Privacybeleid

1. Wie is verantwoordelijk voor de verwerking?

Voor gegevens die Assista verwerkt **over haar eigen klanten** (organisatiegegevens, factuurgegevens, gebruikersaccounts van VZW-medewerkers die inloggen) is Assista de **verwerkingsverantwoordelijke**.

Voor persoonsgegevens die een VZW **via het Platform invoert** over haar eigen leden, vrijwilligers, bestuurders en begunstigden (bv. giftenontvangers), is **de VZW zelf de verwerkingsverantwoordelijke**, en treedt Assista op als **verwerker** conform art. 28 AVG. Zie de Verwerkersovereenkomst voor de details van die verhouding.

**Contactgegevens Assista:**

• [TE VERVOLLEDIGEN]
• [TE VERVOLLEDIGEN]
• [TE VERVOLLEDIGEN]
• E-mail: [TE VERVOLLEDIGEN]
• [Functionaris voor gegevensbescherming (DPO), indien aangesteld — anders vermelden dat er geen DPO-verplichting is gezien de aard/omvang van de organisatie, met opgave van een algemeen contactpunt]

2. Welke persoonsgegevens verwerken wij?

2.1. Gegevens van de Klant (VZW) en haar gebruikers

2.2. Gegevens die de VZW zelf invoert (Assista als verwerker)

2.3. Technische gegevens

• Identificatiegegevens: naam, functie, e-mailadres, telefoonnummer van gebruikers met een account
• Organisatiegegevens: VZW-naam, KBO-nummer, RPR-gegevens, adres, bankrekeningnummers
• Authenticatiegegevens: gehashte wachtwoorden, MFA-gegevens (TOTP-secret versleuteld, of e-mail OTP-logs), sessiegegevens
• Facturatiegegevens: via Stripe (Assista bewaart zelf geen volledige betaalkaartgegevens)
• Ledengegevens: naam, adres, geboortedatum, nationaliteit, e-mail, toetredingsdatum, functie
• Vrijwilligersgegevens: vergoedingsgegevens, activiteitsgegevens
• Bestuurders-/UBO-gegevens: naam, functie, mandaatdata, en waar wettelijk vereist, rijksregisternummer (enkel tijdens UBO-export, niet permanent opgeslagen)
• Financiële gegevens: facturen, banktransacties, bewijsstukken, tegenpartijen
• Giftgegevens: naam en adres van schenkers (voor fiscale attesten)
• IP-adres, apparaat-/browserinformatie (voor beveiliging, sessiebeheer, en soft IP/UA-binding bij MFA-vertrouwde toestellen)
• Logbestanden en auditlog (acties binnen het Platform)
• Cookies (zie punt 9)

3. Waarvoor gebruiken wij deze gegevens, en op welke rechtsgrond?

| Doel | Rechtsgrond (art. 6 AVG) |

|---|---|

| Uitvoering van de abonnementsovereenkomst (toegang tot het Platform) | Uitvoering overeenkomst (art. 6.1.b) |

| Facturatie en boekhouding van Assista zelf | Wettelijke verplichting (art. 6.1.c) |

| Klantenondersteuning en communicatie over de Dienst | Uitvoering overeenkomst / gerechtvaardigd belang (art. 6.1.b/f) |

| Beveiliging (MFA, sessiebeheer, fraudepreventie) | Gerechtvaardigd belang (art. 6.1.f) |

| Verwerking van gegevens die de VZW invoert (leden, transacties, enz.) | In opdracht van de VZW als verwerkingsverantwoordelijke — zie Verwerkersovereenkomst |

| Verzending van deadline-herinneringen en compliance-meldingen | Uitvoering overeenkomst |

| Analytische/technische logging voor platformverbetering | Gerechtvaardigd belang |

4. Hoe lang bewaren wij gegevens?

| Categorie | Bewaartermijn | Grondslag |

|---|---|---|

| Boekingen (facturen, transacties) en bewijsstukken | 10 jaar | Fiscale/boekhoudkundige bewaarplicht |

| Geüploade documenten (algemeen) | Keuze bij upload: 7, 10 of 15 jaar | Naargelang de aard van het document |

| Klantaccountgegevens na beëindiging abonnement | [TE VERVOLLEDIGEN] gevolgd door verwijdering, behoudens wettelijke bewaarplicht | Contractuele beëindiging + wettelijke uitzonderingen |

| Auditlog | [TE VERVOLLEDIGEN] | Gerechtvaardigd belang beveiliging |

| Sessie-/MFA-gegevens (trust-cookies) | Maximaal 7 dagen (na recente verbetering; voorheen 30 dagen) | Beveiliging, proportionaliteit |

Na afloop van de toepasselijke bewaartermijn worden gegevens verwijderd of onomkeerbaar geanonimiseerd, behoudens wanneer langere bewaring wettelijk vereist is.

5. Met wie delen wij gegevens? (Sub-verwerkers)

Assista maakt gebruik van de volgende categorieën derde-partijdienstverleners, die optreden als sub-verwerker:

| Dienst | Functie | Locatie (indicatief — te bevestigen) |

|---|---|---|

| Supabase | Authenticatie en database-hosting | EU (te bevestigen per regio-instelling) |

| Vercel | Applicatiehosting | EU/VS (te bevestigen — indien VS: Data Privacy Framework of SCC's vereist) |

| [TE VERVOLLEDIGEN] | Opslag van documenten/bewijsstukken | [TE VERVOLLEDIGEN] |

| Stripe | Betalingsverwerking | EU/VS (Stripe hanteert eigen AVG-conforme garanties, SCC's) |

| Resend (of SMTP-provider) | Verzending van e-mails | [TE VERVOLLEDIGEN] |

| Railway | Hosting/productieomgeving | [TE VERVOLLEDIGEN] |

**Belangrijk te vervolledigen vóór publicatie:** voor elke sub-verwerker buiten de EER moet een passende garantie (adequaatheidsbesluit, EU-VS Data Privacy Framework, of Standaardcontractuele Clausules) bevestigd en gedocumenteerd worden.

Wij verkopen geen persoonsgegevens aan derden en gebruiken ze niet voor advertentiedoeleinden.

6. Internationale doorgifte

Voor zover gegevens worden doorgegeven aan verwerkers gevestigd buiten de Europese Economische Ruimte, gebeurt dit uitsluitend op basis van een passend beschermingsniveau (adequaatheidsbesluit van de Europese Commissie, Standaardcontractuele Clausules, of een gelijkwaardig kader zoals het EU-VS Data Privacy Framework). [TE VERVOLLEDIGEN]

7. Uw rechten

Als betrokkene heeft u het recht om:

**Belangrijk onderscheid:** indien uw gegevens door een VZW werden ingevoerd in het Platform (bv. als lid of vrijwilliger), dient u zich voor de uitoefening van deze rechten in eerste instantie te richten tot **die VZW** (de verwerkingsverantwoordelijke), niet tot Assista. Assista zal de VZW hierin ondersteunen conform de Verwerkersovereenkomst.

Voor gegevens waarvoor Assista zelf verwerkingsverantwoordelijke is (uw eigen gebruikersaccount, factuurgegevens), kan u zich rechtstreeks richten tot: [TE VERVOLLEDIGEN]

U heeft steeds het recht een klacht in te dienen bij de **Gegevensbeschermingsautoriteit** (GBA), Drukpersstraat 35, 1000 Brussel — www.gegevensbeschermingsautoriteit.be.

• **Inzage** te vragen in de persoonsgegevens die wij over u verwerken;
• **Rectificatie** te vragen van onjuiste gegevens;
• **Verwijdering** te vragen ("recht om vergeten te worden"), voor zover geen wettelijke bewaarplicht dit verhindert;
• **Beperking** van de verwerking te vragen;
• **Bezwaar** aan te tekenen tegen verwerking op basis van gerechtvaardigd belang;
• **Overdraagbaarheid** van uw gegevens te vragen (dataportabiliteit);
• Uw **toestemming in te trekken**, indien de verwerking op toestemming is gebaseerd.

8. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om uw gegevens te beschermen, waaronder: versleuteling van gevoelige gegevens, multi-factor-authenticatie (MFA), rolgebaseerde toegangscontrole, sessiebeveiliging (idle timeout, single-device-sessies, IP/UA-binding op vertrouwde toestellen), en regelmatige beveiligingsaudits.

9. Cookies

Het Platform gebruikt:

[Cookiebanner-tekst en gedetailleerde cookie-tabel toe te voegen indien niet-functionele cookies gebruikt worden.]

• **Functionele/noodzakelijke cookies**: sessiebeheer, authenticatie, taalvoorkeur (geen toestemming vereist onder de e-Privacyrichtlijn/cookiewetgeving)
• [TE VERVOLLEDIGEN]

10. Wijzigingen aan dit Privacybeleid

Wij kunnen dit Privacybeleid van tijd tot tijd bijwerken. Wezenlijke wijzigingen worden gemeld via e-mail of een melding in het Platform.

*Contact: [TE VERVOLLEDIGEN] — Klachten: Gegevensbeschermingsautoriteit (GBA)*