Dit privacybeleid is opgesteld om te voldoen aan de vereisten van de Algemene Verordening Gegevensbescherming (AVG) en de Nederlandse Telecommunicatiewet. Het document beschrijft de wijze waarop Starburst persoonsgegevens verwerkt van spelers in Nederland. De verantwoordelijke voor de verwerking handelt in overeenstemming met de Wet op de kansspelen en de vergunningsvoorwaarden van de Kansspelautoriteit. Transparantie over de verwerkingsdoeleinden, de rechtsgrondslagen en de bewaartermijnen vormt de kern van dit beleid. Dit beleid heeft betrekking op accountbeheer, transactieverwerking en de nakoming van de identificatieplicht. De beveiliging van persoonsgegevens wordt gewaarborgd door technische en organisatorische maatregelen, waaronder toegangscontroles en encryptie. Dit document vervangt alle eerdere versies en is van toepassing op alle diensten die via het platform worden aangeboden.
1. Categorieën van verwerkte persoonsgegevens
Bij de registratie en het gebruik van het speelplatform worden verschillende categorieën persoonsgegevens verzameld. Onder registratiegegevens vallen de volledige naam, het adres, de woonplaats, het telefoonnummer en het e-mailadres. Daarnaast wordt bij aanmelding een unieke gebruikersnaam en een wachtwoord vastgelegd. Identificatiegegevens omvatten een kopie van een geldig legitimatiebewijs, zoals een Nederlands paspoort of identiteitskaart, en in voorkomende gevallen een uittreksel uit het BRP.
Transactionele informatie wordt per sessie geregistreerd en omvat stortingen, opnames, inzetbedragen en uitkeringsgegevens. Deze gegevens worden gekoppeld aan het individuele account en de bijbehorende betalingsmethode, zoals iDEAL of een creditcard. Technische gegevens bestaan uit het IP-adres, het type browser, de besturingssysteemversie en apparaatidentificatoren. Deze worden verzameld bij elke verbinding met de servers van de organisatie.
Compliantiegerelateerde gegevens omvatten de resultaten van verificaties van identiteit en woonplaats, evenals de uitkomsten van controles op witwassen (Wwft) en de naleving van de vergunningsvoorwaarden. Bij gebruik van de dienst starburst free play of gratis starburst spelen worden alleen basisaccount- en technische gegevens vastgelegd; er worden geen stortings- of inzetprofielen opgebouwd. De verwerking van gegevens in het kader van starburst online gratis vindt plaats met een minimum aan persoonsidentificatie, conform de AVG.
2. Doeleinden en rechtsgrondslagen voor verwerking
De verwerking van persoonsgegevens vindt uitsluitend plaats voor welbepaalde, uitdrukkelijk omschreven doeleinden. De eerste categorie doeleinden betreft de uitvoering van de overeenkomst, waaronder het beheren van het spelersaccount, het verwerken van stortingen en uitkeringen, en het faciliteren van free starburst spins zoals weergegeven in de campagneregels. De tweede doeleinde is de wettelijke verplichting op grond van de Wet op de kansspelen, de Wwft en de Sanctiewet. Dit omvat de identificatie- en verificatieplicht, de meldplicht van ongebruikelijke transacties en de bewaarplicht van transactieregisters.
De derde rechtsgrond is het gerechtvaardigd belang van de organisatie. Dit belang omvat de beveiliging van het platform tegen fraude, het waarborgen van de integriteit van spelsystemen en het voorkomen van gokverslaving door middel van gepersonaliseerde risicoanalyses. De vierde rechtsgrond is de toestemming van de betrokkene, die wordt gevraagd voor het ontvangen van direct marketingcommunicatie en voor het gebruik van cookies die niet noodzakelijk zijn voor de werking van de site. De toestemming kan te allen tijde worden ingetrokken.
Voor de verwerking van bijzondere persoonsgegevens, zoals gegevens over gezondheid in het kader van speellimieten, wordt expliciete toestemming gevraagd of wordt een zwaarwegend gerechtvaardigd belang aangetoond. De organisatie verwerkt geen gegevens van minderjarigen (personen onder de 18 jaar) en voert hiervoor systematische leeftijdsverificaties uit.
3. Opslag, beveiligingsmaatregelen en bewaartermijnen
Alle persoonsgegevens worden opgeslagen op servers die zich binnen de Europese Economische Ruimte (EER) bevinden en worden beheerd door gecertificeerde hostingpartijen. De gegevens worden versleuteld tijdens transport via TLS 1.2-protocollen. In rust worden de gegevens opgeslagen met behulp van AES-256 encryptie. Toegang tot persoonsgegevens is beperkt tot geautoriseerd personeel op basis van een strict toegangsmatrix, waarbij elke handeling wordt gelogd en periodiek wordt gecontroleerd door de functionaris gegevensbescherming.
Technische beveiligingsmaatregelen omvatten firewalls, intrusion detection systems en geautomatiseerde monitoring op ongebruikelijke datastromen. Organisatorische maatregelen omvatten een verwerkersovereenkomst met alle derden die persoonsgegevens verwerken, periodieke audits en een verplichte geheimhoudingsverklaring voor medewerkers. De Kansspelautoriteit wordt onmiddellijk op de hoogte gesteld van een datalek waarvan aannemelijk is dat het risico’s voor de rechten en vrijheden van betrokkenen met zich meebrengt.
De bewaartermijnen zijn vastgesteld op basis van wettelijke vereisten en operationele noodzaak. Accountgegevens worden bewaard gedurende de looptijd van de overeenkomst en vervolgens gedurende zeven jaar na beëindiging van het account, zoals vereist onder de Wwft en de fiscale bewaarplicht. Transactionele gegevens worden eveneens zeven jaar bewaard. Technische loggegevens, zoals IP-adressen en sessiegegevens, worden maximaal twaalf maanden bewaard, tenzij een langer termijn noodzakelijk is voor een lopend onderzoek. Na afloop van de bewaartermijn worden de gegevens geanonimiseerd of permanent verwijderd middels gecertificeerde verwijderingssoftware.
4. Rechten van de speler en procedures voor gegevenstoegang
De betrokkene heeft het recht op inzage in de persoonsgegevens die door de organisatie worden verwerkt. Een verzoek tot inzage dient schriftelijk of via het beveiligde contactformulier te worden ingediend. De organisatie verstrekt binnen vier weken een overzicht van de verwerkte gegevens, de verwerkingsdoeleinden, de ontvangers en de bewaartermijnen. Het recht op rectificatie stelt de speler in staat onjuiste of onvolledige gegevens te laten corrigeren.
Het recht op gegevenswissing (recht op vergetelheid) is van toepassing wanneer de gegevens niet langer noodzakelijk zijn voor de doeleinden, de toestemming wordt ingetrokken en er geen andere rechtsgrond is, of wanneer de gegevens onrechtmatig zijn verwerkt. De organisatie kan een verzoek tot wissing weigeren wanneer de verwerking noodzakelijk is voor de nakoming van een wettelijke verplichting, zoals de bewaarplicht ex artikel 33 Wwft. Het recht op beperking van de verwerking kan worden ingeroepen in geval van betwisting van de juistheid van de gegevens of bij bezwaar tegen de verwerking op basis van gerechtvaardigd belang.
Het recht van bezwaar geeft de speler de mogelijkheid bezwaar te maken tegen verwerking op basis van gerechtvaardigd belang, waaronder profilering voor fraudepreventie. De organisatie staakt in dat geval de verwerking, tenzij dwingende gerechtvaardigde gronden worden aangetoond. Het recht op gegevensoverdraagbaarheid (dataportabiliteit) is van toepassing op gegevens die zijn verstrekt door de betrokkene en die worden verwerkt op basis van toestemming of uitvoering van een overeenkomst. De gegevens worden verstrekt in een gestructureerde, gangbare en machineleesbare vorm, zoals een CSV-bestand.
Voor elk verzoek tot uitoefening van een recht is identificatie van de verzoeker vereist. De organisatie verifieert de identiteit door middel van een kopie van een geldig legitimatiebewijs, waarbij het burgerservicenummer (BSN) wordt afgeschermd. De procedure is kosteloos, tenzij het verzoek kennelijk ongegrond of buitensporig is. Indien de speler niet tevreden is met de afhandeling van het verzoek, kan een klacht worden ingediend bij de Autoriteit Persoonsgegevens. De contactgegevens van de functionaris gegevensbescherming zijn opvraagbaar via de klantenservice.