Privacyverklaring

1. Verwerkingsverantwoordelijke

KnoalPas is het loyaltyprogramma voor Stadskanaal (knoalpas.nl). Verwerkingsverantwoordelijke voor de persoonsgegevens in dit programma is:

• Penterra (merk: KnoalPas)
• Vestigingsplaats: Stadskanaal
• KvK: 42145718
• BTW-id: NL102801046B01
• Contact privacy: info@knoalpas.nl · knoalpas.nl

Vragen over je gegevens kun je ook stellen bij de zaak waar je de pas hebt gekregen; voor AVG-verzoeken is Penterra het aanspreekpunt.

2. Welke gegevens we gebruiken

Als je een account aanmaakt of de pas gebruikt, kunnen we dit verwerken:

• naam, e-mailadres en wachtwoord (opgeslagen als hash, niet leesbaar);
• telefoonnummer, als je dat zelf invult;
• pasnummer, NFC-token van de pas en of de pas geclaimd of geblokkeerd is;
• puntensaldo en transacties (sparen, inwisselen, correcties, vervallen) met zaak, bedrag/punten en tijdstip;
• scansessies die nodig zijn om een spaar- of inwisselactie veilig af te ronden;
• knoalbon-gegevens (serienummer, status, gekoppelde pas) als je een waardebon gebruikt;
• of je de voorwaarden en privacyverklaring hebt geaccepteerd, en of je actiemail wilt;
• technische gegevens die nodig zijn om in te loggen, zoals een sessiecookie.

Bij deelnemende zaken verwerken we ook bedrijfs- en contactgegevens van de ondernemer (naam, e-mail, telefoon, vestigingsgegevens, KvK indien opgegeven) voor deelname, support en facturatie.

De pas zelf bevat geen naam en geen saldo. Zonder naam en e-mail kunnen we geen account aanmaken.

3. Waarvoor en op welke grondslag

We gebruiken je gegevens voor:

• het uitvoeren van het programma: account, pas, sparen, inwisselen, knoalbonnen en saldo (overeenkomst);
• facturatie en administratie jegens deelnemende zaken (overeenkomst / wettelijke plicht);
• beveiliging, fraudepreventie, auditlogs en het oplossen van fouten (gerechtvaardigd belang);
• wettelijke plichten, waaronder fiscale bewaarplichten;
• actiemails, alleen als je daar apart voor kiest (toestemming). Die kun je later uitzetten.

We gebruiken geen tracking-, advertentie- of statistiekcookies van derden en geen marketinganalytics op knoalpas.nl.

4. Met wie we gegevens delen

We verkopen je gegevens niet en gebruiken ze niet als mailinglijst voor derden. Deelnemende zaken zien wat nodig is om een scan te doen: dat je pas geldig is, het pasnummer en de puntenmutatie in hun zaak. Zij mogen die gegevens niet voor eigen marketing gebruiken tenzij jij daar zelf mee instemt bij die zaak.

Beheerders van KnoalPas kunnen gegevens inzien om het programma te draaien, support te geven en misbruik te zien.

5. Verwerkers (toeleveranciers)

Voor de technische uitvoering schakelen we verwerkers in die alleen in opdracht van Penterra werken, binnen de EER waar mogelijk:

• Hosting / web — de KnoalPas-applicatie op Netcup (EU), bereikbaar via knoalpas.nl;
• Database (Penterra Data) — PostgreSQL-opslag van accounts, transacties, passen en knoalbonnen op dezelfde infrastructuur;
• E-mail — transactionele mail (bevestiging, reset, herinneringen) via onze SMTP-provider (Strato), afzender noreply@knoalpas.nl;
• Back-ups — periodieke databaseback-ups op de hostingomgeving (bewaartermijn hieronder).

Met deelnemende zaken die via de KnoalPas-app persoonsgegevens verwerken (scannen, inzien van scanresultaten) geldt de verwerkersovereenkomst.

6. Bewaartermijnen

• Accounts — zolang het account actief is; na opzegging verwijderen of anonimiseren we, tenzij een langere plicht geldt;
• Puntenhistorie / ledger / scans — transactiedata 7 jaar (administratie en geschillen);
• Vouchers (knoalbonnen) — transactiedata (verkoop, claim, inwisseling) 7 jaar;
• Facturen en maandafrekeningen — 7 jaar (fiscale bewaarplicht);
• Auditlogs — 12 maanden;
• Back-ups — 30 dagen, daarna rotatie/verwijdering;
• Bevestigings- en resetlinks vervallen automatisch (e-mailbevestiging 48 uur, wachtwoordreset 2 uur).

7. Cookies en vergelijkbare techniek

Op de website (ook in een gewone mobiele browser) gebruiken we alleen cookies die nodig zijn om de dienst te laten werken. We plaatsen geen tracking-, advertentie- of statistiekcookies van derden.

Concreet:

• knoalpas_session — noodzakelijk. Houdt je ingelogd (httpOnly, maximaal 14 dagen). Zonder deze cookie kun je niet inloggen.
• Een korte onthouding in de browser (geen cookie) dat je de cookiemelding hebt gezien.
• In de geïnstalleerde webapp kan het toestel een lokale cache bijhouden zodat de app opstart. Dat is geen marketingcookie.

Omdat dit alleen functionele opslag is, vragen we geen aparte toestemming voor cookies. We laten op de website wel een melding zien. In de geïnstalleerde webapp tonen we die melding niet; de regels hierboven gelden daar hetzelfde.

8. Beveiliging

We beveiligen de verbinding (HTTPS), slaan wachtwoorden gehashed op en beperken de toegang tot accounts. NFC-chips bevatten geen saldo. Helemaal zonder risico is internet nooit; meld verdachte inlog of een kwijtgeraakte pas zo snel mogelijk.

9. Jouw rechten (AVG)

Je hebt onder meer recht op:

• inzage;
• correctie (rectificatie);
• verwijdering (wisseling), voor zover de wet dat toelaat;
• beperking van de verwerking;
• dataportabiliteit;
• bezwaar tegen verwerking op basis van gerechtvaardigd belang.

Toestemming voor actiemail kun je altijd intrekken. Dat doet geen afbreuk aan de rechtmatigheid tot dat moment.

Stuur je verzoek naar info@knoalpas.nl of via knoalpas.nl. We reageren binnen de wettelijke termijn. Ben je het niet eens, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

10. Kinderen

KnoalPas is bedoeld voor gebruikers die zelf een account mogen aanmaken. Maak geen account aan voor iemand anders zonder dat dat mag.

11. Wijzigingen

Deze verklaring kan wijzigen, bijvoorbeeld als het programma of de wet verandert. De datum bovenaan geldt. De actuele versie staat altijd op knoalpas.nl/privacy.