Privacybeleid van Tabres

01Wie wij zijn en onze rol

Dit Privacybeleid is opgesteld om te voldoen aan de Algemene verordening gegevensbescherming van de EU (AVG, in het Engels GDPR) en de UK GDPR. Artikel 10 geldt daarnaast als u inwoner bent van een Amerikaanse staat waarvan de privacywet op ons van toepassing is. Onze Algemene voorwaarden regelen uw gebruik van de Diensten en bevatten onze verwerkersvoorwaarden voor restaurantgegevens (artikel 9 van de Voorwaarden).

Als verwerkingsverantwoordelijke

Wij zijn de verwerkingsverantwoordelijke voor de persoonsgegevens van accounthouders en hun vertegenwoordigers, bezoekers van onze websites en mensen die contact met ons opnemen, en voor de technische en statistische gegevens uit dit Privacybeleid die wij voor onze eigen doeleinden verzamelen, ook op de openbare menupagina’s van restaurants die Tabres gebruiken.

Als verwerker

Wanneer een restaurant of ander bedrijf (een “Ondernemer”) de Diensten gebruikt om bestellingen, reserveringen of betalingen aan te nemen, menu’s te publiceren of personeel te beheren, is de Ondernemer de verwerkingsverantwoordelijke voor de persoonsgegevens van zijn gasten en personeel (“Ondernemersgegevens”). Wij verwerken die gegevens alleen namens en in opdracht van de Ondernemer. Bent u gast of medewerker van een Ondernemer, dan geldt voor die gegevens de eigen privacyverklaring van de Ondernemer. Verzoeken daarover richt u aan de Ondernemer. Wij helpen de Ondernemer bij het beantwoorden.

Contact

Vragen en verzoeken over persoonsgegevens kunt u sturen naar [email protected]. Onze volledige contactgegevens staan in artikel 15.

02Welke persoonsgegevens wij verzamelen

Account- en bedrijfsgegevens

Naam, e-mailadres, telefoonnummer, bedrijfsnaam, soort bedrijf, land en de gegevens van elke vestiging die u aanmaakt, zoals de juridische naam, het belastingnummer en het adres. Wij gebruiken geen accountwachtwoorden: u logt in met een eenmalige code die wij u e-mailen, of via een externe inlogprovider (zoals Google, Facebook, GitHub of Apple). In dat geval ontvangen wij de identificatie en de basisprofielgegevens (zoals uw naam en e-mailadres) die de provider met ons deelt. Pincodes van medewerkers binnen het platform worden als hash opgeslagen. Deze gegevens zijn nodig om een account aan te maken en te gebruiken; zonder deze gegevens kunnen wij de Diensten niet aan u leveren.

Facturatie- en betaalgegevens

Als u AI-credits koopt of de optionele betaalverwerking activeert, verzamelen wij factuurgegevens en houden wij bij welke kosten u betaalt. Betaalkaartgegevens voert u rechtstreeks in bij onze betaaldienstverlener, die ze verwerkt onder zijn eigen privacybeleid. Wij ontvangen transactiegegevens (zoals bedrag, datum, status en betaalmethode), maar niet uw volledige kaartnummer. Bij het activeren van betaalverwerking kan de betaaldienstverlener uw identiteit en uw bedrijf moeten controleren op grond van de antiwitwaswetgeving; voor die controle treedt de dienstverlener op als zelfstandige verwerkingsverantwoordelijke.

Content en operationele gegevens

Menu’s, afbeeldingen, productvideo’s, huisstijl, voorraad, tafelindelingen, personeelsgegevens en roosters, bestellingen, reserveringen en andere informatie die u of uw personeel in de Diensten invoert. Voor zover hier persoonsgegevens van uw gasten of personeel bij zitten, zijn dit Ondernemersgegevens die wij namens u verwerken.

Gebruiks- en technische gegevens

IP-adres, browser- en apparaattype, besturingssysteem, taal, verwijzende pagina, gebruikte pagina’s en functies, tijdstempels en fout- en diagnoselogs, automatisch verzameld wanneer u de websites of het platform gebruikt.

Communicatie

De inhoud van e-mails, supportverzoeken, feedback en berichten die u ons stuurt, ook via WhatsApp als u ervoor kiest om ons zo te benaderen.

Gastgegevens (als verwerker)

Wanneer een gast bestelt, reserveert of betaalt via het menu van een Ondernemer, verwerken wij de gegevens die de gast opgeeft, zoals naam, contactgegevens, tafel- of bezorggegevens, de inhoud van de bestelling en bestelnotities, die informatie over allergieën of dieetwensen kunnen bevatten. De Ondernemer is de verwerkingsverantwoordelijke voor deze gegevens.

03Waarvoor wij persoonsgegevens gebruiken en op welke rechtsgrond

Wij gebruiken persoonsgegevens voor de onderstaande doeleinden. Bij elk doel vermelden wij de rechtsgrond uit artikel 6 AVG waarop wij ons baseren.

Het leveren van de Diensten

Het aanmaken en beheren van uw account, het draaiende houden van het platform, het tonen van uw menu’s en bestelpagina’s, het doorsturen van bestellingen naar uw POS en KDS, en het bieden van support. Rechtsgrond: uitvoering van een overeenkomst met u (artikel 6, lid 1, onder b), of ons gerechtvaardigd belang bij het aanbieden van de Diensten wanneer u namens een bedrijf handelt (artikel 6, lid 1, onder f).

Facturatie en betalingen

Het in rekening brengen van de kosten waarmee u instemt, het versturen van facturen en het bijhouden van onze boekhouding. Rechtsgrond: uitvoering van een overeenkomst (artikel 6, lid 1, onder b) en het nakomen van onze wettelijke verplichtingen, waaronder het belastingrecht (artikel 6, lid 1, onder c).

AI-functies

Het maken van menuvertalingen en statistieken op uw verzoek. Rechtsgrond: uitvoering van een overeenkomst (artikel 6, lid 1, onder b). Waar Ondernemersgegevens in het spel zijn, handelen wij als verwerker in uw opdracht.

Beveiliging, fraudepreventie en probleemoplossing

Het veilig houden van de Diensten, het opsporen van misbruik en fraude, en het vinden en verhelpen van fouten. Rechtsgrond: ons gerechtvaardigd belang bij het beschermen van de Diensten, onze gebruikers en onszelf (artikel 6, lid 1, onder f).

Statistieken en verbetering

Inzicht krijgen, op geaggregeerd niveau, in hoe onze websites en menupagina’s worden gebruikt, zodat wij ze kunnen verbeteren. Rechtsgrond: ons gerechtvaardigd belang bij het verbeteren van de Diensten (artikel 6, lid 1, onder f), met de cookieloze statistieken uit artikel 4.

Communicatie

Het versturen van serviceberichten (zoals beveiligingsmeldingen, wijzigingen van de Voorwaarden en informatie over uw account) en het beantwoorden van uw vragen. Rechtsgrond: uitvoering van een overeenkomst en ons gerechtvaardigd belang bij het communiceren met onze gebruikers (artikel 6, lid 1, onder b en f). Wij kunnen bestaande klanten ook informatie sturen over onze eigen, vergelijkbare producten en functies; u kunt zich daar op elk moment voor afmelden via de link in het bericht of door ons te e-mailen.

Advertentiemeting

Alleen met uw toestemming (artikel 6, lid 1, onder a), zoals beschreven in artikel 4. U kunt uw toestemming op elk moment intrekken.

Wettelijke naleving en rechtsvorderingen

Het naleven van wetten, rechterlijke bevelen en verzoeken van bevoegde autoriteiten, en het instellen, uitoefenen of onderbouwen van rechtsvorderingen. Rechtsgrond: het nakomen van wettelijke verplichtingen (artikel 6, lid 1, onder c) en onze gerechtvaardigde belangen (artikel 6, lid 1, onder f).

Waar wij ons op een gerechtvaardigd belang baseren, hebben wij beoordeeld dat uw rechten en vrijheden niet zwaarder wegen dan dat belang. U kunt ons om meer informatie over die beoordeling vragen, en u hebt het recht om bezwaar te maken (zie artikel 9).

04Cookies, lokale opslag en statistieken

Privacy staat bij ons voorop. Onze websites en menupagina’s plaatsen zelf geen advertentiecookies of cookies die u over websites heen volgen. Wij gebruiken de volgende technieken:

Strikt noodzakelijke opslag

Het platform gebruikt sessie- en authenticatietokens om u ingelogd te houden, en onze websites gebruiken de lokale opslag van uw browser om instellingen te onthouden, zoals uw taal en of u onze cookiemelding al hebt gezien. Deze zijn nodig om de Diensten te laten werken en vereisen geen toestemming.

Beveiligingscookies

Onze leverancier voor contentlevering en beveiliging, Cloudflare, kan cookies plaatsen die nodig zijn om de Diensten te beschermen tegen bots en aanvallen. Deze cookies volgen u niet over websites heen.

Cookieloze statistieken

Wij gebruiken Plausible Analytics, gehost op onze eigen infrastructuur, op onze websites en op openbare menupagina’s. Plausible gebruikt geen cookies en slaat geen IP-adressen of blijvende identificatiegegevens op. Uw IP-adres en browsergegevens worden kortstondig verwerkt om een geanonimiseerde identificatie te berekenen die dagelijks wisselt, en alleen geaggregeerde statistieken (zoals paginaweergaven, verwijzende sites, landen en apparaattypen) worden bewaard. Wij delen deze gegevens niet met derden.

Advertentiepixels

Wij laden geen advertentie- of socialemediapixels (zoals de Meta-pixel) zonder uw voorafgaande toestemming. Als wij een advertentiecampagne voeren en die willen meten, vragen wij eerst uw toestemming via een toestemmingsbanner voordat er een pixel wordt geladen, en passen wij dit Privacybeleid aan om dat te beschrijven. U kunt uw toestemming op elk moment intrekken.

Google Maps

Openbare menupagina’s laden Google Maps om de locatie van een restaurant te tonen en om het invoeren van een bezorgadres te ondersteunen. Wanneer de kaart laadt, ontvangt Google LLC uw IP-adres en browsergegevens en kan Google eigen cookies plaatsen, onder het privacybeleid van Google. Wij baseren ons op ons gerechtvaardigd belang en dat van de Ondernemer bij het tonen van de locatie van het restaurant (artikel 6, lid 1, onder f).

Do Not Track

Omdat wij geen persoonsgegevens verkopen en ze niet gebruiken voor advertenties over websites heen, is er niets waarvoor u zich hoeft af te melden. Wij reageren daarom niet op “Do Not Track”-signalen van de browser.

05Met wie wij persoonsgegevens delen

Wij delen persoonsgegevens alleen met de volgende categorieën ontvangers, en alleen voor zover dat nodig is:

Cloudflare

Content delivery network, DNS en beveiligingsdiensten. Cloudflare verwerkt IP-adressen en metadata van verzoeken op zijn wereldwijde netwerk om verkeer te routeren en te beschermen.

Amazon Web Services (AWS)

Bestandsopslag (AWS S3) in een EU-regio voor de afbeeldingen, video’s en bestanden die u uploadt.

Betaaldienstverleners

Als u betaalverwerking activeert, verwerkt de bij activering genoemde dienstverlener betaalgegevens en, waar vereist, identiteitsgegevens als zelfstandige verwerkingsverantwoordelijke onder zijn eigen privacybeleid.

AI-leveranciers

Om AI-functies te leveren, kunnen wij de content die voor de gebruikte functie nodig is (zoals te vertalen menutekst) doorsturen naar externe leveranciers van AI-modellen, die optreden als onze subverwerkers. Wij sturen alleen wat de functie nodig heeft.

E-mailbezorgdiensten

Voor het versturen van eenmalige inlogcodes en e-mails over uw account, beveiliging en de dienstverlening (zoals Brevo en Resend).

Inlogproviders

Als u inlogt via Google, Facebook, GitHub of Apple, verwerkt die provider uw inlog als zelfstandige verwerkingsverantwoordelijke onder zijn eigen privacybeleid en deelt hij basisprofielgegevens met ons.

Google LLC

Google Maps op openbare menupagina’s, zoals beschreven in artikel 4.

Meta Platforms

Alleen als u ervoor kiest om via WhatsApp contact met ons op te nemen. WhatsApp verwerkt uw berichten dan onder zijn eigen voorwaarden en privacybeleid.

Ondernemers

Bent u gast, dan ontvangt de Ondernemer bij wie u bestelt de gegevens die u bij uw bestelling of reservering opgeeft, als verwerkingsverantwoordelijke voor die gegevens.

Adviseurs, autoriteiten en rechtsopvolgers

Advocaten, auditors en accountants waar nodig; rechtbanken, toezichthouders en opsporingsinstanties waar de wet dat vereist of toestaat; en een rechtsopvolger of overnemende partij als ons bedrijf wordt overgedragen. In dat geval blijft dit Privacybeleid op uw gegevens van toepassing.

Fout- en operationele logs bewaren wij op infrastructuur die wij zelf hosten; wij sturen ze niet naar externe monitoringdiensten. Subverwerkers die namens ons Ondernemersgegevens verwerken, zijn gebonden aan gegevensbeschermingsverplichtingen die in essentie gelijkwaardig zijn aan die in onze Algemene voorwaarden, en wij informeren Ondernemers vooraf over wijzigingen daarin.

06Internationale doorgifte

Wij hosten het platform en slaan uw gegevens op op servers in de Europese Economische Ruimte (EER). Sommige leveranciers uit artikel 5 (bijvoorbeeld Cloudflare, Google, betaaldienstverleners en AI-leveranciers) kunnen persoonsgegevens buiten de EER of het Verenigd Koninkrijk verwerken, ook in de Verenigde Staten. Waar dat gebeurt, baseren wij ons op passende waarborgen uit hoofdstuk V van de AVG: een adequaatheidsbesluit van de Europese Commissie (waaronder, voor het Verenigd Koninkrijk, het adequaatheidsbesluit voor het VK en, voor gecertificeerde Amerikaanse bedrijven, het EU-U.S. Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie, waar nodig aangevuld met extra maatregelen. U kunt meer informatie over deze waarborgen opvragen door contact met ons op te nemen.

07Hoe lang wij persoonsgegevens bewaren

Wij bewaren persoonsgegevens niet langer dan nodig is voor de doeleinden in dit Privacybeleid, tenzij de wet een langere termijn vereist of toestaat. In het bijzonder:

Accountgegevens

Zolang uw account actief is. Na het sluiten van uw account kunt u nog 30 dagen een export van uw gegevens aanvragen. Daarna verwijderen of anonimiseren wij ze binnen een redelijke termijn, zoals beschreven in artikel 17 van de Voorwaarden.

Ondernemersgegevens

Zolang de Ondernemer ons daartoe opdracht geeft door de Diensten te gebruiken, en na afloop van de Diensten zoals beschreven in de Voorwaarden. Ondernemers kunnen Ondernemersgegevens op elk moment via het platform verwijderen.

Facturen en boekhouding

Gedurende de termijn die het Nederlandse belasting- en boekhoudrecht voorschrijft, op dit moment zeven jaar.

Gebruiks-, beveiligings- en foutlogs

Gedurende de beperkte periode die nodig is voor beveiliging, fraudepreventie en probleemoplossing. Daarna worden ze verwijderd of geanonimiseerd.

Communicatie

Zolang nodig is om uw vraag af te handelen en, waar relevant, gedurende de verjaringstermijn voor rechtsvorderingen.

Statistieken

Alleen geaggregeerde statistieken die u niet identificeren worden bewaard.

Back-ups

Kopieën in reguliere back-ups worden in de normale back-upcyclus overschreven.

08Beveiliging

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen, waaronder versleuteling van gegevens tijdens verzending (TLS), opslag van pincodes van medewerkers en sessiegeheimen als hash, toegangsbeheer op basis van minimale rechten, logging en monitoring, regelmatige back-ups en hosting in de EER. Geen enkele manier van verzenden of opslaan is volledig veilig, dus absolute veiligheid kunnen wij niet garanderen. Bij een datalek informeren wij de getroffen Ondernemers zonder onnodige vertraging, en melden wij het bij de toezichthoudende autoriteit en de betrokken personen waar de wet dat vereist. U bent zelf verantwoordelijk voor het geheimhouden van uw inloggegevens.

09Uw rechten

Bevindt u zich in de EER, het Verenigd Koninkrijk of een ander rechtsgebied dat vergelijkbare rechten toekent, dan hebt u de volgende rechten met betrekking tot de persoonsgegevens waarvoor wij de verwerkingsverantwoordelijke zijn:

• Inzage – Bevestiging krijgen dat wij uw persoonsgegevens verwerken, en een kopie daarvan ontvangen.
• Rectificatie – Onjuiste of onvolledige gegevens laten corrigeren.
• Verwijdering (vergetelheid) – Uw persoonsgegevens laten wissen wanneer wij geen geldige reden meer hebben om ze te bewaren.
• Beperking – De verwerking in bepaalde situaties laten beperken.
• Overdraagbaarheid – De gegevens die u aan ons hebt verstrekt ontvangen in een gestructureerde, gangbare en machineleesbare vorm, en ze laten overdragen aan een andere verwerkingsverantwoordelijke waar dat technisch mogelijk is.
• Bezwaar – Bezwaar maken tegen verwerking op grond van ons gerechtvaardigd belang, en op elk moment bezwaar maken tegen direct marketing.
• Intrekken van toestemming – Waar wij ons op uw toestemming baseren, die op elk moment intrekken, zonder dat dit de rechtmatigheid van de verwerking vóór de intrekking aantast.
• Klacht – Een klacht indienen bij een toezichthoudende autoriteit. Onze leidende toezichthouder is de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl). U kunt ook een klacht indienen bij de toezichthouder van het EU-land waar u woont of werkt, of, in het Verenigd Koninkrijk, bij de Information Commissioner’s Office (ICO).

Om een van deze rechten uit te oefenen, e-mailt u naar [email protected]. Wij kunnen u vragen uw identiteit te bevestigen. Wij reageren binnen een maand; bij complexe verzoeken kan die termijn met maximaal twee maanden worden verlengd, en dan laten wij u dat weten. Het uitoefenen van uw rechten is gratis, tenzij een verzoek duidelijk ongegrond of buitensporig is. Gaat uw verzoek over gegevens die wij namens een Ondernemer verwerken, dan sturen wij het door naar de Ondernemer en helpen wij de Ondernemer bij het beantwoorden.

10Aanvullende informatie voor inwoners van Amerikaanse staten

Dit artikel geldt als u inwoner bent van een Amerikaanse staat met een brede consumentenprivacywet (zoals Californië) en die wet op ons van toepassing is. In de afgelopen twaalf maanden hebben wij geen persoonlijke informatie verkocht en die niet gedeeld voor contextoverschrijdende gedragsgerichte advertenties, en wij gebruiken of verstrekken geen gevoelige persoonlijke informatie voor andere doeleinden dan het leveren van de Diensten. Onder voorbehoud van het toepasselijke recht en controle van uw identiteit hebt u het recht om te weten welke persoonlijke informatie wij verzamelen, gebruiken en verstrekken; om die in te zien, te corrigeren en te laten verwijderen; om u af te melden voor verkoop of delen (wat wij niet doen); en om niet benadeeld te worden omdat u uw rechten uitoefent. U kunt een gemachtigde aanwijzen om namens u een verzoek in te dienen. Om deze rechten uit te oefenen, e-mailt u naar [email protected]. De categorieën persoonlijke informatie die wij verzamelen en de doeleinden waarvoor wij ze gebruiken, staan beschreven in de artikelen 2, 3 en 5.

11Kinderen

Onze websites en ons platform zijn bedoeld voor bedrijven en niet gericht op kinderen. Wij verzamelen niet bewust persoonsgegevens van personen onder de 16 jaar voor onze eigen doeleinden. Waar een Ondernemer gasten via het menu laat bestellen, is de Ondernemer verantwoordelijk voor de persoonsgegevens van zijn gasten, inclusief eventuele leeftijdseisen die voor hem gelden.

12Geautomatiseerde besluitvorming

Wij nemen geen besluiten die uitsluitend op geautomatiseerde verwerking berusten, waaronder profilering, en die voor u rechtsgevolgen hebben of u op vergelijkbare wijze aanzienlijk treffen in de zin van artikel 22 AVG.

13Websites van derden en social media

Onze websites bevatten links naar websites van derden en naar onze socialemediaprofielen. Wij zijn niet verantwoordelijk voor de privacypraktijken van die derden; als u hen bezoekt, geldt hun eigen privacybeleid.

14Wijzigingen in dit Privacybeleid

Wij kunnen dit Privacybeleid van tijd tot tijd aanpassen aan veranderingen in onze werkwijze, de Diensten of de wet. Wij plaatsen de bijgewerkte versie op deze pagina en werken de datums bovenaan bij. Verandert een wijziging wezenlijk hoe wij persoonsgegevens gebruiken waarvoor wij de verwerkingsverantwoordelijke zijn, dan informeren wij accounthouders ook per e-mail of via het dashboard van het platform voordat de wijziging ingaat.

15Contact opnemen

Hebt u vragen over dit Privacybeleid of over hoe wij met gegevens omgaan, of wilt u uw rechten uitoefenen? Neem dan contact met ons op via: