Informatie voor inkoop

GeoQuestr is een webdienst die op onze eigen servers binnen de EU draait. Beheerders loggen in om ervaringen te bouwen. Deelnemers doen mee via een link of QR-code in de browser of de app, met anonieme accounts, en hoeven hun echte naam of hun e-mailadres niet op te geven. De spelgegevens van deelnemers (spelersnaam, avatar, punten, voortgang, antwoorden en ingezonden foto's) worden opgeslagen om de activiteit uit te voeren en voor rapporten. Locatiegegevens worden nooit opgeslagen en niet via het netwerk verzonden. Ze worden alleen lokaal op het apparaat van de deelnemer verwerkt. Bijzondere categorieën van persoonsgegevens volgens artikel 9 AVG mogen niet worden verwerkt. De AI-jury draait op een open AI-model op onze eigen server binnen de EU (Hetzner, Finland). Een ingezonden foto wordt alleen in het geheugen gelezen om te scoren hoe goed hij de opdracht uitvoert en dat om te zetten in bonuspunten; er wordt geen kopie bewaard. Ingezonden foto's en video's worden niet naar OpenAI gestuurd. De AI-jury filtert geen inhoud: de organisator bekijkt de ingezonden foto's zelf. De organisator kan de AI-functies volledig uitschakelen. De organisator kiest of een rapport openbaar wordt gedeeld. Een openbaar rapport toont statistieken en de ranglijst met spelersnamen, maar geen ingezonden foto's. Alle categorieën persoonsgegevens worden beschreven in ons privacybeleid.

• Versleuteling tijdens verzending (HTTPS/TLS) en in rust. • Eigen inlogdienst waarin bij elk verzoek op de server wordt gecontroleerd of de gebruiker bevoegd is, zodat beheerders alleen bij de gegevens van hun eigen organisatie kunnen. Wachtwoorden worden alleen als gesalte hashwaarden opgeslagen. • Alleen bevoegd personeel heeft toegang tot de productieomgeving, met persoonlijke SSH-sleutels en tweefactorauthenticatie. • Iedereen die de persoonsgegevens verwerkt, heeft zich ertoe verbonden ze vertrouwelijk te behandelen. • Minimale gegevensverwerking: deelnemers zijn anoniem en locatiegegevens worden niet opgeslagen. • Back-ups worden dagelijks gemaakt, versleuteld binnen de EU opgeslagen en maximaal 30 dagen bewaard.

• De gegevens van deelnemers worden automatisch uiterlijk 6 maanden na afloop van de ronde verwijderd of geanonimiseerd. • Beheerdersaccounts worden uiterlijk 90 dagen na het einde van de overeenkomst verwijderd. • Jullie content kunnen jullie binnen 90 dagen na het einde van de overeenkomst opvragen: teksten, quests en locaties als JSON-bestand en afbeeldingen in het originele formaat. • Back-ups worden maximaal 30 dagen bewaard, dus verwijderde gegevens verdwijnen ook daaruit. • Wij bevestigen de verwijdering op verzoek schriftelijk.

Wanneer jullie activiteiten in GeoQuestr organiseren, zijn jullie de verwerkingsverantwoordelijke en zijn wij de verwerker. Wij sluiten verwerkersovereenkomsten volgens artikel 28 AVG. In de overeenkomst verbinden wij ons onder meer om: • persoonsgegevens alleen te verwerken volgens jullie schriftelijke instructies, • jullie minstens 30 dagen voordat een subverwerker wordt toegevoegd of vervangen schriftelijk te informeren. Jullie kunnen bezwaar maken, en als we het niet eens worden, mogen jullie de overeenkomst zonder kosten opzeggen, • jullie te helpen bij het beantwoorden van verzoeken van betrokkenen, bijvoorbeeld om inzage of verwijdering, en bijstand te verlenen bij gegevensbeschermingseffectbeoordelingen, • jullie, of een onafhankelijke auditor met geheimhoudingsplicht, te laten controleren of de overeenkomst wordt nageleefd, na een schriftelijke kennisgeving minstens 30 dagen van tevoren. Zweeds recht is van toepassing. Mail naar upphandling@geoquestr.com met jullie organisatienummer, dan sturen we de overeenkomst.

Bij een inbreuk in verband met persoonsgegevens informeren wij jullie zonder onredelijke vertraging, en uiterlijk binnen 36 uur nadat wij er kennis van hebben gekregen. De melding bevat wat artikel 33, lid 3, AVG vereist, voor zover dat bekend is. Om een beveiligingsprobleem of een vermoede kwetsbaarheid te melden: mail naar security@geoquestr.com met als onderwerp "Vermoede kwetsbaarheid". Vragen over persoonsgegevens kunnen jullie naar hetzelfde adres sturen. Beschrijf jullie vraag en jullie relatie tot het account of de activiteit.

Ons platform is ontworpen om te voldoen aan WCAG 2.1 niveau AA voor de belangrijkste marketingpagina's en makersflows waar haalbaar. Deelnemers gebruiken kaarten waarop een 3D-avatar over de kaart beweegt naarmate de deelnemer beweegt. Hoe de maker zijn quest ontwerpt is belangrijk voor het bereiken van een hoge toegankelijkheid. Alle tekst is ontworpen om gemakkelijk leesbaar en toegankelijk te zijn, en quests kunnen ook worden voorgelezen in de gekozen taal van de gebruiker. Voor vereisten in de publieke sector: beschrijf je behoeften wanneer je contact met ons opneemt, zodat we eventuele noodzakelijke aanpassingen kunnen bespreken.

Kaartbetalingen bij selfservice worden verwerkt door Stripe. Voor inkooporders, facturen, aangepaste deelnemerslimieten of gemeentelijke aanbestedingen: gebruik Full service op de prijspagina of het contactformulier op de oplossingspagina's, dan regelen we het per geval. Organisaties die per factuur betalen, komen niet met Stripe in aanraking.

GeoQuestr schakelt de volgende subverwerkers in. Elk van hen krijgt alleen de gegevens die zijn functie vereist. Subverwerkers buiten de EU/EER krijgen alleen toegang tot persoonsgegevens op basis van een adequaatheidsbesluit, bijvoorbeeld het EU–US Data Privacy Framework, of op basis van de standaardcontractbepalingen van de Europese Commissie. Organisaties met een verwerkersovereenkomst worden minstens 30 dagen voordat een subverwerker wordt toegevoegd of vervangen schriftelijk geïnformeerd.

Alle persoonsgegevens, inclusief back-ups en logs, worden binnen de EU opgeslagen op onze eigen servers bij Hetzner Online GmbH, in datacenters in Finland en Duitsland. Stripe slaat betalingsgegevens op voor klanten die met een kaart betalen. Mapbox en OpenAI worden niet gebruikt om persoonsgegevens op te slaan.