1. Verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke is HET KRUIDENNIERTJE, S.A., fiscaal identificatienummer A29757945, Avda. Carlota Alessandri 43, 29620 Torremolinos, Málaga, España. Costa Guest is de handels-/dienstnaam. Privacycontact: privacy@costaguest.com.
2. Gegevens die we kunnen verwerken
Afhankelijk van je gebruik kunnen we de volgende categorieën verwerken:
- Account- en authenticatiegegevens zoals naam, e-mailadres, account-ID's en technische sessie-/beveiligingsinformatie.
- Bedrijfs- of verhuurdersgegevens, claim/verificatie, listingwijzigingen, media en supportcommunicatie van bevoegde gebruikers.
- Gast-/verblijfscontext via een geautoriseerde verblijfsflow en Concierge-berichten die nodig zijn voor de gevraagde hulp.
- Opgeslagen plaatsen, reisplanningsinvoer en expliciet opgegeven voorkeuren. Precieze locatie wordt niet vereist tenzij een specifieke functie erom vraagt en jij die toestemming geeft.
- Facturerings- en abonnementsreferenties wanneer betaalde diensten worden geactiveerd. Betaalkaartgegevens worden door de betaalprovider verwerkt en horen niet door Costa Guest te worden opgeslagen.
- Technische beveiligings- en antimisbruikinformatie zoals beveiligingsevents, tijdstippen, requestmetadata en auditlogs waar nodig.
- Affiliate-/kliktoeschrijving met zo weinig mogelijk persoonsgegevens, bijvoorbeeld pseudonieme campagne- of klik-ID's.
- Zakelijke informatie van het bedrijf zelf of uit legitieme openbare/zakelijke bronnen voor de lokale gids of rechtmatig B2B-contact.
3. Doeleinden en rechtsgronden
We verwerken gegevens alleen voor omschreven doeleinden met een toepasselijke rechtsgrond.
- Accounts, Concierge, reisfuncties en bedrijfs-/verhuurdersdiensten: uitvoering van een overeenkomst of gevraagde precontractuele stappen.
- Beveiliging, misbruikpreventie, bescherming van gebruikers en auditbaarheid: ons gerechtvaardigd belang in een veilige en betrouwbare dienst, afgewogen tegen gebruikersrechten.
- Facturering, boekhouding, fiscale en wettelijke verplichtingen: wettelijke verplichting en uitvoering van de relevante overeenkomst.
- Optionele marketing/nieuwsbrieven indien ingevoerd: toestemming of een andere wettelijk toegestane grondslag, met eenvoudige afmelding.
- Niet-essentiële analytics/reclameopslag indien ingevoerd: voorafgaande toestemming waar vereist; dit zit niet in de huidige V1-code-inventaris.
4. Ontvangers en dienstverleners
Voor de dienst gebruiken we gespecialiseerde leveranciers. De huidige architectuur omvat Supabase voor backend/database/authenticatie, Vercel voor hosting/deployment, OpenAI voor begrensde AI-functies en Stripe voor betalingen wanneer de betreffende factureringsfunctie actief is. Nieuwe e-mail-, affiliate- of operationele providers moeten vóór activatie aan de productie-inventaris worden toegevoegd.
Externe boekings-, activiteiten- of vervoersproviders waarnaar je doorklikt verwerken jouw rechtstreeks aan hen verstrekte gegevens doorgaans onder hun eigen privacyvoorwaarden.
5. Internationale doorgiften
Sommige leveranciers kunnen gegevens buiten de EER verwerken. Waar dat gebeurt, gebruikt Costa Guest een geldige doorgiftegrond zoals een adequaatheidsbesluit of passende waarborgen en wordt het leveranciers-/doorgifteregister bijgehouden.
6. Bewaartermijnen
Persoonsgegevens worden niet langer bewaard dan nodig voor het doel, de actieve account-/dienstrelatie en daarna alleen zolang dat nodig is voor wettelijke verplichtingen, geschillen, misbruikpreventie of rechtsvorderingen. Tijdelijke technische en beveiligingsgegevens krijgen proportionele termijnen. Onnodige gegevens worden verwijderd of waar passend onomkeerbaar geanonimiseerd.
7. Jouw rechten
Je kunt inzage, rectificatie, verwijdering, beperking, overdraagbaarheid waar van toepassing of bezwaar vragen via privacy@costaguest.com. Toestemming kan altijd worden ingetrokken zonder de eerdere rechtmatige verwerking aan te tasten. We kunnen je identiteit moeten controleren.
Je kunt ook een klacht indienen bij de Spaanse gegevensbeschermingsautoriteit AEPD via aepd.es.
8. Geautomatiseerde aanbevelingen
Costa Guest kan geautomatiseerde logica gebruiken om reisinformatie en suggesties te ordenen. Dit is niet bedoeld voor besluiten met juridische of vergelijkbaar ingrijpende gevolgen voor personen. Commerciële relaties mogen veiligheidsregels of organische relevantie niet automatisch overrulen.
9. Kinderen
Publieke reisinformatie kan door gezinnen worden bekeken, maar Costa Guest is niet ontworpen om rechtstreeks accountgegevens van jonge kinderen te verzamelen. We vragen niet bewust om medische of bijzondere persoonsgegevens van kinderen. Waar ouderlijke/voogdijtoestemming wettelijk nodig is, mag de betreffende dienst niet zonder die toestemming worden gebruikt.
10. Wijzigingen
We kunnen dit beleid bijwerken wanneer dienst, leveranciers of wetgeving veranderen. Materiële wijzigingen krijgen een nieuwe datum en waar nodig een passende melding of nieuwe toestemming.
Nieuwsbrief en marketingcommunicatie
Als de Costa Guest-nieuwsbrief in V1 wordt geactiveerd, is inschrijving optioneel en staat die los van het maken van een account of het kopen van Costa Guest+. We gebruiken geen vooraf aangevinkte marketingbox en maken nieuwsbrieftoestemming geen voorwaarde voor een niet-gerelateerde dienst.
Bij een nieuwsbrief op basis van toestemming bewaren we het e-mailadres, de toestemmingsstatus, datum/tijd, bron/formulier en de versie van de toestemmingstekst zodat toestemming aantoonbaar is. Toestemming kan altijd worden ingetrokken via de afmeldmogelijkheid in iedere marketingmail of via privacy@costaguest.com. Intrekking tast eerdere rechtmatige verwerking niet aan.
Nieuwsbriefverzending wordt pas geactiveerd nadat de verwerkersvoorwaarden van de gekozen e-mailprovider, gegevenslocatie/doorgiften, bewaartermijnen, toestemming en afmeldafhandeling in de productiecontroles voor leveranciers/privacy zijn opgenomen en de nieuwsbrief-lanceringsgate is geslaagd.
E-mailprovider en internationale doorgiften
Costa Guest gebruikt Resend als e-mailinfrastructuurprovider voor goedgekeurde transactionele/inkomende e-mailfuncties en, alleen als de afzonderlijke nieuwsbriefgate later wordt geactiveerd, voor nieuwsbrieftransport. Toestemming voor nieuwsbriefmarketing blijft afzonderlijk, optioneel en standaard niet aangevinkt.
Volgens de huidige documentatie van Resend worden klantgegevens in de Verenigde Staten opgeslagen. Voor doorgiften van persoonsgegevens vanuit de EER stelt Resend dat de Data Processing Addendum gebruikmaakt van de standaardcontractbepalingen van de Europese Commissie en dat Resend deelneemt aan het EU-U.S. Data Privacy Framework. Costa Guest blijft het toepasselijke verwerkers-/doorgiftebewijs beoordelen en beschouwt de gekozen verzendregio eu-west-1 niet als EU-dataresidentie.
Resend vermeldt momenteel een bewaartermijn van 30 dagen voor e-mail-/loggegevens op de relevante standaardplannen, met afzonderlijke termijnen voor back-ups en beëindiging van accounts. Marketingcontacten hebben een eigen levenscyclus; Costa Guest past daarom afzonderlijke controles toe voor toestemming, afmelding en bewaring/verwijdering en neemt niet aan dat Contact-records automatisch de e-mail-/logtermijn volgen.
First-party verkeersmeting
Costa Guest meet geaggregeerd gebruik van openbare pagina's om bezoekersvolume, populairste pagina's, externe verwijzende domeinen, taal-/apparaatmix en globale land-/stadsignalen van het hostingplatform te begrijpen. Control Tower, dashboard, Business Portal, API- en redirectroutes worden uitgesloten.
De verkeerslaag bewaart geen ruwe IP-adressen, ruwe user-agentstrings, querystrings of volledige verwijzer-URL's. Er worden server-side HMAC-pseudoniemen gebruikt voor bezoekers-/sessietellingen, naast begrensde pagina-, taal-, apparaattype- en globale geografievelden. Browser Do Not Track (DNT=1) wordt gerespecteerd en bekende bots worden uitgesloten.
IP-afgeleide land-/stadsignalen zijn benaderingen en worden uitsluitend gebruikt voor geaggregeerde productanalyse, niet voor precieze locatie, advertenties of veiligheidsbeslissingen.
Costa Guest kan ook begrensde first-party conversiegebeurtenissen registreren, zoals het openen van een bedrijfsclaimpagina, het bereiken van geauthenticeerde claimtoegang, een verzendpoging en een door de server geverifieerde claim. Deze analyticsgebeurtenissen bewaren geen e-mail, telefoonnummer, naam van de claimant, ingetypte bedrijfsnaam, vrije tekst, authenticatie-user-ID of verificatiebewijs uit het claimformulier.
Costa Guest kan daarnaast begrensde publieke productacties meten, zoals het openen van een Place vanuit Discover, een Place aan een dagplan toevoegen, een Place succesvol opslaan of klikken op bellen, website, WhatsApp, boeken of concierge. Ruwe zoektekst en vrije filtertekst worden niet in deze analyticsdataset opgeslagen en deze signalen veranderen de publieke ranking niet zonder een afzonderlijk governancebesluit.
Voor continuïteit van routes en affiliate-links kan Costa Guest een opslagpoging, een door de server geverifieerde opgeslagen-tripreferentie en een server-side affiliate-redirectreferentie registreren. Deze gebeurtenissen bewaren geen tripnamen of notities, providerbestemmings-URL's, account-user-ID's of ruwe request-ID's. Een affiliate-redirectklik geldt niet als boeking, verkoop, commissie of omzet.