Privacybeleid

SpotShelf B.V. (KvK: 92907040, BTW: NL004986424B83), gevestigd in Nederland, is de verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens zoals beschreven in dit beleid.

Contact: privacy@spotshelf.com

Bij registratie: naam, e-mailadres, rol (huurder of winkeleigenaar), versleuteld wachtwoord.

Bij gebruik: winkelgegevens, spot- en boekingsdata, Stripe-account (betalingen worden verwerkt door Stripe — wij slaan geen betaalkaartgegevens op), berichten, reviews.

Voor DAC7-rapportage: naam, adres en fiscaal identificatienummer (BSN/BTW-nummer) van verhuurders, alsmede de hoogte van de ontvangen huurinkomsten per periode. Dit is een wettelijke verplichting op grond van EU-richtlijn 2021/514 (DAC7) — zie artikel 5 hieronder.

Automatisch: IP-adres, browserinformatie (sessielogs), geanonimiseerd gebruiksgedrag voor platformverbetering.

• • Uitvoering van de dienst: boekingen, betalingen en communicatie faciliteren.
• • Identiteitsverificatie en fraudepreventie.
• • Klantenservice en geschillenbeslechting.
• • Wettelijke verplichtingen: belastingaangifte, DAC7-rapportage aan de Belastingdienst.
• • Platformverbetering via geanonimiseerde statistieken.
• • Marketingcommunicatie, uitsluitend met jouw uitdrukkelijke toestemming (opt-in).

• Uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG): voor het leveren van onze platformdienst.
• Wettelijke verplichting (art. 6 lid 1 sub c AVG): voor financiële administratie, BTW-aangifte en DAC7-rapportage.
• Gerechtvaardigd belang (art. 6 lid 1 sub f AVG): voor beveiliging, fraudepreventie en platformverbetering.
• Toestemming (art. 6 lid 1 sub a AVG): voor marketingcommunicatie per e-mail. Je kunt toestemming altijd intrekken.

De rapportage omvat: naam, adres, geboortedatum (of rechtspersoonsnummer), fiscaal identificatienummer, IBAN en het totale bedrag aan ontvangen huurinkomsten per kalenderjaar. De Belastingdienst deelt deze informatie vervolgens automatisch met belastingdiensten in andere EU-lidstaten waar de verhuurder fiscaal woonachtig is.

Bron: Belastingdienst — DAC7 voor platforms

• Accountgegevens: zolang het account actief is; bij verwijdering anonimiseren we je persoonsgegevens direct. Geanonimiseerde financiële gegevens blijven 7 jaar bewaard (fiscale bewaarplicht).
• Betalings- en boekingshistorie: 7 jaar (wettelijke bewaarplicht, art. 52 AWR).
• DAC7-rapportagedata: minimaal 5 jaar na het rapportagejaar (wettelijke verplichting).
• Berichten: 2 jaar na het einde van de betreffende boeking.
• Sessielogs: maximaal 90 dagen, daarna geanonimiseerd.

• Stripe Payments Europe, Ltd.: voor betalingsverwerking. Stripe heeft een eigen privacybeleid en is PCI DSS Level 1 gecertificeerd.
• Supabase, Inc.: voor databasehosting op EU-servers (Frankfurt). Verwerkersovereenkomst van toepassing.
• Resend, Inc.: voor transactionele e-mails (boekingsbevestigingen, KvK-uitnodigingen, facturen). Geen marketing-e-mails. Verwerkersovereenkomst van toepassing.
• PostHog, Inc. (EU-hosted): voor productanalyses, op EU-servers (Frankfurt). Wordt alleen geactiveerd na expliciete toestemming via de cookie-banner. Geen advertentie-tracking.
• Andere gebruikers: naam en boekingsinformatie zijn zichtbaar voor de andere partij bij een boeking.
• Belastingdienst (NL) & andere EU-belastingdiensten: jaarlijkse DAC7-rapportage voor verhuurders (wettelijke verplichting).
• Overheidsinstanties: indien wettelijk verplicht of bij een gerechtelijk bevel.

Wij verkopen nooit persoonsgegevens aan derden.

Op grond van de AVG heb je de volgende rechten. Stuur je verzoek naar privacy@spotshelf.com. We reageren binnen 30 dagen. privacy@spotshelf.com.

• Inzage (art. 15): opvragen welke gegevens we van je verwerken.
• Correctie (art. 16): onjuiste of onvolledige gegevens laten corrigeren.
• Verwijdering (art. 17): je account en gegevens laten wissen, tenzij een wettelijke bewaarplicht van toepassing is.
• Beperking (art. 18): verwerking laten beperken in bepaalde situaties.
• Dataportabiliteit (art. 20): je gegevens in een machineleesbaar formaat ontvangen.
• Bezwaar (art. 21): bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
• Intrekking toestemming: toestemming voor marketingcommunicatie op elk moment intrekken.

Je hebt ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens. Autoriteit Persoonsgegevens.

• • Versleutelde verbindingen (HTTPS/TLS) voor alle datatransmissie.
• • Versleutelde wachtwoordopslag via Supabase Auth (bcrypt).
• • Row-Level Security op databaseniveau: gebruikers zien alleen hun eigen data.
• • Beperkte toegang tot productiegegevens voor medewerkers (need-to-know).
• • Regelmatige security reviews en penetratietests.
• • Datalekken worden binnen 72 uur gemeld bij de Autoriteit Persoonsgegevens conform art. 33 AVG.

We gebruiken uitsluitend functionele cookies die noodzakelijk zijn voor het functioneren van het platform (sessiecookies voor authenticatie, voorkeursinstellingen). Er worden geen tracking- of marketingcookies geplaatst zonder jouw uitdrukkelijke toestemming.

Voor analytische doeleinden gebruiken we geanonimiseerde statistieken die geen herleidbare persoonsgegevens bevatten.

We kunnen dit privacybeleid van tijd tot tijd aanpassen. Geregistreerde gebruikers ontvangen een e-mailnotificatie bij wezenlijke wijzigingen. De meest recente versie is altijd beschikbaar op deze pagina.

Voor vragen over privacy of het uitoefenen van je rechten: privacy@spotshelf.com. privacy@spotshelf.com.

Klacht indienen bij de toezichthouder: autoriteitpersoonsgegevens.nl autoriteitpersoonsgegevens.nl