Privacybeleid

Dit privacybeleid legt uit welke persoonsgegevens Tovenarij verzamelt via de website tovenarij.be, waarom we dat doen, hoe lang we ze bijhouden en welke rechten jij daarover hebt. We houden ons aan de Algemene Verordening Gegevensbescherming (AVG/GDPR).

We schrijven dit in gewone taal. Is iets niet duidelijk, mail dan naar balthazar@tovenarij.be.

1. Wie is verantwoordelijk

• De natuurlijke persoon achter Tovenarij, die deze site als particulier maakt
• Contact: balthazar@tovenarij.be

Tovenarij is op dit moment een persoonlijk, niet-commercieel project. Heb je onze volledige identiteitsgegevens nodig om je rechten uit te oefenen of een klacht in te dienen, dan bezorgen we die op eenvoudig verzoek. Aan de Gegevensbeschermingsautoriteit en gerechtelijke overheden geven we ze uiteraard altijd. Er is geen functionaris voor gegevensbescherming (DPO) aangesteld; dat is voor een project van deze omvang niet verplicht.

2. Welke gegevens we verzamelen

2.1 Als je een account aanmaakt

• Accountgegevens: je naam, e-mailadres en wachtwoord. Het wachtwoord slaan we uitsluitend gehasht op; wij kunnen het niet lezen.
• Tweestapsverificatie: als je die inschakelt, de bijhorende sleutel en herstelcodes (versleuteld opgeslagen).
• Sessiegegevens: per actieve sessie het IP-adres en browsertype, zodat je je eigen sessies kan bekijken en afmelden.

2.2 Zonder account

Ook zonder account houdt de site iets bij. Het is eerlijker dat hier te zeggen dan te doen alsof er niets gebeurt.

• Je sessie: zodra je een pagina opent, maakt de server een sessie aan. Daarin staan je IP-adres en je browsertype, zeven dagen lang. Dat is nodig om formulieren te beveiligen en om je voortgang bij te houden wanneer je zonder account wandelt.
• Een telling per paginaweergave: zie 2.3 hieronder.
• Serverlogboeken: IP-adres en tijdstip van een aanvraag, enkel om de site draaiend en veilig te houden.

2.3 Onze eigen bezoekersteller

We tellen zelf hoeveel mensen de site bezoeken, zonder Google of een ander extern hulpmiddel en zonder cookies. Per paginaweergave bewaren we de pagina, het tijdstip, het soort toestel, de website waarlangs je binnenkwam en het land waar je vandaan surft. Dat land leiden we af uit je IP-adres met een lijst die op onze eigen server staat, waarna dat adres weggegooid wordt: er gaat geen enkel adres naar een externe dienst, en fijner dan het land gaat het niet.

Je IP-adres en je browsergegevens worden niet opgeslagen. Daaruit maken we twee onomkeerbare codes, met een geheime sleutel van de server erin. De eerste bevat de datum van vandaag en vervalt om middernacht: daarmee tellen we hoeveel mensen er op één dag waren. De tweede bevat de maand en vervalt bij de maandwissel: daarmee tellen we hoeveel verschillende mensen er in een maand langskwamen. Verder reikt de herkenning niet. Na een maand ben je voor ons opnieuw een onbekende.

Omdat wij die sleutel bezitten, behandelen we die codes voor onszelf als persoonsgegevens, ook al staat er niets op jouw toestel. De rechtsgrond is ons gerechtvaardigd belang (artikel 6.1.f AVG): weten hoeveel mensen de site en de wandelingen gebruiken, zonder externe analytics, zonder profielen en zonder iets aan derden door te geven. De tellingen verdwijnen automatisch na twaalf maanden.

Wil je niet meegeteld worden, dan hoef je daarvoor niet te mailen. Dat kan hier meteen, en we volgen ook het signaal "Do Not Track" of "Global Privacy Control" als je browser dat stuurt.

Tel mij niet mee

2.4 Je locatie tijdens een wandeling

Start je een route op de kaart, dan vraagt je browser toestemming voor je locatie. Zeg je nee, dan werkt de wandeling gewoon verder, alleen zie je jezelf niet op de kaart bewegen.

Zeg je ja, dan blijft die locatie in je eigen toestel, met twee uitzonderingen. Bij een halte die pas ter plaatse opengaat, sturen we je coördinaten één keer naar de server om de afstand tot die plek te berekenen. Die coördinaten worden niet bewaard: er wordt enkel opgeschreven dat die halte open is. Heb je op dat moment geen bereik, dan blijft dat berichtje in je eigen browser wachten tot je weer verbinding hebt, en verdwijnt het daarna.

3. Waarvoor we je gegevens gebruiken

• Je account laten werken: inloggen, wachtwoordherstel, beveiliging (rechtsgrond: uitvoering van de overeenkomst).
• De site beveiligen en misbruik voorkomen (rechtsgrond: gerechtvaardigd belang).
• Je e-mails sturen die bij je account horen, zoals een wachtwoordherstel en een welkomstbericht (rechtsgrond: uitvoering van de overeenkomst).
• Je af en toe een nieuwsbrief sturen, maar alleen als je je daarvoor zelf inschreef op je accountpagina (rechtsgrond: toestemming). Niemand staat standaard ingeschreven. We bewaren het tijdstip van je inschrijving als bewijs van je toestemming. Uitschrijven kan op elk moment: op je accountpagina, via de link onderaan elke nieuwsbrief, of met de uitschrijfknop van je mailprogramma; het werkt meteen en zonder in te loggen.

We doen niet aan profilering, we tonen geen advertenties, we gebruiken geen analytics van derden en we verkopen of delen je gegevens nooit voor marketing.

2.4 Het aanvraagformulier voor organisaties

Vult iemand het formulier op de pagina voor organisaties in, dan bewaren we de opgegeven naam, organisatie, e-mailadres, locatie en het bericht. We gebruiken die gegevens uitsluitend om op de vraag te antwoorden, en we sturen er een melding van naar ons eigen postvak. Ze worden nooit gedeeld en we verwijderen ze zodra ze niet meer nodig zijn voor de opvolging. Wil je dat we ze eerder verwijderen, mail ons dan.

4. Cookies en opslag op je toestel

De wet gaat hier niet over cookies alleen, maar over alles wat een website op je toestel zet of eruit leest. Daarom staat hieronder de volledige lijst, ook de dingen die geen cookie zijn. Er zit geen enkele tracker tussen, geen advertentienetwerk, geen social plugin en geen extern lettertype.

Wat	Soort	Waarvoor	Wanneer	Hoe lang
tovenarij-session	cookie	je sessie: formulieren beveiligen en je voortgang bijhouden	bij je eerste paginabezoek	7 dagen
XSRF-TOKEN	cookie	beschermt formulieren tegen misbruik van buitenaf	bij je eerste paginabezoek	7 dagen
remember_web_…	cookie	je aangemeld houden	alleen als je bij het inloggen "onthoud mij" aanvinkt	400 dagen
tovenarij_niet_tellen	cookie	onthouden dat je niet geteld wil worden	alleen als je daar zelf op klikt	tot je ze wist
tovenarij.voortgang.v1	lokale opslag	je voortgang als je zonder account wandelt	bij je eerste afgevinkte opdracht of geopende halte	tot je ze wist
tovenarij.tochten en tovenarij.wachtrij	lokale opslag	welke tocht je offline haalde, en wat je zonder bereik deed	na "Download deze tocht", of bij een handeling zonder bereik	tot ze verstuurd of gewist is
tovenarij.hersteld	sessieopslag	voorkomt dat je pagina blijft herladen bij het herstellen van je voortgang	alleen als er voortgang te herstellen is	tot je je browser sluit
tovenarij.installPromptDismissedAt	lokale opslag	de tip om de site te installeren niet blijven herhalen	alleen als je die tip wegklikt	30 dagen
tovenarij-shell, tovenarij-assets, tovenarij-tocht	cachegeheugen	de site laten werken zonder bereik	de eerste twee na je eerste klik of scroll, de derde pas na "Download deze tocht"	tot je ze wist of uitlogt
tovenarij.avontuurinfo, tovenarij.stuk.…	lokale opslag	onthouden welk paneel open stond in het beheer	alleen als beheerder, na een klik	tot je ze wist
tovenarij.briefjes	lokale opslag	waar jij een briefje van een verzamellijst op de kaart hebt gelegd, zodat het daar blijft hangen	zodra je een briefje versleept	tot je ze wist

Voor niets van dit alles is toestemming vereist. Het is allemaal ofwel strikt noodzakelijk voor een dienst die je zelf vraagt, ofwel gebeurt het pas nadat je er zelf op klikt. Dat is de uitzondering in artikel 10/2, tweede lid van de wet van 30 juli 2018, de Belgische omzetting van de Europese ePrivacy-regels. Daarom vind je hier geen cookiebanner: er valt niets te kiezen wat we niet al aan jou overlaten. Alleen de "onthoud mij"-cookie vraagt wel toestemming, en die geef je door dat vakje aan te vinken; het staat standaard uit.

Wil je alles weg? In je browserinstellingen wis je cookies en opslag voor deze site in één handeling. Uitloggen wist bovendien meteen de tocht die je offline had gehaald.

5. Met wie we gegevens delen

• Hetzner Online GmbH (Duitsland, EU): hosting van de site en de databank.
• Combell (België, EU): het versturen en ontvangen van e-mail.
• OpenStreetMap Foundation: bij een avontuur met een kaart haalt je browser de kaarttegels rechtstreeks bij OpenStreetMap, meteen bij het openen van de pagina en zonder dat je iets hoeft te doen. Daarbij ziet OpenStreetMap je IP-adres, je browsertype en welke tegels je opvraagt. Wij en de OSM Foundation zijn samen verantwoordelijk voor die doorgifte, niet voor wat zij er daarna mee doen. De stichting zelf zit in het Verenigd Koninkrijk en Nederland; de tegels komen van een wereldwijd netwerk van cacheservers, waarvan de stichting de locatie niet specificeert. Zie het privacybeleid van de OSM Foundation.
• Stripe: zodra er ooit voor een avontuur betaald wordt, gebeurt dat bij Stripe. Wij bewaren dan enkel je klantnummer bij Stripe en het soort en de laatste vier cijfers van je kaart; je kaartgegevens zelf komen nooit op onze server. Vandaag staat betalen uit en gebeurt er dus niets bij Stripe.

Beeld- en audiobewerking (compressie, stemgeneratie) gebeurt uitsluitend op inhoud die de beheerders aanleveren; daar gaan geen bezoekersgegevens doorheen.

6. Hoe lang we gegevens bewaren

• Je accountgegevens: zolang je account bestaat. Verwijder je je account, dan verdwijnen je gegevens definitief.
• Je sessie, met IP-adres en browsertype: 7 dagen.
• De tellingen van de bezoekersteller: 12 maanden, daarna wist de server ze automatisch.
• Serverlogboeken en databankbackups: maximaal enkele weken, daarna worden ze automatisch overschreven.
• Wat op jouw eigen toestel staat, blijft daar tot jij het wist. Zie de tabel bij punt 4.

7. Jouw rechten

Je hebt het recht op inzage, verbetering, verwijdering, beperking, overdraagbaarheid en bezwaar. Je account verwijderen kan rechtstreeks via je profielpagina; voor al de rest mail je balthazar@tovenarij.be. We antwoorden binnen dertig dagen.

Ben je niet tevreden met hoe we met je gegevens omgaan, dan kan je klacht indienen bij de Gegevensbeschermingsautoriteit.

8. Wijzigingen

Wijzigt dit beleid, dan passen we de datum bovenaan aan. Bij ingrijpende wijzigingen verwittigen we accounthouders via e-mail.