Privacyverklaring

Carnoat is gebouwd om persoonsgegevens uit het zicht te houden. Namen en adressen verdwijnen van de kopieën van uw documenten, de documenten van een auto en de identiteit van de eigenaar worden nooit openbaar getoond (een auto zelf alleen als de eigenaar hem open aanbiedt), en identiteiten worden pas uitgewisseld nadat beide partijen zijn geverifieerd. In deze verklaring leest u welke persoonsgegevens wij verwerken, waarom wij dat doen en wat u eraan kunt doen.

Wie verantwoordelijk is

DMOTIV BV, Pampa 3, 2330 Merksplas, België, btw BE 1038.924.933, is de verwerkingsverantwoordelijke voor uw persoonsgegevens. Voor alle vragen over privacy kunt u schrijven naar privacy@carnoat.com.

Wat wij verwerken, en waarom

Gegevens	Waarom	Rechtsgrond
Uw account: naam, e-mailadres, taal, wachtwoord (als hash opgeslagen), inlogmethoden	Om u een account te geven en dat account te beveiligen	Overeenkomst
Als u inlogt met Google: de naam en het e-mailadres van uw Google-account en een kenmerk	Om u te laten inloggen	Overeenkomst
Een profielfoto, als u er een toevoegt, of uw Google-foto bij uw eerste aanmelding als u er nog geen hebt	Om u in uw account te tonen en, zodra u in een gesprek uw gegevens deelt, aan de andere kant	Overeenkomst
Documenten, foto's en video's die u uploadt, en wat wij daaruit lezen	Om de historie van uw auto op te bouwen, zoals u ons vraagt	Overeenkomst
Het kenteken dat u bij een auto opgeeft	Om documenten waarop het staat bij de juiste auto te plaatsen; alleen u ziet het, en het gaat niet mee bij een verkoop	Overeenkomst
Een auto die u aanbiedt: prijs, kilometerstand, uw beschrijving, de plaats en hoe precies die getoond wordt, en de foto's	Om hem aan kopers te tonen zoals u kiest. Een open aangeboden auto is openbaar te zien en vindbaar via zoekmachines; een discrete auto alleen als anoniem profiel, hooguit met de provincie	Overeenkomst
Vragen en gesprekken tussen een koper en een eigenaar	Zodat u over een auto kunt praten zonder contactgegevens uit te wisselen. Ons team leest een gesprek alleen als een van beiden het meldt	Overeenkomst en gerechtvaardigd belang
Auto's die u bewaart, vergelijkt of volgt voor een lagere prijs	Om uw lijst bij te houden en u te laten weten wanneer een prijs zakt; de eigenaar ziet hoeveel mensen de auto bewaarden, nooit wie	Overeenkomst
Weergaven van een aangeboden auto	Om de eigenaar per dag te laten weten hoeveel mensen keken. Een bezoeker wordt geteld met een code uit de dag, het IP-adres en de browser, die alleen tot middernacht bestaat en nergens anders bij wordt bewaard	Gerechtvaardigd belang
Een melding over een advertentie: uw e-mailadres (als u geen account hebt), wat u meldt en hoe het werd afgehandeld	Om ernaar te handelen, u de uitkomst te laten weten en de eigenaar te zeggen waarom, zonder u te noemen	Wettelijke verplichting (Digital Services Act) en gerechtvaardigd belang
Een vingerafdruk van elke foto van een aangeboden auto	Om foto's te vinden die van de auto van een andere eigenaar zijn overgenomen	Gerechtvaardigd belang
Uw identiteitscontrole: het resultaat en een referentie bij Didit	Om fraude te voorkomen, voordat namen, documenten of een bezichtiging tussen een koper en een eigenaar gaan, en voordat iemand een vraag stelt over een discrete auto	Overeenkomst en gerechtvaardigd belang
Een bedrijfsaccount: de gegevens van het bedrijf, het btw-nummer, het antwoord van het EU-btw-register (VIES) en wie er voor het bedrijf werkt	Om een garage of dealer te controleren voordat de naam van het bedrijf op Carnoat verschijnt	Overeenkomst en gerechtvaardigd belang
Een factuur die een garage u stuurt: uw e-mailadres en de factuur, zoals de garage die heeft opgegeven	Zodat u de factuur in uw archief kunt opnemen of kunt weigeren; de garage is er verantwoordelijk voor dat zij over uw adres beschikt	Gerechtvaardigd belang
Een overdrachtslink of een uitnodiging voor een team: het e-mailadres waarnaar die is gestuurd	Zodat alleen die persoon de link of uitnodiging kan aanvaarden	Overeenkomst
Betalingen: wat u hebt gekocht en wanneer; kaartgegevens blijven bij Stripe	Om te leveren en te factureren wat u hebt besteld	Overeenkomst en wettelijke verplichting
Zoekopdrachten op de marktplaats en de filters die daaruit worden afgeleid	Om resultaten te tonen, matchmeldingen te sturen en pogingen te herkennen om de marktplaats in kaart te brengen	Overeenkomst en gerechtvaardigd belang
Berichten aan ons, meldingen en de afhandeling daarvan	Om u te antwoorden en het platform veilig te houden	Gerechtvaardigd belang
Uw WhatsApp-nummer, als u daarvoor kiest	Alleen voor dringende berichten, nooit voor marketing	Toestemming
Browsermeldingen, als u ze voor een toestel aanzet: het pushadres van dat toestel	Om het onderwerp van een melding naar dat toestel te sturen; uitzetten verwijdert het	Toestemming
Technische gegevens: IP-adres, browser, foutrapporten zonder persoonlijke inhoud	Beveiliging en een goed werkende dienst	Gerechtvaardigd belang
Analytische gegevens, alleen als u dat toestaat	Om te begrijpen hoe Carnoat wordt gebruikt en Carnoat te verbeteren	Toestemming

Documenten en anonimisering

Uw originele documenten zijn versleuteld en alleen voor u zichtbaar. Wij maken een kopie waarop persoonsgegevens zwart zijn gemaakt. Een koper ziet die kopie pas nadat een moderator ze heeft goedgekeurd en u ervoor hebt gekozen ze te delen. Gegevens van bedrijven (de naam, het adres of het btw-nummer van een garage) blijven zichtbaar. Het zijn geen persoonsgegevens, en ze zijn belangrijk voor een koper.

Wie nog gegevens voor ons verwerkt

Wij werken met een beperkt aantal verwerkers. Elke verwerker is via een contract aan onze instructies gebonden:

• hosting in de Europese Unie (TransIP, Nederland), en versleutelde back-ups bij Google Cloud in België;
• Didit, voor identiteitscontroles;
• Google, om u te laten inloggen als u kiest voor inloggen met Google;
• Stripe, voor betalingen;
• OpenAI en Anthropic, om documenten uit te lezen, zoekopdrachten op de marktplaats te begrijpen, beschrijvingen van aangeboden auto's te vertalen en hulpvragen te beantwoorden; zij gebruiken deze gegevens niet om hun modellen te trainen;
• Brevo, om e-mail te versturen;
• de pushdienst van uw browser (bijvoorbeeld Google, Apple of Mozilla), alleen als u browsermeldingen aanzet; die geeft een versleuteld bericht door aan uw toestel;
• Cloudflare, dat deze website levert en de openbare formulieren (registreren, wachtwoord vergeten, contact, de help-assistent) met Turnstile controleert op geautomatiseerd misbruik; daarvoor ziet Cloudflare uw IP-adres en gegevens van uw browser, zonder trackingcookies te plaatsen;
• een dienst voor foutregistratie in de EU, die foutrapporten zonder persoonsgegevens ontvangt;
• Google Analytics, alleen als u analytische cookies toestaat.

Sommige van deze aanbieders zijn gevestigd in de Verenigde Staten. Doorgiften buiten de Europese Economische Ruimte zijn gebaseerd op het adequaatheidsbesluit van de Europese Commissie voor het EU-VS Data Privacy Framework of op standaardcontractbepalingen.

Hoe lang wij gegevens bewaren

• Uw account en uw originele documenten: zolang u het account hebt.
• Nadat u uw account hebt verwijderd: alles wordt na 30 dagen gewist, behalve de historie van een auto die u via een bevestigde verkoop hebt verkocht. Die historie blijft bij de auto en de nieuwe eigenaar.
• Betalingsbewijzen en foto's van het chassisnummer die u voor een controle stuurt: verwijderd zodra een moderator een beslissing heeft genomen. Alleen de beslissing wordt bewaard.
• Een overzicht van wie wat deed en wanneer (niet de inhoud): bewaard om fraude te voorkomen en geschillen op te lossen.
• Back-ups: tot 30 dagen. Gegevens die u of wij in de dienst verwijderen, kunnen nog tot 30 dagen versleuteld en ongebruikt in een back-up staan, totdat die back-up vervalt.
• Facturen: 7 jaar, zoals de Belgische wet voorschrijft.
• Gesprekken tussen een koper en een eigenaar: zolang beide accounts bestaan; wordt een van beide gewist, dan wordt het gesprek mee gewist.
• Meldingen over een advertentie en de afhandeling ervan: zolang de Digital Services Act vraagt dat wij er rekenschap over kunnen afleggen.
• Een factuur die een garage u heeft gestuurd en die u niet hebt opgenomen of geweigerd: verwijderd na 90 dagen.
• Uw identiteitscontrole: bewaard door Didit zolang de antiwitwaswetgeving dat voorschrijft, vaak 5 jaar of langer, los van uw account bij Carnoat.

Uw rechten

U kunt uw gegevens inzien, corrigeren, exporteren en laten verwijderen. Het meeste doet u zelf via uw instellingen: een kopie van al uw gegevens downloaden, een document verwijderen of uw account verwijderen. U kunt ook bezwaar maken tegen een verwerking op basis van ons gerechtvaardigd belang, uw toestemming op elk moment intrekken (voor analytische cookies via de cookie-instellingen) en ons vragen een verwerking te beperken. Schrijf daarvoor naar privacy@carnoat.com. Wij antwoorden binnen een maand.

Bent u niet tevreden over hoe wij met uw gegevens omgaan, dan kunt u een klacht indienen bij de Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel, www.gegevensbeschermingsautoriteit.be.

Cookies

Welke cookies wij gebruiken en hoe u uw keuze aanpast, leest u in het cookiebeleid.

Wijzigingen

Wanneer wij deze verklaring wijzigen, passen wij de datum bovenaan aan. Belangrijke wijzigingen laten wij u per e-mail weten.