Privacyverklaring

1. Wie wij zijn

Impact Loterij is een goededoelenloterij. De loterij wordt georganiseerd door Impact Loterij B.V., gevestigd aan NDSM Plein 36, 1033 WB Amsterdam, Noord-Holland, Nederland. We staan ingeschreven bij de Kamer van Koophandel onder nummer 66554047.

We organiseren de loterij met een vergunning voor het organiseren van goededoelenloterijen van de Kansspelautoriteit, kenmerk 15899/01.296.265. De vergunning is verleend bij besluit van 11 augustus 2023 en geldig van 16 oktober 2023 tot en met 15 oktober 2028.

Impact Loterij B.V. is de verwerkingsverantwoordelijke in de zin van de Algemene verordening gegevensbescherming (AVG). Dat betekent dat wij bepalen welke gegevens we gebruiken en waarvoor, en dat wij verantwoordelijk zijn voor een zorgvuldige omgang met die gegevens. Stichting Make-A-Wish Nederland is het goede doel dat de loterij steunt; de stichting is geen verwerkingsverantwoordelijke voor gegevens van deelnemers (zie hoofdstuk 5).

In deze verklaring bedoelen we met ‘wij’ en ‘ons’ steeds Impact Loterij B.V. Met ‘jij’ en ‘je’ bedoelen we iedereen die meespeelt, zich aanmeldt, onze website bezoekt of contact met ons opneemt.

2. Welke gegevens wij verwerken

We verwerken alleen gegevens die we nodig hebben om de loterij goed en volgens de wet uit te voeren. Hieronder staat per soort gegeven waar het vandaan komt.

Gegevens die je zelf invult

• Naam en achternaam, zodat we weten met wie we een deelname afsluiten en de naam kunnen vergelijken met je bankrekening.
• Geboortedatum, om te controleren dat je 18 jaar of ouder bent.
• Adres, postcode en woonplaats, omdat je in Nederland moet wonen om mee te spelen en om je te kunnen bereiken over je deelname of een prijs.
• E-mailadres, om in te loggen en om je bevestigingen, uitslagen en berichten over je deelname te sturen.
• IBAN en naam van de rekeninghouder van een bankrekening op je eigen naam. Daarvan schrijven we de inleg af en daarop betalen we prijzen uit. De rekening mag ook bij een bank buiten Nederland zijn, zolang die in het SEPA-gebied ligt en je er de eerste betaling via iDEAL mee kunt doen. In Nederland wonen blijft wel een voorwaarde (zie het Deelnemersreglement).
• Marketingtoestemmingen: of je wel of geen nieuws en aanbiedingen per e-mail wilt ontvangen, en wanneer je die keuze hebt gemaakt of gewijzigd.

Telefoonnummer

Wij vragen niet om je telefoonnummer en bellen deelnemers niet. Zet je zelf een telefoonnummer in een bericht aan ons, dan gebruiken we het alleen om op dat bericht te reageren.

Gegevens uit de identiteitscontrole

• Uitkomst van de iDIN-controle: bij iDIN log je in bij je eigen bank en geef je toestemming voor de controle. Je bank bevestigt via onze iDIN-makelaar of je naam en geboortedatum overeenkomen met wat je hebt ingevuld en of je 18 jaar of ouder bent. Wij ontvangen en bewaren alleen de uitkomst (gelukt, niet gelukt of in behandeling), de datum en de manier van controleren. Een kopie van de gegevens die je bank deelt, slaan wij niet op.
• Je inloggegevens van de bank krijgen wij nooit te zien.

Gegevens over je deelname

• Gegevens over loten: het aantal loten, het lotnummer en de unieke combinatie van symbolen van elk lot.
• Deelnamegeschiedenis: wanneer je bent begonnen, wijzigingen in het aantal loten, pauzes en opzeggingen.
• Signalen voor het preventiebeleid: bijvoorbeeld een verhoging van het aantal loten, het bereiken van het maximum, een pauze of een mislukte betaling (zie het Preventiebeleid).
• Betaalgegevens: de eerste betaling via iDEAL (waaronder het IBAN waarvan die betaling kwam), het incassomandaat, de afschrijvingen en mislukte of teruggeboekte betalingen.
• Gegevens over prijzen: welke prijs je hebt gewonnen, bij welke trekking, wanneer en op welke rekening we die hebben uitbetaald, en of je toestemming hebt gegeven om als winnaar genoemd te worden.
• Berichten: wat je ons schrijft via het contactformulier of per e-mail, en ons antwoord.

Gegevens die ontstaan als je de website gebruikt

• IP-adres: dit gebruiken we voor de beveiliging, bijvoorbeeld om te veel inlogpogingen te blokkeren of misbruik van het contactformulier te voorkomen. Voor die doelen slaan we het IP-adres alleen op als hashwaarde: een code waaruit het IP-adres niet terug te rekenen is.
• Technische gegevens van het apparaat, zoals het type browser, het besturingssysteem en het tijdstip van een bezoek. Deze komen in de logbestanden van de webserver terecht.
• Cookies: kleine bestanden die de website op je apparaat zet. Welke cookies dat zijn, staat in het Cookiebeleid.

3. Doelen en grondslagen

De AVG schrijft voor dat we voor elk gebruik van persoonsgegevens vooraf een grondslag vaststellen. Hieronder staat per doel welke grondslag we gebruiken.

Impact Loterij is een goededoelenloterij, geen online casino. Voor het voorkomen van te veel meespelen gebruiken we daarom alleen gegevens over je deelname bij ons: je loten, wijzigingen daarin, je betalingen en wat je ons zelf laat weten. We vragen geen gegevens op bij andere partijen en maken geen profiel van je bestedingen elders.

Gebruiken we je gegevens op basis van ons gerechtvaardigd belang, dan hebben we vooraf afgewogen of dat belang zwaarder weegt dan jouw privacy, en gebruiken we niet meer gegevens dan daarvoor nodig is. Je kunt altijd bezwaar maken (zie hoofdstuk 9).

Toestemming kun je op elk moment intrekken. Dat geldt niet met terugwerkende kracht: wat we eerder met je toestemming deden, blijft rechtmatig.

Je hoeft geen marketingtoestemming te geven om mee te spelen. Zonder de gegevens die we nodig hebben voor de overeenkomst en de wettelijke controles kun je niet meespelen.

4. Bewaartermijnen

We bewaren gegevens niet langer dan nodig voor het doel waarvoor we ze hebben. Een wettelijke bewaartermijn geldt alleen voor de gegevens waarop die wet van toepassing is, niet automatisch voor alles wat met je deelname te maken heeft. Na afloop van de termijn verwijderen we de gegevens of maken we ze anoniem, zodat ze niet meer naar jou te herleiden zijn.

Vraagt de Kansspelautoriteit, de Belastingdienst of een rechter ons om gegevens langer te bewaren, bijvoorbeeld voor een lopend onderzoek, dan bewaren we die gegevens tot dat onderzoek klaar is.

5. Ontvangers en verwerkers

We verkopen je gegevens nooit. We delen ze alleen met partijen die we nodig hebben om de loterij uit te voeren, of als de wet ons dat verplicht.

Verwerkers

Deze partijen verwerken gegevens in onze opdracht. We laten een partij pas gegevens verwerken als we met haar een verwerkersovereenkomst hebben gesloten. Daarin staat dat ze je gegevens alleen voor ons mag gebruiken en ze goed moet beveiligen.

• Een leverancier van het trekkingssysteem en de lotenadministratie, die loten uitgeeft en de trekkingen uitvoert.
• Een hostingpartij die onze website en gegevens opslaat.
• Een e-mailprovider die onze e-mails verstuurt.

Partijen bij betalen en de identiteitscontrole

Bij betalen en bij iDIN werken we samen met partijen die voor een deel van hun werk zelf verantwoordelijk zijn, omdat de wet of de regels van het betaalverkeer hun eigen plichten geven. Of zo’n partij voor ons werkt als verwerker of zelf verwerkingsverantwoordelijke is, hangt af van de taak. Dat leggen we per partij vast in de afspraken met die partij.

• Een betaaldienstverlener voor de eerste betaling via iDEAL en de automatische incasso’s.
• Een iDIN-makelaar die de identiteitscontrole tussen jou, je bank en ons regelt.
• Je eigen bank, die bij iDIN je gegevens bevestigt en de betalingen en incasso’s uitvoert. Je bank is daarvoor zelf verantwoordelijk.

Zelfstandige ontvangers

Deze partijen zijn zelf verantwoordelijk voor wat ze met je gegevens doen:

• Onze accountant, die onze jaarrekening en de afdracht aan het goede doel controleert.
• De Kansspelautoriteit, als de wet ons verplicht gegevens te verstrekken, bijvoorbeeld bij toezicht of een onderzoek.
• De Belastingdienst, als dat nodig is voor de kansspelbelasting of een andere wettelijke plicht.
• Politie of justitie, alleen als zij daar op grond van de wet om vragen.

Het goede doel

Stichting Make-A-Wish Nederland ontvangt een deel van de opbrengst van de loterij, maar krijgt geen persoonsgegevens van deelnemers. We maken alleen totaalbedragen aan de stichting over. Het goede doel weet dus niet wie er meespeelt.

6. Doorgifte buiten de EER

We kiezen voor verwerkers die je gegevens binnen de Europese Economische Ruimte (EER) opslaan en verwerken. Onze website laadt geen lettertypen, scripts, statistiekdiensten of advertenties van andere partijen; alles komt van onze eigen server.

Verwerkt een partij toch gegevens buiten de EER, bijvoorbeeld bij een back-up, de verzending van e-mail of onderhoud op afstand, dan doen we dat alleen als de AVG dat toestaat. Bijvoorbeeld omdat de Europese Commissie heeft besloten dat het land een passend beschermingsniveau heeft, of met de standaardcontractbepalingen van de Europese Commissie. We vermelden dat dan hier, met het land en de maatregel.

7. Beveiliging

We nemen passende technische en organisatorische maatregelen om je gegevens te beschermen tegen verlies, diefstal en onbevoegd gebruik. Onder andere:

• De website werkt via een beveiligde verbinding (https).
• Wachtwoorden slaan we niet zelf op, alleen een hash ervan: een code die met een erkende, eenrichtingsmethode uit je wachtwoord wordt berekend. Daaruit is je wachtwoord niet terug te halen, ook niet door ons.
• Na 5 mislukte inlogpogingen binnen 15 minuten blokkeren we het inloggen 15 minuten. Ben je 30 minuten niet actief, dan log je automatisch uit.
• De sessiecookie is niet leesbaar voor scripts op de pagina, en formulieren zijn beschermd tegen misbruik vanaf andere websites.
• Alleen medewerkers die gegevens voor hun werk nodig hebben, kunnen erbij. Zij hebben een geheimhoudingsplicht.
• De uitslag van een trekking wordt alleen op de server bepaald, nooit in je browser.

Gaat er toch iets mis met je gegevens (een datalek), dan melden we dat binnen 72 uur bij de Autoriteit Persoonsgegevens als de wet dat vraagt. Is er een hoog risico voor jou, dan laten we het je ook zelf zo snel mogelijk weten.

Je kunt zelf ook helpen: kies een sterk wachtwoord dat je nergens anders gebruikt en log uit op een gedeeld apparaat. Denk je dat iemand anders toegang heeft tot je account? Mail dan direct naar privacy@akeawishloterij.nl.

8. Automatische besluiten

Een paar besluiten neemt ons systeem automatisch, zonder dat een medewerker meekijkt. Dat zijn alleen besluiten die rechtstreeks volgen uit vaste regels, niet uit een inschatting van jou als persoon:

Dit zijn geen besluiten op basis van profilering. Wel kunnen ze grote gevolgen voor je hebben, omdat je dan niet of minder kunt meespelen. Daarom heb je altijd het recht op een menselijke blik: denk je dat een besluit ten onrechte is genomen, mail dan naar privacy@akeawishloterij.nl. Een medewerker bekijkt je situatie dan opnieuw, je kunt je standpunt toelichten en je kunt het besluit aanvechten.

Signalen voor het preventiebeleid leiden nooit automatisch tot een besluit. Het verlagen van je maximum aantal loten, het pauzeren of het beëindigen van je deelname op grond van zulke signalen beslist altijd een medewerker, na contact met jou.

9. Jouw rechten

Volgens de AVG heb je de volgende rechten:

• Recht op inzage: je mag weten welke gegevens we van je hebben en wat we ermee doen.
• Recht op correctie: kloppen je gegevens niet, dan kun je ze laten aanpassen.
• Recht op verwijdering: je kunt vragen om je gegevens te wissen, behalve als we ze nog nodig hebben voor je deelname of volgens de wet moeten bewaren.
• Recht op beperking: je kunt vragen om je gegevens tijdelijk niet te gebruiken, bijvoorbeeld zolang we onderzoeken of ze kloppen.
• Recht van bezwaar: tegen gebruik op basis van ons gerechtvaardigd belang kun je bezwaar maken. Tegen gebruik voor marketing kun je altijd bezwaar maken; daarna stoppen we daar direct mee.
• Recht op overdraagbaarheid: je kunt de gegevens die je zelf aan ons hebt gegeven in een gangbaar digitaal formaat krijgen of laten doorsturen naar een andere partij.
• Recht om toestemming in te trekken: gaf je toestemming, dan kun je die op elk moment intrekken, net zo makkelijk als je die gaf.
• Rechten bij automatische besluiten: zie hoofdstuk 8.

Een verzoek stuur je naar privacy@akeawishloterij.nl. Mail vanaf het e-mailadres dat bij ons bekend is. Zo kunnen we controleren dat het verzoek echt van jou komt. Stuur geen kopie van je identiteitsbewijs mee; als we meer nodig hebben om je te herkennen, vragen we daarom.

We reageren binnen een maand. Is een verzoek ingewikkeld of krijgen we veel verzoeken, dan kan die termijn met twee maanden worden verlengd. Dat laten we je dan binnen de eerste maand weten, met de reden. Een verzoek kost je niets.

Klacht bij de Autoriteit Persoonsgegevens

Ben je het niet eens met hoe we met je gegevens omgaan, laat het ons dan eerst weten. We zoeken graag samen een oplossing. Je hebt ook altijd het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens, via autoriteitpersoonsgegevens.nl.

10. Gegevens verwijderen of corrigeren

Zelf aanpassen

Veel gegevens pas je zelf aan in Mijn Loterij, bij Gegevens. Daar wijzig je bijvoorbeeld je e-mailadres, je adres of je keuze voor nieuws per e-mail.

Je naam en geboortedatum zijn gecontroleerd via iDIN. Klopt daar iets niet, mail ons dan. Een nieuwe bankrekening moet op jouw naam staan en wordt opnieuw gecontroleerd voordat we die gebruiken.

Laten verwijderen

Wil je dat wij je persoonsgegevens verwijderen? Stuur dan een verzoek naar ons privacycontactadres, privacy@akeawishloterij.nl. Wij beoordelen welke gegevens wij kunnen verwijderen en welke wij nog moeten bewaren voor de uitvoering van je deelname of om aan wettelijke verplichtingen te voldoen.

Wil je ook stoppen met meespelen? Dan kun je je deelname afzonderlijk opzeggen via Mijn Loterij of de pagina Opzeggen.

11. Cookies

Onze website plaatst op dit moment alleen drie noodzakelijke cookies van onze eigen website: il_sid (inloggen en beveiliging), il_age (je antwoord op de leeftijdsvraag) en il_consent (je keuze in de cookiemelding). Er staan geen statistiek-, advertentie- of trackingdiensten van andere partijen op de site.

Gaan we zulke diensten later gebruiken, zoals advertentiemeting, dan passen we eerst het Cookiebeleid en deze verklaring aan. Die cookies en scripts laden we alleen nadat je daar vooraf toestemming voor hebt gegeven. In het Cookiebeleid staat per cookie wat die doet en hoe lang die blijft staan.

Cookie-instellingen wijzigen

12. Wijzigingen

We kunnen deze privacyverklaring aanpassen, bijvoorbeeld als we een nieuwe dienst gaan gebruiken of als de wet verandert. Het versienummer en de datum van de laatste wijziging staan bovenaan, direct onder de titel.

Bij een belangrijke wijziging, zoals een nieuw doel, een nieuwe ontvanger of een langere bewaartermijn, sturen we deelnemers minimaal 30 dagen voordat de wijziging ingaat een e-mail op het adres dat bij ons bekend is. Je ziet de wijziging dan ook bij je volgende inlog in Mijn Loterij. Voor een nieuw gebruik waarvoor toestemming nodig is, vragen we die eerst.