Privacyverklaring

One2Pay – hecht grote waarde aan de bescherming van uw persoonsgegevens. Wij zorgen ervoor dat uw gegevens met de grootst mogelijke zorgvuldigheid worden behandeld en beveiligd in overeenstemming met de toepasselijke privacywetgeving, waaronder:

• De Algemene Verordening Gegevensbescherming (AVG) (EU 2016/679)
• De Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft)
• De herziene Richtlijn Betalingsdiensten (PSD2)

Deze privacyverklaring beschrijft hoe wij uw persoonsgegevens verzamelen, gebruiken, delen en beschermen. Ook informeren wij u over uw rechten en hoe u deze kunt uitoefenen. Deze privacyverklaring kan van tijd tot tijd worden bijgewerkt. Indien er substantiële wijzigingen plaatsvinden, zullen wij u hiervan op de hoogte stellen via onze website. De activiteiten van One2Pay waarop dit privacy statement van toepassing is worden uitgevoerd door de volgende juridische entiteiten (de eerste drie gevestigd op het volgende
adres: Wieldrechtseweg 50, 3316BG, Dordrecht):

• One2Pay Holding B.V., geregistreerd met KvK nummer 64015556.
• One2Pay The Netherlands B.V., geregistreerd met KvK nummer 96039027.
• One2Pay Staff B.V., geregistreerd met KvK nummer 96039132.
• De Haan Minerale Oliën B.V., geregistreerd met KvK nummer 17213634 en gevestigd op
  het volgende adres: Slotlaan 15, 4902 AD, Oosterhout.
  o Alleen mogelijk op tijdelijke basis ten aanzien van incassoproces voor historische DHMO-klanten. Hierna genoemd kortweg ‘One2Pay’.

1. Voor wie is deze privacyverklaring van toepassing?
Deze privacyverklaring is van toepassing op:

• Zakelijke klanten en hun vertegenwoordigers (bijv. UBO’s, bestuurders en medewerkers).
• Gebruikers van de One2Pay-kaart (fysiek of digitaal).
• Bezoekers van onze website en mobiele applicatie.
• Leveranciers en zakelijke partners van One2Pay.

Verantwoordelijkheid van One2Pay
One2Pay fungeert als verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens in het kader van onze diensten. Dit betekent dat wij bepalen welke persoonsgegevens worden verwerkt, voor welke doeleinden en op welke manier.

Wij kunnen ook optreden als verwerker wanneer wij namens een klant of zakelijke partnergegevens verwerken (bijvoorbeeld bij white-label oplossingen). In dat geval sluiten wij een verwerkersovereenkomst om ervoor te zorgen dat alle verwerkingen conform de AVG plaatsvinden.

2. Welke persoonsgegevens verwerken wij?
One2Pay verzamelt en verwerkt verschillende soorten persoonsgegevens, afhankelijk van de aard van uw relatie met ons (klant, gebruiker of  leverancier). Wij verwerken alleen persoonsgegevens die noodzakelijk zijn voor onze dienstverlening en voldoen aan de wettelijke verplichtingen waaraan wij onderhevig zijn. Hieronder vindt u een overzicht van de categorieën persoonsgegevens die wij verwerken:
A. Ten aanzien van alle (potentiële) klanten, zowel daadwerkelijke gebruikers onze services in de hoedanigheid van kaarthouder als de juridische entiteit en daaraan verbonden natuurlijke personen en juridische entiteiten:
Identificatie- en contactgegevens

• Voor- en achternaam
• Aanhef en geslacht
• E-mailadres en telefoonnummer
• Post- en factuuradres
• Unieke ID per klant (juridische entiteit)
• Nationaliteit
• Bedrijfsnaam, KvK-nummer

Bewaartermijn: 60 dagen bij geen klantacceptatie en maximaal 2 jaar na beëindiging klantrelatie.

Financiële en transactiegegevens

• Bankrekeningnummer en IBAN
• Betalings- en factuurgegevens
• Transactiegegevens met de One2Pay-kaart
  o PAN en PIN nummer (gecodeerd en geanonimiseerd)
  o Transactie ID
  o Prijs en aantallen
  o Datum, tijdstip en locatie
  o Aangeschafte goederen of services (brandstof, carwash, etc.)
  o Duur van transactie (elektrisch laden en parkeren)
• Openstaande betalingen en financiële geschiedenis

Bewaartermijn: 7 jaar, conform wettelijke bewaarplicht van de Nederlandse Belastingdienst.

Compliance- en screeningsgegevens

• UBO- en bestuurdersinformatie
• PEP-checks en sanctielijstcontroles
• AML-beoordelingen en risicoanalyses
• Aandeelhouders- en zeggenschapsstructuur van de juridische entiteit
• Kredietwaardigheidsscores gebaseerd op openbare KvK-gegevens en/of transactie- en
  bankgegevens indien toestemming is gegeven.
• Handtekening in geval van contractondertekening

Bewaartermijn: 5 jaar na beëindiging van de klantrelatie, conform AML-wetgeving.

Locatiegegevens

• GPS-locatie indien de One2Pay-app wordt gebruikt voor locatie gebaseerde diensten

Locatie-informatie van gedane transacties (via onze transactieverwerkers) ten
behoeve van facturatie
Bewaartermijn: 7 jaar, conform wettelijke bewaarplicht van de Nederlandse Belastingdienst.

B. Ten aanzien van websitebezoekers van de One2Pay website(s):

Technische en apparaatgegevens

• IP-adres en apparaatgegevens
• Browsergegevens en besturingssysteem
• Gebruiksgegevens van onze website en app
  o Cookies en trackinggegevens (zie ons cookiebeleid)
  Bewaartermijn: Afhankelijk van het doel 0,5-2 jaar of 5 jaar na beëindiging van de
  klantrelatie, conform AML-wetgeving.

C. Ten aanzien van sollicitanten en medewerkers:
Sollicitatie- en HR-gegevens

• CV en motivatiebrief bij sollicitaties
• Opleidingsgegevens en werkervaring
• Emailadres
• Telefoonnummer
• Bankgegevens
• Kopie ID-bewijs
• Eventuele achtergrondcontroles en assessment in sollicitatieproces

Bewaartermijn: maximaal 4 weken na afronding sollicitatieprocedure, tenzij de sollicitant toestemming geeft voor langere bewaring (maximaal 1 jaar). Maximaal 1 jaar na uitdiensttreding.

3. Doel van de verwerking van persoonsgegevens
One2Pay verwerkt persoonsgegevens uitsluitend voor gerechtvaardigde en noodzakelijke doeleinden. Hieronder vindt u een overzicht van de verwerkingsactiviteiten en de bijbehorende rechtsgronden onder de AVG.

Uitvoering van de overeenkomst (AVG Art. 6(1)(b))
Wij verwerken persoonsgegevens om onze diensten correct te kunnen leveren, waaronder:

• Klantenregistratie en onboarding: Aanmaken en beheren van klantaccounts.
• Transactieverwerking: Verwerken van betalingen met de One2Pay-kaart via de scheme en BIN-sponsor.
• Facturatie en betalingsbeheer: Genereren van BTW-proof facturen en opvolgen van betalingen.
• Klantcontact en support: Beantwoorden van vragen, behandelen van klachten en verstrekken van service-updates.

Wettelijke verplichtingen (AVG Art. 6(1)(c))
Wij verwerken persoonsgegevens om te voldoen aan wetgeving, zoals:

• AML- en Wwft-verplichtingen: Uitvoeren van Know Your Business (KYB)- en Know Your Customer (KYC)-checks.
• PEP- en sanctielijstcontroles: Screening van bestuurders en UBO’s.
• Fiscale verplichtingen: Bewaring van transactiegegevens voor belastingdoeleinden.

Fraudepreventie en risicobeheer (AVG Art. 6(1)(f))
One2Pay gebruikt persoonsgegevens om fraude te detecteren en te voorkomen, zoals:

• Monitoring van verdachte transacties.
• IP-adresanalyse en locatiecontroles bij verdachte activiteiten.
• Automatische detectie van afwijkende gebruikspatronen.

Marketing en klantprofilering (AVG Art. 6(1)(a) – toestemming vereist)
Met toestemming verwerken wij gegevens voor:

• Gepersonaliseerde marketing en aanbiedingen.
• Analyse van gebruikspatronen voor het verbeteren van onze diensten.
• Uitnodigingen voor klanttevredenheidsonderzoeken.

IT-beveiliging en systeemmonitoring (AVG Art. 6(1)(f))
Wij verwerken persoonsgegevens om onze diensten veilig en efficiënt te houden:

• Beveiliging van klantaccounts met multi-factor authenticatie.
• IP- en apparaat analyse om misbruik te voorkomen.
• Technische logs om problemen en cyberdreigingen te identificeren.

Bronnen van persoonsgegevens
One2Pay verkrijgt persoonsgegevens via:

• Directe verstrekking door de klant (bijv. aanmeldformulieren, contracten).
• Externe bronnen zoals kredietwaardigheidspartners.
• Openbare registers zoals het KvK-register en UBO-registers.

4. Geautomatiseerde besluitvorming
One2Pay maakt in sommige gevallen gebruik van geautomatiseerde besluitvorming en profilering om risicoanalyses en compliance-controles uit te voeren. Dit betekent dat bepaalde beslissingen over uw kredietwaardigheid, risico’s of transacties zonder directe menselijke tussenkomst kunnen worden genomen.

Welke geautomatiseerde beslissingen nemen wij?
One2Pay gebruikt geautomatiseerde besluitvorming voor:

• Kredietscores en risicobeoordeling:
  o Bij de onboarding van zakelijke klanten berekenen wij een kredietscore op basis van KvK-gegevens en externe databanken.
  ▪ Dit bepaalt – mede – of een klant in  aanmerking komt voor bepaalde diensten of kredietlimieten.
• PEP- en sanctielijstcontroles:
  o Wij voeren automatische screenings uit van bestuurders en UBO’s via externe compliance-tools.
  ▪ Dit kan leiden tot aanvullende controles of afwijzing van een klant.
• Fraudedetectie en transactiemonitoring:
  o Wij maken gebruik van geautomatiseerde systemen om verdachte transacties te signaleren.
  ▪ Mogelijke verdachte transacties kunnen leiden tot tijdelijke blokkering van het account totdat aanvullende verificatie heeft plaatsgevonden.

Uw rechten bij geautomatiseerde besluitvorming
Indien een beslissing met aanzienlijke gevolgen voor u uitsluitend op basis van geautomatiseerde verwerking wordt genomen, heeft u het recht om:

• Uitleg te krijgen over de logica achter de beslissing.
• Bezwaar te maken en een menselijke beoordeling van de beslissing aan te vragen.
• Correctie of heroverweging van de beslissing te vragen indien deze onjuist blijkt.

U kunt deze rechten uitoefenen door een verzoek te sturen naar privacy@one2pay.net. Wij
zullen binnen één maand op uw verzoek reageren.

5. Bijzondere en/of gevoelige persoonsgegevens

One2Pay verwerkt in specifieke gevallen bijzondere of gevoelige persoonsgegevens, uitsluitend wanneer dit noodzakelijk is voor onze dienstverlening en om te voldoen aan wettelijke verplichtingen. Dit gebeurt onder strikte beveiligingsmaatregelen en in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG).”

PEP- en sanctielijstcontroles (AML-compliance)

Wij kunnen wettelijk verplicht zijn om onze zakelijke klanten en hun vertegenwoordigers (bijv. bestuurders en UBO’s) te screenen op basis van:

• Politiek prominente personen (PEP’s): Beoordeling of een klant een verhoogd risico vormt op financieel misbruik.
• Sanctielijstcontroles: Verificatie of een klant of UBO op internationale of nationale sanctielijsten staat.
• Rechtsgrondslag: Wettelijke verplichting (AVG Art. 6(1)(c)) onder de Wwft.
• Bewaartermijn: 5 jaar na beëindiging van de klantrelatie, conform AML-wetgeving.

Kredietscores en risicobeoordeling

Voor zakelijke klanten en hun vertegenwoordigers verwerken wij kredietwaardigheidsinformatie, afkomstig uit:

• KvK- en handelsregisters: Informatie over financiële stabiliteit.
• Externe kredietbeoordelaars: Kredietscore en betalingsgedrag.
• Rechtsgrondslag: Gerechtvaardigd belang (AVG Art. 6(1)(f)) en uitvoering van een overeenkomst (AVG Art. 6(1)(b)).
• Bewaartermijn: Tot 3 jaar na beëindiging van de klantrelatie of zolang wettelijk vereist.

Locatiegegevens van gebruikers

Indien u de One2Pay-app gebruikt, kunnen wij uw locatiegegevens verwerken voor:

• Fraudepreventie: Beoordelen van verdachte transacties op basis van locatie.
• Facturatiedoeleinden: Correcte BTW verwerking voor zakelijke mobiliteitsdiensten.
• Diensten op basis van locatie: Zoals het tonen van de dichtstbijzijnde aangesloten mobiliteitsopties.
• Rechtsgrondslag: Toestemming (AVG Art. 6(1)(a)) of gerechtvaardigd belang (AVG Art. 6(1)(f)).
• Bewaartermijn: Direct verwijderbaar of maximaal 1 jaar voor fraudedetectie en 7 jaar voor administratiedoeleinden.

Sollicitatie- en HR-gegevens

Bij sollicitaties kunnen wij de volgende bijzondere persoonsgegevens verwerken:

• Nationaliteit: Om te voldoen aan immigratie- en arbeidswetgeving.
• Achtergrondcontroles: Alleen indien noodzakelijk voor de functie en met expliciete toestemming.
  o Rechtsgrondslag: Toestemming (AVG Art. 6(1)(a)).
  o Bewaartermijn: Maximaal 4 weken na afronding sollicitatieprocedure, tenzij de sollicitant toestemming geeft voor langere bewaring (maximaal 1 jaar).

6. Hoe beschermen wij deze gegevens?

Gezien de gevoeligheid van deze gegevens hanteert One2Pay de volgende beveiligingsmaatregelen:

• End-to-end encryptie voor alle gevoelige gegevens.
• Strikte toegangscontrole: Alleen geautoriseerd personeel heeft toegang.
• Regelmatige interne en externe audits en compliance-checks.
• Pseudonimisering en minimale gegevensverwerking waar mogelijk.

7. Met wie delen wij uw persoonsgegevens?

One2Pay deelt persoonsgegevens met derden wanneer dit noodzakelijk is voor onze dienstverlening, het naleven van wettelijke verplichtingen of wanneer u hiervoor toestemming heeft gegeven. Wij zorgen ervoor dat uw gegevens alleen worden gedeeld met betrouwbare partijen en nemen passende beveiligingsmaatregelen om uw privacy te waarborgen.

Externe partijen waarmee wij persoonsgegevens delen

One2Pay deelt persoonsgegevens met de volgende categorieën van derden:

• Betalings-, kaart- en transactieverwerkingspartners o Uitgifte van betaalkaarten.
  o Hosting van de One2Pay-app en verwerking van transacties (ook door Peer2Peer partners voor specifieke transacties).
  o Integratiepartners voor de ontwikkeling en het onderhoud van onze software.
• Compliance en risicobeoordelingspartners
  o Kredietwaardigheidsscores en bedrijfsinformatie.
  o Sanctielijst-screeningpartners: Controle van PEP-lijsten en sancties. • Administratie- en boekhoudsoftware
  o Financiële administratie en facturatie.
  o Leverancier van digitale incassomachtiging.
  o Leverancier van e-signing solution.
• CRM en marketing
  o CRM-oplossing voor klantbeheer en marketingcampagnes.
• IT- en beveiligingsproviders
  o Softwareontwikkeling en beveiliging van One2Pay-diensten.

Internationale gegevensoverdracht en waarborgen

One2Pay werkt met internationale partners, wat betekent dat gegevens soms buiten de Europese Economische Ruimte (EER) worden verwerkt. Wij zorgen ervoor dat deze overdrachten AVG-conform plaatsvinden door gebruik te maken van:

• Standaardcontractbepalingen (SCC’s) van de Europese Commissie.
• Binding Corporate Rules (BCR’s) indien van toepassing.
• Adequaatheidsbesluiten voor landen met een passend beschermingsniveau.

Indien u meer informatie wenst over de beveiligingsmaatregelen rondom internationale gegevensoverdrachten, kunt u contact opnemen via privacy@one2pay.net.

Hoe beschermen wij gedeelde gegevens?

Wij nemen de volgende maatregelen om uw gegevens te beschermen bij het delen met derden:

• Gegevensminimalisatie: We delen alleen de strikt noodzakelijke gegevens.
• Incryptie en toegangscontrole: Beperkt toegang tot geautoriseerde partijen.
• Regelmatige audits en nalevingscontroles op gegevensverwerking door derden.

8. Hoe beveiligen wij uw persoonsgegevens?

One2Pay hecht veel waarde aan de bescherming van uw persoonsgegevens en heeft een uitgebreid beveiligingsbeleid geïmplementeerd om ongeoorloofde toegang, verlies of misbruik te voorkomen. Wij nemen technische en organisatorische maatregelen om de veiligheid en integriteit van uw gegevens te garanderen.

Technische beveiligingsmaatregelen

Om de vertrouwelijkheid en integriteit van persoonsgegevens te waarborgen, maakt One2Pay gebruik van:

• End-to-end encryptie (AES-256-bit) voor het verzenden en opslaan van gevoelige gegevens.
• Multi-factor authenticatie (MFA) voor toegang tot systemen door medewerkers en partners. 9 One2Pay Privacy Statement 02-2025
• Firewalls en intrusion detection systemen (IDS) om verdachte activiteiten te monitoren.
• Pseudonimisering en anonimiseren waar mogelijk, om de impact van datalekken te minimaliseren.

Organisatorische beveiligingsmaatregelen

One2Pay implementeert de volgende beleidsmaatregelen om naleving van de AVG en beveiliging van persoonsgegevens te waarborgen:

• Strikte toegangscontrole: Alleen geautoriseerde medewerkers hebben toegang tot persoonsgegevens op een “need-to-know”-basis.
• Regelmatige beveiligingsaudits: Jaarlijkse externe en interne controles op naleving van het beveiligingsbeleid.
• Security-awareness training: Verplichte training voor alle medewerkers over gegevensbescherming en cyberbeveiliging.

Datalekprotocol en incidentbeheer

Ondanks onze beveiligingsmaatregelen is een datalek nooit volledig uit te sluiten. Daarom hanteren wij een streng datalekprotocol:

• Monitoring en detectie van beveiligingsincidenten in real-time.
• Meldplicht datalekken: One2Pay meldt ernstige datalekken binnen 72 uur bij de Autoriteit Persoonsgegevens en informeert betrokkenen indien nodig.
• Datalekprocedure: Onderzoek en remediërende maatregelen om de schade te beperken en herhaling te voorkomen.

Heeft u aanwijzingen dat uw gegevens niet goed beveiligd zijn of dat er misbruik plaatsvindt? Neem dan direct contact op met onze functionaris gegevensbescherming (FG) via privacy@one2pay.net.

9. Uw rechten met betrekking tot persoonsgegevens

Als betrokkene heeft u onder de Algemene Verordening Gegevensbescherming (AVG) verschillende rechten met betrekking tot de verwerking van uw persoonsgegevens. One2Pay respecteert deze rechten en streeft ernaar om transparant te communiceren over hoe u deze kunt uitoefenen.

Overzicht van uw rechten

U heeft de volgende rechten met betrekking tot uw persoonsgegevens:

• Recht op inzage (AVG Art. 15): U kunt opvragen welke persoonsgegevens wij van u verwerken.
• Recht op rectificatie (AVG Art. 16): U kunt onjuiste of onvolledige gegevens laten corrigeren. 10 One2Pay Privacy Statement 02-2025
• Recht op gegevenswissing (‘recht om vergeten te worden’) (AVG Art. 17): U kunt ons vragen uw gegevens te verwijderen, tenzij wij deze wettelijk moeten bewaren (bijvoorbeeld AML-verplichtingen).
• Recht op beperking van verwerking (AVG Art. 18): U kunt verzoeken om de verwerking van uw gegevens tijdelijk stop te zetten.
• Recht op gegevensoverdraagbaarheid (AVG Art. 20): U kunt uw gegevens in een gestructureerd, gangbaar formaat ontvangen en overdragen aan een andere partij.
• Recht op bezwaar (AVG Art. 21): U kunt bezwaar maken tegen de verwerking van uw gegevens op basis van gerechtvaardigd belang of direct marketing.
• Recht op menselijke tussenkomst bij geautomatiseerde besluitvorming (AVG Art. 22): U kunt bezwaar maken tegen beslissingen die uitsluitend gebaseerd zijn op geautomatiseerde verwerking.

Hoe kunt u uw rechten uitoefenen?

U kunt een verzoek indienen door een e-mail te sturen naar privacy@one2pay.net met een gespecificeerd verzoek. Vermeld in uw e-mail:

• Welke rechten u wilt uitoefenen.
• Welke persoonsgegevens het betreft.
• Een kopie van uw identiteitsbewijs (waarbij uw pasfoto, MRZ, paspoortnummer en BSN zijn afgeschermd).

Wij reageren binnen één maand op uw verzoek. In uitzonderlijke gevallen, bijvoorbeeld bij complexe verzoeken, kan deze termijn met maximaal twee maanden worden verlengd.

Situaties waarin wij een verzoek kunnen weigeren

In sommige gevallen kunnen wij niet voldoen aan een verzoek, bijvoorbeeld:

• Wanneer wij de gegevens wettelijk moeten bewaren (bijv. AML- en fiscale verplichtingen).
• Wanneer het verzoek buitensporig of herhaaldelijk is (in dat geval kunnen wij een redelijke vergoeding vragen).

Als wij niet aan uw verzoek kunnen voldoen, ontvangt u een duidelijke uitleg waarom dit niet mogelijk is.

Klachten indienen bij de Autoriteit

Persoonsgegevens Als u vindt dat wij uw gegevens niet correct verwerken, kunt u een klacht indienen bij de Autoriteit Persoonsgegevens via de volgende link: https://autoriteitpersoonsgegevens.nl/nl/contact-met-de-autoriteitpersoonsgegevens/tip-ons

10 Hoe kunt u contact met ons opnemen?

Heeft u vragen over deze privacyverklaring of over de verwerking van uw persoonsgegevens? Dan kunt u contact opnemen met onze Functionaris Gegevensbescherming (FG) via: privacy@one2pay.net