Accountgegevens: naam, e-mailadres, telefoonnummer, bedrijfsnaam, inschrijvingsgegevens van de onderneming en inloggegevens wanneer u een QrX-account aanmaakt.

Transactiegegevens: betaalbedragen, betaalstatus, orderreferenties, afleveradressen, scangebeurtenissen van QR-codes en betaalbevestigingen die via ons platform worden verwerkt.

Financiële gegevens: bankrekeninggegevens (IBAN), factuuradressen, facturatiegegevens en afrekeningsgegevens die nodig zijn om transacties te verwerken.

Technische gegevens: IP-adres, browsertype, apparaat-ID's, besturingssysteem, schermresolutie en gebruiksanalyses die automatisch worden verzameld wanneer u onze Diensten gebruikt.

Communicatiegegevens: berichten, supportverzoeken, feedback en correspondentie met ons team.

Bezorggegevens: gegevens van de vervoerder, trackingnummers, updates van de bezorgstatus en afleverbewijzen die verband houden met QrX On Delivery-processen.

Gegevens van geadresseerden van merchants (rol als verwerker): naam, adres, e-mailadres, telefoonnummer, orderreferentie, pakket- en betaalstatus van de klanten van een merchant, uitsluitend verwerkt om de Diensten te leveren die de merchant heeft gevraagd.

Om onze betaaldiensten te leveren en te exploiteren, waaronder het genereren van QR-codes, betalingsverwerking, coördinatie van bezorgingen en realtime volgen van transacties.

Om uw identiteit te verifiëren, uw account te authenticeren en de beveiliging van ons platform te waarborgen door middel van maatregelen voor fraudedetectie en fraudepreventie.

Om met u te communiceren over uw account, transacties en updates van de dienst, en om te reageren op uw supportverzoeken.

Om afrekeningen te verwerken, facturen op te stellen en de facturatie te beheren in overeenstemming met uw merchantovereenkomst.

Om de prestaties van ons platform te verbeteren, nieuwe functies te ontwikkelen en gebruikspatronen te analyseren om de gebruikerservaring te verbeteren.

Om te voldoen aan wettelijke verplichtingen, waaronder fiscale rapportage, regelgeving ter voorkoming van witwassen en eisen voor financiële administratie onder Nederlands en EU-recht.

Uitvoering van een overeenkomst: verwerking die nodig is om onze Diensten te leveren aan merchants, vervoerders en klanten, waaronder accountbeheer en betalingsverwerking.

Gerechtvaardigde belangen: verwerking die nodig is voor fraudepreventie, platformbeveiliging, verbetering van de dienst en bedrijfsanalyses, voor zover deze belangen niet zwaarder wegen dan uw rechten.

Wettelijke verplichtingen: verwerking die vereist is om te voldoen aan Nederlandse belastingwetgeving, financiële regelgeving, wetgeving ter voorkoming van witwassen en andere dwingende wettelijke vereisten.

Toestemming: wanneer wij ons baseren op uw uitdrukkelijke toestemming, bijvoorbeeld voor marketingcommunicatie of optionele analytische cookies. U kunt uw toestemming op elk moment intrekken.

Instructies aan de verwerker: wanneer QrX als verwerker optreedt, verwerken wij gegevens van geadresseerden op basis van de gedocumenteerde instructies van de merchant en op de rechtsgronden die die merchant als verwerkingsverantwoordelijke bepaalt.

Betaaldienstverleners: Stripe, Mollie en MultiSafePay verwerken betalingen. Elke betaaldienstverlener treedt op als zelfstandige verwerkingsverantwoordelijke of als verwerker, afhankelijk van de betaalstroom en de eigen voorwaarden van die betaaldienstverlener.

Bezorgpartners: vervoerders zoals UPS, GLS en Peddler ontvangen de bezorg- en betaalgegevens die nodig zijn om QrX On Delivery-activiteiten te coördineren.

Cloudinfrastructuur: wij hosten de Diensten op Google Cloud (waaronder Cloud Run) in de Europese Economische Ruimte, met bijbehorende Google-diensten die nodig zijn om het platform te laten draaien. Cloudflare levert infrastructuur, contentlevering en bestandsopslag.

Communicatieproviders: Bird (sms en WhatsApp), SendGrid (e-mail) en Firebase (pushmeldingen) verwerken contactgegevens om transactionele berichten af te leveren.

Analyse en monitoring: Sentry voor foutopsporing, Microsoft Clarity voor analyses en sessie-inzichten van de website en de betaalpagina's voor consumenten, en Intercom voor klantenondersteuning, elk gebonden aan een verwerkersovereenkomst.

Overheidsinstanties: wij verstrekken gegevens wanneer dit vereist is op grond van Nederlands of EU-recht, een bindende rechterlijke uitspraak of een bevoegde toezichthoudende autoriteit.

Google Cloud en Firebase: hosting, opslag, runtime voor applicaties en pushmeldingen.

Cloudflare: infrastructuur, contentlevering en bestandsopslag.

Stripe, Mollie en MultiSafePay: inning en afrekening van betalingen.

Bird (MessageBird): sms, WhatsApp en aanverwante berichtendiensten die worden gebruikt voor het afleveren van pincodes en transactionele berichten.

SendGrid: aflevering van transactionele e-mail.

UPS en andere vervoerders die voor een zending worden gekozen: naam-, adres- en pakketgegevens die nodig zijn om de bestelling te vervoeren.

Sentry (foutmonitoring), Microsoft Clarity (analyses en sessie-inzichten van de website en de betaalpagina's voor consumenten) en Intercom (klantenondersteuning): elk gebonden aan een verwerkersovereenkomst.

Operationele gegevens en bestanden in exclusief eigendom: worden zonder onnodige vertraging verwijderd tijdens een bevestigde verwijdering van een klant zodra ze niet langer nodig zijn, zonder aanvullende standaard wachttermijn. Een openstaande verplichting bewaart alleen het noodzakelijke bewijs, niet het volledige account.

Noodzakelijke fiscale administratie van QrX: 7 jaar vanaf het toepasselijke wettelijke aanvangsmoment; 10 jaar alleen voor een toepasselijke langere categorie, zoals OSS/IOSS- of onroerendgoedadministratie. Voor de Nederlandse fiscale administratie begint de termijn wanneer de gegevens hun actuele relevantie verliezen. Het sluiten van een account laat de termijn niet opnieuw beginnen. Dit geldt niet automatisch voor elk transactiedetail of elk bestand.

Gewone e-mail en technische logs: maximaal 30 dagen vanaf de oorspronkelijke registratie. Betrouwbaar toe te rekenen, niet-noodzakelijke klantlogs worden eerder verwijderd tijdens de verwijdering van een klant. Latere gebeurtenissen laten de termijn van het oorspronkelijke bericht niet opnieuw beginnen.

Noodzakelijke beveiligings- en toegangslogs: maximaal 90 dagen vanaf de gebeurtenis. Minimale verantwoordingsgegevens over verwijderingen worden maximaal 24 maanden na voltooiing bewaard, beperkt tot noodzakelijke referenties, uitvoerder, beleidsversie, aantallen en uitkomsten, zonder een kopie van de verwijderde inhoud.

Afgeschermde back-ups voor noodherstel: maximaal 190 dagen vanaf het aanmaken van het archief, met eerdere gerichte verwijdering waar dat veilig mogelijk is. Voordat herstelde gegevens beschikbaar worden gesteld, worden eerdere verwijderingen opnieuw toegepast aan de hand van het actuele onafhankelijke verwijderingsregister.

Facturen, afrekeningsdocumenten en noodzakelijk bewijs: volgen de termijn van het onderliggende record. Overige correspondentie en bestanden worden naar doel ingedeeld; uit dit schema volgt geen bewaring voor onbepaalde tijd.

Recht op inzage: een kopie opvragen van de persoonsgegevens die wij over u bewaren.

Recht op rectificatie: verzoeken om correctie van onjuiste of onvolledige persoonsgegevens.

Recht op gegevenswissing: verzoeken om verwijdering van uw persoonsgegevens wanneer er geen dwingende reden is om de verwerking voort te zetten ("recht om vergeten te worden").

Recht op beperking: verzoeken dat wij de verwerking van uw gegevens in bepaalde omstandigheden beperken.

Recht op overdraagbaarheid van gegevens: uw persoonsgegevens ontvangen in een gestructureerde, machineleesbare vorm en deze doorgeven aan een andere verwerkingsverantwoordelijke.

Recht van bezwaar: bezwaar maken tegen verwerking op basis van gerechtvaardigde belangen, waaronder direct marketing.

Recht om toestemming in te trekken: wanneer de verwerking op toestemming is gebaseerd, deze op elk moment intrekken zonder dat dit afbreuk doet aan de rechtmatigheid van de eerdere verwerking.

Recht om een klacht in te dienen: u kunt een klacht indienen bij een toezichthoudende autoriteit, met name in de EU-lidstaat waar u uw gewone verblijfplaats heeft, waar u werkt of waar de vermeende inbreuk heeft plaatsgevonden.