Versie 2.1 — Laatst bijgewerkt: 8 augustus 2026
HotsaCity is de verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679, hierna: “AVG”) voor de persoonsgegevens die via het platform worden verwerkt ten behoeve van de eigen dienstverlening.
Wanneer bedrijven het HotsaCity-platform gebruiken om persoonsgegevens van hun eigen klanten en medewerkers te verwerken, treedt het bedrijf op als verwerkingsverantwoordelijke en HotsaCity als verwerker. In dat geval is een verwerkersovereenkomst van toepassing.
Deze privacyverklaring is van toepassing op alle diensten aangeboden via het HotsaCity-platform, inclusief maar niet beperkt tot de website builder, boekingssystemen, administratiemodule, HR-module, B2B-module en point-of-sale functionaliteit.
Wij verwerken de volgende categorieën persoonsgegevens, afhankelijk van hoe u het platform gebruikt:
Belangrijk: HotsaCity slaat GEEN creditcard-, betaalkaart- of bankgegevens van eindgebruikers op. Alle betalingen worden verwerkt via Mollie B.V., een gecertificeerde PCI DSS Level 1 payment service provider. Raadpleeg het privacybeleid van Mollie op mollie.com/privacy voor meer informatie.
Het platform verwerkt op dit moment géén gezondheidsgegevens. De “zorgmodus” is technisch vergrendeld en wordt pas geactiveerd nadat het platform daarvoor gecertificeerd is (NEN 7510).
Wij verwerken persoonsgegevens uitsluitend op basis van een wettelijke grondslag als bedoeld in artikel 6 (en voor bijzondere persoonsgegevens artikel 9) AVG. Onderstaand vindt u per verwerkingsactiviteit de toepasselijke grondslag:
| Verwerkingsactiviteit | Grondslag |
|---|---|
| Account aanmaken en beheren | Uitvoering overeenkomst (Art. 6 lid 1 sub b) |
| Verwerken van boekingen en reserveringen | Uitvoering overeenkomst (Art. 6 lid 1 sub b) |
| Betalingsverwerking via Mollie | Uitvoering overeenkomst (Art. 6 lid 1 sub b) |
| Financiële administratie, facturatie en BTW-aangifte | Wettelijke verplichting (Art. 6 lid 1 sub c) — fiscale bewaarplicht (Art. 52 AWR) |
| Personeels-/HR-administratie (BSN, contracten, loonstroken) | Wettelijke verplichting (Art. 6 lid 1 sub c) — arbeids- en fiscaal recht |
| Loonadministratie via Nmbrs | Wettelijke verplichting (Art. 6 lid 1 sub c) — Wet op de loonbelasting |
| Beveiligingsmaatregelen (audit logs, rate limiting, IP-registratie) | Gerechtvaardigd belang (Art. 6 lid 1 sub f) — platformbeveiliging en fraudepreventie |
| Locatiegegevens verwerken | Toestemming (Art. 6 lid 1 sub a) |
| Gezondheidsgegevens verwerken (zorgverleners) | Uitdrukkelijke toestemming (Art. 9 lid 2 sub a) of noodzakelijk voor doeleinden van geneeskundige behandeling (Art. 9 lid 2 sub h) |
| Niet-noodzakelijke cookies plaatsen | Toestemming (Art. 6 lid 1 sub a) conform Telecommunicatiewet Art. 11.7a |
| Servicecommunicatie (e-mail over uw account, boekingen) | Uitvoering overeenkomst (Art. 6 lid 1 sub b) |
| B2B-samenwerkingen, leveranciers- en relatiebeheer | Uitvoering overeenkomst (Art. 6 lid 1 sub b) |
| Platformverbetering, foutanalyse en prestatieoptimalisatie | Gerechtvaardigd belang (Art. 6 lid 1 sub f) — verbetering dienstverlening |
| Debiteurenbeheer en incasso | Uitvoering overeenkomst (Art. 6 lid 1 sub b) / Gerechtvaardigd belang (Art. 6 lid 1 sub f) |
| Wettelijke verplichtingen (bijv. rechterlijk bevel, toezichthouder) | Wettelijke verplichting (Art. 6 lid 1 sub c) |
Belangenafweging bij gerechtvaardigd belang: Wanneer wij ons baseren op gerechtvaardigd belang, maken wij altijd een afweging tussen ons belang en uw privacybelangen. U kunt altijd bezwaar maken tegen verwerking op basis van gerechtvaardigd belang (zie sectie 8).
Wij bewaren persoonsgegevens niet langer dan strikt noodzakelijk voor het doel waarvoor ze zijn verzameld, of zolang als wettelijk vereist. De specifieke bewaartermijnen per categorie zijn:
| Categorie | Bewaartermijn | Grondslag termijn |
|---|---|---|
| Accountgegevens (bedrijfsaccount) | Duur van het account; na einde van de toegang een exportvenster van 30 dagen, daarna verwijdering. Inactieve accounts worden uiterlijk 2 jaar na de laatste activiteit verwijderd | Overeenkomst + gerechtvaardigd belang |
| Financiële gegevens (facturen, transacties, boekhouding) | 7 jaar na het boekjaar | Fiscale bewaarplicht (Art. 52 AWR) |
| Audit logs | 7 jaar | Compliance, fraudepreventie en wettelijke bewaarplicht |
| Error logs en technische foutmeldingen | 90 dagen | Gerechtvaardigd belang (foutoplossing) |
| Sessiegegevens | 7 dagen na sessiebeëindiging | Gerechtvaardigd belang (beveiliging) |
| Verlopen tokens (blacklist) | Tot na verloopdatum van het token (max. 30 dagen) | Gerechtvaardigd belang (beveiliging) |
| Klantgegevens (boekingen, reviews) | Duur van het klantaccount; na verwijdering van het account worden de gegevens gewist of geanonimiseerd, behoudens gegevens in de administratie van het bedrijf waarvoor een fiscale bewaarplicht geldt | Overeenkomst + wettelijke bewaarplicht bedrijf |
| Medewerkersgegevens (arbeidsrechtelijk) | Duur dienstverband + 5 jaar (loonadministratie) of 7 jaar (fiscale gegevens) | Wettelijke bewaarplicht (Wet op de loonbelasting, AWR) |
| BSN (burgerservicenummer) | Duur dienstverband + 5 jaar | Wettelijke verplichting (Wet op de loonbelasting) |
| Back-ups (versleuteld) | Dagelijkse back-ups 30 dagen; wekelijkse 3 maanden; maandelijkse maximaal 1 jaar. Back-ups worden niet voor reguliere verwerking gebruikt; bij terugzetten wordt een eerdere verwijdering opnieuw toegepast | Gerechtvaardigd belang (continuïteit) |
| Cookie-voorkeuren | 1 jaar | Toestemming |
Na het verstrijken van de bewaartermijn worden gegevens definitief en onherroepelijk verwijderd of geanonimiseerd zodat ze niet meer herleidbaar zijn tot een natuurlijk persoon. Geanonimiseerde gegevens mogen voor statistische doeleinden bewaard worden.
Wij delen persoonsgegevens uitsluitend met derden wanneer dit noodzakelijk is voor onze dienstverlening of wanneer wij hiertoe wettelijk verplicht zijn. Met alle verwerkers sluiten wij een verwerkersovereenkomst conform artikel 28 AVG.
| Verwerker | Doel | Gegevens | Locatie |
|---|---|---|---|
| Mollie B.V. | Betalingsverwerking (PCI DSS Level 1) | Transactiegegevens, betaalmethode | Nederland (EER) |
| Resend, Inc. | Transactionele e-mail verzending | E-mailadres, naam | VS (EU-VS DPF / SCCs) |
| Hostinger International Ltd. | Serverhosting en data-opslag | Alle gegevens (opslag) | EU (EER) |
| Nmbrs (indien gekoppeld door gebruiker) | Loonadministratie en salarisverwerking | Medewerkersgegevens, BSN, salarisgegevens | Nederland (EER) |
| Anthropic, PBC | AI-assistent (HotsaBot), AI-ondersteunde reviewmoderatie en bonnenherkenning (OCR) | Chatberichten, reviewteksten, gescande bonnen/facturen | VS (waarborgen conform hoofdstuk V AVG, zie sectie 6) |
| Cloudflare, Inc. | CDN, DDoS-bescherming en botbeheer | IP-adres, verkeersgegevens | EU/VS (waarborgen conform hoofdstuk V AVG) |
| Enable Banking (indien bankkoppeling geactiveerd) | Bankkoppeling voor reconciliatie van de administratie | Bankmutaties (namen, IBAN's, omschrijvingen) | EU (EER) |
Wij verkopen uw persoonsgegevens nooit aan derden. Gegevens worden uitsluitend gedeeld voor de hierboven genoemde doeleinden en met passende technische en contractuele waarborgen.
Naast bovengenoemde verwerkers kunnen wij persoonsgegevens delen met:
Wij streven ernaar alle persoonsgegevens binnen de Europese Economische Ruimte (EER) te verwerken en op te slaan. Onze primaire servers bevinden zich in de EU. Indien doorgifte naar landen buiten de EER noodzakelijk is (bijvoorbeeld voor e-mailverzending via Resend of AI-verwerking via Anthropic, beide in de VS), zorgen wij voor passende waarborgen conform hoofdstuk V van de AVG:
U kunt bij ons opvragen welke specifieke waarborgen van toepassing zijn op de doorgifte van uw gegevens en een kopie van de relevante standaard contractbepalingen opvragen via hotsacity@gmail.com.
Wij nemen de bescherming van uw gegevens zeer serieus en hebben uitgebreide technische en organisatorische maatregelen geïmplementeerd conform artikel 32 AVG, gebaseerd op de stand van de techniek, de kosten van tenuitvoerlegging en de aard, omvang, context en doeleinden van de verwerking:
Op grond van de Algemene Verordening Gegevensbescherming heeft u de volgende rechten met betrekking tot uw persoonsgegevens:
U heeft het recht om te weten welke persoonsgegevens wij van u verwerken, met welk doel, met wie deze gedeeld worden en hoe lang ze bewaard worden. U kunt een gratis kopie ontvangen van alle persoonsgegevens die wij van u verwerken.
U heeft het recht om onjuiste persoonsgegevens onverwijld te laten rectificeren en onvolledige persoonsgegevens te laten aanvullen.
U heeft het recht om uw persoonsgegevens te laten wissen wanneer: (a) de gegevens niet langer nodig zijn voor het doel waarvoor ze zijn verzameld, (b) u uw toestemming intrekt, (c) u bezwaar maakt en er geen dwingende gronden zijn, of (d) de gegevens onrechtmatig zijn verwerkt. Wij kunnen verwijdering weigeren indien bewaring wettelijk verplicht is (bijv. fiscale bewaarplicht van 7 jaar).
U heeft het recht om de verwerking van uw gegevens te beperken wanneer: (a) u de juistheid van de gegevens betwist, (b) de verwerking onrechtmatig is maar u geen wissing wenst, (c) wij de gegevens niet meer nodig hebben maar u ze nodig heeft voor een rechtsvordering, of (d) u bezwaar heeft gemaakt in afwachting van de beoordeling.
U heeft het recht om de persoonsgegevens die u aan ons heeft verstrekt in een gestructureerd, gangbaar en machineleesbaar formaat (JSON of CSV) te ontvangen, en het recht om deze gegevens zonder belemmering aan een andere verwerkingsverantwoordelijke over te dragen.
U heeft te allen tijde het recht om bezwaar te maken tegen verwerking van uw persoonsgegevens op basis van gerechtvaardigd belang (Art. 6 lid 1 sub f). Wij staken de verwerking tenzij er dwingende gerechtvaardigde gronden zijn die zwaarder wegen dan uw belangen, rechten en vrijheden.
Wanneer verwerking is gebaseerd op uw toestemming, kunt u deze op elk moment intrekken, zonder opgaaf van redenen. Het intrekken van toestemming heeft geen invloed op de rechtmatigheid van de verwerking vóór de intrekking. Het intrekken van toestemming is even eenvoudig als het geven ervan.
U heeft het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens indien u van mening bent dat uw persoonsgegevens in strijd met de AVG worden verwerkt. Zie sectie 13 voor de contactgegevens.
Reactietermijn: Wij reageren op uw verzoek binnen 30 dagen na ontvangst (Art. 12 lid 3 AVG). Bij complexe of talrijke verzoeken kan deze termijn met maximaal 2 maanden worden verlengd, waarover wij u binnen de eerste 30 dagen informeren met opgave van redenen.
Identificatie: Om uw rechten uit te oefenen, kunnen wij u vragen om uw identiteit te verifiëren. Dit doen wij om te voorkomen dat uw gegevens aan een onbevoegde derde worden verstrekt.
Kosten: Het uitoefenen van uw rechten is in principe kosteloos. Bij kennelijk ongegronde of buitensporige verzoeken (met name wegens hun repetitieve karakter) kunnen wij een redelijke vergoeding in rekening brengen of het verzoek weigeren (Art. 12 lid 5 AVG).
HotsaCity maakt gebruik van cookies en vergelijkbare technologieën (zoals localStorage) om het platform te laten functioneren, uw voorkeuren op te slaan en de gebruikerservaring te verbeteren. Voor een volledig en gedetailleerd overzicht van welke cookies wij gebruiken, met welk doel, de bewaartermijnen en hoe u uw voorkeuren kunt beheren, verwijzen wij u naar onze Cookieverklaring.
Noodzakelijke cookies worden geplaatst zonder toestemming, omdat deze essentieel zijn voor het functioneren van het platform. Voor niet-noodzakelijke cookies vragen wij altijd vooraf uw toestemming via onze cookiebanner.
HotsaCity maakt geen gebruik van volledig geautomatiseerde besluitvorming (zonder menselijke tussenkomst) die rechtsgevolgen heeft voor u of u op vergelijkbare wijze aanmerkelijk treft, in de zin van artikel 22 AVG.
Ons platform bevat AI-ondersteunde functies (zoals HotsaBot voor klantenondersteuning en HotsaGuard voor beveiligingsmonitoring), maar deze worden uitsluitend ingezet als hulpmiddel. Beslissingen met significante gevolgen voor betrokkenen worden altijd door een mens genomen of beoordeeld.
Wij maken geen gebruik van profilering voor marketingdoeleinden of voor het nemen van besluiten die u significant beïnvloeden.
Wij kunnen deze privacyverklaring van tijd tot tijd bijwerken, bijvoorbeeld bij wijzigingen in onze diensten, nieuwe verwerkingsactiviteiten, gewijzigde wetgeving of relevante jurisprudentie. De meest recente versie is altijd beschikbaar op deze pagina met vermelding van de datum van de laatste wijziging.
Bij substantiële wijzigingen die uw rechten of de verwerking van uw gegevens materieel raken, informeren wij u via:
Wij raden u aan deze privacyverklaring periodiek te raadplegen om op de hoogte te blijven van eventuele wijzigingen.
Voor vragen, opmerkingen of verzoeken met betrekking tot deze privacyverklaring of de verwerking van uw persoonsgegevens kunt u contact met ons opnemen:
Wij streven ernaar om binnen 5 werkdagen op uw bericht te reageren. Voor formele AVG-verzoeken (inzage, rectificatie, wissing, etc.) geldt de wettelijke termijn van maximaal 30 dagen.
De Autoriteit Persoonsgegevens (AP) is de onafhankelijke Nederlandse toezichthouder die toeziet op de naleving van de privacywetgeving, waaronder de AVG en de Uitvoeringswet AVG. Als u van mening bent dat wij uw persoonsgegevens niet correct verwerken, ondanks ons verzoek om dit eerst bij ons te melden, heeft u het recht om een klacht in te dienen bij de AP.
Wij waarderen het als u eventuele klachten eerst bij ons kenbaar maakt via hotsacity@gmail.com, zodat wij de kans krijgen om samen met u tot een bevredigende oplossing te komen.
Versie 2.1 — Laatst bijgewerkt: 8 augustus 2026
Deze privacyverklaring is opgesteld in overeenstemming met de Algemene Verordening Gegevensbescherming (EU) 2016/679, de Uitvoeringswet AVG en de Telecommunicatiewet.