Privacybeleid

1. Toepassingsgebied

Dit beleid geldt wanneer je Sorisomun gebruikt, waaronder bij het aanmaken of beheren van een account, een aanvraag als Verkoper, het maken van een profiel of advertentie, het gebruik van Somun Community of berichten, het plaatsen of uitvoeren van een bestelling, contact met support, het indienen van een melding of andere interactie met het platform.

Sommige externe diensten die Sorisomun gebruikt, kunnen persoonsgegevens onder hun eigen privacyvoorwaarden verwerken wanneer zij voor specifieke activiteiten als zelfstandig verwerkingsverantwoordelijke optreden.

2. Verwerkingsverantwoordelijke en privacycontact

Sorisomun Market, gevestigd in Nederland en handelend als Sorisomun, is verwerkingsverantwoordelijke voor de persoonsgegevens in dit beleid voor zover Sorisomun bepaalt waarom en hoe deze gegevens worden verwerkt. KVK-nummer: 42141357. Btw-id: NL005528645B67.

Privacyvragen en verzoeken kunnen worden gestuurd naar sorisomun.market@gmail.com.

3. Persoonsgegevens die we verwerken

Account- en authenticatiegegevens: account-ID's, e-mailadres, gebruikersnaam, naam, authenticatie-, sessie- en beveiligingsinformatie via Clerk, accountrol, Verkoperstatus en gerelateerde metadata.

Profiel- en voorkeursgegevens: profielfoto, weergavenaam, biografie of artist statement, land van juridische verblijfplaats, een afzonderlijke openbare keuze voor ‘Based in’, en optionele gegevens zoals geboortejaar, geslacht of affiliatie. Het geboortejaar is optioneel, wordt niet openbaar getoond en wordt gebruikt voor geaggregeerde publieksdemografie en leeftijdsgebonden privacycontroles. Accountaanmaak vereist apart een 13+-bevestiging; optionele acquisitieanalyse vereist apart een 16+-bevestiging.

Verkopersaanvraag- en advertentiegegevens: portfolio-links, beschrijvingen en afbeeldingen, geschiktheidsverklaringen en aanvraagstatus, kunstwerkafbeeldingen, titels, beschrijvingen, afmetingen, materialen, prijzen, verzendinstellingen en waar nodig identiteit-, belasting-, betalings- of eigendomsinformatie.

Bestel-, leverings- en transactiegegevens: account-ID's van Koper en Verkoper, naam, e-mail, telefoon, verzendadres of afhaalpunt, vervoerder, tracking, levering, verzendlabel, bestelstatus, bevestiging, annulering, retour, claim, terugbetaling, bedragen, kosten, valuta, betaalstatus en betalingsreferenties.

Berichten, community-activiteit en content: directe berichten en afbeeldingen, Somun-posts, reacties, likes, follows, meldingen, geschilinformatie, supportverzoeken en communicatie met Sorisomun.

Technische, beveiligings- en gebruiksgegevens: timestamps, request- en securitylogs, foutinformatie, rate-limit-events, browser-, apparaat-, netwerk- of IP-gerelateerde informatie, eigen interactiedata en, na toestemming, optionele acquisitieattributie.

Sorisomun bewaart geen volledige authenticatiewachtwoorden of volledige betaalkaartnummers in de eigen applicatiedatabase; deze worden verwerkt door respectievelijk Clerk en de betalingsdienstverlener.

4. Waar de gegevens vandaan komen

We ontvangen persoonsgegevens rechtstreeks van jou, van andere gebruikers wanneer dat nodig is voor een transactie, gesprek, melding of geschil, van betalings-, authenticatie-, hosting-, e-mail-, verzend- en andere dienstverleners en automatisch via noodzakelijke technische logs en platforminteracties.

5. Waarom we persoonsgegevens verwerken

We verwerken persoonsgegevens om accounts aan te maken en te beveiligen; profielen, advertenties, community- en berichtenfuncties te leveren; Verkopersaanvragen te beoordelen; bestellingen, betalingen, verzending, levering, annuleringen, retouren en terugbetalingen te verwerken; service- en beveiligingscommunicatie te sturen; fraude, misbruik, spam en ongeautoriseerde toegang te voorkomen; content te modereren; meldingen, claims en geschillen te behandelen; het platform te onderhouden en beveiligen; wettelijke administratie- en rapportageverplichtingen na te leven; en juridische claims vast te stellen, uit te oefenen of te verdedigen.

6. Rechtsgronden

Afhankelijk van de verwerking steunen we op uitvoering van een overeenkomst, een wettelijke verplichting, gerechtvaardigde belangen of toestemming onder de AVG. Gerechtvaardigde belangen omvatten onder meer bescherming van Sorisomun en gebruikers, fraudepreventie, moderatie, geschiloplossing, beveiliging en betrouwbare platformwerking, voor zover jouw rechten en vrijheden niet zwaarder wegen.

Waar verwerking op toestemming berust, kun je die toestemming te allen tijde intrekken zonder dat dit afbreuk doet aan verwerking die vóór de intrekking rechtmatig was. Waar verwerking op gerechtvaardigd belang berust, kun je in toepasselijke gevallen bezwaar maken.

7. Openbare en niet-openbare informatie

Informatie die je bewust openbaar maakt in een profiel, kunstwerkadvertentie, Somun-post of openbare reactie kan zichtbaar zijn voor andere gebruikers en bezoekers en kan, waar technisch mogelijk, via links worden gedeeld of door zoekmachines worden geïndexeerd.

Directe berichten, opgeslagen verzendadressen, betalingsreferenties, interne meldingen en andere niet-openbare account- of bestelgegevens zijn niet bedoeld als openbare informatie en worden alleen geraadpleegd waar dit nodig is voor de doelen in dit beleid.

8. Dienstverleners en ontvangers

We delen persoonsgegevens alleen wanneer dit nodig is voor het platform of wettelijk vereist. Ontvangers kunnen onder meer zijn: Clerk voor authenticatie; Supabase voor database, opslag en backend; Stripe voor betalingen en terugbetalingen; Sendcloud voor verzendopties, afhaalpunten, labels, zendingen en tracking; vervoerders en bezorgpartners voor levering; Resend voor transactionele e-mail; Vercel voor hosting; relevante Kopers en Verkopers; en professionele adviseurs, verzekeraars, auditors of bevoegde autoriteiten.

Voor persoonsgegevens van eindklanten die via de Sendcloud-integratie worden verwerkt, treedt Sendcloud volgens zijn gegevensverwerkingsvoorwaarden op als verwerker op instructie van Sorisomun. Sommige andere leveranciers kunnen voor specifieke verwerkingen als zelfstandig verwerkingsverantwoordelijke optreden. Sorisomun verkoopt geen persoonsgegevens.

9. Internationale doorgifte

Sommige dienstverleners of subverwerkers kunnen persoonsgegevens buiten de Europese Economische Ruimte verwerken. Waar AVG-regels voor doorgifte gelden, vertrouwt Sorisomun op passende waarborgen uit de relevante leveranciersregelingen, zoals een adequaatheidsbesluit, het EU-U.S. Data Privacy Framework of standaardcontractbepalingen van de Europese Commissie, waar passend.

Je kunt contact met ons opnemen als je meer informatie wilt over de waarborgen die voor een bepaalde categorie van internationale doorgifte worden gebruikt.

10. Bewaartermijnen en criteria

We bewaren persoonsgegevens alleen zolang dat nodig is voor het hieronder genoemde doel, tenzij de wet een langere termijn vereist. Als een exacte termijn niet mogelijk is, gebruiken we de genoemde criteria en verwijderen of anonimiseren we de gegevens zodra het doel eindigt.

Account-, profiel- en optionele demografische gegevens worden bewaard zolang het account actief is of totdat je een optioneel veld wijzigt of wist. Wanneer accountverwijdering is afgerond, verwijdert of anonimiseert de huidige verwijderingsflow directe profielgegevens zoals naam, e-mail, land, openbare Based in-keuze, geboortejaar, geslacht, affiliatie, profielafbeeldingen, portfoliogegevens en opgeslagen afleveradressen. Een minimale deleted-account- of beveiligingsregistratie kan alleen blijven bestaan zolang dat nodig is voor misbruikpreventie, handhaving, geschillen of wettelijke verplichtingen.

Somun-posts, reacties, likes en bijbehorende uploads worden via de accountverwijderingsflow verwijderd. Directe berichten kunnen in het gesprek van de andere deelnemer blijven staan met de afzender als verwijderde gebruiker wanneer dat nodig is om gespreks-, transactie-, veiligheids- of geschilcontext te behouden; zij worden alleen bewaard zolang die doelen relevant blijven.

Portfolio-assets worden bij accountverwijdering verwijderd. Aanvraag-, geschiktheids-, goedkeurings-, fraudepreventie- of nalevinggegevens worden bewaard zolang de Verkoperrelatie of een beoordeling actief is en daarna alleen zolang dat nodig is voor herhaald misbruik, juridische claims of een wettelijke verplichting.

Bestellingen, betalingen, terugbetalingen en boekhoudgegevens worden 7 jaar bewaard waar Nederlandse fiscale bewaarplichten gelden. Waar een wettelijke termijn van 10 jaar geldt, waaronder toepasselijke One Stop Shop-administratie, gebruiken we die langere termijn.

Opgeslagen afleveradressen worden bij accountverwijdering verwijderd. Ontvanger-, label-, tracking- en leveringsgegevens die onderdeel zijn van een bestelling worden alleen zolang met de transactie bewaard als nodig is voor uitvoering, claims, boekhouding of een andere wettelijke verplichting. Sendcloud en vervoerders kunnen daarnaast gegevens bewaren volgens hun eigen verwerkers- of wettelijke bewaarschema's.

Meldingen, moderatie- en geschildossiers worden bewaard zolang de zaak openstaat en daarna alleen zolang dat nodig is om een beslissing te handhaven, herhaald misbruik te herkennen, een wettelijke verplichting na te leven of een juridische claim vast te stellen, uit te oefenen of te verdedigen. Technische en beveiligingsgegevens volgen de ingestelde operationele of beveiligingstermijn van het betreffende systeem; relevante logkopieën kunnen langer worden bewaard voor een concrete beveiligings-, fraude- of misbruikzaak.

Optionele acquisitieattributie in de browser wordt maximaal 90 dagen bewaard. Met afzonderlijke toestemming worden unieke gastweergaven van kunstwerken en Somun-posts bijgehouden voor de rangschikking van populariteit. Deze pseudonieme registraties worden uiterlijk na 90 dagen verwijderd en bij intrekking van toestemming gewist. Toegestane first- en last-touch-attributie kan aan een account worden gekoppeld zolang de toestemming actief is en bij een betaalde bestelling kan een transactiegebonden snapshot worden bewaard. Accountattributie en optionele order-snapshots worden verwijderd wanneer een ingelogde gebruiker toestemming intrekt of via de accountverwijderingsflow.

11. Jouw AVG-rechten

Afhankelijk van de wettelijke voorwaarden en uitzonderingen kun je recht hebben op inzage, rectificatie, wissing, beperking, bezwaar tegen verwerking op basis van gerechtvaardigd belang, dataportabiliteit, intrekking van toestemming en het indienen van een klacht bij een bevoegde toezichthouder.

Voor een privacyverzoek kun je mailen naar sorisomun.market@gmail.com. We kunnen je identiteit moeten verifiëren. Sorisomun is gevestigd in Nederland; je kunt een klacht indienen bij de Autoriteit Persoonsgegevens zonder dat dit andere beschikbare administratieve of gerechtelijke rechtsmiddelen beperkt.

12. Cookies en vergelijkbare technologieën

Sorisomun gebruikt noodzakelijke cookies en vergelijkbare technologieën voor authenticatie, sessiecontinuïteit, beveiliging, betalingen en kernfunctionaliteit. Sommige dienstverleners kunnen eveneens noodzakelijke technologieën gebruiken voor hun diensten.

Met toestemming gebruikt Sorisomun optionele first-party acquisitieattributie om te begrijpen hoe mensen de marktplaats vinden. Daarbij kunnen een willekeurige bezoekers-ID, UTM-bron, medium en campagne, verwijzende host, landingspad en timestamps maximaal 90 dagen in de browser worden opgeslagen. Bij een ingelogde gebruiker kan toegestane first- en last-touch-attributie aan het account worden gekoppeld en bij een betaalde bestelling als optionele orderattributie-snapshot worden vastgelegd. Sorisomun gebruikt voor deze functie geen advertentiecookies of fingerprinting.

Optionele acquisitieanalyse is alleen beschikbaar vanaf 16 jaar en blijft uit totdat de gebruiker expliciet bevestigt 16 jaar of ouder te zijn en toestemming geeft. Het geboortejaar is optioneel. Zonder geboortejaar geldt de afzonderlijke 16+-actie als leeftijdsverklaring. Als een opgeslagen geboortejaar of legacy-leeftijd duidelijk aangeeft dat een ingelogde gebruiker jonger dan 16 is, blokkeert Sorisomun de functie, overschrijft het een eerdere browsertoestemming op dat apparaat tijdens het inloggen en verwijdert het gekoppelde accountattributie en optionele order-snapshots. In het kalenderjaar waarin iemand 16 wordt, blijft de expliciete 16+-verklaring nodig omdat alleen het geboortejaar de verjaardag niet aangeeft.

13. Beveiliging

We gebruiken redelijke technische en organisatorische maatregelen om persoonsgegevens te beschermen, waaronder toegangscontrole, geauthenticeerde beheerfuncties, beveiligde gehoste infrastructuur en versleuteld netwerktransport waar ondersteund.

Geen enkel online systeem kan volledig veilig worden gegarandeerd. Bij een geconstateerd datalek beoordelen en behandelen we dit volgens de toepasselijke wettelijke vereisten.

14. Geautomatiseerde verwerking

Sorisomun gebruikt geautomatiseerde processen voor gewone platformwerking, zoals verzoeklimieten, beveiligingscontroles, meldingen en wijzigingen van bestelstatus. Sorisomun gebruikt momenteel geen uitsluitend geautomatiseerde besluitvorming die rechtsgevolgen of vergelijkbare aanzienlijke gevolgen heeft in de zin van artikel 22 AVG.

15. Gegevens van kinderen

Voor een Sorisomun-account moet de gebruiker tijdens onboarding afzonderlijk bevestigen minstens 13 jaar oud te zijn. Het geboortejaar is optioneel en vervangt die 13+-bevestiging niet.

Optionele acquisitieanalyse is op toestemming gebaseerd en niet beschikbaar onder 16 jaar. Gebruikers van 13 tot en met 15 jaar mogen hun account behouden maar deze optionele analyse niet inschakelen. De analytics-actie vereist apart een 16+-bevestiging en opgeslagen demografische leeftijdsinformatie die duidelijk onder 16 aangeeft blokkeert de functie. Noodzakelijke verwerking voor accountbeheer, beveiliging, transacties en andere platformfuncties kan op andere toepasselijke rechtsgronden plaatsvinden.

16. Wijzigingen in dit beleid

We kunnen dit Privacybeleid aanpassen wanneer onze diensten, leveranciers of wettelijke verplichtingen veranderen. We passen de ingangsdatum aan en geven waar vereist extra kennisgeving van wezenlijke wijzigingen. Een privacyverklaring maakt verwerking waarvoor toestemming nodig is niet geldig enkel doordat je het platform blijft gebruiken.

17. Contact

Privacyverzoeken en vragen kunnen worden gestuurd naar sorisomun.market@gmail.com. Vermeld alleen de account- of verzoekinformatie die redelijkerwijs nodig is om je verzoek te behandelen.