Privacyverklaring

Als een klant ons belt of een online-afspraak maakt, vragen we de naam en het telefoonnummer. Ook stellen we nieuwe klanten een aantal vragen over de situatie, bijvoorbeeld over de opbrengtijd of intrektijd indien eerder een (natuurlijke) haarkleuring is gedaan. Deze gegevens registreren we in een bestand dat we kleurenkaart noemen.

Het opgeven van persoonsgegevens is niet verplicht. Klanten die geen gegevens willen laten vastleggen, kunnen bijvoorbeeld alleen de voornaam opgeven of als telefoonnummer 0600000000 invullen. Delia Natuurlijke Haarkleuring kan dan geen afspraakbevestiging of -herinnering sturen per e-mail en/of SMS.

Bij het maken, verzetten of annuleren van een (online) afspraak sturen wij altijd een bevestiging per e-mail. Drie dagen voor de afspraak volgt een herinnering per e-mail en SMS. Afmelden voor e-mail gaat via het afmeldlinkje onderaan in de ontvangen e-mail. Afmelden voor SMS gaat door per SMS te antwoorden met de tekst "STOP".

De verantwoordelijke voor de gegevensverwerking is Delia Natuurlijke Haarkleuring, KvK 67844065, Halfrond 73, 3071PP Rotterdam.

Het doel van de verwerking van persoonsgegevens is het bijhouden van een kleurenkaart met informatie die noodzakelijk is voor de uitvoering van de gesloten overeenkomst, op basis van de rechtsgrond in artikel 6 lid 1 onder b AVG. Daarnaast dient de verwerking van betaalgegevens om te voldoen aan wet- en regelgeving (Belastingdienst). De rechtsgrond voor deze verwerking is artikel 6 lid 1 onder c AVG. De online agenda en de spambeveiliging berust op gerechtvaardigd belang (artikel 6 lid 1 onder f AVG). Als het noodzakelijk is om een (over)gevoeligheid of allergie voor een bepaalde (kleur)stof aan te tekenen in de kleurenkaart, is de rechtsgrond uitdrukkelijke toestemming als bedoeld in artikel 6 lid 1 onder a AVG juncto artikel 9 lid 2 AVG. De toestemming intrekken is eenvoudig.

Stuur een WhatsApp, e-mail, SMS of bel om de toestemming in te trekken of om een afspraak te maken zonder de online agenda te gebruiken.

Delia Natuurlijke Haarkleuring verwerkt gegevens van haar klanten.

Delia Natuurlijke Haarkleuring verwerkt de volgende (categorieën) persoonsgegevens: (a) naam en voornaam, (b) (mobiel) telefoonnummer, (c) e-mailadres, (d) datum en tijdstip van een afspraak, (e) informatie over de specifieke situatie van een klant (opbrengtijd, intrektijd, soort kleurbehandeling, mengverhouding, foto voor/na, en in voorkomende gevallen een (over)gevoeligheid of allergie, en (f) betaalgegevens.

Gegevens (a) t/m (e) (de kleurenkaart) bewaren we zolang je klant bent, of een jaar na de laatste behandeling. Betaalgegevens (f) bewaren we zeven jaar (Belastingdienst).

Delia Natuurlijke Haarkleuring deelt de gegevens niet actief met derden voor hun eigen doeleinden. Squarespace verzamelt wel automatisch technische browsegegevens voor eigen doeleinden bij het laden van de afsprakenpagina, zoals beschreven in de volgende sectie. Wij gebruiken wel verwerkers, zoals Squarespace en Twilio Inc. (SendGrid), zie de tabel verderop in de sectie 'Privacy by Design: de reverse proxy'.

Het afspraakformulier van Acuity Scheduling gebruikt Google-spambeveiliging (reCAPTCHA) om misbruik te voorkomen. Google treedt hiervoor op als verwerker onder instructie van Acuity Scheduling sinds 2 april 2026. Acuity Scheduling beheert de sleutel voor die beveiliging en is verantwoordelijk voor de bijbehorende verwerkersovereenkomst met Google.

De online agenda draait op Acuity Scheduling van Squarespace Ireland Limited (Squarespace House, Ship Street Great, Dublin 8, Ierland). Als niet-Amerikaanse gebruiker sluit Delia Natuurlijke Haarkleuring de overeenkomst met Squarespace Ireland Limited (Servicevoorwaarden §1.2). Voor de afspraakgegevens die een bezoeker invult, wijst de DPA Delia Natuurlijke Haarkleuring aan als verwerkingsverantwoordelijke en Squarespace als verwerker ("You are the controller and Squarespace is the processor of Your Controlled Data", DPA §4.1). De DPA is automatisch van toepassing ("Our Data Processing Addendum forms part of this Agreement", Servicevoorwaarden §7.2). Squarespace Ireland Limited slaat gegevens op in de VS, gedekt door Standaard Contractuele Bepalingen (artikel 46 AVG). Squarespace, Inc. beschikt ook over een EU-VS Data Privacy Framework-certificering (artikel 45 AVG). Afspraken zijn ook per e-mail, WhatsApp, Signal, SMS of telefoon te plannen.

Bij het laden van de afsprakenpagina verzamelt Squarespace ook automatisch technische browsegegevens voor eigen doeleinden, waaronder het IP-adres, browser- en apparaatgegevens, eerder bezochte pagina's en interactiegedrag (Servicevoorwaarden §7.3.3). Die verwerking valt buiten de DPA. Hetzelfde IP-adres kan daardoor tegelijkertijd onder twee juridische regimes vallen, als afspraakgegeven waarvoor Squarespace verwerker is. Als browsegegeven is Squarespace zelfstandig verwerkingsverantwoordelijke.

De afsprakenpagina laadt ook twee lettertypen van Google-servers in de VS. Open Sans laadt via fonts.googleapis.com en fonts.gstatic.com. De Google-spambeveiliging (reCAPTCHA) voor het afspraakformulier laadt Roboto rechtstreeks van fonts.gstatic.com. Bij elk fontverzoek ontvangt Google het IP-adres van de bezoeker. Delia Natuurlijke Haarkleuring laadt deze lettertypen niet zelf en kan deze doorgifte niet vermijden zonder de online agenda volledig te vervangen.

Het openen van de online agenda brengt wel het verzamelen en doorgeven van het IP-adres op gang, en voor die stap beroept Delia Natuurlijke Haarkleuring zich op haar gerechtvaardigd belang om de afsprakendienst aan te bieden, op grond van artikel 6 lid 1 onder f AVG. Delia Natuurlijke Haarkleuring informeert de bezoeker vooraf over de gevolgen van het openen van de online agenda. De doorgifte zelf steunt op het EU-VS Data Privacy Framework, waaronder Google LLC gecertificeerd is (artikel 45 AVG), met de Standaard Contractuele Bepalingen uit de Cloud-verwerkersovereenkomst van Google als terugvaloptie (artikel 46 AVG). Evenals de e-mailbevestiging van afspraken (nieuwe afspraak, wijziging, annulering en herinnering) en SMS-herinnering die Twilio verzorgt.

Wij bieden de online agenda aan via onze eigen reverse proxy, privacy.natuurlijkehaarkleuring.nl.

Die proxy staat als tussenlaag tussen de browser en Acuity, gehost in de EU. Alle API-verzoeken met afspraakgegevens lopen via de proxy naar Acuity. Dat geeft ons controle over de headers die wij doorsturen.

De proxy verwijdert de headers X-Forwarded-For, X-Real-IP en Referer voordat hij een verzoek naar Acuity stuurt. Via een Content-Security-Policy blokkeert hij ook de trackingscripts van Datadog, Sentry en Stripe, en het bedrijfslogo dat Acuity van zijn eigen server (cdn-s.acuityscheduling.com) wil laden. Maar een werkende agenda heeft ook noodzakelijke scripts en opmaakbestanden nodig. Acuity laadt die rechtstreeks van assets.squarespace.com. Bij die verzoeken ontvangt Squarespace het echte IP-adres van de bezoeker. Dat is een beperking van de huidige architectuur.

Acuity Scheduling biedt betaalverwerking aan via Stripe, Inc. als subverwerker. Delia Natuurlijke Haarkleuring gebruikt die functionaliteit niet. Klanten betalen op de dag van de afspraak direct aan Delia Natuurlijke Haarkleuring. De agenda verwerkt geen betaalgegevens.

De website natuurlijkehaarkleuring.nl beschikt over een HTTPS-beveiligingscertificaat. De online agenda beschikt eveneens over een HTTPS-beveiligingscertificaat. Beide zijn geconfigureerd met actuele beveiligingsinstellingen.

We slaan de kleurenkaart versleuteld op. We gebruiken hiervoor AES-encryptie met BitLocker. Elke kleurenkaart heeft een unieke en willekeurige AES-encryptiesleutel om het bestand te versleutelen en ontsleutelen.

We maken geen gebruik van geautomatiseerde besluitvorming. We leggen alleen de informatie vast die noodzakelijk is voor de haarkleuring, in samenspraak met de klant.

Wij maken gebruik van lokale opslag, sessie-opslag en twee browsercookies. De lokale opslag dient voor de weergavevoorkeur, taalvoorkeur, technische instellingen van de videospeler en de afsprakenpagina, en spambeveiliging van het afspraakformulier. De functionele cookie (PHPSESSID) zorgt voor de correcte werking van de online agenda en vervalt na één maand. De spambeveiliging plaatst een tweede cookie (_GRECAPTCHA) die vervalt na zes maanden. Niets hiervan volgt bezoekers op andere websites of dient voor advertenties.

Onder de AVG hebben betrokkenen recht op (a) inzage, (b) rectificatie en aanvulling, (c) vergetelheid (verwijdering), (d) dataportabiliteit van persoonsgegevens, en (e) bezwaar op grond van artikel 21 AVG tegen verwerking die op gerechtvaardigd belang berust, te weten het doorgeven van het IP-adres aan Squarespace en Google bij het laden van de online agenda en de spambeveiliging.

Stuur een WhatsApp, e-mail, SMS of bel om een recht uit te oefenen.