Privacybeleid

Geldig vanaf 27 oktober 2026

Verwerkingsverantwoordelijke: Brinkelo, Langenbachstraat 63, 6826 MT Arnhem, Nederland. Wij bepalen wat er met de hieronder beschreven gegevens gebeurt, en u spreekt ons daarop aan.

De meeste privacyverklaringen beginnen met een opsomming van categorieën. Die vertelt u niet wat u wilt weten, namelijk: waar staan mijn gegevens op dit moment, en wat kan ik daar nog aan doen?

Daarom is dit beleid ingedeeld naar plaats. Zeven plekken, van de plek waar u volledige controle heeft tot de plek die vrijwel nooit wordt genoemd.

PLEK 1 — OP UW EIGEN APPARAAT

Cookies en vergelijkbare technieken. Dit is de enige plek op deze lijst waar u iets kunt verwijderen zonder ons iets te vragen.

Wat er staat

Een sessiecookie voor uw winkelwagen en de kassa, beveiligingscookies, en — alleen met uw toestemming — analytische en eventueel advertentiecookies.

Op welke grondslag

Het plaatsen van en toegang krijgen tot gegevens op uw apparaat valt onder art. 11.7a Telecommunicatiewet. Het uitgangspunt is voorafgaande toestemming; de enige uitzondering is wat strikt noodzakelijk is voor de communicatie of voor de dienst die u zelf heeft gevraagd.

Drie categorieën, zonder het onderscheid te laten versloffen:

Noodzakelijk — winkelwagen, kassa, sessie, beveiliging. Zonder deze werkt de winkel niet; toestemming is niet vereist.

Analytisch — onze eigen meting van hoe pagina's functioneren. Met uw toestemming, en in één handeling uit te zetten.

Advertenties en profilering, en alles dat met een derde partij voor diens eigen doelen wordt gedeeld — toestemming, elke keer. Zonder toestemming wordt er geen advertentie-identificator geplaatst en wordt er geen doelgroep van uw bezoek gebouwd.

Browserinstellingen zijn geen toestemming

De vorige versie verwees naar een externe website voor "hoe u cookies kunt uitschakelen" en behandelde dat als de oplossing. Dat is het niet. U geeft en trekt toestemming in onze eigen cookiebanner, en het intrekken moet net zo eenvoudig zijn als het geven (art. 7 lid 3 AVG). Daarom zijn de cookie-instellingen vanaf elke pagina bereikbaar, niet alleen bij uw eerste bezoek.

En wat u zelf kunt doen zonder ons: uw browser laten wissen wat er staat. Dat werkt onmiddellijk en wij merken het niet eens.

PLEK 2 — IN ONZE MAILBOX

Wat er staat: uw e-mailadres, uw naam, uw ordernummer en de volledige tekst van wat u ons heeft geschreven, met onze antwoorden.

Grondslag: uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG) bij een bericht over een bestelling, en ons gerechtvaardigd belang (sub f) bij een vraag vóór de koop.

Hoe lang: correspondentie die bij een bestelling hoort, bewaren wij bij die bestelling — zie plek 6. Correspondentie zonder bestelling verwijderen wij na 2 jaar.

Wat hier niet in hoort: gegevens over gezondheid, geloof of iets anders uit art. 9 AVG. Wij verkopen dekens en kachels en het interesseert ons niet waarom u er een nodig heeft. Schrijft u daar toch iets over omdat het voor uw vraag uitmaakt, dan beantwoorden wij de vraag en leggen wij er geen dossier van aan.

PLEK 3 — IN DE DATABASE VAN SHOPIFY

Wat er staat: naam, factuur- en afleveradres, e-mailadres, telefoonnummer, besteloverzicht, bestelgeschiedenis, en de technische gegevens die een webserver bijhoudt — IP-adres, browser, apparaat, bekeken pagina's.

Wat Shopify is: een verwerker, die op onze instructie handelt op grond van een verwerkersovereenkomst en uw gegevens niet voor eigen doeleinden mag gebruiken.

Grondslag: uitvoering van de overeenkomst (sub b) voor alles dat aan een bestelling hangt, en gerechtvaardigd belang (sub f) voor een werkende, veilige website.

Waar die database staat: de infrastructuur van Shopify is internationaal. Verlaten gegevens de Europese Economische Ruimte, dan gebeurt dat op grond van de standaardcontractbepalingen van de Europese Commissie of naar een land met een adequaatheidsbesluit. Vraag het en wij zeggen welke van de twee op een concrete gegevensstroom van toepassing is — in plaats van te schrijven dat wij "passende waarborgen" gebruiken.

PLEK 4 — BIJ DE BETAALDIENSTVERLENER

En hier staat het belangrijkste van deze pagina.

De vorige versie noemde "betalingsgegevens waaronder creditcardgegevens" onder wat wij verzamelen. Dat doen wij niet. Kaartgegevens voert u in de velden van onze betaaldienstverlener in; ze komen nooit in onze systemen.

Wat wij terugkrijgen zijn drie dingen: de laatste vier cijfers, het kaarttype, en of de betaling is gelukt.

Een winkel die uw kaartnummer niet kan zien, kan het ook niet laten uitlekken.

De betaaldienstverlener bewaart wat hij nodig heeft voor de transactie en voor zijn eigen verplichtingen als onder toezicht staande onderneming.

PLEK 5 — OP EEN VRACHTLABEL BIJ DE VERVOERDER

Wat er staat: naam van de ontvanger, afleveradres, postcode, en een e-mailadres of telefoonnummer voor bezorgberichten.

Wat er níet staat: betaalgegevens, bestelgeschiedenis, wat u verder heeft gekocht, of iets dat u ons heeft geschreven.

Grondslag: uitvoering van de overeenkomst — bezorgen is de overeenkomst.

PLEK 6 — IN DE BOEKHOUDING

Dit is de plek die uw recht op verwijdering begrenst, en de vorige versie zei er iets over dat niet kon.

De oude tekst: "wij bewaren uw Bestelgegevens voor onze administratie, tenzij en totdat u ons verzoekt deze gegevens te verwijderen."

Dat is bewaren voor onbepaalde tijd, als standaard, en dat is in strijd met de bewaarbeperking van art. 5 lid 1 sub e AVG. "Tot iemand klaagt" is geen termijn.

Wat Hoe lang Waarom
Facturen en verkoopadministratie: naam, adres, bedragen 7 jaar fiscale bewaarplicht, art. 52 AWR en de administratieplicht van art. 2:10 BW
Bestelgegevens met het oog op vorderingen 5 jaar verjaring van een vordering uit overeenkomst, art. 3:307 BW
Correspondentie die bij een bestelling hoort bij de bestelling idem
Correspondentie zonder bestelling 2 jaar gerechtvaardigd belang
Vastlegging van marketingtoestemming tot u zich afmeldt — daarna bewaren wij alleen dát u zich heeft afgemeld art. 7 lid 1 AVG, zodat wij u niet per ongeluk opnieuw mailen
Analyse- en advertentiegegevens zoals vermeld bij de cookie-instellingen, niet langer toestemming

Dus een verwijderverzoek heeft één grens, en maar één. Marketinggegevens, surfgegevens, correspondentie en accountgegevens verwijderen wij op verzoek. Een factuur kunnen wij binnen de zeven jaar niet verwijderen — niet omdat wij dat willen, maar omdat het bewaren een wettelijke plicht is (art. 6 lid 1 sub c AVG), en art. 17 lid 3 sub b AVG het recht op verwijdering in dat geval uitsluit.

Weigeren wij een verwijdering op die grond, dan zeggen wij welk document het is en op welke datum het verdwijnt. Een weigering zonder datum is geen antwoord.

PLEK 7 — IN EEN BACK-UP

Deze plek staat in vrijwel geen enkel privacybeleid, en zonder die uitleg is het woord "verwijderd" onnauwkeurig.

Wat "verwijderd" feitelijk betekent: wij verwijderen uw gegevens onmiddellijk uit de live systemen waar ze worden gebruikt. Back-ups zijn momentopnamen en worden niet per record bewerkt — zou dat wel gebeuren, dan zou een back-up zijn doel verliezen.

Wat dat in de praktijk betekent: een verwijderd record kan nog in back-ups aanwezig zijn tot die in de normale rotatie vervallen. Zolang dat zo is, worden die gegevens niet gebruikt, niet geraadpleegd en niet teruggezet, behalve bij het herstellen van de hele omgeving na een storing — en gebeurt dat, dan voeren wij uw verwijdering daarna opnieuw uit.

Wij schrijven dit op omdat het waar is, en omdat een beleid dat "direct en volledig verwijderd" belooft zonder deze nuance iets belooft dat technisch niet bestaat.

UW RECHTEN

De vorige versie noemde er drie. Het zijn er acht.

Recht Wat het betekent Grondslag
Inzage een kopie van wat wij hebben, en waarom art. 15 AVG
Rectificatie onjuiste gegevens laten corrigeren art. 16
Verwijdering verwijderen, behalve wat wij wettelijk moeten bewaren art. 17
Beperking de verwerking stilleggen zolang iets wordt betwist art. 18
Dataportabiliteit uw gegevens in een machineleesbaar formaat art. 20
Bezwaar tegen verwerking op grond van gerechtvaardigd belang — en tegen direct marketing op elk moment, zonder reden art. 21
Toestemming intrekken voor cookies, e-mail en SMS art. 7 lid 3
Menselijke tussenkomst geen besluit dat uitsluitend geautomatiseerd tot stand komt en u aanmerkelijk raakt art. 22

Hoe: mail klantenservice@brinkelo.com. U hoeft geen wetsartikel te noemen en het woord "inzageverzoek" niet te gebruiken.

Wij antwoorden binnen één maand (art. 12 lid 3 AVG). Bij een werkelijk complex verzoek kan die termijn met twee maanden worden verlengd — en dan zeggen wij dat binnen de eerste maand, met de reden.

Het is gratis. Alleen bij kennelijk ongegronde of excessieve verzoeken mogen wij kosten rekenen, wat wij bij een webwinkel in dekens en kachels niet verwachten.

Wij kunnen u vragen uw identiteit te bevestigen — alleen voor zover nodig om zeker te weten dat wij uw bestelgeschiedenis niet aan iemand anders geven, en niet meer dan dat.

Fraudecontrole en geautomatiseerde besluiten

Bestellingen worden gecontroleerd op frauderisico — een gerechtvaardigd belang (sub f) waar u ook zelf bij gebaat bent, want de kaart die wordt misbruikt kan de uwe zijn.

Een score beslist nooit op zichzelf. Wordt een bestelling gemarkeerd, dan kijkt er een mens naar. Dat is bewust: art. 22 AVG beperkt besluiten die uitsluitend geautomatiseerd worden genomen, en wij willen niet op die grens werken.

Wordt een bestelling van u op die grond geannuleerd, dan kunt u om een nieuwe beoordeling vragen en doet een mens die. U krijgt niet te horen dat "het systeem" heeft geweigerd.

Klacht bij de toezichthouder

U kunt een klacht indienen zonder eerst bij ons te zijn geweest (art. 77 AVG).

Autoriteit Persoonsgegevens Postbus 93374, 2509 AJ Den Haag 088 - 1805 250 · autoriteitpersoonsgegevens.nl

ALS ER IETS MISGAAT

Een inbreuk op de beveiliging van persoonsgegevens melden wij binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, wanneer die een risico voor uw rechten en vrijheden kan opleveren (art. 33 AVG).

Is het risico hoog, dan informeren wij ook u, zonder onnodige vertraging (art. 34 AVG) — wat er is gebeurd, welke gegevens het betrof, wat wij hebben gedaan en wat u zelf kunt doen.

Wij zullen het geen "technische storing" noemen. Zijn uw gegevens naar buiten gekomen, dan staat dat zo in het bericht.

KINDEREN

Wij verzamelen niet bewust gegevens van personen onder de 16 jaar. Nederland heeft de leeftijdsgrens van art. 8 AVG niet verlaagd; art. 5 UAVG houdt die op 16 — anders dan in landen die 13 hebben gekozen.

Bestellen vereist dat u meerderjarig bent. Denkt u dat wij gegevens van een kind hebben ontvangen, laat het weten en wij verwijderen ze.

E-MAIL EN SMS

Ongevraagde elektronische marketing vereist uw voorafgaande toestemming (art. 11.7 Telecommunicatiewet), met één nauwe uitzondering: heeft u bij ons gekocht, dan mogen wij u mailen over gelijksoortige producten, en elk bericht biedt de mogelijkheid om daarmee te stoppen.

SMS: antwoord STOP op een bericht om u af te melden, of HELP als u hulp nodig heeft. Een STOP voeren wij direct uit en wij bewaren alleen de vastlegging dát u zich heeft afgemeld.

Eén correctie. De vorige versie stelde: "de gebruikelijke kosten voor berichten en mobiele data kunnen van toepassing zijn en u bent verantwoordelijk voor dergelijke kosten." In Nederland betaalt u niet voor het ontvangen van een SMS. Die zin komt uit een Amerikaans sjabloon en waarschuwde voor kosten die niet bestaan.

Elk marketingbericht vermeldt wie wij zijn en bevat een werkende afmeldmogelijkheid. Een bericht zonder beide is niet van ons.

DRIE PASSAGES DIE ZIJN VERWIJDERD

De alinea "DO NOT TRACK". Die meldde dat wij ons gedrag niet aanpassen wanneer uw browser een Do Not Track-signaal stuurt. Die tekst bestaat vanwege een informatieplicht in Californië. In een Nederlands privacybeleid was het een mededeling dat wij een privacyvoorkeur negeren — zonder enige noodzaak, want het mechanisme hier is toestemming, en die respecteren wij.

De link naar het Network Advertising Initiative. De NAI is een Amerikaanse zelfregulerende organisatie en niet waar een Nederlandse consument naartoe wordt gestuurd. Uw instrumenten zijn onze eigen cookie-instellingen, de privacyinstellingen van uw browser, de advertentie-instellingen van de platforms zelf, en — voor de Europese advertentiesector — youronlinechoices.eu.

"Dagvaarding, huiszoekingsbevel". De vorige versie beschreef hoe wij reageren op Amerikaanse rechtsfiguren. In Nederland: wij verstrekken gegevens wanneer wij daartoe wettelijk verplicht zijn (art. 6 lid 1 sub c AVG) — op grond van een rechterlijk bevel, een wettelijke vordering, of een verzoek van een bevoegde autoriteit met vermelding van de wettelijke grondslag. Wij eisen het schriftelijk en wij controleren de grondslag. Een informeel telefonisch verzoek zonder grondslag krijgt een weigering en een aantekening van wie het vroeg. Wij informeren u, tenzij dat zelf niet is toegestaan. Wij verstrekken niets op eigen initiatief.

Daarnaast: wij zijn niet verplicht een functionaris voor de gegevensbescherming aan te stellen bij onze omvang en hebben dat niet gedaan. Privacyzaken komen op het contactadres hieronder terecht en worden door ons zelf behandeld. Wij schrijven dat liever op dan te suggereren dat er een functie bestaat die er niet is.

WIJZIGINGEN

De datum bovenaan geeft de geldende versie. Verandert er iets dat u wezenlijk raakt — een nieuwe ontvanger, een nieuw doel, een langere bewaartermijn — dan laten wij u dat direct weten, in plaats van erop te rekenen dat u deze pagina opnieuw leest. Eerdere versies sturen wij op verzoek.

WAAR WAT STAAT

Algemene voorwaarden — de overeenkomst, het herroepingsrecht, het modelformulier en het deel over elektrische producten. Verzendvoorwaarden — de vier data, tracking en de termijnen. Retourvoorwaarden — wat u niet hoeft te bewijzen, en hoe wij afrekenen.

CONTACT
Winkelnaam Brinkelo
Bedrijfsnaam Brinkelo
Adres Langenbachstraat 63, 6826 MT Arnhem, Nederland
E-mail klantenservice@brinkelo.com
Telefoonnummer
Openingstijden klantenservice Ma–Vr: 09:00–17:00
Za–Zo Gesloten
Reactietijd Binnen 2 werkdagen