Privacyverklaring

1. Wie is verantwoordelijk

De verwerkingsverantwoordelijke voor uw persoonsgegevens in de zin van de Algemene verordening gegevensbescherming (AVG) is de exploitant van BaZi.cards:

Voor elk verzoek dat verband houdt met uw privacy kunt u schrijven naar support@bazi.cards. Wij hebben geen afzonderlijke functionaris voor gegevensbescherming aangewezen; de exploitant behandelt alle verzoeken persoonlijk.

2. Welke gegevens wij verzamelen

Wij verzamelen uitsluitend wat de Dienst daadwerkelijk nodig heeft.

• Accountgegevens — uw e-mailadres, uw wachtwoord in gehashte vorm (het wachtwoord zelf krijgen wij nooit te zien), de taal van uw interface en de datum van registratie.
• Geboortegegevens — datum, tijdstip en plaats van geboorte en, desgewenst, uw geslacht. U kunt ook de geboortegegevens van een andere persoon invoeren (bijvoorbeeld voor een compatibiliteitsduiding); in dat geval bevestigt u dat u gerechtigd bent die gegevens te delen.
• Vragen aan het Orakel — de tekst van de vragen die u stelt en de automatisch gegenereerde antwoorden, opgeslagen in uw account zodat u er later naar kunt terugkeren.
• Aankoopgegevens — welke duidingen u heeft besteld, het bedrag, de valuta, de datum en een bestelnummer. Kaartnummers en andere betaalgegevens worden uitsluitend door de betaaldienstverlener verwerkt en bereiken onze servers nooit.
• Wachtlijstgegevens — vraagt u ons u te laten weten wanneer betalen in uw regio mogelijk wordt, dan verzamelen wij het door u ingevoerde e-mailadres, de taalversie van de site en het product en de prijs die op dat moment aan u werden getoond.
• Gegevens van het aanbevelingsprogramma — als in uw regio een aanbevelingsprogramma beschikbaar is en u daaraan deelneemt (door iemand uit te nodigen of een uitnodiging te volgen), bewaren wij gesleutelde hashes (HMAC) van het IP-adres, van het netwerk daarvan en van de browser-ID om zelfaanbeveling en misbruik op te sporen. Een hash is niet tot het adres zelf te herleiden; de hashes worden ongeveer zes maanden na het laatste bezoek bewaard. Grondslag: ons gerechtvaardigd belang bij fraudepreventie.
• Technische gegevens — IP-adres, browsertype, apparaattype, verwijzende pagina, tijdstip van het verzoek en foutlogboeken. Deze zijn nodig om de site veilig te laten draaien en te beschermen tegen misbruik.
• Cookies en lokale opslag — zie artikel 9 en het afzonderlijke Cookiebeleid.

3. Geboortegegevens behandelen wij als gevoelig

Een geboortedatum, een exact geboortetijdstip en een geboorteplaats kunnen, in combinatie met de vragen die u stelt, veel over een persoon onthullen. Hoewel dergelijke gegevens niet altijd behoren tot de “bijzondere categorieën van persoonsgegevens” in de zin van artikel 9 AVG, kennen wij ze bewust het beschermingsniveau van gevoelige gegevens toe:

• wij verwerken ze uitsluitend om uw kaart op te stellen en te duiden, en nooit voor reclame of profilering ten behoeve van derden;
• wij vragen uw uitdrukkelijke toestemming vóór de eerste berekening;
• u kunt ze op elk moment uit uw account verwijderen, waarna wij ze uit onze systemen wissen zoals beschreven in artikel 5;
• wij verkopen, verhuren of delen ze nooit met datahandelaren.

4. Doeleinden en grondslagen

Waar de verwerking op toestemming berust, kunt u die toestemming te allen tijde intrekken; de intrekking laat de rechtmatigheid van de verwerking vóór de intrekking onverlet.

5. Hoe lang wij gegevens bewaren

• Account, geboortegegevens, duidingen en Orakelgeschiedenis — zolang uw account bestaat. Verwijdert u het account, dan worden deze gegevens binnen 30 dagen gewist; back-ups worden binnen nog eens 90 dagen overschreven.
• Aankoopadministratie — gedurende de termijn die de op de exploitant toepasselijke fiscale en boekhoudkundige wetgeving voorschrijft (doorgaans 5 tot 10 jaar), in een vorm die geen geboortegegevens meer bevat.
• Technische logboeken — maximaal 90 dagen, tenzij een concreet incident een langere bewaring vereist.
• Correspondentie met de klantenservice — maximaal 3 jaar na het laatste bericht.
• Wachtlijstgegevens — totdat u ons vraagt uw adres te verwijderen, en in ieder geval niet langer dan 24 maanden vanaf de datum van inschrijving op de wachtlijst.
• Toestemming voor de nieuwsbrief — totdat u zich afmeldt.

6. Wie de gegevens verder ziet

Wij verkopen geen persoonsgegevens en delen ze niet met adverteerders. Voor de exploitatie van de Dienst maken wij gebruik van een beperkt aantal verwerkers, die op grond van een schriftelijke verwerkersovereenkomst uitsluitend in onze opdracht handelen:

• Hosting — servers in de Europese Unie (Finland). Daar bevinden zich de database, de kaartberekeningen en de opslag van uw account, uw duidingen en uw Orakelgeschiedenis.
• Domeinnamen en formulierbeveiliging — Cloudflare, Inc. (Verenigde Staten). Cloudflare beheert de DNS van onze domeinen en, op de aanmeld- en kaartformulieren, de controle Cloudflare Turnstile die nagaat of een echt mens het formulier gebruikt; voor die controle verwerkt Cloudflare uw IP-adres en technische browsergegevens. De site zelf wordt rechtstreeks vanaf onze servers in Finland geleverd, niet via het netwerk van Cloudflare. Cloudflare handelt op onze instructies op grond van zijn verwerkersaddendum.
• Tekstgeneratie — de tekst van de antwoorden van het Orakel (en, wanneer in uw regio betaalde duidingen beschikbaar zijn, ook van de duidingen) wordt opgesteld met behulp van een externe aanbieder van een tekstgeneratiedienst, gevestigd in de Verenigde Staten. Deze ontvangt per verzoek uitsluitend de tekst van uw vraag of van het onderdeel dat wordt geschreven, en de daarvoor benodigde berekende kaartgegevens (de pilaren, de elementen, de bijbehorende indicatoren van de kaart en de voor dat onderdeel geselecteerde regels uit de traditie). Uw e-mailadres, wachtwoord en betaalgegevens ontvangt deze partij niet. De aanbieder handelt in onze opdracht op grond van een verwerkersovereenkomst (artikel 28 AVG); volgens zijn voorwaarden worden de gegevens niet gebruikt om zijn modellen te trainen en kunnen zij gedurende een beperkte termijn van maximaal 30 dagen worden bewaard om misbruik op te sporen, waarna zij worden gewist.
• E-mailbezorging — Brevo (Sendinblue SAS, Frankrijk) verzendt bevestigingsmails, wachtwoordherstel en, met uw toestemming, nieuwsbrieven. Brevo ontvangt uw e-mailadres en de inhoud van het bericht.
• Betaaldienstverlener — de door de exploitant gekozen betaaldienstverlener ontvangt de gegevens die nodig zijn om de betaling te verwerken (bedrag, valuta, bestelnummer en de gegevens die u op zijn eigen betaalpagina invoert). Voor de betaling zelf is de betaaldienstverlener een zelfstandige verwerkingsverantwoordelijke; zijn naam wordt vóór de betaling op de betaalpagina getoond. Op onze betaalpagina wordt het betaalformulier geleverd door Stripe (Stripe Payments Europe, Ltd., Ierland, en Stripe, Inc., Verenigde Staten): bij het openen van de betaalpagina plaatst Stripe eigen cookies en verzamelt het technische apparaat- en browsersignalen om betalingsfraude te voorkomen (zie het cookiebeleid).
• Telegram — gebruikt u onze bot @Bazinterbot, dan verwerkt Telegram Messenger Inc. uw berichten onder zijn eigen privacybeleid; wij ontvangen uw Telegram-identificatienummer en de berichten die u aan de bot stuurt.
• Wachtlijst — de adressen die u in het wachtlijstformulier achterlaat, worden opgeslagen in onze eigen database op dezelfde EU-servers en worden aan niemand anders doorgegeven.

Daarnaast kunnen wij gegevens verstrekken wanneer de wet dat vereist, bijvoorbeeld naar aanleiding van een rechtmatig verzoek van een rechter of een bevoegde autoriteit, of om rechtsvorderingen in te stellen, uit te oefenen of te onderbouwen.

7. Doorgifte naar landen buiten de EU

Onze servers staan in de Europese Unie (Finland); daar worden uw account, uw geboortegegevens, uw duidingen en uw Orakelgeschiedenis opgeslagen. Een aantal in artikel 6 genoemde verwerkers verwerkt gegevens buiten uw land:

• Verenigde Staten — tekstgeneratiedienst. Wanneer u een vraag aan het Orakel stelt (of wanneer een duiding voor u wordt opgesteld), worden de tekst van de vraag en de in artikel 6 beschreven berekende kaartgegevens via een versleutelde verbinding verzonden naar de aanbieder in de Verenigde Staten, die de tekst van het antwoord terugstuurt. Uw e-mailadres, wachtwoord en betaalgegevens worden niet verzonden. Voor gebruikers in de EU/EER, Zwitserland en het Verenigd Koninkrijk steunt deze doorgifte op de door de Europese Commissie goedgekeurde standaardcontractbepalingen (met het Britse addendum daarop), die deel uitmaken van de verwerkersovereenkomst met de aanbieder; voor gebruikers elders steunt zij op het mechanisme dat het plaatselijke recht vereist, beschreven in artikel 12. Deze doorgifte is noodzakelijk om uw vraag te beantwoorden; wilt u dat niet, gebruik dan het Orakel niet.
• Verenigde Staten — formulierbeveiliging (Cloudflare Turnstile). Cloudflare kan uw IP-adres en technische verzoekgegevens verwerken in de Verenigde Staten en in andere landen waar zijn netwerk actief is. Voor gebruikers in de EU/EER, Zwitserland en het Verenigd Koninkrijk steunt dit op de standaardcontractbepalingen die deel uitmaken van het verwerkersaddendum van Cloudflare; voor gebruikers elders steunt dit op het mechanisme dat het plaatselijke recht vereist, beschreven in artikel 12.
• Telegram en e-mailbezorging. Gebruikt u onze Telegram-bot, dan verwerkt Telegram Messenger Inc. uw berichten onder zijn eigen beleid; Brevo verzendt onze e-mails vanuit de Europese Unie.

Wij beperken de doorgegeven gegevens tot wat elke verwerker werkelijk nodig heeft en verkopen nooit persoonsgegevens.

8. Uw rechten

Afhankelijk van uw woonplaats heeft u de volgende rechten, die wij voor iedere gebruiker eerbiedigen ongeacht het rechtsgebied:

• Inzage — een kopie ontvangen van de gegevens die wij over u bewaren;
• Rectificatie — onjuiste gegevens laten corrigeren (geboortegegevens kunt u zelf in uw account aanpassen);
• Gegevenswissing — uw account en gegevens laten verwijderen;
• Beperking en bezwaar — de verwerking op grond van gerechtvaardigd belang laten beperken of daartegen bezwaar maken;
• Overdraagbaarheid — uw gegevens in een machineleesbaar formaat ontvangen;
• Intrekking van toestemming — te allen tijde, voor nieuwsbrieven en de verwerking van geboortegegevens;
• Klacht — een klacht indienen bij een toezichthoudende autoriteit. In Nederland is dat de Autoriteit Persoonsgegevens; elders in de EU/EER de gegevensbeschermingsautoriteit van uw woonland en in het Verenigd Koninkrijk de Information Commissioner's Office (ICO).

Om een recht uit te oefenen schrijft u naar support@bazi.cards vanaf het e-mailadres dat aan uw account is gekoppeld. Wij antwoorden binnen 30 dagen; bij een complex verzoek kunnen wij deze termijn met nog eens 60 dagen verlengen en laten wij u weten waarom. Wij brengen geen kosten in rekening, tenzij een verzoek kennelijk ongegrond of buitensporig is.

9. Cookies en statistieken

De site gebruikt een beperkt aantal strikt noodzakelijke cookies en vergelijkbare technieken: bazi_uid — een anoniem identificatienummer dat uw berekeningen, gratis duidingen en aankopen aan elkaar koppelt voordat u inlogt (400 dagen); bazi_session_nl — houdt u ingelogd in uw account (30 dagen); bazi_lang — uw taalvoorkeur (tot 1 jaar); en enkele gegevens in de lokale opslag van uw browser — uw cookiekeuze, de laatst berekende kaart en de kaarten die u heeft opgeslagen, een anoniem identificatienummer en, als u dat heeft ingevoerd, het e-mailadres voor bevestigingen en meldingen. Lokale opslag blijft op uw apparaat totdat u deze wist. De volledige lijst staat in het Cookiebeleid.

Om te begrijpen hoe de site wordt gebruikt, houden wij een eigen (first-party) statistiek bij die op deze site wordt gehost. Zij legt anonieme gebruiksgegevens vast — bekeken pagina's, verwijzende bron, klikken, scrolldiepte, tijd op de pagina, apparaattype en schermbreedte — met een script dat wij zelf leveren, zonder cookies, zonder browseropslag en zonder u persoonlijk te identificeren. Wij gebruiken geen webanalysedienst van derden (zoals Google Analytics of Yandex Metrica), plaatsen geen analytische of advertentiecookies en gebruiken geen socialemediapixels. Een eenvoudige meting van paginaweergaven draait bij elk bezoek; de uitgebreidere meting (klikkaarten en scroll-registratie) wordt pas geladen nadat u in de cookiebanner op “Alles accepteren” heeft geklikt, zoals artikel 11.7a van de Telecommunicatiewet voorschrijft. Details staan in het Cookiebeleid.

Sessie-opname. Pas nadat je op ‘Alles accepteren’ hebt gedrukt, legt de uitgebreide meting ook vast waar op het scherm je klikt en maakt ze een anonieme opname van je bezoek aan de pagina — wijzigingen op de pagina, muisbewegingen, klikken en scrollen — zodat we fouten op de site kunnen vinden en verhelpen. Alles wat je in invoervelden typt, wordt gemaskeerd en nooit opgenomen; blokken met je geboortegegevens, berekeningsresultaten en het betaalformulier vallen buiten de opnames. Een opname is alleen gekoppeld aan een willekeurige sessie-ID, niet aan je account, e-mailadres of betaalgegevens. Je kunt je toestemming op elk moment intrekken via de cookie-instellingen; de opname stopt dan.

10. Leeftijdsgrens

De Dienst is bestemd voor volwassenen. Wij maken niet bewust accounts aan voor, en aanvaarden niet bewust betalingen van, personen jonger dan 18 jaar. Vermoedt u dat een minderjarige ons persoonsgegevens heeft verstrekt, schrijf ons dan; wij verwijderen die gegevens.

11. Beveiliging

Al het verkeer is versleuteld (TLS). Wachtwoorden worden opgeslagen als gezouten hashes. De toegang tot de database is beperkt tot de exploitant en wordt gelogd. De integriteit van de applicatie wordt vóór elke release gecontroleerd. Geen enkel systeem is volmaakt veilig; ontdekken wij ooit een inbreuk in verband met persoonsgegevens die waarschijnlijk gevolgen heeft voor uw rechten, dan informeren wij u en de bevoegde autoriteit binnen de wettelijke termijnen.

12. Regionale bepalingen

Nederland, Europese Economische Ruimte en Verenigd Koninkrijk

Wij verwerken persoonsgegevens in overeenstemming met Verordening (EU) 2016/679 (Algemene verordening gegevensbescherming, AVG) en, voor gebruikers in Nederland, de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG). De toezichthoudende autoriteit in Nederland is de Autoriteit Persoonsgegevens. Voor gebruikers in het Verenigd Koninkrijk gelden de UK GDPR en de Data Protection Act 2018. De in artikel 4 genoemde grondslagen verwijzen naar artikel 6 (en, voor geboortegegevens, waar van toepassing artikel 9) van deze verordeningen.

Andere landen

Waar u zich ook bevindt, wij passen dezelfde standaard toe als in deze verklaring beschreven; kent het plaatselijke recht u aanvullende rechten toe, dan eerbiedigen wij die.

13. Wijzigingen van deze verklaring

Wij kunnen deze verklaring bijwerken wanneer de Dienst of de wetgeving verandert. De geldende versie en de datum daarvan staan altijd bovenaan deze pagina. Raakt een wijziging uw rechten wezenlijk, dan informeren wij geregistreerde gebruikers per e-mail voordat zij in werking treedt.