Privacybeleid

1. Verwerkingsverantwoordelijke

De verantwoordelijke voor de verwerking van de persoonsgegevens die op goodly.be worden verzameld, is:

• Goodly
• Verantwoordelijke: Ermal Ibraj
• Vestiging: België
• E-mail: contact@goodly.be

Gelet op de aard en de omvang van de uitgevoerde verwerkingen is de aanstelling van een functionaris voor gegevensbescherming (DPO) niet vereist. Voor elke vraag over uw gegevens kunt u ons op elk moment schrijven op contact@goodly.be.

Rollen: verantwoordelijke of verwerker naargelang de gegevens

• Gegevens van handelaars en van websitebezoekers: Goodly treedt op als verwerkingsverantwoordelijke.
• Gegevens van eindklanten (de consumenten die een klantenkaart gebruiken): de handelaar is verwerkingsverantwoordelijke; Goodly treedt op als verwerker in de zin van artikel 28 AVG, op instructie van de handelaar. De verwerkersverbintenissen van Goodly staan in artikel 13 van de algemene voorwaarden. Om uw rechten uit te oefenen op de gegevens van uw klantenkaart kunt u zich richten tot de betrokken handelaar of tot Goodly (artikel 9).
• Gegevens van het personeel van handelaars (werknemers die de kassatoegang gebruiken): de handelaar is verwerkingsverantwoordelijke; Goodly treedt op als verwerker, op instructie van de handelaar.

2. Verzamelde gegevens

a) Handelaars (gebruikers van het platform)

• Identiteit, e-mailadres en telefoonnummer
• Naam en adres van de zaak, type activiteit
• Facturatiegegevens (verwerkt door Stripe; Goodly bewaart geen bankkaartgegevens)
• Aanmeldgegevens (datum, IP-adres, toestel)
• Voorkeuren (taal, personalisatie van de kaarten, instellingen van het programma)

b) Eindklanten van de handelaars

• Voornaam en naam (verplicht)
• E-mailadres (verplicht)
• Telefoonnummer (facultatief; dient om de verkopen van de gekoppelde kassa te koppelen)
• Pincode van de klantenkaart
• Taal
• Geschiedenis van bezoeken, stempels, punten en beloningen
• Klantnummer van de gekoppelde kassa (Lightspeed of Shopify), enkel als de handelaar de koppeling heeft geactiveerd
• Verwijzingscode
• Communicatievoorkeuren (aanbiedingen per e-mail of melding)
• Op de pagina om de kaart toe te voegen: land, type toestel en browser (bezoekersmeting, zonder bewaring van het IP-adres)

Geolocatie: Goodly verzamelt de locatie van eindklanten niet. Voor nabijheidsmeldingen worden de coördinaten van de zaak in de Wallet-kaart opgenomen; de nabijheidsdetectie gebeurt lokaal op het toestel (Apple/Google), zonder dat de locatie van de gebruiker aan Goodly wordt doorgegeven.

Het getrouwheidsprogramma is voorbehouden aan personen van 13 jaar en ouder. Een specifieke informatienota voor eindklanten is beschikbaar op de pagina getrouwheidsprogramma.

c) Personeel van de handelaars (werknemers die de kassatoegang gebruiken)

• Toegangscode
• Uitgevoerde handelingen (aanmelding, raadpleging van een klantenfiche, stempel, korting, annulering, weigering)
• Tijdstip, IP-adres en toestel
• Benaderende gps-locatie, enkel als de handelaar de nabijheidscontrole heeft geactiveerd

Voor deze gegevens is de handelaar verwerkingsverantwoordelijke en treedt Goodly op als verwerker. De handelaar informeert zijn personeel over het bestaan van dit activiteitenlogboek (doel, geregistreerde gegevens, bewaartermijn van 90 dagen).

Bezoekers van de website goodly.be

• Bezochte pagina's, herkomst, land, type toestel en browser, zichtbare paginatijd, mijlpalen van videoweergave en formulierstappen zonder ingevulde waarden — interne bezoekersmeting zonder identificatie op uw toestel en zonder bewaring van het IP-adres (zie het cookiebeleid)
• Taalvoorkeur

Optionele OpenAI Ads-meting

Met uw toestemming gebruikt Goodly de OpenAI Ads-pixel om bezoeken te meten die aan zijn advertenties worden toegeschreven. De pixel werkt uitsluitend op de openbare marketingpagina’s in alle zes talen. Hij is afwezig op het dashboard, de aanmeld-, registratie- en accountinstellingspagina’s en de pagina’s voor eindklanten (loyaliteitskaarten, passen en cadeaukaarten).

De enige door Goodly ingestelde gebeurtenis is page_viewed (bekeken pagina). OpenAI ontvangt de pagina-URL en verwijzende pagina (oorsprong en pad, zonder queryparameters of fragmenten), browser- en verbindingsinformatie, waaronder het IP-adres, en pseudonieme browser- en advertentieklikidentificatoren. Deze gegevens zijn niet anoniem.

Goodly geeft zelf geen contactgegevens expliciet aan de pixel door. Wel is automatische geavanceerde matching ingeschakeld in de OpenAI-configuratie: na uw toestemming kan de SDK ondersteunde formuliervelden herkennen en e-mailadressen, telefoonnummers, voornamen en achternamen in uw browser hashen voordat ze voor advertentiematching naar OpenAI worden verzonden. Ondersteunde velden voor land, stad, regio en postcode kunnen ook zonder hashing worden verzonden. Hashing maakt deze gegevens niet anoniem.

3. Doeleinden van de verwerking

• Levering en beheer van de dienst voor digitale klantenkaarten (kaarten, stempels, punten, beloningen, verwijzingen)
• Beheer van de handelaarsaccounts, de facturatie en de ondersteuning
• Versturen van Wallet-meldingen over de werking van de kaart (stempel, beloning, bijwerking)
• Versturen van meldingen op basis van locatie (indien door de handelaar geactiveerd)
• Versturen van aanbiedingen aan eindklanten per e-mail of melding, ook via geautomatiseerde campagnes, uitsluitend met hun toestemming
• Koppeling van de verkopen van de gekoppelde kassa (Lightspeed, Shopify) indien de handelaar die heeft geactiveerd
• Activiteitenlogboek van de kassatoegang (beveiliging en traceerbaarheid van de verrichtingen)
• Werking van de AI-assistent en generatie van campagneteksten
• Versturen van transactionele e-mails aan handelaars (beveiliging, facturatie, verificatiecodes)
• Versturen van e-mails met tips en aanbiedingen van Goodly aan handelaars (met uitschrijflink)
• Bezoekersmeting en verbetering van de dienst
• Optionele meting van bezoeken die aan Goodly-advertenties worden toegeschreven met OpenAI Ads, met uw toestemming
• Fraudepreventie en beveiliging van het platform

Meldingen en e-mails

• Eindklanten — dienstmeldingen: meldingen over de werking van de kaart (stempel ontvangen, beloning beschikbaar, bijwerking van de kaart) worden verstuurd in het kader van de uitvoering van de dienst.
• Eindklanten — aanbiedingen: aanbiedingen per e-mail of melding worden enkel verstuurd met toestemming van de klant (aankruisvakje bij de inschrijving), die op elk moment kan worden ingetrokken bij de handelaar of bij Goodly.
• Handelaars — transactionele e-mails: e-mails over beveiliging, facturatie en verificatiecodes worden verstuurd in het kader van de overeenkomst.
• Handelaars — tips en aanbiedingen van Goodly: deze e-mails bevatten een uitschrijflink.

4. Rechtsgrond van de verwerking

• Uitvoering van de overeenkomst (art. 6.1.b AVG): verwerking van de gegevens van handelaars die nodig is voor de dienstverlening (inschrijving, accountbeheer, facturatie, ondersteuning, transactionele e-mails); dienstmeldingen over de werking van de kaart.
• Gerechtvaardigd belang (art. 6.1.f AVG): interne bezoekersmeting zonder identificatie op het toestel, technische en beveiligingslogs, fraudepreventie, e-mails met tips aan handelaars-klanten (bezwaar op elk moment mogelijk).
• Toestemming (art. 6.1.a AVG): aanbiedingen aan eindklanten per e-mail of melding, marketing-e-mails, activering van meldingen op basis van locatie; optionele OpenAI Ads-meting en automatische geavanceerde matching.
• Gegevens van eindklanten en van het personeel: Goodly handelt op instructie van de handelaar, die als verwerkingsverantwoordelijke de toepasselijke rechtsgrond bepaalt.
• Wettelijke verplichting (art. 6.1.c AVG): bewaring van facturatiegegevens overeenkomstig de Belgische boekhoudkundige en fiscale verplichtingen.

5. Ontvangers en verwerkers

De gegevens kunnen worden gedeeld met de volgende verwerkers, strikt in het kader van de dienstverlening:

De gegevens van uw klanten worden enkel aan Lightspeed of Shopify doorgegeven als u zelf de koppeling met uw kassa activeert. De SumUp-integratie is aangekondigd maar niet actief: er worden op dit moment geen gegevens aan SumUp doorgegeven en deze lijst wordt bijgewerkt vóór elke activering.

Goodly verkoopt of verhuurt uw persoonsgegevens niet. Met uw toestemming worden de hierboven beschreven advertentiemeetgegevens aan OpenAI doorgegeven. Het gebruik ervan staat beschreven in het privacybeleid van OpenAI.

6. Doorgiften buiten de Europese Unie

Bepaalde verwerkers zijn gevestigd buiten de Europese Unie (Verenigde Staten, Canada). Die doorgiften zijn omkaderd door:

• Het EU-VS Data Privacy Framework, voor de verwerkers die daarvoor gecertificeerd zijn (Vercel, Stripe, Apple, Google)
• De modelcontractbepalingen (SCC) aangenomen door de Europese Commissie (Resend, Anthropic, Supabase)
• Het adequaatheidsbesluit van de Europese Commissie voor Canada (Lightspeed)

Goodly ziet erop toe dat elke verwerker passende waarborgen biedt overeenkomstig de artikelen 44 tot 49 AVG.

Gegevens die naar de OpenAI-pixel worden verzonden, kunnen buiten de Europese Unie worden verwerkt, onder meer in de Verenigde Staten. Het privacybeleid van OpenAI beschrijft de verwerking en de bescherming bij internationale doorgiften.

7. Bewaartermijn

• Handelaarsaccounts: bewaard zolang het Account bestaat. De handelaar kan zijn Account op elk moment verwijderen vanuit zijn instellingen; Goodly voert geen automatische verwijdering wegens inactiviteit uit. Facturatiegegevens worden 10 jaar bewaard overeenkomstig de Belgische boekhoudkundige en fiscale verplichtingen.
• Gegevens van eindklanten: bewaard zolang de kaart van de klant bestaat; verwijderd op verzoek van de handelaar (tools in het dashboard) of van de klant (artikel 9), of samen met het account van de handelaar.
• Activiteitenlogboek van het personeel: 90 dagen.
• Verkoopgebeurtenissen doorgegeven door de gekoppelde kassa: 24 maanden.
• Verificatiecodes: 24 uur.
• Technische en beveiligingslogs: 12 maanden.
• Interne bezoekersmeting: 12 maanden, zonder IP-adres.
• OpenAI Ads-meting: uw Goodly-keuze is 30 dagen geldig; de looptijden van cookies en opslag staan in het cookiebeleid. Deze bepalen niet hoelang OpenAI reeds ontvangen gegevens bewaart; dat staat beschreven in zijn privacybeleid.

8. Rechten van de betrokkenen

Overeenkomstig de AVG (artikelen 15 tot 22) beschikt u over de volgende rechten:

• Recht op inzage: bevestiging krijgen dat gegevens over u worden verwerkt en er een kopie van ontvangen
• Recht op rectificatie: onjuiste of onvolledige gegevens laten corrigeren
• Recht op wissing: de verwijdering van uw gegevens vragen, onder voorbehoud van wettelijke bewaarplichten
• Recht op overdraagbaarheid: uw gegevens ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat
• Recht van bezwaar: bezwaar maken tegen de verwerking van uw gegevens die op het gerechtvaardigd belang berust
• Recht op beperking: in bepaalde gevallen de beperking van de verwerking vragen
• Recht om uw toestemming in te trekken: op elk moment, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking vóór de intrekking

9. Uitoefening van de rechten

Om uw rechten uit te oefenen, stuurt u een e-mail naar contact@goodly.be met vermelding van uw identiteit en de aard van uw verzoek. Goodly verbindt zich ertoe binnen 30 dagen te antwoorden.

Meent u dat uw rechten niet worden nageleefd, dan kunt u een klacht indienen bij de Belgische Gegevensbeschermingsautoriteit (GBA):

• Gegevensbeschermingsautoriteit
• Drukpersstraat 35, 1000 Brussel
• www.gegevensbeschermingsautoriteit.be
• E-mail: contact@apd-gba.be

10. Cookies

De website gebruikt functionele cookies voor aanmelding en uw voorkeuren, interne bezoekersmeting zonder cookies en, uitsluitend met uw toestemming, de OpenAI Ads-pixel op marketingpagina’s. De banner biedt even duidelijk zichtbare opties om de meting toe te staan of te weigeren. Via de knop “Cookievoorkeuren” op de openbare website kunt u uw keuze wijzigen of uw toestemming op elk moment intrekken.

Meer details vindt u in ons cookiebeleid.

11. Beveiliging

Goodly neemt technische en organisatorische maatregelen om uw gegevens te beschermen:

• Versleutelde verbindingen via HTTPS/TLS
• Versleuteling van gevoelige gegevens in rust
• Row Level Security (RLS) om de gegevens per handelaar af te schermen
• Beperkte toegang tot productiegegevens
• Gehashte wachtwoorden (nooit in leesbare vorm bewaard)
• Betalingen verwerkt door Stripe (PCI DSS-gecertificeerd), zonder opslag van bankgegevens op onze servers

12. Artificiële intelligentie

De assistent die op de website en in het dashboard beschikbaar is, is een geautomatiseerde gespreksagent (artificiële intelligentie) op basis van de Claude API van Anthropic PBC. De gesprekken met de assistent en de elementen die nodig zijn om campagneteksten te genereren, worden aan Anthropic doorgegeven om de antwoorden te produceren; zij worden verwerkt overeenkomstig de contractuele verbintenissen van Anthropic en worden niet gebruikt om modellen te trainen.

Op verzoek van een bevoegde beheerder verwerkt Anthropic daarnaast uitsluitend functionele indicatoren van het bezoekersverloop (aantal pagina’s, zichtbare paginatijd, formulier- en accountstappen, foutcategorieën en videomijlpalen) om technische aandachtspunten voor onderzoek te prioriteren. Voor deze analyse worden geen bezoekersidentificatie, URL, e-mailadres of ingevulde inhoud doorgegeven. De voorgestelde aandachtspunten zijn geen vastgestelde oorzaken van een onderbroken bezoekersverloop.

Overeenkomstig artikel 50 van de Europese verordening inzake artificiële intelligentie (AI Act) worden interacties met een AI-systeem duidelijk als zodanig aangegeven in de interface (« AI »-assistent). De antwoorden en suggesties van de assistent zijn beslissingsondersteuning: zij hebben geen contractuele waarde, binden Goodly niet en leiden niet tot geautomatiseerde besluitvorming met rechtsgevolgen voor personen. Enkel deze documenten en de uitwisselingen met het Goodly-team zijn bindend.

13. Wijziging van het beleid

Goodly behoudt zich het recht voor dit privacybeleid op elk moment te wijzigen. Substantiële wijzigingen worden per e-mail meegedeeld. De datum van de laatste bijwerking staat bovenaan deze pagina.

14. Contact

Voor elke vraag over de bescherming van uw persoonsgegevens: contact@goodly.be