Privacybeleid

Niet elke dienst staat al aan. Dit beleid beschrijft de volledige werking van Truede: echte betalingen via escrow, geschillen met geldgevolgen, Truede Bescherming, betaalde diensten en de wettelijke rapportering aan de fiscus (DAC7). Tijdens de opstartfasen kan Truede bepaalde diensten tijdelijk uitgeschakeld laten; de statusmelding bovenaan deze pagina toont wat er op dit moment uitstaat. Een bepaling die op een uitgeschakelde dienst slaat, geldt pas zodra die dienst actief is; zolang een dienst uitstaat, vindt de bijbehorende gegevensverwerking ook niet plaats. Alle andere bepalingen gelden onverkort. Dit beleid blijft van kracht tot een nieuwe versie wordt gepubliceerd.

1. Wie is de verwerkingsverantwoordelijke?

SinnaSoft BV Lijsterstraat 30, 8450 Bredene, België KBO: BE 0791725975 E-mail: privacy@truede.be

Er is geen functionaris voor gegevensbescherming (DPO) aangesteld, omdat de kerncriteria van art. 37 AVG in de huidige fase niet vervuld zijn: Truede is geen overheidsinstantie en de kernactiviteit bestaat niet uit grootschalige regelmatige monitoring of grootschalige verwerking van bijzondere categorieën van persoonsgegevens. Voor alle vragen rond persoonsgegevens gebruik je het bovenstaande e-mailadres.

2. Welke gegevens verwerken we?

2.1 Wat je ons rechtstreeks geeft

• E-mailadres voor registratie, login en transactionele berichten.
• Geboortedatum bij registratie geef je zelf op bij het aanmaken van je account, als eerste leeftijdscontrole. Bij je identiteitsverificatie (§2.2) wordt ze vervangen door de datum van je eID. Ze wordt nooit publiek getoond.
• Gebruikersnaam publieke weergavenaam op het Platform.
• Wachtwoord optioneel; je kan ook inloggen met een passkey of een eenmalige e-maillink. Kies je een wachtwoord, dan bewaren we uitsluitend een cryptografische hash (bcrypt), nooit het wachtwoord zelf. Bij het instellen controleren we het tegen bekende gelekte wachtwoorden via een k-anonimiteitszoekopdracht: enkel de eerste tekens van een hash verlaten daarbij onze systemen, nooit je wachtwoord.
• Telefoonnummer vereist voor de verzendflow (aanmaak van verzendlabels); bij een levering wordt het ook doorgegeven aan Sendcloud en de betrokken vervoerder voor bezorgmeldingen aan de ontvanger. Tevens doorgegeven aan onze betaaldienstverlener (OPP) voor de controle van je uitbetaalaccount.
• Bankrekeningnummer (IBAN) wordt pas gevraagd nadat je voor het eerst iets verkoopt via verzending op het platform, en is nodig om je uit te betalen. Truede bewaart je IBAN niet zelf: het wordt rechtstreeks doorgestuurd naar onze betaaldienstverlener (OPP), die de rekening verifieert en de uitbetaling verzorgt.
• Gemeente en postcode voor nabijheidszoekopdrachten; voor dit doel nooit een exacte straat. Een exact adres verwerken we enkel in de gevallen die dit beleid afzonderlijk noemt: een levering of afhaling (hieronder) en de DAC7-rapportering (§2.5).
• Je locatie, enkel als je erom vraagt kies je in de feed voor ‘in de buurt’, dan vraagt je browser of je toestel je eenmalig om je locatie. We zetten die meteen om naar de dichtstbijzijnde gemeente en postcode en bewaren de coördinaten niet; we volgen je locatie nooit op de achtergrond. Weiger je, dan kies je gewoon een gemeente met de hand.
• Foto's van zoekertjes je eigen foto's die je uploadt; EXIF-metadata wordt automatisch verwijderd.
• Chatberichten berichten die je uitwisselt met andere gebruikers.
• Verzend- of ophaaladres optioneel. Een exact adres wordt enkel verwerkt wanneer je het zelf opgeeft voor levering of voor je gemak bij een hand-op-hand-overdracht. Het wordt niet getoond aan andere gebruikers, behalve voor zover nodig om de levering of afhaling uit te voeren. Dit staat los van de gemeente en postcode uit deze sectie, die enkel voor nabijheidszoekopdrachten dienen. Het leveradres dat je als koper bij het afrekenen opgeeft, staat hieronder apart.
• Leveradres bij een aankoop met verzending vereist. Koop je iets dat verzonden wordt, dan geef je bij het afrekenen je straat, huisnummer, eventuele bus, postcode en gemeente op. Zonder die gegevens kan de vervoerder geen pakje bezorgen. We bewaren dat adres per bestelling en niet op je profiel: je volgende aankoop mag naar een ander adres gaan, en een verouderd profieladres zou een pakje stil verkeerd sturen. Het gaat naar Sendcloud en de betrokken vervoerder om te bezorgen, en bij een retour om het retourlabel te maken. Om te vermijden dat je pakje onbestelbaar is, leggen we het adres voor aan de adrescontrole van bpost of Sendcloud; valt die weg, dan kan je gewoon verder bestellen. De verkoper krijgt dit adres nooit te zien: die ziet enkel je voornaam en je gemeente. Hoe lang we het bewaren, staat in §4.
• Profielfoto optioneel.
• Bio optioneel; een korte publieke introtekst die je zelf schrijft en die op je publieke profiel verschijnt. Je kan ze op elk moment aanpassen of leegmaken.
• Zichtbaarheid van badges je kan zelf kiezen om de badges op je publieke profiel te verbergen (zoals ‘Trusted verkoper’ of ‘Grondlegger’). Het label ‘Identiteit bevestigd’ blijft altijd zichtbaar: dat is geen badge, maar de uitkomst van je identiteitscontrole.
• Hoe je Truede vond optioneel. Bij je registratie vragen we ‘Hoe heb je ons gevonden?’ met een vaste lijst antwoorden (zoals Instagram, een flyer of via iemand die ik ken). We bewaren het antwoord dat je kiest bij je account, om te meten welke kanalen werken. Het is nooit zichtbaar voor anderen.

2.2 Wat we ontvangen bij je identiteitsverificatie (Smart-ID, de eID-app of een scan van je eID)

Je verifieert je identiteit één keer. Dat is de kern van Truede: iedereen op het platform is een gecontroleerde persoon, geen anoniem account. Er zijn twee volwaardige wegen en een tijdelijke derde, en je kiest zelf welke:

• Smart-ID: je bevestigt met je Smart-ID-app en je pincode. Wij ontvangen de gegevens hieronder van SK ID Solutions, in een elektronisch authenticatiecertificaat.
• De Truede-app (uitlezen van je eID-chip): je legt je Belgische identiteitskaart tegen de achterkant van je telefoon en de app leest de contactloze chip uit. Hier is er geen tussenpersoon: de app leest de kaart en onze eigen server controleert wat de chip zegt.
• Een scan van de machineleesbare zone van je eID (tijdelijk, enkel voor kaarten zonder contactloze chip): heeft je kaart geen contactloze chip, dan is ze van het oude model, uitgereikt tot eind 2020. Je scant dan met de camera de machineleesbare zone van je kaart, de drie regels tekst onderaan één kant, met daarin je rijksregisternummer. Je toestel leest die zone zelf en stuurt de tekst van die drie regels door, samen met de uitkomst van de controles die het toestel uitvoert; het bijgesneden beeld van die zone kan ter controle worden meegestuurd, maar de rest van de kaart verlaat je toestel niet. Onze server herleest de gegevens hieronder uit die tekst, controleert of ze van een echte kaart komen en bewaart geen beeld. Deze weg bewijst minder dan de twee andere (Algemene Voorwaarden §4.2c) en verdwijnt zodra kaarten zonder chip niet meer in omloop zijn.

In de app begint elke kaart met de achterkant. Kies je in de Truede-app voor je eID, dan scan je eerst de achterkant van je kaart, welk model je ook hebt. Je toestel leest daarbij de machineleesbare zone en kijkt welke code er op de achterkant staat. Een blokcode betekent een kaart van het nieuwe model: de app leest die code niet uit en vraagt je daarna de chip tegen je telefoon te houden. Een gewone streepjescode betekent een kaart van het oude model: de app leest die code, vergelijkt ze op je toestel met de machineleesbare zone en gooit ze daarna weg, waarna je verdergaat langs de scanweg. Die eerste scan blijft op je toestel: er gaat geen beeld en geen code naar onze server. Wat daarna wel vertrekt, staat hieronder bij de chip en bij de scanweg.

In alle gevallen ontvangen we dezelfde gegevens en bewaren we dezelfde hashes:

• Voornaam en achternaam bewaard voor identiteitsverificatie, voor verzending en voor wettelijke rapporteringsverplichtingen (DAC7). Je naam wordt niet publiek op je profiel getoond.
• Geboortedatum uitsluitend om te bevestigen dat je minstens 18 jaar bent. Bij Smart-ID nemen we in de eerste plaats de geboortedatum die de identiteitsprovider zelf meegeeft; enkel wanneer die ontbreekt, leiden we ze af uit de eerste zes cijfers van je rijksregisternummer. Bij het uitlezen van de chip nemen we ze rechtstreeks uit de kaart, en nooit uit het rijksregisternummer. Wordt nooit publiek getoond en nooit gedeeld met andere gebruikers.
• Land van uitgifte van de eID.
• Identiteitsgegeven voor herkenning Truede bewaart geen rijksregisternummer en geen identifier die het rijksregisternummer bevat of waaruit het afgeleid kan worden. We bewaren onomkeerbare HMAC-SHA256-hashes, elk berekend met een server-side geheime sleutel (pepper): (1) een hash van de stabiele identifier van je identiteit (bij zowel Smart-ID als de eID-app is dat je rijksregisternummer), gebruikt om te garanderen dat één persoon één account heeft en voor de blacklist; (2) een hash van naam en geboortedatum, ter voorbereiding op cross-provider vergelijking zodra een tweede provider (itsme) actief wordt. Uit geen van beide hashes kan de oorspronkelijke identiteit worden gereconstrueerd. Verkoop je zoveel dat je de DAC7-drempel overschrijdt, dan zijn we wettelijk verplicht je rijksregisternummer wél op te vragen; wat er dan mee gebeurt, staat in §2.5.
• Kaartnummer van je eID, enkel bij de eID-app en de scanweg, en enkel als hash. Lees je je kaart uit met de app of met een scan, dan bewaren we daarnaast een derde onomkeerbare gepepperde hash: die van het nummer van de kaart zelf. Dat is niet je rijksregisternummer en er kan geen rijksregisternummer uit worden afgeleid. Ze dient voor één ding: als iemand meldt dat een identiteitskaart gestolen is of misbruikt wordt, kunnen we díé kaart blokkeren zonder de persoon achter het nummer uit te sluiten. We bewaren ze niet langer dan de kaart geldig is en wissen ze automatisch zodra de vervaldatum verstreken is. Loopt de verificatie niet uit op een geslaagde verificatie, dan bewaren we ze helemaal niet.
• Toestemmingsregistratie, enkel bij de eID-app en de scanweg. Vóór elke uitlezing of scan vink je uitdrukkelijk aan dat Truede de gegevens van je kaart mag lezen en opnemen, van de chip of van de machineleesbare zone. Van dat vinkje bewaren we een registratie: het moment, de versie van de toestemmingstekst, de taal waarin ze getoond werd en het platform en versienummer van de app. Dat is een wettelijke vereiste (art. 6, §4 van de eID-wet) en het bewijs dat we de toestemming ook echt gevraagd hebben. Meer daarover staat verderop in deze sectie.

Wat de app van je chip leest, en wat ze niet leest. De app leest uitsluitend de datagroepen die je naam, je geboortedatum, je rijksregisternummer, je kaartnummer en de geldigheid van je kaart bevatten, samen met de elektronische handtekeningen waarmee onze server kan nagaan dat de kaart echt is en op dat moment werkelijk aanwezig is. Je pasfoto en je vingerafdrukken worden nooit gelezen, ook niet tijdelijk. Er wordt nooit om je pincode gevraagd. De uitgelezen chipgegevens gaan van je toestel rechtstreeks naar onze server, worden daar gecontroleerd en daarna weggegooid: ze worden niet opgeslagen en niet gelogd. Wat er overblijft, zijn de hashes hierboven, de toestemmingsregistratie en het feit dát je geverifieerd bent. Vóór het uitlezen scant de app met de camera de machineleesbare zone onderaan je kaart (de regels tekst met je naam, je kaartnummer en je geboortedatum): die zone levert de sleutel waarmee de chip zich laat openen. Dat beeld wordt op je toestel zelf gelezen, met een tekstherkenning die in de app zit, en verlaat je toestel nooit; de app bewaart er geen foto van.

Wat we met een scan van je kaart doen, en wat niet. Bij de scanweg verwerkt je toestel de camerabeelden zelf. Wat er naar onze server gaat, is de tekst van de drie regels van de machineleesbare zone en de uitkomst van de controles die je toestel uitvoert, uitgedrukt als een reeks getallen. Ter controle kan daar ook het bijgesneden beeld van die ene zone bij gaan; de rest van de kaart verlaat je toestel nooit. Waar die zone op je kaart staat, en wat er naast staat, maakt dus niet uit: het wordt niet verstuurd.

Die controles op je toestel gebeuren terwijl je de kaart even voor de camera kantelt. De app kijkt of ze een vlak, gekanteld voorwerp ziet in plaats van een stilstaande foto, of de tekst bij elke kanteling dezelfde blijft, hoe het licht over de kaart beweegt en of ze op de achterkant een streepjescode van het oude model ziet in plaats van de blokcode van het nieuwe. Er wordt geen enkel beeld en geen enkel beeldfragment van die kanteling verstuurd: enkel de getallen die eruit volgen.

Daarna vraagt de app je de kaart om te draaien en ook de voorkant even te kantelen. Een kaart van het oude model draagt in de kleine, tweede pasfoto een getal dat enkel zichtbaar wordt als je de kaart schuin houdt. De app kijkt of dat getal bij het kantelen verschijnt en of het overeenstemt met wat ze net op de achterkant las; een afdruk of een scherm kan dat niet nadoen. Die vergelijking gebeurt op je toestel. Bij de voorkant komt je pasfoto in beeld, net zoals bij een kaart van het nieuwe model de achterkant je pasfoto toont. De app doet daar niets mee: ze zoekt cijfers en letters, herkent geen gezichten, bewaart geen beeld en verstuurt er geen. Wat naar onze server gaat, is enkel de uitkomst van die vergelijking: gevonden, niet gevonden of niet leesbaar, met twee tellers. Een getal dat in het licht van dat moment niet te lezen was, is geen reden om je te weigeren.

Op de server herlezen we de tekst, controleren we de controlecijfers en de opmaak en beoordelen we die getallen. Werd er ook een beeld meegestuurd, dan wordt het daarna weggegooid: het wordt niet opgeslagen, niet gelogd en niet aan een medewerker getoond. Je pasfoto wordt niet verstuurd; we voeren geen gezichtsvergelijking uit en verwerken geen biometrische gegevens. Wat er overblijft, is precies wat er bij de chip overblijft: de hashes hierboven, de toestemmingsregistratie en het feit dát je geverifieerd bent, met daarbij de aanduiding dat het langs de scanweg gebeurde, en de uitkomst van de controles hierboven, die we bijhouden om misbruik van deze weg te kunnen vaststellen. Van die controles bewaren we niet enkel de eindscore maar ook de onderliggende metingen: de tussenwaarden per beeld, de hoeken waarover je de kaart kantelde, waar de tekstblokken op de kaart stonden (hun plaats, niet hun inhoud) en het model en de Androidversie van je toestel. Het zijn metingen van de scan en geen kaartgegevens: ze helpen ons de drempels bij te stellen op de toestellen die mensen echt gebruiken en ze volgen dezelfde termijn van 90 dagen.

Wat vraagt de app aan Google bij een scan? Om te vermijden dat iemand de scan namaakt met een aangepaste app op een aangepast toestel, vraagt de Truede-app op Android bij elke scan een toestelcontrole op bij Google (de Play Integrity-dienst van Android). Google bevestigt ons daarmee dat de app werkelijk de Truede-app uit de Play Store is en dat het toestel niet gemanipuleerd is. Google krijgt daarbij geen enkel gegeven van je kaart: wat wij meesturen is één onleesbare code, berekend uit je scan, waaruit niets over jou of je kaart af te leiden valt. Wat Google ons terugstuurt, is een oordeel over de app en het toestel, niet over jou. Meer daarover staat in §5.

Bij Smart-ID is de stabiele identifier die we van de provider ontvangen het rijksregisternummer. Bij de eID-app lezen we datzelfde nummer rechtstreeks van de kaart. De hash die we bewaren is in beide gevallen een onomkeerbare, gepepperde hash van dat nummer, en het is dezelfde hash: verifieer je later langs de andere weg, dan herkennen we je als dezelfde persoon. Het nummer zelf slaan we op geen enkel moment op.

Waarom we dat mogen. De Rijksregisterwet van 8 augustus 1983 laat dit uitdrukkelijk toe, zonder dat daar een ministeriële machtiging voor nodig is:

• Het ontvangen is geen gebruik. Bij Smart-ID zit het rijksregisternummer in het elektronische authenticatiecertificaat dat de identiteitsprovider ons doorgeeft; bij de eID-app lezen we het van de chip van je eigen kaart, met jouw toestemming; bij de scanweg lezen we het uit de machineleesbare zone van diezelfde kaart, met dezelfde toestemming. De wet bepaalt dat het lezen van een identiteitskaart en de loutere kennisneming van het nummer op zich geen gebruik zijn waarvoor een voorafgaande machtiging vereist is (art. 8, §2).
• Identificatie en authenticatie in onze eigen toepassing. Er is evenmin een machtiging vereist wanneer het nummer uitsluitend dient om een natuurlijke persoon te identificeren en te authenticeren in een informaticatoepassing die een private instelling van Belgisch recht aanbiedt (art. 8, §3). Truede is zo'n instelling en houdt zich aan de voorwaarden die daarbij horen: we gebruiken het nummer voor geen enkel ander doel, we gebruiken het nooit als ons eigen klantnummer, en de koppeling tussen het nummer en onze eigen gebruikersidentifier houden we in een afgeschermd conversiebestand dat enkel dient om jouw account terug te vinden. Dat conversiebestand is bij ons de onomkeerbare gepepperde hash hierboven, wat strenger is dan wat de wet vraagt: een versleuteld bestand kan ontsleuteld worden, een hash niet.

Onder de AVG steunt deze verwerking op de uitvoering van de overeenkomst (art. 6, lid 1, b) en op ons gerechtvaardigd belang bij fraudepreventie en één account per persoon (art. 6, lid 1, f). Art. 87 AVG laat lidstaten toe de voorwaarden voor het gebruik van een nationaal identificatienummer zelf te bepalen; voor België zijn dat precies de bepalingen hierboven. Voor het leesbare rijksregisternummer dat we boven de DAC7-drempel opvragen geldt een andere grond, zie §2.5.

Toestemming bij het lezen en opnemen van de kaart. De eID-wet vereist je vrije, specifieke en geïnformeerde toestemming vooraleer de gegevens van je identiteitskaart gelezen of opgenomen worden, zowel de zichtbare als de elektronische, en vereist dat er een alternatief bestaat dat de kaart niet vereist (art. 6, §4). Daarom tonen we vóór elke uitlezing en vóór elke scan een scherm waarop je die toestemming apart moet aanvinken, en registreren we dat vinkje zoals hierboven beschreven. Voor de scanweg is die toestemming ook de grondslag voor het kortstondig verwerken van de zone en, wanneer het wordt meegestuurd, van het bijgesneden beeld ervan (art. 6, lid 1, a AVG). Wie de app niet wil gebruiken, of een kaart heeft zonder contactloze chip, verifieert via Smart-ID met een kaartlezer; die weg blijft volwaardig en wordt niet afgebouwd. De scanweg is een tijdelijke aanvulling voor kaarten zonder chip, geen vervanging.

Verificatie is verplicht om te kopen of te verkopen; welke weg je daarvoor kiest, is aan jou.

2.3 Wat we automatisch registreren

• IP-adres voor beveiliging, rate-limiting en misbruikdetectie; niet voor profilering.
• Functionele cookies houden je ingelogd en beveiligen formulieren (zie §7).
• Log-events API-verzoeken zonder gevoelige velden (geen authenticatiegegevens, geen identiteitshash).
• Geaggregeerde, cookieless analytics via zelfgehoste Umami; het IP-adres wordt server-side gehasht vóór verwerking. Geen individuele gebruikersprofielen, geen cross-site tracking.
• Kanaal waarlangs je Truede vond kom je binnen via een campagnelink van Truede (een advertentie, een flyer of onze sociale media), dan draagt het adres van de pagina een kort label mee, bijvoorbeeld meta-sint. Registreer je je via die link, dan bewaren we dat label bij je account, apart van je antwoord uit §2.1, om te meten welke kanalen werken. Het label reist enkel mee in het webadres: we bewaren het niet in een cookie of in je browser, lezen niets anders uit de link, plaatsen geen advertentiepixel en geven het label aan niemand door.

2.3a Wat we kunnen opvragen bij een naamconflict (uitzonderlijk)

Wanneer twee geverifieerde accounts dezelfde identiteitsgegevens opgeven (naam, geboortedatum, land) via verschillende verificatieproviders, kunnen we aanvullend bewijs opvragen:

• Foto met identiteitskaart een selfie waarbij je je identiteitskaart zichtbaar vasthoudt. Wordt enkel verwerkt voor identiteitsbevestiging en niet langer bewaard dan 90 dagen. Dit scenario wordt pas van toepassing zodra een verificatieprovider actief is die een andere identiteitssleutel gebruikt dan de eID (itsme); Smart-ID en de eID-app gebruiken dezelfde sleutel, dus daartussen kan zo'n conflict niet ontstaan.

2.3b Wat we bewaren bij een fraudevaststelling (legal snapshot)

Wanneer we een concrete vaststelling doen van fraude of van onwettige inhoud (foto of tekst) op een zoekertje, maken we een legal snapshot: een kopie van het betrokken zoekertje met de door jou geüploade foto's, gekoppeld aan je account. Deze snapshot:

• wordt enkel gemaakt bij een concrete aanleiding, nooit preventief van alle gebruikers;
• wordt bewaard op een aparte, afgeschermde opslag binnen de EER;
• dient uitsluitend als bewijs ter onderbouwing van een uitsluiting en, in voorkomend geval, van gerechtelijke stappen of een aangifte bij de bevoegde autoriteiten.

2.3c Wat we verwerken bij een geschil en voor de betrouwbaarheid van accounts

Wanneer je bij een transactie een probleem meldt, behandelt Truede dat geschil en houdt het de uitkomst bij. Daarbij verwerken we:

• Geschildossier de melding met categorie, de verklaringen van beide partijen, door partijen aangeleverde foto's, relevante chat-uittreksels, het betrokken zoekertje en het besluit met motivering. Bij een verzendgeschil komen daar neutrale vervoerdersgegevens bij (scan-trail, gewicht bij eerste scan en herweging, afgifte- en ID-registratie aan het servicepunt) en de bewijsfoto's die de verkoper vóór verzending in de app maakt van item en verpakking.
• Video-opnames in twee specifieke gevallen in twee situaties vragen we een filmopname in plaats van een foto, omdat een foto daar niet volstaat:
  • Bij een namaakgeschil kan je als koper kiezen om het item onbruikbaar te maken voor de camera in de app, in plaats van het terug te sturen. Die opname is het bewijs dat het namaakartikel echt uit omloop is. Je bent hiertoe nooit verplicht: terugsturen voor inspectie door Truede blijft een volwaardige keuze, en je claim wordt niet zwakker als je daarvoor kiest.
  • Bij een retourzending kunnen we vragen het inpakken en het afgeven te filmen. Dat dient enkel om te kunnen weerleggen dat er een lege doos of een ander item is teruggestuurd.

Beide opnames zijn alleen zichtbaar voor de medewerker die het geschil behandelt. Ze worden nooit aan de tegenpartij getoond, nooit publiek gemaakt en nooit hergebruikt buiten dat ene geschil. Film enkel het item; je hoeft jezelf, je woning of anderen niet in beeld te brengen.

• Referentiefoto's na een namaakgeschil eindigt een namaakgeschil met bevestigde namaak of zonder uitsluitsel, dan mag het artikel niet opnieuw op Truede aangeboden worden. De foto's ervan blijven als geblokkeerde referentie bewaard zolang die wering geldt; de automatische controle vergelijkt nieuwe zoekertjes ermee en markeert een waarschijnlijke heraanbieding voor menselijke beoordeling (Beschermingsbeleid §7.2).
• Waarschuwingen en betrouwbaarheid als je bijvoorbeeld herhaaldelijk annuleert nadat er al betaald is, houden we dat bij: een waarschuwing of aantekening (met de reden; ze verliest vanzelf haar gewicht en telt na ongeveer negen maanden niet meer mee) en je huidige betrouwbaarheidsniveau. We registreren ook wanneer we je een keer coulant behandelen (een eerste fout door de vingers zien) of wanneer een geschil onbeslist blijft. Die laatste registraties dienen alleen om te voorkomen dat we herhaaldelijk misbruikt worden met dezelfde coulance; ze leiden op zich niet tot een sanctie.
• Historiek op identiteitsniveau de geschil- en coulancehistoriek wordt bijgehouden per geverifieerde persoon (via de onomkeerbare identiteitshash uit §2.2), niet per account. Een nieuw account van dezelfde persoon draagt dus dezelfde historiek.
• Risicosignalen bij een order of geschil kunnen we beperkte signalen evalueren zoals accountleeftijd tegenover orderwaarde, de snelheid van een claim en overlappende apparaat- of IP-gegevens tussen de twee betrokken partijen. Deze evaluatie gebeurt per order of geschil; we bouwen geen doorlopend risicoprofiel op van het gebruikersbestand.
• Signalen in het gebruikspatroon van een account enkel voor accounts die via de eID-app geverifieerd zijn, en enkel om een gestolen of geleende kaart te kunnen opmerken: een ongewoon aantal zoekertjes, systematisch te lage prijzen, een tempo van berichten dat op automatisering wijst. Zo'n signaal komt bij een medewerker terecht; het leidt op zich nooit tot een maatregel. De inhoud van je berichten wordt daarvoor niet gelezen.
• Blokkeringen en gemelde berichten blokkeer je een gebruiker, dan bewaren we die keuze zolang ze geldt, zodat jullie elkaar niet meer kunnen aanschrijven of bij elkaar kopen; de andere partij krijgt daar geen bericht van. Meld je een bericht, dan komt dat bericht met zijn onmiddellijke context in de moderatiewachtrij terecht, zichtbaar voor de medewerker die het nakijkt.

Doelbinding. Het geschildossier en de reputatiedata gebruiken we voor geschilbeslechting, getrapte handhaving, de plaats van je zoekertjes in de zoekresultaten (zie hieronder) en het onderbouwen van een rechtsvordering. Ze worden nooit gebruikt voor marketing of voor enig ander commercieel doel. De risicosignalen dienen uitsluitend voor de beoordeling van de betrokken order of het betrokken geschil.

2.3d Wat doet je betrouwbaarheid met de plaats van je zoekertjes?

Je betrouwbaarheidsscore is één van de factoren die bepalen waar je zoekertjes in de feed en de zoekresultaten verschijnen. We zeggen dit expliciet, omdat het een gebruik is van gegevens over jouw gedrag dat verder gaat dan het beslechten van één geschil.

Concreet: zoekertjes staan gerangschikt op hoe recent ze zijn. Wie openstaande aantekeningen heeft, krijgt daarop een aftrek die zich gedraagt alsof het zoekertje wat ouder is. Die aftrek is evenredig met de score, begrensd (ze loopt niet verder op dan ongeveer drie weken), tijdelijk (ze krimpt mee terwijl je aantekeningen vervallen en verdwijnt volledig als ze weg zijn) en opgeschort zolang je bezwaar loopt. Ze verbergt je zoekertjes niet en sluit je van niets uit: een nieuw zoekertje van iemand met aantekeningen staat nog altijd vóór alles wat ouder is dan de aftrek.

Je aantekeningen staan niet op je profiel. Andere gebruikers zien ze niet: er verschijnt geen merkteken, label of waarschuwing bij je naam, je zoekertjes of je berichten. Wat wel publiek is, zijn je beoordelingen en het aantal verkopen dat je hebt afgerond, en dat volgt rechtstreeks uit je eigen transacties.

Buiten deze ene toepassing voedt je betrouwbaarheidsscore geen enkele andere zoek-, prijs- of aanbevelingslogica.

2.4 Wat we niet verzamelen

• Geen locatiegegevens buiten het ene moment waarop je zelf om ‘in de buurt’ vraagt (§2.1), en dan enkel omgezet naar een gemeente en postcode; nooit een opgeslagen positie, nooit een spoor.
• Geen betaalkaart- of rekeninggegevens die je bij het betalen invoert: elke betaling verloopt via de betaalpagina van onze vergunde betaaldienstverlener, en die gegevens bereiken de systemen van Truede nooit. Zie §2.1 voor de bankrekening die we, pas na je eerste verzendverkoop, doorsturen naar onze betaaldienstverlener.
• Geen gedragstracking, geen retargeting, geen cross-site cookies.
• Geen browser-fingerprinting.
• Geen data van derden zoals sociale-mediaprofielen.
• Geen rijksregisternummer in leesbare of afleidbare vorm in het actieve systeem, en voor verkopers onder de DAC7-drempel op geen enkel moment. De enige uitzondering staat in §2.5. De hash van je kaartnummer (§2.2) valt hier niet onder: een kaartnummer is niet je rijksregisternummer en er kan er geen uit worden afgeleid.
• Geen pasfoto en geen vingerafdrukken van je identiteitskaart. De app die je chip uitleest, leest die datagroepen niet, ook niet tijdelijk, en bij de scanweg verlaat enkel de machineleesbare zone je toestel, nooit je pasfoto (§2.2). Bij geen van beide wegen vergelijken we gezichten of verwerken we biometrische gegevens.
• Geen bewaard beeld van je identiteitskaart. Bij de scanweg wordt een meegestuurd beeld van de machineleesbare zone na de controle weggegooid, en de beelden van de kanteling verlaten je toestel nooit (§2.2).

2.5 De enige uitzondering: je rijksregisternummer bij een DAC7-rapportering

Truede is als platformexploitant wettelijk verplicht om verkopers die een bepaalde drempel overschrijden jaarlijks te rapporteren aan de FOD Financiën, en om daarbij hun fiscaal identificatienummer op te geven. Voor een Belgische particulier is dat het rijksregisternummer. Die verplichting volgt uit de artikelen 321quater e.v. WIB 92 en is meteen ook de rechtsgrond (art. 6, lid 1, c AVG: wettelijke verplichting). Diezelfde wettelijke verplichting is ook wat het gebruik van het rijksregisternummer hier toelaat: de Rijksregisterwet vereist geen machtiging wanneer het gebruik van het nummer uitdrukkelijk door of krachtens een wet is voorzien (art. 8, §1, derde lid). De volledige uitleg staat in de DAC7-kennisgeving.

Wat dat concreet betekent:

• Onder de drempel vragen we het nooit. Verreweg de meeste gebruikers geven hun rijksregisternummer dus nooit op, en voor hen blijft §2.4 onverkort gelden.
• Boven de drempel vragen we ook je hoofdadres en je fiscale woonplaats. Het wettelijke rapport vereist naast je fiscaal nummer ook je hoofdadres (op straatniveau, gecontroleerd via de adrescontrole van bpost, dezelfde die we voor een leveradres gebruiken) en een bevestiging van je fiscale woonplaats. Die gegevens dienen uitsluitend voor de rapportering, worden nergens anders in het platform getoond of gebruikt en volgen dezelfde bewaartermijn als de andere rapporteringsgegevens.
• Ook boven de drempel staat het niet in het actieve systeem. Wanneer je het invult, wordt het gecontroleerd tegen de hash uit §2.2, verwerkt in het rapport en uitsluitend bewaard in een afgeschermd, versleuteld archief dat enkel de rapporteringsjob kan lezen. Het is nergens opzoekbaar via de gewone schermen van Truede en staat niet op je profiel.
• Bewaartermijn: tien jaar, ook na accountverwijdering, zoals opgelegd door de Belgische DAC7-regeling. Zie §4.

2.6 Wat is publiek zichtbaar en vindbaar via zoekmachines?

Een marktplaats werkt maar als een deel van wat je plaatst publiek is. Publiek zichtbaar zijn:

• je zoekertjes: titel, omschrijving, foto's, prijs en de gemeente waarin het artikel wordt aangeboden;
• je publieke profielpagina (je winkel): je weergavenaam, je profielfoto en bio als je die instelde, je gemeente, het label ‘Identiteit bevestigd’ (als je je identiteit liet bevestigen), je badges (tenzij je die verbergt, zie §2.1), het aantal verkopen dat je afrondde, je gemiddelde beoordeling en de maand waarin je lid werd;
• de beoordelingen die je ontving en die je zelf schreef, telkens met de weergavenaam en profielfoto van de schrijver.

Niet publiek zijn onder meer je echte naam, je e-mailadres, je geboortedatum, je postcode en adres, je bankgegevens en je aantekeningen. Je weergavenaam kies je zelf; we tonen nooit ongevraagd de naam uit je identiteitsverificatie.

Zodra het platform publiek toegankelijk is, kunnen zoekmachines deze publieke pagina's indexeren; zolang het platform enkel voor uitgenodigde testers toegankelijk is, vragen we zoekmachines om het volledig te negeren. Twee dingen om te weten:

• Je kan je winkel uit zoekmachines houden. In je profielinstellingen staat de optie ‘Houd mijn winkel uit zoekmachines’: die vraagt zoekmachines en AI-assistenten je publieke winkelpagina niet te tonen. Je link blijft werken als je hem zelf deelt, en je zoekertjes blijven vindbaar op Truede zelf.
• Een verwijderd zoekertje kan nog even in een zoekmachine opduiken. Zoekmachines houden een eigen kopie (cache) bij waarover Truede geen controle heeft. Wij verwijderen de pagina; hoe snel de zoekmachine volgt, bepaalt die zelf.

2.7 AI-hulp bij het maken van een zoekertje

Laad je foto's op bij een nieuw zoekertje, dan stelt Truede automatisch een titel, een omschrijving, een categorie en een staat voor. Die suggestie komt van een AI-model van een externe aanbieder (de categorie ‘AI-verwerking’ in §5). Wat er naar dat model vertrekt, is precies dit: de foto's die je net oplaadde, de vaste instructie die het model vertelt wat het moet doen, en onze categorielijst. Meer niet.

• Er gaat geen accountgegeven mee. Je gebruikersnaam, je e-mailadres, je identiteit en je account-id staan niet in het verzoek. Het model krijgt beelden en een opdracht, geen verkoper.
• We houden geen verband bij tussen jou en een suggestie. We bewaren de vraag niet en het antwoord evenmin: er komt geen rij in de databank, er is geen suggestiegeschiedenis en geen logregel die een foto aan een modelantwoord koppelt. Wat overblijft is de tekst die in je formulier verschijnt en die je zelf aanpast, overschrijft of weggooit.
• Verder dan dat gaat de belofte niet. Een foto kan op zichzelf herkenbare dingen tonen (een gezicht, een gevel, een nummerplaat) en de aanbieder van het model bewaart het verzoek volgens onze verwerkersovereenkomst met hem. We zeggen dus niet dat er niets identificeerbaars vertrekt; we zeggen dat er van onze kant niets meegaat dat het aan jouw account koppelt, en dat wij die koppeling ook niet bijhouden. De rechtsgronden staan in §3.

Je kan de AI-hulp uitzetten. De schakelaar staat in het privacyblok van je profielinstellingen, en de eerste keer dat je een zoekertje maakt vragen we het je daar meteen. Zet je ze uit, dan wordt er bij het plaatsen van een zoekertje geen enkele modelaanroep gedaan: de suggestie wordt niet verborgen, ze wordt niet gemaakt.

Wat uitzetten niet betekent. Je foto's blijven buiten de zoekertjeshulp, maar niet buiten elke AI. Elk zoekertje op Truede gaat sowieso door de automatische foto- en tekstcontrole (§3, moderatie). Het verschil is het ogenblik en het doel: niet op het moment van plaatsen en niet om een tekst voor jou te schrijven, maar erna en enkel om na te gaan of het zoekertje toegelaten is.

En wat het je kost. Zolang die automatische controle voor jouw zoekertje nog niet klaar is:

• staat je zoekertje wel meteen online. Het is publiek zichtbaar, deelbaar en vindbaar zoals elk ander, en kopers kunnen je erover aanschrijven. Er is dus geen publicatievertraging.
• kan er nog niet gekocht worden. Kopen, bieden en een bod aanvaarden kan pas zodra de controle voor dat zoekertje gebeurd is. Het is een aankooprem, geen publicatierem. Hoelang ze duurt hangt af van die controle; ze verloopt automatisch en je hoeft er zelf niets voor te doen.
• wijzig je nadien je titel, je omschrijving of je foto's, dan volgt er een nieuwe controle en geldt dezelfde rem opnieuw. De controle kijkt naar je tekst en je foto's samen, dus ook een aanpassing aan de tekst alleen telt mee.

Zet je de AI-hulp aan, dan is die controle in de regel al gebeurd op het ogenblik dat je plaatst, en merk je van deze rem niets.

2.8 Meldingen op je telefoon (pushmeldingen in de Truede-app)

Gebruik je de Truede-app, dan kan je meldingen op je toestel aanzetten: een bericht in je meldingenlade wanneer iemand je aanschrijft of een bod doet. Dit staat standaard uit en het is geen voorwaarde om de app te gebruiken. Zolang deze dienst nog niet actief is, geldt wat hieronder staat nog niet; de statusmelding bovenaan deze pagina toont wat er op dit moment uitstaat.

Wat een toestelcode is. Een melding kan niet rechtstreeks van onze server naar jouw telefoon: ze gaat altijd via de meldingsdienst van de leverancier van je toestel, en die dienst heeft een adres nodig om ze aan af te leveren. Dat adres is de toestelcode: een lange, willekeurige reeks tekens die je toestel binnen die meldingsdienst aanduidt. Ze bevat je naam niet, je e-mailadres niet en je telefoonnummer niet, en ze is niet je toestelnummer of iets wat op je toestel gegraveerd staat. Ze hoort bij één installatie van de app op één toestel en verandert vanzelf wanneer je de app herinstalleert, je toestelgegevens wist of naar een nieuw toestel overzet.

Ze wordt pas aangemaakt nadat je meldingen zelf aanzet. In je account kies je of je meldingen wil krijgen in de app, in de browser of allebei; die keuze volgt je naar elk toestel. Een toestel krijgt ze pas nadat je ze daar met één tik activeert. Pas dan vraagt je toestel om toestemming, vraagt de app of je browser een toestelcode aan en slaan wij die op bij je account. Zeg je nee, dan vragen we het op dat toestel 30 dagen niet opnieuw. Een gedeeld toestel wordt nooit stilzwijgend aan je account gekoppeld.

Afmelden stopt de meldingen op dat toestel. Wanneer je afmeldt, verwijderen we de koppeling tussen dat toestel en je account. Meld je later opnieuw aan op hetzelfde toestel, dan koppelen we het zonder vraag terug. Bij het beëindigen van je account verwijderen we meteen al je toestelcodes, op al je toestellen.

Wie die code krijgt, hangt af van je toestel. Op Android is dat Google (Firebase Cloud Messaging), op iPhone en iPad is dat Apple (Apple Push Notification service). Er is geen derde weg: op beide platformen is de meldingsdienst van de leverancier de enige manier om een melding in de lade te krijgen. Beide kunnen die gegevens ook buiten de EER verwerken. Wat dat betekent, en welke waarborgen daar tegenover staan, lees je in §5.

Wat er in een melding staat, houden we bewust klein. Een melding reist via een partij buiten Truede en verschijnt op een scherm dat een ander over je schouder kan meelezen. Daarom noemt een melding wel de aanleiding, maar niet de inhoud: ‘Nieuw bericht van Jan’ en niet de tekst van het bericht, ‘Nieuw bod op je zoekertje’ en niet het bedrag, ‘Er is nieuws over je bestelling’ en niet het geldgevolg. Het echte bericht zie je pas nadat je de melding aantikt en in je eigen account terechtkomt.

Ook in je browser, zonder de app. Op de website kan je dezelfde meldingen aanzetten via je browser (‘webpush’). Dan bewaren we een abonnementsadres dat je browser aanmaakt, en de melding reist via de meldingsdienst van de maker van je browser (Google voor Chrome en Android-browsers, Mozilla voor Firefox, Apple voor Safari, Microsoft voor Edge), die ze ook buiten de EER kan verwerken. Dezelfde regels gelden: standaard uit, enkel de aanleiding en niet de inhoud, uitzetten kan altijd in de instellingen en dan wissen we het adres meteen; afmelden stopt de meldingen in die browser.

Wat je niet per soort kan uitzetten. Zet je meldingen aan, dan komen berichten die je account, je geld of een lopende transactie raken (Beschermingsbeleid §11) altijd mee, ook als je de optionele soorten uitzet; wil je die niet als melding, dan zet je de meldingen als geheel uit. Optionele meldingen kunnen we later beperken tot de uren tussen 8 en 21 uur.

Uitzetten kan altijd, en dan verdwijnt de code. Zet je de schakelaar terug om, dan verwijderen we de toestelcode bij ons en zegt de app de registratie bij de meldingsdienst op, in de app of op het web, afhankelijk van je keuze. Je kan meldingen daarnaast ook uitzetten in de instellingen van je toestel zelf; dan komen ze niet meer binnen, maar verwijder je de code bij ons niet, dus doe het bij voorkeur via de schakelaar in je account.

Eén beperking, vooraf gemeld. Naast de toestelcode houdt de meldingsdienst van je platformleverancier een eigen installatiekenmerk van de app bij. Dat kenmerk kunnen wij niet van op afstand wissen: het verwijderen ervan is een opdracht die op het toestel zelf moet lopen, en dat kan alleen als de app er op dat moment nog op staat. Zet je de meldingen in de app uit, dan gebeurt het meteen. Vraag je je account te laten wissen zonder de app nog te openen, of heb je de app al verwijderd, dan wissen wij wél alles wat wij bewaren, maar blijft dat kenmerk bij je platformleverancier achter tot het via hun eigen termijn verdwijnt (§4).

2.9 Vragen aan de klantendienst

Schrijf je naar support@truede.be of via het contactformulier, dan bewaren we je vraag, ons antwoord en de bijlagen die je meestuurde in een ticket, gekoppeld aan je account als je er een hebt. Om sneller te kunnen antwoorden laten we een AI-model (de categorie ‘AI-verwerking’ in §5, verwerkt binnen de EER) je vraag klasseren en een ontwerpantwoord schrijven voor de medewerker. Daarvoor krijgt het model het onderwerp en de laatste vijf berichten die jij ons stuurde, meer niet; je identiteitsgegevens gaan niet mee. Een mens leest elk ontwerp na en beslist wat er vertrekt. Vragen die je naar privacy@truede.be, abuse@truede.be of een ander wettelijk contactpunt stuurt, gaan nooit door dat model. Zouden we ooit voor eenvoudige, vaak terugkerende vragen een antwoord zonder menselijke nalezing versturen, dan staat dat uitdrukkelijk in dat antwoord; vragen over geld, een geschil of een wettelijke termijn krijgen altijd een menselijk antwoord. Zolang deze verwerking uitstaat, gebeurt ze niet; de statusmelding bovenaan deze pagina toont wat er op dit moment uitstaat.

3. Doeleinden en rechtsgrond

4. Bewaartermijnen

5. Sub-verwerkers

Alles wat Truede zelf opslaat en verwerkt, blijft binnen de Europese Economische Ruimte (EER). Je account, je zoekertjes, je foto's, je berichten, je bestellingen, onze databank en onze back-ups staan in de EER, en elke sub-verwerker die daaraan meewerkt, verwerkt je gegevens binnen de EER. Op die regel is er één uitzondering, en ze bestaat alleen als je ze zelf aanzet: zet je pushmeldingen aan, in de Truede-app of in je browser (§2.8), dan verloopt de bezorging van die melding via de meldingsdienst van de leverancier van je toestel of je browser (Google, Apple, Mozilla of Microsoft), en die leverancier kan de toestelcode of het browserabonnement en de korte tekst van de melding ook buiten de EER verwerken. Zet je geen meldingen aan, dan verlaat er langs deze weg niets de EER. Zet je ze wel aan, dan blijft de uitzondering strikt beperkt tot het bezorgen van een melding die je zelf hebt aangevraagd, en tot niets anders.

Er is daarnaast één moment waarop de Truede-app zelf iets aan een partij buiten de EER vraagt in plaats van iets over jou te versturen: verifieer je je met een scan van je kaart (§2.2), dan vraagt de app Google om een toestelcontrole. Er gaat daarbij geen enkel gegeven van je kaart of over jou mee, enkel een onleesbare code. Die controle staat in de tweede tabel hieronder, bij de partijen die op eigen titel verwerken.

De waarborg voor die doorgifte verschilt per leverancier. Hieronder staat per leverancier welke het is:

• Google verwerkt de bezorging als verwerker in onze opdracht, onder de Firebase Data Processing and Security Terms. De doorgifte buiten de EER steunt op de modelcontractbepalingen van de Europese Commissie en op het EU-VS Data Privacy Framework, waarvoor Google gecertificeerd is.
• Apple biedt voor zijn meldingsdienst geen verwerkersovereenkomst aan en verwerkt op eigen titel, als zelfstandige verwerkingsverantwoordelijke; daarom staat Apple hieronder in de tweede tabel en niet bij de sub-verwerkers. Voor de EER is Apple Distribution International in Ierland de verantwoordelijke, en de doorgifte buiten de EER steunt op de modelcontractbepalingen van de Europese Commissie. Apple is niet aangesloten bij het EU-VS Data Privacy Framework en publiceert niet waar het de gegevens verwerkt. Dat die tabelindeling verschilt, verandert niets aan wat er gebeurt: op beide platformen gaat de melding naar de leverancier van je toestel en kan die ze buiten de EER verwerken.

We werken met de volgende categorieën van sub-verwerkers:

De gedetailleerde lijst van individuele sub-verwerkers is op aanvraag beschikbaar via privacy@truede.be.

Wie krijgt nog gegevens, buiten onze sub-verwerkers? Een aantal partijen ontvangt gegevens niet in onze opdracht, maar op eigen titel:

Bij wijzigingen in onze sub-verwerkers werken we deze pagina bij vóór de wijziging ingaat. Gaat er daarbij een fundamenteel nieuwe categorie van gegevens naar een nieuwe partij, dan informeren we je daarnaast vooraf per e-mail.

6. Beveiliging

We nemen passende technische en organisatorische maatregelen conform art. 32 AVG:

• Versleuteling in transit TLS 1.2+ op alle endpoints, HSTS, beveiligde cookies.
• Authenticatie je logt in met een wachtwoord, een passkey of een eenmalige e-maillink (magic link), met optionele tweefactorauthenticatie via een authenticator-app. Wachtwoorden bewaren we uitsluitend als bcrypt-hash; van een passkey bewaren we enkel de publieke sleutel.
• Versleuteling at rest gevoelige velden zoals het identiteitsgegeven worden uitsluitend als HMAC-SHA256-hash bewaard, nooit als leesbare tekst.
• Toegangscontrole least-privilege voor alle databases; de beheerschermen zijn enkel bereikbaar voor benoemde beheerdersaccounts, en elke inzage in gevoelig bewijsmateriaal (legal snapshots, geschildossiers, het DAC7-archief) wordt gelogd. Tweefactorauthenticatie is voor die accounts de norm en wordt een technische verplichting zodra we ze in de code afdwingen.
• Loggen zonder gevoelige velden authenticatiegegevens en de identiteitshash worden expliciet uitgesloten uit logregels.
• Incident response datalekken worden binnen 72 uur gemeld aan de Belgische Gegevensbeschermingsautoriteit conform art. 33 AVG. Betrokkenen worden ingelicht conform art. 34 wanneer een hoog risico bestaat.

7. Cookies en tracking

Truede gebruikt uitsluitend functionele cookies:

Daarnaast bewaart je browser lokaal (zonder cookie) dat je de cookiemelding en een openstaande akkoordvraag al zag, en een onafgewerkt zoekertje zolang je het formulier niet afrondde. Die gegevens verlaten je toestel niet.

Geen tracking-cookies, geen retargeting, geen advertentienetwerken. Onze analytics zijn cookieless en geaggregeerd (zie §2.3). Twee schermen laden een script van een partner die ook onze sub-verwerker is, telkens pas op het moment dat je die functie gebruikt: de kaart met afhaalpunten van Sendcloud bij het afrekenen van een verzending, en een anti-misbruikcontrole (captcha) van een Europese aanbieder bij registratie of op een formulier zodra we die inzetten. Beide krijgen enkel wat ze voor die functie nodig hebben (je postcode voor de kaart; een technisch signaal voor de controle), en geen van beide volgt je over andere sites.

Omdat we uitsluitend functionele cookies gebruiken, is een granulaire opt-in niet vereist. Bij je eerste bezoek verschijnt een lichte cookie-notice met een link naar dit beleid.

8. Je rechten

Als betrokkene heb je de volgende rechten onder de AVG. Je oefent ze uit door een e-mail te sturen naar privacy@truede.be; we identificeren je voorafgaand om misbruik te voorkomen.

We antwoorden binnen 30 dagen (verlengbaar met 60 dagen voor complexe verzoeken, met motivering). Kennelijk ongegronde of buitensporige, met name repetitieve, verzoeken kunnen we weigeren of er een redelijke vergoeding voor vragen (art. 12, lid 5 AVG).

Accountherstel en e-mailadres wijzigen. Zolang de zelfbedieningsstroom voor accountherstel nog niet beschikbaar is, verloopt het wijzigen van je e-mailadres en het herstellen van een ontoegankelijk account via support@truede.be. We vragen je daarbij om je opnieuw te verifiëren via Smart-ID, de weg die naast het bezit van je kaart ook je pincode vereist: dat is de sterkste manier om te bewijzen dat je écht jezelf bent. Het uitlezen van je eID-chip in de app kan een bestaand account nooit automatisch herstellen, omdat bezit van een kaart niet bewijst wie ze vasthoudt (§2.2). Zie het helpartikel ‘Wat als ik geen toegang meer heb tot mijn account?’ voor de details.

9. Geautomatiseerde besluitvorming en correctie

Truede neemt geen geautomatiseerde besluiten met rechtsgevolgen over individuele gebruikers in de zin van art. 22 AVG. Concreet:

• AI-moderatie leidt nooit tot automatische verwijdering; een menselijke moderator beslist.
• De tijdelijke verberging bij meerdere meldingen is een tussentijdse maatregel in afwachting van menselijke review.
• De blacklist-blokkering bij herregistratie is de geautomatiseerde toepassing van een eerdere menselijke beslissing (de oorspronkelijke uitsluiting), niet een nieuwe geautomatiseerde beslissing.
• Aantekeningen en betrouwbaarheidsniveaus (§2.3c) volgen automatisch uit vooraf vastgelegde regels op door mensen vastgestelde feiten (zoals een geregistreerde annulering of een door een mens uitgesproken geschilbesluit). Elk geschilbesluit wordt door een mens beoordeeld en gemotiveerd.
• Besluiten met aanmerkelijk gevolg worden altijd door een mens genomen. Een waarschuwing, een tijdelijke verkoopstop, een schorsing, een uitsluiting of terugkeervoorwaarden komen er nooit automatisch. Wanneer je betrouwbaarheidsscore een drempel overschrijdt, komt je account in een beoordelingswachtrij terecht en kiest een medewerker wat er gebeurt, of dat er niets gebeurt.
• Eén gevolg treedt wel automatisch in: de plaats van je zoekertjes in de zoekresultaten (§2.3d). Dat is een begrensde, tijdelijke correctie die niemand van de dienst uitsluit. Er komt geen publiek merkteken op je profiel bij.

Wat je hierover kan doen. Je hebt bij elk van deze maatregelen recht op uitleg en op betwisting:

• Je krijgt een motivering van elke beperking, schorsing of uitsluiting: welke maatregel, hoe ver ze reikt, op welke feiten ze steunt, of er geautomatiseerde middelen aan te pas kwamen en hoe je in beroep gaat.
• Je kan binnen 14 dagen intern beroep aantekenen via support@truede.be. Een mens herbekijkt de zaak.
• Zolang je bezwaar loopt, worden de gevolgen opgeschort. Een maatregel blijft niet doorlopen terwijl de procedure die hem moet aanvechten nog bezig is.
• Je kan je ook op je recht van bezwaar (art. 21 AVG) beroepen tegen de betrouwbaarheidsverwerking als geheel, via privacy@truede.be.

Correctie en betwisting van de blacklist. Omdat de blacklist werkt met een deterministische hash, kan in uitzonderlijke gevallen een onterechte match optreden. Als je meent dat je ten onrechte geblokkeerd bent, kan je dit betwisten via privacy@truede.be of support@truede.be. Een menselijke medewerker beoordeelt je verzoek.

10. Gegevensbeschermingseffectbeoordeling (DPIA)

Voor de identiteitsverwerking (verificatie, de onomkeerbare hashes, de blacklist en de legal snapshot) heeft Truede een gegevensbeschermingseffectbeoordeling opgesteld conform art. 35 AVG, omdat deze verwerking een verhoogd risico voor de rechten en vrijheden van betrokkenen kan inhouden. Een tweede beoordeling dekt de accountbeëindiging, het recht op wissing en de identiteitsbewaring na wissing (het hierboven vermelde hash-residu). Een derde beoordeling dekt de geschilbeslechting, de reputatiescore en de daaruit volgende handhaving (§2.3c en §2.3d), inclusief de video-opnames en het bewijs dat bij een betaalbetwisting wordt doorgegeven. Daarin worden telkens de verwerking, de noodzakelijkheid en evenredigheid, de risico's en de getroffen maatregelen beoordeeld. De beoordelingen zijn op aanvraag beschikbaar via privacy@truede.be, voor zover de openbaarmaking geen afbreuk doet aan de veiligheid van de technische maatregelen. Elke beoordeling wordt herzien vóór een nieuwe verwerking start, waaronder de komst van een tweede verificatieprovider. De eerste beoordeling is in september 2026 herzien voor het uitlezen van de eID-chip in de Truede-app (§2.2); de tweede en de derde zijn diezelfde maand herzien voor de pushmeldingen en voor de bewaartermijn van het aantekeningen-eventlog (§4). Voor de pushmeldingen zelf is geen afzonderlijke beoordeling nodig; die afweging is vastgelegd.

11. Wijzigingen

Voor materiële wijzigingen van dit beleid (een nieuwe verwerkingsgrond, een nieuwe categorie persoonsgegevens, een nieuwe categorie ontvangers of een langere bewaartermijn) tonen we je bij je volgende bezoek een melding in de app met een korte samenvatting, en informeren we je per e-mail vóór de wijziging ingaat. Louter redactionele wijzigingen (bijvoorbeeld een correctie van een typefout of een gewijzigd contactadres) vereisen geen voorafgaande kennisgeving; je vindt elke versie terug via /legal. De versie en datum staan in de versie-banner bovenaan deze pagina.

12. Contact en klachten