Privacyverklaring

Verantwoordelijke en reikwijdte

Nostium B.V., Bogert 1, 5612 LX Eindhoven, Nederland, is verantwoordelijk voor de verwerkingen waarvoor zij zelf het doel en de middelen bepaalt. Deze verklaring geldt voor de publieke website en, voor zover Nostium daar verantwoordelijk is, voor Nostium-accounts, reserveringsomgevingen, portals, integraties, support en zakelijke dienstverlening. Voor privacyvragen of verzoeken kunt u dataprotection@nostium.com gebruiken; algemene vragen kunnen naar support@nostium.com of +31 (0)40 8200 194.

Rollen bij aangesloten organisaties

Wanneer u reserveert bij een organisatie die Nostium gebruikt, is die organisatie doorgaans verantwoordelijk voor de dienstverlening, de inhoud van de reservering en haar eigen klantcommunicatie. Nostium verwerkt gegevens als verwerker wanneer het uitsluitend namens die organisatie handelt, als zelfstandig verwerkingsverantwoordelijke voor eigen doeleinden zoals platformbeveiliging en administratie, of als gezamenlijk verwerkingsverantwoordelijke wanneer partijen daadwerkelijk samen doelen en middelen bepalen. De toepasselijke overeenkomst legt de rolverdeling vast; u mag uw rechten bij iedere relevante partij uitoefenen.

Welke gegevens en bronnen

Afhankelijk van de dienst kan Nostium naam, adres, geboortedatum, e-mailadres, telefoonnummer, organisatie- of locatierelatie, account- en autorisatiegegevens, reserveringsdetails, deelnemers, voorkeuren of opmerkingen, betaal- en factuurstatus, correspondentie, supportinformatie en technische loggegevens verwerken. Gegevens komen van uzelf, uw werkgever of organisatie, de locatie waarbij u reserveert, een gekoppeld ticket-, voucher-, betaal- of verkoopplatform, of worden technisch gegenereerd tijdens het gebruik. We vragen niet meer gegevens dan redelijkerwijs nodig voor het betreffende doel.

Websitebezoek en technische gegevens

Voor noodzakelijk beheer kunnen IP-adres, apparaat- en browserinformatie, taalinstelling, datum en tijd, bezochte route, verwijzende pagina en fout- of beveiligingsgegevens worden verwerkt om de dienst beschikbaar en veilig te houden. Na uw afzonderlijke toestemming kunnen Google Analytics en Microsoft Clarity daarnaast een online identificator, globale regio, sessie- en campagnegegevens, paginaweergaven en interacties zoals klikken, scrollen en weergavegedrag verwerken. Clarity kan daarvan gemaskeerde sessie-opnamen en heatmaps maken; invoervelden en gevoelige inhoud worden gemaskeerd. Tracklution kan na marketingtoestemming campagneparameters en conversie-events verwerken. Zonder toestemming vinden deze optionele verwerkingen niet plaats.

Contact-, demo- en partneraanvragen

Wanneer u een formulier indient, verwerkt Nostium de noodzakelijke en door u ingevulde contact-, bedrijfs- en berichtgegevens om uw vraag, demo- of samenwerkingsverzoek te registreren, intern toe te wijzen, te beantwoorden en op te volgen. Bedrijf bij een contactvraag en achternaam of telefoonnummer bij een demo zijn optioneel; laat vrije tekst weg die niet nodig is voor uw verzoek. Alle aanvragen worden eerst in het Nostium CMS opgeslagen. Na goedkeuring en activering van de betreffende verwerking kunnen contact- en demoaanvragen per e-mail naar het bevoegde team, naar de Nostium Hub en, wanneer ingeschakeld, naar het bestaande HubSpot-formulier gaan. Partneraanvragen kunnen na goedkeuring van de mailverwerking per e-mail worden verzonden. Het CMS wist open aanvragen uiterlijk 24 maanden na ontvangst en afgesloten of gearchiveerde aanvragen uiterlijk 12 maanden na afsluiting. Een verwijderverzoek wordt waar nodig ook aan de ontvangers doorgegeven. Dit gebeurt om uw verzoek uit te voeren en op basis van ons gerechtvaardigd belang in ordelijke relatie- en aanvraagadministratie.

Reserveringen, deelnemers en betalingen

Voor een reservering kunnen identificatie- en contactgegevens, datum, tijd, activiteit, locatie, aantal of namen van deelnemers, speciale verzoeken, bedrag, betaalmethode, betaalstatus en transactie-identificatoren worden verwerkt. Doelen zijn het uitvoeren en wijzigen van de reservering, betalingen, toegangscontrole, capaciteit en planning, bevestigingen, herinneringen, terugbetalingen, ondersteuning, fraudepreventie en naleving van fiscale of andere wettelijke verplichtingen. De aangesloten organisatie blijft het primaire aanspreekpunt voor de inhoud van haar aanbod en dienstverlening.

Accounts en gebruikersbeheer

Voor persoonlijke of zakelijke accounts verwerkt Nostium onder meer naam, e-mailadres, versleutelde authenticatiegegevens, tweefactorinstellingen, organisatie- en locatierelaties, rollen, rechten, login- en auditgegevens en instellingen. Dit is nodig voor accountaanmaak, authenticatie, autorisatie, ondersteuning, beveiliging en uitvoering van de overeenkomst. Deel nooit inloggegevens met anderen; beheerders van een organisatie zijn mede verantwoordelijk voor correcte gebruikersrechten binnen hun omgeving.

Klanten, overeenkomsten en administratie

Voor zakelijke klanten, leveranciers en partners verwerken we contactgegevens, functie, correspondentie, afspraken, offertes, facturen, betaalstatus en ondersteuningshistorie om overeenkomsten voor te bereiden en uit te voeren, service te leveren, relaties te beheren, rechten vast te stellen en aan administratieve verplichtingen te voldoen. Verplichte gegevens worden als zodanig gevraagd; zonder noodzakelijke contact-, reserverings-, account- of betaalgegevens kan de betreffende dienst mogelijk niet worden geleverd.

Nieuwsbrief en marketing van Nostium

Na een vrijwillige inschrijving verwerkt Nostium uw e-mailadres, taal, toestemmingsmoment, beleidsversie en aan- of afmeldstatus om relevante productupdates of informatie te sturen. Naam en bedrijf zijn optioneel. Marketing waarvoor toestemming nodig is, wordt uitsluitend op toestemming gebaseerd. De inschrijving en het bewijs van toestemming worden maximaal 24 maanden na de laatste uitdrukkelijke bevestiging actief gehouden; daarna stoppen we de verzending of vragen we opnieuw toestemming. U kunt eerder intrekken via de afmeldmogelijkheid of dataprotection@nostium.com; dit heeft geen invloed op eerdere rechtmatige verwerking. Bij intrekking verwijdert het website-CMS nog niet uitgevoerde lokale mailkopieën, blokkeert het gewone opvolging en bulkexport en wist het de gearchiveerde aanvraag uiterlijk 12 maanden later. Een gebruikte nieuwsbriefdienst moet de afmelding daarnaast direct uitvoeren en mag alleen een minimale blokkadevermelding bewaren zolang dat nodig is om de afmelding te respecteren.

Communicatie van aangesloten organisaties

Een aangesloten organisatie kan via Nostium noodzakelijke reserveringsberichten laten verzenden, zoals bevestigingen, herinneringen, wijzigingen, annuleringen of serviceberichten. Voor de inhoud en grondslag van eigen marketing van die organisatie is de organisatie verantwoordelijk; Nostium faciliteert de technische verzending volgens de gemaakte privacy- en verwerkersafspraken. U kunt vragen of bezwaren over zulke marketing ook rechtstreeks aan de afzender richten.

Cookies en toestemming

De publieke website gebruikt noodzakelijke technieken voor sessiebeveiliging, formulierbescherming en het onthouden van uw keuze. Google Tag Manager, Google Analytics en de analytische functies van Microsoft Clarity blijven uit totdat u Analytisch toestaat; Tracklution en advertentiegerelateerde Microsoft-opslag blijven uit totdat u Marketing toestaat. Nostium gebruikt de strikte opt-invariant en verstuurt bij weigering ook geen cookieloze meetverzoeken. De actuele categorieën, technieken, bewaartermijnen en regels voor Nederland, de EU en Duitsland staan in het cookiebeleid. Toestemming kan via de vaste Cookie-instellingen even eenvoudig worden ingetrokken als gegeven; geladen leveranciers krijgen dan de weigering, bereikbare optionele eerstepartij-opslag wordt verwijderd en de pagina herstart zonder de ingetrokken scripts.

Wettelijke grondslagen

Nostium verwerkt persoonsgegevens wanneer dit nodig is voor een overeenkomst of stappen op uw verzoek, om aan een wettelijke verplichting te voldoen, op basis van uw toestemming, of voor een gerechtvaardigd belang zoals beveiliging, continuïteit, fraudepreventie, ondersteuning en zorgvuldig relatiebeheer. Bij een gerechtvaardigd belang wegen we dat belang af tegen uw rechten en verwachtingen. Voor bijzondere persoonsgegevens geldt alleen een passende uitzondering uit de AVG; verstrek zulke gegevens niet tenzij de dienst of locatie daar uitdrukkelijk om vraagt.

Ontvangers, verwerkers en Cherry B.V.

Toegang is beperkt tot bevoegde medewerkers, de aangesloten organisatie en dienstverleners die nodig zijn voor hosting, e-mail, support, beveiliging, betalingen, formulieren, CRM of integraties. Contact- en demoformulieren kunnen aan Nostium Hub en HubSpot worden doorgegeven zoals hierboven beschreven. Na de betreffende toestemming kunnen Google Ireland Limited, Microsoft Ireland Operations Limited en Tracklution Oy de gegevens ontvangen die nodig zijn voor de beschreven meting; Tracklution kan toegestane events doorgeven aan vooraf geïnventariseerde advertentieplatforms. Nostium kan noodzakelijke gegevens delen met moedermaatschappij Cherry B.V., Galvanistraat 23A, 3861 NJ Nijkerk, voor interne bedrijfsvoering, ondersteuning, beveiliging, audit, compliance en administratie. Een externe verwerker wordt pas geactiveerd nadat rollen, instructies, beveiliging, subverwerkers, verwijdering en auditrechten contractueel zijn vastgelegd; waar partijen samen doelen en middelen bepalen, worden verantwoordelijkheden volgens artikel 26 AVG vastgelegd.

Doorgifte buiten de EER

Tracklution verwerkt primair bij AWS in Stockholm. Google, Microsoft, hun subverwerkers en vooraf geïnventariseerde advertentieplatforms kunnen gegevens ook vanuit of buiten de EER verwerken, waaronder in de Verenigde Staten. Voor activering legt Nostium per doorgifte het land, de ontvanger, het toepasselijke adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie, de doorgiftebeoordeling en aanvullende technische en organisatorische maatregelen vast. Een actuele lijst van relevante subverwerkers en waarborgen is op verzoek beschikbaar via dataprotection@nostium.com.

Bewaartermijnen

Persoonsgegevens worden niet langer bewaard dan nodig voor het doel, wettelijke verplichtingen en mogelijke geschillen. Open websiteaanvragen worden in het CMS maximaal 24 maanden na ontvangst bewaard; afgesloten of gearchiveerde aanvragen maximaal 12 maanden na afsluiting. Nieuwsbrieftoestemming wordt maximaal 24 maanden na de laatste uitdrukkelijke bevestiging actief gehouden. De applicatie wist verlopen CMS-records dagelijks; mislukte wachtrijtaken met formulierinhoud na maximaal zeven dagen en CMS-audits na één jaar. Tijdelijke pagina-autosaves ouder dan 24 uur worden ieder uur gewist. Pagina- en catalogusrevisies worden uiterlijk na één jaar gewist en per onderdeel begrensd tot de nieuwste twintig snapshots; zodra de aantalsgrens eerder wordt overschreden, vervallen de oudste snapshots. Tijdelijke CMS-bewerksloten verlopen na 90 seconden en worden uiterlijk binnen vijf minuten daarna uit de database verwijderd. Beveiligingslimieten voor formulieren en CMS-aanmeldingen verlopen na één minuut; verlopen databasecache- en cache-lockrecords worden uiterlijk binnen vijf minuten daarna fysiek gewist en aangepaste CMS-aanmeldsleutels bevatten geen leesbaar e-mailadres of IP-adres. Het CMS biedt geen blijvende aanmelding: oude onthoudtokens worden ongeldig gemaakt en een achtergebleven onthoudcookie wordt op het inlogscherm verwijderd. Een afzonderlijke CMS-activiteitstijd wordt alleen door CMS-verzoeken vernieuwd; na twee uur zonder CMS-activiteit wordt de gebruiker ook tijdens een bezoek aan de publieke website uitgelogd. Gewoon websitebezoek kan de CMS-limiet dus niet verlengen. Bij permanente verwijdering van een websiteaanvraag wist de applicatie ook direct de nog lokale wachtrijtaken en mislukte wachtrijkopieën die bij die aanvraag horen. Tijdens een geldige verwerkingsbeperking markeert het CMS de aanvraag voor opslag en privacyafhandeling, verwijdert het nog aanwezige lokale wachtrijkopieën, blokkeert het gewone opvolging en bulkexport en plant het binnen 30 dagen een herbeoordeling. Automatische verwijdering wordt alleen zolang de beperking bewaring vereist gepauzeerd en hervat nadat de beperking rechtsgeldig is opgeheven. Voor het website-CMS zijn sessies maximaal twee uur geldig en wachtwoordreset-tokens maximaal één uur; verlopen records worden binnen vijftien minuten gewist en lokale applicatielogs maximaal veertien dagen bewaard. Uitgeschakelde CMS-medewerkersaccounts kunnen, zodra zij niet meer nodig zijn en behoud niet verplicht is, inclusief authenticatieresten en identificerende auditkopieën permanent worden verwijderd. Een openbare CMS-upload blijft beschikbaar zolang die voor websitepublicatie nodig is; na verplaatsing naar de prullenbak worden het bestand, de mediagegevens en bijbehorende auditkopieën uiterlijk na 30 dagen definitief gewist. Overige account- en klantgegevens blijven in beginsel bestaan tijdens de relatie en worden daarna verwijderd, geanonimiseerd of beperkt toegankelijk gemaakt; reserverings-, transactie- en factuurgegevens kunnen doorgaans zeven jaar voor de administratie worden bewaard. Google Analytics-cookies kunnen standaard maximaal twee jaar blijven staan; Nostium stelt de bewaartermijn voor Google Analytics-gebeurtenisgegevens in op twee maanden. Clarity-opnamen worden 30 dagen bewaard en gemarkeerde opnamen en heatmap-/klikgegevens maximaal negen maanden. Tracklution-eventgegevens worden maximaal twaalf maanden bewaard. De precieze browsertermijnen staan in de cookie-inventaris. Een incident, rechtsvordering of bewaarplicht kan een langere termijn vereisen; in dat geval wordt toegang beperkt en de reden vastgelegd.

Beveiliging en incidenten

Nostium gebruikt passende technische en organisatorische maatregelen, waaronder versleutelde verbindingen, rollen en rechten, sterke authenticatie waar passend, netwerk- en omgevingsscheiding, logging, back-ups, updates, toegangsbeoordeling en procedures voor ontwikkeling en incidentrespons. Afbeeldingen die via het website-CMS worden geüpload, worden vóór publicatie opnieuw gecodeerd zodat ingesloten locatie-, apparaat-, auteurs- en commentaarmetadata niet openbaar wordt gemaakt. Alleen personen die de gegevens voor hun taak nodig hebben, krijgen toegang en zijn aan geheimhouding gebonden. Beveiligingsincidenten worden onderzocht, gedocumenteerd en waar de AVG dit vereist binnen 72 uur aan de toezichthouder en bij een hoog risico aan betrokkenen gemeld.

Uw privacyrechten

U kunt, afhankelijk van de voorwaarden in de AVG, vragen om inzage en een kopie, correctie, verwijdering, beperking of overdraagbaarheid van uw gegevens. U kunt bezwaar maken tegen verwerking op basis van een gerechtvaardigd belang en altijd bezwaar maken tegen direct marketing. Wanneer verwerking op toestemming berust, kunt u die toestemming voor de toekomst intrekken. Ook kunt u informatie vragen over ontvangers, herkomst, bewaartermijnen en relevante waarborgen bij internationale doorgifte.

Verzoeken en klachten

Stuur een verzoek naar dataprotection@nostium.com en vermeld voldoende context om de betreffende gegevens te vinden. Om misbruik te voorkomen kunnen we uw identiteit proportioneel verifiëren. Bij een geldige verwijdering wissen we ook herkenbare lokale wachtrijkopieën. Bij correctie, verwijdering of beperking informeren we andere ontvangers wanneer artikel 19 AVG dat vereist; vóór het opheffen van een beperking informeren we u. Nostium reageert in beginsel binnen één maand; bij een complex of omvangrijk verzoek kan die termijn volgens de AVG met twee maanden worden verlengd en informeren we u binnen de eerste maand. U kunt een klacht indienen bij de Autoriteit Persoonsgegevens of bij de toezichthouder in het EU-land waar u woont, werkt of de vermeende inbreuk plaatsvond.

Minderjarigen

Nostium-diensten zijn niet bedoeld om zonder passende betrokkenheid van een ouder, voogd of aangesloten organisatie gegevens van kinderen te verzamelen. Een activiteit of locatie kan deelnemersgegevens nodig hebben voor een reservering; die organisatie bepaalt welke gegevens noodzakelijk zijn en op welke grondslag. Denkt u dat gegevens van een minderjarige onjuist of zonder passende grondslag zijn verwerkt, neem dan contact op zodat de situatie kan worden onderzocht en gegevens waar nodig worden verwijderd.

Geautomatiseerde besluiten en profilering

Nostium neemt volgens het huidige beleid geen besluiten met rechtsgevolgen of vergelijkbare aanzienlijke gevolgen die uitsluitend op geautomatiseerde verwerking zijn gebaseerd. Operationele regels, beschikbaarheidsberekeningen, fraudewaarschuwingen en rapportages kunnen processen ondersteunen, maar leiden niet zonder passende menselijke betrokkenheid tot zo’n individueel besluit. Als dit in de toekomst verandert, verstrekken we vooraf de vereiste informatie over logica, belang, gevolgen en uw rechten.

Openbare teamprofielen en klantreviews

Op de website kan Nostium van teamleden de voornaam, functie, initialen en, indien passend, een foto en vrijwillig gedeelde professionele profiellink tonen om duidelijk te maken wie de dienstverlening uitvoert. We beperken de gegevens, beoordelen publicatie bij een rolwijziging en ten minste jaarlijks, en verwijderen of passen een profiel aan na een gegrond bezwaar of wanneer de publicatie niet langer nodig is. Daarnaast toont Nostium een beperkte selectie van openbaar op Google geplaatste klantreviews met de daar gebruikte naam of het pseudoniem, datum, beoordeling en reviewtekst. Dit materiaal wordt rechtstreeks en zonder Google-widget, profielfoto of voorafgaand Google-verzoek vanaf de Nostium-website aangeboden. Deze publicaties berusten op ons gerechtvaardigd belang in herkenbare, betrouwbare voorlichting en promotie, na afweging tegen de betrokken belangen. U kunt vanwege uw specifieke situatie bezwaar maken of om verwijdering vragen via dataprotection@nostium.com. De knop naar meer reviews opent Google pas nadat u haar zelf activeert.

Wijzigingen en contact

We passen deze verklaring aan wanneer diensten, leveranciers, rollen of wetgeving veranderen. Bij wezenlijke wijzigingen informeren we betrokkenen via de website, het account of e-mail wanneer dat passend is. De meest recente versie vervangt eerdere versies voor toekomstige verwerking. Privacyvragen en verzoeken: dataprotection@nostium.com. Post: Nostium B.V., Bogert 1, 5612 LX Eindhoven, Nederland. Laatst bijgewerkt: 25 augustus 2026.

Uitgeschakelde CMS-accounts

Wanneer CMS-toegang wordt uitgeschakeld, beëindigt Nostium direct de bijbehorende sessies en wachtwoordherstelmogelijkheid. Uiterlijk 30 dagen later moet een beheerder beoordelen of naam, zakelijk e-mailadres en resterende account- of auditgegevens nog nodig zijn wegens beveiliging, een geschil of een wettelijke bewaarplicht. Zonder vastgelegde noodzaak wordt het account met authenticatieresten en identificerende auditkopieën permanent verwijderd; bij noodzakelijk behoud wordt de reden en een nieuwe reviewdatum in het afgeschermde register vastgelegd.

Registratie van ontvangers

Voor nieuwe websiteaanvragen legt het CMS vast welke goedgekeurde afleverkanalen voor die aanvraag in de wachtrij zijn gezet, met alleen de ontvangerscategorie, het doel, het kanaal en het tijdstip. De registratie kopieert geen naam, e-mailadres, telefoonnummer, bericht of andere formulierinhoud en volgt dezelfde bewaartermijn als de aanvraag. Een wachtrijregistratie bewijst niet dat een externe ontvanger de gegevens heeft verwerkt; bij een privacyverzoek controleert en registreert Nostium de ontvangst, correctie, beperking of verwijdering daarom afzonderlijk bij iedere toepasselijke ontvanger.