Privacyverklaring Halloween Berg en Bos

Laatst bijgewerkt: 29 oktober 2026.

Mijn privacy en gegevens: inzage, correctie, downloaden of verwijderen

Wat zijn AVG en GDPR?

De Algemene Verordening Gegevensbescherming (AVG) is de Nederlandse benaming van de Europese General Data Protection Regulation (GDPR). Deze wet beschermt persoonsgegevens en geeft iedereen rechten over het verzamelen, gebruiken, bewaren en verwijderen van zijn of haar gegevens.

Bij Halloween Berg en Bos gaan we zorgvuldig met deze gegevens om. Wij gebruiken persoonsgegevens alleen wanneer dat noodzakelijk en toegestaan is voor het organiseren van Halloween Berg en Bos en voor de functies die bezoekers zelf gebruiken. Iedereen kan verzoeken om zijn of haar gegevens te bekijken, te corrigeren of te verwijderen.

Wij gebruiken uw persoonsgegevens niet voor reclame, marketing, acquisitie of commerciële profilering. Wij verkopen uw persoonsgegevens niet aan derden. Uw gegevens worden uitsluitend verwerkt voor de noodzakelijke organisatie van Halloween Berg en Bos, de door u gebruikte websitefuncties en eventuele wettelijke verplichtingen.

Wie zijn wij?

Halloween Berg en Bos is een evenement dat door de organisatie van Halloween Berg en Bos wordt georganiseerd voor bewoners, kinderen en andere deelnemers in de wijk. Wij vinden het belangrijk zorgvuldig met persoonsgegevens om te gaan en alleen gegevens te verzamelen die noodzakelijk zijn voor de organisatie en het gebruik van de website.

Contactpersoon en verantwoordelijke organisator volgens de contactgegevens op deze website: Michel R. Pasman, Sun Technologies, Soerenseweg 75, Apeldoorn, telefoon 0616279254. Je kunt ook het contactformulier in de voettekst gebruiken, bijvoorbeeld met onderwerp ‘Anders’ voor een privacyverzoek of accountverwijdering.

Welke gegevens verzamelen wij?

Wij krijgen gegevens van jou, of via een ouder, verzorger, contactpersoon of bevoegde organisator. Adresgegevens worden gecontroleerd met BAG/PDOK. Bij indirect verstrekte gegevens kun je bij de organisatie navragen wat de bron is en welke bevoegdheid is vastgesteld. Of een functionaris gegevensbescherming is aangewezen en de formele organisatorische gegevens moeten door de organisatie worden bevestigd; de gepubliceerde contactpersoon behandelt je privacyvragen.

• Naam van de contactpersoon, vrijwillig opgegeven e-mailadres en eventueel telefoonnummer.
• Aantallen volwassenen, kinderen en kinderen die aan de ronde deelnemen; keuzes en toelichting over eten, drinken of snacks.
• Bij deelnemende huizen: BAG-adres, straat, huisnummer, postcode, plaats, coördinaten, gekozen huisnaam, beschikbaarheid, opmerkingen en keuze voor kaartpublicatie.
• Bij vrijwilligers: beschikbaarheid, gekozen werkzaamheden, opmerkingen en eventuele taakindeling.
• Voor een account: e-mailadres, wachtwoordhash, accountstatus, rollen, bevestiging en tijdstippen van aanmaak en inloggen.
• Voor gezins- en spelfuncties: gezinsnaam, kindprofiel met Halloweennaam, leeftijdsgroep en avatar, groepsindeling, team, punten, vangsten, voortgang, badges en monsterkaarten, inclusief kaartbezit en ruiltransacties. Gebruik geen echte kindnamen.
• Bij fotouploads: foto, oorspronkelijke bestandsnaam, titel, toelichting, uploadtijd, naam en e-mailadres van de inzender of accountkoppeling, bevestiging van rechten en eventuele moderatie of meldingen.
• Bij contact: naam, e-mailadres, onderwerp, bericht en afhandelgegevens. Verder gegevens die je bewust verstrekt, zoals bijdragen aan de Nachtbode.
• Technische gegevens die nodig zijn voor sessies, foutafhandeling, beveiliging en het begrenzen van verzoeken, waaronder IP-adres bij netwerkverkeer en verzoekgegevens.

Waarvoor gebruiken wij deze gegevens?

Wij verwerken aanmeldingen, organiseren deelnemende huizen en vrijwilligers, plannen deelname, looproutes en groepsactiviteiten, faciliteren het inloggen en beheren van een persoonlijk account, communiceren over de eigen aanmelding en beveiligen de website. Spelgegevens zijn nodig voor de door jou gekozen spel- en verzamelfuncties; foto- en nieuwsgegevens voor de door jou gekozen bijdrage.

Grondslagen en vrijwillige keuzes

Voor deelname, accountbeheer en de op jouw verzoek aangeboden functies is de grondslag de uitvoering van de deelname- of gebruiksafspraak (artikel 6 lid 1 onder b AVG). Voor noodzakelijke beveiliging en organisatorische afhandeling baseren wij ons op het gerechtvaardigd belang om de website en het evenement veilig te laten functioneren (onder f). Voor optionele publicatie waarvoor toestemming nodig is, zoals het tonen van je huislocatie, vragen wij afzonderlijke toestemming (onder a). Die kun je weer intrekken via de organisatie. De privacycheckbox bevestigt alleen dat je deze verklaring hebt gelezen.

Deelname zonder e-mailadres en zonder account blijft mogelijk. Een ingevuld e-mailadres moet worden bevestigd voordat een account toegang krijgt of bestaande aanmeldingen eraan worden gekoppeld. Naam en noodzakelijke deelnamegegevens zijn verplicht voor de gekozen aanmelding.

Geen reclame of acquisitie

Wij gebruiken de verstrekte persoonsgegevens nooit voor reclame, commerciële acquisitie, direct marketing of het opstellen van commerciële gebruikersprofielen. Wij verkopen persoonsgegevens niet en verstrekken deze niet aan adverteerders. Persoonsgegevens worden niet gebruikt voor doeleinden die losstaan van de organisatie van Halloween Berg en Bos of de door de gebruiker gekozen websitefunctionaliteiten.

Wie kan de gegevens zien?

Bevoegde beheerders kunnen persoonsgegevens inzien voor zover hun taken dit vereisen. Je eigen account en gezinsgegevens zijn beschikbaar binnen de toegangsrechten van het account. Spelers kunnen de spelinformatie zien die nodig is voor gezamenlijke functies zoals kaartruil. Foto’s en bijdragen kunnen zichtbaar zijn binnen de gekozen galerij- of publicatiefunctie; deel alleen materiaal waarvoor je de benodigde rechten en toestemming hebt.

Als je afzonderlijk instemt met kaartpublicatie, worden straat, huisnummer en locatie van je deelnemende huis op de openbare Halloweenkaart getoond. Contactnaam, e-mailadres en telefoonnummer horen niet bij die publieke kaartgegevens.

Technische dienstverleners verwerken gegevens voor hosting, mail en technische functies. Accountmail wordt verstuurd via de ingestelde SMTP-dienst; de voorziene mailprovider is Mijn Hosting Partner. Kaart- en adresdiensten omvatten OpenStreetMap en PDOK. Bij rechtstreeks laden van externe kaarttegels ontvangt de externe server netwerkgegevens zoals je IP-adres en de opgevraagde kaarttegels.

Monster Hunt, GPS en monsterkaarten

Ouders en verzorgers beheren gezinsprofielen en vertegenwoordigen kinderen uitsluitend voor zover zij daartoe bevoegd zijn. Vermijd echte kindnamen en deel geen onnodige gegevens. Waar toestemming de grondslag is, moet de organisatie ook controleren of toestemming van de bevoegde ouder of verzorger nodig en aanwezig is. Een browsermelding voor GPS is geen vervanging voor die juridische controle.

GPS-navigatie vraagt locatietoegang aan je apparaat. De website gebruikt je locatie voor navigatie en nabijheidscontroles. Bij de openbare Monster Hunt blijven ruwe bezoekerscoördinaten in de browser; nabijheid wordt lokaal bepaald. Een ingelogde collectie kan een monster-ID en vangsttijd naar de server sturen voor synchronisatie. De afzonderlijke mobiele AR-interface kan locatie en nauwkeurigheid ontvangen voor een afstandscontrole, zonder die als locatiegeschiedenis op te slaan. Account- of kindprofielgebonden vangsten en kaarten worden opgeslagen voor je collectie en voortgang. Locatietoestemming kun je in de browser of op je apparaat intrekken; locatieafhankelijke functies kunnen dan beperkt werken. Acteurfuncties kunnen locatie gebruiken voor de evenementkaart. De website kent aparte opschoning van verouderde acteurposities.

Cookies en lokale opslag

De website gebruikt noodzakelijke sessie- en beveiligingsvoorzieningen. Een toegangssleutel wordt voor de inlogsessie in sessionStorage van de browser bewaard. Voorkeuren zoals geluid en muziek worden lokaal opgeslagen. Kaart- en navigatiefuncties kunnen lokale gegevens bewaren om de gekozen functie te laten werken. Je kunt deze browsergegevens zelf verwijderen; je moet daarna mogelijk opnieuw inloggen of voorkeuren instellen.

Hoe beveiligen wij gegevens?

De applicatie gebruikt toegangscontrole, accountrollen, validatie en begrenzing van verzoeken. Wachtwoorden worden nooit als leesbare tekst in de gebruikersdatabase opgeslagen, maar met de wachtwoordhashing van ASP.NET Core Identity. Persoonlijke activatielinks verlopen na twee uur en worden na succesvol gebruik ongeldig. De beveiliging van hosting, mail en transport vereist daarnaast een correct ingerichte productieomgeving.

Hoe lang bewaren wij gegevens?

De termijn voor evenementregistraties is configureerbaar en staat momenteel op 90 dagen. De organisatie moet wijzigingen en de onderbouwing daarvan vastleggen. De onderstaande 90-dagenbeschrijving geldt bij deze instelling.

De contactgegevens en vrije tekst van evenementaanmeldingen, gekoppelde personen, vrijwilligers en deelnemende huizen worden automatisch geanonimiseerd wanneer de editie langer dan 90 dagen is afgelopen. De controle draait elk uur en bij het starten van de API. Anonieme aantallen en evenementrecords blijven behouden. Huisadres en kaarttoestemming worden bij die opschoning verwijderd uit de huisregistratie. Accountgegevens worden hierdoor niet verwijderd.

Account-, gezins-, collectie- en voortgangsgegevens blijven beschikbaar zolang het account en de gekozen functie noodzakelijk zijn. Je kunt accountverwijdering aanvragen bij de organisatie. Foto’s, nieuwsbijdragen, contactberichten en beheerauditgegevens vallen buiten de automatische opschoning van aanmeldingen; de organisatie beoordeelt de noodzaak en verwijderverzoeken afzonderlijk. Foto’s kun je ook via de galerij melden. De bewaartermijn van technische logs en back-ups hangt af van de hostingconfiguratie; vraag de organisatie om de termijn voor jouw gegevens. Na herstel van een back-up moet de opschoning opnieuw worden uitgevoerd.

Verwerking buiten de EER

De locatie van verwerking door hosting-, mail- en eventuele aanvullende externe diensten hangt af van de daadwerkelijk ingestelde leveranciers en hun infrastructuur. Uit de applicatiecode volgt geen garantie dat alle verwerking binnen de EER blijft. Vraag de organisatie welke leveranciers voor jouw verwerking zijn ingeschakeld en welke doorgiftegrondslag en waarborgen van toepassing zijn. Persoonsgegevens horen niet in invoer voor optionele externe redactie- of AI-diensten zonder afzonderlijke beoordeling.

Welke rechten heb je?

Gebruik Mijn privacy en gegevens voor inzage, correctie, overdraagbaarheid, verwijdering of intrekken van kaarttoestemming. Je krijgt een doelgebonden achtcijferige e-mailcode die tien minuten geldig is en na vijf verkeerde pogingen blokkeert. De code wordt niet leesbaar opgeslagen. Bij verwijderen start bevestiging direct de procedure voor de gegevens waarvoor jouw bevoegdheid is vastgesteld. Gedeelde records, foto's met belangen van anderen en gegevens zonder aantoonbare koppeling worden afzonderlijk beoordeeld.

Zonder e-mailadres kun je op dezelfde pagina een alternatief verzoek indienen. Je hoeft geen nieuw account te maken. De organisatie moet eerst je identiteit en, indien van toepassing, vertegenwoordiging controleren. Beperking van verwerking en bezwaar worden inhoudelijk door de organisatie beoordeeld. Wijzigingen in contactgegevens kunnen na verificatie worden opgeslagen; andere correcties kun je aanvullend aanvragen.

Voor privacyverzoeken verwerken we noodzakelijke verificatie- en afhandelgegevens om aan privacyrechten te kunnen voldoen. Na afronding bevat de audit alleen verzoeknummer, soort verzoek, tijden, verificatiemethode, categorieën en resultaat. Verificatiegegevens worden verwijderd wanneer ze niet meer nodig zijn. De concrete termijn voor de privacy-audit, inactieve accounts, contactberichten, logs en back-ups moet organisatorisch worden vastgesteld en in het bewaarbeleid worden goedgekeurd; niet-goedgekeurde termijnen worden niet als vaststaand gepresenteerd.

Een apart beveiligd herstelregister met beperkte, versleutelde recordverwijzingen voorkomt dat gewiste gegevens door de ingebouwde back-upimport of een herstart na restore opnieuw actief worden. Historische back-ups en kopieën bij ontvangers zijn daarmee niet automatisch direct gewist. De organisatie moet de toegang, bewaartermijn en verwijdering daarvan afzonderlijk regelen.

Geautomatiseerde verwerking

Spelpunten, afstandscontroles, technische foutcontroles en verzoeklimieten worden automatisch uitgevoerd. Privacyverzoeken die rechten van anderen raken of waarvan de bevoegdheid onduidelijk is, vragen menselijke beoordeling. De onderzochte functies gebruiken geen commerciële profilering. Voor eventuele andere geautomatiseerde besluiten of nieuwe externe diensten moet de organisatie vooraf de gevolgen en informatieplicht beoordelen.

Je kunt vragen om inzage, correctie, verwijdering, beperking, overdraagbaarheid of bezwaar maken voor zover de AVG daarin voorziet. Je kunt toestemming voor optionele verwerking intrekken. Neem hiervoor contact op via de hierboven vermelde contactgegevens of het contactformulier. Vermeld welke gegevens of welk account het betreft; de organisatie kan om een passende controle van je identiteit vragen. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.