Privacyverklaring

1. Twee rollen, en ze door elkaar halen is de klassieke fout

Er zijn twee soorten gegevens in dit verhaal, en er horen twee verschillende antwoorden bij.

De gegevens van de klanten van een kapsalon — hun naam, hun afspraken, hun kleurformules, hun bonnen — zijn van het salon. Het salon bepaalt waarom ze bewaard worden en wat ermee gebeurt. Het salon is dus de verwerkingsverantwoordelijke en wij zijn de verwerker: wij bewaren en verwerken die gegevens in opdracht van het salon, en doen er niets mee wat het salon niet vraagt.

De gegevens van het salon zelf, als klant van ons — de bedrijfsnaam, het btw-nummer, het adres, het e-mailadres van de zaakvoerder, de facturen — zijn een andere zaak. Daar zijn wíj de verwerkingsverantwoordelijke.

Ben je klant van een kapsalon en wil je weten wat er met jouw gegevens gebeurt, of wil je ze laten aanpassen of verwijderen? Ga naar je salon. Wij mogen daar niet zelf over beslissen. Dat is geen ontwijking, dat is precies wat die rolverdeling betekent.

2. Deze site

hairconnect.be is een stapel vooraf gebouwde HTML-bestanden. Er gaat geen framework naar je browser; het enige script op de pagina is een handvol regels dat de vraag over meten toont en verder niets doet.

Zolang je die vraag niet met ja beantwoordt, vertrekt er geen enkel verzoek naar Google en staat er geen enkele cookie van deze site op je toestel. Weiger je, dan wordt dat onthouden en krijg je de vraag niet bij elk bezoek opnieuw. Onderaan elke pagina staat een knop om je keuze te wijzigen.

Zeg je ja, dan laadt Google Analytics 4 en zet Google twee cookies: “_ga” en “_ga_6RC567LGTL”. Wij zetten hun bewaartermijn op dertien maanden; GA4 zou er standaard twee jaar van maken.

Wat er dan verstuurd wordt: welke pagina je bekijkt — het adres zonder de parameters die erachter kunnen staan — en of je hier eerder geweest bent. Google leidt uit je ip-adres af uit welk land en welke streek je komt. Voor bezoekers uit de Europese Unie slaat Google dat ip-adres niet op: het wordt gebruikt om die plaatsbepaling af te leiden en daarna weggegooid. Dat is geen instelling die wij aanzetten maar hoe Google Analytics 4 voor Europees verkeer werkt.

Je keuze zelf bewaren we niet in een cookie maar in de opslag van je browser (localStorage, onder de sleutel “hc-meting”). Die waarde verlaat je toestel nooit: hij wordt bij geen enkel verzoek meegestuurd. Wis je de opslag van je browser, dan krijg je de vraag opnieuw.

Verder staat er geen Facebook-pixel op, geen advertentiescript en geen dienst die fouten verzamelt. Het lettertype en de foto’s staan op onze eigen server.

De webserver houdt wel de gewone technische logs bij die elke webserver bijhoudt.

Mail of bel je ons, dan bewaren we wat je stuurt zolang je vraag loopt en zolang er reden is om erop terug te komen.

3. De apps op je telefoon en tablet

Er zijn twee apps. HairConnect is de agenda voor het personeel van een salon; HairConnect Platform is ons eigen beheerscherm en staat niet in de winkels voor gewoon gebruik.

Geen van beide draagt een advertentienetwerk, een meetscript of een dienst die fouten verzamelt. Er zit geen bibliotheek in die je gedrag doorgeeft aan een derde partij. Wat de app naar buiten stuurt, gaat naar onze eigen server en nergens anders heen.

De app bewaart wél iets op je toestel, en met opzet: de agenda van de dagen die je bekeken hebt, plus de wijzigingen die je maakte terwijl het netwerk weg was. Dat staat in een bestand binnen de app zelf, zodat je de dag van vandaag nog ziet als de wifi in de zaak uitvalt. Verwijder je de app, dan gaat dat bestand mee.

Zet je meldingen aan, dan geeft Apple of Google je toestel een sleutel en bewaren wij die sleutel om er een melding naartoe te kunnen sturen. Die sleutel zegt niets over wie je bent; hij wijst een toestel aan. Hij verdwijnt zodra je account weg is of je de meldingen uitzet.

De camera komt alleen in beeld op het moment dat je een streepjescode scant bij het inboeken van een levering. Er wordt geen foto bewaard en er gaat geen beeld naar onze server — wat vertrekt is het cijfer dat op de verpakking staat.

Wil je een app-account laten verwijderen, dan staat op de pagina “Je gegevens laten verwijderen” hoe dat gaat; ze staat onderaan deze pagina bij de andere juridische teksten.

4. De Chrome-uitbreiding voor Optios

Wie van Optios overstapt, kan een uitbreiding voor Chrome installeren die HairConnect op de achtergrond bijwerkt met wat er in Optios gebeurt. Ze is er alleen voor die overgangsperiode Ze leest bij Optios en levert af bij HairConnect, en in Optios zet ze alleen wat je in HairConnect zelf aanzette.

Ze leest het aanmeldbewijs van Optios uit de cookie van je browser en stuurt dat mee naar Optios zelf — waar het vandaan komt en waar het thuishoort. Dat bewijs gaat nergens anders heen. Onze server ziet het nooit; dat is geen belofte maar een eigenschap van de opzet, en ze wordt door een test afgedwongen.

Wat wél naar hairconnect.be gaat, zijn de gegevens van je salon zoals Optios ze teruggeeft: afspraken, klanten, diensten. Precies dezelfde gegevens als bij een gewone overstap, en ze komen in jouw salon terecht en nergens anders. Welke gegevens en hoe ver terug, beslist HairConnect per ronde; de uitbreiding zelf kent geen enkel adres van Optios.

Op je computer bewaart ze één ding: de apparaatsleutel waarmee deze installatie zich bij HairConnect meldt. Die sleutel wijst een computer aan, niet een persoon. Verwijder je de uitbreiding of koppel je de computer los in HairConnect, dan is hij waardeloos.

Ze opent geen tabbladen, kijkt in geen enkel tabblad en verandert geen enkele pagina. Er zit geen meetscript in en niets dat je gedrag doorgeeft aan een derde partij. Bij Optios wijzigt ze alleen wat je in HairConnect uitdrukkelijk aanzette: opgekuiste klantfiches, verkoopprijzen, en de afspraken die in HairConnect geboekt, verplaatst of geannuleerd worden. Ze verwijdert er niets, en ze start uit zichzelf geen volledige overstap — dat blijft een knop die een mens indrukt.

Vanaf versie 1.3.0 houdt ze een verbinding open met hairconnect.be, zodat een afspraak binnen enkele seconden in Optios staat. Over die verbinding komt alleen een seintje dat er iets naar Optios moet, zonder klant of uur erin; de gegevens zelf gaan langs dezelfde weg als hierboven.

Verwijderen doe je zoals elke uitbreiding, via chrome://extensions. Daarmee is ook de apparaatsleutel weg.

5. De boekingspagina en het klantenportaal zetten wél cookies

Dat is een ander stuk software dan deze site. Boekt iemand online bij een salon of meldt hij zich aan in het klantenportaal, dan komen er drie cookies van ons aan te pas. Ze zijn er alle drie omdat de pagina zonder hen niet werkt; er wordt niets mee gemeten en er gaat niets van naar een derde partij.

Op de publieke boekingspagina staat daarnaast dezelfde vraag over meten als op deze site. Zeg je daar ja, dan komen er twee cookies van Google bij. Het klantenportaal wordt niet gemeten: ben je aangemeld, dan staat er geen meetscript op de pagina en wordt de vraag ook niet gesteld.

• De eerste drie zijn van ons en zijn httpOnly: geen enkel script op de pagina kan ze uitlezen.
• De twee van Google worden pas gezet nadat je op de boekingspagina ja gezegd hebt. Zeg je nee, dan staan ze er niet, en dat blijft zo bij een volgend bezoek.
• Wij zetten hun bewaartermijn op dertien maanden; GA4 zou er standaard twee jaar van maken.
• Je keuze zelf staat niet in een cookie maar in de opslag van je browser (localStorage, onder de sleutel “hc-meting”), en wordt bij geen enkel verzoek meegestuurd.
• Wij zetten geen enkele cookie meer dan die drie. Geen advertentiecookie, geen voorkeurscookie, geen tweede meetdienst.

6. Wat het pakket bewaart

Hieronder staat per soort gegeven wat er in HairConnect terechtkomt. Dit is de lijst voor de rol waarin wij verwerker zijn: het gaat om gegevens van de klanten en de medewerkers van een salon.

7. Wat er niet in staat

Het is even nuttig om te zeggen wat er níét bewaard wordt. Er is geen veld voor, en er is dus ook niets wat per ongeluk ingevuld kan raken.

• Geen rijksregisternummer, geen identiteitskaartnummer en geen rekeningnummer van een klant.
• Geen gezondheidsgegeven als apart veld. Schrijft een salon zoiets in een vrije notitie, dan staat het in die notitie — dat is de keuze van het salon, niet van het pakket.
• Geen kaartgegevens. Bij een betaling gaan die van de kaart naar de terminal naar de betaaldienst; ze komen niet in HairConnect terecht.
• Geen loon en geen rekeningnummer van een medewerker.

8. Er vertrekt geen reclame

HairConnect verstuurt vier soorten mail naar de klanten van een salon: een bevestiging, een herinnering, een bericht dat een afspraak verzet is, en een bericht na een no-show. Daarnaast bestaat de aanmeldcode voor het klantenportaal.

Meer is er niet. Er is geen campagnemodule, er is geen nieuwsbrief, en er wordt geen sms verstuurd — ook niet wanneer in de klantfiche staat dat sms mag.

Zet een klant “mag e-mail” uit, dan vertrekken die vier soorten niet meer. De aanmeldcode voor het portaal vertrekt wél: dat is geen bericht van het salon maar de sleutel waarmee de klant zichzelf binnenlaat.

9. Wie er nog aan komt

Zo weinig mogelijk, en alleen wat er echt in zit. Wat hieronder “alleen als het salon het aanzet” draagt, doet niets zolang die koppeling uit staat: de sleutels zijn van het salon, en zonder sleutels vertrekt er niets.

• Google Analytics staat alleen op deze site en op de publieke boekingspagina, en op allebei alleen na toestemming. Niet in het klantenportaal, niet in de backoffice van een salon en niet in het platformpaneel.
• Het land en de stad die in het inlogboek naast een ip-adres staan, worden op onze eigen server afgeleid uit een databestand dat daar staat. Er gaat geen enkel ip-adres naar een opzoekdienst of een andere partij.
• En wat er verder niet in zit: geen Facebook-pixel, geen advertentienetwerk, geen dienst die fouten verzamelt, geen sms-dienst, geen CDN en geen opslag bij een clouddienst.

10. Waar de gegevens staan

Op één server die wij zelf beheren. De databank, de bestanden die een salon uploadt en de logs staan op diezelfde machine; er is geen opslagdienst van een derde partij aangesloten.

11. Wat er buiten de Europese Unie terechtkomt

Eén partij verwerkt gegevens buiten de Europese Unie, en alleen wanneer je daar zelf ja op gezegd hebt: Google, voor de bezoekersmeting. Zeg je nee, dan gaat er niets naar Google en dus ook niets naar de Verenigde Staten.

Voor bezoekers uit de Europese Unie verzamelt Google Analytics via servers in de Europese Unie. De verdere verwerking kan bij Google in de Verenigde Staten gebeuren. Voor bezoekers uit de EU is Google Ireland Limited de partij waarmee gewerkt wordt; de verwerking in de Verenigde Staten gebeurt door Google LLC.

De grondslag voor die doorgifte is het EU-US Data Privacy Framework, waaronder Google LLC gecertificeerd is. De actuele stand van die certificering staat op de pagina van Google zelf over gegevensoverdracht: policies.google.com/privacy/frameworks. We schrijven hier geen certificeringsnummer en geen datum bij — die veroudert, en dan zou deze tekst iets beweren wat niet meer klopt.

Standaardbepalingen hebben wij zelf niet met Google gesloten. De voorwaarden van Google gelden, en dat is wat het is: bij een dienst van deze omvang wordt er niet onderhandeld.

Dat kader is niet onbetwist en kan wegvallen. Gebeurt dat, dan moet deze meting opnieuw beoordeeld worden. Dat schrijven we hier op in plaats van het glad te strijken: het is precies het soort ding dat je een jaar later wil kunnen terugvinden.

12. Hoe lang het bewaard blijft

Twee dingen liggen wettelijk vast, twee zijn een keuze, en de rest bepaalt het salon zelf. Hieronder staat welke welke is.

• Het logboek en het inlogboek worden elke nacht opgeruimd. De rest niet: er is geen taak die stilzwijgend klantgegevens verwijdert, en dat is opzet.

13. Wat een klant van een salon kan vragen

De AVG geeft iedereen het recht om te weten welke gegevens er over hem bewaard worden, om ze te laten verbeteren en om te vragen ze te verwijderen. Dat recht oefen je uit bij je salon, want dat salon is de verantwoordelijke.

Het klantenportaal heeft daarvoor twee knoppen. Met de eerste download je in één bestand alles wat het salon over jou heeft: je fiche, je afspraken, je kleurformules met de originele notitie erbij, je afgesloten bonnen, je cadeaubonsaldo en de mails die naar je verstuurd zijn.

De tweede knop noteert een verwijderverzoek. Daarmee wordt niet automatisch iets gewist, en dat is bewust: kassabonnen en facturen moeten zeven jaar bewaard blijven, en een knop die alles meteen weggooit zou het salon in overtreding brengen met een andere wet. Je salon beslist wat er wél weg kan.

Wat niet in de download zit, zijn de interne notities die het salon over een klant schrijft. Die zijn van het salon en niet door de klant aangeleverd; wie ze wil inzien, vraagt dat aan het salon zelf.

Vind je dat er niet goed met je gegevens omgesprongen wordt, dan kun je klacht indienen bij de gegevensbeschermingsautoriteit van je land.

14. Hoe het beveiligd is

Geen keurmerken, wel maatregelen die je in het pakket kunt terugvinden.

• Elk salon staat in zijn eigen afgeschermde ruimte. Een vraag aan de databank zonder salon erbij geeft nul rijen terug en niet “alles”. Dat is de standaardinstelling, geen filter dat iemand kan vergeten.
• Het klantenportaal heeft geen wachtwoord. Je vraagt een code aan die vijftien minuten geldig is, en die code staat alleen als hashwaarde in de databank.
• Het aanmeldbewijs van het portaal staat in een httpOnly-cookie: geen script op de pagina kan eraan.
• Naar buiten toe draagt niets een oplopend databanknummer. Elk adres en elk antwoord van de API gebruikt een uuid, zodat je niet bij het volgende record komt door er één bij op te tellen.
• Het kassajournaal is een ketting: elke bon draagt de vingerafdruk van de vorige. Eén bon achteraf wijzigen breekt die ketting, en er is een controle die dat nakijkt.
• Het logboek kan niet gewijzigd worden. Dat wordt niet alleen door de code afgedwongen maar door de databank zelf.

15. Als deze tekst verandert

Verandert er iets aan wat het pakket doet, dan verandert deze tekst mee. De datum bovenaan zegt wanneer dat het laatst gebeurd is.

Deze verklaring is geschreven door na te gaan wat de software werkelijk doet: welke velden er in de databank staan, welke berichten er vertrekken, en naar welke partijen er verbinding gemaakt wordt. Vind je hier iets wat je in het pakket niet terugziet, laat het ons weten — dan klopt er één van de twee niet, en dat willen we weten.