Privacy en voorwaarden

Wie tickets verkoopt, verwerkt gegevens van mensen: een naam, een e-mailadres, soms een adres. Daar horen regels bij. Dit artikel legt in gewone taal uit wat die regels inhouden, wat wij voor jou geregeld hebben, en — het stuk dat het vaakst vergeten wordt — wat jij zelf moet schrijven voor je eerste ticket verkocht is.

Dit is geen juridisch advies. Het is een handleiding, geschreven door mensen die software maken. Gaat het over veel geld, over minderjarigen of over gevoelige gegevens, leg het dan voor aan een jurist of aan je koepelorganisatie.

Wat is de AVG?

De AVG — Algemene Verordening Gegevensbescherming, in het Engels GDPR — is de Europese wet over persoonsgegevens. Ze geldt sinds 2018 in heel de Europese Unie en ze geldt ook voor een heemkundige kring met tachtig leden.

Wat ze in de kern zegt, in vijf zinnen:

• Je verzamelt alleen gegevens die je echt nodig hebt.
• Je zegt vooraf waarvoor je ze gebruikt.
• Je houdt ze niet langer bij dan nodig.
• Je beschermt ze redelijk tegen diefstal en verlies.
• Wie in je bestand staat, mag vragen wat je over hem hebt, en mag vragen het te laten verwijderen.

Een persoonsgegeven is alles waarmee je een mens kan aanwijzen: een naam, een e-mailadres, een telefoonnummer, soms zelfs een bestelnummer dat je aan een persoon kan koppelen. Een teller "312 bezoekers" is dat niet.

Verantwoordelijke en verwerker

Dit is het stuk dat het vaakst verkeerd begrepen wordt, en het bepaalt bij wie een bezoeker moet zijn met een vraag.

De wet kent twee rollen:

• De verwerkingsverantwoordelijke beslist waarom en hoe gegevens gebruikt worden.
• De verwerker voert dat uit, in opdracht, en doet er niets anders mee.

De vergelijking die blijft hangen: jij bent de eigenaar van het archief, wij zijn de archiefkast met slot. Jij beslist wat erin gaat, wie het mag inkijken en wanneer het eruit mag. De kast bewaart en bewaakt, maar leest niet mee en belt je bezoekers niet op.

Een andere manier om het te zien: je vereniging huurt een zaal. De zaaluitbater zorgt voor de deur en het slot; jij beslist wie er binnen mag.

Gegevens	Verantwoordelijke	Verwerker
Je eigen account, je facturen, je supportvragen	Wij	—
Naam, e-mail, bestellingen, tickets, scans van je bezoekers	Jouw organisatie	Wij

Praktisch betekent dat: vraagt een bezoeker inzage in of verwijdering van zijn gegevens, dan beslis jij daarover, niet wij. Komt zo een vraag bij ons terecht, dan sturen we ze binnen vijf werkdagen naar jou door en laten we de bezoeker weten bij wie hij moet zijn. Opzoeken wat je van iemand hebt, kan je zelf in het scherm Bestellingen. Een kopie van iemands gegevens bezorgen of ze wissen kan je in het beheerscherm niet zelf: vraag het ons, dan doen wij het voor je.

---

De vier teksten die wij leveren

Op de publieke site staan vier juridische documenten. Ze verwijzen naar elkaar en dragen allemaal dezelfde versiedatum, zodat je in een dossier kan zeggen welke versie je gebruikt hebt.

Document	Waarover het gaat
Impressum	Wie de dienst uitbaat: naam, adres, ondernemingsnummer, btw-nummer, contact
Privacyverklaring	Welke persoonsgegevens er verwerkt worden, waarvoor, hoe lang en met wie ze gedeeld worden
Algemene voorwaarden	De afspraken tussen jouw organisatie en ons: abonnement, betaling, beschikbaarheid, aansprakelijkheid
Verwerkersovereenkomst	Wat wij met de gegevens van jouw bezoekers doen, in jouw opdracht

De verwerkersovereenkomst hoef je niet apart te tekenen: ze maakt deel uit van de algemene voorwaarden. Aanvaard je die bij je registratie, dan aanvaard je haar mee. De versie die jij aanvaard hebt, wordt bij je organisatie bewaard — je kan dus altijd nakijken waarmee je akkoord ging.

Heeft een subsidiedossier of een aanbesteding toch een getekend exemplaar op eigen briefpapier nodig, schrijf ons dan. We tekenen het.

Let op: deze vier teksten gaan over ons en over jou. Ze zeggen niets tegen je bezoeker over jóuw evenement. Dat is het volgende hoofdstuk, en dat is jouw werk.

---

Wat je nodig hebt vooraf

• Een halve dag om twee teksten te schrijven: je eigen voorwaarden en je eigen privacyverklaring.
• Een plek om die teksten te publiceren, meestal je eigen website. In het beheerscherm vul je alleen de link naar je voorwaarden in, niet de tekst zelf.
• De naam, het adres en het ondernemings- of verenigingsnummer van je organisatie, plus een e-mailadres waar iemand terecht kan.
• Een beslissing van je bestuur over twee vragen: wat doe je bij afgelasting, en tot wanneer mag iemand annuleren.
• De rol eigenaar, om die link in te vullen onder Instellingen → Organisatie.
• Twijfel je over btw: het nummer van je boekhouder.

---

Wat jij zelf regelt

Verkoop je tickets aan bezoekers, dan ben jij tegenover die bezoeker de verkoper. Dat brengt vier dingen met zich mee die wij niet voor jou kunnen doen.

1. Je eigen algemene voorwaarden

Dit zijn de afspraken tussen jou en je bezoeker. Zet ze op een pagina van je eigen website en plak de link bij Instellingen → Organisatie, tabblad Huisstijl, in het veld Link naar je voorwaarden. Je bezoeker ziet die link bij het afrekenen, naast het vakje waarmee hij met je voorwaarden akkoord gaat, en onderaan je ticketshop. Vul je niets in, dan gaat hij nog altijd akkoord met "de voorwaarden van" je organisatie, maar kan hij ze nergens lezen.

Wat erin hoort, met telkens een voorbeeld van wat een kleine vereniging daar zet:

Wat	Voorbeeld
Bij afgelasting	"Gaat de voorstelling niet door, dan betalen we de ticketprijs volledig terug binnen 30 dagen. Reservatiekosten worden niet terugbetaald."
Bij verplaatsing	"Wordt de datum verplaatst, dan blijft je ticket geldig voor de nieuwe datum. Kan je niet, laat het weten voor de nieuwe datum en je krijgt je geld terug."
Doorverkoop	"Je mag je ticket doorgeven aan iemand anders. Doorverkoop tegen een hogere prijs dan de ticketprijs staan we niet toe."
Annuleren tot wanneer	"Annuleren kan tot 7 dagen voor het eetfestijn via eetfestijn@jouwvereniging.be. Daarna is je ticket niet meer terug te betalen, want de inkopen zijn dan gedaan."
Laattijdig komen	"De rondleiding start stipt om 14 uur. Wie later komt, sluit aan bij de groep maar heeft geen recht op terugbetaling van het gemiste deel."
Huisregels	"Honden zijn welkom aan de leiband, behalve in de kelderzaal. Roken kan alleen buiten. De organisatie kan iemand de toegang weigeren bij dronkenschap of hinderlijk gedrag."
Aansprakelijkheid	"De organisatie is niet aansprakelijk voor verlies of diefstal van persoonlijke voorwerpen."
Wie je bent	"Toneelkring De Wissel vzw, Dorpsstraat 3, 9000 Ergens, ondernemingsnummer 0123.456.789."

Let op: schrijf ze in de taal waarin je verkoopt en houd ze kort. Drie schermen tekst leest niemand; tien duidelijke regels wel. En houd ze eerlijk — een voorwaarde die kennelijk onredelijk is tegenover een consument, houdt voor een rechter toch geen stand.

2. Je eigen privacyverklaring

Jij bepaalt waarom je de gegevens van je bezoekers verzamelt en hoe lang je ze houdt. Onze privacyverklaring zegt wat het platform met die gegevens doet; ze vervangt de jouwe niet. Bij het afrekenen linken wij naar die van ons; voor die van jou is er geen apart veld. Zet ze op je eigen website en verwijs ernaar vanuit je voorwaarden — of zet beide op dezelfde pagina.

Vijf vragen die je beantwoordt, met een voorbeeld:

Vraag	Voorbeeld voor een kleine vereniging
Wat verzamel je?	"Bij een bestelling: je naam, je e-mailadres en wat je besteld hebt. Bij een eetfestijn ook je menukeuze en of je allergieën doorgeeft."
Waarom?	"Om je ticket te kunnen bezorgen, om je te verwittigen als er iets wijzigt, en om te weten hoeveel porties we moeten koken."
Hoe lang?	"Je bestelgegevens houden we 7 jaar bij omdat onze boekhouding dat vraagt. Je e-mailadres voor de nieuwsbrief houden we bij tot je je uitschrijft."
Met wie deel je ze?	"Met ons ticketplatform, dat ze in onze opdracht verwerkt, en met onze betaalprovider voor de betaling. Verder met niemand. We verkopen geen adressen."
Waar kan iemand terecht?	"Schrijf naar privacy@jouwvereniging.be of naar Toneelkring De Wissel vzw, Dorpsstraat 3, 9000 Ergens. Je kan je gegevens opvragen, laten verbeteren of laten wissen."

Dat laatste adres is niet optioneel. Een privacyverklaring zonder plek waar iemand een vraag kan stellen, is geen privacyverklaring.

Let op: stuur je nieuwsbrieven? Dan is dat een apart doel, en dan vraag je daar apart toestemming voor. Een e-mailadres dat je kreeg om een ticket te bezorgen, is geen toestemming om er drie keer per jaar iets naar te sturen.

3. Het herroepingsrecht

Wie online iets koopt, heeft normaal veertien dagen bedenktijd. Voor evenementen op een vaste datum geldt in de Europese Unie doorgaans géén herroepingsrecht van veertien dagen — anders zou iemand een kaartje kunnen kopen, gaan kijken en het daarna terugvragen.

Zeg dat uitdrukkelijk in je voorwaarden, want een bezoeker gaat er anders van uit dat hij dat recht wel heeft.

Een zin die volstaat: "Voor tickets voor een evenement op een bepaalde datum geldt geen wettelijk herroepingsrecht van 14 dagen. Je aankoop is definitief, behalve wat hierboven bij annuleren staat."

Verkoop je iets dat géén vaste datum heeft — een cadeaubon, een jaarkaart die op elk moment ingaat — ga er dan niet zomaar van uit dat dezelfde uitzondering geldt. Vraag dat na.

4. Btw en boekhouding

Jij bepaalt of en welke btw je op je tickets aanrekent. Het platform rekent wat je instelt; het geeft geen fiscaal advies.

Wat een kleine vereniging daar in de praktijk zet: veel verenigingen vallen onder een vrijstelling en rekenen 0% aan, met een vermelding zoals "Vrijgesteld van btw" op het ticket. Andere verenigingen zijn wél btw-plichtig voor hun eetfestijn maar niet voor hun voorstelling. Dat verschil is precies het soort vraag waarvoor je je boekhouder één keer belt in plaats van het te gokken.

Houd er ook rekening mee dat je als verkoper zelf je omzet moet kunnen verantwoorden. Verkoop je aan de deur, dan helpt het kassajournaal daarbij; zie De balie-kassa.

---

Betaalgegevens verwerken wij niet

Kaartnummers, rekeningnummers en alles wat verder bij een betaling hoort, gaan rechtstreeks naar de betaalprovider die jij zelf koppelt. Wij zien alleen of een betaling gelukt is en om welk bedrag het ging. Het geld komt ook rechtstreeks op jouw rekening; wij zitten er niet tussen. Zie Je betaalprovider koppelen.

---

Bewaartermijnen

De volledige lijst staat in de privacyverklaring. De termijnen die je het vaakst nodig hebt:

Wat	Hoe lang	Waarom
Bestellingen, tickets en scans	Zolang je klant bent, plus wat je zelf opgeeft	Jij bepaalt dit als verantwoordelijke
Je gegevens na het einde van je abonnement	30 dagen om te exporteren, daarna weg	Genoeg tijd om je export te maken
Facturen	10 jaar	Bulgaarse boekhoudwet, van toepassing op ons
Je eigen boekhoudkundige stukken in België	7 jaar	Belgisch WER, van toepassing op jou
Serverlogs	90 dagen	Lang genoeg om een incident te onderzoeken

Heb je een strengere termijn nodig voor je eigen sector, laat het ons weten.

---

Wie ziet je gegevens nog?

Alleen leveranciers die we nodig hebben om het platform te laten werken. De volledige lijst met naam, land en waarvoor ze dienen, staat in de privacyverklaring en in de verwerkersovereenkomst. Die twee lijsten komen uit dezelfde bron, zodat ze niet uit elkaar kunnen lopen.

Komt er een leverancier bij of valt er een weg, dan laten we dat minstens dertig dagen vooraf per e-mail weten. Ben je het er niet mee eens, dan kan je opzeggen zonder kosten.

Je gegevens blijven in de Europese Unie, op drie uitzonderingen na die je zelf in de hand hebt: een ticket in Apple Wallet of Google Wallet, en Stripe als betaalprovider. Voor alle drie gelden de standaardcontractbepalingen van de Europese Commissie of het EU-US Data Privacy Framework.

---

Cookies

Alleen functionele: de sessie, het CSRF-token en de cookie die je ingelogd houdt — en op een tablet die je als kassa gekoppeld hebt, een cookie die dat toestel herkent. Geen analyse, geen advertenties, geen trackers, en geen lettertypes of scripts van een vreemde server. Je taalkeuze zit in het adres van de pagina en niet in een cookie.

Daarom staat er ook geen cookiebanner op de site. Dat is geen vergetelheid: voor cookies die strikt nodig zijn om de dienst te leveren, is geen toestemming vereist.

---

Als er toch iets misgaat

Stellen we een datalek vast dat jouw bezoekers raakt, dan lichten we je in binnen 48 uur na vaststelling — niet binnen 72, want die 72 uur is de termijn waarbinnen jij je toezichthouder moet inlichten, en die haal je alleen als je het eerder van ons hoort. Je krijgt van ons wat we op dat moment weten, en wat we nog niet weten zeggen we er eerlijk bij.

---

Klacht indienen

Ben je niet tevreden over hoe we met gegevens omgaan, zeg het ons eerst — de meeste dingen zijn sneller rechtgezet dan een procedure duurt. Je kan ook rechtstreeks terecht bij een toezichthouder: bij de Bulgaarse CPDP (cpdp.bg), onze leidende toezichthouder, of als je in België woont bij de Gegevensbeschermingsautoriteit (gegevensbeschermingsautoriteit.be).

---

Veelgemaakte fouten

• Onze privacyverklaring gebruiken als die van jou. Die gaat over het platform. Je bezoeker koopt bij jou en moet jouw tekst kunnen lezen.
• Geen link naar je voorwaarden invullen. Dan kan je bezoeker bij het afrekenen nergens lezen waarmee hij akkoord gaat, en bij de eerste afgelasting heb je geen enkele afspraak om naar te verwijzen.
• E-mailadressen uit ticketverkoop gebruiken voor een nieuwsbrief. Dat is een ander doel. Vraag er apart toestemming voor.
• Beweren dat er wél veertien dagen bedenktijd is. Of er niets over zeggen, wat op hetzelfde neerkomt zodra iemand ernaar vraagt.
• Meer vragen dan je nodig hebt. Een geboortedatum, een rijksregisternummer of een adres voor een ticket dat per mail komt: laat het staan. Wat je niet hebt, kan je niet verliezen.

---

Wat als …

Wat als een bezoeker vraagt om al zijn gegevens te wissen?

Dan beslis jij. Kijk eerst of je ze nog nodig hebt: een bestelling die in je boekhouding zit, mag je doorgaans bewaren tot je wettelijke termijn om is. De rest kan weg. Zoek de persoon op in Bestellingen en laat ons weten wat er weg mag: wissen of onherkenbaar maken doen wij voor je.

Wat als ik geen eigen voorwaarden heb en toch al verkocht heb?

Schrijf ze alsnog, zet ze online en vul de link in bij Instellingen → Organisatie, tabblad Huisstijl. Vanaf dan gelden ze voor nieuwe bestellingen. Voor wat al verkocht is, val je terug op de wet en op wat je in je communicatie beloofd hebt — een reden om het niet uit te stellen.

Wat als mijn evenement afgelast wordt?

Doe wat in je eigen voorwaarden staat, en doe het snel. Mail iedereen die een ticket heeft, zeg wat er gebeurt met hun geld en wanneer. Stilte kost je meer goodwill dan een terugbetaling die twee weken duurt.

Wat als een bezoeker een klacht heeft over hoe wij met zijn gegevens omgaan?

Stuur hem naar jou toe, niet naar ons: jij bent de verantwoordelijke. Kom je er niet uit, dan helpen we je met de feiten. Een bezoeker mag zich daarnaast altijd tot zijn eigen toezichthouder wenden.

Wat als een subsidiegever een getekende verwerkersovereenkomst vraagt?

Schrijf ons. Wij tekenen een exemplaar op briefpapier. De inhoud is dezelfde als die je al aanvaard hebt bij je registratie.

---

Veelgestelde vragen

Moet ik de verwerkersovereenkomst apart tekenen? Nee. Ze zit in de algemene voorwaarden die je bij je registratie aanvaard hebt. Voor een dossier tekenen we op vraag een apart exemplaar.

Moet mijn kleine vereniging echt een privacyverklaring hebben? Ja. De AVG maakt geen uitzondering op grootte. Het goede nieuws: voor een vereniging die alleen namen en e-mailadressen verzamelt, is één pagina genoeg.

Mag ik de voorbeeldzinnen uit dit artikel overnemen? Ja, gerust — pas ze aan je eigen situatie aan. Het zijn voorbeelden om je op weg te helpen en geen door een jurist gecontroleerde modeltekst.

Heb ik een cookiebanner nodig op mijn eigen ticketpagina? Voor de pagina's die wij leveren niet: daar staan alleen functionele cookies op. Bouw je de ticketshop in je eigen website in met analysetools erbij, dan gaat het over jouw cookies en jouw banner.

Waar zie ik welke versie van de voorwaarden ik aanvaard heb? Die wordt bij je organisatie bewaard. Vraag het ons als je het exemplaar nodig hebt dat jij destijds aanvaardde.