Subverwerkers en ontvangers

1Wat deze lijst is

Twee lijsten. De eerste zijn de subverwerkers voor organisatoren: partijen die gegevens verwerken waarvoor een organisator verantwoordelijk is en wij zijn verwerker, zoals de verwerkersovereenkomst beschrijft. De tweede zijn de andere ontvangers: partijen die gegevens krijgen uit wat PartyPPL zelf als verantwoordelijke doet, zoals de privacyverklaring beschrijft.

Per partij staat het doel, welke gegevens, de vestiging en de waarborg bij doorgifte buiten de Europese Economische Ruimte (EER).

De waarborg is overal dezelfde regel: EU-VS Data Privacy Framework waar de leverancier gecertificeerd is, anders standaardcontractbepalingen. Welke van de twee per leverancier geldt, controleren we nog. Tot die controle af is, beweren we het per partij niet.

2Subverwerkers voor organisatoren

Voor de gastenlijst, deurscans, exports en tickets uit een andere shop gebruiken we deze drie:

Cloudflare · VS, met datacenters wereldwijd

Doel: hosting, database, opslag van bestanden, realtime chat, CDN, bescherming tegen aanvallen en het serverlogboek. Gegevens: alles wat in het portaal staat, dus ook gastenlijsten, deurscans en tickets uit een andere shop. Waarborg: EU-VS Data Privacy Framework waar de leverancier gecertificeerd is, anders standaardcontractbepalingen. We hebben geen EU-opslaglocatie afgedwongen.

Resend · VS

Doel: e-mail, zoals het bericht dat een ticket uit een andere shop klaarstaat en uitnodigingen voor je team. Gegevens: e-mailadres, naam, het event en het soort ticket. Waarborg: EU-VS Data Privacy Framework waar de leverancier gecertificeerd is, anders standaardcontractbepalingen.

Apple · Ierland en VS

Doel: pushmeldingen naar de iPhone-app en updates van Apple Wallet-passen, ook voor tickets uit een andere shop. Gegevens: het pushtoken van het toestel en de tekst van de melding (het event en het ticket). Waarborg: EU-VS Data Privacy Framework waar de leverancier gecertificeerd is, anders standaardcontractbepalingen.

3Andere ontvangers

Voor wat PartyPPL zelf doet: je account, de agenda, tickets, de apps en onze kanalen.

Cloudflare, Resend en Apple

Dezelfde drie als hierboven, voor het hele platform: hosting en opslag van alles, al onze e-mail (inlogcodes, tickets, afgelastingen, alerts, digests), en pushmeldingen, Live Activities, Wallet en inloggen met Apple. Inloggen met Apple en de App Store zijn diensten waarvoor Apple zelf verantwoordelijk is.

Stripe · Ierland, moederbedrijf in de VS

Doel: betalingen, terugbetalingen en uitbetalingen aan organisatoren via Stripe Connect. Gegevens: bedragen, je e-mailadres en wat je bij Stripe invult; je kaartnummer of IBAN zien wij niet. Voor je betaalgegevens is Stripe zelf verantwoordelijk. Waarborg: EU-VS Data Privacy Framework waar de leverancier gecertificeerd is, anders standaardcontractbepalingen.

Anthropic · VS

Doel: Claude, om openbare eventgegevens aan te vullen. Gegevens: titel, datum, zaal, line-up en de naam en website van de organisator. Geen gegevens over bezoekers. Waarborg: EU-VS Data Privacy Framework waar de leverancier gecertificeerd is, anders standaardcontractbepalingen.

De pushdienst van je browser

Doel: webpushmeldingen. Welke dienst dat is, kiest je browser (bijvoorbeeld Apple, Google of Mozilla). Gegevens: het pushadres en de tekst van de melding. Waarborg: EU-VS Data Privacy Framework waar de leverancier gecertificeerd is, anders standaardcontractbepalingen.

Meta · Ierland en VS, Bluesky · VS, een Mastodon-server, een webhook

Doel: berichten op onze eigen kanalen. Gegevens: alleen openbare gegevens van nachten (titel, datum, zaal, stad, genres, prijs, poster, link). Nooit gegevens van bezoekers.

OpenFreeMap

Doel: kaarttegels, rechtstreeks in je browser geladen. Gegevens: je IP-adres, zoals bij elke website. Geen cookies. Vestiging: een open-sourceproject; vestiging en waarborg zoeken we nog uit.

YouTube (Google), SoundCloud en Mixcloud

Doel: video's en sets, pas na een tik op afspelen. Gegevens: je IP-adres en wat die dienst zelf vastlegt. Het voorbeeldbeeld van een YouTube-video komt al van YouTube als je de pagina ziet. Na je tik gelden hun regels.

Spotify · Zweden

Doel: alleen als je Spotify koppelt: lezen welke artiesten je daar volgt, met een sleutel die hooguit 15 minuten geldt. Artiestfoto's halen we vanaf onze server, zonder gegevens van bezoekers.

De ticketshop van de organisator, bij Pre-Buy

Doel: een ticket op jouw naam kopen. Gegevens: de namen die je per ticket opgeeft. De shop is zelf verantwoordelijk voor wat hij ermee doet.

Organisatoren

Krijgen wat ze nodig hebben om je binnen te laten: de naam op je ticket, het type, de scanstatus en in de ticketexport het e-mailadres van de koper. Zie de privacyverklaring.

Zonder gegevens van bezoekers

OpenStreetMap (Nominatim), MusicBrainz, Wikipedia en Wikidata, Deezer en iTunes Search krijgen alleen verzoeken van onze server over openbare gegevens van zalen en artiesten.

Autoriteiten

Alleen als de wet ons verplicht, zoals op een geldig bevel van politie of justitie, en niet meer dan gevraagd.

4Doorgifte buiten de EER

Een deel van deze partijen zit in de VS of verwerkt daar gegevens. Gaan persoonsgegevens naar een land zonder passend beschermingsniveau, dan geldt: EU-VS Data Privacy Framework waar de leverancier gecertificeerd is, anders standaardcontractbepalingen.

Welke waarborg per leverancier geldt, leggen we vast in ons verwerkingsregister. Vraag het ons via info@becyber.nl, dan sturen we het je.

5Wijzigingen

Komt er een subverwerker voor organisatoren bij of vervangen we er een, dan kondigen we dat minstens 30 dagen vooraf aan: op deze pagina met de datum, en per e-mail aan de eigenaren van elke organisatie. Organisatoren kunnen binnen die termijn bezwaar maken, zoals de verwerkersovereenkomst beschrijft.

Een nieuwe ontvanger voor onze eigen verwerking zetten we hier en in de privacyverklaring, met onderaan wat er veranderd is.

Aangekondigde wijzigingen: geen.

Wat is er veranderd

• Nieuw: deze lijst als eigen pagina, met per partij het doel, de gegevens, de vestiging en de waarborg bij doorgifte.