Privacyverklaring

Voor de gegevens die u achterlaat als u een account aanmaakt en MenuVeilig gebruikt, voor het adres waarmee u zich eventueel op onze nieuwsbrief abonneert, voor wat u ons via het contactformulier of per e-mail aan info@menuveilig.nl stuurt, voor de gegevens van een leverancier die het abonnement van zijn klanten betaalt, en voor het technische logboek dat bij een bezoek aan deze site, de applicatie of een gastenkaart wordt bijgehouden, is Saas Wang de verwerkingsverantwoordelijke in de zin van de Algemene verordening gegevensbescherming. Saas Wang is een eenmanszaak van Jason Wang en levert de dienst MenuVeilig. Waar deze verklaring “wij” zegt, is dat Saas Wang.

Onderneming

Saas Wang (eenmanszaak)

Dienst

MenuVeilig

Vestigingsadres

Oosterhof 13, 5283 BV Boxtel

E-mail

info@menuveilig.nl

KvK-nummer

42187233

Btw-identificatienummer

NL005566783B11

Vragen over deze verklaring, en verzoeken over uw eigen gegevens, gaan via het contactformulier of naar het e-mailadres hierboven. Wij reageren onverwijld en in elk geval binnen een maand, zoals de verordening voorschrijft. Wij hebben geen functionaris voor gegevensbescherming aangesteld.

De artikelen die hieronder genoemd worden, staan in de verordening waarnaar onderaan deze pagina wordt verwezen. Onder elke rij staat op welke grondslag zij berust. Uw account en wat u in de applicatie invoert berusten op de overeenkomst: zonder die gegevens kunnen wij de dienst niet leveren waarvoor u zich heeft aangemeld. De nieuwsbrief berust op uw toestemming, en toestemming die u geeft kunt u ook weer intrekken; onder elke nieuwsbrief staat daarvoor een afmeldlink. Uw abonnement en de startservice berusten ook op de overeenkomst; onze boekhouding, waarin uw betalingen staan, en uw facturen bewaren wij omdat de wet dat vraagt. Betaalt uw leverancier uw abonnement, dan berust wat hij over uw zaak krijgt op de overeenkomst; de gegevens van een leverancier berusten op de afspraak met hem. Mailen wij u een code namens uw leverancier, dan doen wij dat in zijn opdracht (zie “Als uw leverancier uw abonnement betaalt”). De overige rijen — de tellers achter onze formulieren en achter inloggen, een bericht via het contactformulier, het wijzigingslogboek, wat wij na het opzeggen van uw zaak bewaren en het technische logboek van het hostingplatform — berusten op een gerechtvaardigd belang. Welk belang dat is, verschilt per rij en staat erbij.

Legt u in de applicatie gegevens van uw medewerkers vast, dan blijft u daarvoor de verantwoordelijke en verwerken wij die gegevens in uw opdracht. Wij gebruiken ze voor niets anders.

• Wij verkopen uw gegevens niet en wij verhuren ze niet.
• Er staat op deze site en in de applicatie geen bezoekersstatistiek, geen tagbeheerder en geen advertentienetwerk. Er is dus ook geen meetcode die iets over u doorgeeft.
• Wij nemen over u geen besluit dat uitsluitend op geautomatiseerde verwerking berust. Het voorstel dat uit een etiketfoto komt, bevestigt of verwerpt u zelf, regel voor regel.
• Wij vragen niets aan uw gasten. Wat ons hostingplatform van hun bezoek vastlegt, staat in de tabel hierboven, in de laatste rij.

De kaart achter uw QR-code is te lezen zonder account en zonder inloggen. Een gast die niet is ingelogd, krijgt van ons geen enkele cookie. Kiest een gast in het filter zijn eigen allergenen, dan blijft die keuze in het geheugen van zijn browser: er gaat geen adres, geen cookie en geen verzoek naartoe waarin die keuze staat. Een allergie van een gast bereikt dus geen server en staat in geen enkel logboek.

Wat wel wordt vastgelegd, is dát iemand uw kaart opvraagt: ons hostingplatform houdt van elk verzoek aan deze site een technisch logboek bij, met het internetadres, het tijdstip en de opgevraagde pagina erin. Wat daarin staat en hoe lang, leest u in de laatste rij van de tabel hierboven.

Het webadres van uw kaart bevat een korte, willekeurige reeks tekens. Die reeks staat in geen sitemap, en wij publiceren hem alleen op onze portfoliopagina zolang uw vestiging daar staat (zie hieronder). Wie hem niet heeft, komt niet op uw kaart, en uw kaart staat in geen enkele zoekmachine, tenzij u dat zelf kiest.

U kunt er zelf voor kiezen uw kaart vindbaar te maken via Google en andere zoekmachines. Uw kaart krijgt dan een tweede, leesbaar webadres dat begint met de naam van uw vestiging. Dat adres is openbaar: het staat in onze sitemap en iedereen kan uw kaart ermee vinden en lezen. De reeks tekens blijft geheim en blijft werken, net als uw gedrukte QR-codes. Zet u het vindbaar maken weer uit, dan werkt het leesbare adres niet meer en verdwijnt het uit de sitemap; het blijft voor uw zaak gereserveerd. Een zoekmachine haalt uw kaart pas uit zijn resultaten nadat hij het adres opnieuw heeft bezocht.

Op menuveilig.nl/portfolio laten wij zien welke zaken met MenuVeilig werken. Heeft u versie 10 of later van de algemene voorwaarden aanvaard, dan staat elke vestiging daar, tenzij u het uitzet (artikel 24). Aanvaardde u een eerdere versie, dan staat uw zaak er alleen als u het zelf aanzet. Wij tonen de naam en de plaats van de vestiging, een voorbeeld van de gastenkaart in uw huisstijl en een link naar die kaart. Heeft u uw kaart niet vindbaar gemaakt, dan staat in die link de reeks tekens van uw kaart; zoekmachines nemen uw kaart ook dan niet op. Namen van personen, e-mailadressen, telefoonnummers en uw straat tonen wij nooit.

U kunt hiertegen op elk moment bezwaar maken, zonder opgave van reden: zet de vermelding per vestiging uit onder “Menukaart” in de applicatie. Uw vestiging verdwijnt dan direct van de pagina.

Wij leggen vast wanneer u het aan- of uitzette. Wilt u na het uitzetten dat ook de reeks tekens weer geheim is, vraag dan onder “Menukaart” een nieuwe QR-code aan; uw oude gedrukte QR-codes werken dan niet meer.

Betaalt een leverancier van wie u inkoopt uw abonnement (artikel 25 van de algemene voorwaarden), dan vult u bij zijn code uw klantnummer bij hem in. Hij krijgt van ons bij elke maandfactuur een lijst van de zaken die die maand meededen. Daarop staan per zaak alleen de naam, de plaats en het klantnummer, en of de zaak die maand meedeed of in die maand stopte. Zo gaat hij na dat hij alleen betaalt voor zaken die echt zijn klant zijn. Vroeg u een startservice aan die hij betaalt, dan staan de naam van uw zaak en de dag van de aanvraag op zijn factuur. Gerechten, ingrediënten, allergenen, e-mailadressen, namen van personen en de reden waarom u stopte, krijgt hij niet. Bevat de naam van uw zaak uw eigen naam, zoals vaak bij een eenmanszaak, dan is dat een persoonsgegeven.

Dat hij uw naam, plaats en klantnummer ziet, staat vooraf op de pagina Abonnement, boven het veld voor de code. Die lijst bewaart uw leverancier daarna in zijn eigen administratie; wat hij ermee doet, valt onder zijn eigen verantwoordelijkheid, niet onder deze verklaring. Wilt u er niet meer op staan, kies dan op die pagina om zelf te betalen; vanaf de maand daarna staat uw zaak niet meer op zijn lijst.

Een leverancier kan ons vragen de code namens hem naar zijn klanten te mailen. Dan krijgen wij van hem per klant de naam van de zaak, de naam van een contactpersoon, een e-mailadres en het klantnummer. Wij doen dat in zijn opdracht: hij is voor die lijst verantwoordelijk, en wij gebruiken haar alleen voor die ene e-mail met zijn code — niet voor onze nieuwsbrief en niet om u later zelf te benaderen. Uiterlijk dertig dagen nadat wij de e-mails verstuurden, verwijderen wij de lijst en de verstuurde e-mails met de hand. Vragen over die lijst stelt u aan uw leverancier; komen ze bij ons binnen, dan sturen wij ze aan hem door. Vult u de code daarna in, dan gaat wat u bij ons invult, onder de rest van deze verklaring.

De productgegevens die een leverancier ons geeft, gaan over producten en allergenen, niet over personen. Bent u zelf de leverancier: wat wij van uw onderneming, uw contactpersoon en voor uw factuur bewaren, staat in de tabel onder “Welke gegevens, en waarvoor”, en hoe lang onder “Hoe lang wij het bewaren”. U heeft dezelfde rechten als iedereen op deze pagina.

Wij schakelen andere partijen in om de dienst te kunnen leveren. Zij verwerken gegevens in onze opdracht en voor geen ander doel. Dit zijn ze:

Over waar dat gebeurt, is per partij dit vastgelegd:

• Supabase — Alles wat wij bij deze partij bewaren (uw account, uw gerechten, uw etiketfoto’s en het logo van uw zaak) draait op servers in Frankfurt, Duitsland, binnen de Europese Economische Ruimte.
• Vercel — Het opbouwen van de pagina’s van de applicatie en van uw gastenkaart draait op servers in Frankfurt, Duitsland, binnen de Europese Economische Ruimte. Wat deze partij verder voor ons verwerkt (de eerste controle van elk verzoek, de cache en het technische logboek) kan ook buiten de Europese Economische Ruimte plaatsvinden.
• Anthropic, Lettermint, e-Boekhouden.nl en Hostinger — Verwerking kan ook buiten de Europese Economische Ruimte plaatsvinden.

Gaan gegevens daarbij buiten de Europese Economische Ruimte, dan gebeurt dat op deze grond:

• Vercel: Vercel is gecertificeerd onder het EU-VS Data Privacy Framework, en haar verwerkersovereenkomst bevat de standaardcontractbepalingen van de Europese Commissie (besluit 2021/914).
• Anthropic: De standaardcontractbepalingen van de Europese Commissie (besluit 2021/914), die in de verwerkersovereenkomst van Anthropic zijn opgenomen.
• Lettermint: Volgens haar verwerkersovereenkomst blijft uw e-mail binnen de Europese Unie; daarbuiten mag zij gegevens alleen brengen op grond van een adequaatheidsbesluit of passende waarborgen (artikel 46 van de verordening).
• Hostinger: Naar een land zonder adequaatheidsbesluit gelden de standaardcontractbepalingen van de Europese Commissie (besluit 2021/914) uit haar verwerkersovereenkomst.

Een kopie van die afspraken sturen wij u op verzoek.

Aan Anthropic gaat alleen de foto van het etiket en de vraag welke van de veertien wettelijke allergenen daarop te zien zijn; als u om een huisstijlvoorstel vraagt, de foto of PDF van uw menukaart en de vraag welke kleuren, letterstijl en welk logo daarop te zien zijn; als u een eigen kaartontwerp laat maken, de foto of PDF van uw kaart, de namen van uw gangen en de vraag hoe die kaart is opgemaakt; en als u uw kaart laat inlezen, de foto’s, schermafdrukken of PDF van uw menukaart en de vraag welke gangen, gerechten, beschrijvingen en prijzen daarop staan — niet wat er in de gerechten zit; voor de vertaling van uw kaart, die vanzelf gebeurt zodra uw gerechten erop staan of u het Nederlands wijzigt, de namen, beschrijvingen en gangkoppen van uw gerechten en de taal waarin ze vertaald moeten worden — geen allergenen, geen ingrediënten en niet de naam van uw zaak; en als u in de zoekbalk of in het recept van een gerecht de naam typt van een ingrediënt dat u nog niet zelf heeft nagekeken en dat niet in de MenuVeilig-basislijst staat, alleen de naam van dat ingrediënt, elke naam apart, zonder de naam van het gerecht, de rest van het recept, de naam van uw zaak of andere gegevens. Bij het lezen van een etiket of een kaart sturen wij niet mee wat uw zaak al heeft vastgelegd, zoals uw ingrediënten en gerechten. Wie de foto heeft gemaakt en van welke zaak hij komt, sturen wij niet mee, en bij een etiket ook niet welke gerechten er op uw kaart staan. Op een foto of pagina van uw menukaart staat wel wat er op die kaart staat, en vaak de naam van uw zaak: dat is wat er gelezen wordt.

• Uw zaak en wat daaraan hangt: zolang uw zaak bij ons klant is. Zegt u uw zaak op, dan verdwijnen de ingrediënten, gerechten, kaarten, vestigingen, voorzorgsbeoordelingen en het wijzigingslogboek die eraan hangen, net als de toegang van iedereen die in uw zaak meewerkt, en gaat uw gastenkaart uit de lucht. Met de knop “Zaak opzeggen” onderaan elk scherm in de applicatie — die ziet alleen de eigenaar — gebeurt dat direct. Zegt u op met een e-mail aan info@menuveilig.nl, dan gebeurt het op het moment dat de algemene voorwaarden daarvoor noemen (artikelen 10 en 12), en bevestigen wij per e-mail wat er weg is.
• Eén ding bewaren wij na het opzeggen wél, en dat zeggen wij liever hier dan dat u het later ontdekt: de naam van uw zaak, het kenmerk van uw zaak waaruit de code volgt die onderaan uw kaarten en downloads staat, de datum waarop uw zaak is aangemaakt, de datum van opzeggen, en welke versie van de algemene voorwaarden u heeft aanvaard. Zegt u per e-mail op, dan bewaren wij daarbij ook de dag waarop uw e-mail binnenkwam en de dag waarop de opzegging inging. Meer niet: geen e-mailadres, geen naam van een persoon, geen adres en niets van wat u heeft ingevoerd. Een kaart of download met onze code kan ook na het opzeggen nog in omloop zijn, en dan moeten wij kunnen vaststellen bij welke zaak hij hoort, van wanneer tot wanneer die zaak klant was en welke voorwaarden golden — om een vordering uit de overeenkomst te kunnen instellen, uitoefenen of onderbouwen. Wij bewaren dit vijf jaar na de dag van opzeggen: vijf jaar is de verjaringstermijn van zo’n vordering. Daarna blijft het staan tot de dagelijkse opruimronde het weghaalt. Loopt er op dat moment een geschil over uw zaak, dan bewaren wij het tot dat geschil voorbij is. U kunt dit record niet zelf verwijderen; u kunt er wel bezwaar tegen maken (zie “Uw rechten”), en dan wegen wij uw belang tegen het onze.
• De foto van een etiket: zolang het ingrediënt bestaat waar hij bij hoort. Bij een controle moet te zien zijn van wélk etiket een allergeen is afgeleid, en daarom bewaren wij hem zolang dat ingrediënt er is. Verwijdert u dat ingrediënt, dan verdwijnt de foto in dezelfde handeling. Zegt u uw zaak op, dan gaan al uw foto’s er eerst uit; uw organisatie kan pas verdwijnen wanneer dat gelukt is.
• Eén uitzondering, en die noemen wij liever dan dat u hem ontdekt: scant u een etiket en slaat u het ingrediënt daarna niet op, dan is er een foto die bij niets hoort. Scant u in hetzelfde formulier opnieuw, dan ruimt de applicatie de vorige zelf op. Verlaat u het formulier zonder op te slaan, dan blijft die ene foto staan, apart van de foto’s die u wél gebruikt, tot de dagelijkse opruimronde hem weghaalt — op zijn vroegst dertig dagen nadat u hem uploadde. Gaat het opslaan op het laatste moment mis, dan blijft er ook een foto achter, maar dan tussen de foto’s die u wel gebruikt; die blijft ook staan als u daarna opnieuw scant, en slaat u het ingrediënt alsnog op, dan hoort hij er weer bij. Die tweede foto laat de opruimronde met opzet staan, juist omdat hij op dat alsnog opslaan wacht. In beide gevallen verwijderen wij zo’n foto op uw verzoek, zonder aan de etiketten te komen die u wel gebruikt — de eerste ook al vóór die dertig dagen. Deze uitzondering geldt zolang uw organisatie bestaat en niet daarna: zegt u uw zaak op, dan gaat ook zo’n achtergebleven foto er eerst uit, net als de foto’s die u wél gebruikt.
• Een foto of PDF van uw menukaart voor een huisstijlvoorstel: wij bewaren hem niet. Hij gaat vanuit uw browser via onze server naar Anthropic en is bij ons weg zodra dat verzoek klaar is. Neemt u het logo over dat uit een foto gesneden is, dan bewaren wij alleen dat logo, als het logo van uw zaak. Van uw website bewaren wij niets — het adres niet, de pagina niet en haar opmaakbestanden niet — behalve een logo dat u overneemt; ook dat bewaren wij als het logo van uw zaak.
• Een foto of PDF van uw kaart voor een eigen kaartontwerp: wij bewaren hem niet. Hij gaat vanuit uw browser via onze server naar Anthropic en is bij ons weg zodra dat verzoek klaar is. Neemt u het ontwerp over, dan bewaren wij het ontwerp met de uitsneden uit uw kaart die erin staan — uw logo, plaatjes en sierstukken — zolang dat ontwerp bij uw kaart hoort: ze verdwijnen als u een ander ontwerp overneemt, als u opnieuw begint en als uw zaak eindigt.
• De foto’s, schermafdrukken of PDF van een menukaart die u laat inlezen: wij bewaren ze niet. Ze gaan vanuit uw browser via onze server naar Anthropic en zijn bij ons weg zodra dat verzoek klaar is. Tot u de lijst heeft opgeslagen of weggegooid, houdt uw eigen browser de pagina’s en de gelezen lijst vast, zodat u verder kunt waar u was; dat gaat niet naar ons. Na 7 dagen zonder wijziging gebruikt de applicatie ze niet meer, en wist ze zodra u het inlezen weer opent. Wat u na het nakijken opslaat, bewaren wij als uw gerechten, zolang uw zaak bestaat.
• De vertalingen van uw gerechtnamen, beschrijvingen en gangkoppen: zolang het gerecht bestaat, met erbij of ze automatisch zijn gemaakt of door u. Wat Anthropic daarvoor kreeg, bewaren wij verder nergens.
• Uw abonnement: de kenmerken die Mollie ons geeft, het bedrag, het aantal vestigingen, de stand, de data van uw betalingen, of u de startservice koos en uw akkoord bij het opzeggen, zolang uw zaak bestaat. Heeft uw zaak twaalf maanden geen lopend abonnement meer — omdat u opzegde, een jaar niet liet verlengen of de incasso is gestopt — dan vragen wij u per e-mail of wij uw zaak mogen wissen; zegt u ja, dan wissen wij haar zoals bij “Zaak opzeggen”. Zonder uw ja wissen wij niets. Onze boekhouding, waarin uw betalingen ook staan, bewaren wij zeven jaar, omdat de wet dat vraagt.
• Uw facturen: de factuurgegevens van uw zaak, en bij elke betaling het nummer van haar factuur, zolang uw zaak bestaat. De factuur zelf staat in onze boekhouding bij e-Boekhouden.nl; die bewaren wij zeven jaar na het einde van het jaar waarin wij haar maakten, ook als u opzegt of uw zaak verwijdert: de wet vraagt dat (artikel 52 van de Algemene wet inzake rijksbelastingen).
• Betaalt uw leverancier uw abonnement: van wanneer tot wanneer hij betaalde, waarom het stopte, uw klantnummer bij hem en een startservice die hij betaalde, zolang uw zaak bestaat. Verdwijnt uw zaak, dan blijven die periodes en die startservice staan zonder de naam van uw zaak en zonder uw klantnummer, zodat de maanden die al gefactureerd zijn blijven kloppen. Een lijst die bij een factuur aan uw leverancier hoort, bewaren wij met die factuur in onze boekhouding, zeven jaar, omdat de wet dat vraagt.
• Een klantenlijst die een leverancier ons gaf om zijn code te mailen: tot uiterlijk dertig dagen nadat wij de e-mails verstuurden; dan verwijderen wij de lijst en de verstuurde e-mails met de hand.
• De gegevens van een leverancier die het abonnement van zijn klanten betaalt: zolang de afspraak loopt. Stopt zij, dan blijven ze in ons kantoor staan zolang wij de maanden waarin hij betaalde moeten kunnen verantwoorden: zeven jaar na het einde van het jaar van zijn laatste factuur, de termijn die de wet voor onze boekhouding stelt. Daarna halen wij ze met de hand weg; daarvoor draait geen automatische opruiming. Wilt u ze eerder weg en is er geen grond meer om ze te bewaren, vraag het ons dan.
• Wat u ons voor de startservice los stuurde of meegaf: tot uiterlijk dertig dagen nadat uw kaart klaarstaat; dan verwijderen wij het. Het gesprek op claude.ai waarin wij uw kaart lieten lezen, verwijderen wij binnen dezelfde dertig dagen; hoe lang Anthropic het daarna nog heeft, staat onder “De startservice: Claude op ons eigen abonnement”. Wat wij invoerden, staat daarna in uw zaak, zoals al het andere.
• E-mail die u ons stuurt, in ons postvak bij Hostinger: zolang wij die nodig hebben om uw vraag af te handelen, en daarna niet langer.
• Een bericht via het contactformulier: zolang wij het nodig hebben om uw vraag te beantwoorden of uw verzoek af te handelen. Daarna verwijderen wij het met de hand — er draait geen geplande opruiming langs, dus wij zeggen er liever bij dat het een handeling van ons is en geen automatisme. Wilt u niet wachten tot wij eraan toekomen, vraag het ons dan; dan halen wij uw bericht er direct uit. Gaat het over een verzoek over uw eigen gegevens, dan bewaren wij het wel zolang wij moeten kunnen laten zien dát wij zo'n verzoek hebben afgehandeld.
• De teller achter het contactformulier: geteld wordt er over een uur. Daarna telt de regel nergens meer voor mee en gooit het eerstvolgende bericht hem weg. Dat is dezelfde teller als die van de nieuwsbrief hieronder, met een eigen vak: komt dat volgende bericht er niet, dan blijft de regel liggen tot de dagelijkse opruimronde langskomt.
• De teller achter het aanmeldformulier van de nieuwsbrief: geteld wordt er over een tijdvak — een uur voor de teller per internetverbinding, een etmaal voor die per e-mailadres. Is dat tijdvak voorbij, dan telt de regel nergens meer voor mee en gooit de eerstvolgende aanmelding hem weg. Komt die aanmelding er niet, dan blijft hij liggen tot de dagelijkse opruimronde langskomt. In deze teller bewaren wij geen internetadressen, en hij is geen bezoekerslogboek: wat er in zo’n regel staat is een onomkeerbare afdruk, gemaakt met een sleutel die niet in de database staat, en een aantal. Een gelekte kopie van die tabel rekent dus geen adres terug.
• De teller achter inloggen, registreren en de accountmails: geteld wordt er over een kwartier (inloggen) of een uur (registreren en de mails). Daarna telt de regel nergens meer voor mee en gooit de eerstvolgende poging hem weg; komt die er niet, dan blijft hij liggen tot de dagelijkse opruimronde langskomt. In deze teller bewaren wij geen internetadressen en geen e-mailadressen: wat er staat is een onomkeerbare afdruk, gemaakt met een sleutel die niet in de database staat, en een aantal.
• De vermelding in ons portfolio: zolang die aan staat; zet u haar uit, dan verdwijnt uw vestiging direct van de pagina en wissen wij de plaats die u eventueel zelf invulde uit de portfoliogegevens; in het wijzigingslogboek van uw eigen zaak blijft die wijziging staan, zoals elke wijziging. Wanneer u haar aan- of uitzette, bewaren wij zolang de vestiging bestaat, als bewijs dat wij uw keuze volgden.
• Het technische logboek van het hostingplatform: één dag. Dat is de termijn die Vercel in ons pakket aanhoudt voor het logboek dat wij daar kunnen inzien.
• De nieuwsbrief: zolang u ingeschreven staat, en daarna nog als bewijs dát u zich ooit zelf heeft aangemeld en weer afgemeld. Wij moeten kunnen laten zien dat wij niemand ongevraagd mailen, en een rij die na een afmelding verdwijnt kan dat niet — sterker nog, dan zou hetzelfde adres er later ongemerkt weer op kunnen komen. Bevestigt u een aanmelding nooit, dan vervalt de link na zeven dagen en bewaren wij de aanvraag niet: er is dan geen toestemming om te bewijzen. Wij halen zo’n aanvraag weg zodra iemand die vervallen link nog aanbiedt, hetzelfde adres zich opnieuw aanmeldt, of de dagelijkse opruimronde langskomt, wat van de drie het eerst gebeurt. Tot dat moment kan zo’n aanvraag — uw adres, en de naam van uw zaak als u die invulde — nog blijven staan; vraag het ons en wij halen hem er direct uit. Heeft u zich ooit wél afgemeld, dan blijft die rij juist staan, om de reden hierboven. Wilt u het helemaal weg hebben, vraag het ons dan — dan wissen wij uw adres, uw aanmelding en de bijbehorende gebeurtenissen.

De dagelijkse opruimronde die hierboven een paar keer terugkomt, is een automatische ronde die één keer per etmaal hoort langs te komen en weghaalt wat zijn termijn voorbij is. Hij haalt nooit iets eerder weg dan hierboven staat, maar hij kan later komen: staat hij stil — bij een storing, of zolang wij hem nog niet hebben aangezet — dan blijft liggen wat hij zou weghalen, tot de eerstvolgende ronde die wel draait. Daarom noemen wij geen datum waarop zoiets uiterlijk weg is. Wilt u daar niet op wachten, vraag het ons dan; dan halen wij het direct weg.

Uw account — uw e-mailadres, uw wachtwoord en de naam die u opgaf — verdwijnt met de laatste zaak waarin u werkt. Verdwijnt een zaak na het opzeggen, met de knop of per e-mail, dan verwijderen wij in dezelfde stap het account van iedereen die in geen andere zaak meer werkt, ook dat van de eigenaar. Werkt u nog in een andere zaak, dan blijft uw account voor die zaak bestaan. Wilt u uw account eerder kwijt, vraag het ons dan; wij bevestigen per e-mail wat er weg is. Onze boekhouding valt daar niet onder: die bewaren wij zeven jaar, zoals hierboven staat.

Wij plaatsen alleen wat nodig is om u ingelogd te houden, en wat u zelf vraagt te onthouden. Logt u in, dan zet de applicatie een paar cookies waarmee uw sessie wordt herkend; zonder die cookies werkt inloggen niet. Wij plaatsen geen cookies om te meten en geen cookies om te adverteren.

Daarbuiten zijn er twee, en allebei duren zij tien minuten. Gaat er iets mis bij het aanmelden voor de nieuwsbrief of bij het versturen van het contactformulier, dan bewaren wij wat u net had ingetypt, zodat u het na de foutmelding niet opnieuw hoeft in te vullen — bij het contactformulier is dat ook uw bericht zelf, dat u anders helemaal opnieuw zou moeten schrijven. Elk van beide hoort bij zijn eigen pagina, is voor scripts in uw browser niet leesbaar, en verdwijnt vanzelf. Wij kunnen ze niet gebruiken om u te volgen: er staat niets anders in dan wat u zelf zojuist typte.

Kiest u met de knop met de zon en de maan voor de donkere weergave, dan onthoudt uw eigen browser die keuze, zodat ook de volgende pagina donker is. Dat is geen cookie maar een gegeven in de opslag van uw browser: er staat alleen in dát u donker koos, het wordt niet naar ons verstuurd, en wij kunnen het niet lezen. Zet u de weergave terug op licht, dan verdwijnt het. Op de QR-kaart voor uw gasten staat deze knop niet.

De Telecommunicatiewet vraagt toestemming voor cookies die niet nodig zijn om de dienst te leveren die u zelf heeft gevraagd. Die plaatsen wij niet, en daarom staat er op deze site geen venster dat u om toestemming vraagt.

De verordening geeft u een aantal rechten. U oefent ze uit via het contactformulier — kies daar het onderwerp over uw eigen gegevens, dan herkennen wij uw bericht als een verzoek — of door ons te mailen op het adres bovenaan deze pagina. Het formulier werkt los van onze e-mail, dus het blijft ook werken als er met onze mail iets aan de hand is. Om te voorkomen dat wij gegevens aan de verkeerde geven, kunnen wij vragen om een redelijke bevestiging dat u bent wie u zegt te zijn.

• Inzage: opvragen welke gegevens wij van u hebben, en een kopie krijgen (artikel 15).
• Rectificatie: iets wat niet klopt laten verbeteren of aanvullen (artikel 16).
• Verwijdering: uw gegevens laten wissen wanneer wij geen grond meer hebben om ze te bewaren (artikel 17).
• Beperking: het gebruik laten stilleggen zolang er iets tussen ons in geschil is (artikel 18).
• Overdraagbaarheid: de gegevens die u zelf heeft aangeleverd, in een gangbaar bestandsformaat meekrijgen (artikel 20).
• Bezwaar: bezwaar maken tegen een verwerking die op ons gerechtvaardigd belang berust, zoals het wijzigingslogboek, wat wij na het opzeggen van uw zaak bewaren, of de vermelding in ons portfolio — die zet u zelf uit onder “Menukaart” (artikel 21).

Bent u het oneens met hoe wij met uw gegevens omgaan, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens. Dat recht staat in artikel 77 van de verordening; het adres van de toezichthouder staat onderaan deze pagina. Wij horen het liever eerst zelf, maar u hoeft niet op ons te wachten.

Elke organisatie ziet uitsluitend haar eigen gegevens. Die scheiding wordt afgedwongen door de database zelf, per rij, en niet door het scherm dat u ziet — een scherm kan een fout maken, een regel in de database niet zomaar. Het verkeer tussen uw browser en ons is versleuteld. De foto’s van uw etiketten staan in een opslag die niet openbaar is: ook daar geldt de scheiding per organisatie, zodat een foto van uw zaak alleen voor uw eigen organisatie te benaderen is. Wij halen zo’n foto op onze eigen servers op, onder de aanmelding van de gebruiker die erom vraagt; er komt dus geen openbaar of te raden adres van die foto in een browser terecht. Het logo dat u voor uw eigen kaart uploadt, staat wel openbaar: uw gasten moeten het immers kunnen zien.

Gaat er ondanks dat iets mis, dan melden wij dat aan de Autoriteit Persoonsgegevens wanneer de verordening dat vraagt, en aan u wanneer het waarschijnlijk een hoog risico voor u oplevert.

Verandert de dienst, dan verandert deze verklaring mee. Bovenaan staat welke versie u leest en sinds wanneer die geldt. Bij een wijziging die voor u van belang is, laten wij het weten op het e-mailadres van uw account.