Privacybeleid

1. Preambule

Dit Privacybeleid legt uit hoe uw persoonsgegevens worden verzameld, gebruikt en beschermd wanneer u het platform Pepobio (het “Platform”) gebruikt, toegankelijk op pepo.bio en zijn subdomeinen. Onder “persoonsgegevens” wordt verstaan elke informatie waarmee u rechtstreeks of onrechtstreeks kunt worden geïdentificeerd.

Het maakt integraal deel uit van de Algemene Gebruiks- en Verkoopsvoorwaarden van het Platform.

2. Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke is Arnaud Poullet, natuurlijke persoon die als zelfstandige in bijberoep handelt, Tervurenlaan 99, 1040 Etterbeek, ingeschreven bij de KBO onder nummer 1039.745.968. Contact voor elke vraag over gegevensbescherming: support@pepo.bio.

Er is geen functionaris voor gegevensbescherming (DPO) aangesteld, aangezien deze aanstelling gelet op de activiteit niet verplicht is.

Verkopers en gedeelde verantwoordelijkheid. Wanneer u een bestelling plaatst, worden bepaalde gegevens doorgegeven aan de betrokken Verkoper voor de uitvoering van de verkoop en de afhaling. De Verkoper treedt op als afzonderlijke verwerkingsverantwoordelijke voor zijn eigen doeleinden. De statistieken die eventueel aan de Verkopers worden verstrekt, zijn geaggregeerd en geanonimiseerd (bijvoorbeeld de evolutie van hun verkopen) en laten niet toe u te identificeren. Indien u ervoor kiest, door het daartoe bestemde vakje aan te vinken, om op de hoogte te worden gehouden van het nieuws van een producent, worden uw contactgegevens voor die berichten gebruikt door de betrokken Verkoper, in de hoedanigheid van verwerkingsverantwoordelijke, waarbij het Platform als verwerker optreedt; u kunt uw toestemming te allen tijde intrekken, met name via de uitschrijvingslink in elk bericht.

3. Gegevens die wij verzamelen

Naargelang uw gebruik van het Platform kunnen wij verzamelen:

• Account- en bestelgegevens: naam, voornaam, e-mailadres, telefoonnummer en, in voorkomend geval, adres.
• Bestelgegevens: bestelde Producten, Verkoper, afhaalpunt en tijdslot, bedrag, bestelgeschiedenis.
• Betaalgegevens: rechtstreeks verwerkt door onze betalingsdienstaanbieder Mollie. Wij slaan uw volledige kaartgegevens niet op; wij bewaren een transactiereferentie en de status van de betaling.
• Gegevens over uw benaderende locatie: postcode ingevoerd om Producten en producenten in de buurt te zoeken.
• Technische gegevens: gegevens die strikt noodzakelijk zijn voor de werking (sessie, beveiliging, taalvoorkeur, cookiekeuzes).
• Communicatie: berichten die u ons stuurt (contactformulier, e-mail).
• Gebruiksgegevens (publieksmeting): geaggregeerde navigatiegebeurtenissen (bekeken pagina’s en Producten, zoekopdrachten, toevoegingen aan de winkelmand), gekoppeld aan een tijdelijke identificator die enkel in het tabblad van uw browser wordt bewaard, verzameld zonder cookie om het Platform te meten en te verbeteren.

4. Doeleinden en rechtsgronden

Wij verwerken uw gegevens voor de volgende doeleinden, op de aangegeven rechtsgronden (artikel 6 van de AVG):

Doeleinde

Rechtsgrond

Beheer van het account en uitvoering van de bestelling (bemiddeling, inning, afhaling)

Uitvoering van de overeenkomst (art. 6.1.b)

Verwerking van betalingen en fraudebestrijding

Uitvoering van de overeenkomst en gerechtvaardigd belang (art. 6.1.b en f)

Klantendienst, klachten en opvolging van geschillen

Uitvoering van de overeenkomst en gerechtvaardigd belang (art. 6.1.b en f)

Boekhoudkundige, fiscale en wettelijke verplichtingen (waaronder de DAC7-rapportering van de inkomsten van de verkopers)

Wettelijke verplichting (art. 6.1.c)

Verbetering en beveiliging van het Platform

Gerechtvaardigd belang (art. 6.1.f)

Marketingcommunicatie (nieuwsbrief), in voorkomend geval

Toestemming (art. 6.1.a)

5. Ontvangers van de gegevens

Uw gegevens worden enkel meegedeeld aan de ontvangers die noodzakelijk zijn voor de beschreven doeleinden:

• de Verkoper die bij uw bestelling betrokken is, voor de voorbereiding en de afhaling;
• onze betalingsdienstaanbieder (Mollie), voor de verwerking van de betalingen, die optreedt als onafhankelijke verwerkingsverantwoordelijke (zie hieronder);
• onze technische dienstverleners (hosting, cloudinfrastructuur, verzending van e-mails, publieksmeting), die als verwerkers optreden;
• de bevoegde autoriteiten, wanneer de wet dit vereist.

Wij verkopen uw persoonsgegevens niet aan derden.

Onze belangrijkste verwerkers en technische dienstverleners zijn de volgende:

Dienstverlener

Doeleinde

Locatie van de gegevens

Aiven (beheerde PostgreSQL en Valkey)

Databank en cache (opslag van account- en bestelgegevens)

Europese Unie, Google Cloud-infrastructuur (regio europe-west1, België)

Google Cloud (Cloud Run, Cloud Storage)

Hosting van de applicatie (server zonder gegevensbewaring) en opslag van de afbeeldingen

Europese Unie (regio europe-west1, België)

Amazon Web Services (SES)

Verzending van transactionele e-mails (bevestigingen, afhaalherinneringen)

Europese Unie (Ierland, regio eu-west-1); toegang vanuit een derde land mogelijk (zie sectie 6)

Content delivery network (CDN)

Verspreiding van statische inhoud en afbeeldingen (distributienetwerk)

Wereldwijd netwerk (edge caching)

Onafhankelijke verwerkingsverantwoordelijken. Sommige ontvangers zijn geen verwerkers die op onze instructies handelen, maar onafhankelijke verwerkingsverantwoordelijken, die zelf de doeleinden en middelen van de verwerking bepalen en instaan voor hun eigen wettelijke verplichtingen. Dit is met name het geval voor Mollie, onze betalingsdienstaanbieder: als gereglementeerde betalingsinstelling verwerkt Mollie de betaalgegevens voor zijn eigen doeleinden (uitvoering van de betaling, wettelijke verplichtingen en verplichtingen inzake fraude- en witwasbestrijding) en treedt het op als onafhankelijke verwerkingsverantwoordelijke. De verwerking door Mollie wordt beheerst door zijn eigen privacyverklaring, beschikbaar op zijn website. Ook de Verkopers op het Platform kunnen als afzonderlijke verwerkingsverantwoordelijken optreden voor hun eigen doeleinden (zie sectie 2).

6. Doorgiften buiten de Europese Unie

Wij geven de voorkeur aan hosting en dienstverleners in de Europese Unie (onze databank, onze applicatie, de opslag van de afbeeldingen en de verzending van onze e-mails via Amazon Web Services SES zijn geconfigureerd in regio's van de Europese Unie, Ierland wat de e-mails betreft). Het beroep op dienstverleners die deel uitmaken van groepen die buiten de Europese Economische Ruimte zijn gevestigd (zoals Amazon Web Services) kan evenwel toegang tot gegevens vanuit een derde land met zich meebrengen. In voorkomend geval wordt een dergelijke toegang of doorgifte omkaderd door passende waarborgen in de zin van de AVG (met name de standaardcontractbepalingen van de Europese Commissie of een adequaatheidsbesluit, zoals het EU-VS-kader voor gegevensbescherming wanneer dit van toepassing is).

7. Bewaartermijn

Wij bewaren uw gegevens enkel gedurende de periode die noodzakelijk is voor de nagestreefde doeleinden:

• Accountgegevens: gedurende de levensduur van het account, daarna verwijderd of geanonimiseerd binnen een redelijke termijn na de afsluiting ervan.
• Bestel- en factuurgegevens: bewaard overeenkomstig de wettelijke boekhoudkundige verplichtingen, in beginsel 7 jaar.
• Marketinggegevens: tot de intrekking van uw toestemming of na een redelijke periode van inactiviteit.
• Cookies en trackers: volgens de termijnen vermeld in het Cookiebeleid (zie sectie 10).
• Publieksmetingsgebeurtenissen: bewaard voor maximaal 12 maanden, daarna verwijderd.

8. Uw rechten

Overeenkomstig de AVG beschikt u over de volgende rechten met betrekking tot uw gegevens:

• recht van inzage (art. 15): een kopie verkrijgen van de gegevens die u betreffen;
• recht op rectificatie (art. 16): onjuiste of onvolledige gegevens laten verbeteren;
• recht op gegevenswissing (art. 17): uw gegevens laten verwijderen wanneer aan de voorwaarden is voldaan;
• recht op beperking (art. 18) van de verwerking;
• recht op overdraagbaarheid (art. 20): uw gegevens ontvangen in een gestructureerd en gangbaar formaat;
• recht van bezwaar (art. 21), met name tegen verwerking op grond van gerechtvaardigd belang en tegen direct marketing;
• recht om uw toestemming in te trekken, te allen tijde en zonder terugwerkende kracht, wanneer de verwerking daarop is gebaseerd.

Om deze rechten uit te oefenen, kunt u contact met ons opnemen via support@pepo.bio. Wij kunnen u vragen uw identiteit aan te tonen. Wij antwoorden binnen een maand, welke termijn indien nodig kan worden verlengd.

Klacht. U hebt het recht een klacht in te dienen bij de Gegevensbeschermingsautoriteit (GBA): Drukpersstraat 35, 1000 Brussel, https://www.gegevensbeschermingsautoriteit.be.

9. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om uw gegevens te beschermen tegen ongeoorloofde toegang, verlies of wijziging (versleuteling van de communicatie, toegangscontrole, beroep op erkende dienstverleners). Aangezien geen enkel systeem onfeilbaar is, kunnen wij geen absolute veiligheid garanderen, maar wij verbinden ons ertoe zorgvuldig te reageren in geval van een incident, overeenkomstig onze meldingsverplichtingen.

10. Cookies en trackers

Het Platform gebruikt in v1 cookies en trackers die strikt noodzakelijk zijn voor de werking ervan (sessie, beveiliging, onthouden van de taal en van uw keuzes). Deze cookies vereisen geen voorafgaande toestemming, maar worden hier omwille van de transparantie beschreven.

Cookies voor publieksmeting en andere niet-essentiële trackers. Indien wij tools voor publieksmeting (bijvoorbeeld PostHog) of andere niet strikt noodzakelijke trackers activeren, worden deze pas geplaatst nadat uw toestemming is verkregen, via een specifieke banner waarmee u per doeleinde even gemakkelijk kunt aanvaarden of weigeren.

Cookie

Doeleinde

Duur

session

Authenticatie. Houdt een gebruiker (klant, verkoper of beheerder) aangemeld. Versleuteld; bevat enkel de gebruikersidentificator en een indicator “beheerder”. HttpOnly, Secure.

Sessiecookie; verwijderd bij het sluiten van de browser; eveneens gewist bij het afmelden.

oauth_state

Beveiliging (CSRF-bescherming). Enkel geplaatst bij een aanmelding via Facebook, om de authenticatieronde aan dezelfde browser te koppelen. Eenmalig gebruik, verwijderd bij terugkeer. HttpOnly, Secure.

Sessiecookie; ongeveer 10 minuten geldig (duur van het aanmeldingsstatustoken).

bkt

Winkelmand van niet-aangemelde bezoekers. Koppelt een anonieme bezoeker aan zijn winkelmand tijdens het browsen en het afrekenen. HttpOnly, Secure.

Sessiecookie; verwijderd bij het sluiten van de browser.

i18n_pref_locale

Taalvoorkeur. Onthoudt de gekozen interfacetaal (FR/NL/EN) om deze van pagina tot pagina te behouden. Aan clientzijde geplaatst (niet HttpOnly).

Sessiecookie.

Alle bovenstaande cookies zijn strikt noodzakelijk voor de werking van het Platform en vereisen geen voorafgaande toestemming. Tot op heden wordt geen enkele cookie voor publieksmeting of niet-essentiële tracker gebruikt; in voorkomend geval zouden deze pas worden geplaatst nadat uw toestemming is verkregen, en zou deze tabel dienovereenkomstig worden bijgewerkt.

Onze eigen publieksmeting (zonder cookie). Om te begrijpen hoe het Platform wordt gebruikt en om het te verbeteren, registreren wij geaggregeerde navigatiegebeurtenissen (bekeken pagina’s en Producten, zoekopdrachten, toevoegingen aan de winkelmand), gekoppeld aan een tijdelijke identificator die enkel in het tabblad van uw browser wordt bewaard voor de duur van uw bezoek en nooit in een cookie wordt opgeslagen. Deze meting is first-party — de gegevens blijven op onze eigen servers en worden nooit met een derde gedeeld — en berust op geen enkele cookie of persistente identificator, zodat zij uw toestemming niet vereist. De rechtsgrond is ons gerechtvaardigd belang om onze dienst te meten en te verbeteren; deze gebeurtenissen worden maximaal 12 maanden bewaard (zie sectie 7).

11. Gegevens van minderjarigen

Het Platform richt zich niet tot minderjarigen. Wij verzamelen niet bewust gegevens van personen jonger dan 16 jaar. Indien u meent dat een minderjarige ons gegevens heeft bezorgd, neem dan contact met ons op zodat wij deze kunnen verwijderen.

12. Wijziging van dit beleid

Wij kunnen dit Privacybeleid wijzigen om het aan te passen aan wettelijke ontwikkelingen of aan wijzigingen in onze diensten. De toepasselijke versie is de versie die op het Platform is gepubliceerd. Wij nodigen u uit deze regelmatig te raadplegen op https://pepo.bio/fr-be/confidentialite.

Einde van het Privacybeleid. De Franse versie is de authentieke versie.