Gegevensbescherming — LGPD, AVG en de wetgeving van de Verenigde Staten

1. Wie uw gegevens verwerkt

De dienst Lounge Secreto wordt geëxploiteerd door ALAS TECHNOLOGY LLC (EIN 93-3927200), een in de Verenigde Staten van Amerika opgerichte vennootschap, die optreedt als verwerkingsverantwoordelijke voor de op dit platform verwerkte persoonsgegevens — dat wil zeggen, degene die de doeleinden en de middelen van de verwerking bepaalt. Voor privacyaangelegenheden, waaronder de uitoefening van elk in deze pagina beschreven recht, is het officiële kanaal onze support, die het verzoek doorstuurt naar de functionaris voor gegevensbescherming.

2. Welke wetten op u van toepassing zijn

Deze pagina geldt voor al onze gebruikers, maar uw concrete rechten hangen af van waar u zich bevindt. Bevindt u zich in Brazilië, dan is de Algemene Wet Gegevensbescherming (Wet nr. 13.709/2018) van toepassing. Bevindt u zich in de Europese Economische Ruimte, het Verenigd Koninkrijk of Zwitserland, dan zijn de Algemene Verordening Gegevensbescherming (AVG) en de gelijkwaardige lokale regels van toepassing, omdat wij de dienst aanbieden aan betrokkenen in die regio's. Woont u in de Verenigde Staten, dan zijn de deelstatelijke wetten inzake consumentenprivacy van toepassing, waaronder die van Californië (CCPA, gewijzigd bij de CPRA). Bij strijdigheid passen wij steeds de voor de betrokkene meest beschermende regel toe.

3. Welke gegevens wij verwerken en waarvoor

Wij verwerken registratiegegevens — naam, e-mail, telefoon, geboortedatum, identiteitsdocument en land; gegevens die nodig zijn voor de uitgifte en de activering van de Pass — adres, gegevens van de houder bij de exploitant van het programma en de uitkomst van de identiteitsverificatie; betalingsgegevens — bedrag, valuta en transactie-identificatoren, zonder dat het volledige kaartnummer van de klant door ons wordt opgeslagen; klantenservicegegevens — berichten verzonden via support, formulier of assistent; en technische gegevens — IP-adres, browseridentificatie, bezochte pagina's en herkomst van het bezoek. Elke categorie wordt uitsluitend gebruikt voor het doel dat haar rechtvaardigt: het uitvoeren van de overeenkomst, het verifiëren van de identiteit, het verwerken van de betaling, het voorkomen van fraude, het bieden van support en, wanneer u daarvoor toestemming geeft, het meten en verbeteren van campagnes.

4. Gevoelige gegevens: die verzamelen wij niet

Wij verzamelen geen gevoelige persoonsgegevens — raciale of etnische afkomst, religieuze overtuiging, politieke opvatting, vakbondslidmaatschap, gegevens over gezondheid of seksleven, genetische of biometrische gegevens. De identiteitsverificatie die vereist is voor de uitgifte van de aan de Pass gekoppelde kaart wordt uitgevoerd door een gespecialiseerde partner, die optreedt als verwerker; van hem ontvangen wij de uitkomst van de verificatie en de nodige registratiegegevens, niet het biometrische materiaal. Wij vragen en bewaren evenmin inloggegevens van reeds bestaande Priority Pass™-accounts.

5. Op welke rechtsgrond wij verwerken

De uitvoering van de overeenkomst rechtvaardigt de verwerking van de registratiegegevens, de gegevens voor de uitgifte van de Pass en de betalingsgegevens — zonder deze kan de dienst niet worden verleend. De naleving van een wettelijke en regelgevende verplichting rechtvaardigt het bewaren van financiële en fiscale registraties. Het gerechtvaardigd belang rechtvaardigt de fraudepreventie, de beveiliging van het platform en de verbetering van de dienst, steeds afgewogen tegen uw rechten en vrijheden. De toestemming, die vrij is en op elk moment kan worden ingetrokken, rechtvaardigt de niet-essentiële cookies, het meten van reclamecampagnes en de marketingcommunicatie. Onder de LGPD komen deze grondslagen overeen met art. 7; onder de AVG met art. 6.

6. Assistent met kunstmatige intelligentie

Wij bieden een assistent die vragen over de dienst beantwoordt. Wat u erin schrijft wordt vastgelegd om de klantenservice voort te zetten en wordt, samen met de recente geschiedenis van het gesprek, verzonden naar een aanbieder van infrastructuur voor kunstmatige intelligentie die het antwoord genereert — steeds vanaf onze servers, nooit vanaf uw browser. De inhoud van de gesprekken wordt na 90 dagen geanonimiseerd. De assistent neemt geen geautomatiseerde besluiten die rechtsgevolgen hebben of u aanmerkelijk treffen: wanneer het onderwerp gevoelig is — prijs, terugbetaling, contractvoorwaarden — of wanneer er onvoldoende documentaire grondslag is, improviseert hij niet en stuurt hij de klantenservice door naar een persoon. De kennisbank die de assistent voedt, wordt gedeeld tussen gebruikers en weigert daarom automatisch de opname van gegevens uit individuele gevallen. Toch vragen wij u om in de assistent geen gegevens te schrijven die niet noodzakelijk zijn, zoals een kaartnummer, wachtwoord of document.

7. Cookies, pixels en tracking

Wij gebruiken strikt noodzakelijke cookies om u te authenticeren, de taal te onthouden en de site tegen misbruik te beschermen — deze zijn niet afhankelijk van toestemming, want zonder hen werkt de dienst niet. Analyse- en marketingcookies en -pixels worden alleen geactiveerd als u daarvoor toestemming geeft in de banner, en de toestemming kan op elk moment worden ingetrokken, met dezelfde moeite waarmee zij is gegeven. Wij leggen de datum, de versie van de kennisgeving en de gemaakte keuze vast, als controleerbaar bewijs. De uitsplitsing van elke cookie staat in het Cookiebeleid.

Cookiebeleid

8. Met wie wij delen

Wij verkopen geen persoonsgegevens. Wij delen het strikt noodzakelijke met verwerkers die een deel van de dienst namens ons en onder contract uitvoeren: betalingsverwerkers, de partner voor identiteitsverificatie, de uitgever van de aan de Pass gekoppelde kaart, de exploitant van het VIP-loungeprogramma, aanbieders van hosting en infrastructuur, de aanbieder voor het verzenden van transactionele e-mails, de aanbieder voor foutmonitoring en, wanneer u daarvoor toestemming geeft, reclameplatforms. Sommige partners worden aangeduid per categorie en niet bij naam, omdat het gevoelige commerciële informatie betreft; de specifieke identificatie wordt verstrekt aan de betrokkene die het recht op inzage uitoefent.

9. Internationale doorgiften

De verwerkingsverantwoordelijke is gevestigd in de Verenigde Staten en een deel van onze infrastructuur en van onze verwerkers bevindt zich buiten Brazilië en de Europese Economische Ruimte, zodat uw gegevens naar andere landen kunnen worden doorgegeven en daar kunnen worden verwerkt. Wij verrichten die doorgiften op basis van contractuele waarborgen die de ontvanger verplichtingen inzake vertrouwelijkheid en beveiliging opleggen die verenigbaar zijn met de toepasselijke wetgeving, en wij beperken de doorgifte tot het strikt noodzakelijke voor het doel. Onder de LGPD komt dit overeen met art. 33; onder de AVG met hoofdstuk V.

10. Hoe lang wij bewaren

Wij bewaren elk gegeven alleen zolang het noodzakelijk is. Financiële en fiscale registraties — aankopen, betalingen, terugboekingen en bewegingen — worden ten minste 5 jaar bewaard, wegens een wettelijke verplichting, en kunnen niet op verzoek worden gewist. De inhoud van de gesprekken met de assistent wordt na 90 dagen geanonimiseerd. Technische en telemetrieregistraties worden na ongeveer 18 maanden verwijderd. Toestemmingsregistraties worden bewaard zolang zij als bewijs noodzakelijk zijn. Registratiegegevens worden bewaard zolang de relatie duurt en daarna gedurende de termijn die noodzakelijk is voor de verdediging van rechten.

11. Verwijdering van het account: wat wij wissen en wat blijft

U kunt op elk moment verzoeken om verwijdering van uw account. Het verzoek betreft uitsluitend de gegevens die onder onze verantwoordelijkheid bij Lounge Secreto vallen — het heeft geen invloed op het account dat u aanhoudt bij de exploitant van het VIP-loungeprogramma, dat wordt beheerst door diens voorwaarden en rechtstreeks bij hem moet worden opgezegd. Bij de verwerking van het verzoek verwijderen of anonimiseren wij uw registratie- en klantenservicegegevens en wissen wij sessies, inlogkoppelingen en navigatieregistraties. Blijven behouden, wegens een wettelijke verplichting of een verklaard gerechtvaardigd belang: de financiële registraties gedurende de minimumtermijn van 5 jaar; de registratie van de toestemming, als bewijs; de auditregistratie van de administratieve handelingen; en, in bewezen gevallen van fraude, misbruik of wanbetaling, de identificatoren die strikt noodzakelijk zijn om het opnieuw aanmaken van het account te verhinderen. Na voltooiing van de verwijdering kan het account niet worden hersteld.

12. Uw rechten

Ongeacht waar u zich bevindt, kunt u weten of wij gegevens over u verwerken en er inzage in krijgen; een kopie in machineleesbare vorm verkrijgen; onvolledige of verouderde gegevens corrigeren; verzoeken om verwijdering, binnen de grenzen van de vorige sectie; de toestemming intrekken; bezwaar maken tegen verwerkingen die op een gerechtvaardigd belang zijn gebaseerd; en geïnformeerd worden over met wie wij delen. U zult nooit discriminerend worden behandeld omdat u een van deze rechten uitoefent.

13. Als u zich in Brazilië bevindt (LGPD)

De LGPD waarborgt, in art. 18, de rechten op bevestiging van het bestaan van de verwerking; inzage; correctie van onvolledige, onjuiste of verouderde gegevens; anonimisering, blokkering of verwijdering van onnodige, buitensporige of in strijd met de wet verwerkte gegevens; overdraagbaarheid naar een andere aanbieder; verwijdering van de op basis van toestemming verwerkte gegevens; informatie over de entiteiten met wie wij delen; informatie over de mogelijkheid om geen toestemming te geven en de gevolgen daarvan; en intrekking van de toestemming. U kunt zich ook rechtstreeks wenden tot de Nationale Autoriteit voor Gegevensbescherming.

14. Als u zich in de Europese Unie, het Verenigd Koninkrijk of Zwitserland bevindt (AVG)

De AVG waarborgt de rechten op inzage (art. 15), rectificatie (art. 16), wissing (art. 17), beperking van de verwerking (art. 18), overdraagbaarheid (art. 20) en bezwaar (art. 21), naast het recht om niet te worden onderworpen aan een uitsluitend geautomatiseerd besluit met aanmerkelijke gevolgen (art. 22) — dat wij, zoals hierboven toegelicht, niet nemen. U kunt de toestemming op elk moment intrekken, onverminderd de rechtmatigheid van de verwerking die vóór de intrekking heeft plaatsgevonden, en u heeft het recht om een klacht in te dienen bij de toezichthoudende autoriteit van uw land.

15. Als u zich in de Verenigde Staten bevindt (CCPA/CPRA en deelstatelijke wetten)

U heeft het recht om te weten welke categorieën persoonlijke informatie wij verzamelen, waar zij vandaan komen, waarvoor zij dienen en met wie zij worden gedeeld; om een kopie te verkrijgen; om correctie te verzoeken; en om verwijdering te verzoeken, met inachtneming van de wettelijke uitzonderingen. Wij verkopen geen persoonlijke informatie voor geld. Het delen met reclameplatforms voor gerichte advertenties kan onder de CPRA als delen worden aangemerkt en vindt daarom alleen plaats als u de categorie marketing in de banner heeft aanvaard — het weigeren of intrekken van die toestemming staat gelijk aan het uitoefenen van de weigering. Wij gebruiken geen gevoelige persoonlijke informatie om kenmerken af te leiden, en wij discrimineren niet wie zijn rechten uitoefent.

16. Hoe u uw rechten uitoefent

U kunt een kopie van uw gegevens verkrijgen en de verwijdering van het account aanvragen via het ingelogde gedeelte, en marketingcommunicatie opzeggen via de afmeldlink die in al onze e-mails aanwezig is of via de afmeldpagina. Voor elk ander verzoek — waaronder correctie, bezwaar of informatie over het delen — neemt u contact op met onze support, die het doorstuurt naar de functionaris. Wij kunnen om aanvullende informatie vragen om uw identiteit te bevestigen voordat wij het verzoek behandelen, juist om geen gegevens te verstrekken aan wie niet de betrokkene is. Wij reageren binnen 15 dagen op verzoeken onder de LGPD; binnen 1 maand op verzoeken onder de AVG, met 2 maanden te verlengen in complexe gevallen en na voorafgaande kennisgeving; en binnen 45 dagen op verzoeken onder de wetgeving van de Verenigde Staten, met nog eens 45 dagen te verlengen.

afmeldpaginasupport

17. Kinderen en jongeren

De dienst is bestemd voor personen ouder dan 18 jaar en is niet gericht op kinderen of jongeren. Wij verzamelen niet opzettelijk gegevens van minderjarigen. Als wij vaststellen dat een registratie door een minderjarige is verricht, of als een verantwoordelijke het ons meldt, verwijderen wij de gegevens en heffen wij het account op.

18. Informatiebeveiliging

Wij treffen technische en organisatorische maatregelen die evenredig zijn aan het risico: versleuteling van de gevoelige gegevens in rust, wachtwoorden die uitsluitend als cryptografische afleiding worden bewaard, verkeer beschermd met TLS, toegangscontrole op basis van rol met auditregistratie van de administratieve handelingen, beperking van pogingen, bescherming tegen automatisering en foutmonitoring. Onze controles volgen de internationale normen ISO/IEC 27001, voor het beheer van de informatiebeveiliging, en ISO/IEC 27701, voor het beheer van de informatieprivacy. Geen enkel systeem is onfeilbaar, en daarom hanteren wij ook een plan voor de respons op incidenten.

19. Beveiligingsincidenten

Als zich een beveiligingsincident voordoet dat een risico of aanzienlijke schade voor de betrokkenen kan meebrengen, stellen wij de bevoegde autoriteit en de getroffen betrokkenen op de hoogte, met een beschrijving van de aard van het voorval, de betrokken gegevens, de getroffen maatregelen en de passende aanbevelingen. Onder de AVG geschiedt de melding aan de toezichthoudende autoriteit zonder onredelijke vertraging en, indien mogelijk, binnen 72 uur.

20. Wijzigingen van deze pagina

Wij kunnen deze pagina bijwerken om wijzigingen in de dienst, de technologie of de wetgeving weer te geven. Wanneer de wijziging aanzienlijk is, laten wij dit via onze kanalen weten en vragen wij, waar vereist, om een nieuwe toestemming. De datum van de laatste bijwerking staat boven aan deze pagina aangegeven.