Privacy Policy CarNet & CarNinja

PRIVACY POLICY — CarNet & CarNinja

Hebel & Margo BV — Laatste update: 21 november 2025

1. Wie zijn wij en hoe kan je ons bereiken?

Verwerkingsverantwoordelijke: Hebel & Margo BV

Kapellekensweg 32, 3391 Meensel-Kiezegem, België

Ondernemingsnummer: BE 0794.199.079

Algemeen: info@carnet.be

Privacy & GDPR: info@carnet.be

Wij reageren binnen 1 maand (uitzonderlijk 3 maanden bij complexe verzoeken, met motivering, conform GDPR art. 12).

2. Toepassingsgebied

Deze privacy policy geldt voor: &

• Carnet.be

• CarNinja

• Alle subdomeinen, apps, API’s en integraties

Door gebruik te maken van onze diensten ga je akkoord met deze policy.

3. Welke gegevens verwerken wij en waarom?

3.1 Overzicht

In het kader van het faciliteren van gepersonaliseerde voertuigaanbiedingen kunnen wij uw persoonsgegevens (zoals naam, e-mail en zoekvoorkeuren) delen met geverifieerde professionele handelaars (garages) indien wij detecteren dat u geïnteresseerd bent in een specifiek voertuigmodel en de garage dit op voorraad heeft. Dit gebeurt op basis van ons legitiem belang om de marktplaats te optimaliseren of met uw expliciete toestemming. Omgekeerd kunnen wij details van garages (zoals contactinfo) delen met u als particulier indien wij geloven dat de garage het best past bij het voertuig dat u zoekt. Garages zijn altijd vooraf geverifieerd via ons KYBC-proces. U heeft het recht om bezwaar te maken tegen deze verwerking via info@carnet.be, en wij voeren een DPIA uit voor hoogrisicoverwerkingen. Gegevens worden niet langer bewaard dan noodzakelijk en uitsluitend voor dit doel gebruikt, conform GDPR Art. 6 en 13-14.

3.2 Bod op je auto en de Carnet-veiling (toegevoegd op 14 oktober 2026)

Vraag je via Carnet een bod op je auto, dan verwerken we de gegevens van je auto (merk, model, bouwjaar, kilometerstand, foto's, staat, opties en eventueel je verwachte prijs en opmerking) en je contactgegevens (telefoonnummer, e-mailadres en gemeente). Rechtsgrond: uitvoering van je aanvraag (art. 6.1.b GDPR).

• We tonen je auto anoniem aan handelaars en kopers, via een persoonlijke link en, na ons nazicht, ook op de Carnet-veiling. Die veiling is enkel toegankelijk voor professionele handelaars die we vooraf controleren. Zij zien de gegevens en foto's van de auto en de regio, nooit je naam, telefoonnummer, e-mailadres of adres. Een nummerplaat of naam op een foto blijft wel zichtbaar.

• Je naam en contactgegevens geven we pas door als je akkoord gaat met een prijs.

• Wil je niet (meer) op de veiling staan, mail dan naar info@carnet.be. We halen je auto er dan af.

• Pas je achteraf het merk, model of bouwjaar aan, dan sturen we wie al een bod deed een e-mail met de oude en de nieuwe gegevens van de auto, zonder jouw persoonsgegevens.

• Wie een bod doet, geeft ons een naam (of garagenaam) en een telefoonnummer of e-mailadres. Die gebruiken we om het bod te behandelen en de bieder op de hoogte te houden. Aan de verkoper tonen we enkel het bedrag. Rechtsgrond: uitvoering van de aanvraag en gerechtvaardigd belang.

• Je aanvraag, met de foto's en de biedingen, verwijderen we 6 maanden na het indienen.

3.3 Berichten tussen kopers en verkopers (toegevoegd op 28 oktober 2026)

Via de chat op Carnet stuur je een verkoper een vraag over een auto, met of zonder account. Rechtsgrond: uitvoering van je aanvraag, als stap vóór een mogelijke koop (art. 6.1.b GDPR).

• Zonder account vragen we je voornaam en je e-mailadres. De verkoper ziet je voornaam en je bericht, nooit je e-mailadres of telefoonnummer. Met een account ziet de verkoper je gebruikersnaam.

• We sturen e-mails over je gesprekken: aan de verkoper een kopie van je vraag, aan jou een bevestiging en een bericht zodra de verkoper antwoordt. Is de verkoper een garage, dan staan in dat bericht de contactgegevens van de garage, die ook op haar Carnet-pagina staan. Van een particuliere verkoper geven we nooit contactgegevens door. Het antwoord zelf lees je op Carnet. Deze e-mails versturen we via onze e-maildienst Resend (verwerker).

• Tegen misbruik bewaren we bij een vraag zonder account een versleutelde vingerafdruk van je IP-adres (nooit het IP-adres zelf) en beperken we het aantal vragen per uur en per dag (gerechtvaardigd belang, art. 6.1.f GDPR).

• Met "Meld misbruik" meld je een gesprek aan Carnet. Enkel dan leest een medewerker van Carnet het gesprek. Elke stap komt in een dossier, zonder de inhoud van de berichten. Dat dossier bewaren we 2 jaar na de laatste stap. Carnet kan iemand dan uitsluiten van de chat; die persoon krijgt een e-mail met de reden en kan bezwaar maken via info@carnet.be. Wie meldt, krijgt bericht zodra de melding bekeken is (gerechtvaardigd belang: een veilige marktplaats, art. 6.1.f GDPR).

• Gesprekken worden automatisch verwijderd 6 maanden na het laatste bericht, en meteen wanneer je je account verwijdert. De gegevens van een vraag zonder account verdwijnen samen met het gesprek. Maak je later een account, dan komen je gesprekken in dat account.

4. AI & Profilering (CarNinja)

4.1 Geen bindende geautomatiseerde beslissingen Onze AI geeft advies op basis van voertuiggegevens, geen bindende of juridische beslissingen. Je behoudt altijd volledige controle. Er wordt geen profiling met persoonsgegevens uitgevoerd, maar EXIF-metadata kan potentieel persoonsgegevens bevatten en wordt geanonimiseerd om risico's te minimaliseren.

4.2 Rechten bij AI Je kan:

• Menselijke tussenkomst vragen

• Uitleg over de logica krijgen

• Resultaten betwisten

Via info@carnet.be.

4.3 Bewaring foto’s & metadata

• Foto’s: max. 160 dagen

• EXIF-metadata (potentieel persoonsgegevens): max. 120 dagen, geanonimiseerd na verwerking

• Modeltraining: enkel geanonimiseerd (geen persoonsgegevens)

We voeren DPIA's uit en mitigeren biases via regelmatige audits.

5. Bewaartermijnen

Na afloop worden gegevens verwijderd of geanonimiseerd.

6. Delen met derden

Wij verkopen nooit persoonsgegevens.

7. Internationale doorgifte

Gegevens buiten de EU worden beschermd via:

• EU Standard Contractual Clauses (2021)

• Transfer Impact Assessments

• Aanvullende technische & organisatorische maatregelen

Wij monitoren GDPR-rechtspraak (Schrems II/III).

8. Jouw GDPR-rechten

Je hebt recht op:

• Inzage

• Rectificatie

• Verwijdering

• Beperking

• Bezwaar (incl. tegen marketing & modeltraining)

 • Dataportabiliteit

• Intrekking toestemming

• Klacht bij de GBA

Mail info@carnet.be.

9. Account verwijderen

Mail: info@carnet.be Onderwerp: “Account verwijderen” Binnen 30 dagen:

• Account gewist

• Persoonsgegevens verwijderd

• Resterende data geanonimiseerd

10. Cookies & tracking

Wij gebruiken:

• Functionele cookies

• Analytische cookies

• Marketingcookies (opt-in)

• Retargeting via Meta/Google Ads

11. Beveiliging

Wij passen o.a. toe:

• TLS 1.3

• AES-256 encryptie

• bcrypt/Argon2 hashing

• Least-privilege toegangscontrole

• Regelmatige penetratietests

 • DPIA voor CarNinja

 • Meldplicht bij datalek (72 uur)

12. Minderjarigen

Onze diensten richten zich niet op personen < 18 jaar. Gevonden gegevens worden direct verwijderd.

13. Wijzigingen

Belangrijke wijzigingen worden aangekondigd via website en/of e-mail. De actuele versie staat steeds op carnet.be/privacy.

14. Toepasselijk recht

Belgisch recht. Bevoegde rechtbank: arrondissement Leuven.

Laatste update: 01/12/2025 Vragen? info@carnet.be