Privacyverklaring
Versie 3.0 — Laatst bijgewerkt: 10 maart 2026
1. Identiteit verwerkingsverantwoordelijke
HotsaCity is de verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679, hierna: “AVG”) voor de persoonsgegevens die via het platform worden verwerkt ten behoeve van de eigen dienstverlening.
- Naam: HotsaCity
- Rechtsvorm: Stichting (in oprichting)
- KvK-nummer: Wordt toegevoegd na registratie
- E-mail: privacy@hotsacity.com
- Website: https://hotsacity.com
Wanneer bedrijven het HotsaCity-platform gebruiken om persoonsgegevens van hun eigen klanten en medewerkers te verwerken, treedt het bedrijf op als verwerkingsverantwoordelijke en HotsaCity als verwerker. In dat geval is een verwerkersovereenkomst van toepassing.
Deze privacyverklaring is van toepassing op alle diensten aangeboden via het HotsaCity-platform, inclusief maar niet beperkt tot de website builder, boekingssystemen, administratiemodule, HR-module, B2B-module en point-of-sale functionaliteit.
2. Welke persoonsgegevens verwerken wij?
Wij verwerken de volgende categorieën persoonsgegevens, afhankelijk van hoe u het platform gebruikt:
a. Accountgegevens
- E-mailadres
- Voor- en achternaam
- Wachtwoord (opgeslagen als bcrypt hash met 12 salt rounds — het origineel wordt nooit bewaard)
- KvK-nummer (voor bedrijfsaccounts)
- BTW-nummer (voor bedrijfsaccounts)
- Accountrol en -rechten
- MFA-instellingen (TOTP geheim, indien ingeschakeld)
b. Bedrijfsgegevens
- Bedrijfsnaam en handelsnaam
- Vestigingsadres (straat, postcode, stad)
- Telefoonnummer
- IBAN en BIC (voor betalingsverwerking)
- Bedrijfscategorie en beschrijving
- Logo en afbeeldingen
- Openingstijden
c. Klantgegevens
- E-mailadres
- Naam
- Telefoonnummer (optioneel)
- Favorieten en voorkeuren
- Boekingsgeschiedenis
- Reviews en beoordelingen
d. Medewerkersgegevens
- Naam en eventueel weergavenaam
- E-mailadres
- Pincode of inloggegevens
- BSN (burgerservicenummer) — uitsluitend indien wettelijk verplicht, versleuteld opgeslagen met AES-256-GCM
- Contractgegevens (type, uren, startdatum, einddatum)
- Verlofregistratie en urenregistratie
- Salarisgegevens (indien gekoppeld aan loonadministratie via Nmbrs)
- Functieomschrijving en afdeling
e. Technische gegevens
- IP-adres (gehashed opgeslagen — niet direct herleidbaar tot individueel niveau)
- User agent (browser en besturingssysteem)
- Sessie-informatie (sessie-ID, apparaatgegevens)
- Tijdstempels van activiteiten (audit logs)
- Foutmeldingen en diagnostische gegevens (error logs)
f. Betalingsgegevens
- Transactiereferenties en betaalstatus
- Betaalmethode (type, niet de volledige gegevens)
- Factuurbedragen en BTW
- Betaalgeschiedenis en openstaande saldi
Belangrijk: HotsaCity slaat GEEN creditcard-, betaalkaart- of bankgegevens van eindgebruikers op. Alle betalingen worden verwerkt via Mollie B.V., een gecertificeerde PCI DSS Level 1 payment service provider. Raadpleeg het privacybeleid van Mollie op mollie.com/privacy voor meer informatie.
g. Locatiegegevens
- Locatie wordt uitsluitend verwerkt met uw expliciete toestemming (opt-in)
- Gebruikt voor het tonen van bedrijven in uw omgeving
- Wordt niet opgeslagen op onze servers na het verstrekken van zoekresultaten
- U kunt toestemming op elk moment intrekken via uw browserinstellingen
h. Gezondheidsgegevens (bijzondere persoonsgegevens)
Let op: Gezondheidsgegevens zijn bijzondere persoonsgegevens in de zin van artikel 9 AVG en worden met extra waarborgen verwerkt.
- Uitsluitend van toepassing bij zorgverleners die het platform gebruiken voor het boeken van zorgafspraken
- Worden verwerkt met uitdrukkelijke toestemming (Art. 9 lid 2 sub a AVG) of op grond van een wettelijke verplichting in de zorg
- Extra beveiligd conform NEN 7510 (informatiebeveiliging in de zorg) en NEN 7512 (uitwisseling van gezondheidsinformatie)
- Toegang strikt beperkt tot geautoriseerd zorgpersoneel met aanvullende authenticatie
- Versleuteld met AES-256-GCM encryptie, zowel in opslag als bij transport
- Gescheiden opgeslagen van overige persoonsgegevens (logische scheiding)
- Onderworpen aan aanvullende audit logging
3. Grondslagen voor verwerking
Wij verwerken persoonsgegevens uitsluitend op basis van een wettelijke grondslag als bedoeld in artikel 6 (en voor bijzondere persoonsgegevens artikel 9) AVG. Onderstaand vindt u per verwerkingsactiviteit de toepasselijke grondslag:
| Verwerkingsactiviteit | Grondslag |
|---|---|
| Account aanmaken en beheren | Uitvoering overeenkomst (Art. 6 lid 1 sub b) |
| Verwerken van boekingen en reserveringen | Uitvoering overeenkomst (Art. 6 lid 1 sub b) |
| Betalingsverwerking via Mollie | Uitvoering overeenkomst (Art. 6 lid 1 sub b) |
| Financiële administratie, facturatie en BTW-aangifte | Wettelijke verplichting (Art. 6 lid 1 sub c) — fiscale bewaarplicht (Art. 52 AWR) |
| Personeels-/HR-administratie (BSN, contracten, loonstroken) | Wettelijke verplichting (Art. 6 lid 1 sub c) — arbeids- en fiscaal recht |
| Loonadministratie via Nmbrs | Wettelijke verplichting (Art. 6 lid 1 sub c) — Wet op de loonbelasting |
| Beveiligingsmaatregelen (audit logs, rate limiting, IP-registratie) | Gerechtvaardigd belang (Art. 6 lid 1 sub f) — platformbeveiliging en fraudepreventie |
| Locatiegegevens verwerken | Toestemming (Art. 6 lid 1 sub a) |
| Gezondheidsgegevens verwerken (zorgverleners) | Uitdrukkelijke toestemming (Art. 9 lid 2 sub a) of noodzakelijk voor doeleinden van geneeskundige behandeling (Art. 9 lid 2 sub h) |
| Niet-noodzakelijke cookies plaatsen | Toestemming (Art. 6 lid 1 sub a) conform Telecommunicatiewet Art. 11.7a |
| Servicecommunicatie (e-mail over uw account, boekingen) | Uitvoering overeenkomst (Art. 6 lid 1 sub b) |
| B2B-samenwerkingen, leveranciers- en relatiebeheer | Uitvoering overeenkomst (Art. 6 lid 1 sub b) |
| Platformverbetering, foutanalyse en prestatieoptimalisatie | Gerechtvaardigd belang (Art. 6 lid 1 sub f) — verbetering dienstverlening |
| Debiteurenbeheer en incasso | Uitvoering overeenkomst (Art. 6 lid 1 sub b) / Gerechtvaardigd belang (Art. 6 lid 1 sub f) |
| Wettelijke verplichtingen (bijv. rechterlijk bevel, toezichthouder) | Wettelijke verplichting (Art. 6 lid 1 sub c) |
Belangenafweging bij gerechtvaardigd belang: Wanneer wij ons baseren op gerechtvaardigd belang, maken wij altijd een afweging tussen ons belang en uw privacybelangen. U kunt altijd bezwaar maken tegen verwerking op basis van gerechtvaardigd belang (zie sectie 8).
4. Bewaartermijnen
Wij bewaren persoonsgegevens niet langer dan strikt noodzakelijk voor het doel waarvoor ze zijn verzameld, of zolang als wettelijk vereist. De specifieke bewaartermijnen per categorie zijn:
| Categorie | Bewaartermijn | Grondslag termijn |
|---|---|---|
| Accountgegevens | Duur van het account + maximaal 2 jaar na laatste activiteit of accountverwijdering | Overeenkomst + gerechtvaardigd belang |
| Financiële gegevens (facturen, transacties, boekhouding) | 7 jaar na het boekjaar | Fiscale bewaarplicht (Art. 52 AWR) |
| Audit logs | 7 jaar | Compliance, fraudepreventie en wettelijke bewaarplicht |
| Error logs en technische foutmeldingen | 90 dagen | Gerechtvaardigd belang (foutoplossing) |
| Sessiegegevens | 7 dagen na sessiebeëindiging | Gerechtvaardigd belang (beveiliging) |
| Verlopen tokens (blacklist) | Tot na verloopdatum van het token (max. 30 dagen) | Gerechtvaardigd belang (beveiliging) |
| Klantgegevens (boekingen, reviews) | Duur van het klantaccount + 2 jaar na verwijdering | Overeenkomst + gerechtvaardigd belang |
| Medewerkersgegevens (arbeidsrechtelijk) | Duur dienstverband + 5 jaar (loonadministratie) of 7 jaar (fiscale gegevens) | Wettelijke bewaarplicht (Wet op de loonbelasting, AWR) |
| Gezondheidsgegevens | Conform specifieke zorgwetgeving: 20 jaar voor medische dossiers (WGBO Art. 7:454 BW) | Wettelijke verplichting (WGBO) |
| BSN (burgerservicenummer) | Duur dienstverband + 5 jaar | Wettelijke verplichting (Wet op de loonbelasting) |
| Back-ups (versleuteld) | Maximaal 30 dagen | Gerechtvaardigd belang (continuïteit) |
| Cookie-voorkeuren | 1 jaar | Toestemming |
Na het verstrijken van de bewaartermijn worden gegevens definitief en onherroepelijk verwijderd of geanonimiseerd zodat ze niet meer herleidbaar zijn tot een natuurlijk persoon. Geanonimiseerde gegevens mogen voor statistische doeleinden bewaard worden.
5. Ontvangers en verwerkers
Wij delen persoonsgegevens uitsluitend met derden wanneer dit noodzakelijk is voor onze dienstverlening of wanneer wij hiertoe wettelijk verplicht zijn. Met alle verwerkers sluiten wij een verwerkersovereenkomst conform artikel 28 AVG.
| Verwerker | Doel | Gegevens | Locatie |
|---|---|---|---|
| Mollie B.V. | Betalingsverwerking (PCI DSS Level 1) | Transactiegegevens, betaalmethode | Nederland (EER) |
| Resend, Inc. | Transactionele e-mail verzending | E-mailadres, naam | VS (EU-VS DPF / SCCs) |
| Hostinger International Ltd. | Serverhosting en data-opslag | Alle gegevens (opslag) | EU (EER) |
| Nmbrs (indien gekoppeld door gebruiker) | Loonadministratie en salarisverwerking | Medewerkersgegevens, BSN, salarisgegevens | Nederland (EER) |
Wij verkopen uw persoonsgegevens nooit aan derden. Gegevens worden uitsluitend gedeeld voor de hierboven genoemde doeleinden en met passende technische en contractuele waarborgen.
Naast bovengenoemde verwerkers kunnen wij persoonsgegevens delen met:
- Overheidsinstanties — indien wij daartoe wettelijk verplicht zijn (bijv. Belastingdienst, politie, justitie)
- Professionele adviseurs — advocaten, accountants, auditors (onder geheimhoudingsplicht)
- Het bedrijf waarbij u klant of medewerker bent — in het kader van de dienstverlening via het platform
6. Doorgifte buiten de Europese Economische Ruimte
Wij streven ernaar alle persoonsgegevens binnen de Europese Economische Ruimte (EER) te verwerken en op te slaan. Onze primaire servers bevinden zich in de EU. Indien doorgifte naar landen buiten de EER noodzakelijk is (bijvoorbeeld voor e-mailverzending via Resend in de VS), zorgen wij voor passende waarborgen conform hoofdstuk V van de AVG:
- Adequaatheidsbesluit (Art. 45 AVG): Doorgifte naar landen waarvoor de Europese Commissie een adequaatheidsbesluit heeft genomen, zoals het EU-VS Data Privacy Framework (DPF)
- Standaard contractbepalingen (Art. 46 lid 2 sub c AVG): Door de Europese Commissie goedgekeurde modelcontractbepalingen (SCCs), versie juni 2021
- Aanvullende maatregelen: Waar nodig op basis van een Transfer Impact Assessment (TIA) treffen wij aanvullende technische maatregelen, zoals end-to-end versleuteling van gegevens tijdens transport
U kunt bij ons opvragen welke specifieke waarborgen van toepassing zijn op de doorgifte van uw gegevens en een kopie van de relevante standaard contractbepalingen opvragen via privacy@hotsacity.com.
7. Beveiligingsmaatregelen
Wij nemen de bescherming van uw gegevens zeer serieus en hebben uitgebreide technische en organisatorische maatregelen geïmplementeerd conform artikel 32 AVG, gebaseerd op de stand van de techniek, de kosten van tenuitvoerlegging en de aard, omvang, context en doeleinden van de verwerking:
Versleuteling (Encryption)
- AES-256-GCM encryptie voor gevoelige persoonsgegevens in de database (inclusief BSN, gezondheidsgegevens en financiële gegevens)
- Bcrypt wachtwoord hashing met 12 salt rounds — wachtwoorden worden nooit in leesbare vorm opgeslagen en zijn niet terug te herleiden
- Versleutelde back-ups met dagelijkse automatische uitvoering en beveiligde opslag
- IP-adres hashing — IP-adressen worden gehashed opgeslagen zodat ze niet direct herleidbaar zijn
Communicatiebeveiliging
- HTTPS/TLS 1.3 voor alle verbindingen (SSL-certificaten via Let's Encrypt, automatisch vernieuwd)
- CSRF-bescherming via Double Submit Cookie patroon op alle mutatieverzoeken (POST, PUT, DELETE)
- httpOnly & Secure cookies voor authenticatietokens (niet toegankelijk via JavaScript, alleen verzonden over HTTPS)
- Content Security Policy headers ter voorkoming van XSS-aanvallen
Toegangsbeheer
- Multi-factor authenticatie (MFA) via TOTP (Time-based One-Time Password, RFC 6238) — beschikbaar voor alle gebruikers
- Row-Level Security (RLS) op database niveau — bedrijven hebben uitsluitend toegang tot hun eigen gegevens, afgedwongen op PostgreSQL-niveau
- Rolgebaseerde toegangscontrole (RBAC) met gescheiden authenticatiestromen voor eigenaren, medewerkers en klanten
- JWT-tokens met korte levensduur (15 minuten) en veilig refresh-mechanisme (30 dagen, opgeslagen in database)
- Least-privilege principe — gebruikers krijgen alleen de minimaal benodigde rechten
Monitoring en preventie
- Rate limiting op API-endpoints ter voorkoming van brute-force en DDoS-aanvallen
- Uitgebreide audit logging van alle beveiligingsrelevante acties (inlogpogingen, wijzigingen, verwijderingen)
- Token blacklisting voor onmiddellijke sessiebeëindiging bij verdachte activiteit
- Automatische beveiligingsscans (HotsaGuard) voor kwetsbaarheden, configuratiefouten en verdachte activiteiten
- Regelmatige back-ups met verificatie van integriteit
Organisatorische maatregelen
- Geheimhoudingsverplichtingen voor alle medewerkers en verwerkers
- Beveiligingsbeleid en incidentresponsplan
- Regelmatige evaluatie en actualisering van beveiligingsmaatregelen
- Gescheiden omgevingen voor ontwikkeling, test en productie
8. Uw rechten onder de AVG
Op grond van de Algemene Verordening Gegevensbescherming heeft u de volgende rechten met betrekking tot uw persoonsgegevens:
Recht op inzage (Art. 15 AVG)
U heeft het recht om te weten welke persoonsgegevens wij van u verwerken, met welk doel, met wie deze gedeeld worden en hoe lang ze bewaard worden. U kunt een gratis kopie ontvangen van alle persoonsgegevens die wij van u verwerken.
Recht op rectificatie (Art. 16 AVG)
U heeft het recht om onjuiste persoonsgegevens onverwijld te laten rectificeren en onvolledige persoonsgegevens te laten aanvullen.
Recht op gegevenswissing / recht op vergetelheid (Art. 17 AVG)
U heeft het recht om uw persoonsgegevens te laten wissen wanneer: (a) de gegevens niet langer nodig zijn voor het doel waarvoor ze zijn verzameld, (b) u uw toestemming intrekt, (c) u bezwaar maakt en er geen dwingende gronden zijn, of (d) de gegevens onrechtmatig zijn verwerkt. Wij kunnen verwijdering weigeren indien bewaring wettelijk verplicht is (bijv. fiscale bewaarplicht van 7 jaar).
Recht op beperking van de verwerking (Art. 18 AVG)
U heeft het recht om de verwerking van uw gegevens te beperken wanneer: (a) u de juistheid van de gegevens betwist, (b) de verwerking onrechtmatig is maar u geen wissing wenst, (c) wij de gegevens niet meer nodig hebben maar u ze nodig heeft voor een rechtsvordering, of (d) u bezwaar heeft gemaakt in afwachting van de beoordeling.
Recht op dataportabiliteit (Art. 20 AVG)
U heeft het recht om de persoonsgegevens die u aan ons heeft verstrekt in een gestructureerd, gangbaar en machineleesbaar formaat (JSON of CSV) te ontvangen, en het recht om deze gegevens zonder belemmering aan een andere verwerkingsverantwoordelijke over te dragen.
Recht van bezwaar (Art. 21 AVG)
U heeft te allen tijde het recht om bezwaar te maken tegen verwerking van uw persoonsgegevens op basis van gerechtvaardigd belang (Art. 6 lid 1 sub f). Wij staken de verwerking tenzij er dwingende gerechtvaardigde gronden zijn die zwaarder wegen dan uw belangen, rechten en vrijheden.
Recht op intrekking van toestemming
Wanneer verwerking is gebaseerd op uw toestemming, kunt u deze op elk moment intrekken, zonder opgaaf van redenen. Het intrekken van toestemming heeft geen invloed op de rechtmatigheid van de verwerking vóór de intrekking. Het intrekken van toestemming is even eenvoudig als het geven ervan.
Recht om een klacht in te dienen
U heeft het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens indien u van mening bent dat uw persoonsgegevens in strijd met de AVG worden verwerkt. Zie sectie 13 voor de contactgegevens.
Hoe kunt u uw rechten uitoefenen?
- Via uw account: Veel gegevens kunt u zelf inzien, wijzigen of verwijderen via de accountinstellingen in het platform
- Via e-mail: Stuur een verzoek naar privacy@hotsacity.com
- Via het contactformulier: Bereikbaar op onze website
Reactietermijn: Wij reageren op uw verzoek binnen 30 dagen na ontvangst (Art. 12 lid 3 AVG). Bij complexe of talrijke verzoeken kan deze termijn met maximaal 2 maanden worden verlengd, waarover wij u binnen de eerste 30 dagen informeren met opgave van redenen.
Identificatie: Om uw rechten uit te oefenen, kunnen wij u vragen om uw identiteit te verifiëren. Dit doen wij om te voorkomen dat uw gegevens aan een onbevoegde derde worden verstrekt.
Kosten: Het uitoefenen van uw rechten is in principe kosteloos. Bij kennelijk ongegronde of buitensporige verzoeken (met name wegens hun repetitieve karakter) kunnen wij een redelijke vergoeding in rekening brengen of het verzoek weigeren (Art. 12 lid 5 AVG).
9. Cookies en vergelijkbare technologieen
HotsaCity maakt gebruik van cookies en vergelijkbare technologieën (zoals localStorage) om het platform te laten functioneren, uw voorkeuren op te slaan en de gebruikerservaring te verbeteren. Voor een volledig en gedetailleerd overzicht van welke cookies wij gebruiken, met welk doel, de bewaartermijnen en hoe u uw voorkeuren kunt beheren, verwijzen wij u naar onze Cookieverklaring.
Noodzakelijke cookies worden geplaatst zonder toestemming, omdat deze essentieel zijn voor het functioneren van het platform. Voor niet-noodzakelijke cookies vragen wij altijd vooraf uw toestemming via onze cookiebanner.
10. Geautomatiseerde besluitvorming en profilering
HotsaCity maakt geen gebruik van volledig geautomatiseerde besluitvorming (zonder menselijke tussenkomst) die rechtsgevolgen heeft voor u of u op vergelijkbare wijze aanmerkelijk treft, in de zin van artikel 22 AVG.
Ons platform bevat AI-ondersteunde functies (zoals HotsaBot voor klantenondersteuning en HotsaGuard voor beveiligingsmonitoring), maar deze worden uitsluitend ingezet als hulpmiddel. Beslissingen met significante gevolgen voor betrokkenen worden altijd door een mens genomen of beoordeeld.
Wij maken geen gebruik van profilering voor marketingdoeleinden of voor het nemen van besluiten die u significant beïnvloeden.
11. Wijzigingen in deze privacyverklaring
Wij kunnen deze privacyverklaring van tijd tot tijd bijwerken, bijvoorbeeld bij wijzigingen in onze diensten, nieuwe verwerkingsactiviteiten, gewijzigde wetgeving of relevante jurisprudentie. De meest recente versie is altijd beschikbaar op deze pagina met vermelding van de datum van de laatste wijziging.
Bij substantiële wijzigingen die uw rechten of de verwerking van uw gegevens materieel raken, informeren wij u via:
- Een kennisgeving in uw account/dashboard
- E-mail (indien u een geregistreerd e-mailadres heeft)
- Een duidelijke banner op de website
Wij raden u aan deze privacyverklaring periodiek te raadplegen om op de hoogte te blijven van eventuele wijzigingen.
Versiehistorie
- Versie 3.0 (10 maart 2026) — Uitbreiding: verwerkersovereenkomst verwijzing, aanvullende grondslagen, gedetailleerde bewaartermijnen met wettelijke grondslag, organisatorische maatregelen, uitgebreidere rechtenomschrijving
- Versie 2.0 (10 maart 2026) — Volledige herziening: AVG-compliant, uitgebreide bewaartermijnen, verwerkersoverzicht, gezondheidsgegevens
- Versie 1.0 (december 2025) — Eerste versie privacyverklaring
12. Contact
Voor vragen, opmerkingen of verzoeken met betrekking tot deze privacyverklaring of de verwerking van uw persoonsgegevens kunt u contact met ons opnemen:
- E-mail: privacy@hotsacity.com
- Website: Contactformulier
Wij streven ernaar om binnen 5 werkdagen op uw bericht te reageren. Voor formele AVG-verzoeken (inzage, rectificatie, wissing, etc.) geldt de wettelijke termijn van maximaal 30 dagen.
13. Toezichthouder
De Autoriteit Persoonsgegevens (AP) is de onafhankelijke Nederlandse toezichthouder die toeziet op de naleving van de privacywetgeving, waaronder de AVG en de Uitvoeringswet AVG. Als u van mening bent dat wij uw persoonsgegevens niet correct verwerken, ondanks ons verzoek om dit eerst bij ons te melden, heeft u het recht om een klacht in te dienen bij de AP.
- Naam: Autoriteit Persoonsgegevens
- Adres: Hoge Nieuwstraat 8, 2514 EL Den Haag
- Postbus: Postbus 93374, 2509 AJ Den Haag
- Telefoon: 070 - 888 85 00
- Website: autoriteitpersoonsgegevens.nl
- Klacht indienen: Klacht melden bij de AP
Wij waarderen het als u eventuele klachten eerst bij ons kenbaar maakt via privacy@hotsacity.com, zodat wij de kans krijgen om samen met u tot een bevredigende oplossing te komen.
Versie 3.0 — Laatst bijgewerkt: 10 maart 2026
Deze privacyverklaring is opgesteld in overeenstemming met de Algemene Verordening Gegevensbescherming (EU) 2016/679, de Uitvoeringswet AVG en de Telecommunicatiewet.