Privacyverklaring

1. Op wie is deze verklaring van toepassing?

• bezoekers van doneo.be;
• donateurs die via het platform een gift doen;
• organisatoren: particulieren of vzw's die een campagne starten;
• begunstigden van campagnes;
• iedereen die met ons correspondeert (bv. via e-mail of de meldknop).

Voor de betaal- en identificatiegegevens die onze betaalpartner Online Payment Platform B.V. ("OPP") verwerkt, treedt OPP op als zelfstandige verwerkingsverantwoordelijke. Zie punt 6.

2. Welke gegevens verwerken we?

Als je doneert:

• je naam — tenzij je anoniem doneert; dan tonen we je naam nergens publiek;
• je e-mailadres, voor de ontvangstbevestiging — dit is nooit publiek zichtbaar en wordt niet met de organisator gedeeld;
• het bedrag, de gekozen betaalmethode en de status van de betaling;
• je optionele bericht bij de donatie (publiek zichtbaar, zie punt 4);
• je taalkeuze, datum en tijdstip, en het bewijs dat je de voorwaarden van OPP aanvaardde;
• technische gegevens zoals je IP-adres, in beveiligings- en serverlogs.

Als je een account hebt of een campagne start:

• accountgegevens: e-mailadres en wachtwoord (het wachtwoord wordt uitsluitend versleuteld als hash opgeslagen);
• profiel- en organisatiegegevens: je naam of de naam van je vzw;
• campagne-inhoud: titel, verhaal, foto's, categorie, streefbedrag, updates;
• het donatie-overzicht en de uitbetalingsstatus van je campagne.

Identificatie (KYC) en bankgegevens: om uitbetaald te worden moet je als organisator je identiteit en bankrekening laten verifiëren. Dat gebeurt rechtstreeks bij OPP; identiteitsdocumenten en volledige bankgegevens komen niet in onze systemen terecht. Wij bewaren enkel de verificatiestatus.

We verzamelen niet doelbewust bijzondere categorieën van gegevens (zoals gezondheids- of geloofsgegevens). Let wel: wat je zelf in een campagneverhaal of donatiebericht schrijft, kan gevoelige informatie bevatten — publiceer alleen wat je publiek wil maken.

3. Waarvoor gebruiken we je gegevens, en op welke rechtsgrond?

• je account beheren en het platform aanbieden — uitvoering van de overeenkomst (art. 6.1.b AVG);
• donaties verwerken, per e-mail bevestigen en de organisator verwittigen — uitvoering van de overeenkomst;
• je naam, bedrag en bericht tonen in de publieke donateurslijst, tenzij je bij het doneren "anoniem" aanvinkt — uitvoering van de overeenkomst, op basis van de keuze die je zelf maakt;
• fraudepreventie, moderatie van campagnes, behandeling van meldingen en beveiliging van het platform — gerechtvaardigd belang (art. 6.1.f): een veilig en betrouwbaar donatieplatform;
• boekhouding en fiscale verplichtingen — wettelijke verplichting (art. 6.1.c);
• je vragen beantwoorden en correspondentie opvolgen — uitvoering van de overeenkomst of gerechtvaardigd belang;
• verplichte kennisgevingen sturen, bv. over een wijziging van de voorwaarden — wettelijke verplichting of gerechtvaardigd belang.

We sturen geen commerciële nieuwsbrieven of marketing zonder je voorafgaande toestemming, en er draait geen advertentietracking op het platform.

4. Wat is publiek zichtbaar?

• campagnepagina's zijn publiek: titel, verhaal, foto's, categorie, streefbedrag, opgehaald bedrag, aantal donateurs, en de naam en verificatiestatus van de organisator of vzw;
• bij een donatie zijn je naam, het bedrag en je eventuele bericht zichtbaar op de campagnepagina — tenzij je anoniem doneert; dan telt je gift mee in het totaal zonder naam;
• je e-mailadres is nooit publiek zichtbaar.

De organisator ziet voor zijn campagne dezelfde donatie-informatie als het publiek. E-mailadressen van donateurs worden niet met de organisator gedeeld.

5. AI-hulp bij campagneteksten

Als organisator kan je vrijwillig AI-hulp gebruiken om je campagnetitel of -verhaal te verbeteren of te vertalen (Nederlands/Frans). Daarvoor sturen we uitsluitend de campagnetekst zelf naar onze AI-leverancier (Anthropic); er worden geen donateursgegevens meegestuurd. Volgens de commerciële API-voorwaarden van die leverancier wordt de tekst niet gebruikt om AI-modellen te trainen.

6. Met wie delen we gegevens?

We verkopen je gegevens nooit en delen ze alleen voor zover dat nodig is om het platform te laten werken:

• Online Payment Platform B.V. (OPP, Nederland) — vergunde betaaldienstverlener onder toezicht van De Nederlandsche Bank. OPP verwerkt de betalingen (Bancontact, iDEAL, SEPA), houdt de ingezamelde gelden aan op afgeschermde rekeningen, voert de wettelijk verplichte identificatie (KYC/antiwitwas) uit en betaalt uit aan organisatoren. Voor die verwerkingen is OPP zelfstandig verwerkingsverantwoordelijke; zie de privacyverklaring op onlinepaymentplatform.com. Doneo houdt zelf nooit gelden aan;
• Supabase — databank, authenticatie en bestandsopslag, gehost in de Europese Unie;
• Netlify — hosting en uitlevering van de website; serverlogs (waaronder IP-adressen) kunnen buiten de EER worden verwerkt;
• Resend — verzending van transactionele e-mails (ontvangstbevestiging, meldingen aan organisatoren);
• Anthropic — uitsluitend campagnetekst, wanneer je vrijwillig de AI-hulp gebruikt (punt 5);
• organisatoren — zij zien de publieke donatiegegevens van hun eigen campagne (punt 4);
• overheden, politie of gerecht — wanneer we daartoe wettelijk verplicht zijn;
• professionele adviseurs (boekhouder, jurist) en, bij een overname of herstructurering, de betrokken partijen — telkens met passende vertrouwelijkheidswaarborgen.

Met dienstverleners die in onze opdracht persoonsgegevens verwerken, sluiten we een verwerkersovereenkomst conform art. 28 AVG.

7. Doorgifte buiten de EER

Onze databank en bestandsopslag staan in de Europese Unie. Sommige dienstverleners (Netlify, Resend, Anthropic) verwerken gegevens geheel of gedeeltelijk in de Verenigde Staten. Voor die doorgiftes steunen we op een adequaatheidsbesluit van de Europese Commissie (het EU-VS Data Privacy Framework) en/of de standaardcontractbepalingen van de Europese Commissie, waar nodig met aanvullende maatregelen. Een kopie van de relevante waarborgen kan je opvragen via privacy@doneo.be.

8. Hoe lang bewaren we je gegevens?

• accountgegevens: zolang je account bestaat; na verwijdering wissen of anonimiseren we je gegevens binnen 30 dagen, behalve wat we wettelijk langer moeten bewaren;
• donatie- en transactiegegevens: zolang de boekhoudkundige en btw-wetgeving dat vereist (in de regel 7 tot 10 jaar na afloop van het boekjaar);
• campagne-inhoud: zolang de campagne op het platform staat;
• correspondentie en meldingen: zolang nodig om je vraag of de melding op te volgen, en langer wanneer een geschil loopt;
• server- en beveiligingslogs: maximaal 12 maanden;
• identificatiedocumenten (KYC): uitsluitend bij OPP, volgens de wettelijke antiwitwas-bewaartermijnen.

9. Hoe beveiligen we je gegevens?

• alle verkeer verloopt versleuteld (TLS);
• databank en opslag staan in Europese datacenters, met toegangscontrole op rijniveau (row-level security);
• wachtwoorden worden nooit leesbaar opgeslagen, alleen als hash;
• interne toegang is beperkt tot wie ze nodig heeft (least privilege);
• betaal- en identiteitsgegevens blijven bij de vergunde betaalinstelling en komen niet in onze systemen.

Bij een datalek met risico voor jouw rechten en vrijheden melden we dat binnen 72 uur aan de Gegevensbeschermingsautoriteit en, wanneer wettelijk vereist, ook rechtstreeks aan jou.

10. Jouw rechten

Je hebt het recht op:

• inzage in de gegevens die we over je verwerken, en een kopie ervan;
• verbetering van onjuiste of onvolledige gegevens;
• wissing ("recht op vergetelheid"), binnen de grenzen van onze wettelijke bewaarplichten;
• beperking van de verwerking;
• overdraagbaarheid van de gegevens die je ons zelf bezorgde;
• bezwaar tegen verwerkingen op basis van ons gerechtvaardigd belang;
• intrekking van een gegeven toestemming, zonder terugwerkende kracht.

Mail je verzoek naar privacy@doneo.be. We kunnen je vragen je identiteit aan te tonen voor we gegevens vrijgeven of wissen. Je krijgt binnen één maand antwoord; bij complexe verzoeken kan die termijn met twee maanden worden verlengd, en dan verwittigen we je. De uitoefening van je rechten is gratis, tenzij een verzoek kennelijk ongegrond of buitensporig is.

Ben je niet tevreden over hoe we met je gegevens omgaan, laat het ons dan eerst weten — we zoeken een oplossing. Je kan ook altijd klacht indienen bij de Gegevensbeschermingsautoriteit: Drukpersstraat 35, 1000 Brussel, +32 (0)2 274 48 00, contact@apd-gba.be, www.gegevensbeschermingsautoriteit.be. Woon je in een ander EU-land, dan kan je ook terecht bij de toezichthouder van je eigen land.

11. Cookies

Doneo gebruikt uitsluitend strikt noodzakelijke en functionele cookies. Er zijn geen tracking-, advertentie- of analytische cookies van derden — daarom zie je ook geen cookiebanner: voor strikt noodzakelijke cookies is geen toestemming vereist.

• NEXT_LOCALE — onthoudt je taalkeuze (NL/FR); bewaartermijn 12 maanden;
• sb-* (Supabase) — houdt je ingelogde sessie veilig in stand; wordt enkel gezet wanneer je een account gebruikt en vervalt wanneer je je afmeldt of de sessie verloopt.

Zouden we in de toekomst analytische of andere niet-noodzakelijke cookies willen gebruiken, dan vragen we eerst je toestemming en werken we deze verklaring bij.

12. Minderjarigen

Het platform is bestemd voor personen van 18 jaar of ouder. Wie doneert of een campagne start, verklaart meerderjarig te zijn. We verwerken niet bewust gegevens van minderjarigen; merken we dat toch, dan verwijderen we die. Ouders of voogden kunnen ons contacteren via privacy@doneo.be.

13. Geautomatiseerde besluitvorming

Doneo neemt geen beslissingen met rechtsgevolgen voor jou op basis van uitsluitend geautomatiseerde verwerking. Onze betaalpartner OPP kan wel geautomatiseerde fraude- en risicoscreening toepassen op betalingen; raadpleeg daarvoor de privacyverklaring van OPP.

14. Wijzigingen aan deze verklaring

We kunnen deze verklaring aanpassen, bijvoorbeeld wanneer het platform of de wetgeving verandert. De datum bovenaan zegt wanneer ze het laatst werd bijgewerkt. Belangrijke wijzigingen kondigen we aan via het platform of per e-mail. Oudere versies kan je opvragen via privacy@doneo.be.

15. Contact

Insightz CommV — Driesstraat 44, 8554 Sint-Denijs, België · KBO 0786.826.703 · btw BE 0786.826.703 · privacy@doneo.be