Privacybeleid

Wie beheert deze dienst?

aanmeld.link is een dienst van betas.dev. Voor privacyvragen of een verzoek over jouw gegevens kun je mailen naar privacy@betas.dev.

Welke gegevens gebruiken we?

Als organisator geef je een e-mailadres en evenementgegevens op, zoals titel, datum, locatie, beschrijving en eventuele extra vragen. Als gast geef je je naam, e-mailadres en antwoorden op die vragen op. We bewaren ook de status en het tijdstip van aanmeldingen en wijzigingen.

Bij een datumprikker bewaren we je beschikbaarheid voor elke voorgestelde datum die je beantwoordt, en een optionele korte notitie bij een datum. Een overgeslagen optionele datum heeft geen opgeslagen antwoord. Organisatoren zien individuele antwoorden en notities; bezoekers zien alleen totalen. Als de organisator een datum kiest, ontvangen actieve respondenten daarover een e-mail. Beschikbaarheid is geen bevestigde aanmelding.

Bij een stemming met meerdere keuzes bewaren we welke opties je hebt aangekruist. De organisator ziet per persoon de gekozen opties; bezoekers zien alleen de totalen.

Een evenementconcept en je taalvoorkeur kunnen in je browser worden bewaard. Voor de organisatorlogin gebruiken we een beveiligde sessiecookie. Voor bescherming tegen misbruik verwerken we tijdelijk technische gegevens, waaronder een IP-adres voor snelheidslimieten en de uitslag van een Turnstile-controle.

Waarvoor gebruiken we die gegevens?

We gebruiken gegevens om evenementen te publiceren, aanmeldingen te beheren, organisatoren een deelnemerslijst te tonen en belangrijke e-mails te versturen, zoals bevestigingen, inloglinks en privélinks voor aanmeldingen. Ook beveiligen we de dienst en voorkomen we misbruik.

De verwerking die nodig is voor het gebruik van de dienst baseren we op het uitvoeren van de dienst die je aanvraagt. Beveiligingsmaatregelen baseren we op ons gerechtvaardigd belang om de dienst veilig en betrouwbaar te houden. We gebruiken je gegevens niet voor marketing via deze dienst.

Wie kan wat zien?

Iedereen met de openbare evenementlink kan de gepubliceerde evenementgegevens zien. De organisator van een evenement kan namen, e-mailadressen, antwoorden en aanmeldstatussen van de gasten bekijken. Bij een datumprikker ziet de organisator ook een korte notitie per datum; bezoekers van de openbare pagina zien die notities niet. Bij een stemming ziet de organisator welke opties elke persoon koos; bezoekers zien alleen totalen. Een gast kan zijn of haar eigen aanmelding met een persoonlijke privélink wijzigen of annuleren. Behandel zo'n link daarom als een wachtwoord.

Het e-mailadres van de organisator wordt als antwoordadres opgenomen in evenementmails aan deelnemers. Deelnemers kunnen daardoor rechtstreeks per e-mail vragen stellen aan de organisator.

Organisatoren bepalen welke extra vragen ze stellen en zijn verantwoordelijk voor het gebruik van de antwoorden die ze via hun evenement ontvangen.

Dienstverleners

De website, database, e-mailverzending en Turnstile-beveiliging draaien via Cloudflare. Cloudflare verwerkt daarvoor gegevens volgens zijn eigen toepasselijke voorwaarden en privacyinformatie. E-mails worden ook verwerkt door de e-mailprovider van de ontvanger.

Productmeting

PostHog en Umami starten alleen als je daarvoor toestemming geeft. Via Privacykeuzes onderaan de pagina kun je je keuze altijd wijzigen. We bewaren die keuze in je browser totdat je die wijzigt of je browsergegevens wist. Do Not Track en Global Privacy Control blijven gerespecteerd.

De publieke EU-projecttoken zit in de app. De browser stuurt alleen de gebeurtenissen hieronder naar PostHog Cloud in de EU (https://eu.i.posthog.com). PostHog verwerkt die berichten voor deze meting.

De enige gebeurtenissen zijn een paginabezoek (visit), een klik op de knop om een voorbeeld te gebruiken (template_cta_clicked), het starten van een aanmeldlink (aanmeldlink_started), het één keer afronden daarvan (aanmeldlink_created), het delen van die link (aanmeldlink_shared), en het bekijken, starten en één keer afronden van een aanmelding (signup_viewed, signup_started, signup_completed). Een bericht bevat alleen een vaste routecategorie, de taal, en waar nodig het soort evenement, of aanmelden open is, een catalogusvoorbeeld of de waarde direct, en het deelkanaal. Bij visit, template_cta_clicked, aanmeldlink_started, aanmeldlink_created, signup_viewed, signup_started en signup_completed kan het bericht ook de hostnaam van de verwijzende website bevatten, bijvoorbeeld google.com, zonder pad of zoekopdracht, en de labels utm_source, utm_medium en utm_campaign van de eerste pagina in dit tabblad. Die hostnaam en labels worden bij het eerste bezoek in sessionStorage gezet en daarna hergebruikt. Bij template_cta_clicked staat ook de plek van de knop: hero of closing. Maak je een evenement, dan stuurt de browser die hostnaam en labels mee met het aanmaakverzoek. We bewaren ze bij de nog niet bevestigde aanmaak, zodat de bevestigingspagina in een nieuw tabblad ze kan meesturen met aanmeldlink_created. Een verlopen bevestigingslink ruimt die rij op. Een volledig webadres, een pad of een e-mailadres in die velden sturen we niet mee. Geen naam, e-mailadres, formulierantwoord, vrije tekst, uitnodigings- of inlogtoken of privéadres.

We laden geen PostHog-script. Automatische klikmeting, automatische paginaweergaven en paginaverlatingen van dat script, sessieopnames, persoonsprofielen en foutmeldingen worden daardoor niet gebruikt. Sessieopname staat in het PostHog-project uit. Een bewaartermijn die bij sessieopname hoort, is niet de bewaartermijn van deze gebeurtenissen. Hoe lang PostHog de gebeurtenissen bewaart, staat op deze pagina niet.

Een willekeurig nummer in sessionStorage van dit browsertabblad kan die gebeurtenissen in dat tabblad aan elkaar koppelen. Dezelfde sessionStorage bewaart ook de hostnaam van de verwijzende site en de UTM-labels van de eerste pagina in dit tabblad. Het is niet je naam of e-mailadres, het is geen cookie, en het verdwijnt als het tabblad sluit. Het is niet de sessiecookie voor de organisatorlogin.

Stuurt de browser Do Not Track of Global Privacy Control, dan verstuurt deze code de gebeurtenissen niet. Die signalen zetten ook het bewaren van de hostnaam en de UTM-labels uit: de browser verzamelt ze dan niet en stuurt ze niet mee met een aanmaakverzoek, en de server bewaart ze dan niet bij de nog niet bevestigde aanmaak. Dat is hetzelfde technische signaal als bij de dagtellingen. Dit beleid leidt uit dat signaal geen toestemming of weigering af.

De browser neemt rechtstreeks contact op met PostHog. PostHog ontvangt daarbij het IP-adres van de verbinding. IP-anonimisering staat voor dit project uit, dus die instelling verwijdert het adres niet. Elk bericht zet $geoip_disable. Daarmee vragen we om geen locatie uit het IP-adres af te leiden. Die vlag verwijdert het ontvangen IP-adres niet.

Voor deze PostHog-berichten vragen we je toestemming. De redenen en bewaartermijnen eerder op deze pagina gaan over de dienst en de dagtellingen, niet over deze berichten.

Bezoekstatistieken

Voor samengevoegde bezoekstatistieken laden we een script van Umami dat we zelf hosten op https://tracking.aanmeld.link. Het script telt paginaweergaven. Een bericht kan de taal, het schermformaat, de paginatitel en het pad van de pagina bevatten, plus de hostnaam en het pad van een verwijzende site. Het zet geen trackingcookie. Een antwoord van Umami kan een sessiesleutel in het geheugen van die pagina zetten voor een volgend bericht op dezelfde pagina. Die sleutel is geen cookie en verdwijnt als je de pagina verlaat.

Het pad van een privélink maken we korter voordat het bericht weggaat: een aanmeldlink onder /rsvp/ en een bevestigingslink onder /confirm/ gaan mee als /rsvp en /confirm, zonder het geheim in het adres. Een beheerpagina onder /events/ of /en/events/ gaat mee als /events/:id of /en/events/:id, ook met een subpad zoals /edit, zonder de id. Een token in een API-pad en een onbekend pad met een id of token verliezen dat stuk. Zoekopdracht en hekje sturen we niet mee. Geen naam, e-mailadres, formulierantwoord of vrije tekst.

Dezelfde gebeurtenissen als bij de productmeting sturen we ook naar Umami: visit, template_cta_clicked, aanmeldlink_started, aanmeldlink_created, aanmeldlink_shared, signup_viewed, signup_started en signup_completed. Een gebeurtenis bevat alleen een vaste routecategorie, de taal, en waar nodig het soort evenement, een catalogusvoorbeeld of de waarde direct, of aanmelden open is, de plek van een knop, het deelkanaal, de hostnaam van een verwijzende site en de labels utm_source, utm_medium en utm_campaign. Umami ontvangt bij die gebeurtenis ook het paginapad, met het geheim uit een /rsvp- of /confirm-link weggehaald en een beheer-id vervangen door :id, de paginatitel, en de domeinnaam van de verwijzende site. Op een openbare evenementlink (/e/ of /en/e/), op zo'n privélink of beheerpad, of als de titel de naam van het evenement bevat, vervangen we de titel door aanmeld.link. Geen naam, e-mailadres, formulierantwoord, token, registratienummer of vrije tekst. Do Not Track en Global Privacy Control slaan deze gebeurtenissen over, net als bij PostHog. Staat het Umami-script er niet, dan gaat de gebeurtenis niet weg.

Stuurt de browser Do Not Track of Global Privacy Control, dan plaatsen we het script niet in de pagina. Do Not Track zet het script ook zelf uit via data-do-not-track. Global Privacy Control kent dat script niet; onze eigen controle laat het dan niet starten en stuurt geen bericht. Dat is hetzelfde technische signaal als bij PostHog en de dagtellingen. Dit beleid leidt uit dat signaal geen toestemming of weigering af.

De browser neemt rechtstreeks contact op met tracking.aanmeld.link. Die server ontvangt daarbij het IP-adres van de verbinding. Hoe lang Umami de bezoekstatistieken bewaart, staat op deze pagina niet. Voor deze statistieken vragen we je toestemming.

Hoe lang bewaren we gegevens?

Evenementen en aanmeldingen blijven bewaard totdat de organisator het evenement verwijdert of ze na een verzoek worden verwijderd. Bij het verwijderen van een evenement worden ook de aanmeldingen en bijbehorende berichten in onze verzendwachtrij verwijderd; annuleren verwijdert de aanmeldgegevens niet automatisch. Een niet-bevestigd evenementconcept op de server verloopt na 24 uur. Verlopen inloglinks, sessies en technische snelheidslimieten worden periodiek opgeruimd. Verzonden berichten in onze verzendwachtrij worden na 30 dagen verwijderd.

We tellen paginabezoeken, gestarte uitnodigingen, gepubliceerde evenementen en evenementen met een eerste aanmelding per dag, taal en voorbeeld. Deze statistieken bevatten geen naam, e-mailadres, IP-adres, deelnemersantwoorden of privélinks. We gebruiken geen trackingcookie of uniek bezoekersnummer. Browserkeuzes Do Not Track en Global Privacy Control schakelen de bezoek- en starttellingen uit. Deze dagtotalen bewaren we 90 dagen. Die 90 dagen gelden niet voor PostHog. Voor bescherming van de meetfunctie gebruiken we tijdelijk een gehasht technisch snelheidslimiet, dat losstaat van de statistieken.

Een concept in je eigen browser verloopt 48 uur na je laatste wijziging. Je kunt het eerder verwijderen via de conceptbalk, door het te publiceren of door je browsergegevens te wissen. Verlopen concepten worden bij een volgend bezoek opgeruimd. Back-ups en beveiligingslogs bij onze dienstverleners kunnen nog tijdelijk bestaan volgens hun bewaartermijnen.

Jouw keuzes en rechten

Met je privélink kun je een aanmelding wijzigen of annuleren. Je kunt ons ook vragen om inzage, correctie of verwijdering van je gegevens, of bezwaar maken tegen een verwerking. Mail daarvoor naar privacy@betas.dev. We kunnen om een verificatie vragen voordat we gegevens delen of verwijderen.

Als je in de EU of EER woont, kun je ook een klacht indienen bij je nationale privacytoezichthouder. We kunnen dit beleid aanpassen als de dienst verandert; de datum hierboven laat zien wanneer deze tekst voor het laatst is bijgewerkt.