Privacybeleid

Lyriot (“wij”, “ons”) zet zich in voor de bescherming van uw privacy. In dit beleid leggen wij uit hoe wij uw persoonsgegevens verzamelen, gebruiken, delen en beschermen, in overeenstemming met de Algemene verordening gegevensbescherming (AVG) en de geldende Franse wetgeving.

Wij verzamelen de volgende categorieën gegevens:

• Registratiegegevens: volledige naam, e-mailadres, versleuteld wachtwoord (bcrypt), stad, land, geslacht, geboortedatum, telefoonnummer (optioneel).
• Profielgegevens: profielfoto (opgeslagen bij Cloudflare R2), biografie, interesses.
• Activiteitsgegevens: aangemaakte en bijgewoonde evenementen, inschrijvingen op de wachtlijst, geplaatste reacties, reacties met emoji, check-ins via QR-code, uitgewisselde berichten (inhoud en tijdstip), vriendschappen, leesstatus van berichten (leesbevestigingen), behaalde prestaties, activiteitsreeksen, uitnodigingscode en lijst van aangebrachte personen.
• Gamificationgegevens: verzamelde punten per bron, huidige rang, ranglijstgeschiedenis, actieve boosts en hun vervaldatum, saldo en geschiedenis van de puntenportemonnee.
• Betaalgegevens: transactiegeschiedenis (abonnementen, betaalde evenementen, boosts), lopend abonnement en verlengingsdatum. Bank- en kaartgegevens worden uitsluitend door Stripe verwerkt: wij slaan ze nooit op.
• Organisatorgegevens (Stripe Connect): voor organisatoren die betalingen ontvangen verzamelt Stripe de identiteitscontrolegegevens rechtstreeks: identiteit (naam, geboortedatum, gescand identiteitsbewijs), volledig postadres, bankgegevens (IBAN of rekeningnummer) en, in voorkomend geval, bedrijfsgegevens (handelsnaam, fiscaal nummer). Op deze gegevens is het privacybeleid van Stripe van toepassing.
• Locatiegegevens: gps-coördinaten (breedte- en lengtegraad) die worden ingevoerd bij het aanmaken van een evenement, om de kaart te tonen en zoeken op nabijheid mogelijk te maken. Wij verzamelen nooit doorlopend uw locatie. Als u locatietoegang op uw apparaat al hebt toegestaan, wordt uw positie, afgerond op ongeveer tien kilometer, ook gebruikt om stadssuggesties te rangschikken; deze wordt niet in uw account opgeslagen.
• Sollicitatiegegevens: cv, motivatiebrief en LinkedIn-adres die via /careers/apply worden verstuurd en bij Cloudflare R2 worden opgeslagen (bucket “resumes”). Ze worden maximaal 2 jaar bewaard.
• Contactgegevens: naam, e-mailadres en inhoud van de berichten die via het formulier /contact worden verstuurd.
• Technische gegevens: IP-adres, browsertype, bezochte pagina's, datum en tijdstip van verbinding, sessie-identificatie (NextAuth), tokens voor pushmeldingen (Firebase).

Uw gegevens worden gebruikt om:

• Onze diensten te leveren, te onderhouden en te verbeteren
• U te authenticeren en uw account te beschermen (aanmelden met e-mail en wachtwoord of via Google OAuth)
• U de evenementen, profielen en ranglijsten te tonen die voor u relevant zijn
• Betalingen te verwerken (abonnementen, betaalde evenementen, boosts) via Stripe
• De opbrengst uit te betalen aan organisatoren van betaalde evenementen via Stripe Connect
• Meldingen te versturen (e-mail via Resend, push via Firebase)
• Elke 15 minuten automatisch punten toe te kennen via geplande taken (cron)
• De rangen van gebruikers automatisch te berekenen en bij te werken
• De herhalingen van terugkerende evenementen aan te maken (wekelijks, maandelijks enzovoort)
• Betalingen voor evenementen te innen en aan de organisatoren over te maken
• De week-, maand- en jaarranglijsten periodiek opnieuw in te stellen
• De voorwaarden van het uitnodigingsprogramma te controleren (voorkoming van misbruik)
• Uw onlinestatus en uw laatste activiteit aan uw vrienden te tonen
• Moderatie van inhoud en afhandeling van meldingen mogelijk te maken
• Fraude, misbruik en meervoudige accounts te voorkomen
• Onze wettelijke en boekhoudkundige verplichtingen na te komen

Wij verwerken uw gegevens op de volgende rechtsgronden:

• Uitvoering van de overeenkomst: om u de Lyriot-diensten te leveren waarvoor u zich heeft aangemeld (account, evenementen, betalingen, berichten)
• Gerechtvaardigd belang: om het platform te verbeteren, fraude te voorkomen, de veiligheid te waarborgen, de onlinestatus te tonen en de ranglijsten te beheren
• Toestemming: voor pushmeldingen (op elk moment in te trekken via de instellingen) en voor optionele commerciële berichten
• Wettelijke verplichting: om te voldoen aan de geldende wetgeving, in het bijzonder de boekhoudkundige verplichtingen (bewaartermijn van 5 jaar) en gerechtelijke vorderingen

Wij verkopen uw persoonsgegevens nooit. Wij delen ze uitsluitend met onze technische dienstverleners, en alleen voor zover dat nodig is om de dienst te kunnen leveren:

• Stripe: verwerking van betalingen (abonnementen, betaalde evenementen, boosts) en uitbetalingen aan organisatoren via Stripe Connect — beleid van Stripe
• OVH: hosting van de PostgreSQL-database (VPS, Frankrijk); Cloudflare R2: opslag van bestanden (profielfoto's, cv's)
• Resend: versturen van transactionele e-mails (registratiebevestiging, wachtwoordherstel, evenementmeldingen)
• Mapbox: weergave van de interactieve kaarten voor de locatie van evenementen en het zoeken op nabijheid
• Photon (komoot) en Nominatim (OpenStreetMap Foundation, gegevens in het Verenigd Koninkrijk en Nederland): stadssuggesties tijdens het typen; Nominatim wordt alleen gebruikt als Photon niet reageert. Onze servers sturen hun uitsluitend de getypte tekst en, voor Photon, een geschatte positie: het midden van uw land of, als u locatietoegang al hebt toegestaan, uw positie afgerond op ongeveer tien kilometer. Uw naam, uw IP-adres en uw account worden nooit aan hen doorgegeven.
• Firebase (Google): versturen van pushmeldingen naar uw apparaten (als u die heeft ingeschakeld)
• Google OAuth: als u kiest voor aanmelden met Google, worden uw naam, e-mailadres en Google-profielfoto aan Lyriot doorgegeven
• Bevoegde autoriteiten: wanneer de wet, een rechterlijke beslissing of de verdediging van onze gerechtvaardigde rechten dit vereist

Sommige dienstverleners zijn gevestigd buiten de Europese Unie (Firebase/Google, Stripe, in de Verenigde Staten). Deze doorgiften zijn gewaarborgd door:

• De door de Europese Commissie vastgestelde modelcontractbepalingen
• De adequaatheidsbesluiten van de Commissie (bijvoorbeeld het EU-VS Data Privacy Framework voor Stripe en Google)
• De passende waarborgen bedoeld in artikel 46 AVG

Wij bewaren uw gegevens zolang uw account actief is. Verwijdert u het, dan worden ze binnen 30 dagen gewist, behoudens wettelijke verplichting:

• Transactiegegevens: 5 jaar (Franse boekhoudkundige bewaarplicht)
• Sollicitatiegegevens (cv's, brieven): maximaal 2 jaar
• Technische logboeken: 12 maanden
• Moderatie- en sanctiegeschiedenis: voor onbepaalde tijd (veiligheid en voorkoming van misbruik)
• Verwijderde privéberichten: de metagegevens (datum, deelnemers) kunnen ook na verwijdering van de inhoud bewaard blijven

Op grond van de AVG heeft u de volgende rechten:

• Recht op inzage: de gegevens raadplegen die wij over u bewaren
• Recht op rectificatie: onjuiste gegevens corrigeren (rechtstreeks in de Instellingen of door contact met ons op te nemen)
• Recht op wissing: uw account verwijderen via Instellingen → Gevoelige zone (verwerkt binnen 30 dagen)
• Recht op overdraagbaarheid: een kopie van uw gegevens ontvangen in een gestructureerd formaat
• Recht van bezwaar: bezwaar maken tegen bepaalde verwerkingen (bijvoorbeeld commerciële berichten of onlinestatus)
• Recht op beperking: in bepaalde gevallen verzoeken om opschorting van de verwerking
• Rechten bij geautomatiseerde besluitvorming: geïnformeerd worden over geautomatiseerde verwerkingen (toekenning van punten, berekening van de rang, controle van uitnodigingen) en de uitkomst daarvan betwisten

Om deze rechten uit te oefenen: contactformulier. U kunt ook een klacht indienen bij de CNIL.

Toegepaste technische en organisatorische maatregelen:

• Versleuteling van al het verkeer onderweg (HTTPS/TLS)
• Wachtwoorden versleuteld met bcrypt (nooit onversleuteld opgeslagen)
• Toegang tot gegevens beperkt volgens het beginsel van minimale rechten
• Veilige opslag van bestanden bij Cloudflare R2 (toegang via tijdelijk ondertekende URL)
• CSRF-bescherming op alle formulieren (NextAuth-token)
• Registratie van beheershandelingen
• Periodieke back-ups van de database
• Bij een gegevenslek worden de betrokkenen binnen 72 uur geïnformeerd, zoals de AVG voorschrijft

Wij gebruiken technische cookies die noodzakelijk zijn voor de werking van het platform (gebruikerssessie, CSRF-bescherming). Daarnaast gebruiken wij de lokale opslag van uw browser om uw voorkeuren te onthouden (licht of donker thema, weergavevaluta, taal): deze gegevens verlaten uw apparaat nooit. Lees ons cookiebeleid voor meer informatie.

Lyriot staat open voor personen van 15 jaar en ouder, overeenkomstig artikel 7-1 van de Franse wet op de gegevensbescherming. In landen waarvan de wetgeving een andere leeftijd voorschrijft (bijvoorbeeld 13 jaar in de Verenigde Staten op grond van COPPA, of 16 jaar in bepaalde EU-lidstaten), geldt de meest beschermende leeftijd. Wij verzamelen niet bewust gegevens van minderjarigen die de vereiste leeftijd niet hebben bereikt. Denkt u dat een dergelijke minderjarige een account heeft aangemaakt, neem dan onmiddellijk contact met ons op.

Naast de Europese AVG leeft Lyriot de volgende regels inzake gegevensbescherming na, afhankelijk van uw land van verblijf:

• Californië (CCPA/CPRA): woont u in Californië, dan heeft u aanvullende rechten op grond van de California Consumer Privacy Act en de California Privacy Rights Act: het recht te weten welke persoonsgegevens worden verzameld, het recht op wissing, het recht bezwaar te maken tegen de verkoop van gegevens (wij verkopen uw gegevens niet) en het recht niet te worden benadeeld omdat u die rechten uitoefent. Schrijf ons op contact@lyriot.com om ze uit te oefenen.
• Verenigd Koninkrijk (UK GDPR): wij leven de UK GDPR van na de brexit na. De toezichthouder is het ICO (Information Commissioner's Office). Uw rechten zijn gelijkwaardig aan die van de Europese AVG.
• Brazilië (LGPD): op grond van de Lei Geral de Proteção de Dados Pessoais heeft u recht op inzage, correctie, wissing, overdraagbaarheid en bezwaar. De bevoegde autoriteit is de ANPD (Autoridade Nacional de Proteção de Dados).
• Canada (PIPEDA + Wet 25): wij leven de Personal Information Protection and Electronic Documents Act (PIPEDA) na en, in Quebec, Wet 25 (wet tot modernisering van de wettelijke bepalingen inzake de bescherming van persoonsgegevens). Autoriteiten: OPC (federaal) en CAI (Quebec).
• Australië (Privacy Act 1988): wij leven de Australian Privacy Act en de Australian Privacy Principles na. De bevoegde autoriteit is het OAIC (Office of the Australian Information Commissioner).
• Japan (APPI): op grond van de wet op de bescherming van persoonsgegevens (個人情報の保護に関する法律) voldoen wij aan de verplichtingen van de APPI. De bevoegde autoriteit is de PPC (Personal Information Protection Commission / 個人情報保護委員会).
• China (PIPL): op grond van de wet op de bescherming van persoonsgegevens (个人信息保护法) verwerken wij uw gegevens volgens de beginselen van rechtmatigheid, legitimiteit en noodzakelijkheid. De bevoegde autoriteit is de CAC (Cyberspace Administration of China / 国家互联网信息办公室).
• Zuid-Korea (PIPA): op grond van de wet op de bescherming van persoonsgegevens (개인정보 보호법) heeft u recht op inzage, rectificatie, wissing en bezwaar. De bevoegde autoriteit is de PIPC (Personal Information Protection Commission / 개인정보보호위원회).
• India (DPDP Act 2023): op grond van de Digital Personal Data Protection Act 2023 heeft u recht op informatie, correctie en wissing van uw digitale persoonsgegevens. Het bevoegde orgaan is het Data Protection Board of India (in oprichting door het MeitY).
• Turkije (KVKK): op grond van wet nr. 6698 betreffende de bescherming van persoonsgegevens (Kişisel Verilerin Korunması Kanunu) heeft u recht op inzage, correctie en wissing. De bevoegde autoriteit is de KVKK (Kişisel Verileri Koruma Kurumu).
• Indonesië (UU PDP): op grond van wet nr. 27/2022 betreffende de bescherming van persoonsgegevens (Undang-Undang Perlindungan Data Pribadi) omvatten uw rechten inzage, correctie en wissing. Het bevoegde orgaan is het Kementerian Komunikasi dan Informatika.
• Thailand (PDPA): op grond van de Personal Data Protection Act B.E. 2562 (2019) heeft u recht op inzage, overdraagbaarheid, wissing en bezwaar. Het bevoegde orgaan is het PDPC (Personal Data Protection Committee).
• Saoedi-Arabië (PDPL): op grond van de Personal Data Protection Law (نظام حماية البيانات الشخصية) heeft u recht op inzage en correctie. De bevoegde autoriteit is de SDAIA (Saudi Data and AI Authority / الهيئة السعودية للبيانات والذكاء الاصطناعي).

Toezichthoudende autoriteiten per land :

Wij kunnen dit beleid op elk moment bijwerken. Bij een wezenlijke wijziging brengen wij u op de hoogte per e-mail of via een melding op het platform. Blijft u Lyriot na die kennisgeving gebruiken, dan geldt dat als aanvaarding van de wijzigingen.

Dit beleid is opgesteld in het Frans. Versies in andere talen zijn vertalingen die uitsluitend ter informatie worden aangeboden; bij verschillen is alleen de Franse versie juridisch bindend.

Verwerkingsverantwoordelijke: Lyriot, Frankrijk.

Voor vragen over uw persoonsgegevens, om uw AVG-rechten uit te oefenen (inzage, rectificatie, wissing, overdraagbaarheid, bezwaar, beperking) of voor klachten over de verwerking van uw gegevens: contactformulier of rechtstreeks via contact@lyriot.com.

U kunt ook een klacht indienen bij de bevoegde toezichthoudende autoriteit: Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, 75007 Parijs.