Privacybeleid

Wie is verantwoordelijk

Voor accounts, inloggen, facturering, support, deze site en onze eigen logs: het bedrijf dat Galla exploiteert, met zijn adres vermeld in het colofon (de verwerkingsverantwoordelijke). Voor gastenlijsten en alles rond een evenement, inclusief de gegevens van contactpersonen van leveranciers en sponsors: de organisatie die het evenement organiseert is de verwerkingsverantwoordelijke, en Galla verwerkt die gegevens voor haar als verwerker op grond van de verwerkersovereenkomst.

Contact met ons opnemen

Voor alles wat met persoonsgegevens te maken heeft, schrijf je naar het privacycontact: [e-mailadres]. Functionaris voor gegevensbescherming: [naam en contactgegevens, of ‘niet aangesteld’ zodra bevestigd]. Je kunt ook de contactpagina gebruiken.

Wat we over medewerkers bewaren, en waarom

• Je account: naam, e-mailadres, wanneer het is aangemaakt en geverifieerd, en je tweede inlogstap (het geheim daarvan is versleuteld). Om de dienst te leveren waarvoor je je hebt aangemeld (overeenkomst).
• Je organisaties en je rol in elk daarvan. Overeenkomst.
• De juridische documenten die je hebt geaccepteerd, met hun versies en data. Om de overeenkomst aan te tonen (overeenkomst; wettelijke verplichting).
• Inlogsessies, beveiligingslogs en een auditlog van wijzigingen die je aanbrengt, bijgehouden door elke organisatie. Om accounts en gegevens veilig te houden (ons gerechtvaardigd belang bij beveiliging).
• Voor eigenaren en financiële medewerkers: de factuurgegevens en facturen van de organisatie. Facturering (overeenkomst) en boekhouding (wettelijke verplichting).
• Supportverzoeken die je stuurt: het onderwerp, je bericht, schermafbeeldingen en wie het heeft verzonden. Om je te antwoorden (overeenkomst).
• Wanneer de support van Galla je organisatie opent om te helpen: wie, wanneer en waarom, zichtbaar voor je eigenaren. Controleerbare support (gerechtvaardigd belang).
• Bij aanmelding: een vingerafdruk (hash) van je e-mailadres, zonder je naam, om herhaalde gratis proefperiodes te voorkomen (gerechtvaardigd belang).

Voor een account zijn je naam en e-mailadres nodig; zonder die gegevens kunnen we de dienst niet leveren. We nemen over jou geen besluit dat uitsluitend op geautomatiseerde verwerking berust en dat rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen heeft.

Bezoekers van deze site

Deze site bewaart technische verzoeklogs (adres, pagina, tijdstip, browser) gedurende 30 dagen om de site te laten werken en te beveiligen (gerechtvaardigd belang). De contactpagina is een e-mailadres; wat je schrijft, bewaren we om je te antwoorden.

Gasten, leveranciers en sponsors

Organisaties bewaren de namen, contactgegevens, antwoorden, maaltijdkeuzes, dieet- en allergienotities (versleuteld, en alleen zichtbaar voor de rollen die ze mogen zien), plaatsen, tickets, gedeelde foto’s en verzonden berichten van hun gasten, en de namen, e-mailadressen, telefoonnummers en bestanden van hun contactpersonen bij leveranciers en sponsors. Ze hebben deze gegevens van jou gekregen of van de persoon die jou heeft uitgenodigd. Elke organisatie kiest hoe lang gastgegevens na haar evenementen worden bewaard; daarna worden ze geanonimiseerd.

Heb je een vraag over je gegevens, gebruik dan het formulier ‘Je gegevens’ op je evenementpagina of op je leveranciers- of sponsorpagina, of schrijf naar de organisatie. Wij helpen organisaties met antwoorden.

Cookies en opslag

Galla gebruikt alleen cookies en browseropslag die strikt noodzakelijk zijn voor een dienst waar je om hebt gevraagd, dus daarvoor is geen toestemming nodig:

• eventapp_sid: houdt een teamlid ingelogd in de beheeromgeving; vervalt bij uitloggen of na 12 uur.
• eventapp_guest: houdt de uitnodiging van een gast open op de pagina’s van dat ene evenement, in plaats van de link; maximaal 30 dagen.
• eventapp_partner: houdt een contactpersoon van een leverancier of sponsor ingelogd; maximaal 7 dagen.
• Alleen in de beheeromgeving bewaart browseropslag check-ins die offline bij de deur zijn gedaan totdat ze zijn verzonden, een teamuitnodiging terwijl je inlogt, en welke aankondigingen je hebt gesloten; niets daarvan wordt naar iemand anders verzonden.

De pagina’s van deze openbare site (home, prijzen, contact en deze juridische pagina’s, op het eigen adres van Galla) tellen bezoeken met Umami, dat geen cookies plaatst en geen persoonlijk profiel bijhoudt: het registreert de pagina, de verwijzende site, de browser, het apparaattype en het land, om te zien hoe de site wordt gebruikt (gerechtvaardigd belang). Pagina’s van de beheeromgeving, gasten, tickets, leveranciers en sponsors laden geen analytics. Er is geen reclame of tracking door derden, en lettertypen worden door Galla zelf geleverd. Je taal wordt uit de instellingen van je browser gelezen, niet opgeslagen. Bij het inloggen in de beheeromgeving communiceert je browser met de inlogdienst van Google (Firebase Authentication), zonder dat je inlog daar wordt bewaard; als je ervoor kiest in te loggen met Google of Microsoft, plaatst hun inlogpagina haar eigen cookies.

Wie gegevens ontvangt

Medewerkers van Galla die ze nodig hebben om de dienst te laten werken en te ondersteunen; de aanbieders op de pagina met subverwerkers, elk gebonden door een verwerkersovereenkomst; de eigen e-mailprovider van een organisatie wanneer die organisatie vanaf haar eigen adres verzendt; en autoriteiten wanneer de wet dat vereist. We verkopen geen persoonsgegevens en gebruiken ze niet voor reclame.

Waar gegevens worden bewaard, en doorgiften

Bij Google Cloud in de Europese Unie: België, met back-ups in Nederland. Sommige aanbieders kunnen gegevens buiten de EU verwerken, vooral in de Verenigde Staten: het inloggen van medewerkers (Firebase Authentication), de bezorging van e-mail (Postmark) en betalingen (Stripe). Elk daarvan staat op de pagina met subverwerkers, met de bijbehorende waarborg: het adequaatheidsbesluit van de Europese Commissie voor het EU-VS-gegevensprivacykader (Data Privacy Framework) als de aanbieder gecertificeerd is, en de modelcontractbepalingen van de Commissie in de verwerkingsvoorwaarden van de aanbieder. Schrijf ons voor een kopie.

Hoe lang

• Accounts: totdat je het jouwe verwijdert, of de enige organisatie waartoe je behoort wordt verwijderd.
• Organisatiegegevens, inclusief supportverzoeken, gegevensverzoeken en het log van supporttoegang: totdat de organisatie wordt verwijderd. Gastgegevens worden eerder geanonimiseerd, na de termijn die de organisatie heeft gekozen (365 dagen na het evenement, tenzij ze dat wijzigt).
• Exports van organisaties: 7 dagen.
• Verwijderde gegevens verdwijnen binnen 37 dagen uit onze back-ups.
• Facturen: 10 jaar, zoals de Franse wet vereist, ook nadat de organisatie is verwijderd.
• Vingerafdrukken bij aanmelding: zo lang als nodig is om herhaalde gratis proefperiodes te voorkomen, zonder naam of adres.
• Logs: 30 dagen. E-mails bij onze e-mailprovider: 45 dagen.

Je rechten

Je kunt vragen om je gegevens in te zien, te corrigeren, te verwijderen of in een herbruikbaar bestand te ontvangen, om het gebruik ervan te beperken, en om bezwaar te maken tegen een gebruik dat op ons gerechtvaardigd belang is gebaseerd. In de beheeromgeving kun je op de accountpagina je naam corrigeren, je eigen gegevens downloaden en je account verwijderen; eigenaren kunnen hun organisatie exporteren of verwijderen. Gasten, leveranciers en sponsors richten zich met het formulier ‘Je gegevens’ tot de organisatie. Voor al het andere, zoals het wijzigen van je e-mailadres, schrijf je naar het privacycontact hierboven. We antwoorden binnen een maand, of laten je binnen die maand weten waarom we maximaal twee maanden extra nodig hebben.

Je kunt ook een klacht indienen bij een gegevensbeschermingsautoriteit, met name in het land waar je woont of werkt. In Frankrijk is dat de CNIL (Commission nationale de l’informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr).

Beveiliging

De gegevens van elke organisatie worden door de database zelf gescheiden gehouden; verbindingen en opgeslagen gegevens zijn versleuteld; dieetnotities en geheimen worden door Galla nog eens versleuteld; medewerkers loggen in met twee stappen; gastlinks worden alleen als vingerafdruk opgeslagen en nooit gelogd. Als een datalek je gegevens in gevaar brengt, volgen we een schriftelijke procedure en informeren we de autoriteit en, waar nodig, jou.

Wijzigingen

We publiceren elke nieuwe versie hier met de datum en bewaren de eerdere versies. Je wordt gevraagd een nieuwe versie te accepteren wanneer je de volgende keer inlogt.