Privacyverklaring

VERSIE 02-11-2026

Wie is verantwoordelijk

CIRQIT · KvK 99245132 · btw NL005377830B81 · Zanzibarstraat 36, 1339 RS Almere · info@cirqit.nl. Wij zijn de verwerkingsverantwoordelijke.

Welke gegevens, waarom en hoe lang

Wachtlijst (naam, e-mailadres, auto optioneel, het type event waar je op de pagina keek, moment en tekst van je toestemming). Doel: je mailen als er een nieuw event is. Grondslag: je toestemming. Bewaartermijn: tot je je afmeldt, of 24 maanden na je inschrijving of ons laatste contact met je.
Houd me op de hoogte (e-mailadres, onderwerp, moment en tekst van je toestemming; je bevestigt je adres via een mail). Doel: je mailen als er nieuwe onderdelen voor dat onderwerp zijn. Grondslag: je toestemming. Bewaartermijn: bevestigde adressen tot je je afmeldt; een niet bevestigd adres wissen we na 7 dagen.
Aanmelding voor een event (naam, e-mailadres, auto). Doel: je aanmelding beoordelen, je toelaten en de deelname regelen. Grondslag: uitvoering van de overeenkomst. Bewaartermijn: 12 maanden na de datum van het event; daarna wissen we de aanmelding. Wat je betaalde bewaren we apart (zie Betalingen).
Deelnemerseisen en vrijwaring (alleen bij events met een risicoverklaring: trackday, rijtraining, rit, tour): moment en tekstversie van je akkoord op de deelnemerseisen (geldig rijbewijs, kenteken, WA-verzekering) en van je vrijwaringsverklaring, met de naam zoals je die typte; bij trackdays ook of je een circuitverzekering hebt of weet dat je polis het circuit niet dekt. Doel: aantonen dat je de risico’s en regels kende (gerechtvaardigd belang). Bewaartermijn: zoals de aanmelding (12 maanden na het event). Een verklaring op papier bij de registratie ter plaatse bewaren we ook 12 maanden na het event en vernietigen we daarna; bij een incident of claim bewaren we haar tot die is afgehandeld.
Verzekeraar en polisnummer (alleen trackdays, niet verplicht): ter controle bij de registratie. Grondslag: je toestemming (je vult het zelf in). Bewaartermijn: tot 30 dagen na het event; daarna gewist.
Foto-toestemming (apart vakje bij aanmelden, staat standaard uit): moment en tekstversie van je toestemming, alleen als je het vakje aanzet. Doel: herkenbare foto’s en video’s van jou en je auto gebruiken in marketing. Grondslag: je toestemming; je kunt die altijd intrekken. Zonder toestemming gebruiken we alleen groepsbeelden of beelden waarop je niet herkenbaar bent. Bewaartermijn: zoals de aanmelding (12 maanden na het event); ruwe, niet-gepubliceerde beelden bewaren we 12 maanden na het event; gepubliceerde beelden tot je je toestemming intrekt, hoogstens 24 maanden na het event, daarna verwijderen we ze of vragen we opnieuw toestemming.
Betalingen (naam, e-mailadres, bedrag, betaalmoment). De betaling verloopt via Stripe; wij zien en bewaren geen kaart- of rekeninggegevens. Grondslag: wettelijke verplichting (administratie). Bewaartermijn: 7 jaar (fiscale bewaarplicht).
Bestelling van onderdelen (naam, e-mailadres, afleveradres, bestelde onderdelen, bedrag). Doel: je bestelling leveren en administreren. Grondslag: uitvoering van de overeenkomst en wettelijke verplichting. Bewaartermijn: bestelling en factuurgegevens 7 jaar; afleveradres 12 maanden. Een gestart maar niet betaalde bestelling bevat geen persoonsgegevens en wordt na 21 dagen gewist.
Herroeping (naam, ordernummer, e-mailadres, reden optioneel, tijdstip). Doel: je herroeping afhandelen en kunnen aantonen. Grondslag: wettelijke verplichting en gerechtvaardigd belang. Bewaartermijn: 7 jaar, samen met de bestelling. Hoort een herroeping bij geen enkele bestelling (bijvoorbeeld een typefout), dan wissen we die na 3 maanden.
Kentekencheck. Je kenteken gaat naar onze server, die het opvraagt bij de openbare gegevens van de RDW. We slaan het kenteken niet op. In je browser onthouden we het kenteken alleen zolang het tabblad openstaat.
Beveiliging. Om misbruik te beperken tellen we verzoeken per gehasht IP-adres, een paar minuten tot enkele uren. Het IP-adres zelf bewaren we niet. Grondslag: gerechtvaardigd belang.

Alleen 18+

CIRQIT is alleen voor mensen van 18 jaar en ouder. Bij het aanmelden voor een event verklaar je dat je 18+ bent; we leggen het moment en de tekstversie van die verklaring vast. We verwerken bewust geen gegevens van jongere kinderen. Merken we dat iemand jonger is, dan verwijderen we de gegevens. We nemen geen besluiten die alleen op automatische verwerking berusten.

Meldingen ("Klopt er iets niet?")

Bij een melding bewaren we het event, de reden, je toelichting en, alleen als je dat invult, je e-mailadres voor een reactie. Doel: het platform betrouwbaar houden. Grondslag: gerechtvaardigd belang en, voor de afhandeling, wettelijke verplichting (DSA). Bewaartermijn: 12 maanden.

Vanaf fase 2: accounts, garage en organisatoren (nog niet actief)

Deze onderdelen zijn in voorbereiding. Zodra ze live gaan, werken we deze verklaring bij en laten we het je weten. Voorstel:

Account: e-mailadres, weergavenaam, moment en tekstversie van je 18+-verklaring (geen geboortedatum). Je logt in met een link per e-mail. Bewaartermijn: zolang je account bestaat; na 24 maanden zonder inloggen mailen we je eerst, daarna wissen we het account.
Garage: merk, type, carrosserie en kleur van je auto (opgehaald bij de RDW) en een silhouet uit een vaste lijst. Je kenteken gebruiken we alleen om die gegevens op te halen; we bewaren of tonen het nooit.
"Ik kom met": bij welk event je komt en met welke auto. Dit is standaard alleen voor jezelf zichtbaar; je kunt het zelf openbaar maken, onder een weergavenaam (je echte naam is niet nodig). Bewaartermijn: 12 maanden na het event.
Organisatoren: naam, KvK-nummer, contactgegevens en documenten per event. Documenten staan in een afgeschermde, privé opslag die alleen beheer kan lezen. Bewaartermijn van de documenten: 12 maanden na het event, of 3 maanden na een afwijzing.
Moderatie: meldingen en besluiten met de reden. Bewaartermijn besluiten: 2 jaar.

Wie ontvangt je gegevens

Cloudflare: hosting, beveiliging en de database (D1). Verzoeken aan de site kunnen buiten de EU worden verwerkt; Cloudflare gebruikt daarvoor onder meer het EU-US Data Privacy Framework en modelcontractbepalingen (SCC). Met Cloudflare geldt de standaard verwerkersovereenkomst (Cloudflare Data Processing Addendum, versie 6.4 van 3 april 2026).
Stripe: betalingen (iDEAL, Wero, kaart). Voor de betaling zelf is Stripe ook zelf verantwoordelijk; zie de privacyverklaring van Stripe. Met Stripe geldt de standaard gegevensverwerkingsovereenkomst (DPA, laatst bijgewerkt 28 september 2026).
Resend: het versturen van bevestigingen, betaallinks, inloglinks en updates. We versturen vanuit de EU, maar Resend slaat accountgegevens op in de VS; daarvoor gelden de modelcontractbepalingen (SCC) en het Data Privacy Framework uit de DPA van Resend.
RDW: alleen het kenteken dat je zelf invoert, via onze server.

We verkopen geen gegevens en gebruiken geen advertentie- of trackingdiensten. Instagram is alleen een link; we laden niets van Instagram in.

Cookies en opslag in je browser

Geen tracking- of advertentiecookies. Je browser bewaart alleen wat de site nodig heeft: je winkelmand, of je de intro al zag en tijdelijk je kenteken. Precies welke gegevens, waarvoor en hoe lang: zie de cookieverklaring.

Je rechten

Je hebt het recht op inzage, rectificatie, verwijdering, beperking van de verwerking, overdraagbaarheid van je gegevens en bezwaar (art. 15 t/m 22 AVG), en je kunt toestemming altijd intrekken (dat tast eerdere verwerking niet aan). Afmelden van de wachtlijst of updates kan met de afmeldlink in onze mails of door te mailen naar info@cirqit.nl; we reageren binnen een maand. Zijn we er samen niet uitgekomen, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.