YourPoste — Privacybeleid

Laatst bijgewerkt: 29 september 2026 · Deze versie geldt vanaf: 29 september 2026 · Eerst gepubliceerd: 4 mei 2026

Privacybeleid, eenvoudig uitgelegd

We verzamelen alleen wat we nodig hebben om de dienst te laten draaien. We verkopen je gegevens niet. We gebruiken ze niet voor reclame van derden. Je kunt je gegevens op elk moment inzien, corrigeren of verwijderen. We voldoen aan Verordening (EU) 2016/679 (AVG), de Spaanse Organieke Wet 3/2018 (LOPDGDD) en de ePrivacyrichtlijn zoals uitgevoerd in Spanje.

1. Wie we zijn (verwerkingsverantwoordelijke)

• Verwerkingsverantwoordelijke: POSTRAVELER, S.L.
• NIF: B-26947879
• Adres: Calle Pintor Maella 11, 2º, puerta 8ª, 46023 Valencia, Spanje
• Contact: contact@yourposte.com (zet `[GDPR]` vooraan in het onderwerp voor verzoeken inzake gegevensbescherming)

Functionaris voor gegevensbescherming (FG): niet benoemd. We hebben de criteria van artikel 37 AVG en artikel 34 LOPDGDD beoordeeld en geconcludeerd dat formele benoeming op onze huidige schaal niet verplicht is. Als dit verandert, zullen we er één benoemen en de Agencia Española de Protección de Datos (AEPD) op de hoogte stellen.

2. Welke persoonsgegevens we verwerken

2.1 Gegevens die je verstrekt

• Account: volledige naam, e-mailadres, wachtwoord (gehasht met bcrypt / argon2)
• Profiel: voorkeurstaal, profielfoto (optioneel), biografie ("over"), telefoonnummer (optioneel), verwijzingscode
• Bestellingen: beschrijving van het voorwerp, ophaal- en leveringssteden, data, grootte en gewicht, voorgestelde beloning
• Reizen: steden van vertrek en bestemming, reisdata, capaciteit
• Aanbiedingen: voorgestelde beloning, bericht aan de afzender
• Chatberichten: tekstinhoud uitgewisseld met deelnemers aan een deal
• OTP-codes: eenmalige codes voor leveringsbevestiging
• Reviews: beoordelingen en geschreven reviews over andere gebruikers
• Supportcommunicatie: berichten en bijlagen verzonden aan support
• Identiteitsverificatie (optioneel): type en afbeelding van identiteitsdocument, selfie-afbeelding, status, reden van afwijzing — handmatig beoordeeld door onze beheerders

2.2 Gegevens die automatisch worden verzameld

• Apparaat en technisch: browser, besturingssysteem, schermformaat, app-versie
• Gebruik (eerstepartij-analytics): in-app gebeurtenissen (bijvoorbeeld whatsapp_share, whatsapp_contact, copy_share, facebook_share), tijdstempels
• Authenticatie: inlogtijdstempels, sessietokens
• Foutendiagnose: foutmeldingen, stack traces, URL, user-agent — beperkt en gededupliceerd, gebruikt om bugs te detecteren en te verhelpen
• IP-adres: opgeslagen in serverlogs; gebruikt voor veiligheid, fraudepreventie en grove geolocatie
• Pushmeldings-tokens: OneSignal external-id + apparaattokens wanneer je akkoord gaat met meldingen
• AI-chatassistent (alleen website, optioneel): als je een chat met onze assistent start — de berichten die je typt, de pagina waarop je bent, je taal en een willekeurige chatsessie-id
• Cookies en vergelijkbare technologieën: zie Sectie 11 en ons aparte Cookiebeleid

2.3 Gegevens van derden

• Google (OAuth, optioneel): naam, e-mail, Google-ID, avatar, als je ervoor kiest om met Google in te loggen
• App stores (Apple App Store, Google Play): app-installatiebewijzen en crashrapporten waar beschikbaar
• Andere gebruikers: beoordelingen en geschreven reviews over jou, meldingen over jouw gedrag, berichten aan jou gericht

2.4 Gegevens van niet-gebruikers uit openbare bronnen (B2B-benadering)

Om zakelijke partners te identificeren voor professionele benadering op de corridor Spanje ↔ Marokko (restaurants, reisagenten, vervoerders), kunnen we openbaar beschikbare zakelijke contactgegevens verwerken (generieke zakelijke e-mails zoals info@restaurant.com, gepubliceerde telefoonnummers, contactlinks van openbare pagina's). Deze verwerking:

• Is beperkt tot professionele contactgegevens die bedrijven zelf openbaar hebben gemaakt
• Wordt gebruikt voor eenmalige professionele introducties onder de B2B-uitzondering van artikel 21.2 van de LSSI-CE, met een opt-out in elk bericht
• Richt zich niet op individuele natuurlijke personen van wie de gegevens niet openbaar zijn gekoppeld aan een professionele rol
• Is onderworpen aan de rechten van betrokkenen uit Sectie 9; iedereen die aldus wordt benaderd kan ons vragen diens record te verwijderen door te antwoorden op de introductie-e-mail of te schrijven aan contact@yourposte.com

2.5 Gegevens die we niet verwerken

We verwerken geen bijzondere categorieën van persoonsgegevens onder artikel 9 AVG (gezondheid, religie, politieke opvattingen, biometrische gegevens ter unieke identificatie, enz.). Identiteitsverificatie wordt uitgevoerd door een menselijke beoordelaar en omvat geen geautomatiseerde gezichtsvergelijking.

3. Doeleinden en rechtsgronden

We verwerken persoonsgegevens voor de volgende doeleinden en rechtsgronden (artikel 6 AVG):

Intrekken van toestemming

Overal waar toestemming de grondslag is, kun je deze op elk moment intrekken:

• Marketing-e-mails: uitschakelen in Instellingen → E-mails → Marketing-e-mails, of klik op Uitschrijven in elke marketing-e-mail
• Cookies / trackers: klik op "Cookie-instellingen" in de voettekst om de banner opnieuw te openen
• Pushmeldingen: uitschakelen in Instellingen → Meldingen
• Optioneel telefoonnummer: verwijder het uit je profiel

Intrekking doet geen afbreuk aan de rechtmatigheid van de verwerking die vóór de intrekking heeft plaatsgevonden.

Geautomatiseerde besluitvorming

Wij nemen geen besluiten die rechtsgevolgen voor jou hebben of jou in aanzienlijke mate treffen, uitsluitend op basis van geautomatiseerde middelen (artikel 22 AVG). Matching op basis van nabijheid is een rankingshulp; jij behoudt de controle over elk aanbod, elke aanvaarding en elke voltooiing.

4. Ontvangers van je gegevens

4.1 Andere gebruikers van het Platform

• Afzenders zien de weergavenaam, profielfoto, beoordeling, reisroute en reisdata van de reiziger
• Reizigers zien de weergavenaam, profielfoto, beoordeling, bestelgegevens, ophaal- en leveringssteden van de afzender
• Binnen een deal wisselen beide partijen berichten uit via de Platformchat

We delen nooit je e-mail, IP-adres, inloggegevens of telefoonnummer met andere gebruikers, tenzij je er zelf voor kiest deze in de chat bekend te maken.

4.2 Dienstverleners (verwerkers of onafhankelijke verwerkingsverantwoordelijken)

Alle verwerkers zijn gebonden aan verwerkersovereenkomsten conform artikel 28 AVG. Je kunt een kopie van de toepasselijke SCC's opvragen via contact@yourposte.com.

4.3 Beheerders

Bevoegd YourPoste-personeel kan toegang hebben tot chat- en accountgegevens om veiligheidsincidenten te onderzoeken, geschillen op te lossen, fraude te voorkomen, op juridische verzoeken te reageren of onze Voorwaarden te handhaven. De toegang wordt gelogd en per rol beperkt.

4.4 Autoriteiten

We zullen gegevens verstrekken aan rechtbanken, politie, douane of belastingautoriteiten wanneer de wet dit vereist of om leven of veiligheid te beschermen. We stellen je daarvan op de hoogte, tenzij de wet dit verbiedt.

4.5 Wat we nooit doen

• Je persoonsgegevens verkopen
• Je gegevens delen met adverteerders buiten de trackers van derden waarvoor je toestemming hebt gegeven
• Je gegevens gebruiken om je te profileren voor advertentietargeting van derden buiten de toestemming die je in de cookiebanner geeft
• Je gegevens aan datahandelaren leveren

5. Internationale gegevensoverdrachten (artikelen 44–49 AVG)

Je gegevens worden voornamelijk opgeslagen in de EU (Frankfurt). Enkele van de bovenstaande verwerkers zijn gevestigd in de Verenigde Staten. Voor elke doorgifte vertrouwen we op:

• EU Standaardcontractbepalingen (Uitvoeringsbesluit 2021/914 van de Europese Commissie), en
• EU-US Data Privacy Framework waar de ontvanger daaronder gecertificeerd is

Het DPF is van kracht op het moment van schrijven. Als het door een rechterlijke uitspraak ongeldig zou worden verklaard, zouden we blijven vertrouwen op SCC's en aanvullende waarborgen toepassen. Je kunt details opvragen via contact@yourposte.com.

6. Bewaartermijnen

7. Beveiliging

Maatregelen omvatten:

• TLS 1.2+-versleuteling tijdens transport
• Versleuteling in rust (AES-256 via Supabase / AWS)
• Row-Level Security — elke databasequery is beperkt tot de rechten van de geauthenticeerde gebruiker
• Beveiligd sessiebeheer via Supabase Auth met korte sessies en rotatie van refresh-tokens
• Wachtwoorden gehasht met een modern algoritme (bcrypt / argon2); geen opslag in platte tekst
• Op rollen gebaseerde toegangscontrole voor personeel met toegangslogging
• Periodieke beveiligingsreview tegen de OWASP Top 10
• Geautomatiseerde verwijdering van off-platform contactgegevens in pushmelding-voorvertoningen voor pre-deal chat — telefoonnummers, e-mails en verwijzingen naar WhatsApp, Instagram, Telegram worden weggelakt voordat de push wordt verzonden, een privacy-by-design-maatregel onder artikel 25 AVG
• Geen opslag van gevoelige gebruikersgegevens in browser-local-/session-storage buiten sessietokens
• Gedocumenteerd incidentresponsplan

Geen enkel systeem is volledig veilig. Als je een beveiligingsprobleem vermoedt, mail contact@yourposte.com met `[Security]` in het onderwerp.

8. Inbreuken op persoonsgegevens (artikelen 33–34 AVG)

Als er een inbreuk optreedt, zullen we:

• Het risico voor rechten en vrijheden beoordelen binnen 24 uur na detectie
• De AEPD binnen 72 uur op de hoogte stellen waar de inbreuk waarschijnlijk een risico oplevert
• Getroffen gebruikers zonder onredelijke vertraging informeren waar de inbreuk waarschijnlijk een hoog risico oplevert, met een beschrijving in duidelijke taal, de waarschijnlijke gevolgen, mitigerende stappen en ons contactpunt

9. Jouw rechten

Je hebt het recht op:

• Inzage in een kopie van je persoonsgegevens (art. 15)
• Rectificatie van onjuiste of onvolledige gegevens (art. 16)
• Gegevenswissing ("recht om vergeten te worden"), met inachtneming van onze wettelijke verplichtingen (art. 17)
• Beperking van de verwerking (art. 18)
• Gegevensoverdraagbaarheid in een gestructureerd, gangbaar, machineleesbaar formaat (art. 20)
• Bezwaar tegen verwerking op basis van gerechtvaardigd belang (art. 21)
• Intrekking van toestemming op elk moment, wanneer de verwerking op toestemming is gebaseerd (art. 7(3))
• Niet onderworpen zijn aan uitsluitend geautomatiseerde besluitvorming met rechtsgevolgen of vergelijkbaar aanzienlijke effecten (art. 22). Wij passen dit niet toe.
• Post-mortemrechten: onder artikel 3 LOPDGDD kunnen personen verbonden aan een overleden gebruiker rechten namens hem uitoefenen, tenzij de overledene dit verbood.

Hoe je je rechten uitoefent

• Mail contact@yourposte.com met `[GDPR]` in het onderwerp, vanaf het adres dat gekoppeld is aan je account; of
• Gebruik de in-app-instellingen waar beschikbaar (bijvoorbeeld account verwijderen, marketing-e-mails aan-/uitzetten, cookie-voorkeuren beheren)

We kunnen een redelijke identiteitsverificatie vragen als we twijfelen aan je identiteit. Het uitoefenen van je rechten is kosteloos, tenzij verzoeken kennelijk ongegrond of buitensporig zijn.

We reageren binnen een maand. Voor complexe of talrijke verzoeken kunnen we dit met nog eens twee maanden verlengen, waarbij we je in de eerste maand op de hoogte stellen.

Klachten

Als je niet tevreden bent met onze reactie, kun je een klacht indienen bij:

• De Agencia Española de Protección de Datos (AEPD) — <https://www.aepd.es> — C/ Jorge Juan 6, 28001 Madrid
• De toezichthoudende autoriteit van je EU-/EER-land van woonplaats

10. Account-verwijdering

Je kunt je account op elk moment verwijderen via Instellingen of door te mailen naar contact@yourposte.com.

Bij verwijdering:

• Je profiel, bestellingen, reizen, aanbiedingen en pushtokens worden uit de live database verwijderd
• Chatberichten worden binnen 30 dagen verwijderd, behalve waar bewaren vereist is voor een geschil of wettelijke verplichting
• Reviews blijven als "Voormalige gebruiker" staan om de integriteit van beoordelingen te behouden
• Dealgegevens worden tot 5 jaar bewaard voor juridische/fiscale doeleinden
• Back-ups worden binnen 30 dagen overschreven
• Identiteitsverificatiebestanden worden verwijderd of vernietigd overeenkomstig Sectie 6

11. Cookies en vergelijkbare technologieën

We gebruiken cookies, lokale opslag en vergelijkbare technologieën in drie categorieën:

1. Strikt noodzakelijk (geen toestemming vereist): Supabase-authenticatiesessie, taalvoorkeur, CSRF-token, en het `yp_consent_v1`-record van je cookiekeuze zelf

2. Analytics en prestaties (toestemming vereist): eerstepartij-gebruiksanalytics geschreven naar onze eigen database

3. Marketing (toestemming vereist): Facebook Pixel

Webpushmeldingen (OneSignal) vallen niet onder de cookiebanner: het script laadt met de pagina, maar je browser wordt pas voor push geregistreerd — en aan je account gekoppeld — nadat je meldingen toestaat in de permissievraag van de browser. Zie het Cookiebeleid, sectie 4.3.

De AI-chatassistent op de website (Awareto) valt onder de categorie Analyse: hij wordt nooit geladen als je Analyse-cookies hebt geweigerd, en ook nadat je ze hebt geaccepteerd laadt hij pas wanneer je op de chatknop tikt. Hij is nooit beschikbaar als je bent ingelogd, en ook niet in de iOS- / Android-apps. Zie het Cookiebeleid, sectie 4.2.

Er verschijnt een cookiebanner bij het eerste bezoek met even prominente knoppen Accepteren / Weigeren / Aanpassen, volgens de AEPD-richtlijn 2024 over cookies. Niets uit de categorieën Analytics of Marketing wordt geladen voordat je een keuze maakt. Je kunt je keuze op elk moment wijzigen via de link "Cookie-instellingen" in de voettekst.

Volledige details in ons aparte Cookiebeleid.

12. Marketing-e-mails

Met je aanmelding stem je in met het ontvangen van service-gerelateerde e-mails (welkom, onboarding, af en toe productnieuws). Je kunt je op elk moment op drie manieren afmelden:

• Schakelaar Instellingen → E-mails → Marketing-e-mails
• Eén-klik-uitschrijflink in de voettekst van elke marketing-e-mail (RFC 8058), ook zichtbaar als de native "Uitschrijven"-knop in Gmail, Apple Mail en Outlook
• Antwoord op een marketing-e-mail met "unsubscribe" of schrijf naar contact@yourposte.com

Uitschrijving wordt uiterlijk binnen 24 uur verwerkt. Deal-gerelateerde meldingen (aanbiedingen, berichten, OTP, ophaalherinneringen) zijn transactioneel en worden niet beïnvloed door marketing-uitschrijving.

13. Identiteitsverificatie

Het Platform biedt een optionele identiteitsverificatie waarbij je een identiteitsdocument en een selfie kunt uploaden. De beoordeling gebeurt handmatig door onze beheerders. We gebruiken geen geautomatiseerde biometrische vergelijking, wat betekent dat de gegevens niet worden verwerkt als bijzondere categorie biometrische gegevens onder artikel 9 AVG.

Bewaartermijn: zie Sectie 6. Je kunt op elk moment verwijdering vragen op grond van je recht uit artikel 17, onder voorbehoud van lopende juridische verdedigingsbelangen.

14. Kinderen

YourPoste is niet bedoeld voor gebruik door personen jonger dan 18 jaar. We vertrouwen op accountverklaringen bij aanmelding. Onder Spaans recht (artikel 7 LOPDGDD) is de digitale leeftijd van toestemming 14, maar de contractuele drempel voor YourPoste is 18 jaar. Als je denkt dat een minderjarige het Platform gebruikt, mail contact@yourposte.com en we zullen onderzoek doen en de gegevens verwijderen.

15. Wijzigingen in dit beleid

Wezenlijke wijzigingen worden ten minste 30 dagen van tevoren meegedeeld per e-mail of in-app-melding. De regel "Laatst bijgewerkt" bovenaan deze pagina toont de meest recente herziening. Historische versies zijn op verzoek beschikbaar.

16. Contact

• Gegevensbescherming: contact@yourposte.com (vermeld `[GDPR]` in het onderwerp)
• Algemene ondersteuning: contact@yourposte.com
• Beveiligingsmeldingen: contact@yourposte.com (vermeld `[Security]` in het onderwerp)

POSTRAVELER, S.L.

NIF: B-26947879

Calle Pintor Maella 11, 2º, puerta 8ª

46023 Valencia, Spanje

17. Gegevens van de uitbetalingsmethode

Als je uitbetalingen ontvangt als reiziger, kun je je gewenste uitbetalingsmethode op je profiel opslaan. We verzamelen alleen de minimale gegevens die nodig zijn om de betaling te versturen.

17.1 Wat we opslaan

• Keuze van uitbetalingsmethode: bankoverschrijving of PayPal.
• Naam van de rekeninghouder: de juridische naam op de ontvangende rekening.
• Voor bankoverschrijvingen: IBAN en (optioneel) BIC / SWIFT.
• Voor PayPal: het PayPal-e-mailadres.
• Land (ISO-2) van de ontvangende rekening.
• Het tijdstempel waarop de uitbetalingsmethode voor het laatst is ingesteld.

17.2 Waar het wordt opgeslagen en wie het kan lezen

Deze gegevens worden opgeslagen in onze beheerde database (Supabase) en zijn versleuteld in rust. Het volledige record is alleen leesbaar door jou (de accounthouder) en door YourPoste-beheerders die handelen in hun operationele rol om de uitbetalingsfunctionaliteit te beheren en geschillen op te lossen. Andere gebruikers zien nooit je volledige IBAN of PayPal-e-mail — interne beheerderweergaven tonen gemaskeerde waarden (bijv. `ES...1234`).

17.3 Rechtsgrond

Uitvoering van een overeenkomst (art. 6(1)(b) AVG) — om je verschuldigde uitbetalingen volgens onze Voorwaarden te versturen — en ons gerechtvaardigd belang om nauwkeurige registers bij te houden voor boekhouding en geschillenbeslechting.

17.4 Bewaartermijn

We bewaren de gegevens van je uitbetalingsmethode zolang je account actief is. Je kunt ze op elk moment bijwerken op de pagina Mijn verdiensten. Als je je methode of je account verwijdert, verwijderen we het actieve record maar kunnen we een geschiedenis van eerdere uitbetalingen (transactiereferentie, bedrag, datum) bewaren voor de wettelijk vereiste boekhoudperiode (tot 6 jaar onder Spaans recht).

17.5 Je rechten

De standaard AVG-rechten beschreven in sectie 9 zijn van toepassing — waaronder inzage, rectificatie, wissing en gegevensoverdraagbaarheid. Mail ons op contact@yourposte.com om ze uit te oefenen.

*YourPoste — Jouw gegevens, jouw rechten, onze verantwoordelijkheid.*