Privacyverklaring

Privacyverklaring Stichting Tulpenrallye

Versie 1.2 Vastgesteld door het bestuur op 31 augustus 2026. Deze verklaring vervangt de Privacy Verklaring van 7 oktober 2023 en de Privacyverklaring webshop van 16 april 2024.

1. Waar deze verklaring over gaat

Stichting Tulpenrallye organiseert de Tulpenrallye en de daaraan verbonden onderdelen, houdt een webshop en verstuurt een nieuwsbrief. Daarvoor verwerken wij persoonsgegevens.

In deze verklaring lees je welke gegevens wij van je verwerken, waarom wij dat doen, op welke juridische grondslag, hoe lang wij ze bewaren, met wie wij ze delen en welke rechten je hebt. Deze verklaring geldt voor alles wat wij doen: de website www.tulpenrallye.nl inclusief het inschrijfsysteem en de webshop, de nieuwsbrief, de organisatie en uitvoering van de evenementen, en het contact daaromheen — digitaal, op papier en tijdens het evenement zelf.

Wij verwerken je gegevens volgens de Algemene verordening gegevensbescherming (AVG) en de Uitvoeringswet AVG.

2. Wie is verantwoordelijk

Verwerkingsverantwoordelijke in de zin van de AVG is:

Stichting Tulpenrallye Vossenlaan 22, 3735 KN Bosch en Duin KvK-nummer 41188732 Btw-identificatienummer NL815546531B01 Telefoon +31 (0)6 20 36 17 85 of +31 (0)6 53 26 38 60 E-mail rallyoffice@tulpenrallye.nl (rally en algemeen) · webshop@tulpenrallye.nl (webshop)

Wij zijn niet verplicht een functionaris voor gegevensbescherming aan te stellen en hebben die ook niet. Vragen over privacy komen binnen bij het Rally Office; het bestuur is eindverantwoordelijk.

3. Van wie wij gegevens verwerken

• deelnemers aan onze evenementen: bestuurders en navigatoren, ook als je je nog niet definitief hebt ingeschreven;
• mensen die je bij een inschrijving opgeeft, zoals je teamgenoot en je contactpersoon voor noodgevallen;
• klanten en bezoekers van onze webshop;
• abonnees op onze nieuwsbrief;
• bezoekers van onze website;
• contactpersonen van partners, sponsors, hotels, leveranciers en autosportorganisaties;
• medewerkers, officials, marshals en vrijwilligers van de organisatie.

4. Welke gegevens wij verwerken, waarvoor, en op welke grondslag

Hieronder staat per doel welke gegevens wij gebruiken en waarom wij dat mogen. De bewaartermijnen staan in artikel 8.

4.1 Je account op onze website

Gegevens: e-mailadres, versleuteld wachtwoord, taalkeuze, aanmeldmomenten.

Waarom: je hebt een account nodig om in te schrijven, je gegevens te wijzigen en je inschrijving te volgen.

Grondslag: uitvoering van de overeenkomst en de stappen die daaraan voorafgaan (artikel 6 lid 1 sub b AVG).

4.2 Je inschrijving en je deelname

Gegevens: aanhef, voornaam, voorletters, tussenvoegsel, achternaam, geboortedatum, nationaliteit, beroep, adres, telefoonnummer, e-mailadres, kledingmaat en snit, of je voor het eerst meedoet, je gezichtsfoto, de gekozen klasse en categorie, je teamgenoot, je startnummer en inschrijvingsnummer, de keuzes die je in het inschrijfformulier maakt (zoals overnachtingen, aanvullende opties, of je een eigen helm meeneemt, en de inleverlocatie) en de door jou geaccepteerde voorwaarden met het moment van acceptatie.

Waarom: om je inschrijving te behandelen, je te accepteren of op de wachtlijst te plaatsen, de deelnemerslijst en startvolgorde samen te stellen, rallybescheiden en kleding te maken en te verstrekken, en met je te corresponderen over je deelname. Je beroep en het aantal eerdere deelnames gebruiken wij bij de indeling in klassen en teams, en voor de eregalerij en de jubileumvermeldingen. Je geboortedatum gebruiken wij daarnaast om vast te stellen of je in aanmerking komt voor een leeftijdsgebonden korting en of je voldoet aan de minimumleeftijd die het reglement stelt.

Grondslag: uitvoering van de overeenkomst (artikel 6 lid 1 sub b AVG). Voor de indeling in klassen en teams en voor het samenstellen van deelnemersvelden baseren wij ons daarnaast op ons gerechtvaardigd belang bij een sportief evenwichtig en veilig evenement (artikel 6 lid 1 sub f AVG).

4.3 De auto waarmee je meedoet

Gegevens: kenteken en land van het kenteken, merk, model, cilinderinhoud, datum van eerste registratie, foto van de auto, de uitkomst van het RallyAuto Advies, gemeten uitlaatgeluid en beoordeling van de bestickering.

Waarom: een auto moet toelaatbaar zijn en aan het reglement voldoen. Wij controleren het kenteken bij de openbare voertuiggegevens van de RDW en vragen — als je daarvoor kiest — het RallyAuto Advies op bij de aanbieder daarvan. Een kenteken is in combinatie met jouw gegevens een persoonsgegeven; daarom noemen wij het hier.

Grondslag: uitvoering van de overeenkomst en ons gerechtvaardigd belang bij de veiligheid van het evenement en de naleving van het reglement (artikel 6 lid 1 sub b en sub f AVG).

4.4 Catering, medische bijstand en veiligheid tijdens het evenement

Gegevens: of je vegetarisch eet, je allergieën en andere bijzonderheden die je zelf opgeeft, of je arts bent, en het telefoonnummer van je contactpersoon voor noodgevallen.

Waarom: wij geven het aantal en de aard van de maaltijden door aan de hotels en cateraars, en wij willen bij een incident weten of iemand onderweg medische bijstand kan verlenen en wie wij namens jou moeten bellen. Wij gebruiken deze gegevens voor niets anders.

Grondslag: je uitdrukkelijke toestemming (artikel 9 lid 2 sub a AVG in samenhang met artikel 6 lid 1 sub a AVG). Zie artikel 5.

4.5 Overnachtingen en logistiek

Gegevens: naam, de door jou gekozen hotelarrangementen en kamerindeling, aankomst- en vertrekmomenten, en de gegevens van je teamgenoot voor zover die voor de boeking nodig zijn.

Waarom: om kamers te reserveren en de logistiek van start- en finishlocaties te regelen.

Grondslag: uitvoering van de overeenkomst (artikel 6 lid 1 sub b AVG).

4.6 De rally-app en je positie tijdens het evenement

Gegevens: het e-mailadres waarmee je de GPS-app gebruikt — dat mag een ander adres zijn dan je inschrijfadres — je startnummer, en de gegevens die de app tijdens het evenement doorgeeft, waaronder je positie, je passages langs controles en je tijden.

Waarom: om je toegang te geven tot de app, je de route en de opdrachten te kunnen sturen, de tijdwaarneming en de controles te verwerken, de uitslag te berekenen, om je te kunnen vinden als je onderweg stilstaat of hulp nodig hebt, en om snelheidscontroles uit te voeren.

Over de snelheidscontrole. Het reglement bepaalt dat de organisatie op specifieke punten in de route de snelheid controleert, en dat overschrijding van de plaatselijke maximumsnelheid met meer dan 10% strafpunten oplevert. Die controle gebeurt met de gegevens uit de app. Dit is geen bijzaak van de tijdwaarneming maar een zelfstandig doel, en daarom noemen wij het apart. Overtredingen worden via de app bekendgemaakt en kunnen leiden tot strafpunten of uitsluiting.

Wij geven deze gegevens niet uit eigen beweging door aan politie of andere handhavende instanties. Vordert een autoriteit ze op grond van de wet, dan zijn wij verplicht daaraan mee te werken.

Grondslag: uitvoering van de overeenkomst — deelname houdt in dat je je aan het reglement houdt en dat de organisatie daarop toeziet (artikel 6 lid 1 sub b AVG). Voor het veiligheidsdeel — weten waar een equipe is als er iets misgaat, en optreden tegen te hard rijden — baseren wij ons daarnaast op ons gerechtvaardigd belang bij de veiligheid van deelnemers, medewerkers en andere weggebruikers (artikel 6 lid 1 sub f AVG).

Positiegegevens gebruiken wij tijdens het evenement, voor de uitslag en voor de snelheidscontrole. Wij volgen je niet buiten het evenement om, en wij delen je positie niet met andere deelnemers behalve waar het reglement dat voorschrijft.

De app wordt geleverd door iSource BV in Leiden. Die verwerkt de gegevens in onze opdracht, op grond van een verwerkersovereenkomst. De logbestanden met GPS-gegevens bewaart iSource maximaal drie maanden; daarna worden ze vernietigd.

4.7 Betaling, incasso en administratie

Gegevens: het te betalen bedrag en de betaalstatus, de betaalkenmerken van onze betaaldienstverlener, de door jou verleende machtiging tot automatische incasso met het moment van acceptatie, en bij een zakelijke inschrijving de bedrijfsnaam, het KvK-nummer, het btw-nummer, het factuuradres, het factuur-e-mailadres, de gewenste vermelding op de factuur en een inkoopordernummer.

Je rekeningnummer wordt door onze betaaldienstverlener verwerkt en niet door ons opgeslagen. Wij bewaren alleen een klantverwijzing waarmee de betaaldienstverlener de incasso kan uitvoeren.

Waarom: om je inschrijfgeld te innen, facturen te maken en onze administratie te voeren.

Grondslag: uitvoering van de overeenkomst (artikel 6 lid 1 sub b AVG) en het voldoen aan onze wettelijke administratie- en bewaarplicht (artikel 6 lid 1 sub c AVG).

4.8 Je bestelling in de webshop

Gegevens: naam, e-mailadres, telefoonnummer, verzendadres inclusief land, de bestelde artikelen en varianten, het ordernummer, de betaalstatus en betaalkenmerken, en het verzendnummer en de track-en-tracegegevens.

Waarom: om je bestelling te behandelen, te bezorgen, te factureren en vragen of klachten daarover af te handelen.

Grondslag: uitvoering van de overeenkomst (artikel 6 lid 1 sub b AVG) en de wettelijke bewaarplicht voor de administratie (artikel 6 lid 1 sub c AVG).

4.9 De nieuwsbrief

Gegevens: naam, e-mailadres, taalkeuze, en of en wanneer je je hebt aan- of afgemeld.

Waarom: om je op de hoogte te houden van de Tulpenrallye.

Grondslag: je toestemming (artikel 6 lid 1 sub a AVG). Ben je deelnemer of klant geweest, dan mogen wij je op grond van artikel 11.7 lid 3 Telecommunicatiewet ook zonder aparte toestemming over onze eigen evenementen informeren. In beide gevallen staat in iedere nieuwsbrief een afmeldknop.

Afmelden voor de nieuwsbrief betekent niet dat je geen e-mail meer van ons krijgt over een inschrijving die je hebt gedaan. Die berichten horen bij de overeenkomst en blijven wij sturen.

4.10 Uitslagen, deelnemerslijsten en het historisch archief

Gegevens: naam van bestuurder en navigator, nationaliteit, startnummer, klasse, merk, type en bouwjaar van de auto, foto van de auto, en het behaalde resultaat.

Waarom: de Tulpenrallye bestaat sinds 1949 en de uitslagen zijn de kern van dat archief. Wij publiceren voorlopige en definitieve deelnemerslijsten, dagklassementen en eindklassementen op de website, in het programmaboek, in het uitslagenboek en in de Tulpenrallye-app, en wij bewaren die uitslagen als onderdeel van de historie van het evenement. Bij de publicatie van een eindklassement sturen wij je een bericht per e-mail of sms. Het reglement schrijft daarnaast voor dat opgelegde straffen en geconstateerde overtredingen tijdens het evenement bekend worden gemaakt via het publicatiebord en de app; die bekendmaking hoort bij het verloop van de wedstrijd en verdwijnt na afloop van het evenement uit de publicatie.

Grondslag: uitvoering van de overeenkomst — deelname aan een wedstrijd houdt in dat je in de uitslag komt te staan — en ons gerechtvaardigd belang bij een volledig en betrouwbaar sporthistorisch archief (artikel 6 lid 1 sub b en sub f AVG), mede in het licht van artikel 89 AVG over archivering in het algemeen belang.

Deze publicaties zijn blijvend. Wil je hiertegen bezwaar maken, dan kan dat; zie artikel 13. Wij wegen jouw belang dan af tegen het belang van een volledig archief en laten je weten wat wij besluiten.

4.11 Beeldmateriaal

Gegevens: de gezichtsfoto die je zelf aanlevert, de foto van je auto, en foto's en video's die tijdens het evenement en de bijeenkomsten eromheen worden gemaakt.

Waarom: voor de deelnemerslijst, het programmaboek, het uitslagenboek, de app, de website, onze sociale media en de verslaglegging van het evenement.

Grondslag: zie artikel 6.

4.12 De website, beveiliging en misbruikbestrijding

Gegevens: technische gegevens van je bezoek, waaronder je IP-adres, het tijdstip, de opgevraagde pagina en je browsertype, zoals die in de logbestanden van onze hostingpartij terechtkomen. Bij formulieren en inlogpogingen gebruiken wij het IP-adres kortstondig om het aantal pogingen te begrenzen.

Waarom: om de website te laten werken, storingen op te lossen en misbruik zoals geautomatiseerde aanvallen tegen te gaan.

Grondslag: ons gerechtvaardigd belang bij een werkende en veilige website (artikel 6 lid 1 sub f AVG).

Wij gebruiken geen bezoekersstatistieken en geen advertentie- of trackingtechnieken. Zie artikel 11.

4.13 Notities van het rallyoffice

Gegevens: korte interne aantekeningen die het rallyoffice bij een inschrijving kan zetten — bijvoorbeeld dat er is gebeld over een wijziging, dat een betaling apart is afgesproken, of dat een equipe extra begeleiding nodig heeft.

Waarom: om afspraken en contactmomenten terug te kunnen vinden, zodat je niet elke keer opnieuw hoeft uit te leggen wat er speelt.

Grondslag: ons gerechtvaardigd belang bij een werkbare deelnemersadministratie (artikel 6 lid 1 sub f AVG).

Deze aantekeningen zijn feitelijk en zakelijk. Zij zijn onderdeel van je gegevens: vraag je inzage, dan krijg je ze te zien.

4.14 De verklaring van acceptatie en afstand van verhaal

Gegevens: de door jou ondertekende verklaring die het reglement voorschrijft, met daarin je verklaring dat je lichamelijk en geestelijk in staat bent deel te nemen, dat je de risico's kent en aanvaardt, en dat je auto rijwaardig en verzekerd is. Is een lid van de equipe jonger dan achttien jaar, dan staat daar ook de handtekening van zijn of haar wettelijk vertegenwoordiger op.

Waarom: het reglement eist deze verklaring vóór de start. Zij is het bewijs dat je bent geïnformeerd en dat je hebt verklaard te kunnen deelnemen. Komt er later een aansprakelijkstelling, dan hebben wij haar nodig om ons te kunnen verweren.

Grondslag: uitvoering van de overeenkomst (artikel 6 lid 1 sub b AVG). Omdat de verklaring een uitspraak over je gezondheid bevat, geldt daarnaast de uitzondering voor het instellen, uitoefenen of onderbouwen van een rechtsvordering (artikel 9 lid 2 sub f AVG). Daarom bewaren wij deze verklaring langer dan de overige gezondheidsgegevens; zie artikel 8.

4.15 Wettelijke verplichtingen, klachten en geschillen

Als een wet ons daartoe verplicht, of als dat nodig is om een klacht, een aansprakelijkstelling of een geschil te behandelen, verwerken wij de gegevens die daarvoor nodig zijn.

Grondslag: het voldoen aan een wettelijke verplichting (artikel 6 lid 1 sub c AVG) en ons gerechtvaardigd belang bij het voeren van verweer en het vaststellen van rechten (artikel 6 lid 1 sub f AVG).

5. Gegevens over je gezondheid en je overtuiging

Je allergieën en andere medische bijzonderheden zijn gegevens over je gezondheid. Of je vegetarisch eet kan iets zeggen over je levensovertuiging. Dit zijn bijzondere categorieën van persoonsgegevens in de zin van artikel 9 AVG. Daar geldt een streng regime voor, en daar houden wij ons aan:

• Je geeft ze vrijwillig. Je kunt deze velden leeg laten. Je inschrijving gaat gewoon door.
• Je geeft ze bewust en met een doel voor ogen. Voordat je deze velden invult, staat erbij waarvoor wij ze gebruiken. Het invullen zelf is je toestemming; het moment leggen wij vast. Je kunt die toestemming op elk moment intrekken door het veld leeg te maken in je account of een bericht te sturen aan het Rally Office. Intrekken werkt voor de toekomst; wat wij tot dat moment hebben gedaan, blijft rechtmatig.
• Ze zijn afgeschermd. In ons systeem kunnen alleen jijzelf en de enkele medewerkers met een uitdrukkelijk daarvoor toegekend recht deze velden zien. Wie de deelnemerslijst mag inzien, ziet ze niet.
• Wij geven ze niet door met jouw naam eraan waar dat niet nodig is. Hotels en cateraars krijgen aantallen en dieetwensen, geen medische dossiers.
• Wij bewaren ze kort. Zie artikel 8. Eén uitzondering: de verklaring die je vóór de start ondertekent bewaren wij langer, omdat wij haar nodig hebben als er een aanspraak volgt. Zie artikel 4.14.

Dat je arts bent, is geen gezondheidsgegeven over jou, maar wij behandelen het met dezelfde zorg, omdat het uitsluitend dient om bij een incident snel hulp te kunnen organiseren.

6. Beeldmateriaal en portretrecht

De foto's die je zelf aanlevert. Bij je inschrijving lever je een gezichtsfoto en een foto van de auto aan en verklaar je dat deze rechtenvrij zijn en dat je toestemming geeft voor publicatie. Wij gebruiken die foto's voor de deelnemerslijst, het programmaboek, het uitslagenboek, de app, de website en de aankondiging van het evenement. Grondslag: je toestemming (artikel 6 lid 1 sub a AVG).

Foto's en video's die tijdens het evenement worden gemaakt. Een rally is een openbaar evenement waarover verslag wordt gedaan. Wij en de door ons ingeschakelde fotografen en videografen maken beeldmateriaal van de start, de route, de finish en de bijeenkomsten, en publiceren dat op de website, in onze uitgaven, op onze sociale media en in de app. Grondslag: ons gerechtvaardigd belang bij verslaglegging en promotie van het evenement (artikel 6 lid 1 sub f AVG).

Je kunt hier iets tegen doen. Wil je niet dat een bepaalde foto of video van jou gepubliceerd blijft, laat het ons weten via rallyoffice@tulpenrallye.nl. Wij halen beeldmateriaal waarop jij herkenbaar in beeld bent op verzoek van onze eigen kanalen af, tenzij er een zwaarwegend belang is om dat niet te doen. Wij kunnen niets verwijderen van kanalen die niet van ons zijn, zoals de sociale media van andere deelnemers of de pers.

7. Gegevens van iemand anders die je aan ons geeft

Bij je inschrijving geef je gegevens van andere mensen op: je teamgenoot en je contactpersoon voor noodgevallen. Wij gaan ervan uit dat je die personen hebt verteld dat je hun gegevens aan ons doorgeeft en waarvoor. Wij vragen je dat te doen. Wij gebruiken de gegevens van een contactpersoon voor noodgevallen uitsluitend om die persoon te bereiken als er tijdens het evenement iets met jou aan de hand is.

8. Hoe lang wij je gegevens bewaren

• Gegevens over je gezondheid, dieet en of je arts bent — tot uiterlijk drie maanden na afloop van het evenement waarvoor je ze hebt opgegeven
• Je account en je persoonsgegevens als deelnemer — tot vijf jaar na je laatste deelname of je laatste contact met ons
• Gegevens van je contactpersoon voor noodgevallen — tot uiterlijk drie maanden na afloop van het evenement
• Financiële en fiscale administratie, waaronder facturen en betalingen — zeven jaar, op grond van artikel 52 lid 4 Algemene wet inzake rijksbelastingen
• Bestellingen in de webshop — zeven jaar, om dezelfde reden
• Nieuwsbriefgegevens — tot je je afmeldt, en daarna alleen je afmelding zelf, zodat wij je niet opnieuw benaderen
• Deelnemerslijsten, uitslagen en klassementen — onbeperkt, als onderdeel van het historisch archief van de Tulpenrallye
• Beeldmateriaal van het evenement — onbeperkt, als onderdeel van het archief, behoudens een verzoek als bedoeld in artikel 6
• Logbestanden van de website — maximaal dertig dagen bij onze hostingpartij
• GPS-gegevens uit de rally-app — maximaal drie maanden bij iSource BV, daarna vernietigd
• Correspondentie over een klacht of geschil — tot vijf jaar na afronding, aansluitend bij de verjaringstermijn van artikel 3:310 van het Burgerlijk Wetboek
• De ondertekende verklaring van acceptatie en afstand van verhaal — tot zeven jaar na het evenement, omdat zij ons bewijsmiddel is als er een aanspraak volgt
• Dossiers over letselschade — tot zeven jaar na afronding, omdat een vordering wegens letsel later aan het licht kan komen en de gewone absolute termijn daar niet voor geldt

Loopt er een klacht, een aansprakelijkstelling of een procedure, dan bewaren wij de gegevens die daarvoor nodig zijn totdat die zaak is afgerond.

De termijnen voor gezondheidsgegevens en logbestanden zijn keuzes van het bestuur; de fiscale bewaarplicht van zeven jaar en de verjaringstermijn van vijf jaar volgen uit de wet.

Moet je deze gegevens geven?

Voor de meeste gegevens geldt: je geeft ze omdat wij ze nodig hebben om je inschrijving of je bestelling uit te voeren. Geef je ze niet, dan kunnen wij de overeenkomst niet uitvoeren en kan de inschrijving of de bestelling niet doorgaan. Dat geldt bijvoorbeeld voor je naam, je adres, je geboortedatum, je contactgegevens en de gegevens van de auto.

Een aantal gegevens is vrijwillig, en die kun je zonder gevolgen weglaten:

• je allergieën, je dieetwens en of je arts bent (artikel 5) — zonder deze gegevens houden wij er bij de catering en de medische bezetting alleen geen rekening mee;
• je beroep;
• je aanmelding voor de nieuwsbrief;
• een ander e-mailadres voor de GPS-app dan je inschrijfadres.

Waar een veld verplicht is, staat dat in het formulier aangegeven.

9. Met wie wij je gegevens delen

9.1 Partijen die voor ons werken (verwerkers)

Met elk van deze partijen hebben wij een verwerkersovereenkomst als bedoeld in artikel 28 AVG, waarin is vastgelegd dat zij je gegevens alleen in onze opdracht gebruiken en passend beveiligen.

• Supabase — database en opslag van bestanden en foto's (waar de gegevens staan: Frankfurt, Duitsland)
• Vercel — hosting van de website en het inschrijfsysteem (waar de gegevens staan: Europese Unie)
• Mollie — betalingen en automatische incasso (waar de gegevens staan: Nederland)
• Brevo — verzending van systeem-e-mail, nieuwsbrief en sms-berichten (waar de gegevens staan: Europese Unie)
• Spryng — verzending van sms-berichten (waar de gegevens staan: Nederland)
• MyParcel — aanmaken van verzendlabels voor de webshop (waar de gegevens staan: Nederland)
• iSource BV — het rallysysteem, de Tulpenrallye-app, de tijdwaarneming en de positiegegevens tijdens het evenement, en de uitslagen (waar de gegevens staan: Leiden, Nederland)

9.2 Andere ontvangers

• PostNL en andere vervoerders, voor de bezorging van je bestelling. Zij zijn zelf verantwoordelijk voor wat zij met de gegevens doen.
• De hotels en locaties op de route, voor je reservering, de kamerindeling en je dieetwensen. Als de wet van het land waar wij verblijven dat voorschrijft, geven wij de daar verplichte gastgegevens door.
• De aanbieder van het RallyAuto Advies, als je van die dienst gebruikmaakt. Wij geven daarvoor het kenteken door.
• De RDW, waar wij het kenteken toetsen aan het openbare voertuigregister.
• De KNAF, de FIA en de nationale autosportorganisaties van de landen waar het evenement doorheen komt, voor de vergunning, de licentiecontrole en de officiële uitslag.
• Autoriteiten, als zij daar op grond van de wet om vragen.
• Onze accountant, verzekeraar, advocaat en incassopartij, voor zover dat voor hun opdracht nodig is.
• Partners en sponsors ontvangen géén deelnemersgegevens, tenzij je daarvoor bij een specifieke actie zelf toestemming hebt gegeven.

Wij verkopen je gegevens niet en wij verhuren ze niet.

9.3 Wie binnen de organisatie erbij kan

Alleen medewerkers en vrijwilligers die je gegevens nodig hebben voor hun taak, en niet meer dan dat. Ons systeem werkt met rollen: de deelnemersadministratie, het rekencentrum, de financiële administratie en de webmaster zien elk hun eigen deel. Gegevens over je gezondheid zijn extra afgeschermd; zie artikel 5. Wie gegevens exporteert om er bijvoorbeeld een verzendlijst van te maken, is er zelf verantwoordelijk voor dat die lijst veilig wordt bewaard en niet langer dan nodig bestaat.

10. Doorgifte buiten de Europese Economische Ruimte

Wij slaan je gegevens op binnen de Europese Economische Ruimte (EER).

Op twee plaatsen op onze website staat materiaal van buiten de EER:

• De Instagram-tegels op de homepage. De beelden staan op het contentnetwerk van Meta in de Verenigde Staten. Je browser haalt ze daar niet zelf op: onze server haalt het beeld op en stuurt het door, zodat Meta jouw IP-adres niet ontvangt. Meta ziet alleen een verzoek van onze server. Er gaan geen deelnemersgegevens naartoe.
• Video's van YouTube. Wij laden die pas nadat je zelf op afspelen klikt. Tot dat moment gaat er niets naar Google. Zodra je afspeelt, ontvangt Google je IP-adres en gegevens over je apparaat. Wij gebruiken de variant youtube-nocookie.com, die geen advertentiecookies plaatst.

Voor deze doorgifte baseren wij ons op het adequaatheidsbesluit van de Europese Commissie van 10 juli 2023 over het EU-VS Data Privacy Framework, waarbij zowel Meta als Google zijn aangesloten. Vervalt dat besluit, dan zullen wij ons op modelcontractbepalingen van de Europese Commissie baseren of de betreffende onderdelen van de website verwijderen.

11. Cookies en meetgegevens

Een cookie is een klein bestand dat een website op je apparaat opslaat. Wij gebruiken alleen cookies die noodzakelijk zijn om de website te laten werken. Daarvoor is op grond van artikel 11.7a lid 3 Telecommunicatiewet geen toestemming vereist, en daarom zie je bij ons geen cookiemelding.

• tr_taal — onthoudt of je de site in het Nederlands of Engels wilt zien (hoe lang: tot een jaar)
• wizard-sessie — houdt je inschrijving bij elkaar terwijl je door de stappen loopt (hoe lang: tot je de inschrijving afrondt of afbreekt)
• payload-token — houdt je ingelogd in je account of in het beheerscherm (hoe lang: tot je uitlogt of de sessie verloopt)

Wij gebruiken geen analytische cookies, geen bezoekersstatistieken, geen advertentiecookies, geen trackingpixels en geen sociale-mediaknoppen die meekijken. De verwijzingen naar onze sociale media zijn gewone links.

Wil je cookies toch weigeren of verwijderen, dan kan dat via de instellingen van je browser. Zonder de bovenstaande cookies kun je niet inloggen en niet inschrijven.

12. Hoe wij je gegevens beveiligen

Wij nemen passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Onder meer:

• al het verkeer met onze website loopt versleuteld over HTTPS, met een strikt beveiligingsbeleid voor de browser;
• wachtwoorden worden versleuteld opgeslagen en zijn voor niemand leesbaar, ook niet voor ons;
• na een aantal mislukte inlogpogingen wordt een account tijdelijk geblokkeerd;
• toegang tot gegevens is per rol geregeld, en gegevens over je gezondheid zitten achter een apart recht;
• gegevens staan bij leveranciers binnen de EER, met een verwerkersovereenkomst;
• wij beperken het aantal mensen met toegang en nemen toegangsrechten in als iemand een taak neerlegt.

Denk je dat je gegevens niet goed beveiligd zijn, of zie je aanwijzingen van misbruik, meld dat dan direct via rallyoffice@tulpenrallye.nl. Bij een datalek met een risico voor jou melden wij dat binnen 72 uur bij de Autoriteit Persoonsgegevens en informeren wij jou als de wet dat voorschrijft.

13. Je rechten

Je hebt de volgende rechten. Je oefent ze uit door een bericht te sturen aan rallyoffice@tulpenrallye.nl, of voor de webshop aan webshop@tulpenrallye.nl.

• Inzage (artikel 15 AVG): je mag opvragen welke gegevens wij van je hebben en wat wij ermee doen. Veel daarvan kun je zelf zien in je account.
• Rectificatie (artikel 16 AVG): je mag onjuiste gegevens laten corrigeren en onvolledige gegevens laten aanvullen. Het meeste kun je zelf wijzigen in je account, zolang je inschrijving nog niet is vastgezet.
• Verwijdering (artikel 17 AVG): je mag ons vragen je gegevens te wissen. Wij doen dat, tenzij wij ze nog nodig hebben voor een lopende inschrijving, onze wettelijke bewaarplicht of het historisch archief; zie artikel 4.10.
• Beperking (artikel 18 AVG): je mag ons vragen het gebruik van je gegevens tijdelijk stil te leggen, bijvoorbeeld terwijl wij een bezwaar van je beoordelen.
• Bezwaar (artikel 21 AVG): je mag bezwaar maken tegen verwerkingen die wij baseren op een gerechtvaardigd belang. Tegen gebruik voor direct marketing kun je altijd en zonder opgaaf van reden bezwaar maken; dan stoppen wij daar direct mee.
• Overdraagbaarheid (artikel 20 AVG): je mag de gegevens die je zelf aan ons hebt gegeven in een gangbaar digitaal bestand ontvangen, of ons vragen die aan een andere organisatie te sturen.
• Toestemming intrekken (artikel 7 lid 3 AVG): heb je ergens toestemming voor gegeven, dan mag je die altijd intrekken. Dat werkt voor de toekomst.
• Klacht bij de toezichthouder (artikel 77 AVG): je mag een klacht indienen bij de Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl. Wij stellen het op prijs als je het eerst bij ons probeert.

Wij reageren binnen één maand. Is je verzoek ingewikkeld of hebben wij er meerdere tegelijk, dan mogen wij die termijn met twee maanden verlengen; wij laten je dat dan binnen die eerste maand weten. Wij kunnen je vragen jezelf te identificeren, zodat wij zeker weten dat wij de gegevens aan de juiste persoon geven. Het uitoefenen van je rechten is gratis.

14. Minderjarigen

Onze website en onze webshop richten zich niet op kinderen. Voor deelname geldt dat een navigator ten minste zestien jaar oud moet zijn. Is een lid van de equipe jonger dan achttien jaar, dan moet zijn of haar wettelijk vertegenwoordiger de verklaring van acceptatie en afstand van verhaal meetekenen.

Ben je jonger dan zestien jaar, dan mogen wij je gegevens alleen verwerken met toestemming van je ouder of voogd. Denk je dat wij zonder die toestemming gegevens van een kind hebben, neem dan contact met ons op; wij verwijderen die dan.

15. Geautomatiseerde besluitvorming en profilering

Wij nemen geen besluiten over jou die uitsluitend op geautomatiseerde verwerking berusten en die rechtsgevolgen voor je hebben of je in aanmerkelijke mate treffen, zoals bedoeld in artikel 22 AVG. Beslissingen over acceptatie, klasse-indeling en toelating van de auto worden door mensen genomen. Het RallyAuto Advies is een advies dat door de aanbieder daarvan wordt vastgesteld; wij beoordelen zelf wat wij ermee doen en je kunt daar altijd contact over opnemen. Wij maken geen profielen voor marketingdoeleinden.

16. Wijzigingen in deze verklaring

Wij mogen deze verklaring aanpassen, bijvoorbeeld als wij iets anders gaan doen of als de wet verandert. De actuele versie staat altijd op www.tulpenrallye.nl, met de datum van de laatste wijziging. Bij een wijziging die voor jou van belang is, laten wij dat weten via de nieuwsbrief of per e-mail. Een aanpassing zal nooit in strijd zijn met de AVG.

17. Vragen

Heb je een vraag over deze verklaring of over wat wij met je gegevens doen, neem dan contact op met het Rally Office:

Stichting Tulpenrallye — Rally Office rallyoffice@tulpenrallye.nl · +31 (0)6 20 36 17 85 of +31 (0)6 53 26 38 60 Vossenlaan 22, 3735 KN Bosch en Duin