GDPR-beleid (AVG-beleid)

Dit beleid beschrijft de uitgangspunten en verantwoordelijkheden voor de bescherming van persoonsgegevens bij het gebruik van onze website https://pravonnorin.com en onze online winkel voor meubels en aanverwante woonartikelen.

Wij streven ernaar persoonsgegevens zorgvuldig te verwerken en de toepasselijke wetgeving inzake gegevensbescherming na te leven. Dit beleid moet worden gelezen in samenhang met ons Privacybeleid en onze Cookiesverklaring. Het Privacybeleid beschrijft de concrete verwerking van persoonsgegevens; de Cookiesverklaring gaat over cookies en vergelijkbare technieken.

1. Toepasselijkheid van de AVG

De Algemene verordening gegevensbescherming (AVG/GDPR) is van toepassing wanneer aan de voorwaarden van de AVG is voldaan. Dit kan ook gelden voor organisaties buiten de Europese Unie die goederen of diensten aanbieden aan personen in de EU of hun gedrag binnen de EU volgen.

De toepasselijkheid hangt af van de werkelijke bedrijfsactiviteiten, de identiteit en vestigingsplaats van de verantwoordelijke en de aard van de gegevensverwerking.

Omdat ons opgegeven contactadres zich in Japan bevindt en onze website zich richt op consumenten in Nederland, moet worden vastgesteld welke wettelijke verplichtingen op onze organisatie van toepassing zijn. Daaronder valt ook de beoordeling of op grond van artikel 27 AVG een vertegenwoordiger in de Europese Unie moet worden aangewezen.

2. Beginselen van gegevensbescherming

Wanneer de AVG van toepassing is, moeten persoonsgegevens worden verwerkt in overeenstemming met de beginselen van artikel 5 AVG. Dit houdt onder meer in dat persoonsgegevens:

• Rechtmatig, behoorlijk en transparant worden verwerkt.

• Alleen voor welbepaalde en gerechtvaardigde doeleinden worden verzameld en gebruikt.

• Toereikend, relevant en beperkt tot het noodzakelijke blijven.

• Juist en waar nodig actueel worden gehouden.

• Niet langer worden bewaard dan noodzakelijk, tenzij een geldige wettelijke grondslag een langere bewaartermijn vereist.

• Passend worden beveiligd tegen ongeoorloofde toegang, verlies, vernietiging en onrechtmatige verwerking.

De verantwoordelijke moet, voor zover vereist, kunnen aantonen dat aan deze beginselen wordt voldaan.

3. Rechtsgrondslagen voor verwerking

Persoonsgegevens mogen alleen worden verwerkt wanneer daarvoor een geldige rechtsgrond bestaat. Afhankelijk van het doel kan dit onder meer zijn:

• Uitvoering van een overeenkomst: bijvoorbeeld voor het verwerken en leveren van bestellingen en het afhandelen van vragen over bestellingen.

• Wettelijke verplichting: bijvoorbeeld wanneer toepasselijke wetgeving vereist dat bepaalde administratieve of financiële gegevens worden bewaard.

• Toestemming: wanneer de verwerking berust op geldige toestemming. De betrokkene kan deze toestemming intrekken.

• Gerechtvaardigd belang: wanneer de verwerking noodzakelijk is voor een gerechtvaardigd belang en de belangen en grondrechten van de betrokkene niet zwaarder wegen.

• Vitale belangen: in uitzonderlijke situaties waarin verwerking noodzakelijk is om vitale belangen te beschermen.

• Taak van algemeen belang of openbaar gezag: wanneer daarvoor een toepasselijke wettelijke grondslag bestaat.

Niet iedere rechtsgrond is geschikt voor ieder doel. De rechtsgrond moet per verwerkingsactiviteit worden vastgesteld en worden toegelicht in het Privacybeleid. Voor cookies en vergelijkbare technieken kunnen daarnaast afzonderlijke toestemmingsvereisten gelden.

4. Rollen en verantwoordelijkheden

De verwerkingsverantwoordelijke bepaalt de doeleinden en middelen van de verwerking van persoonsgegevens en draagt de verantwoordelijkheden die de wet aan deze rol verbindt.

Externe dienstverleners kunnen, afhankelijk van hun werkelijke rol, optreden als verwerker, zelfstandige verwerkingsverantwoordelijke of gezamenlijke verwerkingsverantwoordelijke. De toepasselijke afspraken en wettelijke verplichtingen moeten daarop worden afgestemd.

Wanneer een verwerkersovereenkomst op grond van artikel 28 AVG vereist is, moet deze aan de wettelijke voorwaarden voldoen. Wanneer sprake is van gezamenlijke verwerkingsverantwoordelijkheid, moeten de betrokken partijen hun verantwoordelijkheden overeenkomstig artikel 26 AVG vastleggen.

Indien artikel 27 AVG van toepassing is, moet een vertegenwoordiger in de EU worden aangewezen, tenzij een wettelijke uitzondering geldt. Een functionaris voor gegevensbescherming (FG/DPO) wordt aangewezen wanneer dit op grond van artikel 37 AVG verplicht is.

De volledige juridische identiteit van de verantwoordelijke en eventuele verplichte vertegenwoordiging moeten overeenkomen met de werkelijke situatie en in de relevante privacydocumentatie worden vermeld.

5. Rechten van betrokkenen

Afhankelijk van de omstandigheden en de wettelijke voorwaarden kunnen personen van wie wij persoonsgegevens verwerken de volgende rechten uitoefenen:

• Recht op informatie: informatie ontvangen over de verwerking van hun persoonsgegevens.

• Recht op inzage: nagaan of persoonsgegevens worden verwerkt en toegang krijgen tot de betreffende gegevens.

• Recht op rectificatie: onjuiste gegevens laten corrigeren en onvolledige gegevens laten aanvullen.

• Recht op gegevenswissing: in de wettelijk bepaalde gevallen verzoeken om verwijdering van persoonsgegevens.

• Recht op beperking: in bepaalde situaties verzoeken om de verwerking tijdelijk te beperken.

• Recht op gegevensoverdraagbaarheid: wanneer aan de wettelijke voorwaarden is voldaan, bepaalde gegevens ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat.

• Recht van bezwaar: onder de toepasselijke voorwaarden bezwaar maken tegen bepaalde verwerkingen, waaronder direct marketing.

• Rechten bij geautomatiseerde besluitvorming: wanneer artikel 22 AVG van toepassing is.

• Recht om toestemming in te trekken: wanneer de verwerking op toestemming berust.

Deze rechten zijn onderworpen aan de voorwaarden en uitzonderingen van de AVG. Een verzoek moet individueel worden beoordeeld. Wanneer een verzoek niet wordt opgevolgd, verstrekken wij de vereiste uitleg en informatie over de beschikbare mogelijkheden voor klacht of rechtsbescherming.

6. Verzoeken om privacyrechten uit te oefenen

Je kunt een verzoek indienen via onze contactgegevens:

• E-mail: service@pravonnorin.com

• Telefoon: +81 75 682 9437

• Postadres: 6 Ugabe-cho, Higashikujo, Minami-ku, Kyoto-shi, Kyoto 601-8021, Japan

Vermeld welk recht je wilt uitoefenen en geef voldoende informatie om je verzoek te kunnen behandelen. Als je verzoek betrekking heeft op een bestelling, kan het ordernummer helpen bij het terugvinden van de relevante gegevens.

Stuur geen wachtwoorden, volledige betaalkaartnummers of beveiligingscodes mee. Wanneer er redelijke twijfel bestaat over je identiteit, kunnen wij aanvullende informatie vragen die noodzakelijk en evenredig is om deze te bevestigen.

Wij behandelen verzoeken zonder onredelijke vertraging en in beginsel binnen één maand na ontvangst. Wanneer een verlenging op grond van de AVG is toegestaan, informeren wij je binnen de eerste maand over de verlenging en de redenen daarvoor. De termijn kan onder de wettelijke voorwaarden met maximaal twee maanden worden verlengd.

De procedure voor het ontvangen, registreren en afhandelen van verzoeken moet aansluiten op deze verplichtingen.

7. Beveiliging van persoonsgegevens

Wij moeten passende technische en organisatorische maatregelen treffen om persoonsgegevens te beschermen, rekening houdend met de aard, omvang, context en doeleinden van de verwerking en de bijbehorende risico's.

Afhankelijk van de feitelijke verwerking kunnen deze maatregelen onder meer betrekking hebben op toegangsbeperking, beheer van gebruikersaccounts, beveiliging van gegevensoverdracht, back-ups, risicobeoordeling en controle van externe dienstverleners.

De daadwerkelijke maatregelen moeten aansluiten op de risico's en de gebruikte systemen. Er wordt geen garantie gegeven dat beveiligingsincidenten volledig kunnen worden uitgesloten.

8. Bewaartermijnen en gegevensbeheer

Persoonsgegevens worden niet langer bewaard dan noodzakelijk voor de doeleinden waarvoor ze zijn verzameld, tenzij een wettelijke verplichting of andere geldige grondslag een langere bewaartermijn vereist.

Bij het bepalen van bewaartermijnen moet rekening worden gehouden met de afhandeling van bestellingen, klantenservice, wettelijke administratieverplichtingen en de noodzaak om juridische aanspraken vast te stellen, uit te oefenen of te onderbouwen.

De concrete bewaartermijnen per gegevenscategorie moeten worden vastgesteld en toegelicht in het Privacybeleid, voor zover de AVG dat vereist. Waar artikel 30 AVG van toepassing is, wordt een register van verwerkingsactiviteiten bijgehouden.

9. Verwerkers en andere ontvangers

Voor de uitvoering van onze online winkel kunnen, afhankelijk van de daadwerkelijke inrichting, externe partijen betrokken zijn bij bijvoorbeeld betalingen, levering, websitehosting of klantenservice.

Welke persoonsgegevens worden gedeeld, met welke partijen en voor welke doeleinden, moet uit de feitelijke gegevensstromen blijken. De juridische rol van iedere partij moet worden vastgesteld en de vereiste contractuele en wettelijke waarborgen moeten worden toegepast.

De identiteit van de betrokken dienstverleners en de relevante informatie over ontvangers moeten worden opgenomen in het Privacybeleid voor zover de wet dit vereist.

10. Internationale doorgifte van persoonsgegevens

Wanneer persoonsgegevens worden doorgegeven aan landen buiten de Europese Economische Ruimte of aan internationale organisaties, moeten de voorwaarden van hoofdstuk V AVG worden nageleefd.

Afhankelijk van de situatie kan doorgifte bijvoorbeeld plaatsvinden op basis van een toepasselijk adequaatheidsbesluit, passende waarborgen overeenkomstig artikel 46 AVG of een specifieke uitzondering van artikel 49 AVG wanneer aan de wettelijke voorwaarden is voldaan.

De locatie van ons contactadres bewijst op zichzelf niet waar gegevens worden opgeslagen of naartoe worden doorgegeven. De werkelijke locaties van opslag, toegang en verwerking en de betrokken dienstverleners moeten worden vastgesteld. Eventuele doorgiften naar Japan of andere landen buiten de EER moeten juridisch worden beoordeeld en, waar vereist, in het Privacybeleid worden toegelicht.

11. Datalekken

Een datalek kan ontstaan wanneer persoonsgegevens verloren gaan, worden vernietigd, gewijzigd of toegankelijk worden voor onbevoegden, of wanneer de beveiliging ervan anderszins wordt aangetast.

Bij een mogelijk datalek moet de verantwoordelijke het incident onderzoeken, de risico's beoordelen en passende maatregelen nemen om de gevolgen te beperken.

Op grond van artikel 33 AVG moet een datalek in beginsel binnen 72 uur nadat de verantwoordelijke ervan kennis heeft gekregen aan de bevoegde toezichthoudende autoriteit worden gemeld, tenzij het niet waarschijnlijk is dat het datalek een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Wanneer een datalek waarschijnlijk een hoog risico oplevert, kan ook mededeling aan de betrokken personen vereist zijn op grond van artikel 34 AVG.

Niet ieder incident leidt automatisch tot een meldingsplicht. De wettelijke voorwaarden en de concrete risico's moeten worden beoordeeld. Er moet een passende procedure beschikbaar zijn om incidenten te registreren, te beoordelen en zo nodig tijdig te melden.

12. Functionaris voor gegevensbescherming en DPIA

Een functionaris voor gegevensbescherming (FG/DPO) is verplicht wanneer aan een van de voorwaarden van artikel 37 AVG is voldaan. Dit hangt onder meer af van de aard, omvang en doeleinden van de verwerkingen.

Een gegevensbeschermingseffectbeoordeling (DPIA) is vereist wanneer een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van natuurlijke personen, overeenkomstig artikel 35 AVG.

Of een FG/DPO moet worden aangewezen en of een DPIA noodzakelijk is, moet worden beoordeeld op basis van de daadwerkelijke activiteiten en gegevensverwerkingen. Er wordt niet beweerd dat een FG/DPO is aangesteld of een DPIA is uitgevoerd zolang dit niet is bevestigd.

13. Klachten en toezicht

Als je vragen of zorgen hebt over de verwerking van je persoonsgegevens, kun je contact met ons opnemen via service@pravonnorin.com.

Je kunt ook een klacht indienen bij een bevoegde toezichthoudende autoriteit, overeenkomstig artikel 77 AVG. Voor Nederland is dit de Autoriteit Persoonsgegevens. Welke toezichthouder in een concrete situatie bevoegd is, hangt af van de toepasselijke regels en omstandigheden.

Het indienen van een klacht doet geen afbreuk aan andere rechten op administratieve of rechterlijke rechtsbescherming die volgens de wet beschikbaar zijn.

14. Samenhang met andere beleidsdocumenten

Dit beleid moet worden gelezen in samenhang met de overige beleidsdocumenten op onze website:

• Privacybeleid: beschrijft de concrete verwerking van persoonsgegevens, de doeleinden, rechtsgronden, ontvangers en bewaartermijnen.

• Cookiesverklaring: beschrijft het gebruik van cookies en vergelijkbare technieken en de mogelijkheden om voorkeuren te beheren.

• Algemene voorwaarden: beschrijft de voorwaarden voor het gebruik van de website en het plaatsen van bestellingen.

• Betaalmethoden: geeft informatie over de beschikbare betaalopties.

• Verzendbeleid: beschrijft de toepasselijke verzend- en leveringsinformatie.

• Annuleringsbeleid: beschrijft de toepasselijke annuleringsprocedure.

• Retour- en terugbetalingsbeleid: beschrijft de toepasselijke voorwaarden voor retouren en terugbetalingen.

De informatie in deze documenten moet onderling consistent zijn en aansluiten op de werkelijke bedrijfsvoering.

15. Wijzigingen in dit beleid

Wij kunnen dit beleid aanpassen wanneer de toepasselijke wetgeving, onze bedrijfsactiviteiten of de verwerking van persoonsgegevens verandert.

Wijzigingen moeten worden beoordeeld op hun gevolgen voor de rechten van betrokkenen en voor de overige privacydocumenten. De gepubliceerde versie moet de actuele situatie weergeven.

16. Contact

Voor vragen over dit beleid of over het uitoefenen van privacyrechten kun je contact met ons opnemen:

• E-mail: service@pravonnorin.com

• Telefoon: +81 75 682 9437

• Postadres: 6 Ugabe-cho, Higashikujo, Minami-ku, Kyoto-shi, Kyoto 601-8021, Japan

• Klantenservice: maandag tot en met vrijdag, 09:00–18:00 CET

• Website: https://pravonnorin.com

De volledige juridische identiteit van de verantwoordelijke en eventuele aanvullende contactgegevens die wettelijk vereist zijn, moeten worden vastgesteld en in de definitieve privacydocumentatie worden opgenomen.