Privacyverklaring

1. Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG) is:

Sviatoslav Karapka
Bahnstraße 36
16727 Velten
Duitsland
E-Mail: info@lushly.world
Telefoon: +49 152 0677 7974

2. Algemeen over gegevensverwerking

Lushly is een online marktplaats die eindklanten verbindt met onafhankelijke beauty- en wellness-salons. Wij verwerken persoonlijke gegevens van onze gebruikers uitsluitend voor zover dit nodig is voor het aanbieden van een functionele website, onze inhoud en diensten.

De verwerking van persoonlijke gegevens van onze gebruikers vindt doorgaans alleen plaats na toestemming van de gebruiker of ter uitvoering van een overeenkomst. Een uitzondering geldt in gevallen waarin het vooraf verkrijgen van toestemming om feitelijke redenen niet mogelijk is en de verwerking van de gegevens is toegestaan door wettelijke voorschriften.

De rechtsgrondslagen zijn artikel 6 lid 1 onder a (toestemming), onder b (uitvoering van een overeenkomst), onder c (wettelijke verplichting) en onder f AVG (gerechtvaardigd belang).

3. Welke gegevens wij verzamelen

3.1 Bij registratie als klant

• Voor- en achternaam
• E-mailadres
• Telefoonnummer (optioneel)
• Wachtwoord (versleuteld met bcrypt opgeslagen)
• Profielfoto (optioneel, geüpload door gebruiker of via Google/Facebook bij OAuth-aanmelding)
• Taalvoorkeur

3.2 Bij registratie als Salon / Meester

• Bedrijfsnaam, Adres, Telefoon, E-mailadres
• Beschrijving, foto's, prijzen, diensten, openingstijden
• Bij Stripe-activering: Bankgegevens en fiscaal relevante gegevens — uitsluitend opgeslagen bij Stripe, niet bij ons
• Masterprofielen (Naam, Foto, Talen, Ervaring, Portfolio) — ingesteld door de salonhouder

3.3 Bij een boeking

• Naam, E-mailadres, Telefoonnummer van de boekende klant
• Geselecteerde dienst, datum, tijd, prijs, duur
• Bij adviesaanvragen (bijv. tattoo): beschrijving van het idee, afmetingen/plek op het lichaam, eventueel referentiefoto's
• Bij online betaling: geen kaartgegevens bij ons — de verwerking gebeurt uitsluitend door Stripe (PCI-DSS Level 1 gecertificeerd)
• Bij betaald salonabonnement: naam, e-mailadres en factuuradres voor de afrekening, evenals een klant- en abonnementsidentificatie van Stripe. Betaalmiddelen (kaart, SEPA-mandaat) worden uitsluitend bij Stripe opgeslagen
• Beoordelingen (1–5 sterren) en opmerkingen na voltooide boeking
• Chatberichten tussen klant en salon (via de platforminterne messaging-functie)

3.4 Automatisch verzamelde gegevens (serverlogs)

• IP-adres (geanonimiseerd na 7 dagen)
• Browsertype en -versie, besturingssysteem
• Datum en tijd van toegang
• Referrer-URL (voorheen bezochte pagina)
• Geografische regio (ongeveer, op stadsniveau gebaseerd op IP)
• Sessie-ID voor platformeigen analyse (zonder persoonlijke verwijzing)

Deze gegevens dienen voor de veiligheid en de platformeigen analyse (bouncepercentage, verkeersbronnen, prestaties). Overdracht aan externe diensten zoals Google Analytics of Meta vindt uitsluitend plaats als de gebruiker in de cookiebanner uitdrukkelijk toestemming heeft gegeven (analysecookies voor Google Analytics respectievelijk marketingcookies voor de Meta-Pixel).

3.5 Locatiegegevens (Geolocation)

Met uitdrukkelijke toestemming van de gebruiker (browsertoestemming "In de buurt vinden") wordt de geschatte locatie gebruikt om salons in de omgeving weer te geven. De locatie wordt uitsluitend aan de clientzijde verwerkt en niet in onze database opgeslagen.

4. Doel en rechtsgrondslag van de verwerking

5. Doorgifte aan derden (verwerkers)

Wij geven gegevens uitsluitend door in de volgende gevallen en op basis van overeenkomstige verwerkersovereenkomsten (VO-overeenkomsten) conform Art. 28 AVG:

• IONOS SE (Montabaur, Deutschland) — Hosting van het platform. Servers staan in Duitsland. AVG-conform.
• Stripe Payments Europe, Ltd. (Dublin, Irland) — Betalingsverwerking. PCI-DSS Level 1 gecertificeerd, AVG-conform. Stripe Gegevensbescherming
• Boekende Salon — ontvangt naam, contactgegevens en boekingsdetails voor de uitvoering van de overeenkomst. Salons zijn zelfstandige verwerkingsverantwoordelijken in de zin van de AVG.
• Google Ireland Limited (Gemini API) — automatische vertalingen van UI-teksten en salonbeschrijvingen. Er worden uitsluitend openbare inhoud (bijv. salonbeschrijvingen) overgedragen, geen persoonlijke gegevens van eindklanten. Google Gegevensbescherming
• Groq, Inc. (USA) — AI-inzichten voor saloneigenaren. Er worden uitsluitend geaggregeerde en geanonimiseerde statistieken overgedragen. Standaardcontractbepalingen conform Art. 46 AVG waarborgen de gegevensbescherming.
• Meta Platforms Ireland Limited (Meta Pixel) — alleen na expliciete toestemming in de cookiebanner. Wordt uitsluitend ingezet voor marketingcampagnes. Meta Gegevensbescherming
• Google Ireland Limited (Google Analytics 4) — alleen na uitdrukkelijke toestemming in de cookiebanner (analysecookies). Dient voor geanonimiseerde bereik- en gebruiksanalyses; IP-adressen worden ingekort/geanonimiseerd. Gegevensoverdracht naar de VS op basis van het EU-US Data Privacy Framework en/of de EU-standaardcontractbepalingen. Google Gegevensbescherming
• SMTP-provider (WP Mail SMTP-aanbieder) — Verzending van transactionele e-mails (boekingsbevestigingen, herinneringen, wachtwoordreset).
• n8n (self-hosted, EU) — Automatiseringsworkflows. Servers in de EU.

Een verdere doorgifte aan derden vindt niet plaats. In het bijzonder verkopen wij geen gegevens.

5a. AI-gebruik (Kunstmatige Intelligentie)

Wij zetten kunstmatige intelligentie (AI) in op twee gebieden:

1. Vertalingen: Voor de meertalige beschikbaarheid van onze inhoud gebruiken wij het AI-systeem Google Gemini (Google Ireland Limited). Vertalingen van niet-Duitse inhoud kunnen machinaal zijn gegenereerd; de Duitse originele versie is altijd leidend.

2. AI-supportchat: Onze supportchat (in Messenger en op de help-pagina) wordt beantwoord door een AI-assistent (chatbot). Aan het begin van de chat wordt u er duidelijk op gewezen dat u communiceert met een AI-systeem (Art. 50 AI-Verordening). Voor persoonlijke hulp kunt u altijd contact opnemen met info@lushly.world.

Rechtsgrondslag: Art. 6 lid 1 sub b AVG (uitvoering overeenkomst) en sub f AVG (gerechtvaardigd belang bij efficiënte support en meertalige beschikbaarheid).

5b. Advertentiemarkt (Banen & Ruimtes)

In onze advertentiesectie („Jobs & Ruimtes") kunnen geregistreerde gebruikers eigen advertenties (bijv. vacatures, verhuur van ruimtes en werkplekken) publiceren en reageren op advertenties van anderen. Hierbij worden de volgende gegevens verwerkt:

Advertentie aanmaken: Titel, beschrijving, categorie, locatie, prijs evenals de door jou opgegeven contactgegevens (e-mail en/of telefoonnummer) en optioneel geüploade afbeeldingen. Deze gegevens zijn – met uitzondering van de contactgegevens – openbaar zichtbaar. Je contact-e-mail wordt niet direct aan geïnteresseerden getoond, maar alleen gebruikt voor het doorsturen van aanvragen.

Reageren op een advertentie: Wanneer je via het contactformulier op een advertentie reageert, worden je naam, e-mailadres en bericht per e-mail doorgestuurd naar de adverteerder, zodat deze je kan antwoorden. De contactgegevens van beide partijen blijven hierbij verborgen op het platform.

Favorietenlijst (Favorieten): Wanneer je advertenties markeert, slaan we de bijbehorende advertentie-ID's op in je gebruikersaccount, zodat je ze later terug kunt vinden.

Opgeslagen zoekopdrachten en meldingen: Je kunt zoekcriteria (bijv. categorie, locatie, trefwoord) opslaan. We slaan deze criteria op in je account en sturen je een e-mailmelding zodra een nieuwe advertentie overeenkomt met je opgeslagen zoekopdracht. Deze meldingen kun je op elk moment beëindigen door de opgeslagen zoekopdracht in je account te verwijderen.

Bezoekersstatistieken: Om het aantal keer dat een advertentie is bekeken weer te geven, slaan we tijdelijk een gepseudonimiseerde (gehashte) waarde van je IP-adres op om meervoudige tellingen te voorkomen. Hierbij worden geen individuele personen geïdentificeerd.

Meldingen: Als je een advertentie meldt, verwerken we de opgegeven reden en een optionele opmerking om de advertentie te controleren.

Rechtsgrondslag: Art. 6 lid 1 lit. b AVG (uitvoering van de door jou gewenste functies) en lit. f AVG (gerechtvaardigd belang bij een functionerende, misbruikvrije advertentiemarkt). De meldingen over opgeslagen zoekopdrachten zijn gebaseerd op lit. b en je op elk moment herroepbare gebruik van deze functie.

Zichtbaarheid van je gegevens: Titel, beschrijving, categorie, locatie, prijs en afbeeldingen van een advertentie zijn openbaar zichtbaar en kunnen door zoekmachines worden geïndexeerd. Je e-mailadres en je telefoonnummer worden NICHT openbaar weergegeven — ze dienen uitsluitend voor de bezorging van meldingen. Contact opnemen verloopt via de interne berichtenruimte.

Na afloop: Verlopen advertenties worden verwijderd uit het overzicht en de zoekresultaten, maar blijven in je account bewaard totdat je ze verwijdert. Als je een advertentie verwijdert, verwijderen we de inhoud en afbeeldingen ervan. Eerder gevoerde gesprekken blijven onaangetast, zodat beide partijen de geschiedenis kunnen behouden.

Meldingen: Als je een advertentie meldt, slaan we de melding op met tijdstip en — indien ingelogd — je gebruikers-ID. Dit is nodig om meervoudige meldingen te herkennen en het proces traceerbaar te houden. Rechtsgrondslag: Art. 6 lid 1 letter c AVG in combinatie met Art. 16 van Verordening (EU) 2022/2065 en Art. 6 lid 1 letter f AVG. Opslagduur: twaalf maanden.

5c. Telegram-assistent

Salons en masters kunnen hun account vrijwillig verbinden met onze Telegram-assistent om boekingsaanvragen te ontvangen en direct te beantwoorden. De verbinding is optioneel en kan op elk moment worden ingetrokken — in het account onder „Telegram-assistent" of met het commando /stop in de chat.

Daarbij worden verwerkt: de Telegram-chat-ID, de daar opgeslagen weergavenaam, de gekozen taal en de inhoud van de meldingen (afspraak, dienst, verkorte naam van de klant, berichten uit de chat). Volledige namen, telefoonnummers en e-mailadressen worden bewust niet naar Telegram verzonden.

Overdracht naar een derde land: De aanbieder is Telegram FZ-LLC, Dubai, Verenigde Arabische Emiraten. Voor de VAE bestaat geen adequaatheidsbesluit van de Europese Commissie. De overdracht vindt plaats op basis van jouw uitdrukkelijke toestemming overeenkomstig artikel 49 lid 1 sub a AVG, die je geeft door het account te koppelen. Zonder koppeling vindt er geen overdracht plaats.

Klantengeschiedenis in de assistent: Bij het oproepen van een boeking kan de salon de eerdere geschiedenis van deze klant in zijn eigen salon inzien: aantal bezoeken, datum van het laatste bezoek, afgenomen diensten, eigen notities van de salon en no-shows. Het betreft gegevens die de salon sowieso beheert — ze worden alleen anders weergegeven.

Rechtsgrondslag: art. 6 lid 1 sub a AVG (toestemming) voor de overdracht aan Telegram, art. 6 lid 1 sub b AVG voor de weergave van de geschiedenis. Opslagduur: tot de verbinding wordt verbroken.

5d. Bescherming tegen ongeoorloofde toegang

Ter bescherming van de accounts loggen we mislukte aanmeldpogingen met IP-adres, tijdstip en gebruikte gebruikersnaam. Als mislukte pogingen zich opstapelen vanuit één netwerkgebied, wordt dit tijdelijk geblokkeerd — oplopend van één uur tot zeven dagen.

Deze blokkade is een geautomatiseerde maatregel, maar heeft geen juridische werking in de zin van art. 22 AVG: uitsluitend de toegang tot het aanmeldformulier wordt beïnvloed, niet een bestaand contract. Blokkades vervallen automatisch en kunnen op verzoek onmiddellijk worden opgeheven.

Rechtsgrondslag: art. 6 lid 1 sub f AVG. Ons gerechtvaardigd belang ligt in de bescherming van de accounts van onze gebruikers tegen overname. Opslagduur: 90 dagen.

5e. E-mailbevestiging, favorietenlijst en wachtlijst

E-mailbevestiging: Na registratie sturen we een bevestigingslink. Er wordt een eenmalige token in versleutelde vorm opgeslagen, evenals het tijdstip van verzending. Zonder bevestiging is het plaatsen van advertenties niet mogelijk. Rechtsgrondslag: art. 6 lid 1 sub b en sub f AVG.

Meldingen over opgeslagen advertenties: Als je een advertentie opslaat, bewaren we de identificatie en het tijdstip ervan. Hieruit ontstaan twee soorten berichten: een melding wanneer de prijs of status van de advertentie verandert, en een eenmalige herinnering na twee dagen, mocht je de aanbiedende persoon nog niet hebben gecontacteerd. Beide kunnen worden uitgeschakeld onder Account → E-mails. Rechtsgrondslag: art. 6 lid 1 sub f AVG.

Wachtlijst: Als een afspraak bezet is, kun je je op de wachtlijst laten plaatsen. Gewenste afspraak, contactgegevens en een eenmalige token voor de bevestigingslink worden opgeslagen. Verwijdering na 30 dagen of bij annulering. Rechtsgrondslag: art. 6 lid 1 sub b AVG.

5f. Controle van geüploade afbeeldingen

Elke geüploade afbeelding wordt automatisch gecontroleerd: op metadata die wijzen op AI-generatie (C2PA, IPTC), op ingebedde programmaonderdelen ter bescherming tegen malware, en op overeenstemming met reeds bekende AI-afbeeldingen.

Hiervoor berekenen we uit de afbeelding een korte numerieke waarde die de grove helderheidsstructuur beschrijft. De afbeelding kan er niet uit worden hersteld; deze dient uitsluitend ter vergelijking. Gezichtsherkenning of persoonsherkenning vindt niet plaats.

Rechtsgrondslag: art. 6 lid 1 sub c AVG (markeringsplicht volgens art. 50 AI-verordening) en art. 6 lid 1 sub f AVG (veiligheid van onze systemen).

6. Cookies en vergelijkbare technologieën

Wij gebruiken uitsluitend technisch noodzakelijke cookies (login-sessies, veiligheid, cookie-toestemmingsstatus, taalvoorkeur). Deze cookies zijn noodzakelijk voor de werking van het platform en worden conform § 25 lid 2 TTDSG zonder toestemming geplaatst.

Marketingcookies (Meta Pixel) worden uitsluitend na uitdrukkelijke toestemming via onze cookiebanner geplaatst. De toestemming kan op elk moment worden ingetrokken.

Voor de eigen analyse van het platform slaan we aanvullend geanonimiseerde gegevens op in onze eigen database (first-party).

Google Analytics 4. Met uw uitdrukkelijke toestemming (analysecookies in de cookiebanner) gebruiken wij Google Analytics 4 (aanbieder: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ierland). Google Analytics gebruikt cookies om het gebruik van de website te analyseren — zoals paginaweergaven, verblijfsduur, gebruikte apparaten en de geschatte geografische herkomst. IP-adressen worden hierbij geanonimiseerd of ingekort verwerkt. Hierbij kunnen gegevens worden overgedragen aan servers van Google – ook in de VS; de overdracht vindt plaats op basis van het EU-VS Data Privacy Framework en/of de EU-modelcontractbepalingen conform Art. 46 AVG. De rechtsgrondslag is uw toestemming conform Art. 6 lid 1 sub a AVG. U kunt uw toestemming op elk moment met toekomstige werking intrekken via de cookie-instellingen. Google Privacybeleid

7. Opslagduur

• Klantenaccount: tot verwijdering door de gebruiker
• Boekingsgegevens: 10 jaar (fiscale bewaarplicht conform § 147 AO)
• Beoordelingen: permanent, totdat gebruiker verwijdert (pseudonimisering mogelijk)
• Analytics-sessies: 12 maanden
• Serverlogs: 30 dagen
• IP-adressen: 7 dagen, daarna anonimisering
• Chatberichten: tot accountverwijdering
• E-mailmarketingtoestemming: tot intrekking

8. Uw rechten als betrokkene

Als betrokkene heeft u te allen tijde recht op:

• Informatie (Art. 15 DSGVO) — welke gegevens wij over u verwerken
• Correctie (Art. 16 DSGVO) — Correctie van onjuiste gegevens
• Verwijdering (Art. 17 DSGVO) — Recht om vergeten te worden
• Beperking van de verwerking (Art. 18 DSGVO)
• Gegevensoverdraagbaarheid (Art. 20 DSGVO) — Gegevens in een machineleesbaar formaat
• Bezwaar (Art. 21 DSGVO) — tegen verwerking op basis van een gerechtvaardigd belang
• Intrekking van de toestemming (Art. 7 Abs. 3 DSGVO) — met toekomstige werking

Accountverwijdering is te allen tijde mogelijk via: Mein Konto → Instellingen
Verzoeken betreffende privacyrechten kunt u per e-mail richten aan: info@lushly.world

9. Recht om een klacht in te dienen bij een toezichthoudende autoriteit

U heeft conform Art. 77 AVG het recht om een klacht in te dienen bij een toezichthoudende autoriteit voor gegevensbescherming — in het bijzonder in de lidstaat van uw woonplaats, uw werkplek of de plaats van de vermeende overtreding.

Voor ons is de volgende instantie bevoegd:
Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow
Telefoon: +49 33203 356-0
https://www.lda.brandenburg.de/

10. Gegevensbeveiliging

Wij gebruiken SSL/TLS-versleuteling (HTTPS) voor alle gegevensoverdracht. Wachtwoorden worden gehasht met bcrypt en nooit in platte tekst opgeslagen. Betalingsgegevens worden uitsluitend door Stripe verwerkt (PCI-DSS Level 1). Back-ups worden versleuteld bewaard.

11. Doorgifte aan derde landen

Voor zover gegevens worden overgedragen naar derde landen, gebeurt dit op een van de volgende grondslagen. Naar de VS — bijvoorbeeld via Groq, de Meta-pixel of Google Analytics — op basis van de EU-modelcontractbepalingen conform art. 46 AVG en/of een adequaatheidsbesluit conform art. 45 AVG (bijv. EU-US Data Privacy Framework). Naar de Verenigde Arabische Emiraten — uitsluitend via de optionele Telegram-assistent, zie paragraaf 5c — op basis van jouw uitdrukkelijke toestemming overeenkomstig art. 49 lid 1 sub a AVG; voor de VAE bestaat geen adequaatheidsbesluit. Zonder koppeling van de Telegram-assistent vindt deze overdracht niet plaats. Wij controleren de ontvangers zorgvuldig.

12. Geautomatiseerde besluitvorming, profilering

Wij passen geen volledig geautomatiseerde besluitvormingsprocessen met rechtsgevolgen toe. Automatisch gegenereerde wekelijkse inzichten voor salonhouders dienen uitsluitend ter informatie en vormen geen juridisch bindende beslissing.

13. Pushmeldingen (PWA)

Lushly is een Progressive Web App (PWA). Pushmeldingen worden alleen verzonden na uitdrukkelijke toestemming van de gebruiker (browsertoestemming). De toestemming kan te allen tijde worden ingetrokken via de browserinstellingen.

14. Social Logins (Google / Facebook OAuth)

Bij aanmelding via Google of Facebook worden de volgende gegevens aan ons doorgegeven: naam, e-mailadres en profielfoto. Andere gegevens van uw Google-/Facebook-profiel worden niet opgevraagd. Bovendien zijn de privacybepalingen van Google respectievelijk Meta van toepassing.

15. Wijzigingen in deze privacyverklaring

Wij behouden ons het recht voor om deze privacyverklaring van tijd tot tijd aan te passen, om deze af te stemmen op actuele wettelijke vereisten of om wijzigingen in onze diensten door te voeren. De meest recente versie is altijd op deze pagina in te zien. Bij wezenlijke wijzigingen worden geregistreerde gebruikers per e-mail geïnformeerd.