Cookiebeleid

Stand van de technische inventaris: GDPR Answers van 18 september 2026, met een cookiemeting van 17 september 2026. Er is momenteel geen cookiebanner, instellingenfunctie of toestemmingslog. Niet strikt noodzakelijke opslag of uitlezing mag niet zonder voorafgaande geldige toestemming worden geactiveerd. De in §§5–8 beschreven toestemmingseisen zijn daarom nog te implementeren, geen beschrijving van reeds werkende functies.

NOG TE BEVESTIGEN – de developers hebben een eerste inventaris aangeleverd. Kaaribu moet de definitieve categorieën, browserstorage en SDK’s per website, app en beheeromgeving toetsen en een hertest na technische aanpassingen uitvoeren.

1. Wie gebruikt deze technologie?

Dit beleid geldt voor de website en app van Kaaribu. Kaaribu BV, [ondernemingsnummer], [maatschappelijke zetel], is verantwoordelijk voor de eigen keuze en inzet van cookies en vergelijkbare technologie. Vragen kunnen worden gestuurd naar [privacy-e-mailadres].

2. Wat zijn cookies en vergelijkbare technologie?

Cookies zijn kleine gegevensbestanden die een website op uw browser of toestel opslaat of uitleest. Vergelijkbare technologie kan dezelfde of een gelijkaardige functie hebben, bijvoorbeeld local storage, pixels, tags, SDK’s in een app en apparaat- of app-identifiers.

De Belgische cookieregels gelden ruim voor het opslaan van informatie op, of het verkrijgen van toegang tot informatie op, uw toestel. Dit kan ook gelden wanneer de informatie op zichzelf geen persoonsgegeven is. Wanneer persoonsgegevens worden verwerkt, geldt daarnaast de AVG.

3. Welke categorieën onderscheiden wij?

3.1 Strikt noodzakelijke technologie

Deze technologie is technisch noodzakelijk om communicatie via een netwerk mogelijk te maken of om een dienst te leveren waarom u uitdrukkelijk hebt gevraagd. Voorbeelden kunnen zijn: beveiligde sessies, authenticatie, fraudebescherming, winkelmandje, load balancing en het onthouden van uw cookievoorkeur. Hiervoor is geen toestemming vereist, maar u ontvangt wel duidelijke informatie.

3.2 Functionele technologie

Functionele technologie onthoudt voorkeuren of maakt extra gebruiksgemak mogelijk. Alleen wanneer zij strikt noodzakelijk is voor een uitdrukkelijk gevraagde functie kan zij zonder toestemming worden gebruikt. In andere gevallen vragen wij vooraf toestemming.

3.3 Analytische technologie

Analytische technologie meet bijvoorbeeld bezoeken, gebruikspaden, fouten en prestaties. In België zijn analytische cookies en trackers in beginsel niet strikt noodzakelijk. Wij activeren ze daarom pas na toestemming, tenzij een concrete techniek aantoonbaar onder de wettelijke uitzondering valt.

3.4 Marketingtechnologie

Marketingtechnologie kan worden gebruikt om campagnes te meten, doelgroepen op te bouwen, advertenties te personaliseren of gedrag over diensten heen te volgen. Zij wordt alleen na voorafgaande, specifieke toestemming geactiveerd. De beschikbare documentatie bevestigt niet dat Kaaribu bij livegang zulke technologie gebruikt.

4. Welke technologie gebruikt Kaaribu concreet?

De onderstaande inventaris komt uit GDPR Answers §§8–10 (meting in een verse browser op 17 september 2026). Zij beschrijft de gemelde huidige werking; de classificatie van Stripe-cookies als strikt noodzakelijk op iedere pagina en van voorkeurenopslag moet nog per context worden bevestigd.

Browseropslag volgens developers: op kaaribu.be login-token/profiel, deal en gekozen vereniging tijdens checkout, taal, laatst bekeken deal/categorie, push- en Zendesk/Firebase-identifiers; in handelaars- en verenigingsportalen login/profiel inclusief bankgegevens, taal en Zendesk-identifiers; in admin login, resetkeys en taal. Dit zijn vergelijkbare technologieën waarop de cookieregels ook van toepassing kunnen zijn. De concrete opslagduur per item is nog te bevestigen.

5. Wanneer vragen wij toestemming?

Wij vragen vooraf toestemming voor iedere technologie die niet strikt noodzakelijk is. Toestemming is vrij, specifiek per doel, geïnformeerd, actief, ondubbelzinnig en aantoonbaar. Vooraf aangevinkte opties, stilzwijgen of verder surfen gelden niet als toestemming.

Voor niet strikt noodzakelijke opslag of uitlezing vragen wij vooraf toestemming. Feitelijk bestaat die keuze nog niet en laden sommige derden direct. Kaaribu moet niet noodzakelijke technologie vooraf blokkeren en de werking van weigering en intrekking testen. Niet iedere externe netwerkrequest is automatisch een cookie; ook de AVG-rechtsgrond en eventuele doorgifte moeten afzonderlijk worden beoordeeld.

6. Eisen voor de cookiebanner

De eerste laag van de banner bevat begrijpelijke kerninformatie en drie duidelijke mogelijkheden:

• alles aanvaarden;
• alle niet strikt noodzakelijke technologie weigeren;
• voorkeuren beheren per doel.

Aanvaarden en weigeren staan op dezelfde laag en worden gelijkwaardig gepresenteerd. Kleur, formaat, contrast, volgorde en formulering sturen niet misleidend naar toestemming. Niet noodzakelijke categorieën staan standaard uit. De gebruiker kan de dienst blijven gebruiken nadat niet noodzakelijke technologie is geweigerd.

De hiervoor beschreven banner en permanente link ‘Cookievoorkeuren’ zijn vereisten voor de beoogde inrichting en bestaan volgens GDPR Answers nog niet. Als na toetsing uitsluitend strikt noodzakelijke technologie resteert, kan de noodzaak van een toestemmingsbanner opnieuw worden beoordeeld; de informatieplicht blijft.

7. Toestemming wijzigen of intrekken

Na implementatie kunt u uw toestemming via ‘Cookievoorkeuren’ wijzigen of intrekken. Momenteel is die functie niet beschikbaar. Intrekking moet toekomstige niet strikt noodzakelijke opslag en uitlezing stoppen.

Technologie die al op uw toestel staat, wordt waar technisch mogelijk verwijderd of gedeactiveerd. Wanneer directe verwijdering niet mogelijk is, legt het definitieve register uit hoe u dit via uw browser of toestelinstellingen kunt doen.

Browserinstellingen kunnen cookies verwijderen of blokkeren, maar gelden op zichzelf niet als voldoende specifieke toestemming voor alle Kaaribu-doeleinden.

8. Bewijs en geldigheidsduur van de keuze

Na implementatie bewaart Kaaribu de noodzakelijke gegevens om toestemming en intrekking aan te tonen. Momenteel bestaat geen cookie-toestemmingsregistratie. Voor het onthouden van een cookievoorkeur beschouwt de Belgische Gegevensbeschermingsautoriteit een levensduur van in beginsel maximaal zes maanden als redelijk.

Wij vragen opnieuw toestemming wanneer doeleinden of partijen wezenlijk wijzigen, wanneer nieuwe niet noodzakelijke technologie wordt toegevoegd of wanneer de eerdere keuze niet langer betrouwbaar is.

9. Derde partijen en doorgifte buiten de EER

Gemelde derdencontacten: Google Fonts op alle vier websites; Stripe, Zendesk en de ongebruikte maar ingeladen Mapbox-bibliotheek op kaaribu.be; Zendesk op het merchantportaal. Afhankelijk van de handeling laden Google Maps, Google/Apple/Firebase, Strapi Cloud en PostHog-dashboards in het adminpanel. Ook Pixabay en picsum.photos leveren afbeeldingen. Niet iedere externe request is een cookie, maar kan wel IP-adressen of andere persoonsgegevens doorgeven.

Cloudflare gebruikt een wereldwijd netwerk; Strapi-mediabestanden staan in New York. Bij Stripe en meerdere andere derden is doorgifte buiten de EER mogelijk. Het concrete land en doorgiftemechanisme zijn nog niet per leverancier bevestigd. Cookietoestemming vervangt geen AVG-doorgiftewaarborg.

10. Uw privacyrechten

Wanneer cookies of vergelijkbare technologie persoonsgegevens verwerken, kunt u de rechten uit de AVG uitoefenen, waaronder inzage, correctie, wissing, beperking, overdraagbaarheid waar toepasselijk, bezwaar en intrekking van toestemming. Meer informatie staat in de Privacyverklaring. U kunt ook een klacht indienen bij de Belgische Gegevensbeschermingsautoriteit.

11. Wijzigingen

Inwerkingtreding: [datum invullen na implementatie en controle]. Versie: 3.2, gecontroleerde integratie GDPR Answers van 18 september 2026.

12. Technische publicatiecontrole

Vóór publicatie controleert Kaaribu minimaal de volgende onderdelen; de testresultaten zijn nog niet aangeleverd:

• scan vóór keuze: alleen strikt noodzakelijke technologie is actief;
• test ‘alles weigeren’: geen analytische of marketingrequests, opslag, pixels of SDK-events;
• test per categorie: uitsluitend de gekozen categorie wordt geactiveerd;
• test intrekking: toekomstige uitlezing en verzending stoppen en de keuze wordt opgeslagen;
• test zonder account, met account, tijdens checkout, betaling, voucherweergave en review;
• aparte test van website, iOS-app, Android-app en ingebedde inhoud;
• vergelijk scanresultaat met het gepubliceerde register en herhaal na iedere release die tracking kan wijzigen.