Privacybeleid

1. Wie wij zijn

Tebura BV (“Tebura”, “wij”, “ons”, “onze”) exploiteert een hotel-naar-hotel bagagetransferdienst in België. Wij zijn de verwerkingsverantwoordelijke voor uw persoonsgegevens in de zin van de Algemene Verordening Gegevensbescherming van de EU (Verordening (EU) 2016/679, “AVG”) en de Belgische wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens.

Tebura BV

Maatschappelijke zetel: Tiensevest 26 bus b0200, 3000 Leuven

KBO/CBE: 1039.726.370 | btw: BE 1039.726.370

E-mail: info@tebura.eu | Website: www.tebura.eu

Tebura heeft geen functionaris voor gegevensbescherming (DPO) aangesteld, aangezien Tebura geen overheidsinstantie is en grootschalige verwerking of verwerking van bijzondere categorieën niet tot de kernactiviteiten behoort (art. 37.1 AVG). Vragen over privacy kunnen worden gericht aan privacy@tebura.eu.

2. Toepassingsgebied

Dit privacybeleid beschrijft hoe wij persoonsgegevens verzamelen, gebruiken, delen en beschermen van (i) klanten en potentiële klanten die een boeking plaatsen via www.tebura.eu, (ii) door deze klanten aangewezen ontvangers, (iii) bezoekers van onze website, (iv) contactpersonen bij partnerhotels, leveranciers en zakenpartners, en (v) kandidaten die solliciteren voor een functie bij Tebura.

3. Persoonsgegevens die wij verzamelen

Afhankelijk van uw interactie met ons kunnen wij de volgende categorieën persoonsgegevens verzamelen.

Categorie	Voorbeelden
Identificatiegegevens	voor- en achternaam, aanspreektitel
Contactgegevens	e-mailadres, mobiel telefoonnummer, postadres (indien verstrekt)
Boekingsgegevens	vertrek- en bestemmingshotel, reisdata, aantal en type bagagestukken, boekingsreferentie, bijzondere instructies
Betaalgegevens	gemaskeerde kaartgegevens, transactiereferentie, factuuradres; volledige kaartgegevens worden rechtstreeks door Stripe verzameld en worden niet door Tebura bewaard
Communicatiegegevens	e-mails, chatberichten, supporttickets, opnames of notities van oproepen indien van toepassing
Servicegegevens	tijdstempels van ophaling en levering, foto's van de bagage en de Tebura-tag (deze foto's leggen geen identificeerbare beelden van personen vast), scanlogs, handtekeningen of elektronische bevestigingen van de hotelreceptie
Marketinggegevens	opt-instatus, voorkeuren, openingen en kliks in marketinge-mails (indien aangemeld)
Technische gegevens	IP-adres, apparaat- en browserinformatie, loggegevens, cookie-identificatoren, bezochte pagina's

Wij verwerken niet bewust bijzondere categorieën van persoonsgegevens (artikel 9 AVG). Wij vragen u dergelijke gegevens niet met ons te delen, en in het bijzonder geen medische, identiteits- of religieuze documenten in uw bagage te steken.

4. Waar wij uw persoonsgegevens vandaan halen

Wij verzamelen persoonsgegevens hoofdzakelijk rechtstreeks van u, wanneer u onze website bezoekt, een boeking voltooit, contact opneemt met onze klantendienst of via e-mail of telefoon met ons in contact treedt. Wij kunnen ook persoonsgegevens ontvangen van partnerhotels, van betaaldienstverleners en van dienstverleners die namens ons optreden.

5. Waarom wij uw persoonsgegevens gebruiken en op welke rechtsgrond

Wij verwerken persoonsgegevens alleen wanneer wij over een geldige rechtsgrond beschikken op grond van artikel 6 AVG. De onderstaande tabel beschrijft onze verwerkingsactiviteiten, hun doel en de overeenkomstige rechtsgrond.

Doel	Gebruikte categorieën	Rechtsgrond (art. 6 AVG)
De boeking uitvoeren, de bagage vervoeren en met u communiceren over de dienst	Identificatie, contact, boeking, service, communicatie	Uitvoering van een overeenkomst (art. 6(1)(b))
Betalingen en terugbetalingen verwerken	Identificatie, betaling, boeking	Uitvoering van een overeenkomst (art. 6(1)(b)) en wettelijke verplichting (art. 6(1)(c))
Facturen opstellen en boekhoudkundige stukken bijhouden	Identificatie, contact, betaling, boeking	Wettelijke verplichting (art. 6(1)(c)) — Belgische fiscale en boekhoudwetgeving
Behandeling van klachten, geschillen en verzekeringsdossiers	Alle categorieën die nodig zijn voor het dossier	Uitvoering van een overeenkomst / wettelijke verplichting / gerechtvaardigd belang (art. 6(1)(b), (c) en (f))
Onze website beveiligen, fraude en misbruik voorkomen	Technisch, communicatie	Gerechtvaardigd belang bij de bescherming van onze infrastructuur en onze klanten (art. 6(1)(f))
De website en de dienst verbeteren (analyse, A/B-testen)	Technisch	Gerechtvaardigd belang om de dienst te verbeteren met cookieloze, uitsluitend geaggregeerde analyse (art. 6(1)(f)) — zie clausule 8
U marketinge-mails sturen (nieuwsbrief, promotionele aanbiedingen)	Identificatie, contact, marketing	Toestemming (art. 6(1)(a)) — te allen tijde intrekbaar
Meten welke advertenties tot boekingen leiden (advertentiecookies van Google, Meta en OpenAI)	Technisch, advertentie-identificatoren	Toestemming (art. 6(1)(a)) gegeven via onze cookiebanner — te allen tijde intrekbaar en los van de hierboven vermelde toestemming voor marketinge-mails — zie clausule 8
Beheer van onze relaties met leveranciers, partnerhotels en prospects	Identificatie, contact, communicatie	Gerechtvaardigd belang (art. 6(1)(f))
Rekrutering van kandidaten / Bewaren van een cv in een wervingsreserve na een afwijzing	cv- en contactgegevens	Precontractuele stappen (art. 6(1)(b)) en toestemming (art. 6(1)(a))
Voldoen aan gerechtelijke bevelen en rechtmatige verzoeken van overheidsinstanties	Alle categorieën zoals vereist	Wettelijke verplichting (art. 6(1)(c))

Wanneer wij ons baseren op gerechtvaardigde belangen, hebben wij onze belangen afgewogen tegen uw rechten en vrijheden. U kunt meer informatie over deze afweging verkrijgen door contact op te nemen via privacy@tebura.eu.

6. Ontvangers van uw persoonsgegevens

Wij delen persoonsgegevens uitsluitend op een need-to-know-basis en alleen met de volgende categorieën van ontvangers:

Partnerhotels: het vertrekhotel en het bestemmingshotel ontvangen de naam van de klant, de boekingsreferentie en de minimale informatie die nodig is om de bagage over te dragen en in ontvangst te nemen.
Niet-partnerhotels aan wie wij vragen uw bagage te bewaren: wanneer uw vertrekhotel geen partnerhotel is, kunnen wij de receptie vragen uw bagage te bewaren tot onze chauffeur ze ophaalt. Over u bevat dat verzoek enkel uw naam en het aantal bagagestukken. Daarnaast bevat het de ophaaldatum, het ophaalvenster en de vrijgavecode van die dag. Wij delen geen e-mailadres en geen telefoonnummer. Beschikken wij over een geverifieerd adres van het hotel, dan sturen wij het verzoek per e-mail; anders lezen wij het telefonisch voor en krijgt het hotel uw boekingsreferentie in plaats van uw naam. Een hotel kan de lijst ontvangen vóór het heeft toegezegd de bagage te bewaren, en het treedt op voor eigen rekening en niet als onze verwerker.
Logistieke partners: de vervoerders en last-mile leveringspartners die het fysieke transport van de bagage uitvoeren, ontvangen de verzendgegevens die nodig zijn om de bagage op te halen, te vervoeren en te leveren, namelijk de naam van de klant, de boekingsreferentie, het vertrek- en bestemmingshotel, de tijdsvensters voor ophaling en levering, het aantal en type bagagestukken en eventuele specifieke behandelingsinstructies. Deze partners treden op als verwerkers namens ons op grond van een verwerkersovereenkomst die voldoet aan artikel 28 AVG.
Betaaldienstverlener: Stripe Payments Europe Ltd (Ierland) verwerkt betalingen en terugbetalingen als afzonderlijke verwerkingsverantwoordelijke voor fraudepreventiedoeleinden en als verwerker voor de betalingstransactie zelf.
Productiviteits- en communicatietools: Google Workspace (Google Ireland Limited) host onze e-mail (info@tebura.eu), agenda en gedeelde schijf.
Transactionele e-mail: Postmark (ActiveCampaign, LLC) verzendt namens ons onze boekings- en accountmails.
Foutmonitoring: Honeybadger Industries LLC verwerkt voor ons foutrapporten en bijbehorende technische gegevens op zijn EU-infrastructuur.
Hosting en infrastructuur: Render Services, Inc. host onze applicatie en database in Frankfurt (EU); Hetzner Online GmbH (Duitsland) bewaart bestanden en versleutelde back-ups.
Hotelzoekopdrachten: wanneer u een hotel zoekt dat nog niet in onze lijst staat, wordt uw zoektekst naar de Places-dienst van Google (Google Ireland Limited) gestuurd om het hotel te vinden.
Websiteanalyse: Simple Analytics, een privacyvriendelijke, cookieloze analysedienst die geen persoonsgegevens verzamelt.
Advertentiemeting: uitsluitend indien u advertentiecookies aanvaardt, ontvangen Google Ireland Limited (Google Ads), Meta Platforms Ireland Limited en OpenAI Ireland Ltd. via de in ons cookiebeleid vermelde cookies gegevens over uw bezoek. Elk van beide treedt daarbij op als zelfstandige verwerkingsverantwoordelijke onder het eigen privacybeleid, niet als onze verwerker. Dit is een ander doel dan de hierboven vermelde marketinge-mails, berust op een afzonderlijke toestemming en wordt afzonderlijk ingetrokken.
Professionele adviseurs: advocaten, accountants, auditors en verzekeraars, gebonden door beroepsgeheim of contractuele vertrouwelijkheid.
Overheidsinstanties: wanneer wij daartoe wettelijk verplicht zijn, op grond van een gerechtelijk bevel of een rechtmatig verzoek.
Overnemers of investeerders: in geval van een overwogen of daadwerkelijke reorganisatie, fusie, overname of financieringstransactie, mits passende vertrouwelijkheidswaarborgen.

Wij verkopen uw persoonsgegevens niet.

7. Internationale gegevensoverdrachten

Sommige van onze verwerkers, in het bijzonder Google en bepaalde last-mile leveringspartners, kunnen persoonsgegevens verwerken buiten de Europese Economische Ruimte (EER), waaronder in de Verenigde Staten. Hebt u advertentiecookies aanvaard, dan kunnen ook Google, Meta en OpenAI de daaruit voortvloeiende gegevens buiten de EER verwerken als zelfstandige verwerkingsverantwoordelijken. Wanneer dit het geval is, baseren wij ons op de waarborgen die vereist zijn op grond van hoofdstuk V AVG, namelijk:

een adequaatheidsbesluit van de Europese Commissie (bijvoorbeeld het EU-VS Data Privacy Framework voor gecertificeerde Amerikaanse ontvangers); of
de standaardcontractbepalingen van de EU (Uitvoeringsbesluit (EU) 2021/914), waar nodig aangevuld met bijkomende technische en organisatorische maatregelen.

Een kopie van deze waarborgen is op verzoek beschikbaar via privacy@tebura.eu.

Partnerhotels kunnen enkel de boekingsinformatie raadplegen die wij via onze systemen ter beschikking stellen, en die toegang vindt plaats binnen de EER. Wanneer wij een hotel zijn daglijst sturen of een niet-partnerhotel vragen uw bagage te bewaren, doen wij dat per e-mail en houdt het hotel er een kopie van, omdat de e-mail in de eigen mailbox van het hotel blijft. Die hotels bevinden zich in België, en de e-mail zelf wordt bezorgd door de hierboven vermelde aanbieder van transactionele e-mail.

8. Cookies en soortgelijke technologieën

Wij gebruiken cookies en soortgelijke technologieën op www.tebura.eu. Wij maken een onderscheid tussen:

Strikt noodzakelijke cookies: geplaatst zonder toestemming op grond van artikel 129 van de Belgische wet betreffende de elektronische communicatie, omdat zij nodig zijn om de website en het boekingsproces te laten werken (aanmelden, uw taalkeuze onthouden, veilig betalen).
Advertentiecookies (Google, Meta en OpenAI): uitsluitend geplaatst nadat u ze hebt aanvaard, en gebruikt om te meten welke advertenties tot boekingen leiden. Eén daarvan, de __obref van OpenAI, is een willekeurig gegenereerde identificatie voor uw browser waarmee OpenAI die bij volgende bezoeken herkent.

Wij gebruiken geen analytische cookies. Om te begrijpen hoe de site wordt gebruikt, gebruiken wij Simple Analytics, een privacyvriendelijke analysedienst die geen cookies gebruikt en geen persoonsgegevens verzamelt.

Een afzonderlijk cookiebeleid, toegankelijk via de cookiebanner en via de voettekst van www.tebura.eu, vermeldt elke cookie, het doel ervan, de aanbieder en de bewaartermijn. U kunt uw toestemming te allen tijde wijzigen of intrekken via de link “Cookie-instellingen” in de voettekst. Wij houden een register bij van elke keuze zodat wij de toestemming waarop wij ons baseren kunnen aantonen.

9. Hoe lang wij uw persoonsgegevens bewaren

Wij bewaren persoonsgegevens niet langer dan nodig is voor de doeleinden waarvoor ze worden verwerkt, onder voorbehoud van wettelijke bewaarverplichtingen. Indicatieve bewaartermijnen zijn:

Gegevens	Bewaartermijn
Boekings- en servicegegevens	36 maanden nadat de boeking een definitieve status bereikt (geleverd, geannuleerd, terugbetaald of verlopen); de persoonsgegevens worden daarna geanonimiseerd, terwijl het financiële dossier bewaard blijft (zie hieronder)
Prospectgegevens (aanvragen en afgebroken / niet-voltooide boekingen)	36 maanden vanaf de laatste interactie, waarna het dossier wordt geanonimiseerd
Klantaccountgegevens	Geanonimiseerd na 60 maanden inactiviteit van het account; accounts met een geplande of lopende boeking worden nooit geanonimiseerd
Leads van partnerhotels	36 maanden na indiening, waarna het dossier wordt geanonimiseerd
Facturen en boekhoudkundige stukken	7 jaar vanaf het einde van het boekjaar (Belgische btw- en boekhoudwetgeving)
Klachten- en geschillendossiers	Duur van het dossier + 5 jaar na de definitieve afhandeling
Communicatie met klantenondersteuning	3 jaar na de laatste interactie
Marketinggegevens (klanten met opt-in)	Tot u uw toestemming intrekt of na 24 maanden inactiviteit
CCTV-, fraudepreventie- en beveiligingslogs	Maximaal 12 maanden, tenzij vereist voor een lopend onderzoek
Sollicitaties	12 maanden na het einde van de wervingsprocedure
Cookies	Zoals bepaald in het cookiebeleid
Register van uw cookietoestemmingskeuzes	60 maanden vanaf de keuze. Het bevat geen naam, e-mailadres of IP-adres en wordt bewaard zodat wij de toestemming waarop wij ons baseerden kunnen aantonen

10. Uw rechten

Op grond van de AVG beschikt u over de volgende rechten met betrekking tot uw persoonsgegevens:

Recht op inzage (art. 15): om bevestiging te verkrijgen of wij uw gegevens verwerken, en een kopie ervan te ontvangen.
Recht op rectificatie (art. 16): om onjuiste gegevens te laten corrigeren of onvolledige gegevens te laten aanvullen.
Recht op gegevenswissing (art. 17): om uw gegevens te laten verwijderen in de door de AVG genoemde gevallen.
Recht op beperking (art. 18): om de verwerking in bepaalde gevallen te laten beperken.
Recht op gegevensoverdraagbaarheid (art. 20): om de door u verstrekte gegevens te ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat.
Recht van bezwaar (art. 21): om te allen tijde bezwaar te maken tegen verwerking op basis van gerechtvaardigde belangen, en in elk geval tegen direct marketing.
Recht om toestemming in te trekken (art. 7(3)): wanneer de verwerking op toestemming berust, kunt u deze te allen tijde intrekken zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking vóór de intrekking.
Recht om niet te worden onderworpen aan geautomatiseerde individuele besluitvorming (art. 22): wij nemen geen besluiten met rechtsgevolgen voor u die uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, zijn gebaseerd.

U kunt uw rechten te allen tijde uitoefenen door een e-mail te sturen naar privacy@tebura.eu. Wij kunnen om bijkomende informatie vragen om uw identiteit te verifiëren. Wij antwoorden binnen één maand na ontvangst van uw verzoek, verlengbaar met twee maanden voor complexe verzoeken.

11. Een klacht indienen

Onverminderd elk ander administratief of gerechtelijk rechtsmiddel hebt u het recht om een klacht in te dienen bij een toezichthoudende autoriteit, in het bijzonder in de lidstaat van uw gewone verblijfplaats, uw werkplek of de plaats van de vermeende inbreuk. De bevoegde autoriteit in België is:

Gegevensbeschermingsautoriteit / Autorité de protection des données

Drukpersstraat 35, 1000 Brussel

+32 2 274 48 00 | contact@apd-gba.be | www.gegevensbeschermingsautoriteit.be

Wij stellen het echter op prijs om eerst de kans te krijgen uw bezorgdheden te behandelen via privacy@tebura.eu.

12. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen accidentele of onrechtmatige vernietiging, verlies, wijziging, ongeoorloofde openbaarmaking of toegang. Deze omvatten toegangscontroles op basis van het principe van minimale toegangsrechten, versleuteling tijdens de overdracht (TLS), versleuteling in rust waar onze aanbieders dit ondersteunen, regelmatige back-ups, due diligence van leveranciers en opleiding van medewerkers.

Ondanks deze maatregelen kan geen enkel systeem absolute veiligheid garanderen. Wij zullen de bevoegde toezichthoudende autoriteit en, waar vereist, de betrokken personen op de hoogte brengen in geval van een inbreuk in verband met persoonsgegevens overeenkomstig de artikelen 33 en 34 AVG.

13. Kinderen

Onze dienst is niet gericht op kinderen jonger dan 16 jaar en wij verzamelen niet bewust persoonsgegevens van hen zonder ouderlijke toestemming. Als u denkt dat een kind ons persoonsgegevens heeft verstrekt, neem dan contact op via privacy@tebura.eu en wij zullen deze verwijderen.

14. Wijzigingen aan dit privacybeleid

Wij kunnen dit privacybeleid van tijd tot tijd bijwerken. De meest recente versie is steeds beschikbaar op www.tebura.eu/privacy met de datum van de laatste update. Wij informeren u over wezenlijke wijzigingen per e-mail of via een melding op de website voordat deze van kracht worden.

15. Contact

Vragen, opmerkingen of verzoeken met betrekking tot dit privacybeleid kunnen worden gestuurd naar:

Tebura BV — Privacy — privacy@tebura.eu