Privacyverklaring

1. Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke voor de gegevensverwerking op deze website in de zin van art. 4, punt 7, AVG is:

2. De belangrijkste punten

• Wij gebruiken geen analysetools en geen trackingcookies.
• Lettertypen staan op onze eigen server. Bij het laden van een pagina gaan er geen verzoeken naar Google.
• Wij verzamelen alleen gegevens voor zover wij die nodig hebben voor het functioneren van de website, uw bestelling, uw account, uw beoordeling of de door u bevestigde nieuwsbrief.

3. Hosting en serverlogs

De website wordt gehost door Vercel. Bij elk bezoek worden technisch noodzakelijke toegangsgegevens verwerkt: IP-adres, datum en tijd, opgevraagd adres, statuscode, browser en besturingssysteem en de eerder bezochte pagina (referrer).

De rechtsgrondslag is art. 6, lid 1, onder f, AVG. Ons gerechtvaardigd belang is het veilig en stabiel aanbieden van de website en het opsporen van aanvallen. Logs worden alleen bewaard zolang dat hiervoor nodig is en daarna automatisch verwijderd volgens de bewaarinstellingen van de hostingprovider.

4. Cookies en opslag in de browser

Wij plaatsen alleen cookies die strikt noodzakelijk zijn voor de dienst die u vraagt:

• Inlogcookies (naam begint met “sb-”): houden u ingelogd. Ze worden alleen geplaatst wanneer u inlogt en eindigen wanneer u uitlogt of de sessie afloopt.
• Taalcookie (“lang”): onthoudt de gekozen taal.

Daarnaast bewaart uw browser uw winkeltas en uw invoer in het bestelformulier in de lokale opslag (localStorage). Deze gegevens blijven op uw apparaat totdat u ze in de browser verwijdert; ze komen pas bij ons wanneer u bestelt.

De rechtsgrondslag voor het opslaan en uitlezen op uw apparaat is § 25, lid 2, punt 2, TDDDG (Duitse wet gegevensbescherming telecommunicatie en digitale diensten), en voor verdere verwerking art. 6, lid 1, onder b en f, AVG. Omdat dit alles strikt noodzakelijk is, hebben wij geen toestemming nodig en tonen wij geen cookiebanner.

Bij het betalen laadt uw browser de betaalknoppen rechtstreeks van PayPal. PayPal ontvangt daarbij uw IP-adres en technische browsergegevens en kan eigen cookies plaatsen. Details staan in punt 6 en in de privacyverklaring van PayPal.

5. Klantaccount en authenticatielogs

Voor een klantaccount verwerken wij uw e-mailadres en uw inloggegevens. Accounts en inloggen lopen via Supabase. Daarbij ontstaan authenticatielogs met tijdstip, soort gebeurtenis (bijvoorbeeld inloggen of mislukte poging), IP-adres en browserkenmerk.

De rechtsgrondslag voor het account is art. 6, lid 1, onder b, AVG, en voor de authenticatielogs art. 6, lid 1, onder f, AVG (bescherming van accounts tegen onbevoegde toegang). Het account blijft bestaan totdat u het verwijdert. Authenticatielogs worden automatisch verwijderd wanneer de bewaartermijn van de dienst afloopt.

Na het verwijderen van uw account

Als u uw account verwijdert, verwijderen wij het en halen wij uw e-mailadres uit de bestelgegevens in onze database. Twee dingen blijven bestaan:

• Een hash van het IP-adres van uw apparaat blijft 14 dagen bewaard en wordt daarna verwijderd. Het is een hash met sleutel waaruit het IP-adres niet kan worden herleid, maar die nog steeds als persoonsgegeven geldt. Hij dient ter voorkoming van fraude, bijvoorbeeld het herhaald aanmaken en verwijderen van accounts. De rechtsgrondslag is art. 6, lid 1, onder f, AVG.
• Bestel- en factuurgegevens die wij moeten bewaren (punt 7).

6. Bestelling, betaling en verzending

Voor een bestelling verwerken wij naam, bezorgadres, e-mailadres, bestelde artikelen, bedragen, bestelnummer en de referentienummers van PayPal en Printful. De rechtsgrondslag is art. 6, lid 1, onder b, AVG (uitvoering van de overeenkomst). Zonder deze gegevens kunnen wij de bestelling niet uitvoeren.

Bij betaling per overschrijving ontvangen wij van uw bank naam, IBAN, bedrag en omschrijving. Uw bank verwerkt de betaling als zelfstandig verwerkingsverantwoordelijke. Uw bezorgadres bewaren wij tot het aan Printful is doorgegeven. Als een bestelling niet wordt betaald en wordt geannuleerd, verwijderen wij deze.

• Supabase bewaart bestellingen in onze database.
• PayPal verwerkt de betaling en is daarvoor zelf verwerkingsverantwoordelijke (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg). PayPal ontvangt betaal- en bestelgegevens en kan volgens eigen regels krediet- en fraudecontroles uitvoeren. De privacyverklaring van PayPal is van toepassing.
• Printful drukt en verzendt de goederen vanuit fulfilmentcentra in de EU (Letland, Spanje). Printful ontvangt daarvoor naam, bezorgadres en e-mailadres en de bestelde artikelen.
• Resend verstuurt de orderbevestiging en andere e-mails over uw bestelling.

Een kortingscode bewaren wij samen met het bijbehorende e-mailadres, het PayPal-referentienummer en het tijdstip van inwisselen, zodat de code maar één keer kan worden gebruikt (art. 6, lid 1, onder b en f, AVG).

Een vrijwillige fooi is een aparte betaling via PayPal en wordt aan uw bestelnummer gekoppeld.

7. Bewaren van bestelgegevens

Bestel- en factuurgegevens bewaren wij voor zover § 147 AO (Duitse belastingwet) en § 257 HGB (Duits wetboek van koophandel) dat vereisen: afhankelijk van het soort document 6 jaar (handels- en zakelijke brieven), 8 jaar (boekhoudkundige bewijsstukken) of 10 jaar (boeken en jaarrekeningen). De termijn begint aan het einde van het kalenderjaar waarin het document is ontstaan.

De rechtsgrondslag is art. 6, lid 1, onder c, AVG. Een verzoek om verwijdering of het verwijderen van uw account beëindigt deze plicht niet (art. 17, lid 3, onder b, AVG): facturen en bewijsstukken blijven ook na het verwijderen van het account bij PayPal en in onze boekhouding tot de termijn is verstreken. In die tijd gebruiken wij ze alleen om aan deze plichten te voldoen.

8. Herroeping

Als u een overeenkomst herroept, verwerken wij uw naam, het bestelnummer, uw e-mailadres, een eventueel bericht en de datum en tijd van ontvangst. Dit hebben wij nodig om de herroeping af te handelen en de ontvangst aan u te bevestigen (art. 6, lid 1, onder b en c, AVG, § 356a BGB). Wij bewaren deze gegevens even lang als de bijbehorende bestelgegevens (punt 7).

9. Nieuwsbrief

U ontvangt de nieuwsbrief alleen met uw toestemming (art. 6, lid 1, onder a, AVG) en via double opt-in: na uw aanmelding sturen wij een e-mail met een bevestigingslink en pas na het klikken daarop bent u aangemeld. De aanmelding wordt bewaard in Supabase en de verzending loopt via Resend.

Om de toestemming te kunnen aantonen (art. 5, lid 2, en art. 7, lid 1, AVG) registreren wij het e-mailadres, de taal, de tekst van de toestemming, een hash van uw IP-adres en de tijdstippen van aanmelding, bevestiging en afmelding. De rechtsgrondslag hiervoor is art. 6, lid 1, onder f, AVG.

U kunt uw toestemming op elk moment met werking voor de toekomst intrekken, via de afmeldlink in elke e-mail of door te schrijven naar Purrlightshop@gmail.com. Daarna sturen wij geen nieuwsbrieven meer. Het toestemmingsregister bewaren wij zolang het bewijs juridisch nodig kan zijn, doorgaans tot het einde van de algemene verjaringstermijn (§§ 195, 199 BGB).

10. Beoordelingen en foto's

Als u een beoordeling plaatst, verwerken wij bestelnummer, e-mailadres, weergavenaam, sterrenscore, tekst en maximaal twee foto's en het tijdstip van uw toestemming. Bestelnummer en e-mailadres dienen om te controleren of de beoordeling bij een echte bestelling hoort en worden niet gepubliceerd. Weergavenaam, score, tekst en foto's zijn openbaar zichtbaar op deze website.

De rechtsgrondslag is uw toestemming (art. 6, lid 1, onder a, AVG). Wij bewaren de foto's als WebP-bestanden in openbaar toegankelijke opslag bij Supabase. Upload alstublieft geen foto's waarop andere personen zonder hun toestemming herkenbaar zijn.

U trekt uw toestemming in door de beoordeling te verwijderen via de verwijderlink in onze e-mail of door te schrijven naar Purrlightshop@gmail.com. De beoordeling en foto's worden dan verwijderd. Afzonderlijke foto's kunnen niet apart worden verwijderd, alleen de hele beoordeling. Verder blijven beoordelingen bewaard totdat ze worden verwijderd.

11. Bescherming tegen misbruik

Om formulieren en interfaces te beschermen tegen massale verzoeken en misbruik, tellen wij verzoeken per IP-adres en bewaren wij kenmerken bij Upstash Redis. De tellers bevatten het IP-adres en verlopen na ongeveer een minuut. Langer bewaarde kenmerken bevatten het IP-adres alleen als hash met sleutel. De rechtsgrondslag is art. 6, lid 1, onder f, AVG; ons gerechtvaardigd belang is de beveiliging van de winkel.

12. Drukbestanden

Onze drukbestanden staan bij ImgBB. Daar worden alleen afbeeldingen bewaard en geen persoonsgegevens van u.

13. Ontvangers

De volgende dienstverleners verwerken persoonsgegevens namens ons en volgens onze instructies (art. 28 AVG):

• Vercel (VS): hosting en serverlogs
• Supabase (VS): accounts, bestellingen, beoordelingen, foto's, toestemmingen voor de nieuwsbrief
• Upstash (VS): Redis voor aanvraagbeperking en misbruikbestrijding
• Resend (VS): verzending van e-mail
• Printful (VS, fulfilment in Letland en Spanje): productie en verzending; ontvangt naam, adres en e-mailadres

PayPal verwerkt betaalgegevens als zelfstandig verwerkingsverantwoordelijke. Aan autoriteiten geven wij gegevens alleen door als de wet dat vereist. Gegevens worden niet verkocht.

14. Doorgifte naar derde landen

Bij aanbieders gevestigd in de VS kunnen gegevens naar de VS worden doorgegeven. Deze doorgifte berust op het adequaatheidsbesluit van de Europese Commissie voor het EU-U.S. Data Privacy Framework (art. 45 AVG) voor zover de aanbieder daaronder is gecertificeerd, en anders op de modelcontractbepalingen van de Commissie (art. 46, lid 2, onder c, AVG). Een kopie van de waarborgen kunt u opvragen via Purrlightshop@gmail.com.

15. Uw rechten

U hebt de volgende rechten. Schrijf daarvoor naar Purrlightshop@gmail.com.

• Inzage in uw gegevens (art. 15 AVG)
• Rectificatie van onjuiste gegevens (art. 16 AVG)
• Wissing (art. 17 AVG), tenzij een wettelijke bewaarplicht zich daartegen verzet
• Beperking van de verwerking (art. 18 AVG)
• Overdraagbaarheid van gegevens (art. 20 AVG)
• Intrekking van toestemming met werking voor de toekomst (art. 7, lid 3, AVG); de verwerking tot dat moment blijft rechtmatig

Recht van bezwaar (art. 21 AVG)

Voor zover wij gegevens verwerken op grond van art. 6, lid 1, onder f, AVG, kunt u op elk moment bezwaar maken om redenen die verband houden met uw specifieke situatie. Wij verwerken de gegevens dan niet meer, tenzij wij dwingende gerechtvaardigde gronden aantonen die zwaarder wegen dan uw belangen, of de verwerking dient voor de instelling, uitoefening of onderbouwing van een rechtsvordering.

16. Klacht bij een toezichthoudende autoriteit

U kunt een klacht indienen bij elke toezichthoudende autoriteit voor gegevensbescherming (art. 77 AVG), met name in de lidstaat van uw gewone verblijfplaats, uw werkplek of de plaats van de vermeende inbreuk. Voor ons bevoegd is de gegevensbeschermingsautoriteit van de Duitse deelstaat waar wij gevestigd zijn. Een lijst van Duitse autoriteiten staat bij de Datenschutzkonferenz.

17. Verplichting tot verstrekking en geautomatiseerde besluiten

U kunt de website zonder account gebruiken. De gegevens die in de formulieren voor bestelling, account en beoordeling worden gevraagd, hebben wij nodig voor het betreffende doel; zonder die gegevens is dat doel niet mogelijk. Verder is er geen wettelijke plicht om ze te verstrekken. Wij gebruiken geen geautomatiseerde besluitvorming in de zin van art. 22 AVG en geen profilering.