Privacybeleid

1. Inleiding

1.1 Over dit privacybeleid

Winoly ("wij", "ons" of "de Exploitant"), exploitant van het online kansspelplatform bereikbaar via winoly.win, is de verwerkingsverantwoordelijke voor de persoonsgegevens die in het kader van onze dienstverlening worden verwerkt.

Dit privacybeleid legt uit welke persoonsgegevens wij verzamelen, voor welke doeleinden wij deze verwerken, op welke rechtsgrondslagen wij ons baseren, met wie wij gegevens delen en welke rechten u als betrokkene heeft. Wij verwerken uw gegevens in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG / GDPR – Verordening (EU) 2016/679) en de aanvullende Nederlandse wetgeving op het gebied van gegevensbescherming, zoals gehandhaafd door de Autoriteit Persoonsgegevens (AP).

1.2 Toepassingsgebied

Dit beleid is van toepassing op alle persoonsgegevens die worden verwerkt wanneer u:

• onze website winoly.win bezoekt;
• een account aanmaakt of bij ons registreert;
• gebruik maakt van onze kansspeldiensten, promoties of klantenservice;
• een verzoek of klacht indient;
• op enige andere wijze interactie heeft met ons platform of onze communicatiekanalen.

1.3 Relatie met andere documenten

Dit privacybeleid maakt deel uit van het juridische raamwerk van Winoly en dient in samenhang te worden gelezen met onze Algemene Voorwaarden en ons beleid inzake Verantwoord Spelen. In geval van tegenstrijdigheid tussen dit beleid en een andere overeenkomst prevaleert dit privacybeleid voor alles wat betrekking heeft op de verwerking van persoonsgegevens.

2. Gegevens die wij verzamelen

2.1 Door u verstrekte gegevens

Wanneer u zich registreert of gebruik maakt van ons platform, verstrekken u actief de volgende categorieën persoonsgegevens aan ons:

• Identificatiegegevens: volledige naam, geboortedatum, geslacht, nationaliteit;
• Contactgegevens: e-mailadres, telefoonnummer, woonadres (inclusief postcode en woonplaats);
• Authenticatiegegevens: gebruikersnaam en versleuteld wachtwoord;
• Identiteitsverificatiedocumenten: kopie van paspoort, rijbewijs of identiteitsbewijs, eventueel aangevuld met bewijs van adres ten behoeve van onze KYC-verplichting (Know Your Customer);
• Financiële gegevens: betaalkaartgegevens (gedeeltelijk gemaskeerd), bankrekeningnummer (IBAN), portemonnee-identifiers voor elektronische betaalmiddelen, transactiegeschiedenis;
• Communicatiegegevens: inhoud van uw berichten via live chat, e-mail of klachtenformulieren.

2.2 Automatisch verzamelde gegevens

Wanneer u onze website bezoekt of diensten gebruikt, verzamelen wij automatisch technische en gedragsgegevens:

• Technische gegevens: IP-adres, browsertype en -versie, besturingssysteem, apparaattype, schermresolutie, tijdzone;
• Gebruiksgegevens: bezochte pagina's, duur van sessies, klikgedrag, zoekopdrachten op het platform;
• Spelgedraggegevens: type gespeelde spellen, inzetbedragen, gewonnen en verloren bedragen, sessietijden, frequentie van spelen;
• Locatiegegevens: land en regio op basis van IP-adres (niet precies geolocatie tenzij u hiervoor expliciet toestemming geeft).

2.3 Gegevens van derden

In beperkte gevallen ontvangen wij gegevens van externe partijen:

• Identiteitsverificatiediensten: bevestigings- of afwijzingssignalen van externe KYC/AML-verificatieproviders;
• Betalingsverwerkers: bevestiging van transactiestatus en fraudesignalen;
• CRUKS: statussignalen vanuit het Centraal Register Uitsluiting Kansspelen, conform onze wettelijke verplichting;
• Fraudepreventiediensten: risicobeoordelingen ten behoeve van de veiligheid van ons platform.

2.4 Bijzondere categorieën persoonsgegevens

Wij verwerken in de regel geen bijzondere categorieën persoonsgegevens (ook wel gevoelige gegevens genoemd) in de zin van artikel 9 AVG. Echter, in het kader van onze zorgplicht op het gebied van verantwoord spelen kan het voorkomen dat gedragssignalen worden geanalyseerd die indirect betrekking hebben op de gezondheid van een speler (bijvoorbeeld aanwijzingen voor gokverslaving). Dergelijke analyses worden uitsluitend uitgevoerd op basis van een wettelijke verplichting en worden strikt beveiligd. Raadpleeg ons beleid inzake Verantwoord Spelen voor meer informatie.

3. Hoe wij uw gegevens gebruiken

Winoly gebruikt uw persoonsgegevens uitsluitend voor welomschreven, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Onderstaande tabel geeft een overzicht van de voornaamste verwerkingsdoeleinden:

3.1 Geautomatiseerde besluitvorming

Wij maken gebruik van geautomatiseerde processen bij de beoordeling van transactierisico's, identiteitsverificatie en de monitoring van spelgedrag in het kader van verantwoord spelen. Waar een geautomatiseerde beslissing aanzienlijke gevolgen voor u kan hebben (bijvoorbeeld beperking van uw account), kunt u verzoeken om menselijke tussenkomst bij de beoordeling. Neem hiervoor contact op via [email protected].

4. Rechtsgrondslagen voor verwerking

Iedere verwerking van uw persoonsgegevens door Winoly berust op ten minste één van de volgende rechtsgrondslagen uit artikel 6 AVG:

4.1 Uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG)

De verwerking van uw registratiegegevens, identiteitsverificatiegegevens, spelgedraggegevens en financiële transactiegegevens is noodzakelijk voor de uitvoering van de Algemene Voorwaarden die u bij registratie aangaat. Zonder deze verwerking kunnen wij onze dienstverlening niet aanbieden.

4.2 Wettelijke verplichting (art. 6 lid 1 sub c AVG)

Diverse verwerkingen vloeien rechtstreeks voort uit wettelijke verplichtingen waaraan wij als kansspelaanbieder zijn onderworpen, waaronder:

• De Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) — KYC/AML-verplichtingen;
• Verplichte aansluiting bij CRUKS (Centraal Register Uitsluiting Kansspelen);
• Naleving van de Wet op de kansspelen (Wok) en de daarop gebaseerde regelgeving;
• Fiscale bewaarplicht van financiële administratie.

4.3 Gerechtvaardigd belang (art. 6 lid 1 sub f AVG)

Voor doeleinden zoals fraudepreventie, platformbeveiliging, IT-beheer en het verbeteren van onze diensten, baseren wij ons op ons gerechtvaardigde belang als onderneming. Wij voeren hiertoe een afweging uit (ook wel een belangenafwegingstoets genoemd) en zorgen ervoor dat uw grondrechten en vrijheden niet onevenredig worden aangetast.

4.4 Toestemming (art. 6 lid 1 sub a AVG)

Voor direct-marketingcommunicatie (nieuwsbrieven, aanbiedingen, promoties) en het plaatsen van niet-essentiële cookies baseren wij ons op uw vrijelijk en uitdrukkelijk gegeven toestemming. U kunt uw toestemming te allen tijde intrekken zonder gevolgen voor de dienstverlening die wij op een andere rechtsgrondslag aanbieden. Zie ook sectie 6 (Cookies).

5. Gegevensdeling & derden

5.1 Categorieën ontvangers

Winoly deelt uw persoonsgegevens uitsluitend met derden wanneer dit noodzakelijk is voor de uitvoering van onze diensten, het nakomen van wettelijke verplichtingen of anderszins gerechtvaardigd is. De volgende categorieën ontvangers kunnen uw gegevens ontvangen:

• Betalingsverwerkers en financiële instellingen: Partijen die stortingen en opnames namens ons verwerken, waaronder aanbieders van de betaalmethoden iDEAL, Visa, Mastercard, Maestro, PayPal, Paysafecard, Trustly, Skrill, Neteller, Klarna, MuchBetter en Revolut. Zij ontvangen de minimaal noodzakelijke financiële gegevens.
• KYC- en identiteitsverificatiediensten: Externe verificatieproviders die namens ons de identiteit en leeftijd van spelers vaststellen conform de geldende KYC-vereisten.
• Softwareleveranciers en spelleveranciers: Aanbieders van casino-softwareplatformen en spelinhoud die in onze technische infrastructuur zijn geïntegreerd.
• Clouddiensten en IT-infrastructuur: Leveranciers van hosting-, opslag- en beveiligingsdiensten, die uitsluitend op instructie van Winoly handelen (verwerkers).
• Toezichthoudende en handhavende autoriteiten: De Kansspelautoriteit (KSA), de Autoriteit Persoonsgegevens (AP), de Financial Intelligence Unit Nederland (FIU-NL) en andere bevoegde autoriteiten, indien de wet ons daartoe verplicht of machtigt.
• CRUKS: Het Centraal Register Uitsluiting Kansspelen, waarmee wij verplicht zijn aangesloten om de toegang van uitgesloten personen te blokkeren.
• Professionele adviseurs: Juridische adviseurs, accountants en auditors, gebonden aan geheimhoudingsverplichtingen.
• Fraudepreventiediensten: Externe partijen die risicosignalen verwerken ter bescherming van het platform en de spelersbelangen.

5.2 Verwerkersovereenkomsten

Met alle derden die persoonsgegevens namens Winoly verwerken, sluiten wij een verwerkersovereenkomst af conform artikel 28 AVG. Hierin zijn de verwerkingsdoeleinden, beveiligingsmaatregelen en instructiebevoegdheid van Winoly vastgelegd. Wij verkopen uw persoonsgegevens nooit aan derden voor commerciële doeleinden.

5.3 Bedrijfsoverdracht

In het geval van een fusie, overname of verkoop van (een deel van) onze bedrijfsactiviteiten kunnen persoonsgegevens worden overgedragen aan de verkrijgende partij. Wij stellen u hiervan vooraf in kennis en zorgen voor continuïteit van uw rechten als betrokkene. De verkrijgende partij is in dat geval gebonden aan dit privacybeleid of een gelijkwaardig beschermingsniveau.

6. Cookies & trackingtechnologieën

6.1 Wat zijn cookies?

Cookies zijn kleine tekstbestanden die door uw browser op uw apparaat worden opgeslagen wanneer u een website bezoekt. Wij maken ook gebruik van vergelijkbare technologieën zoals web beacons, pixel tags, lokale opslag (local storage) en sessie-identifiers.

6.2 Soorten cookies die wij gebruiken

6.3 Cookiebeheer

Bij uw eerste bezoek aan onze website presenteren wij een cookiebanner waarmee u granulaire toestemming kunt geven voor niet-essentiële cookies. U kunt uw cookievoorkeuren te allen tijde aanpassen via de cookiebeheerinstellingen in de footer van onze website.

Naast onze cookiebeheerder kunt u cookies ook verwijderen en blokkeren via de browserinstellingen van uw apparaat. Houd er rekening mee dat het uitschakelen van strikt noodzakelijke cookies de functionaliteit van het platform kan beïnvloeden.

6.4 Derde-partij cookies

Sommige cookies worden geplaatst door derde partijen die wij hebben ingeschakeld voor analytische of marketingdoeleinden. Wij zijn niet verantwoordelijk voor het privacybeleid van die derden en adviseren u hun respectieve privacydocumentatie te raadplegen.

7. Gegevensbeveiliging

7.1 Technische en organisatorische maatregelen

Winoly hanteert passende technische en organisatorische beveiligingsmaatregelen overeenkomstig artikel 32 AVG om uw persoonsgegevens te beschermen tegen ongeoorloofde toegang, verlies, vernietiging, wijziging of openbaarmaking. Onze beveiligingsmaatregelen omvatten onder meer:

• Encryptie: Alle gegevens worden in transit beschermd via TLS 1.2/1.3-protocol; opgeslagen gegevens worden versleuteld met AES-256;
• Toegangscontrole: Strikte rol-gebaseerde toegangsrechten (RBAC) voor intern personeel, aangevuld met multi-factor authenticatie (MFA) voor beheerderstoegang;
• Firewall & intrusion detection: Web Application Firewalls (WAF) en realtime detectie van anomalieën;
• Regelmatige audits: Periodieke interne en externe beveiligingsaudits en penetratietesten;
• Personeelstraining: Medewerkers met toegang tot persoonsgegevens worden periodiek getraind op het gebied van gegevensbescherming en informatiebeveiliging;
• Pseudonimisering: Waar van toepassing worden identificerende gegevens losgemaakt van gedragsgegevens;
• Dataminimalisatie: Wij verzamelen uitsluitend de gegevens die strikt noodzakelijk zijn voor het beoogde doel.

7.2 Datalekken

In het geval van een inbreuk op de beveiliging van persoonsgegevens (datalek) handelen wij conform de procedure neergelegd in artikel 33 en 34 AVG:

• Een datalek dat een risico inhoudt voor uw rechten en vrijheden, wordt binnen 72 uur gemeld aan de Autoriteit Persoonsgegevens;
• Wanneer een datalek waarschijnlijk een hoog risico voor u persoonlijk inhoudt, informeren wij u hierover zonder onnodige vertraging via het bij ons bekende e-mailadres;
• Wij houden een intern register bij van alle datalekken, ongeacht of melding aan de toezichthouder vereist is.

8. Bewaartermijnen

8.1 Algemeen principe

Wij bewaren uw persoonsgegevens niet langer dan noodzakelijk is voor de doeleinden waarvoor ze zijn verzameld, tenzij een langere bewaartermijn vereist of toegestaan is op grond van wettelijke verplichtingen. Onderstaande tabel geeft de gehanteerde bewaartermijnen per gegevenscategorie:

8.2 Verwijdering en anonimisering

Na het verstrijken van de toepasselijke bewaartermijn worden uw persoonsgegevens veilig verwijderd of onomkeerbaar geanonimiseerd zodat u als individu niet meer identificeerbaar bent. Geanonimiseerde gegevens kunnen voor statistische en analytische doeleinden worden bewaard zonder tijdslimiet.

9. Uw rechten

Als betrokkene in de zin van de AVG heeft u de volgende rechten met betrekking tot uw persoonsgegevens. Wij zullen uw verzoek in beginsel binnen één maand na ontvangst beantwoorden, kosteloos, tenzij uw verzoek buitensporig complex is (in dat geval kunnen wij de termijn met maximaal twee maanden verlengen onder kennisgeving aan u).

9.1 Recht op inzage (art. 15 AVG)

U heeft het recht om te weten welke persoonsgegevens wij van u verwerken, voor welke doeleinden, hoelang wij ze bewaren, met wie wij ze delen en wat uw overige rechten zijn.

9.2 Recht op rectificatie (art. 16 AVG)

U heeft het recht onjuiste of onvolledige persoonsgegevens te laten corrigeren. U kunt ook zelf een groot deel van uw gegevens aanpassen via uw accountinstellingen op ons platform.

9.3 Recht op gegevenswissing (art. 17 AVG)

U heeft in bepaalde omstandigheden het recht uw persoonsgegevens te laten verwijderen ("recht op vergetelheid"), bijvoorbeeld wanneer de gegevens niet langer noodzakelijk zijn voor het doel waarvoor ze zijn verzameld. Dit recht is niet absoluut en geldt niet wanneer verwerking noodzakelijk is ter voldoening aan een wettelijke verplichting.

9.4 Recht op beperking van de verwerking (art. 18 AVG)

U kunt verzoeken de verwerking van uw gegevens tijdelijk te beperken, bijvoorbeeld terwijl een bezwaar of rectificatieverzoek wordt beoordeeld.

9.5 Recht op overdraagbaarheid (art. 20 AVG)

Voor gegevens die u zelf aan ons heeft verstrekt en die op basis van uw toestemming of ter uitvoering van een overeenkomst worden verwerkt, heeft u het recht deze gegevens in een gestructureerd, gangbaar en machineleesbaar formaat te ontvangen of direct aan een andere verwerkingsverantwoordelijke te laten overdragen.

9.6 Recht van bezwaar (art. 21 AVG)

U heeft het recht bezwaar te maken tegen verwerking op basis van ons gerechtvaardigd belang. Wij staken de verwerking tenzij wij dwingende gerechtvaardigde gronden aanvoeren die zwaarder wegen dan uw belangen, rechten en vrijheden. Bezwaar tegen verwerking voor direct-marketingdoeleinden wordt altijd gehonoreerd.

9.7 Recht om toestemming in te trekken (art. 7 lid 3 AVG)

Wanneer verwerking op uw toestemming is gebaseerd, kunt u deze te allen tijde intrekken zonder opgave van redenen. Intrekking laat de rechtmatigheid van de verwerking vóór intrekking onverlet.

9.8 Hoe u uw rechten uitoefent

U kunt uw rechten uitoefenen door een verzoek in te dienen via:

• E-mail: [email protected]
• Post: Winoly — Privacy Team, t.a.v. de Functionaris Gegevensbescherming

Om uw identiteit te verifiëren, kunnen wij u vragen aanvullende informatie te verstrekken. Uw verzoek wordt te allen tijde kosteloos en vertrouwelijk behandeld.

10. Internationale doorgifte van gegevens

10.1 Uitgangspunt: verwerking binnen de EER

Winoly streeft ernaar uw persoonsgegevens zo veel mogelijk binnen de Europese Economische Ruimte (EER) te verwerken en op te slaan. Alle primaire dataopslag vindt plaats op servers die gelegen zijn binnen de EER, overeenkomstig de van toepassing zijnde kansspelregelgeving.

10.2 Doorgifte buiten de EER

In gevallen waarin wij gebruik maken van dienstverleners waarvan de servers of medewerkers buiten de EER zijn gevestigd, zorgen wij ervoor dat de doorgifte van persoonsgegevens plaatsvindt op een rechtsgeldige grondslag als bedoeld in hoofdstuk V van de AVG. Wij hanteren hierbij de volgende mechanismen:

• Adequaatheidsbesluit: Doorgifte naar landen waarvoor de Europese Commissie een adequaatheidsbesluit heeft vastgesteld (bijv. het Verenigd Koninkrijk, Zwitserland, Canada);
• Standaardcontractbepalingen (SCC's): Door de Europese Commissie goedgekeurde standaardcontractbepalingen (Besluit 2021/914/EU) met ontvangers in derde landen;
• Bindende bedrijfsregels (BCR's): Waar van toepassing bij internationale groepsstructuren.

U kunt een kopie van de toepasselijke waarborgen opvragen via [email protected].

10.3 Aanvullende beschermingsmaatregelen

Waar risico's zijn geïdentificeerd bij doorgifte naar specifieke derde landen, passen wij aanvullende technische maatregelen toe, zoals end-to-end-encryptie, pseudonimisering en gegevensminimalisatie, zodat uw privacyrechten ook buiten de EER worden gewaarborgd.

11. Minderjarigen

11.1 Leeftijdsverificatie

Wij verplichten iedere gebruiker bij registratie zijn of haar geboortedatum op te geven en voeren verplichte leeftijdsverificatiechecks uit voordat een account volledig wordt geactiveerd. Dit omvat verificatie van identiteitsdocumenten door onze KYC-procedures. Personen jonger dan 18 jaar worden geen toegang verleend tot onze kansspeldiensten.

11.2 Geen bewuste gegevensverzameling van minderjarigen

Winoly verzamelt bewust geen persoonsgegevens van personen onder de 18 jaar. Indien wij vaststellen dat wij per abuis persoonsgegevens van een minderjarige hebben ontvangen, zullen wij:

• het betreffende account onmiddellijk sluiten;
• de persoonsgegevens van de minderjarige zo spoedig mogelijk verwijderen;
• eventuele stortingen terugstorten naar de herkomstrekening.

11.3 Ouderlijk toezicht

Wij moedigen ouders en verzorgers aan gebruik te maken van ouderlijk toezichtsoftware om minderjarigen de toegang tot kansspelplatformen te ontzeggen. Voor meer informatie over instrumenten ter bescherming van jonge personen verwijzen wij u naar ons beleid inzake Verantwoord Spelen.

12. Wijzigingen in dit privacybeleid

12.1 Recht op wijziging

Winoly behoudt zich het recht voor dit privacybeleid te allen tijde te wijzigen om te voldoen aan gewijzigde wetgeving, veranderingen in onze verwerkingsactiviteiten of andere zakelijke ontwikkelingen. De meest recente versie van dit beleid is steeds beschikbaar op winoly.win/privacy-policy.

12.2 Kennisgeving bij wezenlijke wijzigingen

Bij wezenlijke wijzigingen die van invloed kunnen zijn op uw rechten of op de wijze waarop wij uw gegevens verwerken, zullen wij u hierover tijdig informeren via:

• een prominente melding op onze website en/of in ons platform;
• een e-mailbericht naar het bij ons geregistreerde e-mailadres;
• een kennisgeving bij uw volgende inlog op het platform.

Wij hanteren een kennisgevingstermijn van ten minste 30 dagen vóór de inwerkingtreding van wezenlijke wijzigingen, tenzij een kortere termijn vereist is op grond van dwingende wet- of regelgeving. Het voortgezet gebruik van onze diensten na de ingangsdatum van een gewijzigd beleid geldt als aanvaarding van de wijzigingen.

12.3 Versiegeschiedenis

13. Contactinformatie

13.1 Klantenservice & algemene vragen

Voor algemene vragen over uw account, onze diensten of dit privacybeleid kunt u contact opnemen met ons klantenserviceteam:

13.2 Functionaris voor Gegevensbescherming (FG/DPO)

Winoly heeft een functionaris voor gegevensbescherming aangesteld die toeziet op de naleving van de AVG en aanverwante privacywetgeving binnen onze organisatie. U kunt onze FG bereiken via [email protected]. Vermeld in uw bericht duidelijk uw verzoek en eventueel het referentienummer van een eerdere correspondentie.

13.3 Hulp bij problematisch gokgedrag

Wij hechten grote waarde aan het welzijn van onze spelers. Indien u of iemand in uw omgeving hulp nodig heeft bij problematisch gokgedrag, zijn de volgende Nederlandse organisaties beschikbaar:

Voor meer informatie over onze verantwoord-spelenmaatregelen verwijzen wij u naar ons beleid inzake Verantwoord Spelen.