Privacyverklaring voor salonpartners

Deze privacyverklaring gaat over de persoonsgegevens van salon-eigenaren en salonpersoneel die gebruikmaken van het zakelijke platform van Salonya (mijn.salonya.nl). Voor deze gegevens treedt Salonya op als verwerkingsverantwoordelijke in de zin van de Algemene verordening gegevensbescherming (AVG). In deze verklaring leggen wij uit welke gegevens wij van u verwerken, waarom, op welke wettelijke grondslag, hoe lang wij ze bewaren, met wie wij ze delen en welke rechten u heeft.

Let op — wat deze verklaring níet is:

• Dit gaat niet over de gegevens van de klanten van uw salon. Die verwerken wij namens u; daarvoor bent ú verwerkingsverantwoordelijke en zijn wij verwerker. De afspraken daarover staan in de verwerkersovereenkomst.
• Dit gaat niet over de consumenten van de marktplaats. Daarvoor geldt de aparte consumenten-privacyverklaring.

Wie is verantwoordelijk voor uw gegevens?

De verwerkingsverantwoordelijke is:

• Salonya — handelsnaam van AG Technology B.V.
• KvK-nummer: 42098171
• St. Francisbaai 5, 2904 AC Capelle aan den IJssel, Nederland
• E-mail voor privacyvragen: privacy@salonya.nl

Welke gegevens verwerken wij, waarvoor en op welke grondslag?

Hieronder vindt u per soort gegeven het doel, de wettelijke grondslag en de bewaartermijn.

1. Account- en toegangsgegevens

Gegevens: naam, e-mailadres, telefoonnummer, wachtwoord (versleuteld opgeslagen als hash), instellingen voor tweestapsverificatie, en sessie- en beveiligingslogs.

Inloggen op de partneromgeving gaat uitsluitend met uw e-mailadres en wachtwoord, eventueel aangevuld met tweestapsverificatie. Aanmelden via een externe inlogdienst zoals Google kan hier niet, en er is ook geen inloglink-per-e-mail: achter deze omgeving zitten de omzet-, klant- en medewerkersgegevens van uw salon, en die willen wij niet achter een e-mailbox alleen. Er gaat bij het inloggen dus geen gegeven naar een derde partij.

Doel: het aanmaken en beheren van uw account, u toegang geven tot het platform, en de beveiliging van uw account en van het platform bewaken (bijvoorbeeld het herkennen van verdachte aanmeldpogingen).

Grondslag: artikel 6(1)(b) AVG — noodzakelijk voor de uitvoering van de overeenkomst (de partnerrelatie) — in combinatie met artikel 6(1)(f) AVG — ons gerechtvaardigd belang bij een veilig en betrouwbaar platform.

Bewaartermijn: zolang uw account bestaat. Beveiligingslogs bewaren wij volgens onze standaard-logretentie en verwijderen wij daarna.

2. Bedrijfs- en factuurgegevens

Gegevens: KvK-nummer, btw-nummer, (bezoek- en factuur)adres, en IBAN-rekeningnummer voor facturatie en uitbetaling.

Doel: het uitvoeren van de overeenkomst, het factureren van onze diensten en het doen van uitbetalingen aan uw salon, en het voldoen aan onze administratieve en fiscale verplichtingen.

Adrescontrole en kaartweergave: wanneer u uw postcode en huisnummer invult, controleren wij dat adres tegen de Basisregistratie Adressen en Gebouwen (BAG) via de PDOK Locatieserver van het Kadaster. Dat gebeurt bij aanmelding, telkens wanneer u uw postcode of huisnummer wijzigt, en periodiek op de achtergrond zonder dat u daar iets voor hoeft te doen — zo komt een adres dat wij eerder niet konden vinden (bijvoorbeeld nieuwbouw) alsnog op de kaart. Wij sturen daarbij alleen de postcode en het huisnummer; uw naam gaat niet mee. Uit het antwoord leiden wij de straat, de plaats en een geografische coördinaat af. Die coördinaat gebruiken wij om uw salon op de kaart in de marktplaats te tonen en om te kunnen zoeken op afstand. Wij bewaren bij uw locatie ook de uitkomst van die controle (nog te controleren, gevonden, meerdere adressen op hetzelfde pand, niet gevonden, adres niet herkend, of niet bereikbaar), wanneer wij het voor het laatst probeerden, hoe vaak een controle sindsdien niet lukte, en of u heeft bevestigd dat het adres klopt — dat laatste zodat wij u niet blijven vragen naar een adres dat al juist is. Het adres van uw salon is openbaar zichtbaar op uw salonpagina.

Let op als u vanuit huis werkt: is het adres van uw salon uw woonadres, dan zijn dat adres en de bijbehorende kaartpositie ook openbaar zichtbaar — op uw salonpagina, in de boekingswidget en in de gestructureerde gegevens die zoekmachines uitlezen. Wij tonen dat adres omdat uw klanten er naartoe komen. Heeft u een ander vestigingsadres waar u klanten ontvangt, gebruik dan dat adres. Heeft u dat niet, dan kunt u de locatie op elk moment offline halen via Instellingen → Locaties → Offline halen; uw salon is dan ook niet meer vindbaar in de marktplaats en er kan niet meer bij u geboekt worden. Een tussenweg waarin u wél vindbaar bent maar zonder adres, bieden wij niet. U kunt daarnaast bezwaar maken tegen deze weergave — zie Uw rechten.

Grondslag: artikel 6(1)(b) AVG (uitvoering van de overeenkomst) en artikel 6(1)(c) AVG (wettelijke verplichting). Voor de adrescontrole en de weergave op de kaart: artikel 6(1)(f) AVG (gerechtvaardigd belang — een vindbare, correct gelokaliseerde salon is de kern van de dienst).

Bewaartermijn: facturen en de bijbehorende administratie bewaren wij 7 jaar, in overeenstemming met de fiscale bewaarplicht.

3. BIG-registratiegegevens van behandelaars

Gegevens: BIG-nummer, verificatiestatus en beroep van behandelaars — alleen voor medisch-esthetische salons.

Doel: het controleren of behandelaars die medisch-esthetische behandelingen aanbieden, bevoegd en geregistreerd zijn, zodat wij de veiligheid van de dienstverlening kunnen borgen.

Grondslag: artikel 6(1)(c) AVG (naleving van de Wet BIG) en artikel 6(1)(f) AVG (ons gerechtvaardigd belang bij een veilige medisch-esthetische dienstverlening op het platform).

Bewaartermijn: zolang de betreffende behandelaar actief is op het platform.

4. Fiscale identiteitsgegevens voor de DAC7-rapportage (inclusief BSN)

Dit is een belangrijk onderdeel, omdat het gaat om uw burgerservicenummer (BSN) of RSIN. Lees dit daarom goed door.

Waarom wij dit verzamelen: als digitaal platform waarop salons hun diensten verkopen, is Salonya wettelijk verplicht om de fiscale identiteit van verkopende salons te verzamelen, te verifiëren en jaarlijks te rapporteren aan de Belastingdienst. Deze verplichting volgt uit de EU-richtlijn 2021/514 (DAC7) en de Nederlandse Wet implementatie richtlijn gegevensuitwisseling digitale platformeconomie. Wij hebben hierin geen keuze: zonder deze gegevens mogen wij u niet als verkopende salon laten uitbetalen.

Gegevens: BSN of RSIN, geboortedatum en fiscale woonstaat, en daarnaast uw statutaire of handelsnaam, uw rechtsvorm en uw bij de Kamer van Koophandel ingeschreven adres. Die laatste drie halen wij uit het Handelsregister (zie punt 2) en worden meegestuurd in de aangifte; sinds augustus 2026 worden ze daadwerkelijk vastgelegd, daarvoor bleven die velden leeg.

Doel: het identificeren, verifiëren en rapporteren van uw fiscale identiteit aan de Belastingdienst, zoals de DAC7-regelgeving voorschrijft.

Grondslag: artikel 6(1)(c) AVG — het voldoen aan een wettelijke verplichting.

Beveiliging: uw BSN of RSIN en uw geboortedatum worden versleuteld opgeslagen (envelope-encryptie) en zijn afgeschermd, zodat alleen daarvoor bevoegde processen deze gegevens kunnen gebruiken voor de wettelijke rapportage.

Ontvanger: de Belastingdienst.

Bewaartermijn: 5 jaar, gerekend vanaf de rapportageperiode waarop de gegevens betrekking hebben.

5. Gebruiks- en supportgegevens

Gegevens: de inhoud van support-tickets en berichten aan onze klantenservice, en gegevens over hoe u de tools van het platform gebruikt. Stuurt u ons e-mail — bijvoorbeeld naar privacy@salonya.nl of legal@salonya.nl — dan hoort de inhoud van dat bericht en van ons antwoord daar ook bij.

Doel: het beantwoorden van uw vragen, het oplossen van problemen en het verbeteren van onze dienstverlening.

Grondslag: artikel 6(1)(f) AVG — ons gerechtvaardigd belang bij goede ondersteuning en een goed werkend platform. Oefent u met uw bericht een privacyrecht uit (artikelen 15 tot en met 22 AVG), dan verwerken wij het op grond van artikel 6(1)(c) AVG: het afhandelen daarvan binnen de wettelijke termijn is een verplichting, geen afweging.

Waar staat het: onze e-mailpostvakken worden gehost door Vimexx B.V. in Nederland. Vimexx is daarvoor onze verwerker en staat als zodanig in het overzicht onder Met wie delen wij uw gegevens? hierna; er vindt geen doorgifte buiten de EER plaats.

Bewaartermijn: volgens onze standaardretentie; niet langer dan nodig is voor het doel waarvoor de gegevens zijn verzameld. Correspondentie over een privacyverzoek bewaren wij zolang wij moeten kunnen aantonen dát en hóé wij het verzoek hebben afgehandeld (artikel 5(2) AVG).

6. Profielfoto's van u en uw medewerkers

Gegevens: een profielfoto van uzelf en van de medewerkers die u in het platform aanmaakt.

Doel: de foto wordt getoond op uw openbare salonpagina en in de boekingswidget, zodat klanten zien wie hen behandelt. Een profielfoto is optioneel; zonder foto werkt alles gewoon.

Grondslag: artikel 6(1)(f) AVG — het gerechtvaardigd belang bij een herkenbare presentatie richting klanten. U of de betrokken medewerker kan hiertegen bezwaar maken (artikel 21 AVG); de foto wordt dan verwijderd. Het verwijderen zelf gebeurt door iemand met de rol eigenaar of manager — een medewerker met alleen operationele rechten kan dat niet zelf in het platform doen, maar kan er wel altijd om vragen.

Waar de foto staat en wie hem kan zien: wij slaan profielfoto's op bij Scaleway in Amsterdam (binnen de EER), versleuteld opgeslagen, en leveren ze uit via ons contentnetwerk op cdn.salonya.nl. Een geplaatste profielfoto is daarmee openbaar: wie de directe link heeft, kan de foto ook zonder in te loggen bekijken. Plaats daarom alleen foto's die bedoeld zijn om publiek getoond te worden.

Bewaartermijn: zolang de medewerker actief is in uw account, of korter als u of de medewerker de foto eerder verwijdert. Bij verwijdering wissen wij het bestand direct bij Scaleway; door tussentijdse opslag in het contentnetwerk kan de foto daarna nog maximaal vijf minuten opvraagbaar zijn via de directe link.

Uw eigen rol hierbij: maakt u een medewerkersprofiel aan met een foto, laat die medewerker dan weten dat de foto op de openbare salonpagina komt te staan en dat hij of zij die kan laten verwijderen.

7. Coverfoto van uw vestiging

Gegevens: een coverfoto die u zelf per vestiging uploadt. Wat erop staat bepaalt u: meestal uw pand of interieur, maar er kunnen ook herkenbare personen op staan, zoals medewerkers of bezoekers. Werkt u vanuit huis, dan kan de foto uw eigen woning tonen.

Doel: de coverfoto staat bovenaan uw openbare salonpagina, bij de zoekresultaten en in de publieke weergave van recente boekingen op onze website. Een coverfoto is optioneel; zonder foto tonen wij een algemene afbeelding die bij uw behandelingen past.

Grondslag: artikel 6(1)(f) AVG — het gerechtvaardigd belang bij een herkenbare presentatie van uw salon. Staat er een persoon op de foto, dan kan die persoon daartegen bezwaar maken (artikel 21 AVG) en verwijderen wij de foto.

Waar de foto staat en wie hem kan zien: net als profielfoto's slaan wij coverfoto's op bij Scaleway in Amsterdam (binnen de EER), versleuteld, en leveren wij ze uit via ons contentnetwerk op cdn.salonya.nl. Een geplaatste coverfoto is daarmee openbaar: wie de directe link heeft, kan de foto ook zonder in te loggen bekijken.

Bewaartermijn: zolang u de foto op uw vestiging laat staan. Vervangt of verwijdert u hem, dan wissen wij het bestand direct bij Scaleway; door tussentijdse opslag in het contentnetwerk kan de foto daarna nog maximaal vijf minuten opvraagbaar zijn via de directe link. Archiveert u een vestiging, dan verdwijnt de pagina uit het aanbod maar blijft de foto opvraagbaar via de directe link — verwijder de foto zelf als u dat niet wilt.

Uw eigen rol hierbij: u kiest welke foto u plaatst en u staat ervoor in dat de personen die erop herkenbaar zijn daarmee instemmen. Wij tonen de foto, verwijderen die zodra u daarom vraagt, en kunnen die na een melding ook zelf verwijderen — bijvoorbeeld als iemand ons meldt dat de foto zijn of haar rechten schendt.

Met wie delen wij uw gegevens?

Wij verkopen uw gegevens nooit. Wij schakelen wel zorgvuldig geselecteerde verwerkers in die namens ons en volgens onze instructies gegevens verwerken, en wij delen gegevens met een klein aantal overheidsorganisaties die zelf bepalen wat zij met een aanvraag doen — die laatste zijn géén verwerkers van ons.

• Brevo (Sendinblue SAS) (Frankrijk — geen (EER)) — Verzending van nieuwsbrieven en aanbiedingen van salons waarvoor je toestemming hebt gegeven (campagnes, automatische berichten).
• Eigen Nederlandse servers (Nederland — geen (EER)) — Opslag van de database.
• Hetzner Online GmbH (Duitsland — geen (EER)) — Beveiligde opslag van dagelijkse back-ups van onze database in Duitsland, versleuteld voordat ze onze server verlaten zodat Hetzner de inhoud niet kan lezen.
• Mollie B.V. (Nederland — geen (EER)) — Betalingen (iDEAL, kaart).
• Scaleway (Nederland (Amsterdam, nl-ams); entiteit Frankrijk; Edge-PoPs Parijs/Amsterdam/Warschau — geen (EER)) — Opslag en levering van foto's.
• Scaleway Transactional Email (Frankrijk — geen (EER)) — Verzending van e-mail over je afspraken, je account en je facturen (bevestigingen, herinneringen).
• Spryng B.V. (Nederland — geen (EER)) — Sms-berichten.
• Vimexx B.V. (Nederland — geen (EER)) — Opslag van e-mail die je ons stuurt, bijvoorbeeld naar privacy@salonya.nl, en van ons antwoord daarop.

• De Belastingdienst — ontvanger van de verplichte DAC7-rapportage (zie punt 4).
• Het Kadaster — ontvangt bij de adrescontrole uw postcode en huisnummer (zie punt 2), zowel wanneer u het adres invoert of wijzigt als bij de periodieke controle op de achtergrond. Het Kadaster beheert de Basisregistratie Adressen en Gebouwen op eigen wettelijke grondslag en is daarvoor zelfstandig verwerkingsverantwoordelijke, geen verwerker van ons. De gegevens blijven in Nederland.
• De Kamer van Koophandel — ontvangt uw KvK-nummer bij de controle van uw bedrijfsgegevens: bij aanmelding en daarna dagelijks, zonder dat u daar iets voor hoeft te doen. Uit die controle nemen wij uw handelsnaam, uw rechtsvorm en uw ingeschreven adres over en bewaren die bij uw account; bij een eenmanszaak zijn dat gegevens van u als natuurlijk persoon en kan het ingeschreven adres uw woonadres zijn. Een adres dat de Kamer van Koophandel zelf heeft afgeschermd nemen wij niet over. De Kamer van Koophandel beheert het Handelsregister op eigen wettelijke grondslag en is daarvoor zelfstandig verwerkingsverantwoordelijke, geen verwerker van ons. De gegevens blijven in Nederland.

Doorgifte buiten de EER

Van elke verwerker leggen wij vast waar de verwerking plaatsvindt. Geen van onze verwerkers verwerkt uw persoonsgegevens buiten de Europese Economische Ruimte (EER). Alle verwerkers in de lijst hierboven verwerken de gegevens binnen de EER, zodat er geen doorgifte naar een derde land plaatsvindt waarvoor een aanvullende waarborg nodig zou zijn.

Bewaartermijnen in het kort

• Account- en toegangsgegevens: zolang uw account bestaat (beveiligingslogs: standaardretentie).
• Bedrijfs- en factuurgegevens: 7 jaar (fiscale bewaarplicht).
• BIG-registratiegegevens: zolang de behandelaar actief is.
• Profielfoto's: zolang de medewerker actief is, of tot u of de medewerker de foto verwijdert (daarna nog maximaal vijf minuten opvraagbaar via het contentnetwerk).
• Coverfoto van een vestiging: zolang u hem laat staan, of tot u hem vervangt of verwijdert (daarna nog maximaal vijf minuten opvraagbaar via het contentnetwerk). Bij het archiveren van een vestiging blijft de foto opvraagbaar via de directe link tot u hem zelf verwijdert.
• DAC7-fiscale identiteit (BSN/RSIN, geboortedatum, fiscale woonstaat): 5 jaar vanaf de rapportageperiode.
• Gebruiks- en supportgegevens: standaardretentie, niet langer dan nodig.

Uw rechten

U heeft op grond van de AVG (artikelen 15 tot en met 21) de volgende rechten met betrekking tot uw persoonsgegevens:

• Inzage — u mag opvragen welke gegevens wij van u verwerken.
• Rectificatie — u mag onjuiste of onvolledige gegevens laten corrigeren.
• Wissing — u mag verzoeken uw gegevens te verwijderen, binnen de grenzen van onze wettelijke bewaarplichten (zo mogen en moeten wij bijvoorbeeld factuur- en DAC7-gegevens gedurende de wettelijke termijn bewaren, ook als u om verwijdering vraagt).
• Beperking — u mag verzoeken de verwerking tijdelijk te beperken.
• Overdraagbaarheid — u mag de gegevens die u zelf heeft aangeleverd in een gangbaar formaat ontvangen of laten overdragen.
• Bezwaar — u mag bezwaar maken tegen verwerking op basis van ons gerechtvaardigd belang.

Artikel 22 AVG — het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit met rechtsgevolgen — is voor salonpartners niet van toepassing: wij nemen over u geen besluiten die uitsluitend geautomatiseerd tot stand komen en die u in aanmerkelijke mate treffen. Waar wij geautomatiseerde signalen gebruiken (bijvoorbeeld fraudedetectie of BIG-verificatie), beslist altijd een medewerker.

U kunt een verzoek indienen via privacy@salonya.nl. Wij reageren binnen de wettelijke termijn. Om misbruik te voorkomen kunnen wij u vragen zich te identificeren.

Klacht bij de Autoriteit Persoonsgegevens

Bent u van mening dat wij niet zorgvuldig met uw persoonsgegevens omgaan? Neem dan eerst contact met ons op via privacy@salonya.nl, zodat wij samen naar een oplossing kunnen zoeken. U heeft daarnaast altijd het recht om een klacht in te dienen bij de Nederlandse toezichthouder, de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Functionaris voor gegevensbescherming (FG)

Wij zijn op dit moment niet verplicht een functionaris voor gegevensbescherming aan te stellen. De AVG (artikel 37) kent geen drempel op basis van bedrijfsomvang, maar knoopt de verplichting aan de aard van de kernactiviteiten. Onze kernactiviteiten bestaan niet uit grootschalige, stelselmatige monitoring van personen en evenmin uit grootschalige verwerking van bijzondere categorieën van persoonsgegevens. Wij toetsen dit doorlopend en stellen een FG aan zodra aan de wettelijke criteria wordt voldaan. Voor privacyvragen kunt u altijd terecht bij privacy@salonya.nl.

Contact

Heeft u vragen over deze privacyverklaring of over de manier waarop wij met uw gegevens omgaan? Neem contact met ons op via privacy@salonya.nl.