1. Over dit Beleid

1.1 Dit Privacybeleid (het "Beleid") beschrijft hoe wij (zoals hieronder gedefinieerd) alle informatie verzamelen, delen en gebruiken die, alleen gebruikt of in combinatie met andere informatie, betrekking heeft op jou ("Persoonsgegevens") wanneer jij ("jij" en "jouw") de Tricount website ("Website") of Tricount applicaties ("Applicatie/Applicaties") gebruikt.

1.2 Dit Beleid beschrijft ook de rechten die je hebt met betrekking tot de Persoonsgegevens die we over jou verwerken, evenals hoe je deze kunt uitoefenen.

1.3.1 De verwerkingsverantwoordelijke voor de verwerking van je persoonlijke gegevens is bunq B.V. (“bunq”), ingeschreven bij de Nederlandse Kamer van Koophandel onder registratienummer 54992060.1.3.2 bunq B.V. ("bunq") bezit, ontwikkelt en beheert de Tricount applicatie en website. bunq is gevestigd op Naritaweg 131-133, 1043 BS Amsterdam (Nederland) en is geregistreerd bij de Kamer van Koophandel (KvK) onder nummer 54992060, en het btw-nummer is NL851519945B01.

1.4 Voor de doeleinden van dit Beleid is bunq (“wij”, “ons”, “onze”) de verwerkingsverantwoordelijke van jouw persoonlijke gegevens als eigenaar van Tricount.

1.5 Dit Beleid beschrijft de hoge standaarden die we toepassen om jouw Persoonlijke Informatie met de grootste zorg te beschermen. Privacy respecteren is een van onze kernwaarden. Om dit te bereiken, hebben we een team dat zich richt op de bescherming van persoonsgegevens, waaronder een Functionaris voor Gegevensbescherming die is geregistreerd bij de "Autoriteit Persoonsgegevens" (de Nederlandse gegevensbeschermingsautoriteit), een beveiligingsteam en een juridisch team.

1.6 Als verwerkingsverantwoordelijken zijn we verantwoordelijk voor het ervoor zorgen dat de verwerking van Persoonsgegevens voldoet aan de toepasselijke gegevensbeschermingswetgeving, in het bijzonder de Algemene Verordening Gegevensbescherming. Neem de tijd om dit Beleid aandachtig te lezen. Als je vragen of opmerkingen hebt, neem dan contact op met het Tricount Privacy Team via e-mail op privacy@tricount.com of per post naar Naritaweg 131-133, 1043 BS Amsterdam (Nederland).

2. Welke Persoonsgegevens worden verzameld en waarom?

2.1 Het type Persoonsgegevens dat we verzamelen, en de redenen waarvoor we het verwerken, omvatten:

| Why do we collect it?                                                                                                                                  | Type of Personal Data                                                                                     | Legal basis                                                                                 |
|---------------------------------------------------------------------------------------------------------------------------------------------------------|-----------------------------------------------------------------------------------------------------------|--------------------------------------------------------------------------------------------|
| Managing people with a user account (storing personal data, making data available to mobile applications via APIs, triggering APIs from third-party partners required for given functionalities (e.g. connection to social networks, initiating payments, etc.)). | Financial characteristics, identification data, electronic identification data                           | Contractual necessity                                                                      |
| Update and validation of the user's personal data                                                                                                      | Financial characteristics, identification data, electronic identification data                           | Contractual necessity                                                                      |
| Processing user requests through an email address (client support by email)                                                                            | Identification data, electronic identification data                                                       | Consent of the data subject                                                                |
| Display of advertising and associated services (monitoring, fraud detection, etc.)                                                                     | Identification data, electronic identification data                                                       | Legitimate interest of the data controller or a third party                               |
| Display of personalised advertising and associated services (collection of consent, monitoring, fraud detection, etc.)                                 | Identification data, electronic identification data, location data, Internet connection tracking and usage data | Consent of the data subject                                                                |
| Integration with partner financial services                                                                                                            | Financial characteristics, identification data, electronic identification data                           | Contractual necessity                                                                      |
| Creation of a tricount, addition of expenses and comments accessible to certain users, calculation of the balance of accounts, export of accounts, ability to analyse the budget and expenses of the group | Financial characteristics, identification data, lifestyle data, leisure activities and interests          | Contractual necessity                                                                      |
| Sending creation and invitation emails to tricounts                                                                                                    | Identification data                                                                                       | Legitimate interest of the data controller or a third party                               |
| Sending "Push" notifications                                                                                                                           | Identification data                                                                                       | Consent of the data subject                                                                |
| Sending emails promoting Tricount and bunq services and offers                                                                                         | Identification data                                                                                       | Legitimate interest of the controller or a third party                                    |
| Statistical analysis of use, growth, etc.                                                                                                              | Electronic identification data, location data, tracking and use data of the Internet connection           | Legitimate interest of the data controller, or consent of the data subject when these analyses are based on the placement of analytical Cookies. |
| Add card payments (and other payments) from bunq as expenses in a tricount                                                                             | Financial characteristics, identification data, electronic identification data                           | Consent of the data subject                                                                |
| Add cards from your bunq app to perform payments within Tricount                                                                                       | Card holder's name, Card number (encrypted with phone face ID scan), expiration date and CVC number       | Consent of the data subject                                                                |
| Recording of actions carried out by users in order to understand the use of the application and to solve any problems.                                 | Electronic identification data, location data, tracking and use data of the Internet connection           | Legitimate interest of the data controller or a third party                               |
| Collection of consent for the display of personalized advertising (including retention of documentation relating to this consent)                       | Identification data, electronic identification data                                                       | Legal obligation                                                                           |
| Identify users and the services they have subscribed to in order to identify sales and marketing opportunities                                         | Identification data, electronic identification data                                                       | Legitimate interest of the controller or a third party                                    |
| Pictures uploaded by users to their Tricounts by user’s initiative                                                                                     | (Potentially) pictures containing the user’s appearance                                                   | Legitimate Interest

2.2 We kunnen ook automatisch bepaalde informatie van je apparaat verzamelen. Meer specifiek kan de informatie die we automatisch verzamelen, informatie omvatten over je IP-adres, apparaattype, unieke identificatienummers, browsertype, brede geografische locatie (bijvoorbeeld landelijk of stedelijk), advertentie-identificatie en andere technische informatie. We kunnen ook informatie verzamelen over hoe je apparaat met onze Applicatie interacted (weergaven van schermen of klikken op de Applicatie of op de website). Het verzamelen van deze informatie maakt het mogelijk om bij te houden hoe de Applicatie wordt gebruikt en eventuele bugs te identificeren en te corrigeren. Wanneer het wordt vergeleken met andere bronnen, stelt deze verzameling ons ook in staat om te begrijpen wie zijn gebruikers zijn (waar zij zich bevinden, hun leeftijd, geslacht, taal, etc.) en zo te bepalen hoe de Applicatie en advertentie-inhoud die voor hen interessant kan zijn, ontwikkeld moeten worden.

We gebruiken deze informatie voor interne analyse doeleinden, evenals om de kwaliteit en relevantie van onze Applicatie voor onze bezoekers te verbeteren. Een deel van deze informatie kan worden verzameld met behulp van cookies en vergelijkbare trackingtechnologieën, zoals verder uitgelegd in ons Cookiebeleid dat hier beschikbaar is.

Versie 8 van de Tricount zal geen algemene of gepersonaliseerde advertentie-inhoud bevatten en voor deze doeleinden zal geen persoonlijke data in deze versie van de app worden verzameld.

2.3 Af en toe kunnen we Persoonsgegevens over jou ontvangen van externe bronnen (inclusief geïntegreerde diensten voor teruggaven), maar alleen waar we hebben geverifieerd dat dergelijke derden jouw toestemming hebben of wettelijk gemachtigd of verplicht zijn om je Persoonlijke Informatie aan ons bekend te maken. Het type Persoonsgegevens dat we van derden verzamelen, omvat bevestigingen van de betaling gemaakt en we gebruiken de Persoonlijke Informatie die we van deze derden ontvangen om de nauwkeurigheid van de informatie die we over jou hebben, te waarborgen.

2.4 In het algemeen zullen we de Persoonsgegevens die we van jou verzamelen, alleen gebruiken voor de doeleinden die in dit Beleid zijn beschreven of voor die welke we je uitleggen bij het verzamelen van de Persoonsgegevens. We kunnen echter je Persoonsgegevens ook gebruiken voor andere doeleinden die niet onverenigbaar zijn met de doeleinden die we je hebben gecommuniceerd (zoals verwerking voor archiveringsdoeleinden in het algemeen belang, wetenschappelijke of historische onderzoeksdoeleinden of statistische doeleinden) en, mits ze zijn toegestaan door toepasselijke gegevensbeschermingswetgeving.

3. Met wie delen we jouw Persoonsgegevens?

3.1 We kunnen jouw Persoonsgegevens overdragen aan de volgende categorieën ontvangers:

• aan onze groepsmaatschappijen voor doeleinden die in overeenstemming zijn met dit Privacyprotocol. We nemen voorzorgsmaatregelen om toegang tot Persoonsgegevens alleen mogelijk te maken voor die medewerkers die een legitiem zakelijk belang hebben voor toegang en met een contractuele beperking van het gebruik van de Persoonsgegevens voor enig ander doel.

• aan onze externe leveranciers, dienstverleners en partners die ons een gegevensverwerkingsdienst bieden, of die Persoonsgegevens verwerken voor de doeleinden die in dit Beleid worden beschreven, of die aan je worden meegedeeld bij het verzamelen van jouw Persoonsgegevens. Dit kan communicatie omvatten aan externe leveranciers en andere dienstverleners die we gebruiken in verband met de diensten die zij ons leveren, inclusief om ons te ondersteunen op gebieden zoals IT-platformbeheer of ondersteunende diensten, infrastructuur of applicatiediensten, marketing en data-analyse.

• aan elke relevante wetshandhavingsinstantie, regelgever, overheidsinstantie, rechtbank of andere derde partij wanneer wij geloven dat openbaarmaking noodzakelijk is (i) onder toepasselijke wetten of reguleringen, (ii) om onze rechten vast te stellen of te verdedigen, of (iii) om jouw vitale belangen of die van een ander persoon te beschermen.

• aan onze auditors, adviseurs, juridische vertegenwoordigers en vergelijkbare agenten in verband met de adviesdiensten die zij ons aanbieden voor legitieme zakelijke doeleinden en onder voorbehoud van een contractuele beperking van het gebruik van de Persoonsgegevens voor andere doeleinden.

• aan een potentiële koper/investeerder/kredietgever (en diens agenten en adviseurs), in verband met een voorgestelde kapitaalverhoging, aankoop, fusie of overname van een deel van ons bedrijf, mits wij de koper informeren dat ze jouw Persoonsgegevens alleen mogen gebruiken voor de doeleinden die in dit Beleid zijn beschreven.

• aan elke andere persoon zolang jij je voorafgaande toestemming voor de bekendmaking hebt gegeven.

4. Hoe beschermen we jouw privacy

4.1 In overeenstemming met dit Beleid zullen we Persoonsgegevens als volgt verwerken:

• Loyaliteit: We zullen Persoonsgegevens eerlijk verwerken. Dit betekent dat wij transparant zijn over hoe we Persoonsgegevens verwerken en deze verwerken in overeenstemming met de toepasselijke wetgeving.

• Doelbeperking: We zullen Persoonsgegevens verwerken voor specifieke en rechtmatige doeleinden en zullen ze niet verwerken op een manier die niet overeenstemt met die doeleinden.

• Evenredigheid: We zullen Persoonsgegevens verwerken op een manier die evenredig is aan de doeleinden waarvoor de verwerking is bedoeld.

• Dataprecisie: We nemen passende maatregelen om ervoor te zorgen dat de Persoonsgegevens die we bezitten nauwkeurig, volledig en, indien nodig, actueel gehouden worden. Het is echter ook jouw verantwoordelijkheid om ervoor te zorgen dat jouw Persoonsgegevens zo nauwkeurig, volledig en up-to-date mogelijk zijn door Tricount onmiddellijk op de hoogte te stellen van eventuele veranderingen of fouten.

• Gegevensbeveiliging: We gebruiken passende technische en organisatorische maatregelen om de Persoonsgegevens te beschermen die we inzamelen en verwerken over jou. De maatregelen die we gebruiken zijn ontworpen om een beveiligingsniveau te bieden dat past bij het risico van het verwerken van jouw Persoonsgegevens. We hebben, direct of indirect via onze dienstverleners, gebruik gemaakt van de volgende beveiligingsmaatregelen: beveiliging van systeemtoegang, preventie, detectie en actiemaatregelen tegen fysieke gevaren (zoals brand), back-upsystemen, netwerkbeveiliging, logische toegangsbeveiliging, lijst van geautoriseerd personeel en authenticatiesysteem.

• Gegevensverwerkers: We kunnen derden inschakelen om Persoonsgegevens te verwerken voor en namens Tricount. We eisen van deze gegevensverwerkers dat zij de Persoonsgegevens strikt volgens onze instructies verwerken en passende maatregelen nemen om ervoor te zorgen dat Persoonsgegevens beschermd blijven.

• Internationale gegevensoverdrachten: Jouw Persoonsgegevens kunnen worden overgedragen en verwerkt in landen die niet het land zijn waarin je woont. Deze landen kunnen gegevensbeschermingswetten hebben die verschillen van de wetten van je eigen land (en in sommige gevallen mogelijk niet zo beschermend zijn).
  We hebben echter passende waarborgen getroffen om ervoor te zorgen dat je Persoonsgegevens beschermd blijven in overeenstemming met dit Beleid. Zij omvatten de implementatie van een gegevensovereenkomst voor gegevensoverdracht op basis van de Standaard Contractuele Clausules van de Europese Commissie voor de overdracht van Persoonsgegevens met de derde partijen die wij inschakelen om onze diensten te leveren, die eisen dat alle betrokken partijen bij de dienst die door Tricount wordt geleverd de Persoonsgegevens die zij verwerken van de EER in overeenstemming met de gegevensbeschermingswetgeving van de Europese Unie beschermen.
  Onze overeenkomst voor gegevensoverdracht kan op verzoek worden verstrekt. We hebben vergelijkbare passende waarborgen getroffen met onze externe dienstverleners en onze partners en andere details kunnen op verzoek worden verstrekt.

• Gegevensbewaring: We bewaren de Persoonsgegevens die we van jou verzamelen zolang we een legitiem zakelijk belang hebben (bijvoorbeeld om jou een dienst te verlenen die je hebt aangevraagd of om te voldoen aan toepasselijke wettelijke, fiscale of boekhoudkundige vereisten).
  Wanneer we niet langer een legitiem zakelijk belang hebben om jouw Persoonsgegevens te verwerken, verwijderen we deze of maken we ze anoniem, of indien dit niet mogelijk is (bijvoorbeeld wanneer je Persoonsgegevens zijn opgeslagen in back-uparchieven), slaan we ze veilig op en isoleren we ze van verdere verwerking totdat verwijdering mogelijk is.

5. Jouw gegevensbeschermingsrechten

5.1 Je hebt de volgende gegevensbeschermingsrechten:

• Als je jouw Persoonsgegevens wilt toegang geven, corrigeren of bijwerken, kun je dit op elk moment doen door via te mailen naar: privacy@tricount.com.

• Met betrekking tot de verwijdering van jouw Persoonsgegevens, kun je dit ook op elk moment doen door contact met ons op te nemen via: privacy@tricount.com. Houd er rekening mee dat de gegevens van de tricounts zelf (uitgaven, enz.) in deze context niet zullen worden verwijderd. Immers, aangezien een tricount een rekeningblad is dat tussen meerdere gebruikers wordt gedeeld, moeten we deze gegevens bewaren omdat ze nog steeds voordelig kunnen zijn voor andere gebruikers. Bij het verzoek voor de verwijdering van je Persoonsgegevens zullen jouw identificatoren binnen de tricounts waarin je deelneemt gepseudonimiseerd worden.

• Bovendien kun je onder bepaalde omstandigheden bezwaar maken tegen de verwerking van jouw Persoonsgegevens, ons vragen om de verwerking te beperken van jouw Persoonsgegevens of de overdraagbaarheid vragen van jouw Persoonsgegevens. Nogmaals, je kunt deze rechten uitoefenen door contact met ons op te nemen via: privacy@tricount.com.

• Als we jouw Persoonsgegevens hebben verzameld en verwerkt met jouw toestemming, kun je jouw toestemming op elk moment intrekken. De intrekking van je toestemming beïnvloedt niet de rechtmatigheid van de verwerking die we hebben uitgevoerd vóór een dergelijke intrekking en heeft geen invloed op enige verwerking van je Persoonsgegevens uitgevoerd op basis van wettelijke gronden anders dan toestemming.

• Als je klachten of zorgen hebt over hoe we jouw Persoonsgegevens verwerken, zullen we ons inspannen om deze zorgen aan te pakken. Als je meent dat we je klacht of zorg niet voldoende hebben behandeld, heb je het recht om een klacht in te dienen bij een gegevensbeschermingsautoriteit over onze verzameling en gebruik van je Persoonsgegevens. Voor meer informatie, neem contact op met je lokale gegevensbeschermingsautoriteit. (Contactgegevens voor gegevensbeschermingsautoriteiten in de Europese Economische Ruimte zijn beschikbaar op hier.)

5.2 We reageren op alle verzoeken die we ontvangen van betrokkenen die hun rechten met betrekking tot de bescherming van hun persoonsgegevens willen uitoefenen in overeenstemming met de toepasselijke gegevensbeschermingswet. Koppelingen naar andere Websites

De Website en de Applicaties kunnen hyperlinks of knoppen bevatten die verwijzen naar Websites en/of applicaties die eigendom zijn van en worden beheerd door derden. Deze Websites/Applicaties hebben hun eigen privacybeleid en we raden je aan deze te bekijken. Ze zullen het gebruik regelen van de Persoonsgegevens die je verstrekt bij het bezoeken van deze Websites.

We zijn niet verantwoordelijk voor de privacypraktijken van deze Websites van derden en je gebruik van deze websites is op eigen risico.

6. Bijwerken van dit Beleid

6.1 We kunnen dit Beleid van tijd tot tijd bijwerken als er veranderingen zijn in juridische, technische of commerciële ontwikkelingen. Wanneer we ons Beleid bijwerken, zullen we passende stappen ondernemen om je te informeren, gegeven de betekenis van de wijzigingen die we zullen aanbrengen. We zullen je toestemming verkrijgen voor materiële wijzigingen aan dit Beleid indien vereist door de toepasselijke gegevensbeschermingswet.

6.2 Je kunt de datum van de laatste update van dit Beleid zien door te verwijzen naar de datum van de "laatste update" die bovenaan dit Beleid is vermeld.