Persoonsgegevens vertrouw je niet zomaar aan iemand toe. Daarom leggen wij in dit beleid uit wat er met jouw informatie bij Zombillion gebeurt, van het moment dat je een profiel opent tot en met jouw laatste opname. Onze aanpak sluit aan op de AVG en op de regels van onze licentiehouder.
Wij zien privacy als fundament, niet als vinkje. Daarom vermijden wij onnodige dataverzameling, geven wij jou heldere keuzes en zetten wij een korte route naar jouw rechten uit.
Wat wij bij ons verwerken
Onze accountdata
Naam, adres, geboortedatum, e-mail, telefoon en jouw gekozen gebruikersnaam.
Onze kassa-data
Bankrekening, kaartgegevens, e-wallet ID's of crypto-wallet adres voor transacties.
Onze speeldata
Welke spellen je bij ons draait, welke inzet je doet en hoe lang jouw sessie duurt.
Onze verificatie
Kopie ID, adresbewijs en, waar wettelijk vereist, informatie over je inkomstenbron.
Waarom wij die data nodig hebben
Onze accountdata gebruiken wij om jouw profiel te beheren en jou bereikbaar te houden. Onze kassa-data hebben wij nodig om stortingen en uitbetalingen veilig te verwerken. Onze speeldata helpt bij het bewaken van verantwoord speelgedrag en bij scherpere aanbevelingen. Onze verificatie is verplicht onder de antiwitwaswetgeving en helpt ons om minderjarigen te weren.
Hoe lang wij data bewaren
Financiële transacties bewaren wij minimaal zeven jaar wegens fiscale verplichtingen. Verificatiedocumenten houden wij vijf jaar na sluiting van jouw account. Marketinggegevens verwijderen wij direct zodra je je afmeldt. Overige data anonimiseren wij zodra ze niet meer nodig zijn voor het doel waarvoor wij ze verzamelden.
Met wie wij data delen
Wij delen alleen wat strikt noodzakelijk is. Onze betaalproviders krijgen enkel wat nodig is om jouw transactie uit te voeren. Onze fraudeschermen ontvangen anonieme signalen. Bevoegde instanties krijgen data uitsluitend op basis van een rechterlijk bevel of wettelijke verplichting. Onze marketingpartners ontvangen geen direct herleidbare gegevens.
Onze beveiligingsmaatregelen
Al ons dataverkeer draait over SSL. Wachtwoorden slaan wij gehashed op met een unieke salt. Betaalgegevens bewaren wij niet op onze servers maar wikkelen wij af via gecertificeerde providers die aan PCI DSS voldoen. Toegang tot persoonsgegevens binnen onze organisatie is strikt gelaagd en wij loggen alles voor audits.
Jouw rechten bij ons
Jij hebt bij ons het recht op inzage, correctie, verwijdering of overdracht van jouw data naar een andere partij. Daarnaast maak je bezwaar tegen specifieke vormen van verwerking, bijvoorbeeld profilering voor marketing. Wij behandelen jouw verzoeken binnen dertig dagen, kosteloos, tenzij je hetzelfde verzoek herhaaldelijk indient.
Stuur je verzoek naar ons privacyteam via de klantenservice. Vermeld welk recht je uitoefent en stuur een kopie van jouw ID mee. Wij gebruiken die kopie enkel voor identiteitsverificatie en verwijderen hem daarna.
Onze internationale doorgifte
Wij werken onder een internationale licentie. Sommige van onze technische dienstverleners zitten buiten de EER. Wij dragen data over met passende waarborgen, zoals goedgekeurde modelcontractbepalingen of een adequaatheidsbesluit voor het betreffende land.
Onze aanpak bij datalekken
Doet zich onverhoopt een datalek voor waarbij persoonsgegevens betrokken zijn, dan informeren wij de bevoegde autoriteit binnen 72 uur. Spelers van wie de gegevens substantieel geraakt zijn, ontvangen van ons een directe melding met uitleg over de aard van het lek en onze vervolgstappen.
Onze wijzigingen in dit beleid
Wetgeving en techniek bewegen, dus dit beleid is een levend document. Wij kondigen wijzigingen minimaal dertig dagen vooraf aan via jouw geregistreerde e-mail en publiceren ze op deze pagina. De datum onderaan verwijst naar onze laatste update.
Klachten
Heb je het gevoel dat wij niet zorgvuldig handelen, neem dan eerst contact op met ons privacyteam. Komen wij er samen niet uit, dan dien je een klacht in bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.
Onze verdieping in dataverwerking
Privacy gaat verder dan een formele paragraaf. Hieronder onze concrete aanpak van dataminimalisatie, bewaartermijnen per logtype en de eisen die wij aan onze providers stellen.
Welke rechten heb jij onder onze privacyverklaring?
Onder de AVG heb je bij ons acht concrete rechten die wij binnen dertig dagen honoreren. Je hebt recht op inzage in de gegevens die wij bewaren, recht op correctie wanneer iets niet klopt, recht op verwijdering wanneer een bewaartermijn is verlopen, recht op beperking van verwerking, recht op dataoverdraagbaarheid in een gestructureerd bestand, recht op bezwaar tegen bepaalde verwerkingen, recht om niet onderworpen te worden aan geautomatiseerde besluitvorming en het recht om je toestemming voor marketing op elk moment in te trekken.
Wij hebben deze rechten praktisch gemaakt via één centraal formulier in je account onder Privacy. Klik daar op het gewenste recht en wij openen een dossier bij onze functionaris voor gegevensbescherming. Voor rechten die om identificatie vragen, verifiëren wij extra via een videocall van twee minuten om ervoor te zorgen dat niemand anders jouw gegevens opvraagt. Deze extra stap voegt hooguit één werkdag toe aan de doorlooptijd.
Hoe wij jouw gegevens delen met derden zonder marketing
Wij verkopen jouw gegevens onder geen enkele omstandigheid door. Delen doen wij alleen met partijen die noodzakelijk zijn om onze dienst te leveren. Onze betaalproviders ontvangen naam, geboortedatum en bedrag om een transactie te verwerken. Onze KYC-partner ontvangt jouw identiteitsbewijs en adresbewijs eenmalig ter verificatie en verwijdert dat document daarna binnen vijf werkdagen. Onze fraudedetectie ontvangt technische data zoals IP en apparaatvingerafdruk zonder persoonlijke identificatoren.
Bij een gerechtelijk bevel delen wij gegevens uitsluitend na juridische beoordeling van de rechtsgrond. Onze compliance officer beoordeelt of het bevel voldoet aan de wettelijke voorwaarden en documenteert elke deling in een logboek dat de Autoriteit Persoonsgegevens op verzoek kan opvragen. Wij informeren de betrokken speler tenzij een expliciet zwijgverbod van justitie dit onmogelijk maakt.
Wat gebeurt er bij een datalek in onze omgeving?
Wij hebben een incident-response protocol dat binnen 72 uur na constatering leidt tot melding bij de Autoriteit Persoonsgegevens wanneer een lek risico oplevert voor betrokkenen. Getroffen spelers krijgen daarnaast een individuele melding via het opgegeven e-mailadres met concrete uitleg over welke gegevens zijn geraakt en welke stappen wij nemen om schade te beperken. Wij dringen aan op een wachtwoordwissel wanneer authenticatiegegevens onderdeel zijn van het lek.
Wij testen dit protocol tweemaal per jaar met een gecontroleerde oefening. Een extern securitybureau simuleert een aanval en meet hoe snel ons team detecteert, isoleert en communiceert. De resultaten publiceren wij niet publiek, maar op verzoek delen wij een geanonimiseerde samenvatting met betrokken spelers die daarover geïnformeerd willen worden.
Onze bewaartermijnen per gegevenscategorie
Identiteitsdocumenten bewaren wij zeven jaar na afsluiting van je account op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme. Transactiegegevens en speelhistorie vallen onder dezelfde termijn omdat de Belastingdienst controle op kansspelbelasting kan uitoefenen. Marketingtoestemmingen bewaren wij twee jaar na intrekking om aan te tonen dat je ooit toestemming hebt gegeven en later hebt herroepen. Chatlogs met onze support bewaren wij achttien maanden voor kwaliteitscontrole.
Welke gegevens leggen wij vast?
Wij verwerken naam, adres, geboortedatum, e-mail, betaalinformatie, speelhistorie en technische data zoals IP-adres en apparaat, uitsluitend voor jouw account, betaling en compliance.
Verkopen wij jouw gegevens aan derden?
Nee. Wij verkopen geen persoonsgegevens. Delen doen wij alleen met onze betaalproviders, fraudeschermen en bevoegde instanties wanneer de wet dat vraagt.
Hoe lang bewaren wij jouw data?
Financiële gegevens minimaal zeven jaar wegens fiscale wetgeving. Marketinggegevens verwijderen wij direct zodra jij je afmeldt of jouw account sluit.