Hoe wij met uw gegevens omgaan

1. Onze aanpak

FastTrack BKK ("wij", "ons") beschouwt gegevenssoevereiniteit als een productkeuze: wij bepalen wat we verzamelen, waar het wordt opgeslagen, hoe lang we het bewaren en wie toegang heeft. We outsourcen geen website-analytics naar derden voor sessieherhaling. Boekingsgegevens en optionele website-analytics worden behandeld als afzonderlijke systemen met verschillende doelen en bewaartermijnen.

2. Twee soorten gegevens

Deze stromen worden niet in dezelfde database opgeslagen. Een boekingsrecord wordt standaard niet samengevoegd met analytics-herhaling; waar we een voltooide boeking koppelen aan een browsersessie, gebruiken we ondoorzichtige identifiers uit de checkout, geen paspoortnummers in analytics-opslag.

3. Boekingsgegevens

Bij een boeking verwerken we persoonsgegevens die nodig zijn om de dienst te leveren, waaronder:

• Contactgegevens, vluchtinformatie en passagiersnamen
• Paspoortgegevens (versleutelde paspoortnummers, pasfoto's) voor overdracht aan de operator
• Betalingsreferenties (blockchain-transactiehash, walletadres, bedragen)

Wij delen alleen het strikt noodzakelijke met onze gecontroleerde luchthavenpartner om de dienst te leveren. Wij verkopen of verhuren boekingsgegevens niet.

Bewaring van paspoort en documenten

Paspoortgerelateerde gegevens worden niet onbeperkt bewaard. Verwijdering is automatisch en gedocumenteerd:

• Paspoortpagina-afbeeldingen, boardingpassen en TDAC-bevestigingen worden 30 dagen na uw geplande vluchtdatum automatisch verwijderd (niet onmiddellijk na de service — wij hebben documenten nodig tot de reisdag en een korte periode daarna voor operationele ondersteuning).
• Versleutelde paspoortnummers in onze database worden op hetzelfde moment gewist.
• Een geautomatiseerde dagelijkse taak verwijdert opslagobjecten, wist gerelateerde databasevelden en markeert de boeking als opgeschoond.
• Boekingscontactgegevens, vluchtinformatie en betalingsreferenties kunnen tot 12 maanden worden bewaard voor support en geschillenbeslechting, en vervolgens geanonimiseerd. Eerdere verwijdering kunt u aanvragen via Contact.

Opslag en toegangscontroles

• Versleuteling in rust: paspoortnummers worden vóór opslag versleuteld met AES-256-GCM (unieke IV per record). Documentafbeeldingen worden bewaard in private S3-compatibele objectopslag met versleuteling aan de zijde van de provider.
• Toegang beperkt tot geautoriseerd personeel: volledige paspoortafbeeldingen en ontsleutelde paspoortnummers zijn alleen beschikbaar voor geauthenticeerde FastTrack-beheerders met site-specifieke rechten — niet voor het publiek of anonieme API-aanroepers.
• Toegangslogging: elke beheerdersweergave van een paspoortafbeelding of ontsleuteld nummer wordt (tijdstempel, beheerdersidentiteit, IP-adres) in een auditlog vastgelegd.
• Tijdelijke URL's: documentuploads en beheerdersophaling gebruiken kortstondige presigned URL's; afbeeldingen worden niet via permanente openbare links aangeboden.
• Infrastructuur van derden: wij gebruiken gevestigde cloudproviders voor applicatiehosting, PostgreSQL-databases, versleutelde objectopslag en transactionele e-mail (zie sectie 6). Luchthavenpartners ontvangen alleen de minimaal noodzakelijke operationele gegevens.
• Betalingen: kaartgegevens worden ingevoerd in door PayPal gehoste velden of in een door Stripe gehoste kassa; onze servers ontvangen nooit kaartnummers of CVV-codes. We slaan alleen bestel-ID's van de provider, metagegevens van vastleggen/afwikkeling en afstemmingsreferenties op.
• Staff MFA: ops-beheerdersaccounts die paspoortgegevens kunnen ontsleutelen, kunnen TOTP-gebaseerde meervoudige authenticatie inschakelen.
• Document OCR: paspoort, instapkaart en TDAC afbeeldingen worden alleen naar Mistral AI (betaald API) verzonden om de boekingsvelden op te halen. We gebruiken deze gegevens niet om AI-modellen te trainen; De betaalde API van Mistral gebruikt geen API-invoer of -uitvoer voor modeltraining.

Volledige juridische details: Privacybeleid.

4. Website-analytics (FastTrack Analytics)

Als u analytics accepteert in onze toestemmingsbanner, gebruiken we first-party FastTrack Analytics — software die wij zelf beheren — om gebruiksgebeurtenissen en optionele sessieherhaling op deze website te verzamelen. Bij weigering schakelen we geen analytics-verzameling of sessieherhaling in voor uw browsersessie.

• Geen sessieherhaling door derden (bijvoorbeeld Microsoft Clarity of vergelijkbare marketing-analytics-tools)
• Toestemming eerst: analytics draait alleen na uw expliciete keuze in de banner
• Gescheiden opslag: analytics-gebeurtenissen en herhalingsfragmenten staan in een aparte analytics-database en objectopslag, niet in onze boekingsdatabase
• Bewaartermijnen: gebruiksgebeurtenissen tot 90 dagen; sessieherhaling tot 30 dagen, daarna automatisch gewist
• Wissing: op verzoek kunnen we analytics-gegevens gekoppeld aan een bezoeker-ID verwijderen (na verificatie van het verzoek)

Analytics kan paginapaden, klikken en een gemaskeerde herhaling van de paginastructuur vastleggen. We configureren masking voor gevoelige velden in herhaling waar van toepassing. Voer geen paspoort- of betalingsgegevens in op vrije tekstvelden op marketingpagina's.

5. Wat we niet doen

• Uw persoonsgegevens verkopen of verhuren aan datamakelaars of adverteerders
• Pixels van derden voor ad-tech gebruiken voor on-site sessieherhaling op deze boekingssite
• Analytics-toestemming vereisen om een boeking te voltooien — analytics is optioneel
• Paspoortnummers opslaan in de database van ons analytics-product
• Uw reisdocumenten of geëxtraheerde velden gebruiken om AI-modellen te trainen

6. Infrastructuur

Onze systemen draaien bij gevestigde cloudproviders onder onze controle (hosting, databases en versleutelde objectopslag). Gegevens kunnen worden verwerkt in regio's waar die providers datacenters hebben. We kiezen subprocessors voor betrouwbaarheid en beveiliging; huidige categorieën: webhosting en CDN, applicatie- en databasehosting, versleutelde blob-opslag en e-mail voor transactionele berichten.

Document OCR (Mistral AI): geüploade paspoorten, instapkaarten en TDAC afbeeldingen worden uitsluitend naar de betaalde API van Mistral gestuurd om de boekingsvelden op te halen. We gebruiken deze gegevens niet om AI-modellen te trainen, en de betaalde API van Mistral gebruikt geen API input of output voor modeltraining.

Deze pagina beschrijft architectuurkeuzes en standaardwaarden. Ze vervangt het Privacybeleid niet voor rechtsgronden, internationale doorgiften of formele verzoeken van betrokkenen.

7. Uw keuzes

• Analytics weigeren in de toestemmingsbanner — voor die keuze worden geen gebruiksherhaling of analytics-gebeurtenissen verzameld
• Van gedachten veranderen door sitegegevens voor dit domein te wissen; de banner verschijnt weer bij uw volgende bezoek
• Toegang, correctie of verwijdering aanvragen van boekingspersoonsgegevens via Contact; we reageren binnen 30 dagen waar toepasselijk recht dit vereist
• Analytics-wissing: neem contact op met details uit uw verzoek; we verwijderen analytics-bezoekersgegevens zodra we het verzoek kunnen verifiëren