Privacyverklaring Rihlaah B.V.

Artikel 1 – Begripsbepalingen

In deze privacyverklaring wordt verstaan onder:

• Rihlaah: Rihlaah B.V., ingeschreven bij de Kamer van Koophandel onder nummer 42134878, gevestigd aan Jan Rebelstraat 16B, 1069CC Amsterdam.
• Reisorganisatie: de onderneming die het Rihlaah-platform als klant afneemt en die reizen organiseert voor Pelgrims, daarbij ondersteund door Gidsen.
• Platform: webapplicatie en mobiele applicatie van Rihlaah, gezamenlijk.
• Betrokkene: de natuurlijke persoon op wie de verwerkte Persoonsgegevens betrekking hebben, waaronder begrepen bezoekers van de website en gebruikers van de mobiele applicatie (Pelgrims en Gidsen).
• Verwerkingsverantwoordelijke, Verwerker, Subverwerker en Persoonsgegevens: hebben de betekenis die de Algemene Verordening Gegevensbescherming (AVG) daaraan toekent.

Artikel 2 – Toepassingsgebied en hoedanigheid van Rihlaah

2.1 Rihlaah verwerkt Persoonsgegevens in twee verschillende hoedanigheden, afhankelijk van de context waarin u met Rihlaah in aanraking komt:

• (a) als Verwerkingsverantwoordelijke, wanneer u deze website bezoekt en gebruikmaakt van het demo- of supportformulier (Artikel 3); en
• (b) als Verwerker, wanneer u als Pelgrim of Gids gebruikmaakt van de mobiele applicatie namens een Reisorganisatie waarmee u een reisovereenkomst bent aangegaan of waarvoor u werkzaam bent (Artikel 4). In deze hoedanigheid is de betreffende Reisorganisatie de Verwerkingsverantwoordelijke, en verwerkt Rihlaah Persoonsgegevens uitsluitend op basis van de tussen Rihlaah en de Reisorganisatie gesloten verwerkersovereenkomst (artikel 28 AVG).

2.2 Voor vragen die betrekking hebben op deze privacyverklaring in het algemeen, kunt u contact opnemen via info@rihlaah.com.

Artikel 3 – Verwerkingen als Verwerkingsverantwoordelijke (website)

3.1 Demo-aanvragen

Indien u via het contactformulier op deze website een demonstratie van het Platform aanvraagt, verwerkt Rihlaah de volgende gegevens: naam, naam van uw organisatie, e-mailadres, telefoonnummer (indien opgegeven) en de inhoud van uw bericht (indien opgegeven).

Deze gegevens worden uitsluitend verwerkt om: (i) contact met u op te nemen over uw aanvraag; (ii) uw vragen te beantwoorden; en (iii) een bevestiging van ontvangst te versturen.

3.2 Supportaanvragen

Indien u via het supportformulier op deze website een vraag stelt over de Rihlaah-app, verwerkt Rihlaah de volgende gegevens: naam, e-mailadres, naam van uw reisorganisatie, uw rol (Pelgrim, Gids, of medewerker van een Reisorganisatie), en eventuele bijlagen die u toevoegt (zoals screenshots of PDF-documenten, die mogelijk Persoonsgegevens of schermafbeeldingen van de applicatie bevatten).

Deze gegevens worden uitsluitend verwerkt ten behoeve van de afhandeling van uw supportvraag over de Rihlaah-app. Dit doel staat los van de afhandeling van een demo-aanvraag als bedoeld in Artikel 3.1.

3.3 Rechtsgrondslag

De verwerkingen bedoeld in Artikel 3.1 en 3.2 vinden plaats op grond van het gerechtvaardigd belang van Rihlaah (artikel 6, eerste lid, onder f, AVG) om vragen van (potentiële) klanten en van gebruikers van haar klanten te kunnen beantwoorden.

3.4 Ontvangers

Voor de verwerkingen bedoeld in dit artikel schakelt Rihlaah de volgende Verwerkers in:

• Supabase — ten behoeve van de opslag van de door u verstrekte gegevens; bijlagen bij een supportaanvraag worden opgeslagen in een daartoe bestemde Supabase Storage-bucket.
• Resend — ten behoeve van de verzending van e-mailberichten.
• Vercel — ten behoeve van de hosting van deze website.

Deze partijen verwerken de gegevens uitsluitend in opdracht van Rihlaah en zijn niet gerechtigd deze voor eigen doeleinden te gebruiken. Rihlaah maakt op deze website geen gebruik van cookies of vergelijkbare trackingtechnieken.

3.5 Bewaartermijn

Gegevens verkregen via het demo- of supportformulier worden bewaard zolang dit noodzakelijk is voor de afhandeling van de betreffende aanvraag en, voor zover relevant, voor het onderhouden van vervolgcontact. Gegevens die niet langer noodzakelijk zijn, worden verwijderd.

Artikel 4 – Verwerkingen als Verwerker (mobiele applicatie en platform)

4.1 Categorieën persoonsgegevens

In het kader van het Platform kunnen de volgende categorieën Persoonsgegevens worden verwerkt: (a) NAW- en contactgegevens; (b) paspoort- en visumgegevens, met inbegrip van scans en documenten; (c) boekings- en reisgegevens, waaronder reisschema, groepsindeling en kamerindeling; (d) betaalgegevens, uitsluitend verwerkt via Stripe op het webplatform — de mobiele applicatie verwerkt of toont geen betaalgegevens; en (e) gebruiksgegevens van de mobiele applicatie.

Specifiek ten aanzien van de mobiele applicatie geldt dat deze een deel van bovengenoemde gegevens toont aan Gidsen en Pelgrims, ten behoeve van begeleiding tijdens de reis. De mobiele applicatie registreert of verzamelt zelf geen nieuwe gegevens, doch toont uitsluitend gegevens die reeds in het Platform aanwezig zijn. Voor Gidsen kan dit, per Pelgrim wiens profiel wordt geraadpleegd, alle profielgegevens betreffen: naam, geboortedatum, nationaliteit, adres, paspoortnummer en vervaldatum, noodcontact, geslacht, eventuele bijzondere zorgbehoefte, kamerindeling en activiteiten.

Paspoort- en visumscans worden op de server versleuteld opgeslagen (AES-256-GCM) en in de mobiele applicatie uitsluitend tijdelijk in het geheugen geopend na invoer van een wachtwoord door de gebruiker; deze worden niet duurzaam op het toestel bewaard.

Door de applicatie gevraagde toestemmingen (permissies):

• Locatie — ten behoeve van het tonen van gebedstijden, actuele weersinformatie en een plaatsnaam;
• Meldingen — ten behoeve van pushberichten vanuit de Reisorganisatie;
• Camera — uitsluitend op het moment dat de gebruiker een document via de camera wenst te uploaden naar zijn of haar profiel;
• Bestanden/mappen — uitsluitend op het moment dat de gebruiker een document wenst te uploaden naar zijn of haar profiel.

4.2 Doeleinden van de verwerking

De in Artikel 4.1 genoemde gegevens worden uitsluitend verwerkt ten behoeve van reisbeheer, groepsindeling, communicatie en begeleiding tijdens de reis, in opdracht van de Reisorganisatie. Rihlaah wendt deze gegevens niet aan voor eigen doeleinden.

4.3 Rechtsgrondslag

De Reisorganisatie verwerkt de Persoonsgegevens van de Betrokkene op grond van: (a) de uitvoering van de overeenkomst tussen de Betrokkene en de Reisorganisatie, strekkende tot het boeken en begeleiden van de reis (artikel 6, eerste lid, onder b, AVG); en (b) een wettelijke verplichting, voor zover paspoort- en visumgegevens noodzakelijk zijn ter voldoening aan documentatie-eisen die aan de reis zijn verbonden (artikel 6, eerste lid, onder c, AVG). Rihlaah verwerkt deze gegevens namens de Reisorganisatie op grond van de tussen partijen gesloten verwerkersovereenkomst.

4.4 Ontvangers en Subverwerkers

Rihlaah deelt Persoonsgegevens niet met derden ten behoeve van eigen doeleinden. Ten behoeve van de dienstverlening maakt Rihlaah gebruik van de volgende Subverwerkers, die zijn gebonden aan verplichtingen die gelijkwaardig zijn aan de verplichtingen die op Rihlaah rusten:

• Supabase (database, authenticatie en opslag)
• Vercel (hosting van de webapplicatie)
• Firebase Cloud Messaging/Google (pushnotificaties)
• Resend (transactionele e-mail)
• Stripe (betalingsverwerking, PCI-DSS Level 1 gecertificeerd) — uitsluitend ten behoeve van betalingen via het webplatform, niet via de mobiele applicatie

Specifiek ten behoeve van de mobiele applicatie worden voorts de volgende partijen ingeschakeld:

• Sentry, ten behoeve van crashrapportage: foutlocatie in de broncode, toestelmodel, versie van besturingssysteem en applicatie, taalinstelling, tijdzone, sessiegegevens en IP-adres. Deze gegevens worden niet gekoppeld aan een gebruikersaccount; er vindt geen verzameling van schermopnamen of performancemetingen plaats.
• Open-Meteo, ten behoeve van het tonen van actuele weersinformatie op basis van exacte locatiecoördinaten.
• De kaartendienst van Apple respectievelijk Google, ten behoeve van het omzetten van locatiecoördinaten naar een plaatsnaam.

De Reisorganisatie heeft, in haar hoedanigheid van Verwerkingsverantwoordelijke, eveneens toegang tot de Persoonsgegevens binnen het Platform.

4.5 Doorgifte buiten de Europese Economische Ruimte

Persoonsgegevens worden opgeslagen bij Supabase, in de regio eu-north-1, gelegen binnen de Europese Economische Ruimte (EER).

Vercel en Resend verwerken Persoonsgegevens binnen een EU-regio.

Firebase/Google kan het in Artikel 4.4 genoemde pushtoken buiten de EER verwerken, in het bijzonder in de Verenigde Staten. Firebase ontvangt daarbij uitsluitend dit technische token, en geen overige Persoonsgegevens van gebruikers, Pelgrims, Gidsen of Reisorganisaties. Deze doorgifte geschiedt met inachtneming van de daartoe wettelijk vereiste waarborgen, te weten de Standaardcontractbepalingen van de Europese Commissie.

4.6 Opslag op het toestel (mobiele applicatie)

Naast de opslag bij Supabase cachet de mobiele applicatie een deel van de Persoonsgegevens lokaal op het toestel van de gebruiker, zodat begeleiding ook zonder actieve internetverbinding mogelijk blijft. Rihlaah past hiervoor secure caching toe: de lokale cache wordt versleuteld opgeslagen. Organisatie-identificatie, rol en actieve reis worden afzonderlijk versleuteld opgeslagen (Keychain onder iOS, Keystore onder Android).

4.7 Bewaartermijnen

• De bewaartermijn van reisdocumenten, waaronder paspoort- en visumscans, wordt bepaald door de Reisorganisatie als Verwerkingsverantwoordelijke, overeenkomstig haar eigen privacybeleid. Rihlaah stelt de Reisorganisatie in staat deze gegevens te verwijderen, doch verwijdert deze niet uit eigen beweging.
• Na beëindiging van de overeenkomst tussen Rihlaah en de Reisorganisatie verwijdert of retourneert Rihlaah, ter keuze van de Reisorganisatie, alle Persoonsgegevens binnen dertig dagen, tenzij een wettelijke bewaarplicht zich daartegen verzet.

4.8 Rechten van betrokkenen

De Betrokkene heeft recht op inzage, rectificatie, verwijdering, beperking van de verwerking en overdraagbaarheid van zijn of haar Persoonsgegevens. Nu de Reisorganisatie de Verwerkingsverantwoordelijke is, dient een daartoe strekkend verzoek in eerste instantie aan de Reisorganisatie te worden gericht. Rihlaah verleent de Reisorganisatie hierbij ondersteuning. De Betrokkene heeft voorts het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

4.9 Minderjarigen

Bij reizen kunnen minderjarigen worden meegenomen. Hun Persoonsgegevens worden verwerkt binnen het Platform onder verantwoordelijkheid van de Reisorganisatie en van de ouder of hoofdboeker die de reis heeft geboekt. Minderjarigen beschikken niet over een eigen account voor de mobiele applicatie; zij worden gekoppeld aan het account van hun ouder of hoofdboeker.

4.10 Accounts in de mobiele applicatie

De mobiele applicatie biedt geen mogelijkheid tot zelfregistratie. Accounts voor Gidsen en Pelgrims worden vóór aanvang van de reis door de Reisorganisatie verstrekt. Na afloop van de reis wordt het account automatisch gedeactiveerd.

Artikel 5 – Beveiliging

Rihlaah neemt passende technische en organisatorische maatregelen om Persoonsgegevens te beschermen tegen verlies of onrechtmatige verwerking, overeenkomstig artikel 32 AVG en de tussen Rihlaah en de Reisorganisatie gesloten verwerkersovereenkomst.

Artikel 6 – Wijzigingen

Rihlaah behoudt zich het recht voor deze privacyverklaring te wijzigen, onder meer wanneer de website, de applicatie of de gegevensverwerking daartoe aanleiding geeft. De meest actuele versie is steeds op deze pagina raadpleegbaar.

Artikel 7 – Contact

Voor vragen over deze privacyverklaring, of ter uitoefening van de in Artikel 3 en Artikel 4 genoemde rechten voor zover deze bij Rihlaah kunnen worden uitgeoefend, kunt u contact opnemen via info@rihlaah.com.