Privacyverklaring

1. Wie is verantwoordelijk

Ultimate Bookings wordt aangeboden door Afreaka BV (KvK 77973569). Voor je eigen accountgegevens zijn wij de verwerkingsverantwoordelijke; voor de gegevens die jij over jouw contacten en artiesten invoert, ben jij dat en zijn wij verwerker (zie punt 11).

Contact voor privacyvragen: info@ultimate-bookings.com. We hebben geen functionaris voor gegevensbescherming aangesteld; dat hoeft in ons geval niet (art. 37 AVG).

2. Welke gegevens we verwerken

Accountgegevens

Je naam, e-mailadres en een versleuteld wachtwoord. Zet je de tweede inlogstap aan, dan ook het geheim van je authenticator en je herstelcodes (versleuteld opgeslagen). Grondslag: uitvoering van de overeenkomst.

Werkgegevens die jij invoert of importeert

Boekingen, gages, contactpersonen, adressen, contracten, facturen, kosten, reisgegevens, agenda-items, fandata en teamleden. Hier zitten ook persoonsgegevens van ánderen in — jouw contactpersonen en artiesten. Grondslag: uitvoering van de overeenkomst met jou; voor die anderen ben jíj verantwoordelijk.

Voorkeuren rond gasten en crew

Bij de voorbereiding van een show kun je allergieën en dieetwensen vastleggen. Dat zijn gezondheidsgegevens. Zet ze er alleen in als het echt nodig is voor de show, en haal ze weg zodra de show voorbij is — wij verwijderen ze als eerste zodra een organisatie wordt opgeheven.

Gekoppelde mailbox

Koppel je een mailbox, dan bewaren we de inloggegevens AES-256-versleuteld en lezen we berichten alleen-lezen. De berichten die de agent gebruikt slaan we op — inclusief afzender, onderwerp en de tekst van het bericht — zodat je de draad kunt teruglezen en een antwoord echt als antwoord vertrekt. Zie punt 5.

Betaalgegevens

Wij zien geen rekeningnummers van je abonnement: dat regelt Mollie. Wat wij bewaren is het klant- en abonnementsnummer bij Mollie, de status en de bedragen. Het IBAN dat je op je eigen facturen zet, bewaren we wel — dat zet je zelf in de app.

Technische gegevens

Om misbruik te remmen tellen we verzoeken per adres. Het IP-adres wordt daarbij niet opgeslagen maar gehasht, en die tellers verdwijnen na twee dagen. Het foutenlogboek bevat met opzet geen namen, adressen of vrije tekst: alleen de soort fout, een vingerafdruk en het routepatroon.

3. Waarvoor we ze gebruiken

Uitsluitend om de dienst te leveren: je agenda en administratie tonen, concepten laten schrijven door de AI-agent, contracten en facturen maken, betalingen verwerken en je op de hoogte houden van zaken die jouw account direct raken.

We versturen geen reclamemail en verkopen geen gegevens. De mail die je van ons krijgt is servicemail: over je account, je abonnement en je facturen. Mail die de app namens jou verstuurt, gaat pas de deur uit nadat jij die per bericht hebt goedgekeurd.

We nemen geen geautomatiseerde besluiten met rechtsgevolg. De AI stelt voor; jij beslist.

4. Hoe lang we bewaren

Je account

Zolang je het hebt. Verwijder je het (Instellingen → Account), dan verdwijnen je naam, je inloggegevens en je persoonlijke agenda-links meteen.

Werkgegevens van je organisatie

Zolang de organisatie bestaat. Hef je de organisatie op, dan worden boekingen, contracten, agenda-items, mail, concepten, fandata, koppelingen en mailboxen op datzelfde moment gewist.

Facturen

Zeven jaar — dat is de fiscale bewaarplicht (art. 52 Algemene wet inzake rijksbelastingen). Bij het opheffen van je organisatie blijven de facturen staan, maar de persoonsgegevens eromheen worden meteen geanonimiseerd: bedrijfsnaam, straat, postcode, plaats, land en btw-nummer blijven, persoonsnamen, e-mailadressen, telefoonnummers, notities en voorkeuren gaan weg. Na die zeven jaar verdwijnt ook de rest.

Mailgeschiedenis (inhoud van berichten)

Zolang de organisatie bestaat; er is nu geen automatische opschoning. Je verwijdert alles in één keer door de organisatie op te heffen. Een kortere, automatische termijn staat op onze lijst — tot die er is, staat het hier eerlijk zoals het is.

Tellers tegen misbruik (gehasht IP)

Twee dagen, daarna worden ze verwijderd.

Logboeken over het platform

Draaironden van nachtelijke taken, storingsmeldingen en het foutenlogboek bevatten geen persoonsgegevens. Ze worden niet automatisch opgeschoond; ook hiervoor geldt dat een vaste termijn nog moet worden vastgelegd.

Clubvoorstellen en plaatscoördinaten

Publieke kaartgegevens die we hooguit dertig dagen bewaren zodat we dezelfde vraag niet steeds opnieuw stellen. Geen persoonsgegevens.

5. Je mailbox, en wat we daarvan bewaren

Koppel je een mailbox, dan leest de agent daarin mee om boekingsaanvragen te herkennen. Hij verstuurt en verwijdert nooit iets in jouw mailbox.

Belangrijk om te weten: de berichten die de agent gebruikt worden bij ons opgeslagen — afzender, ontvanger, onderwerp, datum en de tekst van het bericht. Dat is nodig om de draad op de boeking te tonen en om een antwoord echt als antwoord te laten aankomen. Die tekst kan alles bevatten wat je tegenpartij schrijft.

Er is daarnaast een functie die je mailarchief doorzoekt om je adresboek te vullen. Die kijkt alleen naar afzenders van mail die met boekingen te maken heeft en slaat daar naam, e-mailadres en bedrijfsnaam van op. Je start die functie zelf; hij loopt niet vanzelf.

Wil je dit niet, koppel dan geen mailbox. Verbreek je de koppeling, dan verdwijnen de inloggegevens meteen; de al opgeslagen berichten blijven staan tot je de organisatie opheft.

Het wachtwoord of app-wachtwoord van je mailbox slaan we AES-256-versleuteld op en is nergens in de app terug te lezen — ook niet door ons via de gewone weg.

6. Doorgifte buiten de Europese Unie

Je gegevens staan in de Europese Unie (Ierland). Drie partijen zitten in de Verenigde Staten: onze hostingpartij Vercel, de AI-dienst Anthropic en onze mailverzender Resend.

Voor die doorgifte gebruiken we de standaardcontractbepalingen van de Europese Commissie (art. 46 lid 2 sub c AVG), aangevuld met de maatregelen die die partijen zelf treffen. Anthropic gebruikt aangeboden gegevens niet om modellen te trainen en bewaart ze volgens zijn API-beleid maximaal dertig dagen voor misbruikdetectie.

Wil je dat er helemaal geen mailinhoud naar een AI-dienst gaat, koppel dan geen mailbox en gebruik de AI-import niet. De rest van de app werkt gewoon zonder.

7. Wat je browser zelf ophaalt

Twee onderdelen worden rechtstreeks door je browser opgehaald, en daarbij ziet die partij je IP-adres: de zaal-zoeker in het boekingsformulier (Photon van komoot, Duitsland) en de kaart eronder (kaarttegels van OpenStreetMap). Dat gebeurt alleen op het scherm waar je een boeking invoert of bewerkt.

Verder laadt de app geen externe scripts, geen advertentienetwerken en geen trackers.

8. Cookies

Alleen functionele cookies: om je ingelogd te houden, te onthouden welke organisatie je hebt gekozen en of je het lichte of donkere thema wilt. Er zijn geen tracking- of advertentiecookies, dus er is ook geen cookiebanner nodig.

9. Hoe we beveiligen

Elke organisatie is op databaseniveau afgeschermd (row level security): ook via de API kan niemand bij gegevens van een andere organisatie of buiten zijn rol kijken. Die afscherming wordt niet alleen op ons woord geloofd — er draait een testreeks die met echte wegwerp-accounts inlogt en de database zelf vraagt wie wat mag zien.

Verder: verkeer via HTTPS, versleutelde opslag bij onze database-leverancier, mailboxwachtwoorden en koppelsleutels AES-256-versleuteld, een tweede inlogstap die je zelf kunt aanzetten, en tellers die verzoeken remmen bij misbruik.

Ontdek je een beveiligingsprobleem? Meld het bij ons voordat je het ergens anders deelt. Onze contactgegevens staan op de contactpagina.

10. Jouw rechten

Inzage en overdracht: via Instellingen → Account download je je hele administratie als Excel-bestand (boekingen, contacten, facturen).

Correctie: je kunt alles wat je hebt ingevoerd in de app zelf wijzigen.

Verwijdering: je persoonlijke account opzeggen kan bij Instellingen → Account; je hele organisatie opheffen ook, op datzelfde scherm. Beide gaan meteen in. Wat er dan bewaard blijft, staat bij punt 4.

Bezwaar en beperking, of een vraag over een van je andere rechten: neem contact met ons op. We reageren binnen 30 dagen.

Ben je het niet eens met hoe Afreaka BV met je gegevens omgaat, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

11. Jij bent verantwoordelijk voor de gegevens van je klanten

Voor je eigen accountgegevens zijn wij de verwerkingsverantwoordelijke. Voor alles wat jij over jouw contactpersonen, artiesten en opdrachtgevers vastlegt, ben jíj dat — wij zijn dan verwerker en doen alleen wat jij ons opdraagt.

Dat betekent ook dat jij die mensen moet kunnen vertellen wat je met hun gegevens doet. Wij hebben daarvoor een verwerkersovereenkomst klaarliggen die je bij ons kunt opvragen; daarin staat wat wij wel en niet met die gegevens mogen, welke partijen wij inschakelen en wat we doen bij een datalek.

12. Wijzigingen

Deze verklaring kan wijzigen, bijvoorbeeld als er een partij bij komt. De actuele versie staat altijd op deze pagina. Bij wezenlijke wijzigingen laten we het weten in de app of per e-mail. Versie: augustus 2026.

Bijlage: de partijen die we inschakelen

Met partijen die persoonsgegevens namens ons verwerken sluiten we een verwerkersovereenkomst (art. 28 AVG). Deze lijst is compleet: staat een dienst er niet bij, dan gebruiken we hem niet.

SupabaseEuropese Unie (Ierland)

Database, inloggen en bestandsopslag — hier staat vrijwel alles wat je in de app invoert.

VercelVerenigde Staten (doorgifte op standaardcontractbepalingen)

Hosting: elk verzoek aan de app loopt hierlangs. Verwerkt daarbij technische gegevens zoals je IP-adres en browsergegevens.

Anthropic (Claude)Verenigde Staten (doorgifte op standaardcontractbepalingen)

Leest de mails en bestanden die je aanbiedt om er aanvragen, boekingen en concept-antwoorden van te maken. Er wordt niet op jouw gegevens getraind.

MollieNederland

Je abonnement bij ons, en — als je je eigen Mollie-sleutel koppelt — de betaallinks op jouw facturen.

ResendVerenigde Staten (doorgifte op standaardcontractbepalingen)

Het versturen van e-mail die jij hebt goedgekeurd, plus de melding of die mail is aangekomen of geweigerd.

Photon (komoot)Duitsland

Zoeken naar een zaal of plaats in het boekingsformulier. Je browser stuurt de zoekterm en daarmee je IP-adres rechtstreeks naar deze dienst.

OpenStreetMapEuropese Unie / Verenigd Koninkrijk

De kaarttegels onder de zaal-zoeker. Je browser haalt die rechtstreeks op, dus ook hier gaat je IP-adres mee.

Overpass (overpass-api.de)Duitsland

Clubvoorstellen per land op de pitchkaart. Deze aanvraag doet onze server, niet jouw browser; er gaan geen persoonsgegevens mee, alleen een landcode.

ABOSSNederland

Alleen als jij de overstaphulp gebruikt: wij halen met jouw eigen ABOSS-token je shows en contacten op. Wij schrijven niets terug naar ABOSS.

BandsintownVerenigde Staten (publieke gegevens, geen persoonsgegevens van jou)

Alleen als je de koppeling aanzet: publieke showgegevens en fanaantallen van je artiestenpagina.