Privacyverklaring
Welke gegevens we van je bewaren, waarom, hoe lang en wie ze nog meer ziet. En wat je ons kunt vragen ermee te doen — of juist niet meer.
01Wie is verantwoordelijk
Chroma TCG bepaalt wat er met de persoonsgegevens op deze website gebeurt en is daarmee verwerkingsverantwoordelijke in de zin van de Algemene verordening gegevensbescherming (AVG). Deze verklaring geldt voor chromatcg.nl, voor de e-mails die we sturen en voor de chat op de site.
- Chroma TCG
- info@chromatcg.nl
- chromatcg.nl
Een vraag over je gegevens? Mail info@chromatcg.nl. Een mens leest het, meestal dezelfde dag.
02In het kort
- We bewaren alleen wat een reservering, een verkoop aan ons, een account of een vraag nodig heeft.
- Alles staat opgeslagen in de Europese Unie.
- We verkopen je gegevens nooit en delen ze nooit voor reclame.
- Geen analytische, advertentie- of trackingcookies — en dus ook geen cookiebanner.
- Je kunt je gegevens inzien, laten verbeteren of laten wissen. Eén mail is genoeg.
03Wat we bewaren, waarvoor en hoe lang
Per ding dat je op de site doet: welke gegevens, waarvoor we ze gebruiken, op welke grondslag uit de AVG (artikel 6 lid 1) en hoe lang we ze bewaren.
Reserveren en kopen
- E-mailadres, telefoonnummer, verzendadres uit je account, wat je reserveerde en de bedragen, je opmerking, hoe je benaderd wilt worden (WhatsApp, chat of e-mail), het ordernummer en de supportcode.
- De kaarten voor je vasthouden, contact met je opnemen om de koop af te ronden, betaling en verzending regelen en vragen over je bestelling beantwoorden.
- Uitvoering van de overeenkomst (b). De administratie bijhouden: wettelijke verplichting (c).
- Telefoonnummer, opmerking en adres wissen we een jaar nadat de reservering is afgerond. De bestelling zelf — nummer, regels, bedragen, status en e-mailadres — bewaren we zeven jaar, omdat de belastingwet dat vraagt.
Verkopen aan Chroma
- Naam, e-mailadres, land, de spellen en soorten kaarten die je aanbiedt, de omvang, je beschrijving ervan en hoe je betaald wilt worden. Kopen we, dan ook het rekeningnummer waarop we uitbetalen.
- Je een bod doen, overleggen over je kaarten, en de aankoop afronden en uitbetalen.
- Stappen op jouw verzoek voordat er een overeenkomst is, en de uitvoering ervan (b). De inkoopadministratie: wettelijke verplichting (c).
- De beschrijving van je collectie vervangen we een jaar nadat het verzoek is afgerond. Kochten we van je, dan bewaren we de gegevens van die aankoop zeven jaar voor de administratie. Kochten we niet, dan bewaren we het verzoek zelf (kenmerk, naam, e-mail, status) hooguit zeven jaar om het terug te kunnen vinden, en wissen we het eerder als je daarom vraagt.
Je account
- Naam, e-mailadres, wachtwoord (opgeslagen als hash die wij niet kunnen teruglezen), telefoonnummer, verzendadres, taal, je bewaarde kaarten en, als je die toevoegt, een profielfoto, die privé wordt opgeslagen en nooit openbaar te zien is.
- Inloggen, je gegevens niet steeds opnieuw hoeven invullen, je reserveringen, verkoopverzoeken en bewaarde kaarten laten zien, en je mailen als een kaart die je bewaarde weer op voorraad is. In elke zo'n mail staat een link om ermee te stoppen.
- Uitvoering van de overeenkomst (b): het account waar je om vroeg.
- Zolang het account bestaat. Vraag je ons het te verwijderen, dan verdwijnen account, profiel, foto, bewaarde kaarten, voorraadmeldingen en gesprekken; reserveringen en verkoopverzoeken koppelen we los van je naam, behalve wat de administratie moet bewaren.
Chat over een bestelling
- Je naam, e-mailadres, ordernummer en de berichten die we uitwisselen.
- Je vraag over een reservering of bestelling beantwoorden.
- Uitvoering van de overeenkomst (b).
- Een jaar nadat het gesprek is gesloten, wissen we het.
Voorraadmeldingen
- Je e-mailadres, je taal en, als je op één kaart wacht, welke kaart.
- Je mailen als er iets nieuws binnenkomt of als die kaart terug is. Voor de algemene lijst hooguit één mail per week.
- Toestemming (a). Trek die op elk moment in met de afmeldlink onderaan elke mail.
- Tot je je afmeldt.
E-mail, Instagram of WhatsApp
- Je naam, je contactgegevens en wat je ons schrijft.
- Je vraag beantwoorden.
- Ons gerechtvaardigd belang om mensen die ons schrijven te antwoorden (f), of uitvoering van de overeenkomst (b) als het over een bestelling gaat.
- Zolang nodig om je vraag af te handelen, en daarna hooguit een jaar.
De site veilig houden
- Technische gegevens zoals je IP-adres, je browser en het tijdstip van een verzoek, en de uitkomst van de controle of je een mens bent.
- Robots van de formulieren weren, beperken hoeveel verzoeken één adres kan doen, en misbruik en storingen onderzoeken.
- Ons gerechtvaardigd belang (f) bij een veilige winkel, waar unieke kaarten niet door een script worden weggekaapt.
- Kort — alleen zolang nodig om misbruik of een storing te onderzoeken.
04Wie je gegevens nog meer ziet
We draaien de winkel met een klein aantal diensten. Bedrijven die voor ons gegevens verwerken, doen dat alleen in onze opdracht en onder een verwerkersovereenkomst. We verkopen nooit gegevens en delen ze nooit voor reclame.
- Supabase — de database, het inloggen en de bestandsopslag. Servers in Frankfurt, Duitsland.
- Hetzner — de server waarop de website draait, in Duitsland.
- Resend — verstuurt onze e-mails: bevestigingen, biedingen en voorraadmeldingen.
- Cloudflare — de controle op formulieren of je een mens bent (Turnstile). Ziet technische gegevens zoals je IP-adres.
- Anthropic — leest foto's van kaarten uit die de winkel zelf maakt voor de catalogus. Er gaan geen klantgegevens naartoe.
- De vervoerder die je pakket bezorgt — je naam en adres, om het te bezorgen.
- WhatsApp (Meta) — alleen als jij ervoor kiest ons via WhatsApp te spreken.
- Onze bank — voor betalingen en uitbetalingen.
- Instanties zoals de Belastingdienst — alleen als de wet ons daartoe verplicht.
05Buiten de Europese Unie
Onze database en server staan in Duitsland. Resend, Cloudflare en Anthropic zijn Amerikaanse bedrijven; via hen kunnen gegevens in de Verenigde Staten terechtkomen. Dat gebeurt alleen met de waarborgen die de AVG eist: het EU-VS Data Privacy Framework als het bedrijf daaronder is gecertificeerd, of de standaardcontractbepalingen van de Europese Commissie.
07Beveiliging
- Elke verbinding loopt via HTTPS.
- De database bepaalt wie wat ziet: een klant ziet alleen zijn eigen gegevens, medewerkers alleen wat hun rol nodig heeft.
- Wachtwoorden worden als hash opgeslagen; niemand bij Chroma kan ze lezen.
- Beheerders loggen in met tweestapsverificatie.
- Formulieren zijn beschermd tegen robots en tegen te vaak versturen.
Gaat er toch iets mis met je gegevens, dan melden we dat binnen 72 uur bij de Autoriteit Persoonsgegevens als de wet dat vraagt, en laten we het jou direct weten als het een risico voor je is.
08Jouw rechten
Volgens de AVG kun je ons vragen om:
- je te laten zien welke gegevens we van je hebben (inzage);
- gegevens te verbeteren die niet kloppen (rectificatie) — naam, telefoon en adres pas je ook zelf aan onder je account;
- je gegevens te wissen (verwijdering), behalve wat we volgens de wet moeten bewaren;
- je gegevens tijdelijk voor minder te gebruiken (beperking);
- je gegevens in een gangbaar, digitaal formaat te geven (overdraagbaarheid);
- te stoppen met een verwerking die op ons gerechtvaardigd belang rust (bezwaar);
- een gegeven toestemming in te trekken, bijvoorbeeld voor voorraadmeldingen. Wat we daarvoor deden, blijft rechtmatig.
Mail info@chromatcg.nl, het liefst vanaf het adres waaronder we je kennen, zodat we weten dat jij het bent. Het kost niets. We antwoorden binnen een maand — meestal dezelfde dag. Is een verzoek ingewikkeld, dan mag dat volgens de wet twee maanden langer duren; dat laten we je dan binnen die eerste maand weten.
09Een klacht
Niet tevreden over hoe we met je gegevens omgaan? Laat het ons eerst weten — we zetten het liever recht. Je kunt altijd een klacht indienen bij de Autoriteit Persoonsgegevens, of bij de toezichthouder in het EU-land waar je woont.
10Jonger dan 16
Ben je jonger dan 16, dan heb je toestemming van een ouder of voogd nodig om een account te maken, te reserveren of ons een verzoek te sturen. Kaarten aan ons verkopen kan vanaf 18 jaar, of met die toestemming. Merken we dat we zonder toestemming gegevens hebben van iemand onder de 16, dan wissen we ze.
11Geen geautomatiseerde besluiten
Hier beslist geen computer over jou. Een bod op je kaarten doet een mens, en we maken geen profielen.
12Wijzigingen
Verandert de winkel — een nieuwe dienst, online betalen — dan verandert deze verklaring mee. De datum bovenaan laat zien welke versie je leest. Bij een belangrijke wijziging mailen we iedereen met een account.