Privacyverklaring Wild Robin Club

Deze verklaring legt vast hoe Wild Robin B.V., kantoorhoudend aan Singel 485 te 1012 WP Amsterdam, omgaat met de gegevens van Club-bezoekers en VIP-leden. Wij volgen de AVG (Verordening EU 2016/679), de Uitvoeringswet AVG en — voor de kansspelsector — de Wet Koa en bijbehorende KSA-regelgeving. Tegelijkertijd voldoet deze tekst aan artikel 13 en 14 AVG: kort, controleerbaar en in gewoon Nederlands.

Wie Wild Robin Club is en wie jouw gegevens beheert

Achter de merknaam staat een kleine Nederlandse vennootschap; zij is de verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 AVG:
Wild Robin B.V.
Postadres: Singel 485, 1012 WP Amsterdam
E-mail: [email protected]
Kamer van Koophandel: 89462315
BTW-identificatienummer: NL875638102B01

Hoewel onze omvang ons niet verplicht tot het aanstellen van een Functionaris voor Gegevensbescherming (artikel 37 AVG), heeft de redactie intern een Privacy Lead aangewezen die fungeert als eerste aanspreekpunt voor alle vragen, klachten of inzageverzoeken. Die rol berust bij Marieke de Jong, hoofdredacteur en tevens dataverantwoordelijke. Haar spreekuur voor privacy-gerelateerde kwesties valt op werkdagen tussen 09:00 en 17:00 uur Midden-Europese tijd; een inhoudelijk antwoord volgt doorgaans binnen drie werkdagen, uiterlijk binnen de wettelijke termijn van een maand.

Hoe wij jouw identiteit behandelen bij Wild Robin Club

Wat je achterlaat hangt af van wat je zelf kiest te doen — scrollen, inloggen, mailen, inschrijven voor de VIP-brief. De categorieën in beeld:

• Technische verbindingsgegevens: afgekapt IP-adres (IPv4 naar /24, IPv6 naar /48), user-agent-header, referrer-veld en opgevraagde URL — uitsluitend voor foutanalyse en misbruikdetectie.
• Account- en registratiegegevens: bij aanmaak van een Club-account bewaren wij e-mailadres, gekozen gebruikersnaam, aanmaakdatum, taalvoorkeur en optionele profielinstellingen.
• Gebruiksstatistieken (na toestemming): anonieme paginatellingen, klikpaden, apparaattype en geografische regio op provincieniveau, via EU-gehoste cookie-loze analytics.
• Correspondentie: naam, e-mailadres, onderwerp en inhoud van berichten die je via formulier of e-mail toezendt.
• Financiële en fiscale vastleggingen: alleen voor B2B-facturering: NAW, IBAN en fiscale gegevens in onze boekhouding.
• Fout- en beveiligingslogs: stack traces, tijdstempels en een geanonimiseerde sessie-identifier bij een crash, voor reproductie van het defect.

Gevoelige gegevens (ras, etniciteit, politieke overtuiging, religieuze opvatting, gezondheid, genetische gegevens, seksuele geaardheid) worden nooit gevraagd of verwerkt. Speelgedrag op het uiteindelijke spelersplatform blijft bij de vergunde operator; die data ontvangen wij niet.

De keuzes die wij bewust nooit gemaakt hebben

Een verklaring wordt pas eerlijk als ze ook benoemt wat ze wegliet. Wild Robin Club heeft geen advertentiecookies van derden, geen deelname aan real-time bidding, geen browser-fingerprinting, geen cross-site trackers, geen doorverkoop aan databrokers, geen social-media-pixels (Meta, TikTok, X, LinkedIn) en geen Google-diensten voor analyse, fonts of anti-spam. Onze inkomsten vloeien uitsluitend voort uit vergoedingen die vergunninghouders onder de Wet Koa betalen voor gekwalificeerde verwijzingen via het pad /go. Bij die redirect gaat geen persoonsgegeven over; de ontvangende operator ziet hooguit onze referrer.

Waarom wij iets doen — en op welke juridische grond

Zonder rechtsgrond geen verwerking: dat is de eis van artikel 6 AVG. Hieronder plakken wij per handeling aan welke van de zes grondslagen wij haar ophangen.

Rust een verwerking op jouw toestemming, dan kun je die altijd kosteloos intrekken via de cookiebalk of door ons te mailen. Intrekking werkt alleen naar de toekomst toe; eerder rechtmatig verwerkte gegevens blijven rechtmatig. Waar de grondslag het gerechtvaardigd belang is, geldt jouw bezwaarrecht op basis van artikel 21 AVG. Wij zullen een bezwaar binnen vier weken wegen en — tenzij er dwingende redenen zijn om de verwerking voort te zetten — de betreffende gegevens stoppen of verwijderen.

Hoe lang VIP-data en alledaagse data blijven staan

Iedere categorie kent een eigen horloge. Cookies en lokale opslag vervallen na maximaal 12 maanden met automatische re-prompt. Accountgegevens leven 36 maanden na je laatste login, met een waarschuwingsmail 30 dagen voor de geautomatiseerde verwijdering. Fiscaal-administratieve gegevens blijven strikt 7 jaar staan zoals de Nederlandse belastingwet voorschrijft, met verwijdering uit back-ups bij de volgende rotatie. Contact- en supportcorrespondentie maximaal 18 maanden, toegangslogs 120 dagen rolling (verlengd tot 36 maanden voor onderzochte incidenten), analytics-records 12 maanden geaggregeerd na anonimisatie binnen 24 uur. Fysieke dragers, mochten ze ergens binnenkomen, worden door een gecertificeerde verwerker volgens shredding-protocol DIN 66399 niveau P4 vernietigd.

Cookies in twee zinnen, volledig uitgeschreven elders

De Club werkt met twee cookiebuckets; welke sleutels daar precies in vallen, leest Club-lid na in het cookiebeleid.

• Strikt noodzakelijke cookies: vereist voor sessiebeveiliging, taalkeuze en het vastleggen van jouw cookievoorkeur. Conform artikel 11.7a lid 3 Telecommunicatiewet mogen deze zonder toestemming geplaatst worden.
• Analytische cookies: worden pas actief nadat je in de cookiebalk op «akkoord» hebt geklikt. Herroeping geschiedt via dezelfde balk of via de knop onder aan het cookiebeleid.

Welke partners wij aan boord hebben laten komen

Sommige taken laat de redactie liever bij specialisten — transactionele mail, hosting, foutmonitoring. Met elke partij is een artikel 28-verwerkersovereenkomst ondertekend: doel, duur, beveiliging, sub-verwerkers en vernietiging na afloop zijn daarin vastgelegd. De huidige gastenlijst:

Nieuwe subverwerkers worden vooraf gescreend op hun certificeringen (ISO 27001, SOC 2 Type II, C5 of gelijkwaardig) en pas toegevoegd nadat een Data Protection Impact Assessment geen onaanvaardbaar restrisico oplevert. Wijzigingen in deze lijst worden ten minste veertien kalenderdagen vooraf aangekondigd via de homepagina; bezwaar tegen een nieuwe subverwerker is mogelijk via [email protected].

Waarom Club-data aan deze kant van de Atlantische Oceaan blijft

Voor onze ledenvelden — e-mailadres, voorkeurspagina’s, optionele leesgeschiedenis — geldt een vaste afspraak: Frankfurt of Dublin, niet Ashburn of Oregon. Wij zien om die reden af van Amerikaanse hyperscalers (AWS, Google Cloud, Microsoft Azure US-regio): de combinatie van Schrems II (HvJ EU C-311/18, 16 juli 2020) en de US CLOUD Act laat te veel onzekerheid open voor een ledenplatform dat juist op vertrouwen draait. Waar een verwerker een globaal edge-netwerk gebruikt (zoals onze Cloudflare-frontlaag voor TLS-terminatie), liggen twee aanvullende waarborgen op tafel: enerzijds de modelcontractbepalingen (SCC’s, uitvoeringsbesluit 2021/914) van de Europese Commissie, anderzijds een aanvullend encryptie-regime waarbij sleutelbeheer in onze handen blijft. Bij iedere DPF-aanbieder controleren wij of de certificering actueel staat ingeschreven; DPF-deelname op zichzelf is voor ons geen eindstation, wel een element in een bredere risicobeoordeling per Club-functie.

De grip die de AVG jou persoonlijk geeft

Je bent geen passieve partij in dit document. De AVG geeft jou acht concrete hendels:

• Inzagerecht (art. 15). Opvragen welke gegevens wij verwerken, met doel, grondslag, termijn en ontvangers; kopie binnen vier weken, elektronisch op verzoek.
• Rectificatierecht (art. 16). Onjuiste of onvolledige gegevens worden op verzoek gecorrigeerd; ontvangers van eerdere verstrekkingen lichten wij in tenzij dat onmogelijk blijkt.
• Recht op verwijdering (art. 17, «recht om vergeten te worden»). Bij overbodige gegevens of ingetrokken toestemming verwijderen wij zonder onredelijke vertraging.
• Recht op beperking (art. 18). Bij betwiste juistheid of rechtmatigheid bevriezen wij de records hangende de beoordeling.
• Bezwaarrecht (art. 21). Tegen verwerkingen op gerechtvaardigd belang kun je gemotiveerd bezwaar maken; wij staken tenzij dwingende belangen zwaarder wegen.
• Recht op dataportabiliteit (art. 20). Zelf-aangeleverde gegevens leveren wij in JSON of CSV.
• Intrekking van toestemming (art. 7 lid 3). Kosteloos en zonder reden.
• Klachtrecht bij de toezichthouder. Klacht bij de Autoriteit Persoonsgegevens staat altijd open.

Verzoeken stuur je naar [email protected]. Bij twijfel over identiteit volstaat een afgeschermde kopie van je identiteitsbewijs (BSN en foto afplakken) conform de AP-richtlijn. Reactie binnen vier weken; bij complexe verzoeken gemotiveerd verlengbaar met maximaal twee maanden.

Hoe wij de deur op slot houden

Artikel 32 AVG dwingt tot passende beveiliging — niet op papier, maar op werkende techniek. Onze huidige invulling: TLS 1.3 met moderne cipher suites voor al het verkeer; at-rest-encryptie op alle persistente opslag (LUKS-AES-256 voor disks, applicatielaag-encryptie op de gevoelige velden); tweefactor verplicht via TOTP of hardware-sleutel; principle of least privilege met kwartaal-review; automatische security-patches binnen 72 uur voor kritieke kwetsbaarheden; en jaarlijkse externe pentest aangevuld met wekelijkse dependency-scan.

Wat er in de eerste uren gebeurt als het ooit misgaat

Een lek hopen we niet, maar wie met ledendata werkt heeft er een draaiboek voor klaarliggen. Onze interne stappen wanneer een (vermoedelijke) inbreuk wordt vastgesteld:

1. Eerste 60 minuten: Sentry-alarm of handmatige melding bij de Privacy Lead, gevolgd door directe containment — betroffen hosts uit de loadbalancer, gecompromitteerde sleutels gerouleerd, forensische snapshot van logs en database vastgelegd.
2. Eerste 24 uur: scope-rapportage gereed. Aantal Club-accounts dat is geraakt, betrokken velden, daadwerkelijke exfiltratie of louter exposure-risico worden in een interne CSV vastgelegd.
3. Op uiterlijk uur 72: indien sprake is van meer dan verwaarloosbaar risico melden wij aan de Autoriteit Persoonsgegevens via het digitale meldloket conform artikel 33 lid 1 AVG.
4. Onverwijld bij hoog risico: persoonlijke e-mail aan getroffen Club-leden volgens artikel 34 AVG, in onopgesmukte taal, met concrete gevolgen en handelingsadvies (denk aan onmiddellijke wachtwoordrotatie en activering van de tijdelijke MFA-bypass).
5. Na de eerste week: root-cause-analyse, structurele remediatie, update van het verwerkingsregister en redactionele communicatie naar het volledige ledenbestand.

In de drie boekjaren vóór de huidige editie van deze verklaring is geen meldplichtig datalek vastgelegd. Twee potentiële situaties werden vroegtijdig gesignaleerd en binnen het uur geneutraliseerd zonder dat een Club-lid benadeeld is geraakt.

Waarom minderjarigen geen plek hebben in de Club

Club-lidmaatschap begint bij achttien. Niet omdat dat streng klinkt op de welkomstpagina — de Wet kansspelen op afstand trekt die lijn en kansspelmarketing richting minderjarigen is wettelijk verboden. Wij richten Club-content, beeldtaal noch registratiestromen bewust op iemand onder die leeftijd; ledenwerving via TikTok of YouTube-shorts staat in onze marketingrichtlijn op zwart.

Mocht na binnenkomst blijken dat een Club-account door iemand jonger dan achttien is aangemaakt — bijvoorbeeld via een gedeeld huishoudaccount — dan voeren wij binnen vijf werkdagen een handmatige verwijdering door en gebruiken de gegevens nergens anders voor. Ouders, voogden of wettelijk vertegenwoordigers kunnen zich melden via [email protected]; bevestiging volgt binnen tweeenzeventig uur, gevolgd door uitvoering en een schriftelijke bevestiging dat de records uit alle backups zijn verwijderd bij de eerstvolgende rotatieronde.

De sluitende leeftijdsverificatie zelf gebeurt bij de KSA-vergunninghouder via DigiD of een identiteitsdocumentcontrole, zoals voorgeschreven onder de Wet Koa en de gelieerde regelgeving.

Geen scoringsalgoritme dat over jou beslist

Artikel 22 AVG verbiedt uitsluitend geautomatiseerde besluitvorming met rechtsgevolgen of aanmerkelijke impact. Die bescherming bijt bij ons in de lucht: wij passen dat soort besluitvorming sowieso niet toe.

Concreet betekent dat:

• De rangschikking van content op onze site gebeurt handmatig door de redactie, op basis van redactionele criteria en recente kwaliteitsaudits.
• Er is geen algoritmische profilering of risicoscore op individueel niveau.
• Gepersonaliseerde reclame is afwezig; wij tonen bezoekers dezelfde content ongeacht eerder gedrag.
• Interne dashboards bevatten uitsluitend geaggregeerde cijfers die niet tot een persoon te herleiden zijn.

De brug naar de vergunninghouder — en wat er oversteekt

Klik je op «Speel nu» of op een gametegel, dan steekt de serverside-redirect /go de brug over. Het pad is in robots.txt uitgesloten en draagt header X-Robots-Tag: noindex, nofollow. Wij voegen niets toe; de ontvangende operator ziet wat je browser sowieso meestuurt: de standaard referrer en de IP-connectie. Alles wat daarna op het spelersplatform gebeurt valt onder het privacybeleid van die operator — lees dat door vóór de eerste storting, zeker met het oog op de KYC-procedures die de KSA-vergunning voorschrijft.

Hoe deze tekst met de tijd meebeweegt

Wetten schuiven, leveranciers wisselen, techniek vernieuwt — dit document beweegt mee. Tekstuele correcties (typo’s, verduidelijkingen) voeren wij stilzwijgend door; alleen de datum bovenaan beweegt mee. Materiële herzieningen (nieuwe verwerkingen, andere subverwerkers, gewijzigde bewaartermijnen) kondigen wij ten minste veertien kalenderdagen vooraf aan op de homepagina en — waar relevant — per e-mail aan nieuwsbriefabonnees. Eerdere versies blijven op verzoek beschikbaar via [email protected]; wij leveren ze in PDF met tijdstempel.

Eerdere relevante versies:

• V4 — 21 april 2026 (huidige editie; volledig herzien register van subverwerkers, nieuwe bewaartermijn-matrix, uitgebreide artikel-13-informatie).
• V3 — 9 december 2025 (uitbreiding datalekprotocol, toevoeging Privacy Lead-rol).
• V2 — 17 juli 2025 (toevoeging analytics-grondslag en cookie-matrix).
• V1 — 3 februari 2025 (eerste publicatie bij lancering van het platform).

Laatste redactionele herziening: 21 april 2026. Materiële wijzigingen verschijnen vooraf op de homepagina. Versie 4.0.