Privacyverklaring

Als een klant ons belt of een online-afspraak maakt, vragen we de naam en het telefoonnummer. Bij een online-afspraak vragen we ook het e-mailadres en de gewenste behandeling. Ook stellen we nieuwe klanten een aantal vragen over de situatie, bijvoorbeeld over de opbrengtijd of intrektijd indien eerder een (natuurlijke) haarkleuring is gedaan. Deze gegevens registreren we in een bestand dat we kleurenkaart noemen.

Het opgeven van persoonsgegevens is niet verplicht. Klanten die geen gegevens willen laten vastleggen, kunnen bijvoorbeeld alleen de voornaam opgeven of als telefoonnummer 0600000000 invullen. Delia Natuurlijke Haarkleuring kan dan geen afspraakbevestiging of -herinnering sturen per e-mail en/of SMS.

Bij het maken, verzetten of annuleren van een (online) afspraak sturen wij altijd een bevestiging per e-mail. Drie dagen voor de afspraak volgt een herinnering per e-mail en SMS. Afmelden voor e-mail gaat via het afmeldlinkje onderaan in de ontvangen e-mail. Afmelden voor SMS gaat door per SMS te antwoorden met de tekst "STOP".

De verantwoordelijke voor de gegevensverwerking is Delia Natuurlijke Haarkleuring, KvK 67844065, Halfrond 73, 3071 PP Rotterdam.

Het doel van de verwerking van persoonsgegevens is het bijhouden van een kleurenkaart met informatie die noodzakelijk is voor de uitvoering van de gesloten overeenkomst, op basis van de rechtsgrond in artikel 6 lid 1 onder b AVG. Het plannen van afspraken via de online agenda, de afspraakbevestigingen en -herinneringen per e-mail en SMS, en de correspondentie met (aspirant-)klanten berusten eveneens op de uitvoering van de overeenkomst (artikel 6 lid 1 onder b AVG). Daarnaast dienen de verwerking van betaalgegevens en het bewaren van afspraakgegevens om te voldoen aan wet- en regelgeving (fiscale bewaarplicht, Belastingdienst). De rechtsgrond voor deze verwerking is artikel 6 lid 1 onder c AVG. Het doorgeven van het IP-adres aan Squarespace en Google bij het laden van de online agenda en de spambeveiliging berust op gerechtvaardigd belang (artikel 6 lid 1 onder f AVG). Dat geldt ook voor de serverlogs van de website en de reverse proxy, die dienen voor beveiliging en foutopsporing. Als het noodzakelijk is om een (over)gevoeligheid of allergie voor een bepaalde (kleur)stof aan te tekenen in de kleurenkaart, is de rechtsgrond uitdrukkelijke toestemming als bedoeld in artikel 6 lid 1 onder a AVG juncto artikel 9 lid 2 AVG. De toestemming intrekken is eenvoudig.

Stuur een WhatsApp, e-mail, SMS of bel om de toestemming in te trekken of om een afspraak te maken zonder de online agenda te gebruiken.

Delia Natuurlijke Haarkleuring verwerkt gegevens van haar klanten en van bezoekers van de website. Van websitebezoekers gaat het om het IP-adres en technische browsegegevens, via de hosting, de reverse proxy en de online agenda.

Delia Natuurlijke Haarkleuring verwerkt de volgende (categorieën) persoonsgegevens: (a) naam en voornaam, (b) (mobiel) telefoonnummer, (c) e-mailadres, (d) datum, tijdstip en gekozen behandeling van een afspraak, (e) informatie over de specifieke situatie van een klant (opbrengtijd, intrektijd, soort kleurbehandeling, mengverhouding, foto voor/na, en in voorkomende gevallen een (over)gevoeligheid of allergie), (f) betaalgegevens, (g) IP-adres en technische browsegegevens van websitebezoekers, en (h) de inhoud van correspondentie per e-mail, SMS en WhatsApp.

Foto's voor en na de behandeling gebruiken we alleen voor de kleurenkaart. We publiceren ze nooit zonder aparte toestemming.

Gegevens (a) t/m (e) (de kleurenkaart) bewaren we tot een jaar na de laatste behandeling. Betaalgegevens (f) en de afspraakgegevens in de online agenda (naam, telefoonnummer, e-mailadres, gekozen behandeling, datum en tijdstip) bewaren we zeven jaar (fiscale bewaarplicht, Belastingdienst).

Correspondentie (h) per e-mail en SMS verwijderen we wanneer je geen klant meer bent, dus een jaar na de laatste behandeling. Voor WhatsApp staan verdwijnende berichten standaard aan, zodat berichten na 90 dagen automatisch verdwijnen, of eerder als je geen klant meer bent.

Serverlogs (g) van de website (statichost.eu) en van de reverse proxy (Amazon Web Services) bewaren we drie maanden.

Delia Natuurlijke Haarkleuring deelt de gegevens niet actief met derden voor hun eigen doeleinden, behalve de partijen die hieronder als zelfstandig verwerkingsverantwoordelijke staan vermeld. Squarespace verzamelt wel automatisch technische browsegegevens voor eigen doeleinden bij het laden van de afsprakenpagina, zoals hieronder beschreven. Wij gebruiken wel verwerkers, zoals Squarespace en Twilio Inc. (SendGrid), zie de tabel verderop in de sectie 'Privacy by Design: de reverse proxy'.

Daarnaast ontvangen de volgende partijen gegevens:

Het afspraakformulier van Acuity Scheduling gebruikt Google-spambeveiliging (reCAPTCHA) om misbruik te voorkomen. Google treedt hiervoor op als verwerker onder instructie van Acuity Scheduling sinds 2 april 2026. Acuity Scheduling beheert de sleutel voor die beveiliging en is verantwoordelijk voor de bijbehorende verwerkersovereenkomst met Google.

De online agenda draait op Acuity Scheduling van Squarespace Ireland Limited (Squarespace House, Ship Street Great, Dublin 8, Ierland). Als niet-Amerikaanse gebruiker sluit Delia Natuurlijke Haarkleuring de overeenkomst met Squarespace Ireland Limited (Servicevoorwaarden §1.2). Voor de afspraakgegevens die een bezoeker invult, wijst de DPA Delia Natuurlijke Haarkleuring aan als verwerkingsverantwoordelijke en Squarespace als verwerker ("You are the controller and Squarespace is the processor of Your Controlled Data", DPA §4.1). De DPA is automatisch van toepassing ("Our Data Processing Addendum forms part of this Agreement", Servicevoorwaarden §7.2). Squarespace Ireland Limited slaat gegevens op in de VS, gedekt door Standaard Contractuele Bepalingen (artikel 46 AVG). Squarespace, Inc. beschikt ook over een EU-VS Data Privacy Framework-certificering (artikel 45 AVG). Afspraken zijn ook per e-mail, WhatsApp, SMS of telefoon te plannen.

Bij het laden van de afsprakenpagina verzamelt Squarespace ook automatisch technische browsegegevens voor eigen doeleinden, waaronder het IP-adres, browser- en apparaatgegevens, eerder bezochte pagina's en interactiegedrag (Servicevoorwaarden §7.3.3). Die verwerking valt buiten de DPA. Hetzelfde IP-adres kan daardoor tegelijkertijd onder twee juridische regimes vallen, als afspraakgegeven waarvoor Squarespace verwerker is. Als browsegegeven is Squarespace zelfstandig verwerkingsverantwoordelijke.

De afsprakenpagina laadt ook twee lettertypen van Google-servers in de VS. Open Sans laadt via fonts.googleapis.com en fonts.gstatic.com. De Google-spambeveiliging (reCAPTCHA) voor het afspraakformulier laadt Roboto rechtstreeks van fonts.gstatic.com. Bij elk fontverzoek ontvangt Google het IP-adres van de bezoeker. Delia Natuurlijke Haarkleuring laadt deze lettertypen niet zelf en kan deze doorgifte niet vermijden zonder de online agenda volledig te vervangen.

Het openen van de online agenda brengt wel het verzamelen en doorgeven van het IP-adres op gang, en voor die stap beroept Delia Natuurlijke Haarkleuring zich op haar gerechtvaardigd belang om de afsprakendienst aan te bieden, op grond van artikel 6 lid 1 onder f AVG. Delia Natuurlijke Haarkleuring informeert de bezoeker vooraf over de gevolgen van het openen van de online agenda. De doorgifte zelf steunt op het EU-VS Data Privacy Framework, waaronder Google LLC gecertificeerd is (artikel 45 AVG), met de Standaard Contractuele Bepalingen uit de Cloud-verwerkersovereenkomst van Google als terugvaloptie (artikel 46 AVG). Evenals de e-mailbevestiging van afspraken (nieuwe afspraak, wijziging, annulering en herinnering) en SMS-herinnering die Twilio verzorgt.

Wij bieden de online agenda aan via onze eigen reverse proxy, privacy.natuurlijkehaarkleuring.nl.

Die proxy staat als tussenlaag tussen de browser en Acuity, gehost in de EU. Alle API-verzoeken met afspraakgegevens lopen via de proxy naar Acuity. Dat geeft ons controle over de headers die wij doorsturen.

De proxy verwijdert de headers X-Forwarded-For, X-Real-IP en Referer voordat hij een verzoek naar Acuity stuurt. Via een Content-Security-Policy blokkeert hij ook de trackingscripts van Datadog, Sentry en Stripe, en het bedrijfslogo dat Acuity van zijn eigen server (cdn-s.acuityscheduling.com) wil laden. Maar een werkende agenda heeft ook noodzakelijke scripts en opmaakbestanden nodig. Acuity laadt die rechtstreeks van assets.squarespace.com. Bij die verzoeken ontvangt Squarespace het echte IP-adres van de bezoeker. Dat is een beperking van de huidige architectuur.

Acuity Scheduling biedt betaalverwerking aan via Stripe, Inc. als subverwerker. Delia Natuurlijke Haarkleuring gebruikt die functionaliteit niet. Klanten betalen op de dag van de afspraak direct aan Delia Natuurlijke Haarkleuring. De agenda verwerkt geen betaalgegevens.

De website natuurlijkehaarkleuring.nl beschikt over een HTTPS-beveiligingscertificaat. De online agenda beschikt eveneens over een HTTPS-beveiligingscertificaat. Beide zijn geconfigureerd met actuele beveiligingsinstellingen.

We slaan de kleurenkaart op een met BitLocker (AES) versleutelde schijf op.

We maken geen gebruik van geautomatiseerde besluitvorming. We leggen alleen de informatie vast die noodzakelijk is voor de haarkleuring, in samenspraak met de klant.

Wij maken gebruik van lokale opslag, sessie-opslag en twee browsercookies. De lokale opslag dient voor de weergavevoorkeur, technische instellingen van de videospeler en de afsprakenpagina, en spambeveiliging van het afspraakformulier. De functionele cookie (PHPSESSID) zorgt voor de correcte werking van de online agenda en vervalt na één maand. De spambeveiliging plaatst een tweede cookie (_GRECAPTCHA) die vervalt na zes maanden. Niets hiervan volgt bezoekers op andere websites of dient voor advertenties.

Onder de AVG hebben betrokkenen recht op (a) inzage, (b) rectificatie en aanvulling, (c) vergetelheid (verwijdering), (d) beperking van de verwerking, (e) dataportabiliteit van persoonsgegevens, en (f) bezwaar op grond van artikel 21 AVG tegen verwerking die op gerechtvaardigd belang berust, te weten het doorgeven van het IP-adres aan Squarespace en Google bij het laden van de online agenda en de spambeveiliging, en de serverlogs van de website en de reverse proxy.

Stuur een WhatsApp, e-mail, SMS of bel om een recht uit te oefenen. We reageren binnen drie dagen.