Privacyverklaring

1. Wie we zijn

Crewli is een online platform waarmee evenementenorganisaties, bands en verenigingen hun crew, vrijwilligers, artiesten, formulieren, muziek en financiën beheren.

Crewli is een handelsnaam van HausDesign, gevestigd aan Esstraat 30, 6101 JP Echt, ingeschreven bij de Kamer van Koophandel onder nummer 12060096. HausDesign is ook de partij achter onze statistiekserver (analytics.hausdesign.nl): voor de statistieken is er dus geen aparte verwerker. De server staat bij TransIP (zie hoofdstuk 8).

Je bereikt ons via info@crewli.nl. Voor vragen en verzoeken over privacy mail je naar privacy@crewli.nl. We hebben geen functionaris voor gegevensbescherming aangesteld; dit adres is het loket voor al je privacyvragen.

2. Twee rollen

Volgens de Algemene verordening gegevensbescherming (AVG) heeft Crewli twee rollen. Welke rol geldt, hangt af van wiens gegevens het zijn.

3. Deze website

www.crewli.nl is een informatiewebsite. We houden het bewust eenvoudig:

• Standaard geen cookies. Zonder jouw toestemming slaan we niets op je apparaat op en lezen we niets uit, behalve je eigen keuze over de pixel. Alleen als je de Meta-pixel toestaat, komen er cookies van Meta (zie hieronder). Het complete overzicht staat op de cookiepagina.
• Niets van anderen zonder jouw ja. Geen Google, geen andere partijen. Alleen onze eigen statistieken, en Meta pas als jij de pixel toestaat.
• Eigen lettertypen en afbeeldingen. Die komen van onze eigen server. Zonder jouw toestemming praat je browser daarnaast alleen met onze eigen statistiekserver (analytics.hausdesign.nl). Met jouw toestemming komt Meta erbij.
• Geen formulieren. Wil je een demo, dan mail je ons zelf. De nieuwsbrief meld je aan op een aparte pagina (zie hoofdstuk 4).

Zoals elke webserver legt onze server technische gegevens van een bezoek vast: je IP-adres, het tijdstip, de opgevraagde pagina en je browsertype. We gebruiken die alleen om de website veilig en bereikbaar te houden (gerechtvaardigd belang) en bewaren ze 14 dagen.

Statistieken

Om te zien welke pagina's van deze website worden bekeken, gebruiken we Matomo, statistieksoftware die we zelf draaien op analytics.hausdesign.nl. De server staat in Nederland, bij TransIP, op dezelfde servers waar ook Crewli draait. Als je een pagina opent, haalt je browser daar een klein script op en stuurt het deze gegevens naar die server: de pagina die je bekijkt, van welke website je kwam (alleen de naam van de site, niet het hele adres), je browser en besturingssysteem, de grootte van je scherm, je browsertaal, het tijdstip, het land waar je ongeveer bent en je IP-adres. We doen het zo privacyvriendelijk als kan:

• Voor deze statistieken plaatsen we geen cookies en lezen we niets uit wat op je apparaat is opgeslagen. We kunnen je dus niet herkennen als je morgen terugkomt.
• Je IP-adres wordt direct na ontvangst ingekort, zodat we nooit je volledige adres in de statistieken bewaren.
• We volgen je niet over andere websites en koppelen de gegevens niet aan een naam of e-mailadres.
• Staat je browser op “niet volgen” (Do Not Track), dan meten we je niet. Het script wordt dan nog wel opgehaald, maar er wordt niets gemeten of verstuurd.
• Kom je via een advertentie, dan slaan we het advertentie-id in het adres (fbclid) niet op in de statistieken.
• De ruwe bezoekgegevens worden na 14 maanden verwijderd. Wat overblijft zijn totalen, bijvoorbeeld hoe vaak een pagina per maand is bekeken.

Dit doen we om de website te kunnen verbeteren. Onze grondslag is een gerechtvaardigd belang: we willen weten of de website begrijpelijk en bruikbaar is. Omdat de statistieken zo weinig over jou prijsgeven, hoeven we er volgens de Telecommunicatiewet geen toestemming voor te vragen. Wil je toch niet meegeteld worden? Zet “niet volgen” aan in je browser, of mail ons op privacy@crewli.nl. Je hebt daarvoor ook een recht van bezwaar (zie hoofdstuk 11).

Advertenties en de Meta-pixel (alleen met jouw toestemming)

We adverteren op Facebook en Instagram, twee diensten van Meta. Daarvoor gebruiken we de Meta-pixel. Die laden we alleen als je op “Toestaan” drukt in het venster dat bij je eerste bezoek verschijnt. Kies je “Niet toestaan”, of staat je browser op “niet volgen” (Do Not Track) of Global Privacy Control, dan wordt er niets van Meta geladen en werkt de website precies hetzelfde.

We gebruiken de pixel voor twee dingen:

• Meten: welke advertenties leiden tot een bezoek of een demo-aanvraag.
• Opnieuw laten zien: bezoekers die toestemming gaven, kunnen later onze advertenties zien op Facebook en Instagram (een zogeheten aangepaste doelgroep). Je zit daarin maximaal 90 dagen nadat je de website bezocht; daarna valt je weer uit die doelgroep.

Geef je toestemming, dan gebeurt dit:

• Je browser haalt een script op van Meta (connect.facebook.net) en Meta plaatst cookies op je apparaat, zoals _fbp.
• Meta ontvangt welke pagina je bekijkt, je IP-adres, gegevens over je browser en apparaat, de cookie-id's en of je op een e-maillink naar info@crewli.nl klikt, zoals “Plan een demo”. Zit je op Facebook of Instagram, dan kan Meta dat aan je profiel koppelen.
• Wij sturen zelf geen naam, e-mailadres of telefoonnummer mee en we hebben de automatische herkenning van knoppen en formulieren uitgezet.
• De pixel draait alleen op www.crewli.nl: niet in de Crewli-app en niet in de webapplicatie.

De grondslag is jouw toestemming. Voor het meten, het doorsturen en het samenstellen van de doelgroep zijn Meta Platforms Ireland Limited en wij samen verantwoordelijk: wij zorgen voor de informatie en de toestemming op deze website, Meta voor wat er na het doorsturen met de gegevens gebeurt. Onderling hebben we daar afspraken over in de voorwaarden voor bedrijfstools van Meta. Wat Meta met de gegevens doet, staat in het privacybeleid van Meta. Meta verwerkt gegevens ook buiten de EU (zie hoofdstuk 8).

Je kunt je keuze op elk moment veranderen via Cookie-instellingen onderaan elke pagina. Kies je daar “Niet toestaan”, dan laden we de pixel niet meer en verwijderen we de cookies van Meta die wij kunnen bereiken. Wat Meta al heeft ontvangen, blijft bij Meta; wil je dat laten verwijderen, dan kun je dat bij Meta zelf vragen.

Je keuze onthouden we alleen in je eigen browser, samen met de datum en de versie van het venster waarop je koos. Op onze server leggen we niets vast. Veranderen we wat we met de pixel doen, dan vragen we je opnieuw om een keuze.

Als je ons mailt

Mail je ons, dan gebruiken we je naam, e-mailadres en wat je schrijft om je te antwoorden en, als je dat wilt, een demo te plannen. We bewaren die mail zolang dat nodig is voor ons contact, en ruimen hem uiterlijk twee jaar na het laatste contact op, tenzij je klant wordt.

4. De nieuwsbrief

Met de nieuwsbrief houden we je op de hoogte van nieuws over Crewli. Je krijgt hem alleen als je je zelf aanmeldt.

• Aanmelden doe je op een aparte aanmeldpagina van onze nieuwsbriefsoftware (MailWizz), via een link op deze website. Je vult je e-mailadres en je voornaam in.
• Dubbele bevestiging. Je krijgt eerst een mail met een link; pas als je die aanklikt, sta je op de lijst.
• Waarvoor? Alleen om je de nieuwsbrief te sturen, met je voornaam in de aanhef. We delen de lijst met niemand en gebruiken hem nergens anders voor. De grondslag is jouw toestemming.
• Geen meting. We meten niet of je de nieuwsbrief opent en niet op welke links je klikt.
• Waar? De software draait op onze eigen server bij TransIP in Nederland. De mail zelf versturen we via Amazon SES, in Zweden (zie hoofdstuk 8).
• Afmelden kan met één klik via de link onderaan elke nieuwsbrief. Meld je je af, dan verwijderen we je uiterlijk 30 dagen later uit de lijst. Alleen je e-mailadres houden we in een uitsluitlijst, zodat we je niet per ongeluk opnieuw aanschrijven; dat doen we op grond van ons gerechtvaardigd belang. Een aanmelding die je niet bevestigt, verwijderen we na 30 dagen.

5. Je Crewli-account

Om in te loggen heb je een account. Daarvoor verwerken we:

• je naam en e-mailadres;
• je wachtwoord, alleen versleuteld (gehasht) opgeslagen: niemand bij Crewli kan het lezen;
• je instellingen voor tweestapsverificatie;
• je taal- en weergave-instellingen;
• een beveiligingslogboek van belangrijke handelingen op je account, zoals inloggen, wachtwoord wijzigen en e-mailadres wijzigen.

Om ingelogd te blijven, plaatst de webapplicatie een paar cookies die daarvoor nodig zijn. Daarvoor vragen we geen toestemming, omdat het account anders niet werkt. Welke dat zijn en hoe lang ze blijven, staat op de cookiepagina.

We sturen je accountmails: inlogcodes, links om je wachtwoord in te stellen en beveiligingsmeldingen. Van zo'n mail bewaren we alleen dat hij is verstuurd (aan wie, het onderwerp, het soort mail), nooit de inhoud, de code of de link.

We doen dit om je het account te kunnen geven dat je gebruikt (uitvoering van de overeenkomst) en om het veilig te houden (gerechtvaardigd belang). Crewli is bedoeld voor mensen van 16 jaar en ouder.

6. De Crewli-app

Crewli heeft een app voor iPhone en Android, onder de naam Crewli in de App Store en in Google Play. Je logt in met hetzelfde account als op de website, dus hoofdstuk 5 geldt ook hier. De gegevens van de organisatie waar je voor werkt (zoals het rooster van de crew) zijn van die organisatie, zie hoofdstuk 7. Dit hoofdstuk gaat over wat de app daar zelf bij doet.

Wat de app op je telefoon bewaart

• Je inlogtoken, in de beveiligde opslag van je telefoon (de Keychain op een iPhone, de Keystore op Android), samen met je instellingen. Dat is wat je ingelogd houdt, zodat je niet elke keer opnieuw je wachtwoord hoeft in te vullen.
• Aanwezigheidsmeldingen die nog niet zijn verstuurd. Heb je geen verbinding, dan bewaart de app een in- of uitcheck met het tijdstip, tot hij verstuurd kan worden. Die wachtrij bevat alleen interne nummers, geen namen of telefoonnummers.
• Een optreden dat je zelf klaarzet voor gebruik zonder internet. Zit je in een band, dan kun je in de app een optreden "klaarzetten". De app slaat dan de setlist en de bladmuziek op je telefoon op, en als je dat kiest ook de audiobestanden bij de nummers, bijvoorbeeld demo's om mee te oefenen. Zo heb je ze ook op een podium zonder bereik. De app doet dit alleen voor een optreden dat jij kiest, nooit op de achtergrond. Audio die alleen een link naar een andere dienst is, bewaart de app niet. De bestanden staan in het afgeschermde deel van de app zelf; andere apps kunnen er niet bij.
  • Hoe lang. De kopie blijft nooit eeuwig staan. Ze verdwijnt uiterlijk twee dagen na de laatste dag van het optreden, of veertien dagen nadat de app voor het laatst bij onze server heeft gecontroleerd of je het optreden nog mag zien, als dat eerder is. Heeft de setlist geen datum, dan geldt alleen die veertien dagen. Dit regelt de app zelf, ook zonder internet: na die tijd laat hij de bestanden niet meer zien en haalt hij ze weg.
  • Wanneer de app alles weghaalt. Log je uit, of eindigt je sessie op een andere manier (bijvoorbeeld omdat je toestel uit je account is gehaald)? Dan verwijdert de app alle bewaarde optredens van je telefoon. Logt er iemand anders in op dezelfde telefoon, dan verwijdert de app de kopieën van de vorige persoon meteen bij het inloggen. Heeft de app internet en mag je het optreden niet meer zien, bijvoorbeeld omdat je niet meer bij de band hoort, dan verwijdert hij het zodra hij dat merkt. Je kunt een optreden ook zelf van je telefoon halen.
• Al het andere uit je account, zoals je rooster en je meldingen, houdt de app alleen in het werkgeheugen. Als je uitlogt, is dat weg.

Wat de app niet doet

De app gebruikt je locatie, je contacten, je foto's en je microfoon niet en vraagt daar ook geen toestemming voor. Er zitten geen analytics, geen crashrapportage, geen advertentiediensten en geen trackers in. De knoppen om iemand te bellen, te appen of te mailen openen gewoon de app daarvoor op je telefoon; Crewli leest je contacten daarvoor niet. Ook de cookies van de website en de Meta-pixel zitten er niet in.

De camera

De app vraagt toegang tot je camera om één ding te doen: de QR-code scannen waarmee je de app koppelt aan je account op je computer. Er wordt geen foto of video bewaard of verstuurd. Alleen de code uit de QR-code wordt gebruikt om de koppeling te maken.

Wat de app naar ons stuurt

De app praat met crewli.app, onze eigen server in Nederland, en verder alleen met Expo (voor updates en, als je ze aanzet, pushmeldingen; zie hieronder). Bij het inloggen sturen we mee: je e-mailadres en wachtwoord (of de koppelcode van de QR-code), het type telefoon (iOS of Android), de naam van je toestel, zoals “iPhone”, en als je dat gebruikt je code voor tweestapsverificatie. Zo kun je in je account zien welke toestellen gekoppeld zijn. Daarna vraagt de app je eigen account, diensten en meldingen op. Net als elke server legt crewli.app het IP-adres en het tijdstip van verzoeken vast, om de dienst veilig te houden (14 dagen, zie hoofdstuk 9). Ben je organisator, dan ziet de app ook de crew van de dag, met naam, telefoonnummer, dienst en aanwezigheid, en stuurt hij de in- en uitchecks terug.

Pushmeldingen, als je ze toestaat

De app vraagt of hij je meldingen mag sturen. Zeg je nee, dan krijg je ze niet en slaan we niets over je toestel op voor pushmeldingen. Zeg je ja, dan gebeurt dit:

• We bewaren bij je account een pushtoken: een code die alleen je toestel kent, met het platform (iOS of Android), de taal van je telefoon en het moment waarop de app voor het laatst contact had.
• Een melding gaat van onze server naar Expo’s pushdienst (Expo, een dienst van 650 Industries, Inc., gevestigd in de Verenigde Staten). Expo geeft hem door aan de Apple Push Notification service (iPhone) of Firebase Cloud Messaging van Google (Android), en die bezorgen hem op je telefoon. Expo, Apple en Google zien daarbij je pushtoken en de tekst van de melding.
• In de tekst van een melding kan een naam staan, bijvoorbeeld “Anna noemde je in een reactie op…”. Zo’n melding verschijnt op het vergrendelscherm van je telefoon, ook als jij hem niet hebt ontgrendeld. Je telefoon bewaart hem daar zelf. Wil je dat niet, zet dan de meldingsvoorbeelden uit in de instellingen van je telefoon of zet pushmeldingen uit.
• Je kunt pushmeldingen per soort melding uitzetten in de instellingen van de app, of helemaal in de instellingen van je telefoon.
• Log je uit in de app, dan verwijderen we je pushtoken. Ook als je toestel uit je account wordt gehaald of de pushdienst meldt dat het toestel niet meer bestaat, verdwijnt het.

Updates van de app

De app haalt updates van zijn eigen programmacode op bij Expo (u.expo.dev). Daarbij sturen we geen gegevens over jou of je account mee. Net als elke server ziet Expo wel het IP-adres van je toestel en welke versie van de app het is.

De webapplicatie op crewli.app

Alles hierboven gaat over de mobiele app. De webapplicatie in je browser (crewli.app) telt wel hoe vaak welk onderdeel wordt geopend, zodat we weten wat wordt gebruikt en wat niet. Daarvoor sturen we per geopend scherm alleen door welk soort scherm het is (bijvoorbeeld “taken van een evenement”), nooit de naam of het nummer van je organisatie, een evenement of een persoon, en nooit wat je invult. Er gaat geen cookie mee, het is niet gekoppeld aan je account en je IP-adres wordt direct ingekort. Staat je browser op “niet volgen” (Do Not Track) of Global Privacy Control, dan wordt er niets verstuurd. Schermen die je via een persoonlijke link opent, het vrijwilligersportaal en de mobiele app worden niet gemeten. De ruwe gegevens verdwijnen na 14 maanden. Voor deze statistieken is Crewli zelf verantwoordelijk, met dezelfde grondslag als bij de website: een gerechtvaardigd belang. Je organisatie bepaalt niet wat we hiermee doen en krijgt er geen gegevens van.

Je account verwijderen

Je kunt je account zelf verwijderen, in de app of op de website.

• In de app: tik linksboven op de tegel van je werkruimte, open Account en kies Account verwijderen. Je vult je wachtwoord in (en je code, als je tweestapsverificatie gebruikt) en bevestigt.
• Op de website: ga naar crewli.app/account/delete.

Na je aanvraag heb je 14 dagen bedenktijd. Log je in die tijd weer in, dan kun je kiezen voor Herstellen. Daarna wissen we je account. Wat anderen hebben geschreven of gedaan, zoals reacties, goedkeuringen en gewerkte uren, blijft staan onder de naam “Verwijderd”. In onze versleutelde back-ups kunnen je gegevens daarna nog tot 12 maanden staan; dan zijn ze ook daar weg (zie hoofdstuk 9).

7. Gegevens die organisaties via Crewli verwerken

Meld je je aan als vrijwilliger, ben je lid van een band of vereniging, treed je op als artiest, lever je als leverancier, of koop je een ticket bij een organisatie die Crewli gebruikt? Dan verwerkt die organisatie je gegevens, met Crewli als hulpmiddel.

• De organisatie bepaalt welke gegevens ze vraagt, waarvoor en hoe lang ze die nodig heeft. Haar eigen privacyverklaring vertelt je dat. Op elk formulier en elke pagina die je van een organisatie opent, staat onderaan wie je gegevens verwerkt.
• Wij verwerken alleen in opdracht en gebruiken de gegevens nooit voor onszelf. De afspraken daarover leggen we vast in een verwerkersovereenkomst met de organisatie. De partijen die wij daarbij inschakelen (subverwerkers) staan op de subverwerkerspagina.
• Vragen of verzoeken over deze gegevens (inzien, verbeteren, verwijderen) richt je aan de organisatie. Komen ze bij ons binnen, dan sturen we ze door en helpen we de organisatie ze uit te voeren.

Gaat het om gezondheidsgegevens, zoals dieetwensen of allergieën die een organisatie op een formulier vraagt? Die worden in Crewli automatisch gewist zodra de termijn verloopt die de organisatie daarvoor instelt, gerekend vanaf het einde van het evenement.

Koppelt een organisatie Crewli zelf aan een andere dienst, zoals een ticketverkoper (Weeztix), Meta Ads of MailWizz, dan doet ze dat op eigen verantwoordelijkheid en volgens haar eigen privacyverklaring. Zulke diensten zijn geen subverwerkers van Crewli.

8. Met wie we gegevens delen

We verkopen geen gegevens. We delen ze alleen met partijen die we nodig hebben om Crewli te laten werken en, als jij dat toestaat, met Meta voor onze advertenties. Met onze verwerkers hebben we afspraken over de verwerking van gegevens, in een verwerkersovereenkomst of in hun standaardvoorwaarden voor verwerkers. Per partij staat op de subverwerkerspagina wat ze doen en welke gegevens ze zien.

De back-ups van onze gegevens bewaren we op eigen apparatuur in Nederland. Een extra, versleutelde kopie van de bestanden loopt via Cloudflare. Foutmeldingen filteren we op persoonsgegevens (namen, e-mailadressen, telefoonnummers en dergelijke) voordat ze worden opgeslagen.

De statistieken van onze website en webapplicatie delen we met niemand. Ze staan op onze eigen statistiekserver (Matomo). De nieuwsbriefabonnees delen we ook met niemand; de mail loopt alleen langs Amazon SES om bezorgd te worden.

Gegevens uit Crewli-accounts en van organisaties gaan nooit naar Meta. De pixel draait alleen op www.crewli.nl.

Buiten de EU

Je account en de gegevens van organisaties staan op onze servers in Nederland. Zet je pushmeldingen aan in de Crewli-app, dan reizen je pushtoken en de tekst van de melding via Expo, Apple en Google in de Verenigde Staten. Zet je ze niet aan, dan gaat er niets naar Apple en Google en krijgt Expo alleen het IP-adres en de appversie van je toestel bij het ophalen van updates. Cloudflare en, als jij dat toestaat, Meta zitten buiten de EU, en Amazon, de aanbieder van onze e-maildienst, is een Amerikaans bedrijf dat de mail in de regio Stockholm verwerkt. Gaan gegevens naar een land buiten de EU, dan zorgen we dat daar een passend doorgiftemechanisme voor is, zoals de AVG dat eist. Voor Expo, Google, Cloudflare, Amazon en Meta berust de doorgifte naar de Verenigde Staten op het EU-VS Data Privacy Framework: die vijf staan in het register van het Amerikaanse ministerie van Handel. Voor Apple geldt een ander passend doorgiftemechanisme, zoals standaardcontractbepalingen. Alleen als de wet ons daartoe verplicht, bijvoorbeeld op last van een rechter, geven we gegevens aan een overheidsinstantie.

9. Hoe lang we bewaren

We bewaren gegevens niet langer dan nodig. Waar het kan, ruimt Crewli automatisch op.

10. Beveiliging

• Alle verbindingen met Crewli en deze website zijn versleuteld (HTTPS).
• Inloggen kan met tweestapsverificatie.
• Wat iemand in Crewli ziet, hangt af van de rol die de organisatie hem of haar geeft. Jouw gegevens zijn alleen zichtbaar voor jouw organisatie.
• Artiesten, leveranciers en invullers van formulieren krijgen een persoonlijke link en hoeven geen account aan te maken.
• We maken back-ups en oefenen regelmatig met het terugzetten ervan.

Gaat er toch iets mis met persoonsgegevens (een datalek), dan melden we dat volgens de AVG. Gaat het om gegevens die een organisatie via Crewli verwerkt, dan laten we de organisatie dat binnen 24 uur weten nadat we het hebben ontdekt, zodat zij haar eigen meldplicht kan nakomen. Waar nodig melden we het ook aan de Autoriteit Persoonsgegevens en aan jou.

11. Je rechten

Je hebt het recht om je gegevens in te zien, te laten verbeteren of verwijderen, de verwerking te laten beperken, bezwaar te maken en je gegevens mee te nemen (overdraagbaarheid).

• Gaat het om je account, de nieuwsbrief of contact met ons? Mail privacy@crewli.nl. We reageren binnen een maand en kunnen je vragen te bevestigen dat het verzoek echt van jou komt.
• Gaat het om gegevens die een organisatie via Crewli verwerkt? Neem contact op met die organisatie. Je mag ons ook mailen; we sturen je verzoek dan door.
• Bezwaar kun je maken tegen alles wat we doen op grond van een gerechtvaardigd belang, zoals de statistieken en de technische logboeken. Mail ons, dan stoppen we het voor jou, tenzij er een zwaarwegende reden is om dat niet te doen.

Gaf je toestemming voor de Meta-pixel? Die trek je altijd in via Cookie-instellingen onderaan elke pagina. De nieuwsbrief zeg je op via de link onderaan elke mail.

Je account verwijderen kun je ook zelf doen, in de app of op de website (zie hoofdstuk 6).

Ben je het niet eens met hoe we met je gegevens omgaan? Laat het ons weten, dan zoeken we het samen uit. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.

12. Wijzigingen

Verandert er iets in hoe we met gegevens omgaan, dan passen we deze verklaring aan en zetten we de datum bovenaan bij. Gaat het om een belangrijke wijziging voor gebruikers van Crewli, dan laten we het ook per mail weten. Verandert het doel van de Meta-pixel, dan vragen we je opnieuw om toestemming.