Privacyverklaring

Deze privacyverklaring is van toepassing op de Cardflow-software en de website cardflow.nl. De Cardflow-software bestaat uit de Cardflow-app en het Cardflow Dashboard. Deze software wordt gebruikt door bedrijven voor de uitgifte, verkoop en het beheer van cadeaukaarten, het verwerken van transacties, en het ondersteunen van facturatie en uitbetalingen.”

1. Achtergrond en juridische structuur

De Cardflow-software bestaat uit de Cardflow-app en het Cardflow Dashboard, en is intellectueel eigendom van DXBS B.V. DXBS B.V. geeft de software in licentie uit.

De Cardflow-software wordt onder licentie gebruikt door:

• Stadsie B.V. voor het Stadsie-platform (stadsie.nl)
• Smakelijk B.V. voor het Smakelijk-platform (smakelijk.nl)

Als bedrijf heeft u een contractuele relatie met Stadsie B.V. of Smakelijk B.V., afhankelijk van het platform waarop u bent aangesloten. De Cardflow-software is het technische instrument waarmee uw deelname wordt beheerd en transacties worden verwerkt.

Verwerkingsverantwoordelijke voor uw persoonsgegevens:

Onder de Algemene Verordening Gegevensbescherming (AVG) zijn de licentiehouders verwerkingsverantwoordelijke voor de persoonsgegevens van hun eigen aangesloten bedrijven:

• Voor Stadsie-bedrijven: Stadsie B.V. is verwerkingsverantwoordelijke
• Voor Smakelijk-bedrijven: Smakelijk B.V. is verwerkingsverantwoordelijke

De rol van DXBS B.V.:

DXBS B.V. treedt op als verwerker in de zin van artikel 4 lid 8 AVG. DXBS verwerkt persoonsgegevens uitsluitend in opdracht van Stadsie B.V. respectievelijk Smakelijk B.V. en op basis van afgesloten verwerkersovereenkomsten.

2. Contactgegevens

Software-eigenaar en verwerker:

DXBS B.V.
Vijfhagen 164, 4812 XT Breda
KVK: 90018230
E-mail: [email protected]

Verwerkingsverantwoordelijken:

Stadsie B.V.
Chasséveld 3, 4811 DH Breda
KVK: 90019695
E-mail: [email protected]
Privacyverklaring: stadsie.nl/privacyverklaring

Smakelijk B.V.
Chasséveld 3, 4811 DH Breda
KVK: 42090477
E-mail: [email protected]
Privacyverklaring: smakelijk.nl/privacyverklaring.

Stadsie B.V. staat geregistreerd als vrijgestelde elektronischgeldinstelling op grond van artikel 2:10d Wet op het financieel toezicht (Wft) in het openbaar register van De Nederlandsche Bank (DNB). DXBS B.V. heeft als software-eigenaar en verwerker geen DNB-registratie.

3. Op wie heeft deze privacyverklaring betrekking?

Deze privacyverklaring is bedoeld voor:

• Aangesloten bedrijven van Stadsie B.V. of Smakelijk B.V. die gebruikmaken van de Cardflow-app en het Cardflow dashboard
• Medewerkers van deze bedrijven die namens hun werkgever toegang hebben tot de Cardflow-app of het Cardflow dashboard
• Bezoekers van cardflow.nl

Voor het gebruik van de platformwebsites stadsie.nl en smakelijk.nl gelden de privacyverklaringen van Stadsie B.V. en Smakelijk B.V., te raadplegen op stadsie.nl/privacyverklaring respectievelijk smakelijk.nl/privacyverklaring.

4. Welke persoonsgegevens worden via de software verwerkt?

Via de Cardflow-software worden de volgende persoonsgegevens verwerkt:

Bij aanmelding en gebruik van de Cardflow-app en het dashboard:

• Voor- en achternaam van de contactpersoon
• Bedrijfsnaam
• Bedrijfsadres
• E-mailadres en telefoonnummer
• IBAN-nummer voor uitbetalingen
• Inloggegevens en wachtwoorden (versleuteld opgeslagen)

Bij gebruik van de Cardflow-app en het dashboard:

• Transactiegegevens van uitgevoerde afwaarderingen
• IP-adres en apparaatgegevens
• Login- en sessiegegevens
• Activiteit binnen de app en het dashboard

Bij contact met ons:

• Inhoud van uw bericht via contactformulier, e-mail of telefoon
• Communicatiehistorie

5. Waarvoor worden uw gegevens verwerkt?

DXBS B.V. verwerkt persoonsgegevens uitsluitend in opdracht van Stadsie B.V. respectievelijk Smakelijk B.V., voor de volgende doeleinden:

Uitvoering van de overeenkomst tussen het aangesloten bedrijf en de verwerkingsverantwoordelijke:

• Het laten functioneren van de Cardflow-app en het Cardflow dashboard
• Het technisch verwerken van transacties die het bedrijf via de software uitvoert
• Het verwerken van accountgegevens en inloggegevens

Wettelijke verplichting:

• Voldoen aan de fiscale bewaarplicht ten aanzien van de eigen administratie van DXBS B.V. (7 jaar)
• Het bewaren en beschikbaar houden van gegevens in opdracht van de verwerkingsverantwoordelijke, voor zover Stadsie B.V. of Smakelijk B.V. daartoe verplicht is onder de Wet op het financieel toezicht (Wft) of de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft)

Gerechtvaardigd belang:

• Beveiliging van de Cardflow-app, het dashboard en onderliggende systemen
• Voorkoming en bestrijding van fraude, misbruik en strafbare feiten
• Verbeteren en doorontwikkelen van de software op basis van gebruikspatronen en logging

Er vindt geen geautomatiseerde besluitvorming met rechtsgevolgen plaats, anders dan eenvoudige automatische verwerkingen in het kader van fraudedetectie waarvan de uitkomst altijd door een medewerker wordt beoordeeld.

6. Met wie worden gegevens gedeeld?

DXBS B.V. deelt persoonsgegevens uitsluitend met derden voor zover dit noodzakelijk is voor de werking van de software, of indien dit wettelijk verplicht is. Met partijen die in opdracht van DXBS persoonsgegevens verwerken, sluit DXBS verwerkersovereenkomsten.

Categorieën ontvangers:

• Stadsie B.V. en Smakelijk B.V. als verwerkingsverantwoordelijken, voor zover de gegevens betrekking hebben op hun eigen aangesloten bedrijven
• Hostingdiensten en cloudopslag voor de werking van de Cardflow-app, het dashboard en onze systemen
• E-mailproviders voor het versturen van transactionele en zakelijke berichten
• CRM-, support- en boekhoudsystemen voor het beheer van bedrijfsrelaties en administratie
• Bankinstellingen en betaaldienstverleners voor het uitvoeren van uitbetalingen
• Stichting Derdengelden Cardflow voor het beheer van tegoeden behorend bij uitgegeven Cadeaukaarten
• Accountant en juridisch adviseurs in het kader van bedrijfsvoering en compliance
• Toezichthouders en autoriteiten waaronder De Nederlandsche Bank, de Belastingdienst en de Autoriteit Persoonsgegevens, voor zover wettelijk vereist

Uw gegevens worden niet verstrekt aan derden voor commerciële doeleinden van die derden.

Bij een eventuele overname, fusie of overdracht van bedrijfsactiviteiten van DXBS B.V., Stadsie B.V. of Smakelijk B.V. kunnen persoonsgegevens onderdeel uitmaken van de over te dragen activa. Betrokkenen worden hierover geïnformeerd indien dit voor hen relevant is.

7. Doorgifte buiten de Europese Economische Ruimte

DXBS B.V. streeft ernaar persoonsgegevens uitsluitend binnen de Europese Economische Ruimte (EER) te verwerken. Indien gegevens worden doorgegeven aan een land buiten de EER, gebeurt dit uitsluitend op basis van passende waarborgen, zoals een adequaatheidsbesluit van de Europese Commissie of de door de Europese Commissie vastgestelde modelcontractbepalingen.

Het kan voorkomen dat enkele ingeschakelde dienstverleners (bijvoorbeeld voor hosting of e-mail) gegevens deels buiten de EER verwerken. Met deze partijen zijn passende contractuele en technische waarborgen getroffen.

8. Hoe lang worden uw gegevens bewaard?

DXBS B.V. bewaart persoonsgegevens niet langer dan noodzakelijk voor de doelen waarvoor deze zijn verzameld, of zoveel langer als wettelijk vereist:

Na afloop van de bewaartermijn worden gegevens vernietigd of geanonimiseerd.

9. Hoe worden uw gegevens beveiligd?

DXBS B.V. neemt passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, misbruik, onbevoegde toegang, ongewenste openbaarmaking en ongeoorloofde wijziging. Deze maatregelen omvatten onder meer beveiligde verbindingen (TLS/HTTPS), tweefactor-authenticatie (2FA) voor toegang tot productiesystemen en optioneel voor accounts van aangesloten bedrijven, versleutelde opslag van wachtwoorden, toegangsbeheer, periodieke updates van software en bewustwording bij medewerkers.

Mocht er onverhoopt een datalek optreden, dan informeert DXBS B.V. de betrokken verwerkingsverantwoordelijke (Stadsie B.V. of Smakelijk B.V.) onverwijld. De verwerkingsverantwoordelijke informeert vervolgens de betrokkenen en de Autoriteit Persoonsgegevens conform de wettelijke verplichtingen.

10. Uw rechten

U heeft op grond van de AVG de volgende rechten:

• Recht op inzage: u kunt opvragen welke persoonsgegevens worden verwerkt
• Recht op rectificatie: u kunt onjuiste gegevens laten corrigeren
• Recht op verwijdering: u kunt onder bepaalde omstandigheden vragen om verwijdering van uw gegevens
• Recht op beperking: u kunt verzoeken om beperking van de verwerking
• Recht op gegevensoverdraagbaarheid: u kunt vragen om uw gegevens in een gestructureerd, gangbaar en machineleesbaar formaat over te dragen
• Recht van bezwaar: u kunt bezwaar maken tegen verwerking op grond van gerechtvaardigd belang
• Recht om toestemming in te trekken: indien gegevens worden verwerkt op basis van uw toestemming, kunt u deze op elk moment intrekken zonder dat dit de rechtmatigheid van eerdere verwerkingen aantast

Omdat DXBS B.V. optreedt als verwerker, oefent u uw rechten in beginsel uit bij de verwerkingsverantwoordelijke:

• Stadsie-bedrijven: richt uw verzoek aan [email protected]
• Smakelijk-bedrijven: richt uw verzoek aan [email protected]

Verzoeken die rechtstreeks bij DXBS B.V. binnenkomen, worden zo spoedig mogelijk doorgeleid naar de juiste verwerkingsverantwoordelijke.

U heeft daarnaast het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

11. Wijzigingen in deze privacyverklaring

Deze privacyverklaring kan van tijd tot tijd worden aangepast, bijvoorbeeld bij wijzigingen in de software, dienstverlening of wet- en regelgeving. De actuele versie is altijd te raadplegen op cardflow.nl/privacyverklaring. Wij raden u aan deze pagina regelmatig te bekijken.

Bij wezenlijke wijzigingen die u rechtstreeks raken, informeren wij u via e-mail of via een duidelijke melding in de Cardflow-app of het dashboard.

12. Contact

Heeft u vragen over deze privacyverklaring of over de verwerking van uw persoonsgegevens via de Cardflow-software? Neem dan contact op via:

E-mail: [email protected] of [email protected]
Post: DXBS B.V., Chasséveld 3, 4811 DH Breda

Voor inhoudelijke privacyvragen verwijzen wij u naar de verwerkingsverantwoordelijke van het platform waarop u bent aangesloten.

Versie: juni 2026