NightBet Privacybeleid | Bescherming van je Persoonsgegevens

Wettelijke grondslag van onze verwerking

NightBet verwerkt persoonsgegevens onder vier wettelijke grondslagen uit artikel 6 AVG: uitvoering van de overeenkomst (je casino account), wettelijke verplichting (KYC, anti witwas, fiscale rapportage), gerechtvaardigd belang (fraude preventie, beveiliging) en toestemming (marketing en analytische cookies). Voor elk type verwerking documenteren we de specifieke grondslag in onze verwerkingsregister, dat opvraagbaar is voor de Autoriteit Persoonsgegevens en voor jou op verzoek via support.

Verwerkers en sub verwerkers

Voor specifieke diensten schakelen we erkende verwerkers in: payment processors zoals Worldpay en Trustly voor transacties, KYC providers zoals Onfido voor documentverificatie, hosting bij datacenters in Frankfurt en Amsterdam, en cloud security oplossingen van Cloudflare. Met elke verwerker is een Data Processing Agreement afgesloten conform artikel 28 AVG. Sub verwerkers worden alleen ingeschakeld na onze schriftelijke goedkeuring en met dezelfde gegevensbeschermingsstandaarden.

Profilering en geautomatiseerde besluitvorming

We gebruiken algoritmes om verdacht gedrag te detecteren, zoals afwijkende inzetpatronen die op fraude of gokproblematiek wijzen. Een vlag van het algoritme leidt nooit automatisch tot een negatieve beslissing over je account. Een menselijke compliance medewerker beoordeelt elke vlag binnen 24 uur. Je hebt het recht om bezwaar te maken tegen profilering en om een menselijke heroverweging te vragen van elke beslissing die rechtsgevolgen heeft of je significant raakt.

Bewaartermijnen in detail

Account en financiële transacties bewaren we 7 jaar na sluiting, conform de bewaarplicht van de Wwft en fiscale regelgeving. KYC documenten zoals paspoort en adresbewijs bewaren we 5 jaar na laatste verificatie. IP logs en sessiegegevens bewaren we 12 maanden voor security en fraude analyse. Marketing voorkeuren en consent records bewaren we tot intrekking plus 30 dagen voor audit trail. Anonieme analytische data kan langer bewaard blijven omdat het niet meer tot jou herleidbaar is.

Beveiligingsmaatregelen

Naast TLS 1.3 encryptie in transit gebruiken we AES 256 encryptie at rest voor alle persoonsgegevens. Wachtwoorden worden gehasht met Argon2id, een memory hard algoritme dat brute force aanvallen extreem traag maakt. Backups worden versleuteld opgeslagen op geografisch gescheiden locaties met point in time recovery van 30 dagen. Penetratietesten worden jaarlijks uitgevoerd door een externe ISO 27001 gecertificeerde partij, en kritieke bevindingen worden binnen 72 uur verholpen.

Internationale doorgifte

Sommige verwerkers zijn buiten de EER gevestigd. Voor doorgifte naar deze landen gebruiken we Standard Contractual Clauses van de Europese Commissie 2021 versie, aangevuld met aanvullende technische en organisatorische maatregelen zoals pseudonimisering en encryptie. Voor doorgifte naar de Verenigde Staten volgen we het EU US Data Privacy Framework waar de verwerker daaronder gecertificeerd is. Een lijst van alle landen waarheen data wordt overgedragen is op te vragen via support.

Hoe een datalek wordt gemeld

Bij een datalek dat een hoog risico vormt voor jouw rechten en vrijheden, brengen we jou binnen 72 uur op de hoogte via e mail en in app melding. We melden het lek ook bij de Autoriteit Persoonsgegevens binnen dezelfde termijn. De melding bevat de aard van het lek, welke gegevens betrokken zijn, welke maatregelen je zelf kunt nemen en welke maatregelen wij hebben getroffen om herhaling te voorkomen.

Klachten en geschillen

Heb je een klacht over hoe wij met je gegevens omgaan, neem dan eerst contact op met onze Data Protection Officer via het contactformulier in je account. Reactietermijn is maximaal 30 dagen. Ben je niet tevreden met onze reactie, dan heb je het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl of bij de toezichthouder in het land van onze licentie.

Marketing voorkeuren beheren

Je marketing voorkeuren beheer je via je account dashboard met aparte toggles voor e mail, SMS, push meldingen en gepersonaliseerde aanbiedingen. Opt out wordt direct verwerkt en geldt binnen 24 uur voor alle marketing kanalen. Belangrijk: transactionele communicatie zoals cashout bevestigingen, KYC verzoeken en security meldingen blijven altijd actief omdat die noodzakelijk zijn voor de uitvoering van je casino account, en vallen niet onder marketing opt out.

Anonieme data en aggregatie

Voor product verbeteringen en bedrijfsrapportage gebruiken we geaggregeerde data die niet meer tot een individuele speler te herleiden is. Denk aan totaal aantal sessies per dag, populariteit van bepaalde slots of gemiddelde cashout snelheid. Deze data valt buiten de AVG omdat het anoniem is, maar wij behandelen het toch met dezelfde zorg om indirecte herleidbaarheid via combinatie met andere data sets te voorkomen. Anonimisering wordt jaarlijks geaudit op effectiviteit.

Data minimalisatie als principe

Onder de AVG geldt het principe van data minimalisatie: alleen verzamelen wat strikt nodig is voor het doel. NightBet vertaalt dat naar concrete keuzes: we vragen geen geboorteplaats als geboortedatum genoeg is voor leeftijdsverificatie, we vragen geen burger service nummer als paspoort nummer voor KYC volstaat, en we koppelen geen Facebook of Google account aan je casino account zonder expliciete keuze van jouw kant. Privacy by design is verankerd in de product roadmap met een privacy review op elke nieuwe feature.

Vertrouwde derden

Voor sommige diensten delen we beperkt data met vertrouwde derden: KYC verificatie via Onfido of Sumsub, fraude detectie via Sift of GeoComply, payment processing via Worldpay en Trustly. Elk van deze partijen heeft een DPA met ons en mag de data alleen gebruiken voor het specifiek afgesproken doel. Geen van deze partners verkoopt of deelt jouw data verder. Een actuele lijst van alle data partners is beschikbaar op verzoek via het contactformulier in je account.