Privacy Statement

In deze privacyverklaring informeren wij – Webfin Leningen B.V. h.o.d.n. SprayPay (“SprayPay") – je over de wijze waarop wij omgaan met de persoonsgegevens die wij verwerken in het kader van onze dienstverlening als aanbieder van consumptief krediet in de vorm van gespreid betalen. SprayPay is de verwerkingsverantwoordelijke voor de in deze privacyverklaring beschreven verwerkingen.

Heb je vragen of opmerkingen met betrekking tot de verwerking van je persoonsgegevens door ons, neem dan contact met ons op via consument@spraypay.nl of via de contactpagina op onze website. Zie ook de paragraaf ’11. Hoe kun je contact met ons opnemen?’ hieronder.

Deze privacyverklaring is van toepassing als je onze website www.spraypay.nl of social media bezoekt. Deze privacyverklaring is ook van toepassing als je een aanvraag doet voor gespreid betalen (consumptief krediet) en hiervoor een overeenkomst met ons afsluit. Ook op de echtgen(o)ot(e) of geregistreerd partner van onze (potentiële) klanten is deze privacyverklaring van toepassing.

Daarnaast is deze privacyverklaring van toepassing op de zakelijke relaties van SprayPay, namelijk de webshops/partners met wie SprayPay samenwerkt en die hun klanten de mogelijkheid bieden om hun aankopen gespreid te betalen via SprayPay. Tot slot is het mogelijk dat wij persoonsgegevens verwerken van personen van bedrijven die een overeenkomst met ons hebben. Bijvoorbeeld wanneer we persoonsgegevens vastleggen en gebruiken van contactpersonen bij bedrijven die aan ons diensten verlenen, van aandeelhouders van deze bedrijven of van de uiteindelijk belanghebbende (UBO) van deze bedrijven.

Persoonsgegevens zijn alle informatie die iets zeggen over je. Er zijn veel soorten persoonsgegevens. Voor de hand liggende gegevens die wij verwerken zijn contactgegevens (zoals naam, adres, woonplaats, email en telefoonnummer) en overige gegevens over je, zoals geslacht, nationaliteit, beroep, leeftijd, burgerlijk staat en gezinssituatie.

Hetzelfde geldt ook voor je financiële gegevens (zoals je bankrekeninggegevens, je inkomensgegevens en financiële verplichtingen), identificatiegegevens (zoals paspoortnummer) en eventuele strafrechtelijke gegevens, en gegevens over de geplaatste bestellingen waaronder naam van de webshop en ordernummer. Dit zijn allemaal persoonsgegevens. In het kader van onze dienstverlening verwerken wij op verschillende manieren deze persoonsgegevens. Hierover zullen wij uitleggen hoe wij dat doen en waarvoor.

Om je een aanbod te kunnen doen voor gespreid betalen (consumptief krediet), beoordelen wij je situatie. Daarbij verwerken wij je persoonsgegevens in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG). Uw gegevens gebruiken wij voor het:

• voorbereiden, aangaan en uitvoeren van een overeenkomst met SprayPay. Zonder je persoonsgegevens kunnen wij je geen overeenkomst voor gespreid betalen aanbieden;

• informeren over relevante producten en diensten van SprayPay (marketing);

• ontwikkelen en verbeteren van onze producten en dienstverlening. Wij doen onderzoek en gebruiken persoonsgegevens om onze producten en diensten te analyseren en verder te ontwikkelen;

• doen van (statistische) analyses;

• het waarborgen van de integriteit van SprayPay en de financiële sector, alsmede het voorkomen en bestrijden van financiële criminaliteit, zoals witwassen en het financieren van terrorisme;

• het aangaan en uitvoeren van zakelijke transacties met bijvoorbeeld webshops/partners met wie wij samenwerken en leveranciers die diensten voor ons leveren.

Wij mogen je persoonsgegevens ook gebruiken voor andere doelen dan waarvoor je de persoonsgegevens aan ons heeft gegeven. Het nieuwe doel mag dan echter niet onverenigbaar zijn met de doelen waarvoor je je persoonsgegevens in eerste instantie aan ons had gegeven. Wij zullen altijd toetsen of het gebruik voor andere doeleinden is toegestaan.

Wij mogen je persoonsgegevens niet zomaar verwerken. Op grond van de AVG moet er voor elke verwerking een grondslag zijn. Wij verwerken je persoonsgegevens op de hieronder genoemde grondslagen.

Uitvoeren van een overeenkomst – Wij hebben je persoonsgegevens nodig voor het afsluiten en het uitvoeren van een overeenkomst, bijvoorbeeld je contactgegevens en financiële gegevens als je gespreid betalen bij ons wilt afsluiten. Ook in het kader van de samenwerking met webshops/partners en het afnemen van diensten van onze leveranciers kunnen wij persoonsgegevens verwerken van (contactpersonen van) webshops/partners en onze leveranciers en voor de uitvoering van de overeenkomst (betaling).

Wettelijke verplichting – Onder omstandigheden zullen wij persoonsgegevens verwerken niet voor doeleinden zoals vastgesteld door onszelf, maar om te voldoen aan toepasselijke wettelijke verplichtingen. Als gereguleerde aanbieder van consumptief krediet moeten wij bijvoorbeeld op grond van de Wet op het financieel toezicht (Wft) informatie inwinnen over je financiële situatie en waken voor overkreditering. Op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) moeten wij je identificeren en die gegevens bewaren. Verder moeten wij bijvoorbeeld voldoen aan informatieverzoeken van derden zoals van de Belastingdienst en van de Autoriteit Financiële Markten (AFM).

Gerechtvaardigd belang – Wij of een derde kunnen ook een gerechtvaardigd belang hebben om je persoonsgegevens te verwerken, dat zwaarder weegt dat je recht op privacy. Onze gerechtvaardigde belangen zijn gericht op de verwezenlijking van de in paragraaf ‘3. Waarvoor gebruiken wij je persoonsgegevens?’ genoemde doeleinden. Dat kan variëren van het je informeren over productveranderingen en marketing tot het beschermen van onze financiële positie en het opnemen van telefoongesprekken om de kwaliteit van onze dienstverlening te verbeteren. Wij zullen daarbij steeds een zorgvuldige afweging maken. Tot deze gerechtvaardigde belangen behoort ook de inzet van AI-ondersteunende software als hulpmiddel bij onze interne werkprocessen.

Wij gebruiken in de eerste plaats persoonsgegevens die je actief aan ons hebt verstrekt of die via een webshop/partner aan ons worden verstrekt. Bijvoorbeeld wanneer je een bestelling plaatst bij een webshop en daarbij gebruik maakt van SprayPay voor gespreid betalen, of wanneer je contact met ons opneemt om informatie over onze diensten te verkrijgen en daarbij gegevens achterlaat.

Sommige persoonsgegevens van je krijgen wij op een geautomatiseerde manier. Wanneer je bijvoorbeeld onze website bezoekt, verkrijgen wij automatisch informatie over je via cookies. Voor meer informatie hierover verwijzen wij je naar ons Cookiebeleid, te raadplegen via www.spraypay.nl/cookiebeleid.

Wij verkrijgen ook persoonsgegevens over je van derden. Stel, je partner vraagt namens je gespreid betalen aan. Dan mogen wij de persoonsgegevens gebruiken die wij over je opvragen, terwijl deze niet direct door je zijn aangeleverd. In sommige gevallen zijn wij zelfs verplicht om deze via derden aangeleverde informatie op te vragen. Het kan ook gaan om gegevens uit externe bronnen, zoals gegevens over je financiële situatie bij het Bureau Krediet Registratie (BKR) of een creditcheck via Economic Data Resources B.V. (EDR).

Tot slot kunnen wij analyses uitvoeren op persoonsgegevens over je. De daaruit voortvloeiende gegevens kunnen ook als persoonsgegevens worden aangemerkt. Zo kunnen wij bijvoorbeeld aan de hand van cookies analyseren welke webpagina's je op onze website het vaakst heeft bezocht.

Wij delen je persoonsgegevens alleen met vertrouwde derde partijen als zij dit nodig hebben voor het verlenen van hun diensten en als daarvoor een verwerkingsgrondslag is (zie ook de paragraaf ‘4. Wat is onze rechtsgrond voor de verwerking van je persoonsgegevens?’).

Als wij gebruik maken van derden die in opdracht en ten behoeve van ons je persoonsgegevens verwerken, dan sluiten wij met hen een verwerkersovereenkomst. Dat betekent dat zij zich verplichten de toepasselijke privacywetgeving na te leven, dat zij passende beveiligingsmaatregelen treffen en dat, indien van toepassing, de overdracht van de gegevens voldoet aan de legitimatie vereisten voor grensoverschrijdende overdracht (zie de paragraaf ‘7. Geven wij je persoonsgegevens door aan andere landen?’).

Wij delen je persoonsgegevens alleen op een strikt "need-to-know" basis. "Need-to-know" betekent dat een partij alleen toegang krijgt tot je persoonsgegevens voor zover noodzakelijk voor de activiteiten van die partij. Wij delen je persoonsgegevens met de onderstaande (categorieën van) partijen.

Dienstverleners – wij werken samen met andere bedrijven, aan wie wij een deel van onze dienstverlening uitbesteden. Wij selecteren die bedrijven zorgvuldig en sluiten met hen onder andere een verwerkersovereenkomst. Wij blijven verantwoordelijk voor de verwerking van deze persoonsgegevens.

Voor het afhandelen van je aanvraag delen wij je persoonsgegevens met verschillende instanties. Zo worden voor het toetsen van je kredietwaardigheid en het bevestigen van je identiteit en adresgegevens gegevens opgevraagd bij of gedeeld met het Bureau Krediet Registratie (BKR), iDIN Online Identificatie en EDR. EDR controleert persoonsgegevens en levert kredietinformatierapporten met een risicoprofiel. EDR verstrekt ook informatie over webshops/partners met wie wij een zakelijke relatie aangaan. Informatie over de verwerking van persoonsgegevens door EDR vind je in hun privacy statement via https://www.edrcreditservices.nl/privacy-statement/. Soms schakelen wij ook andere partijen in, zoals advocaten, accountants of deurwaarders. Deze partijen zijn zelf verantwoordelijk voor het gebruik van persoonsgegevens.

Tot onze dienstverleners behoren ook leveranciers van de AI-ondersteunende software waarvan wij gebruikmaken. Wij voeren in beginsel geen persoonsgegevens van klanten in de AI-tool in, tenzij dit noodzakelijk is; in dat geval treedt de AI-leverancier op als verwerker en is een verwerkersovereenkomst met alle vereiste waarborgen van kracht.

(Publieke) instanties – als aanbieder van consumptief krediet zijn wij in voorkomend geval wettelijk verplicht je persoonsgegevens te verstrekken aan de Belastingdienst, het openbaar ministerie en andere overheidsinstanties en toezichthouders. In het geval van fraude kunnen wij je gegevens doorgeven, om de veiligheid en integriteit van de financiële sector te waarborgen, aan andere financiële instellingen voor zover toegestaan.

In geval van geschillen over onze dienstverlening, kun je een klacht indienen bij het Klachteninstituut Financiële Dienstverlening (Kifid) en zullen ook persoonsgegevens met het Kifid worden gedeeld.

Investeerders – wij mogen ook persoonsgegevens doorgeven aan andere partijen wanneer we overwegen je lening aan hen te verkopen. Bijvoorbeeld aan onze groepsmaatschappij Webfin Financiering B.V. of externe investeerders. Dat is een gerechtvaardigd belang van SprayPay en maakt het voor de overnemende partij mogelijk om aan haar rechten uit te oefenen en aan haar wettelijke verplichtingen te voldoen.

SprayPay verwerkt je persoonsgegevens in beginsel binnen de EU/EER. Voor zover bij de verwerking van je persoonsgegevens deze toch worden gedeeld met partijen die zich in derde landen bevinden, gaat het om landen buiten de Europese Economische Ruimte (EER) waarvan de Europese Commissie heeft aangegeven dat in die landen geen passende bescherming wordt geboden voor de verwerking van persoonsgegevens. Wanneer wij je persoonsgegevens met ontvangers in derde landen delen, zorgen we voor passende waarborgen om je gegevens te beschermen volgens de toepasselijke privacy wet- en regelgeving.

Doorgifte van je persoonsgegevens naar een land buiten de EER kan in de eerste plaats worden gelegitimeerd op basis van een zogenaamd adequaatheidsbesluit. Dit is een besluit waarin de Europese Commissie stelt dat bijvoorbeeld een bepaald land een vergelijkbaar niveau van gegevensbescherming biedt als de Algemene Verordening Gegevens-bescherming.

Als en voor zover wij persoonsgegevens delen met partijen in landen buiten de EER waarop geen adequaatheidsbesluit van toepassing is, dan zorgen wij ervoor dat wij met die partijen een aparte overeenkomst hebben gesloten die voldoet aan de Europese standaard zoals de zogenaamde modelcontractbepalingen of als onderdeel van het EU-VS Data Privacy Framework. Neem contact met ons op als je meer informatie wenst over de overdracht van je persoonsgegevens buiten de EER.

Wij nemen passende veiligheidsmaatregelen om je persoonsgegevens te beschermen en misbruik, verlies of wijziging hiervan te voorkomen. Deze omvatten zowel technische maatregelen (bijvoorbeeld het gebruik van wachtwoorden en fysieke beveiliging) als organisatorische maatregelen (bijvoorbeeld het bevorderen van privacy- en veiligheidsbewustzijn bij onze medewerkers). Bovendien zijn de betrokken personen gebonden door passende geheimhoudingsverplichtingen en moeten zij zich houden aan onze instructies die gericht zijn op de adequate bescherming van je gegevens.

Concrete veiligheidsmaatregelen waar je als klant mee te maken kunt krijgen, zijn de beveiliging van onze online-diensten, de authenticatie procedure (in twee stappen vaststellen wie je bent), controlevragen als je met ons belt en het gebruik van de extra beveiligde omgevingen van SprayPay.

Veiligheid is iets waar wij ook sámen met je verder aan willen werken. Heb je bijvoorbeeld te maken gehad met lekken in de beveiliging? Dit kun je via onze website www.spraypay.nl of via consument@spraypay.nl vertrouwelijk aan ons melden.

In beginsel bewaren wij je persoonsgegevens niet langer dan strikt noodzakelijk is voor de doeleinden waarvoor wij je persoonsgegevens verwerken en in overeenstemming met de wettelijke bewaartermijn. Wij hanteren standaard een bewaartermijn van 5 jaar na het beëindigen van de kredietovereenkomst. Heb je een aanvraag gedaan voor gespreid betalen, maar is deze afgebroken of afgewezen en niet tot een overeenkomst geleid? Dan bewaren wij je persoonsgegevens tot 12 maanden na de invoerdatum van de aanvraag.

Als je met succes een van je privacy rechten uitoefent, kan het zijn dat de betreffende persoonsgegevens niet langer worden bewaard. In dergelijke gevallen kunnen wij je persoonsgegevens voor een kortere periode verwerken dan hierboven is vermeld. Voor meer informatie hierover verwijzen wij je naar het onderdeel ‘10. Wat zijn je privacyrechten?’ hieronder.

Daarnaast kunnen er redenen zijn om persoonsgegevens langer dan de standaard termijnen te bewaren. Bijvoorbeeld als een krediet nog niet volledig is afgelost of als er nog actieve processen/taken zijn ten aanzien van het krediet. Ook voor ons risicomanagement, om veiligheidsredenen of om goed te kunnen omgaan met claims, onderzoeken of rechtszaken kunnen wij je persoonsgegevens langer bewaren. Waar mogelijk bewaren we deze klantgegevens dan wel in een archief en niet in onze dagelijkse systemen.

Hierover geven wij je een overzicht van de rechten die je hebt met betrekking tot onze verwerking van je persoonsgegevens. Ook beschrijven wij hoe je deze rechten kunt uitoefenen.

Het recht op inzage – Je heeft het recht op inzage in je persoonsgegevens. Dit geeft je de mogelijkheid om een kopie te ontvangen van de persoonsgegevens die wij van jouw verwerken.

Het recht op rectificatie – Zijn de persoonsgegevens die wij van je verwerken niet juist? Dan heb je het recht om rectificatie te vragen. Dit geeft je de mogelijkheid om eventuele onvolledige of onjuiste gegevens die wij over je bewaren te laten corrigeren.

Het recht op verwijdering van gegevens – Je heeft het recht om ons te vragen je persoonsgegevens te wissen. Het wissen van je persoonsgegevens vindt alleen in bepaalde gevallen plaats. Deze gevallen zijn wettelijk voorgeschreven en staan vermeld in artikel 17 van de AVG. Wij hoeven je persoonsgegevens bijvoorbeeld niet te verwijderen, als wij voor de uitvoering van de overeenkomst of om te voldoen aan een wettelijke plicht je persoonsgegevens moeten bewaren.

Recht op bezwaar – Onder bepaalde omstandigheden heb je het recht bezwaar te maken tegen de verwerking van je persoonsgegevens wanneer wij ons beroepen op gerechtvaardigde belangen als verwerkingsgrond (zie de paragraaf ‘4. Wat is onze rechtsgrond voor de verwerking van je persoonsgegevens?’). Voor zover de verwerking van je persoonsgegevens plaatsvindt voor direct marketing doeleinden, zullen wij je verzoek altijd honoreren. Als het gaat om verwerking voor andere doeleinden, zullen wij een nieuwe belangenafweging maken en bepalen of wij dwingende legitieme gronden hebben die zwaarder wegen dan je belangen.

Recht op beperking – Je heeft het recht ons te vragen de verwerking van je persoonsgegevens te beperken. Dit houdt in dat wij de verwerking van je gegevens gedurende een bepaalde tijd opschorten. Omstandigheden die hiertoe aanleiding geven zijn onder meer situaties waarin de nauwkeurigheid van je persoonsgegevens wordt betwist, maar er enige tijd nodig is om deze (on)nauwkeurigheid te beoordelen. Dit recht weerhoudt ons er niet van je persoonsgegevens te blijven opslaan.

Recht op gegevensoverdraagbaarheid – Onder bepaalde omstandigheden heb je het recht op gegevensoverdraagbaarheid, als het een verwerking betreft die door ons met geautomatiseerde middelen wordt uitgevoerd, en alleen indien de verwerkingsgrond voor een dergelijke verwerking je toestemming is of de uitvoering van een contract waarbij je partij bent. Zie de paragraaf ‘4. Wat is onze rechtsgrond voor de verwerking van je persoonsgegevens?’. Dit recht houdt in dat wij bepaalde persoonsgegevens aan je of aan een door je gekozen derde mogen verstrekken in een gestructureerd, algemeen gebruikt, machine leesbaar formaat.

Recht in verband met geautomatiseerde besluitvorming – Onder bepaalde omstandigheden heeft u het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit dat u in aanmerkelijke mate treft. SprayPay neemt bij een aanvraag voor gespreid betalen op basis van (deels) geautomatiseerd verwerkte gegevens het besluit tot het al dan niet verstrekken van een financiering. Dit is noodzakelijk om je aanvraag snel te kunnen beoordelen en om, zoals wettelijk vereist, overkreditering te voorkomen. De logica achter dit besluit bestaat eruit dat wij de door u verstrekte en bij derden (zoals BKR en EDR) opgevraagde gegevens over onder meer je identiteit, inkomen, woonlasten en bestaande verplichtingen toetsen aan vooraf vastgestelde acceptatie- en kredietwaardigheidscriteria. Op basis van die toetsing wordt bepaald of, en zo ja onder welke voorwaarden, u gespreid kunt betalen. De mogelijke gevolgen voor u zijn dat je aanvraag wordt goedgekeurd of afgewezen, of dat afwijkende voorwaarden worden toegepast. Je heeft het recht om in dat geval menselijke tussenkomst te verzoeken: u kunt vragen om een nieuw besluit waarbij een bevoegde medewerker de gegevens beoordeelt, je standpunt kenbaar maken en het besluit betwisten. Een dergelijk verzoek kunt u indienen via de in paragraaf '11. Hoe kunt u contact met ons opnemen?' vermelde contactgegevens.

Voor zover wij bij onze interne werkprocessen gebruikmaken van AI-ondersteunende software, fungeert deze uitsluitend als hulpmiddel: er worden geen geautomatiseerde besluiten genomen met AI zonder menselijke beoordeling en een medewerker van SprayPay is altijd eindverantwoordelijk voor de inhoud van communicatie en de besluitvorming. Onze medewerkers zijn daarbij gebonden aan interne richtlijnen voor het gebruik van AI-tooling.

Recht op een klacht bij Autoriteit Persoonsgegevens

Naast de bovengenoemde rechten heb je het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens. Wij zouden het echter op prijs stellen om je zorgen zelf te kunnen behandelen voordat je je tot de Autoriteit Persoonsgegevens wendt. Neem daarom contact met ons op als je een klacht hebt over de manier waarop wij met je persoonsgegevens omgaan, dan kunnen wij proberen de kwestie op te lossen. Zie ook de paragraaf ’11. Hoe kunt je contact met ons opnemen?’ hieronder.

Hoe kun je je privacyrechten gebruiken

De uitoefening van de bovengenoemde privacyrechten is kosteloos en kan per e-mail, post of telefoon worden gedaan via de hieronder vermelde contactgegevens. Als een verzoek duidelijk ongegrond of buitensporig is, met name vanwege het repetitieve karakter, zullen wij je een redelijke vergoeding in rekening brengen of weigeren aan het verzoek te voldoen. Wij kunnen je ook om bepaalde aanvullende informatie vragen om ons te helpen je identiteit te bevestigen voordat wij aan een dergelijk verzoek voldoen.

Hoe wij omgaan met verzoeken om privacyrechten

Wij zullen je zonder onnodige vertraging en in beginsel binnen één maand na ontvangst van je verzoek informatie verstrekken over de opvolging die aan je verzoek is gegeven. Afhankelijk van de complexiteit van het verzoek en van het aantal verzoeken kan deze termijn met nog eens twee maanden worden verlengd. Wij zullen je binnen één maand na ontvangst van het verzoek op de hoogte stellen van een dergelijke verlenging. Als wij je verzoek niet inwilligen, delen wij je de redenen daarvoor mee, met inachtneming van eventuele wettelijke beperkingen.

Voor vragen, opmerkingen, klachten of verzoeken in verband met de verwerking van je persoonsgegevens door SprayPay, kun je per post, per e-mail of telefonisch contact met ons opnemen. Wij helpen je graag op werkdagen van 09.00 uur tot 17:00 uur.

Postadres: Grote Voort 247, 8041 BL Zwolle t.a.v. SprayPay

E-mailadres: consument@spraypay.nl

Telefoon: 085-303 6200