Privacybeleid

Kort samengevat. Deze website is een etalage met één optioneel formulier: een reserveringsaanvraag. Er is geen nieuwsbrief, geen tracking-cookie, geen analytics en geen advertentiepixel. De meeste bezoekers nemen contact op door op een WhatsApp-, telefoon- of e-mail-link te klikken: daarna neemt de bijbehorende app op uw toestel het over en verloopt het gesprek buiten deze website. Als u dat liever heeft, kunt u in plaats daarvan het reserveringsaanvraagformulier invullen: het vraagt alleen wat nodig is om een aanvraag te beantwoorden, wordt pas verzonden nadat u een toestemmingsvinkje heeft aangezet, en wordt opgeslagen in een kleine database op onze eigen server — geen formulierdienst van derden. Zie sectie 3 hieronder voor de details.

Toepassingsgebied

Dit Privacybeleid betreft:

• de brochurewebsite Buggy Trip Marrakech op buggytripmarrakech.com (Nederlandse, Franse, Engelse en Spaanse versies); en
• de interne Buggy Trip Marrakech-applicatie, die door SARL Buggy Trip Rak wordt gebruikt om eigen promotionele inhoud (korte video's, foto's, bijschriften) te publiceren op de eigen officiële accounts op TikTok, Instagram, Facebook, YouTube en Pinterest, via de openbare API's van die platforms. Deze applicatie:
  • wordt niet aan het publiek verspreid en is niet downloadbaar;
  • laat geen externe gebruikers inloggen — alleen de website-exploitant heeft toegang;
  • leest geen privéberichten, reacties of volgersgegevens: zij publiceert uitsluitend op de officiële accounts van het bedrijf.

1. Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG, EU 2016/679) en de Marokkaanse wet nr. 09-08 is:

SARL Buggy Trip Rak
Société à Responsabilité Limitée (SARL)
Statutaire zetel: N°205 Saada 6, Mhamid, Marrakech, Maroc
Handelsregister (RC) nr. 96159
I.C.E.: 002239620000060
Telefoon: +212 7 07 01 44 44
Privacycontact: [email protected]

2. Wat gebeurt er op deze website

Wanneer u een pagina op buggytripmarrakech.com bekijkt, zien onze reverse proxy (Cloudflare) en onze webserver (nginx) de technische gegevens die bij elk bezoek aan een website worden verwerkt:

• uw IP-adres;
• de user-agent-string die uw browser verstuurt;
• de opgevraagde URL en de HTTP-statuscode;
• de datum en tijd van het verzoek.

Deze gegevens worden verwerkt op basis van ons gerechtvaardigd belang (art. 6, lid 1, onder f AVG) om de site online te houden en tegen misbruik te beschermen. De toegangslogs van de server zijn door de containerruntime in omvang beperkt tot in totaal ongeveer 30 megabyte; zodra die limiet is bereikt, worden de oudste regels overschreven. De logs worden niet geraadpleegd, geëxporteerd of gekoppeld aan een andere gegevensbron die wij bijhouden.

Wij gebruiken geen enkele reclame-, analyse- of trackingcookie. Er wordt geen analytics-tool van derden geladen (Google Analytics, Meta Pixel, Plausible of vergelijkbaar). Webfonts worden zelf gehost vanaf ons eigen domein; er gaat geen verzoek naar Google Fonts, Adobe Fonts of een andere font-CDN.

3. Reserveringsaanvraagformulier

De site biedt één optioneel formulier aan, op /book/ (en de gelokaliseerde paden /fr/reserver/, /en/book/, /es/reservar/, /nl/boeken/). Het verzenden ervan is volledig uw eigen keuze — de WhatsApp-, telefoon- en e-maillinks blijven beschikbaar zoals voorheen.

Het formulier verzamelt alleen wat nodig is om een reserveringsaanvraag te beantwoorden: uw e-mailadres (verplicht), een optionele naam (een pseudoniem mag) en een optioneel telefoonnummer, één of meer voertuigen (elk met een aantal) en één duur van 1 u / 2 u, de datum, het aantal deelnemers en een optionele starttijd en bericht. Een indicatief totaal in dirham wordt in uw browser berekend en alleen ter referentie voor de exploitant bewaard.

• Rechtsgrond: uw toestemming (art. 6, lid 1, onder a AVG). Het formulier kan niet worden verzonden zonder dat u actief een vakje aanvinkt dat naar dit beleid verwijst. Het tijdstip van toestemming en de geldende beleidsversie worden bij het record bewaard als bewijs in de zin van art. 7, lid 1.
• Doel: uitsluitend om bij u terug te komen over de gevraagde excursie. Uw gegevens worden niet gebruikt voor marketing, profilering of geautomatiseerde besluitvorming, en worden niet verkocht of gedeeld.
• Waar het wordt opgeslagen: een kleine SQLite-database op onze eigen Hostinger-VPS. Er is geen formulierdienst van derden en geen nieuwe (sub)verwerker — alleen de in sectie 5 reeds genoemde dienstverleners zijn betrokken. Het databasebestand is alleen leesbaar door de systeemgebruiker van de applicatie en de server is met een firewall afgeschermd tot enkel Cloudflare.
• Notificatie-e-mail: elke verzending stuurt ook een melding naar onze eigen Hostinger-mailbox zodat de aanvraag niet wordt gemist — dit blijft binnen Hostinger.
• Bewaring: records worden alleen bewaard zolang nodig is om uw aanvraag en een eventuele reservering af te handelen, en in geen geval langer dan 12 maanden, waarna ze worden verwijderd.
• Toestemming intrekken: u kunt uw toestemming intrekken of om verwijdering verzoeken op elk moment door te schrijven naar het adres in sectie 7; intrekking heeft geen gevolgen voor de verwerking die daarvoor heeft plaatsgevonden.

4. Externe links die u kunt aanklikken

De site bevat drie soorten uitgaande links. Het zijn gewone hyperlinks: er wordt niets geladen vanaf deze derden zolang u niet klikt. Vanaf dat moment verlaat u onze site en bevindt u zich op die van hen.

• WhatsApp (wa.me/…) — beheerd door Meta Platforms Ireland Ltd. Bij een klik opent een gesprek in uw WhatsApp-app. De inhoud van het gesprek, uw telefoonnummer en de gegevens die WhatsApp gebruikelijk vastlegt, worden dan door Meta verwerkt volgens het privacybeleid van WhatsApp.
• Google Maps (link naar het bedrijfsprofiel) — wij sluiten geen kaart in; de link opent Google Maps in een nieuw tabblad wanneer u klikt. Vanaf dat moment gelden de voorwaarden van Google.
• Instagram (link in de voettekst) — opent het openbare Instagram-profiel. Zodra u op instagram.com bent, geldt het privacybeleid van Meta.

5. Dienstverleners (verwerkers)

De onderstaande dienstverleners verwerken gegevens uitsluitend voor onze rekening, om de site online te houden. Geen van hen ontvangt gegevens voor eigen doeleinden.

• Hostinger International Ltd. (Cyprus / Litouwen) — VPS-hosting en zakelijke e-mail. Datacenters in de Europese Unie. Verwerkersovereenkomst (art. 28 AVG) ondertekend.
• Cloudflare, Inc. (VS, met EU-edge) — reverse proxy, TLS-terminatie, DDoS-bescherming. De standaard verwerkersovereenkomst van Cloudflare en de modelcontractbepalingen (SCC's) van de Europese Commissie zijn van toepassing op elke doorgifte van technische gegevens buiten de EU/EER.
• Let's Encrypt / ISRG (VS) — geeft het TLS-certificaat uit dat voor HTTPS wordt gebruikt. Er worden geen persoonsgegevens van bezoekers naar ISRG verzonden.

6. Doorgifte buiten de EU/EER

Alleen de technische gegevens die door Cloudflare op de edge worden verwerkt, kunnen de EU/EER verlaten. Dergelijke doorgiften worden beschermd door de modelcontractbepalingen van de Europese Commissie en, waar van toepassing, door het EU–US Data Privacy Framework. Een kopie van de toepasselijke bepalingen is op aanvraag beschikbaar op het adres in sectie 10.

7. Uw rechten

Hoewel we vrijwel niets over u bewaren, heeft u de rechten bedoeld in de artikelen 15 tot 22 van de AVG en in de Marokkaanse wet nr. 09-08, met name:

• recht van inzage (art. 15);
• recht op rectificatie (art. 16);
• recht op gegevenswissing (art. 17);
• recht op beperking van de verwerking (art. 18);
• recht van bezwaar (art. 21);
• recht om een klacht in te dienen bij een toezichthoudende autoriteit.

Om een recht uit te oefenen, schrijft u naar [email protected]. Wij antwoorden binnen een maand. Bij redelijke twijfel over uw identiteit kunnen wij om bewijs van identiteit vragen.

8. Klachten

Onverminderd andere rechtsmiddelen heeft u het recht een klacht in te dienen:

• bij de Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP) in Marokko — www.cndp.ma;
• bij de toezichthoudende autoriteit van uw EU/EER-lidstaat — lijst gepubliceerd door het Europees Comité voor Gegevensbescherming op edpb.europa.eu.

9. Beveiliging

• Versleuteling in transit: TLS 1.2/1.3 op alle pagina's.
• Oorspronkelijke server alleen via Cloudflare bereikbaar; directe toegang is op firewallniveau geblokkeerd.
• Administratieve toegang met sleutel, via een privé mesh-VPN, niet blootgesteld aan het publieke internet.
• De enige opslag van persoonsgegevens is de SQLite-database met reserveringsaanvragen (sectie 3): die staat op onze eigen VPS, het bestand is alleen leesbaar door de systeemgebruiker zonder verhoogde rechten van de applicatie, en de uitgaande netwerktoegang van de container is door een firewall beperkt. Er wordt geen kopie naar derden gestuurd.

10. Contact en wijzigingen

Voor vragen over dit beleid of over gegevens die u betreffen, schrijft u naar [email protected].

Wij actualiseren dit beleid als onze praktijk verandert. De tekst die u op deze pagina ziet, is steeds de geldende versie; inhoudelijke wijzigingen blijken uit een nieuw versienummer (nu 2.5) en uit de geactualiseerde datum hierboven.