorbereiden, maar geen betaalde inzending starten totdat u het heeft opgegeven.

Wanneer wij rapporteren. Wij rapporteren vóór 31 januari over het voorgaande kalenderjaar. Het eerste rapport, over 2026, moet uiterlijk 31 januari 2027 binnen zijn. De Belastingdienst kan het rapport delen met de belastingdienst van de EU-lidstaat waar u woont.

Hoe lang wij het bewaren. DAC7-gegevens, inclusief uw versleutelde BSN, bewaren wij 7 jaar na afloop van het jaar waarop ze betrekking hebben en verwijderen wij daarna, tenzij een gedocumenteerde wettelijke bewaarplicht geldt. Treffix blijft verantwoordelijk voor deze verwerking, ook wanneer een verwerker een deel van de kluis of de rapportage uitvoert.

Kloppen uw gegevens niet of zijn ze gewijzigd? Mail dan naar privacy@treffix.com.

4.10 Wettelijke openbaarmaking

Wij kunnen uw persoonsgegevens openbaar maken indien dit wettelijk verplicht is, op last van een rechterlijk bevel of overheidsinstantie, of indien wij redelijkerwijs van mening zijn dat openbaarmaking noodzakelijk is om: (a) te voldoen aan toepasselijke wetgeving; (b) de rechten, eigendommen of veiligheid van Treffix, onze gebruikers of het publiek te beschermen; of (c) onze Algemene Voorwaarden te handhaven.

4.11 Bedrijfsoverdrachten

In het geval van een fusie, overname, verkoop van activa of reorganisatie van Treffix, kunnen uw persoonsgegevens worden overgedragen aan de verkrijgende entiteit. Wij informeren u wanneer de wet dat vereist.

4.12 Geen verkoop van gegevens

Treffix verkoopt, verhuurt, least of verhandelt uw persoonsgegevens op geen enkele wijze aan derden voor marketing-, reclame- of commerciële doeleinden.

5. Bewaartermijnen

Wij bewaren uw gegevens gedurende de volgende perioden:

• Accountgegevens (naam, e-mailadres, accounttype): Bewaard gedurende de looptijd van uw Account, plus 2 jaar na accountverwijdering (voor wettelijke auditdoeleinden)
• TikTok OAuth-tokens (access & refresh tokens): Onmiddellijk verwijderd wanneer u de TikTok-toegang intrekt of uw Treffix-Account verwijdert
• Instagram OAuth-tokens (langlevend access token): Onmiddellijk verwijderd wanneer u Instagram loskoppelt of uw Treffix-Account verwijdert
• Transactie- en uitbetalingsregistraties: Bewaard gedurende 7 jaar vanaf de datum van de transactie (fiscale en financiële nalevingsvereisten)
• Leveranciers-, KVK-, Stripe-identiteitscontext-, btw-, self-billing- en DAC7-bewijs van Creators: Verklarings-, leveranciersprofiel- en genormaliseerd KVK-bewijs en de profielgebonden bewijzen van Stripe-account, vertegenwoordiger en identiteitsversie worden zeven jaar na afloop van het betreffende rapportagejaar bewaard en daarna door de goedgekeurde bewaartaak geanonimiseerd, tenzij een gedocumenteerde wettelijke bewaarplicht geldt. Het versleutelde BSN wordt in de geïsoleerde belastingidentiteitskluis bewaard; de gewone Treffix-database bewaart alleen de ondoorzichtige kluisreferentie en statusbewijzen. Minimale metadata over belastingidentiteitsstatus, binding en herhalingsdetectie kan na anonimisering van het profiel uitsluitend zo lang worden bewaard als wettelijk of voor beveiliging noodzakelijk is volgens een afzonderlijk goedgekeurd bewaarschema; deze metadata kan een geanonimiseerd account niet gereed maken of een nieuwe verzamelsessie laten uitgeven.
• Versiegebonden juridische acceptaties: Bewaard zolang dit nodig is om de overeenkomst aan te tonen en gedurende toepasselijke verjaringstermijnen
• Video-inzendingsgegevens: Bewaard gedurende 2 jaar na het einde van de betreffende campagne
• Campagnebriefings en -gegevens: Bewaard gedurende 2 jaar na het einde van de campagne
• Geschil- en beroepsregistraties: Bewaard gedurende 3 jaar vanaf de datum van afhandeling

Na afloop van de toepasselijke bewaartermijn worden gegevens verwijderd of geanonimiseerd in overeenstemming met onze interne beleidsregels voor de gegevenslevenscyclus.

6. Uw privacyrechten

6.1 Uw rechten onder de AVG

Indien u zich in de Europese Economische Ruimte of het Verenigd Koninkrijk bevindt, heeft u de volgende rechten:

• Recht van inzage: Een kopie opvragen van alle persoonsgegevens die wij over u bewaren
• Recht op rectificatie: Correctie verzoeken van onjuiste of onvolledige persoonsgegevens
• Recht op gegevenswissing ("recht om vergeten te worden"): Verwijdering verzoeken van uw persoonsgegevens, met inachtneming van onze wettelijke bewaarverplichtingen
• Recht op gegevensoverdraagbaarheid: Uw persoonsgegevens opvragen in een gestructureerd, machineleesbaar formaat
• Recht op beperking van verwerking: Verzoeken dat wij het gebruik van uw gegevens in bepaalde omstandigheden beperken
• Recht van bezwaar: Bezwaar maken tegen de verwerking van uw persoonsgegevens wanneer wij ons beroepen op gerechtvaardigde belangen als rechtsgrond
• Recht om toestemming in te trekken: Wanneer verwerking gebaseerd is op toestemming, deze toestemming te allen tijde intrekken

U heeft ook het recht om een klacht in te dienen bij uw nationale gegevensbeschermingsautoriteit (bijv. de Nederlandse Autoriteit Persoonsgegevens, of de ICO in het VK).

6.2 Hoe u uw rechten kunt uitoefenen

Om een van de bovenstaande rechten uit te oefenen, kunt u ons e-mailen op privacy@treffix.com met als onderwerp "Privacy Rights Request". Wij reageren binnen de termijnen van de AVG. Wij kunnen u vragen uw identiteit te verifiëren alvorens het verzoek uit te voeren.

7. Cookies & tracking

7.1 Sessiecookies

Wij gebruiken sessiecookies die strikt noodzakelijk zijn voor authenticatie en het behouden van uw ingelogde status. Deze cookies zijn vereist voor het functioneren van het Platform en kunnen niet worden uitgeschakeld.

7.2 Wat wij niet gebruiken

Treffix maakt momenteel geen gebruik van:

• Advertentie- of trackingcookies van derden
• Analyseplatformen (Google Analytics, Mixpanel, Segment, etc.)
• Trackingpixels van sociale media
• Fingerprinting of cross-site trackingtechnologieën

Als dit verandert, passen wij dit beleid aan.

8. Gegevensbeveiliging

Wij treffen passende technische en organisatorische beveiligingsmaatregelen om uw persoonsgegevens te beschermen:

• Versleuteling tijdens verzending: Alle gegevens die worden verzonden tussen uw browser en de servers van Treffix worden versleuteld met HTTPS/TLS
• Toegangscontroles: Supabase Row Level Security (RLS)-beleid zorgt ervoor dat gebruikers alleen toegang hebben tot hun eigen gegevens. Beheerderstoegang is beperkt tot geautoriseerd personeel van Treffix
• Wachtwoordbeveiliging: Wachtwoorden worden gehasht met behulp van industriestandaard algoritmen via Supabase Auth. Wachtwoorden in leesbare tekst worden nooit opgeslagen of verzonden
• TikTok-tokenopslag: OAuth-tokens worden opgeslagen in onze database en uitsluitend gebruikt voor weergaveverificatie. Wij raden aan de TikTok-toegang in te trekken via de instellingen van TikTok als u vermoedt dat uw tokens zijn gecompromitteerd
• Instagram-tokenopslag: OAuth-tokens worden opgeslagen in onze database en uitsluitend gebruikt voor Reel-weergaveverificatie. Tokens worden automatisch vernieuwd, ongeveer elke 60 dagen. Koppel Instagram los via uw Treffix-verbindingenpagina als u vermoedt dat uw token is gecompromitteerd
• Grenzen rond Creator-identiteit: KVK- en belastingbewijs wordt gekoppeld aan het actuele Stripe-account, de actuele vertegenwoordiger en de identiteitsversie. Door een gewijzigde context raakt eerder bewijs verouderd. Het gewone leveranciersprofiel bewaart alleen genormaliseerd KVK-bewijs en minimale Stripe-verwijzingen, terwijl BSN's worden verwerkt door de hierboven beschreven afzonderlijke belastingidentiteitskluis

Ondanks deze maatregelen is geen enkele gegevensoverdracht via het internet of elektronische opslag volledig veilig. Wij kunnen de absolute beveiliging van uw gegevens niet garanderen. In het geval van een datalek dat uw rechten en vrijheden aantast, zullen wij getroffen gebruikers en relevante toezichthoudende autoriteiten op de hoogte stellen in overeenstemming met toepasselijke wetgeving.

9. Internationale gegevensoverdrachten

Treffix is gevestigd in Nederland. Uw gegevens kunnen worden verwerkt en opgeslagen in datacenters binnen de Europese Economische Ruimte. Onze infrastructuurproviders (Supabase, Stripe, Vercel, Resend, Sentry, Upstash, Amazon Web Services, Expo, Apple, OpenFreeMap, TikTok, Meta Platforms) kunnen gegevens verwerken op locaties buiten de EER. Wanneer gegevens buiten de EER worden overgedragen, vertrouwen wij op passende waarborgen, waaronder Standaard Contractbepalingen (SCC's) goedgekeurd door de Europese Commissie, of overdrachten naar landen met een adequaatheidsbesluit.

10. Privacy van kinderen

Treffix verzamelt niet bewust persoonsgegevens van kinderen wanneer daarvoor op grond van toepasselijke wetgeving toestemming van een ouder of voogd vereist is. Als u denkt dat een kind persoonsgegevens heeft verstrekt zonder de vereiste toestemming, neem dan contact met ons op via privacy@treffix.com, zodat wij het verzoek kunnen beoordelen en afhandelen.

11. Links naar derden

Het Platform kan links bevatten naar websites van derden (bijv. TikTok, Instagram, Stripe). Dit Privacybeleid is uitsluitend van toepassing op het Treffix-Platform. Wij zijn niet verantwoordelijk voor de privacypraktijken van websites van derden en moedigen u aan hun privacybeleid te lezen voordat u persoonsgegevens verstrekt.

12. Wijzigingen in dit Privacybeleid

Wij kunnen dit Privacybeleid van tijd tot tijd bijwerken om wijzigingen in onze praktijken, wettelijke vereisten of Platformfuncties weer te geven. De datum bovenaan deze pagina geeft aan wanneer het beleid voor het laatst is bijgewerkt. Waar de wet dat vereist, informeren wij u over wezenlijke wijzigingen.

13. Contact & gegevensverzoeken

Voor vragen over dit Privacybeleid, het uitoefenen van uw gegevensrechten of het melden van een privacykwestie:

• Privacyverzoeken: privacy@treffix.com (onderwerp: "Privacy Rights Request")
• Juridische vragen: legal@treffix.com

U heeft ook het recht om een klacht in te dienen bij uw nationale toezichthoudende autoriteit. In Nederland is dit de Autoriteit Persoonsgegevens.