Privacybeleid

Dit privacybeleid legt uit hoe "Martial Labs" Ltd., handelend onder de naam KORENA, uw persoonsgegevens verwerkt wanneer u korena.eu bezoekt, een bestelling plaatst, contact met ons opneemt of anderszins gebruikmaakt van onze diensten. Het is opgesteld om te voldoen aan de Algemene verordening gegevensbescherming van de EU (Verordening (EU) 2016/679, de "AVG"), de ePrivacy-richtlijn 2002/58/EG en de Bulgaarse wet inzake de bescherming van persoonsgegevens.

---

1. Wie is de verwerkingsverantwoordelijke?

De verwerkingsverantwoordelijke voor uw persoonsgegevens is:

"Martial Labs" Ltd. ( Маршъл Лабс ЕООД )
UIC/ЕИК 207453941 · btw-nummer BG207453941
Yordan Badevstraat 8A, 1700 Sofia, Bulgarije
Bestuurder: Pavel Danielov Nikolov
Contact voor gegevensbescherming: office@korena.eu

Alle privacyverzoeken en verzoeken in verband met rechten van betrokkenen moeten worden gericht aan office@korena.eu.

Zie de juridische kennisgeving / bedrijfsgegevens voor de volledige identificatie van de rechtspersoon achter KORENA.

2. Functionaris voor gegevensbescherming

Wij hebben geen functionaris voor gegevensbescherming (FG) aangesteld, omdat onze verwerking niet voldoet aan een van de verplichte criteria van artikel 37, lid 1, AVG:

• Wij zijn geen overheidsinstantie;
• Onze kernactiviteiten bestaan niet uit regelmatige en stelselmatige observatie van betrokkenen op grote schaal;
• Wij verwerken geen bijzondere categorieën van persoonsgegevens (art. 9) of persoonsgegevens over strafrechtelijke veroordelingen (art. 10) op grote schaal.

Bij onze FG-beoordeling (gedateerd 2026-04-30, volgende beoordeling op 2027-04-30 of eerder bij een aanleiding) is rekening gehouden met het aantal betrokkenen, de stelselmatige en grootschalige aard van de verwerking, bijzondere categorieën van persoonsgegevens en persoonsgegevens over strafrechtelijke veroordelingen, en onze rol als zelfstandig verwerkingsverantwoordelijke. De conclusie van de beoordeling is dat geen FG vereist is. Wij hebben een aangewezen privacycoördinator via office@korena.eu voor doorlopend toezicht en kunnen deze beoordeling op verzoek aan toezichthoudende autoriteiten verstrekken.

Wij beoordelen dit opnieuw wanneer de omvang of aard van onze verwerking wezenlijk verandert, in het bijzonder als wij het SaaS-product voor EUDR-naleving of een functie voor grootschalige analyse of scoring lanceren.

Neem voor alle privacyvragen en verzoeken contact op via office@korena.eu.

2.1. KORENA Capture-app voor iOS (intern hulpmiddel voor medewerkers)

KORENA Capture is een meetapp die medewerkers van KORENA en beheerders van partnerdepots intern gebruiken om hardhouten boomstamplanken voor marktplaatsaanbiedingen te meten en te fotograferen. De app werkt op het apparaat van de gebruiker en verzamelt, bewaart of verzendt geen persoonsgegevens van websitebezoekers of kopers. De app wordt niet gepubliceerd in de Apple App Store en wordt uitsluitend gebruikt voor het intern meten en documenteren van boomstamplanken. De app verwerkt geen identificatiegegevens van eindgebruikers of trackinggegevens. Zie §3.6 (registratiepakketten) hieronder en het afzonderlijke beleid inzake herkomst van hout voor meer informatie over de verwerking van foto's en meetgegevens van boomstamplanken.

2.2. KORENA Partner-app

Medewerkers van partnerdepots en houtwerkplaatsen gebruiken de KORENA Partner-app voor iOS en Android om boomstamplanken aan te bieden, de herkomst te documenteren en bestellingen voor KORENA af te handelen. Hoe de app persoonsgegevens verwerkt, staat in de afzonderlijke privacyverklaring voor de KORENA Partner-app.

3. Wat wij verwerken, waarom en op welke rechtsgrond

In dit onderdeel wordt elke categorie persoonsgegevens die wij verwerken gekoppeld aan het doel, de rechtsgrond volgens artikel 6 AVG en de bewaartermijn.

3.1. Bezoekers van de site (geen account, geen bestelling)

3.2. Accounthouders

3.3. Bestelgegevens (accounthouders en afrekenen als gast)

3.4. Klantenservice en communicatie

3.5. Marketing

3.6. Medewerkers van partnerdepots en zakelijke contactgegevens

3.7. AI/ML en tekst- en datamining (TDM)

Persoonsgegevens van gebruikers worden NIET gebruikt om AI-/ML-modellen te trainen. KORENA gebruikt uw persoonsgegevens (naam, e-mailadres, adressen, bestelgeschiedenis en interactiegegevens) niet voor het trainen van kunstmatige intelligentie of machinelearningsystemen, of voor tekst- en datamining. Wij gebruiken AI-/ML-technologie op twee plaatsen. De SAM-segmentatie in de KORENA Capture-app analyseert afbeeldingen van boomstamplanken op het apparaat van de gebruiker en verwerkt geen persoonsgegevens. Wanneer KORENA hout inkoopt voor een zakelijke klant, worden de teksten van inkoopvragen aan leveranciers en hun antwoorden machinaal vertaald en gestructureerd door een AI-verwerker (OpenAI en, indien ingeschakeld, DeepL). Voordat zulke tekst wordt verzonden, verwijderen wij e-mailadressen, telefoonnummers en gegevens die de aanvragende klant identificeren. De resterende zakelijke contactgegevens worden verwerkt op grond van ons gerechtvaardigd belang (art. 6, lid 1, punt f, AVG). U hebt volgens artikel 4 van de DSM-richtlijn het recht bezwaar te maken tegen ieder gebruik van uw gegevens voor TDM. Neem contact op via office@korena.eu om dit recht uit te oefenen.

3.8. Fraudepreventie en beveiliging

Wij voeren geen uitsluitend geautomatiseerde besluitvorming uit die rechtsgevolgen of vergelijkbare aanzienlijke gevolgen heeft (art. 22 AVG), behalve wat het fraudedetectiesysteem Stripe Radar uitvoert als onderdeel van de betaalautorisatie. Stripe Radar gebruikt geautomatiseerde besluitvorming om het betalingsrisico te beoordelen. Als een betaling wordt geweigerd:

• (a) ziet u op het moment van weigering een duidelijke melding;
• (b) hebt u kosteloos recht op menselijke beoordeling en uitleg. Neem met uw bestelgegevens contact op via office@korena.eu. Wij leggen de zaak dan voor aan Stripe en geven uitleg over de beoordeelde risicofactoren en de maatregelen die u kunt nemen (bijvoorbeeld een andere betaalmethode gebruiken of contact opnemen met uw kaartuitgever);
• (c) antwoorden wij binnen één kalendermaand.

Verwerking volgens artikel 22 is noodzakelijk voor de uitvoering van de verkoopovereenkomst op grond van artikel 22, lid 2, punt a, AVG. Zonder deze verwerking kunnen wij redelijkerwijs geen onlinebetaling aanvaarden.

4. Bronnen van gegevens

Vrijwel alle gegevens die wij verwerken, verzamelen wij rechtstreeks bij u. Er zijn twee uitzonderingen:

• Stripe stuurt ons gegevens over het resultaat van de betaling, de laatste vier cijfers van de kaart en risicosignalen wanneer u betaalt. Wij zien het volledige kaartnummer niet.
• Speedy en Econt (en andere vervoerders) sturen ons trackinggebeurtenissen voor zendingen.

5. Met wie wij gegevens delen

Wij delen persoonsgegevens met de volgende categorieën ontvangers. Iedere ontvanger verwerkt gegevens uitsluitend voor de beschreven functie en is gebonden aan passende contractuele waarborgen.

Wij verkopen uw persoonsgegevens niet en delen ze niet met advertentienetwerken voor gedragsgerichte reclame op verschillende sites.

De bovenstaande lijst wordt bijgewerkt wanneer een subverwerker wordt toegevoegd, gewijzigd of verwijderd. Nieuwsbriefabonnees en accounthouders worden ten minste dertig (30) dagen vooraf via de site op de hoogte gebracht van wezenlijke wijzigingen.

6. Internationale doorgiften

Sommige ontvangers verwerken gegevens buiten de Europese Economische Ruimte (EER), met name onderdelen van Stripe in de VS, Resend in de VS en OpenAI in de VS. Voor iedere dergelijke doorgifte baseren wij ons op:

• modelcontractbepalingen (SCC's) die door de Europese Commissie zijn goedgekeurd, indien vereist; en/of
• adequaatheidsbesluiten, indien van toepassing (bijvoorbeeld het EU–US Data Privacy Framework wanneer de ontvanger is gecertificeerd).

Wilt u een kopie van de waarborgen voor een specifieke doorgifte, neem dan contact op via office@korena.eu.

6.1. Beoordelingen van het doorgifterisico

Wanneer een verwerker zich voor doorgiften naar landen zonder adequaatheidsbesluit baseert op EU-modelcontractbepalingen of andere waarborgen, stellen wij een Transfer Impact Assessment (TIA) op of houden wij er een bij overeenkomstig artikel 46 AVG en EDPB-richtsnoeren 01/2020. Deze beoordelingen zijn op verzoek beschikbaar voor toezichthoudende autoriteiten. Voor doorgiften die worden ondersteund door certificering volgens het Data Privacy Framework controleren wij bij iedere publicatiecyclus opnieuw de certificeringsstatus en werken wij §5 (Met wie wij gegevens delen) dienovereenkomstig bij.

7. Uw rechten

Volgens de AVG hebt u de volgende rechten. U kunt ze kosteloos uitoefenen door te schrijven naar office@korena.eu:

• Inzage (art. 15): bevestiging of wij gegevens over u verwerken en een kopie van die gegevens in een gestructureerd, gangbaar en machineleesbaar formaat (CSV of JSON). Wij verstrekken dit kosteloos. Als uw verzoek kennelijk ongegrond of buitensporig is, mogen wij redelijke administratiekosten aanrekenen. Levering vindt plaats via beveiligde e-mail of een versleutelde downloadlink.

• Rectificatie (art. 16): correctie van onjuiste gegevens.

• Wissing (art. 17): verwijdering van gegevens, met inachtneming van onze wettelijke bewaarplichten. Wettelijke uitzonderingen zijn onder meer: (a) facturen en btw-administratie, die volgens de Bulgaarse boekhoudwetgeving 10 jaar worden bewaard; (b) e-mails aan de klantenservice en foto's bij geschillen, die tot 2 jaar na beslechting van het geschil worden bewaard; (c) accountgegevens, die 12 maanden na sluiting worden bewaard, tenzij ze aan een lopende zaak zijn gekoppeld; (d) IP-adressen en toegangslogboeken, die 90 dagen worden bewaard, tenzij ze aan een beveiligingsincident zijn gekoppeld.

• Beperking (art. 18): beperking van de verwerking in bepaalde omstandigheden.

• Overdraagbaarheid (art. 20): ontvangst van persoonsgegevens die u aan ons hebt verstrekt (naam, e-mailadres, adressen en soort betaalmiddel) in een gestructureerd, gangbaar en machineleesbaar formaat. Dit recht geldt voor gegevens die op grond van een overeenkomst (art. 6, lid 1, punt b) of toestemming (art. 6, lid 1, punt a) worden verwerkt. Het omvat geen afgeleide gegevens (interactiegegevens, door ons berekende afmetingen van boomstamplanken) of gegevens die op grond van een wettelijke verplichting worden verwerkt (facturen).

• Bezwaar (art. 21): tegen verwerking op grond van een gerechtvaardigd belang, met inbegrip van direct marketing (waarbij het recht van bezwaar absoluut is).

• Intrekking van toestemming (art. 7, lid 3): op ieder moment, zonder afbreuk te doen aan de rechtmatigheid van de verwerking vóór de intrekking.

• Recht om niet aan geautomatiseerde besluitvorming te worden onderworpen (art. 22): zie §3.8 hierboven (Stripe Radar; recht op menselijke beoordeling).

Wij antwoorden binnen één kalendermaand na ontvangst van een verzoek. Bij complexe of talrijke verzoeken kan deze termijn met nog eens twee maanden worden verlengd, waarvan wij u op de hoogte stellen. Als wij u niet kunnen identificeren aan de hand van de gegevens waarover wij beschikken, kunnen wij om aanvullende informatie vragen om uw identiteit te controleren voordat wij aan het verzoek voldoen.

U kunt ook een klacht indienen bij de toezichthoudende autoriteit:

Commission for Personal Data Protection (Комисия за защита на личните данни) Tsvetan Lazarov Blvd. 2, Sofia 1592, Bulgarije cpdp.bg · kzld@cpdp.bg

Als u gewoonlijk in een andere EU-lidstaat verblijft, kunt u ook een klacht indienen bij de gegevensbeschermingsautoriteit van dat land.

8. Beveiliging

Wij treffen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen, waaronder versleuteling tijdens doorgifte (TLS), versleuteling van onze databaseopslag, toegangscontroles, auditlogboeken, functiescheiding en het beginsel van minimale bevoegdheden. Stripe bewaart volledige betaalkaartgegevens buiten onze systemen en is PCI-DSS-gecertificeerd. Ondanks redelijke maatregelen is geen enkel systeem volledig veilig.

Bij een inbreuk in verband met persoonsgegevens zullen wij:

• (i) de Commission for Personal Data Protection (CPDP) zonder onredelijke vertraging en, indien artikel 33 AVG dit vereist, binnen 72 uur na ontdekking op de hoogte stellen;
• (ii) u zonder onredelijke vertraging rechtstreeks op de hoogte stellen (doorgaans binnen 7 dagen na ontdekking) wanneer de inbreuk waarschijnlijk een hoog risico voor uw rechten en vrijheden inhoudt (art. 34 AVG);
• (iii) in de rechtstreekse kennisgeving de aard en waarschijnlijke gevolgen van de inbreuk, de genomen of voorgestelde maatregelen en ons contactpunt (office@korena.eu) voor nadere informatie vermelden.

9. Kinderen

De site is niet gericht op kinderen jonger dan 14 jaar en wij verwerken niet bewust persoonsgegevens van kinderen jonger dan 14 jaar zonder toestemming van een ouder of voogd. KORENA is een marktplaats voor hoogwaardig hardhout, bedoeld voor professionals en volwassen hobbyisten. De site is niet bedoeld voor en wordt niet aangeboden aan minderjarigen. Denkt u dat een kind jonger dan 14 jaar ons persoonsgegevens heeft verstrekt, neem dan contact op via office@korena.eu. Wij verwijderen de gegevens dan.

10. Wijzigingen in dit beleid

Wij kunnen dit beleid van tijd tot tijd bijwerken. Accounthouders en nieuwsbriefabonnees worden per e-mail op de hoogte gebracht van wezenlijke wijzigingen. De wijzigingen worden ook ten minste dertig (30) dagen voordat ze ingaan op de site geplaatst, behalve wanneer een wijziging volgens de wet eerder moet ingaan.

De versiedatum onderaan dit beleid is de versie die momenteel van kracht is.

11. Talen

Dit beleid is opgesteld in het Engels, dat als werkversie de leidende bron is. Vertalingen kunnen op de site beschikbaar worden gesteld. Waar de wet dit vereist, in het bijzonder voor in Bulgarije gevestigde betrokkenen, is de Bulgaarse vertaling bindend.

---

Laatst bijgewerkt: 2026-09-16 · Laatst beoordeeld: 2026-04-30 · Volgende beoordeling: 2027-04-30 (of eerder bij een aanleiding).