Privacy Statement

Privacy is very important to SprayPay. This privacy statement describes how and why SprayPay collects and uses your personal data. It also describes what rights you have and how to exercise them. Please feel free to contact us regarding privacy and the protection of your personal data by sending an email to: consument@spraypay.nl

By using SprayPay's services, you accept this privacy statement and the processing of your personal data by SprayPay. You agree that SprayPay uses electronic communication channels to send you information.

It is important that you read and understand this privacy statement before using SprayPay's services.

In order to offer SprayPay's spread payment service, we must process personal data. We do this carefully; below we describe how we process personal data.

We process data that you provide to us. You provide this, for example, when you place an order with a webshop and use SprayPay's spread payment service, or when you contact us and leave your details. When you wish to use SprayPay's spread payment service, we also collect data from you. This concerns the following data:

• Personal and contact information: name, date of birth, gender, home and delivery address, email address, phone number, marital status, family situation.

• Information about orders placed: name of the webshop, order date, amount and order number.

• Financial information: bank account number, income level, housing costs, BKR data, EDR credit check, alimony obligations, consumer credit obligations.

• Communication: email correspondence between you and SprayPay, timing of email communication and telephone contact.

A legal basis is required for the processing of data. SprayPay relies on 3 legal bases:

1. SprayPay needs your data for the performance of a contract. When you order a product and pay for it using SprayPay's spread payment service, you enter into a contract with SprayPay. SprayPay requires your personal information for this purpose.

2. Another legal basis is the so-called legitimate interest. This includes, for example, using data to improve our services or to carry out data or risk analyses.

3. SprayPay's spread payment service operates under a licence supervised by the AFM. The licence number of SprayPay's spread payment service is 12045002. Operating under AFM supervision means that we must comply with applicable laws and regulations, for example to prevent over-indebtedness (preventing over-indebtedness means that you do not borrow more than is appropriate for your personal situation). This last legal basis is the legal obligation.

Purposes and legal bases of data processing

Below you will find an overview of the purpose of data processing and the corresponding legal basis.

• Establishing your identity and verifying personal and contact details: Performance of the contract

• Administering the customer relationship and payment details, including to provide you with information: Performance of the contract

• Determining your income/expenses position to prevent over-indebtedness: Performance of the contract, Legal obligation

• For conducting customer analysis, data analysis, research and statistical purposes: Performance of the contract, Legitimate interest

• To improve our services and to develop new services: Legitimate interest

• For carrying out risk analysis, fraud prevention and risk management: Legal obligation, Legitimate interest

• Compliance with applicable laws and regulations: Legal obligation

SprayPay (part of Webfin Holding) may share or transfer your data to other parties, both within and outside Webfin Holding. Naturally, we do not do this without good reason. In such cases, we will ensure appropriate legal, technical and organisational measures are in place so that your data is properly protected and secure. SprayPay does not sell your data to other parties without first obtaining your consent.

Becoming a business customer of SprayPay

When you wish to become a customer, we provide your data to Economic Data Resources B.V. (EDR). Based on this data, EDR will provide advice on the creditworthiness of the company and any negative findings regarding the company's board/management. EDR uses this data to investigate the creditworthiness and contact details of you and your company. If you wish to object or require information about the use of your personal data by EDR, see: https://www.edrcreditservices.nl/privacy-statement/.

Credit information agencies and other providers of such services

To assess your creditworthiness and to confirm your identity and address details, your personal data is shared with credit information agencies and providers of identification services. SprayPay uses the services of:

• Bureau Krediet Registratie

• iDIN Online Identification

• EDR: Before we enter into a contract with you, we want to form a picture of any payment risks. This helps us determine whether we will enter into a contract with you and which terms and conditions will apply. For this purpose, we will also provide your data to Economic Data Resources B.V. (EDR). EDR verifies personal data and provides credit information reports with a risk profile. EDR uses your data to investigate your creditworthiness and contact details. You can read information about the processing of personal data by EDR here, in the privacy statement https://www.edrcreditservices.nl/privacy-statement/. This also describes how you can exercise your rights, such as your right of access, objection, rectification and erasure.

Government authorities

It may occur that SprayPay is legally obligated to share information with government authorities. Examples include the police or the tax authorities.

Sale or acquisition of assets

In the event that SprayPay purchases or sells assets, or part of its assets is acquired, SprayPay is permitted to share or transfer personal data to the buyer, the seller, or the acquiring party, as applicable.

SprayPay processes your data within the EU/EEA. We make every effort to protect your data appropriately, and to this end we take all reasonably possible legal, technical and organisational measures.

SprayPay does not retain your personal data for longer than necessary to fulfill its contractual obligations and in accordance with the statutory retention period. This means that we retain your personal data for up to 5 years after the end of the contract.

If your application is discontinued or rejected and no contract is concluded, your data will be retained for up to 12 months after the date of entry.

SprayPay complies with the General Data Protection Regulation (GDPR), which means you have a number of rights, namely:

• Right of access: Upon request, we will provide you with an overview of the personal data we hold about you, free of charge.

• Right to rectification: Naturally, you may expect SprayPay to handle your data carefully and record it correctly. Should it unexpectedly be the case that we hold incorrect or incomplete information about you, you have the right to have this corrected.

• Right to erasure: You have the right to have your personal data erased, provided that this is permitted under the legal obligations SprayPay has.

• Right to human intervention in decisions: SprayPay makes decisions on whether or not to grant financing based on automatically processed data. You have the right to request a new decision in which the data has been reviewed by a human.

• Right to data portability: Also known as the "right to transfer data." This means that, upon request, your data will be transferred to you or directly to the organisation to which you wish your data to be transferred.

• Right to restriction of processing: Under certain circumstances, you may request that the processing of your personal data be restricted. This means that the data may still be stored, but may not be processed further.

• Right to object: You may object to the processing of your personal data where the processing is based on legitimate interest. In that case, we must cease the processing, unless we can demonstrate compelling legitimate grounds that override your interests, rights and freedoms.

SprayPay is part of Webfin Holding B.V. and is located at the following address:

• Grote Voort 2478041 BL Zwolle

SprayPay places great value on the privacy and protection of your personal data. If you are not satisfied with how we handle your data, or if you believe your data is being processed incorrectly, you have the right to lodge a complaint with the supervisory authority. In the Netherlands, this is the Dutch Data Protection Authority (Autoriteit Persoonsgegevens, AP).

Contact details of the Dutch Data Protection Authority

• Website: Autoriteit Persoonsgegevens

• Postal address: Postbus 93374, 2509 AJ Den Haag

• Phone number: 088 - 1805 250

• Email: info@autoriteitpersoonsgegevens.nl

The Dutch Data Protection Authority (Autoriteit Persoonsgegevens) is responsible for supervising compliance with data protection legislation. They also provide information and advice on the rights and obligations relating to personal data. If you wish to lodge a complaint, you can visit their website for more information on the procedure.

We encourage you to contact us first if you have any questions or concerns about your personal data. Our goal is to resolve any issues quickly and effectively.

Wij nemen passende veiligheidsmaatregelen om je persoonsgegevens te beschermen en misbruik, verlies of wijziging hiervan te voorkomen. Deze omvatten zowel technische maatregelen (bijvoorbeeld het gebruik van wachtwoorden en fysieke beveiliging) als organisatorische maatregelen (bijvoorbeeld het bevorderen van privacy- en veiligheidsbewustzijn bij onze medewerkers). Bovendien zijn de betrokken personen gebonden door passende geheimhoudingsverplichtingen en moeten zij zich houden aan onze instructies die gericht zijn op de adequate bescherming van je gegevens.

Concrete veiligheidsmaatregelen waar je als klant mee te maken kunt krijgen, zijn de beveiliging van onze online-diensten, de authenticatie procedure (in twee stappen vaststellen wie je bent), controlevragen als je met ons belt en het gebruik van de extra beveiligde omgevingen van SprayPay.

Veiligheid is iets waar wij ook sámen met je verder aan willen werken. Heb je bijvoorbeeld te maken gehad met lekken in de beveiliging? Dit kun je via onze website www.spraypay.nl of via consument@spraypay.nl vertrouwelijk aan ons melden.

In beginsel bewaren wij je persoonsgegevens niet langer dan strikt noodzakelijk is voor de doeleinden waarvoor wij je persoonsgegevens verwerken en in overeenstemming met de wettelijke bewaartermijn. Wij hanteren standaard een bewaartermijn van 5 jaar na het beëindigen van de kredietovereenkomst. Heb je een aanvraag gedaan voor gespreid betalen, maar is deze afgebroken of afgewezen en niet tot een overeenkomst geleid? Dan bewaren wij je persoonsgegevens tot 12 maanden na de invoerdatum van de aanvraag.

Als je met succes een van je privacy rechten uitoefent, kan het zijn dat de betreffende persoonsgegevens niet langer worden bewaard. In dergelijke gevallen kunnen wij je persoonsgegevens voor een kortere periode verwerken dan hierboven is vermeld. Voor meer informatie hierover verwijzen wij je naar het onderdeel ‘10. Wat zijn je privacyrechten?’ hieronder.

Daarnaast kunnen er redenen zijn om persoonsgegevens langer dan de standaard termijnen te bewaren. Bijvoorbeeld als een krediet nog niet volledig is afgelost of als er nog actieve processen/taken zijn ten aanzien van het krediet. Ook voor ons risicomanagement, om veiligheidsredenen of om goed te kunnen omgaan met claims, onderzoeken of rechtszaken kunnen wij je persoonsgegevens langer bewaren. Waar mogelijk bewaren we deze klantgegevens dan wel in een archief en niet in onze dagelijkse systemen.

Hierover geven wij je een overzicht van de rechten die je hebt met betrekking tot onze verwerking van je persoonsgegevens. Ook beschrijven wij hoe je deze rechten kunt uitoefenen.

Het recht op inzage – Je heeft het recht op inzage in je persoonsgegevens. Dit geeft je de mogelijkheid om een kopie te ontvangen van de persoonsgegevens die wij van jouw verwerken.

Het recht op rectificatie – Zijn de persoonsgegevens die wij van je verwerken niet juist? Dan heb je het recht om rectificatie te vragen. Dit geeft je de mogelijkheid om eventuele onvolledige of onjuiste gegevens die wij over je bewaren te laten corrigeren.

Het recht op verwijdering van gegevens – Je heeft het recht om ons te vragen je persoonsgegevens te wissen. Het wissen van je persoonsgegevens vindt alleen in bepaalde gevallen plaats. Deze gevallen zijn wettelijk voorgeschreven en staan vermeld in artikel 17 van de AVG. Wij hoeven je persoonsgegevens bijvoorbeeld niet te verwijderen, als wij voor de uitvoering van de overeenkomst of om te voldoen aan een wettelijke plicht je persoonsgegevens moeten bewaren.

Recht op bezwaar – Onder bepaalde omstandigheden heb je het recht bezwaar te maken tegen de verwerking van je persoonsgegevens wanneer wij ons beroepen op gerechtvaardigde belangen als verwerkingsgrond (zie de paragraaf ‘4. Wat is onze rechtsgrond voor de verwerking van je persoonsgegevens?’). Voor zover de verwerking van je persoonsgegevens plaatsvindt voor direct marketing doeleinden, zullen wij je verzoek altijd honoreren. Als het gaat om verwerking voor andere doeleinden, zullen wij een nieuwe belangenafweging maken en bepalen of wij dwingende legitieme gronden hebben die zwaarder wegen dan je belangen.

Recht op beperking – Je heeft het recht ons te vragen de verwerking van je persoonsgegevens te beperken. Dit houdt in dat wij de verwerking van je gegevens gedurende een bepaalde tijd opschorten. Omstandigheden die hiertoe aanleiding geven zijn onder meer situaties waarin de nauwkeurigheid van je persoonsgegevens wordt betwist, maar er enige tijd nodig is om deze (on)nauwkeurigheid te beoordelen. Dit recht weerhoudt ons er niet van je persoonsgegevens te blijven opslaan.

Recht op gegevensoverdraagbaarheid – Onder bepaalde omstandigheden heb je het recht op gegevensoverdraagbaarheid, als het een verwerking betreft die door ons met geautomatiseerde middelen wordt uitgevoerd, en alleen indien de verwerkingsgrond voor een dergelijke verwerking je toestemming is of de uitvoering van een contract waarbij je partij bent. Zie de paragraaf ‘4. Wat is onze rechtsgrond voor de verwerking van je persoonsgegevens?’. Dit recht houdt in dat wij bepaalde persoonsgegevens aan je of aan een door je gekozen derde mogen verstrekken in een gestructureerd, algemeen gebruikt, machine leesbaar formaat.

Recht in verband met geautomatiseerde besluitvorming – Onder bepaalde omstandigheden heeft u het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit dat u in aanmerkelijke mate treft. SprayPay neemt bij een aanvraag voor gespreid betalen op basis van (deels) geautomatiseerd verwerkte gegevens het besluit tot het al dan niet verstrekken van een financiering. Dit is noodzakelijk om je aanvraag snel te kunnen beoordelen en om, zoals wettelijk vereist, overkreditering te voorkomen. De logica achter dit besluit bestaat eruit dat wij de door u verstrekte en bij derden (zoals BKR en EDR) opgevraagde gegevens over onder meer je identiteit, inkomen, woonlasten en bestaande verplichtingen toetsen aan vooraf vastgestelde acceptatie- en kredietwaardigheidscriteria. Op basis van die toetsing wordt bepaald of, en zo ja onder welke voorwaarden, u gespreid kunt betalen. De mogelijke gevolgen voor u zijn dat je aanvraag wordt goedgekeurd of afgewezen, of dat afwijkende voorwaarden worden toegepast. Je heeft het recht om in dat geval menselijke tussenkomst te verzoeken: u kunt vragen om een nieuw besluit waarbij een bevoegde medewerker de gegevens beoordeelt, je standpunt kenbaar maken en het besluit betwisten. Een dergelijk verzoek kunt u indienen via de in paragraaf '11. Hoe kunt u contact met ons opnemen?' vermelde contactgegevens.

Voor zover wij bij onze interne werkprocessen gebruikmaken van AI-ondersteunende software, fungeert deze uitsluitend als hulpmiddel: er worden geen geautomatiseerde besluiten genomen met AI zonder menselijke beoordeling en een medewerker van SprayPay is altijd eindverantwoordelijk voor de inhoud van communicatie en de besluitvorming. Onze medewerkers zijn daarbij gebonden aan interne richtlijnen voor het gebruik van AI-tooling.

Recht op een klacht bij Autoriteit Persoonsgegevens

Naast de bovengenoemde rechten heb je het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens. Wij zouden het echter op prijs stellen om je zorgen zelf te kunnen behandelen voordat je je tot de Autoriteit Persoonsgegevens wendt. Neem daarom contact met ons op als je een klacht hebt over de manier waarop wij met je persoonsgegevens omgaan, dan kunnen wij proberen de kwestie op te lossen. Zie ook de paragraaf ’11. Hoe kunt je contact met ons opnemen?’ hieronder.

Hoe kun je je privacyrechten gebruiken

De uitoefening van de bovengenoemde privacyrechten is kosteloos en kan per e-mail, post of telefoon worden gedaan via de hieronder vermelde contactgegevens. Als een verzoek duidelijk ongegrond of buitensporig is, met name vanwege het repetitieve karakter, zullen wij je een redelijke vergoeding in rekening brengen of weigeren aan het verzoek te voldoen. Wij kunnen je ook om bepaalde aanvullende informatie vragen om ons te helpen je identiteit te bevestigen voordat wij aan een dergelijk verzoek voldoen.

Hoe wij omgaan met verzoeken om privacyrechten

Wij zullen je zonder onnodige vertraging en in beginsel binnen één maand na ontvangst van je verzoek informatie verstrekken over de opvolging die aan je verzoek is gegeven. Afhankelijk van de complexiteit van het verzoek en van het aantal verzoeken kan deze termijn met nog eens twee maanden worden verlengd. Wij zullen je binnen één maand na ontvangst van het verzoek op de hoogte stellen van een dergelijke verlenging. Als wij je verzoek niet inwilligen, delen wij je de redenen daarvoor mee, met inachtneming van eventuele wettelijke beperkingen.

Voor vragen, opmerkingen, klachten of verzoeken in verband met de verwerking van je persoonsgegevens door SprayPay, kun je per post, per e-mail of telefonisch contact met ons opnemen. Wij helpen je graag op werkdagen van 09.00 uur tot 17:00 uur.

Postadres: Grote Voort 247, 8041 BL Zwolle t.a.v. SprayPay

E-mailadres: consument@spraypay.nl

Telefoon: 085-303 6200