Privacybeleid

4. Wettelijke grondslag

We verwerken gegevens op één of meerdere van volgende grondslagen (GDPR Art. 6):

• Uitvoering van de overeenkomst (jouw Kabookly-abonnement of de afspraak van jouw eindklant).
• Toestemming (marketing-e-mails, push-notificaties, niet-essentiële cookies — opt-in, te allen tijde herroepbaar).
• Wettelijke verplichting (boekhouding 7 jaar, BTW-aangiftes).
• Gerechtvaardigd belang (beveiliging, productverbetering, fraudepreventie).

5. Sub-verwerkers — wie heeft toegang?

We delen gegevens uitsluitend met geautoriseerde sub-verwerkers, die contractueel gebonden zijn aan onze instructies en GDPR-conform werken. De actuele lijst:

• Supabase (database hosting, EU-regio Frankfurt — Article 28 contract).
• Stripe Payments Europe Ltd (betalingsverwerking salon-abonnementen + Connect voor klant-betalingen).
• Mollie B.V. (alternatieve PSP voor klant-betalingen via Connect).
• Twilio Ireland Ltd (SMS-verzending) en Meta Platforms Ireland Ltd (WhatsApp Business API).
• Apple Push Notification Service en Google Firebase Cloud Messaging (alleen device-tokens, geen berichtinhoud).
• Hosting / CDN (Vercel — EU-regio waar mogelijk).
• E-mail-bezorging (transactioneel — leverancier vermeld in onze DPA).

6. Internationale doorgifte

Wij streven ernaar om alle data binnen de EER te bewaren. Waar een doorgifte naar buiten de EER nodig is (bv. Twilio of Apple), gebeurt dat onder Standard Contractual Clauses (SCC) of een ander GDPR-conform mechanisme (Artikel 44-49 GDPR). We koppelen geen data tussen leveranciers en verkopen nooit aan derden.

7. Bewaartermijn

Persoonsgegevens bewaren we niet langer dan nodig:

• Actieve klantgegevens: zolang jouw Kabookly-abonnement loopt.
• Na opzegging: persoonsgegevens worden binnen 30 dagen verwijderd of geanonimiseerd, met uitzondering van wettelijke bewaarplichten (facturen — 7 jaar).
• Tijdens deze 30 dagen kun je een volledige data-export aanvragen (CSV + JSON) om over te stappen naar een andere leverancier — GDPR Artikel 20.
• Anonieme aggregaten (bv. boekingscijfers per sector) kunnen we bewaren voor productverbetering.

8. Jouw rechten (GDPR)

Je hebt het recht op inzage, correctie, verwijdering, bezwaar, beperking en dataportabiliteit. Stuur een verzoek naar privacy@kabookly.com. We antwoorden binnen 30 dagen (eventueel verlengbaar tot 90 dagen bij complexe verzoeken — we laten dit weten).

Eindklanten van een salon richten verzoeken in principe aan hun salon (de verwerkingsverantwoordelijke), die wij ondersteunen waar nodig.

Je hebt ook het recht om klacht in te dienen bij de Belgische Gegevensbeschermingsautoriteit (gegevensbeschermingsautoriteit.be).

9. Beveiliging

We hanteren industrie-standaard beveiliging: TLS 1.2+ in transit, AES-256 bij rust, Row Level Security in de database (logische tenant-isolatie per salon), audit-logs van toegang tot gevoelige data, multi-factor authenticatie voor alle Kabookly-medewerkers en least-privilege-toegang.

Beveiligings-incidenten met impact op persoonsgegevens worden binnen 72 uur gemeld aan de GBA en getroffen gebruikers, conform Artikel 33-34 GDPR. Onze interne breach-notification-termijn aan verwerkings-verantwoordelijke salons is 48 uur.

10. WhatsApp, SMS en marketing-communicatie

Transactionele berichten (afspraakbevestigingen, herinneringen) sturen we op basis van de uitvoering van de overeenkomst. Marketing-berichten (verjaardag-actie, win-back) vereisen expliciete opt-in van de eindklant, met opt-out in elk bericht.

WhatsApp Business-berichten verzenden via onze geverifieerde Meta-account, met de naam van het salon duidelijk in de berichtinhoud. Het salon is verantwoordelijk voor template-content en opt-in-bewijs van zijn klanten.

11. Wijzigingen

We kunnen dit beleid bijwerken. Bij significante wijzigingen verwittigen we klanten per e-mail minimaal 30 dagen vooraf. Niet-significante updates (verduidelijkingen, leveranciers-naamswijzigingen) worden enkel hier gepubliceerd.