Privacybeleid

Het Lustra-platform ("Lustra", "wij", "ons") wordt geëxploiteerd door:

Lustra Platform E-mail: [email protected]

Als exploitant van dit platform treedt Lustra Platform op als verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (EU) 2016/679 ("AVG") en de Belgische wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens.

Lustra onderscheidt twee soorten mensen die interactie hebben met het Platform:

(A) KLANTEN — personen die het Platform bezoeken om lokale diensten te zoeken en te boeken. Klanten maken geen account aan. Ze verstrekken alleen de minimale informatie die nodig is om een boeking te voltooien (naam, adres, e-mailadres).

(B) DIENSTVERLENERS (BEDRIJVEN) — zelfstandige professionals of bedrijven die een account op het Platform registreren om lokale diensten aan te bieden. Dienstverleners worden onderworpen aan identiteits- en fiscale verificatie en zijn onderworpen aan aanvullende gegevensverwerkingsverplichtingen, waaronder DAC7-rapportage.

Dit Privacybeleid behandelt beide groepen afzonderlijk waar hun situaties verschillen.

Door het Platform op welke manier dan ook te gebruiken, erkent u dat u dit Privacybeleid heeft gelezen en begrepen.

3.1 GEGEVENS VAN KLANTEN (geen account vereist)

Klanten maken geen account aan. We verzamelen alleen wat strikt noodzakelijk is om een boeking te faciliteren:

Volledige naam Doel: Gedeeld met de Dienstverlener voor de uitvoering van de dienst Rechtsgrondslag: Overeenkomst (Art. 6(1)(b))

Serviceadres Doel: Gedeeld met de Dienstverlener om naar de boekingslocatie te gaan Rechtsgrondslag: Overeenkomst (Art. 6(1)(b))

E-mailadres Doel: Boekingsbevestiging, annuleringslink en service-updates verzenden Rechtsgrondslag: Overeenkomst (Art. 6(1)(b))

Boekingsgegevens (datum, tijdstip, dienst, prijs) Doel: Transactieverslag voor beide partijen Rechtsgrondslag: Overeenkomst / Gerechtvaardigd belang

IP-adres / cookies Doel: Platformbeveiliging, basisanalyses (zie afdeling 9) Rechtsgrondslag: Gerechtvaardigd belang / Toestemming

We verzamelen geen betalingsgegevens van Klanten. Betaling wordt volledig verwerkt door Stripe (zie afdeling 7).

We bouwen geen profiel op van Klanten. We bewaren persoonlijke gegevens van Klanten niet langer dan nodig om de boeking te voltooien en onze wettelijke verplichtingen na te komen (zie afdeling 5).

3.2 GEGEVENS VAN DIENSTVERLENERS (geregistreerde accounts)

Dienstverleners maken een account aan en zijn onderworpen aan uitgebreidere gegevensverzameling, deels vanwege wettelijke verplichtingen (DAC7, BTW) en deels vanwege de doorlopende aard van de zakelijke relatie.

Volledige naam / handelsnaam Doel: Accountidentiteit, openbaar profiel Rechtsgrondslag: Overeenkomst (Art. 6(1)(b))

E-mailadres Doel: Accountbeheer, communicaties Rechtsgrondslag: Overeenkomst (Art. 6(1)(b))

Telefoonnummer Doel: Boekingscoördinatie Rechtsgrondslag: Overeenkomst (Art. 6(1)(b))

Bedrijfsadres Doel: Openbaar profiel, BCE-verificatie Rechtsgrondslag: Overeenkomst / Wettelijke verplichting

Fiscaal identificatienummer (TIN) Doel: DAC7-rapportage aan FOD Financiën Rechtsgrondslag: Wettelijke verplichting (Art. 6(1)(c))

BTW-nummer (indien van toepassing) Doel: BTW-naleving, facturering Rechtsgrondslag: Wettelijke verplichting (Art. 6(1)(c))

BCE/KBO-nummer Doel: Identiteitsverificatie Rechtsgrondslag: Wettelijke verplichting (Art. 6(1)(c))

Servicebeschrijvingen, prijzen, beschikbaarheid Doel: Openbare vermelding op Platform Rechtsgrondslag: Overeenkomst (Art. 6(1)(b))

Boekingsgeschiedenis Doel: Transactieverslagen, geschillenbeslechting Rechtsgrondslag: Overeenkomst / Wettelijke verplichting

Ontvangen beoordelingen Doel: Kwaliteitssysteem van het Platform Rechtsgrondslag: Gerechtvaardigd belang

IP-adres / apparaatgegevens Doel: Beveiliging, fraudepreventie Rechtsgrondslag: Gerechtvaardigd belang

Bankgegevens Doel: Bewaard door Stripe Connect (niet opgeslagen door Lustra) Rechtsgrondslag: Overeenkomst (Art. 6(1)(b))

Identiteitsdocumenten Doel: Bewaard door Stripe Connect (niet opgeslagen door Lustra) Rechtsgrondslag: Wettelijke verplichting (Art. 6(1)(c))

3.3 GEGEVENS VAN TOEKOMSTIGE PARTNERS (WACHTLIJST)

When you apply to join Lustra as a Service Provider through our waitlist, we collect data to evaluate your application:

Volledige naam / Bedrijfsnaam Doel: Identiteit van de aanvraag Rechtsgrondslag: Gerechtvaardigd belang / Precontractuele maatregelen

E-mailadres / Telefoonnummer Doel: Contact met u opnemen over de status van uw aanvraag Rechtsgrondslag: Gerechtvaardigd belang / Precontractuele maatregelen

Stad Doel: Beoordelen van de dekking van het servicegebied Rechtsgrondslag: Gerechtvaardigd belang

Verzekeringsstatus & Optioneel bericht Doel: Beoordelen van uw geschiktheid voor het platform Rechtsgrondslag: Gerechtvaardigd belang

3.4 GEGEVENS DIE WE NIET VERZAMELEN

We verzamelen niet: - Betaalkaartgegevens (volledig verwerkt door Stripe) - Officiële identiteitsdocumenten (volledig verwerkt door Stripe) - Gevoelige persoonsgegevens (gezondheid, religie, etniciteit, etc.) - Gegevens van personen jonger dan 18 jaar

4.1 KLANTGEGEVENS

Naam en serviceadres Bewaartermijn: Verwijderd binnen 30 dagen na voltooiing van de dienst, of eerder zodra gedeeld met de Dienstverlener en de boeking is afgesloten

E-mailadres Bewaartermijn: Verwijderd binnen 30 dagen na voltooiing van de dienst

Boekingsreferentie (geanonimiseerd) Bewaartermijn: 7 jaar bewaard in geanonimiseerde vorm voor boekhoudkundige en juridische doeleinden (Belgisch recht)

IP-adres / sessiegegevens Bewaartermijn: Maximaal 13 maanden (standaard analytische bewaartermijn)

We bewaren persoonlijke gegevens van Klanten niet langer dan nodig. Zodra een boeking is voltooid en de 30-dagenvenster is verstreken, worden uw naam, adres en e-mail verwijderd. We bewaren alleen een geanonimiseerd verslag van de transactie (datum, type dienst, bedrag) voor boekhoudkundige doeleinden.

4.2 GEGEVENS VAN DIENSTVERLENERS

Accountgegevens Bewaartermijn: Duur van het account + 3 jaar na sluiting

Boekings- en transactieverslagen Bewaartermijn: 7 jaar (Belgische boekhoudwet)

DAC7 fiscale rapportagegegevens Bewaartermijn: Minimaal 5 jaar (zoals vereist door de Belgische DAC7-omzettingswet)

TIN en fiscale identificatiegegevens Bewaartermijn: 5 jaar vanaf het rapportagejaar

Marketingtoestemmingsregistraties Bewaartermijn: Tot intrekking van toestemming + 1 jaar

Wanneer gegevens niet langer nodig zijn, worden ze veilig verwijderd of geanonimiseerd.

5.1 TUSSEN KLANTEN EN DIENSTVERLENERS

Wanneer een Klant een boeking bevestigt, worden de volgende gegevens gedeeld met de betreffende Dienstverlener: - Volledige naam van de Klant - Serviceadres - Boekingsgegevens (datum, tijdstip, type dienst)

Dit delen is strikt noodzakelijk voor de uitvoering van de dienst en vormt de kernfunctie van het Platform. Dienstverleners mogen deze gegevens niet gebruiken voor andere doeleinden dan het uitvoeren van de geboekte dienst en moeten ze verwerken in overeenstemming met de toepasselijke wetgeving inzake gegevensbescherming.

5.2 STRIPE (BETALINGSVERWERKER)

Alle betalingen worden verwerkt door Stripe, Inc. / Stripe Payments Europe Ltd. Stripe ontvangt betalings- en boekingsgegevens die nodig zijn voor de verwerking van de vooruitbetaling en het beheer van gedeeltelijke terugbetalingen (bijv. bij late annulering). Stripe treedt op als onafhankelijke verwerkingsverantwoordelijke voor de gegevens die hij verzamelt. Zie afdeling 7 voor meer details.

5.3 BELGISCHE BELASTINGAUTORITEITEN (DAC7)

Zoals vereist door EU-richtlijn 2021/514 (DAC7), omgezet in Belgisch recht door de wet van 21 december 2022, Lustra is wettelijk verplicht bepaalde gegevens over Dienstverleners jaarlijks te rapporteren aan de Belgische Federale Overheidsdienst Financiën (FOD Financiën). Dit is alleen van toepassing op Dienstverleners, niet op Klanten.

Dienstverleners worden vóór 10 januari van elk jaar geïnformeerd over de specifieke gegevens die worden gerapporteerd, vóór de indiening.

5.4 HOSTING EN INFRASTRUCTUURPROVIDERS

- Vercel: webhosting en infrastructuur - Resend: transactionele e-mails (boekingsbevestigingen, annuleringslinks) - Cloudflare: beveiliging, content delivery network (CDN) en botbescherming (Turnstile) - Cloudinary: beeldhosting en optimalisatie (profiel- en portfoliomateriaal van bedrijven)

Deze providers treden op als gegevensverwerkers op basis van schriftelijke overeenkomsten en mogen gegevens alleen verwerken op onze instructies.

5.5 ANALYSEPROVIDERS

- Google (Analytics / Tag Manager): inzicht in platformgebruik, verkeer en gebruikersgedrag.

5.6 JURIDISCHE AUTORITEITEN

We kunnen gegevens bekendmaken aan wetshandhavings- of gerechtelijke autoriteiten wanneer Belgisch of EU-recht dit vereist.

5.7 GEEN GEGEVENSVERKOOP

We verkopen persoonlijke gegevens onder geen enkele omstandigheid aan een derde partij.

5.8 INTERNATIONALE OVERDRACHTEN

Stripe verwerkt sommige gegevens in de Verenigde Staten op basis van door de Europese Commissie goedgekeurde standaardcontractbepalingen, die een gelijkwaardige bescherming bieden als het EU-recht. Alle andere verwerking vindt plaats binnen de EER.

Wanneer klantgegevens (naam, adres) worden gedeeld met een Dienstverlener om een boeking uit te voeren, wordt de Dienstverlener een onafhankelijke verwerkingsverantwoordelijke voor die gegevens. Dienstverleners:

- Mogen klantgegevens alleen gebruiken om de geboekte dienst uit te voeren - Mogen klantgegevens niet langer bewaren dan nodig - Mogen klantgegevens niet delen met derden - Moeten klantgegevens verwerken in overeenstemming met de AVG

Lustra is niet verantwoordelijk voor de manier waarop Dienstverleners persoonsgegevens verwerken zodra deze zijn gedeeld voor het uitvoeren van een boeking. Klanten die bezorgd zijn over de manier waarop een Dienstverlener hun gegevens heeft verwerkt, kunnen contact met ons opnemen via en wij zullen helpen waar mogelijk.

Alle betalingen op het Platform worden verwerkt door Stripe via Stripe Connect.

Voor Klanten: wanneer u betaalt voor een boeking, worden uw betalingsgegevens rechtstreeks ingevoerd in de beveiligde betalingsinterface van Stripe. Lustra ziet, ontvangt of bewaart nooit uw kaartgegevens.

Voor Dienstverleners: uw bankgegevens en identiteitsdocumenten verstrekt tijdens Stripe Connect-onboarding worden bewaard door Stripe, niet door Lustra. Lustra ontvangt alleen beperkte statusinformatie (bijv. "verificatie voltooid", "betaling succesvol").

Het Privacybeleid van Stripe is van toepassing op alle gegevens die Stripe verzamelt: stripe.com/en-be/privacy

Bij een late annulering (minder dan 24 uur voor de boeking) verwerkt Stripe de gedeeltelijke terugbetaling van 50% van de boekingswaarde aan de Klant, waarbij de resterende 50% wordt vrijgegeven aan de Dienstverlener als annuleringsvergoeding. Dit wordt automatisch afgehandeld en Lustra heeft geen handmatige toegang tot betalingsgegevens hiervoor.

Alle personen van wie we gegevens verwerken, hebben de volgende rechten:

RECHT OP TOEGANG (Art. 15) Een kopie opvragen van alle persoonsgegevens die we over u bewaren.

RECHT OP RECTIFICATIE (Art. 16) Correctie vragen van onjuiste of onvolledige gegevens.

RECHT OP WISSING (Art. 17) Verwijdering van uw gegevens vragen. Opmerking: we kunnen geen gegevens verwijderen die we wettelijk verplicht zijn te bewaren (bijv. fiscale verslagen, DAC7-gegevens).

RECHT OP BEPERKING VAN VERWERKING (Art. 18) Vragen dat we de verwerking van uw gegevens in bepaalde omstandigheden beperken.

RECHT OP GEGEVENSOVERDRAAGBAARHEID (Art. 20) Uw gegevens opvragen in een gestructureerd, machineleesbaar formaat (van toepassing op gegevens verwerkt via geautomatiseerde middelen op basis van overeenkomst of toestemming).

RECHT VAN BEZWAAR (Art. 21) Bezwaar maken tegen verwerking op basis van gerechtvaardigd belang. U heeft een onvoorwaardelijk recht om bezwaar te maken tegen directe marketing op elk moment.

RECHT OM TOESTEMMING IN TE TREKKEN (Art. 7(3)) Waar verwerking is gebaseerd op toestemming, kunt u deze te allen tijde intrekken zonder afbreuk te doen aan de rechtmatigheid van eerdere verwerking.

Om een recht uit te oefenen, neem contact op met:

Voor Klanten zonder account: vermeld uw e-mailadres en de geschatte datum van uw boeking zodat we uw gegevens kunnen vinden.

We reageren binnen 30 dagen en kunnen vragen om uw identiteit te verifiëren.

KLACHTEN Als u niet tevreden bent met ons antwoord, kunt u een klacht indienen bij de Belgische Gegevensbeschermingsautoriteit:

Gegevensbeschermingsautoriteit (GBA/APD) Drukpersstraat 35, 1000 Brussel [email protected] www.gegevensbeschermingsautoriteit.be

9.1 WAARVOOR WE COOKIES GEBRUIKEN

Strikt noodzakelijk Doel: Sessiebeveiliging, boekingsstroom, onthouden van boeking in uitvoering Toestemming vereist: Nee

Analytisch Doel: Begrijpen hoe gebruikers door het Platform navigeren (geanonimiseerd) Toestemming vereist: Ja

Voorkeuren Doel: Taal- of weergave-instellingen Toestemming vereist: Ja

Marketing Doel: Gerichte reclame (indien gebruikt) Toestemming vereist: Ja

9.2 UW KEUZES Een cookietoestemmingsbanner verschijnt bij uw eerste bezoek. U kunt uw voorkeuren op elk moment wijzigen via de link [Cookie-instellingen] in de voettekst. Het weigeren van niet-essentiële cookies voorkomt niet dat u het Platform gebruikt of een boeking afrondt.

We implementeren passende technische en organisatorische maatregelen, waaronder: - Versleutelde gegevensoverdracht (HTTPS/TLS) - Wachtwoordhashing voor Dienstverlenersaccounts - Toegangscontroles die beperken wie toegang heeft tot persoonsgegevens - Korte bewaartermijnen voor klantgegevens (zie afdeling 4) - Regelmatige beveiligingsreviews

Bij een inbreuk in verband met persoonsgegevens die een risico vormt voor uw rechten, zullen we de GBA/APD binnen 72 uur informeren en betrokkenen waar vereist op de hoogte stellen.

Het Platform is niet gericht op personen jonger dan 18 jaar. We verzamelen niet bewust gegevens van minderjarigen. Neem contact op via als u denkt dat een minderjarige gegevens heeft ingediend via het Platform.

Materiële wijzigingen worden per e-mail (aan Dienstverleners) en via een prominente kennisgeving op het Platform meegedeeld, minstens 14 dagen vóór ze van kracht worden. De datum "Laatste update" bovenaan geeft altijd de huidige versie weer.

Lustra Platform