Privacyverklaring

Deze privacyverklaring informeert je overeenkomstig art. 13 AVG (DSGVO) over de aard, de omvang en het doel van de verwerking van persoonsgegevens binnen ons online aanbod en de daaraan gekoppelde websites en functies.

1. Verwerkingsverantwoordelijke

Daniel David Ovadia
CastLoop
Eugen-Richter-Str. 159
76187 Karlsruhe, Duitsland
E-mail: info@castloop.de

2. Definities

Deze privacyverklaring gebruikt de begrippen van de Algemene verordening gegevensbescherming (AVG/DSGVO). “Persoonsgegevens” zijn alle informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon.

3. Doeleinden en rechtsgronden van de verwerking

Wij verwerken persoonsgegevens voor de volgende doeleinden:

• Het beschikbaar stellen van het online aanbod en de bijbehorende functies (art. 6 lid 1 sub b AVG)
• Het nakomen van contractuele verplichtingen (art. 6 lid 1 sub b AVG)
• Het nakomen van wettelijke verplichtingen, met name fiscale en handelsrechtelijke bewaarplichten (art. 6 lid 1 sub c AVG)
• Het behartigen van gerechtvaardigde belangen — met name beveiliging, misbruikpreventie, analyse en verbetering van ons aanbod (art. 6 lid 1 sub f AVG)
• Toestemmingen, voor zover die zijn gegeven (art. 6 lid 1 sub a AVG)

Uitsluitend geautomatiseerde besluitvorming, met inbegrip van profilering, die rechtsgevolgen voor jou heeft of je op vergelijkbare wijze in aanmerkelijke mate treft (art. 22 AVG), vindt niet plaats. De AI-ondersteunde selectie van clipmomenten beoordeelt jouw inhoud, niet jou als persoon.

4. Serverlogbestanden & hosting

Bij elk bezoek aan onze website worden automatisch toegangsgegevens opgeslagen in serverlogbestanden (IP-adres, datum en tijd, opgevraagde pagina, user agent, referrer). Deze gegevens dienen voor de technische bedrijfszekerheid en worden uiterlijk na 14 dagen verwijderd of geanonimiseerd.

Hosting: IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Duitsland. De gegevensverwerking vindt uitsluitend plaats op servers in de Europese Unie (Duitsland). IONOS levert ook de SMTP-relay voor het verzenden van transactionele e-mails en back-ups van de productieomgeving via VM-snapshots. Met de aanbieder bestaat een verwerkersovereenkomst volgens art. 28 AVG.

5. Registratie & klantaccount

Om CastLoop te gebruiken kun je een account aanmaken. Verplichte gegevens zijn e-mailadres en wachtwoord; optioneel zijn bedrijfs- of kanaalnaam, voor- en achternaam. Het wachtwoord wordt nooit in leesbare tekst opgeslagen, maar met de moderne methode Argon2id (OWASP 2024-parameters) als hashwaarde bewaard.

Rechtsgrond: art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst). De gegevens worden verwijderd zodra ze niet meer nodig zijn voor de doeleinden waarvoor ze zijn verzameld en er geen wettelijke bewaarplichten aan in de weg staan.

Het opgeven van e-mailadres en wachtwoord (of het inloggen via een e-maillink of via een van de in sectie 7 genoemde aanbieders) en de opgave of je als ondernemer of als consument handelt, is nodig voor het sluiten van de gebruiksovereenkomst; zonder deze gegevens kunnen wij geen account aanmaken. Voor een betaald plan hebben wij daarnaast je factuuradres nodig (zie sectie 10). Er bestaat geen wettelijke verplichting om deze gegevens te verstrekken.

Open je CastLoop via een advertentielink met een campagnekenmerk (utm-parameters, bijv. bron en campagne), dan slaan wij dit kenmerk bij de registratie op bij je account. Zo zien wij welke advertenties tot registraties leiden. Daarbij worden geen cookies geplaatst en geen gegevens naar advertentienetwerken verzonden. Rechtsgrond is art. 6 lid 1 sub f AVG; ons gerechtvaardigd belang is het meten van het resultaat van onze advertenties. Je kunt hiertegen bezwaar maken (zie sectie 16). Op de inlog- en registratiepagina’s van app.castloop.de registreren wij bovendien gepseudonimiseerde gebruiksgebeurtenissen (bijvoorbeeld paginaweergave, begin en verzenden van het formulier, klik op een inlogaanbieder en foutcodes) om te zien op welk punt bezoekers de registratie afbreken; daarvoor slaan wij een hashwaarde van IP-adres en browsertype op, maar niet het IP-adres zelf en ook geen e-mailadressen of formulierinhoud, plaatsen wij geen cookies en verwijderen wij deze gebeurtenissen na 90 dagen (rechtsgrond eveneens art. 6 lid 1 sub f AVG, bezwaar zie sectie 16).

Inloggen via e-maillink. In plaats van met een wachtwoord kun je inloggen of je registreren met een link die wij naar je e-mailadres sturen. Daarvoor verwerken wij je e-mailadres, de gekozen taal en — bij de registratie — je opgave over je rol (ondernemer of consument), je toestemming voor productnieuws en het campagnekenmerk van de advertentielink. De link zelf slaan wij niet op; op onze server staat alleen een niet-omkeerbare hashwaarde samen met deze gegevens, voor ten hoogste 15 minuten, daarna wordt die verwijderd. Een aanvullende notitie zonder inhoud blijft tot 24 uur bestaan, zodat wij een verlopen link als zodanig herkennen. Elke link kan maar één keer worden gebruikt. Vraag je de link aan op de registratiepagina, dan leggen wij het tijdstip, de versie van de algemene voorwaarden en de privacyverklaring en een hashwaarde van je IP-adres vast als bewijs van je verklaring. Vraag je de link op de inlogpagina aan voor een adres waarvoor nog geen account bestaat, dan ontstaat bij het openen van de link nog geen account. Pas als je op de volgende pagina je rol kiest en op “Account aanmaken” klikt, maken wij het account aan en leggen wij deze gegevens vast op het moment van die klik. Met het openen van de link geldt je e-mailadres als bevestigd. Je toestemming voor productnieuws bevestigt de inloglink daarentegen niet. Heb je productnieuws gekozen, dan sturen wij je na het aanmaken van het account een aparte e-mail met een bevestigingslink. Pas met de klik op die link wordt je toestemming geldig (double opt-in, zie sectie 11). Rechtsgrond is art. 6 lid 1 sub b AVG.

6. Verwerkte inhoud

CastLoop verwerkt inhoud die jij actief aanlevert — met name URL’s van YouTube-video’s of podcastafleveringen, opnames van gekoppelde Twitch- of Kick-kanalen en door jou geüploade bestanden, evenals de daaruit gemaakte transcripten, clipbestanden en suggesties voor titels en postteksten. Deze inhoud wordt uitsluitend gebruikt om de bestelde dienst te leveren en na afloop van de contractueel afgesproken bewaartermijnen verwijderd (doorgaans 7 dagen voor ruwe downloads, tot 90 dagen voor gemaakte clips in het kader van de recyclingfunctie). De clipbestanden worden uitsluitend opgeslagen op servers van IONOS SE in de EU; doorgifte aan aanbieders van cloudopslag buiten de EU vindt niet plaats.

7. Sociale login / SSO

Om het inloggen te vereenvoudigen bieden wij single sign-on (SSO) aan via verschillende identiteitsproviders. Gebruik je deze optie, dan word je doorgestuurd naar de betreffende aanbieder; na succesvolle authenticatie ontvangen wij een ondertekend ID-token (JWT), waaruit wij uitsluitend een stabiele gebruikers-ID (sub) en je e-mailadres uitlezen. Wij ontvangen geen wachtwoord en geen onbeperkte toegang tot je account daar. Bij het inloggen via Facebook of Instagram ontvangen wij in plaats van een ID-token een autorisatiecode; details staan in de secties 7.4 en 7.5.

7.1 Google Ireland Ltd. — inloggen met Google

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ierland. Authenticatie via Google-account (“Sign in with Google”). Verwerkt worden sub (stabiele Google-gebruikers-ID), e-mailadres, status van de e-mailbevestiging, optioneel naam en URL van de profielfoto. Details: policies.google.com/privacy.

7.2 Microsoft Ireland Operations Limited — Sign in with Microsoft

Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ierland. Authenticatie via Microsoft-account (persoonlijk of werk/school). Verwerkt worden sub (stabiele Microsoft-gebruikers-ID, niet oid), e-mailadres en optioneel weergavenaam. Details: privacy.microsoft.com.

7.3 Apple Distribution International Ltd. — Sign in with Apple

Apple Distribution International Limited, Hollyhill Industrial Estate, Hollyhill, Cork, Ierland. Authenticatie via Apple-ID. Verwerkt worden sub (stabiele Apple-gebruikers-ID) en e-mailadres.

Opmerking over private-relay-adressen: Apple biedt de optie “Verberg mijn e-mailadres” aan. In dat geval ontvangen wij uitsluitend een geanonimiseerd doorstuuradres van de vorm <willekeurig-token>@privaterelay.appleid.com. Je echte e-mailadres kunnen wij daarbij niet inzien; Apple stuurt e-mails transparant door naar het adres dat je hebt opgegeven. Details: apple.com/legal/privacy.

7.4 Meta Platforms Ireland Ltd. — inloggen via Facebook

Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Ierland. Je kunt inloggen of je registreren met je Facebook-account (“Doorgaan met Facebook”). Het doel is uitsluitend het inloggen bij CastLoop en het aanmaken of herkennen van je klantaccount. Wij vragen alleen de standaardmachtigingen public_profile en email op. Na jouw toestemming in het Facebook-dialoogvenster wisselen wij de autorisatiecode op onze server in voor een toegangstoken en halen daarmee eenmalig je app-specifieke Facebook-gebruikers-ID (id), je naam (name) en je e-mailadres (email) op. Het toegangstoken slaan wij niet op; het wordt na deze opvraging verwijderd. Opgeslagen worden de gebruikers-ID, om je bij latere inlogacties te herkennen, het e-mailadres als adres van je klantaccount en voor- en achternaam uit je Facebook-naam als naam in je klantaccount. Uit de naam vormen wij bovendien de standaardnaam van je workspace, die je op elk moment kunt wijzigen. Bij een nieuw account sturen wij je een link waarmee je het e-mailadres bevestigt. Verstrekt Facebook geen e-mailadres, dan maken wij geen account aan. Het koppelen van Facebook-pagina’s en Instagram-accounts om te publiceren staat hier los van en gebeurt alleen als je dat in een eigen dialoogvenster uitdrukkelijk kiest (secties 8.2 en 8.6). Vraag je in je Facebook-instellingen om verwijdering van je gegevens bij CastLoop, dan verwijderen wij de koppeling met je Facebook-account. Rechtsgrond is art. 6 lid 1 sub b AVG. Meta Platforms Ireland Ltd. kan gegevens doorgeven aan Meta Platforms, Inc. (VS) (zie sectie 14). Details: facebook.com/privacy/policy.

7.5 Meta Platforms Ireland Ltd. — inloggen via Instagram

Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Ierland. Je kunt met je professionele Instagram-account (zakelijk of creator-account) inloggen of je registreren (“Doorgaan met Instagram”, Instagram-API met Instagram-login). Na jouw toestemming in het Instagram-dialoogvenster wisselen wij de autorisatiecode op onze server in voor een toegangstoken en dit voor een langlopend toegangstoken. Daarmee halen wij je app-specifieke Instagram-gebruikers-ID, de ID van je Instagram-account, je gebruikersnaam, de weergavenaam, het accounttype en het adres van de profielfoto op. Instagram stuurt ons geen e-mailadres. Kennen wij je Instagram-account nog niet, dan maken wij eerst geen klantaccount aan. De opgehaalde gegevens houden wij ten hoogste 15 minuten beschikbaar in een eenmalig bruikbaar inlogproces, het toegangstoken daarbij alleen versleuteld. Pas wanneer je in de stap “Account afronden” je e-mailadres invoert, je rol kiest en op “Aan de slag” tikt, ontstaat het klantaccount. Naar het ingevoerde adres sturen wij een link waarmee je het bevestigt. Opgeslagen worden de Instagram-gebruikers-ID, om je bij latere inlogacties te herkennen, het door jou ingevoerde e-mailadres als adres van je klantaccount en de gebruikersnaam als standaardnaam van je workspace, die je op elk moment kunt wijzigen. Met het langlopende toegangstoken koppelen wij je Instagram-account in dezelfde stap als publicatiedoel. Het token slaan wij versleuteld op zoals beschreven in sectie 8.2, samen met ID, gebruikersnaam, weergavenaam en profielfoto van het account; je kunt het account op elk moment ontkoppelen. Verwijder je CastLoop in je Instagram-instellingen of vraag je daar om verwijdering van je gegevens, dan verwijderen wij de koppeling met je Instagram-account. Je klantaccount blijft bestaan, en je logt daarna in via een e-maillink. De stap “Account afronden” bestaat ook bij het inloggen via Facebook (sectie 7.4), daar zonder invoer van het e-mailadres. Rechtsgrond is art. 6 lid 1 sub b AVG. Meta Platforms Ireland Ltd. kan gegevens doorgeven aan Meta Platforms, Inc. (VS) (zie sectie 14). Details: privacycenter.instagram.com/policy.

Rechtsgrond voor SSO: art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst / precontractuele maatregelen).

8. Posten op meerdere platforms (OAuth-tokens & publicaties)

De kernfunctie van CastLoop is het geautomatiseerd publiceren van de gemaakte clips op social-mediaplatforms die jij hebt gekoppeld. Daarvoor stel je ons OAuth-toegangstokens van het betreffende platform ter beschikking. Je wachtwoorden van de platforms worden door ons op geen enkel moment ingezien of opgeslagen.

Versleuteling van de tokens: OAuth-toegangs- en refresh-tokens worden in onze database uitsluitend versleuteld opgeslagen met AES-256-GCM (“envelope encryption”), gebonden aan een rijspecifieke Additional-Authenticated-Data-context (tenant-ID, social-account-ID, platform). Een lek van de database zonder toegang tot het apart bewaarde sleutelmateriaal is daardoor nutteloos.

8.1 Google Ireland Ltd. — YouTube / YouTube Shorts

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ierland. CastLoop gebruikt de YouTube Data API v3 uitsluitend op het door jou gekoppelde YouTube-kanaal via de volgende OAuth-scopes:

• https://www.googleapis.com/auth/youtube.readonly — het lezen van de metadata van je eigen kanaal en video’s (kanaal-ID, titel, thumbnail, videolijst met titel, beschrijving, lengte, publicatiedatum). Wordt gebruikt om je in het dashboard te laten kiezen uit welke langere video’s CastLoop korte clips moet halen. Aangeroepen worden uitsluitend de endpoints channels.list, playlistItems.list en videos.list; via videos.list of videos.batchGetStats halen wij bovendien weergaven, likes en aantallen reacties op van de via CastLoop geüploade shorts, om ze je in het dashboard te tonen.
• https://www.googleapis.com/auth/youtube.upload — het uploaden van de door jou goedgekeurde shorts (tot 3 minuten, verticaal formaat) als YouTube Shorts naar je eigen kanaal. Aangeroepen wordt uitsluitend het endpoint videos.insert. Er vindt geen automatische upload plaats zonder jouw voorafgaande goedkeuring en planning.

Daarnaast vragen wij bij het koppelen de standaardmachtigingen openid, email en profile op. Ze dienen uitsluitend om het gekoppelde YouTube-kanaal aan het juiste Google-account toe te wijzen; inloggen bij CastLoop gebeurt daarmee niet.

Op het moment van uploaden worden het clipbestand (MP4), de door jou opgegeven titel, de beschrijving, tags en het publicatietijdstip verzonden. De originele langere video’s verlaten onze servers op geen enkel moment.

Limited Use — toezegging over gebruik volgens de Google API Services User Data Policy (incl. Limited Use Requirements):

• Wij gebruiken de via de YouTube-API ontvangen gegevens uitsluitend om je de in het dashboard getoonde functie (clipselectie, short-upload) te bieden.
• Wij verkopen geen via de YouTube-API ontvangen gegevens aan derden.
• Wij gebruiken geen via de YouTube-API ontvangen gegevens voor het tonen of personaliseren van advertenties.
• Wij trainen geen AI-/ML-modellen met de via de YouTube-API ontvangen inhoud.
• Menselijke toegang (medewerkers / opdrachtnemers) tot de gegevens vindt uitsluitend plaats (a) met jouw uitdrukkelijke toestemming, (b) voor beveiligingsdoeleinden (bijv. onderzoek naar een misbruik- of beveiligingsincident), (c) om wettelijke verplichtingen na te komen of (d) voor zover de gegevens voor interne processen zijn geanonimiseerd/geaggregeerd.

Je kunt het YouTube-kanaal op elk moment via Dashboard → Accounts & bronnen → Ontkoppelen deautoriseren of de koppeling rechtstreeks in het Google-account onder “Apps van derden met toegang tot je account” intrekken. Na het ontkoppelen worden de bijbehorende OAuth-tokens onmiddellijk verwijderd; reeds geüploade YouTube Shorts blijven op je kanaal staan, waar je ze zoals gewoonlijk kunt beheren.

Bewaartermijn (data retention): Via de YouTube-API ontvangen videometadata (bijv. titel, voorbeeldafbeelding) worden ten hoogste 30 dagen opgeslagen; daarna worden ze automatisch bijgewerkt aan de hand van de actuele stand bij YouTube of verwijderd. Wordt een bronvideo op YouTube verwijderd, dan verwijderen wij de bijbehorende metadata bij de volgende synchronisatie. Ontkoppel je het kanaal in het dashboard, dan worden deze gegevens binnen 7 dagen verwijderd; trek je de autorisatie in via je Google-accountinstellingen, binnen 30 dagen.

Algemene privacy-informatie van Google: policies.google.com/privacy.

Door de YouTube-functies van CastLoop te gebruiken, ga je ermee akkoord gebonden te zijn aan de YouTube-gebruiksvoorwaarden (https://www.youtube.com/t/terms).

8.2 Meta Platforms Ireland Ltd. — Instagram

Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Ierland. Publicatie van Reels en Stories via de Instagram Graph API. Details: facebook.com/privacy/policy.

Als alternatief kun je Instagram zonder Facebook-pagina koppelen door rechtstreeks in te loggen met je professionele Instagram-account (Instagram-API met Instagram-login). Ontvanger is ook dan Meta Platforms Ireland Ltd. In beide gevallen worden de clip en de posttekst verzonden; opgeslagen worden het OAuth-token (versleuteld, zie sectie 8 hierboven) en de ID en gebruikersnaam van het Instagram-account. Daarnaast halen wij prestatiecijfers van de gepubliceerde posts (bijv. weergaven, likes, reacties) op om ze je in het dashboard te tonen.

8.3 TikTok Technology Ltd. — TikTok

TikTok Technology Limited (ByteDance-groep), 10 Earlsfort Terrace, Dublin 2, Ierland. Publicatie via de TikTok Content Posting API. Details: tiktok.com/legal/privacy-policy.

8.4 LinkedIn Ireland Unlimited Company — LinkedIn

LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Ierland. Publicatie van videoposts via het LinkedIn Marketing Developer Platform. Details: linkedin.com/legal/privacy-policy.

8.5 X Corp. — X (voorheen Twitter)

X Corp., 1355 Market Street, Suite 900, San Francisco, CA 94103, VS. Publicatie via de X API v2. X Corp. is gevestigd in de VS; gegevensdoorgifte naar de VS is onvermijdelijk voor het gebruik van het X-platform. De doorgifte wordt gewaarborgd op basis van de standaardcontractbepalingen van de EU (SCC 2021/914). Details: x.com/privacy.

8.6 Meta Platforms Ireland Ltd. — Facebook

Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Ierland. Publicatie van videoposts op Facebook-pagina’s via de Facebook Graph API. Privacy-informatie: facebook.com/privacy/policy.

8.7 Meta Platforms Ireland Ltd. — Threads

Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Ierland. Publicatie van Threads-posts via de Threads Graph API. Omdat Threads een Meta-product is, geldt dezelfde privacyverklaring als voor Instagram: facebook.com/privacy/policy.

8.8 Bluesky Social, PBC — Bluesky

Bluesky Social, PBC, Seattle, Washington, VS. Publicatie van videoposts via het AT-protocol (OAuth). Bluesky is gevestigd in de VS; de doorgifte wordt gewaarborgd op basis van de standaardcontractbepalingen van de EU (SCC 2021/914). Details: bsky.social/about/support/privacy-policy.

8.9 Mastodon — beheerder van de gekozen instantie

Mastodon is een gedecentraliseerd netwerk. Ontvanger van de gegevens is de beheerder van de instantie die de gebruiker bij het koppelen zelf kiest (voor mastodon.social: Mastodon gGmbH, Duitsland). De publicatie vindt plaats via de Mastodon-API met een OAuth-autorisatie van de betreffende instantie; vestigingsplaats en privacy-informatie volgen uit de gekozen instantie.

8.10 Tumblr, Inc. — Tumblr

Tumblr, Inc. (Automattic-groep), 60 29th Street #343, San Francisco, CA 94110, VS. Publicatie via de Tumblr-API. Tumblr is gevestigd in de VS; de doorgifte wordt gewaarborgd op basis van de standaardcontractbepalingen van de EU (SCC 2021/914). Details: tumblr.com/privacy/en_eu.

8.11 Telegram FZ-LLC — Telegram

Telegram FZ-LLC, Dubai, Verenigde Arabische Emiraten (EU-vertegenwoordiger voor gegevensbescherming: Telegram UK Holdings Ltd, Londen). De publicatie vindt plaats via de Telegram-bot-API in het door de gebruiker gekoppelde kanaal; verzonden worden de clip, de begeleidende tekst en de kanaal-ID. Telegram verwerkt gegevens buiten de EU; de doorgifte wordt gewaarborgd op basis van de standaardcontractbepalingen van de EU (SCC 2021/914). Details: telegram.org/privacy.

8.12 Twitch Interactive, Inc. — Twitch (bron)

Twitch Interactive, Inc. (een Amazon-bedrijf), 350 Bush Street, 2nd Floor, San Francisco, CA 94104, VS. CastLoop gebruikt de Twitch-API uitsluitend met leesrechten om uit het door jou gekoppelde Twitch-kanaal de video-on-demand-opnames (VOD’s) op te halen als bronmateriaal voor het maken van clips. De OAuth-autorisatie geeft ons uitsluitend leestoegang tot de identiteit van het kanaal; wij hebben geen schrijftoegang tot je Twitch-account. De opnames zelf worden via de openbare Twitch-infrastructuur geladen. Verzonden of opgeslagen worden: het OAuth-token (versleuteld, zie sectie 8 hierboven), kanaal-ID en -naam en metadata van de opnames (titel, lengte, publicatiedatum). Twitch Interactive, Inc. is gevestigd in de VS; de gegevensverwerking vindt ook daar plaats. De doorgifte wordt gewaarborgd op basis van de standaardcontractbepalingen van de EU (SCC 2021/914). Details: twitch.tv/p/de-de/legal/privacy-notice.

8.13 Vimeo.com, Inc. — Vimeo (doel)

Vimeo.com, Inc., 330 West 34th Street, 5th Floor, New York, NY 10001, VS. CastLoop uploadt de door jou goedgekeurde clips via de Vimeo-API naar het door jou gekoppelde Vimeo-account. De OAuth-autorisatie omvat de scopes public, private, upload en edit. Op het moment van uploaden worden het videobestand, de door jou opgegeven titel en beschrijving en je Vimeo-gebruikers-ID/profiellink verzonden; daarnaast halen wij weergaven, likes en reacties van de gepubliceerde video’s op om ze je in het dashboard als prestatiecijfers te tonen. Vimeo.com, Inc. is gevestigd in de VS; de gegevensverwerking vindt ook daar plaats. De doorgifte wordt gewaarborgd op basis van de standaardcontractbepalingen van de EU (SCC 2021/914). Details: vimeo.com/privacy.

8.14 Kick Streaming Pty Ltd — Kick (bron)

Kick Streaming Pty Ltd, 2/287 Collins Street, Melbourne VIC 3000, Australië. CastLoop gebruikt de Kick-API uitsluitend met leesrechten (machtigingen user:read en channel:read) om bij het koppelen de identiteit van je Kick-kanaal te controleren. Het daarbij verleende toegangstoken wordt direct na deze controle bij Kick ingetrokken en niet opgeslagen; wij hebben geen schrijftoegang tot je Kick-account. De opnames van je beëindigde streams (VOD’s) worden vervolgens via de openbare Kick-infrastructuur geladen; alleen opnames van het door jou gekoppelde kanaal worden verwerkt. Opgeslagen worden: kanaal-ID en -naam (slug) en metadata van de opnames (titel, lengte, publicatiedatum). Kick Streaming Pty Ltd is gevestigd in Australië; volgens eigen opgave verwerkt Kick gegevens ook in de VS. De doorgifte wordt gewaarborgd op basis van de standaardcontractbepalingen van de EU (SCC 2021/914). Details: kick.com/privacy-policy.

Rechtsgrond voor het posten: art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst). Het betreffende platform is zelfstandig verwerkingsverantwoordelijke voor de verwerking op zijn eigen systemen.

8.15 Pinterest Europe Ltd. — Pinterest (doel)

Pinterest Europe Limited, Palmerston House, 2nd Floor, Fenian Street, Dublin 2, Ierland. Als je een Pinterest-account koppelt, publiceert CastLoop de door jou goedgekeurde clips als video-pins via de Pinterest-API op een door jou gekozen bord. De OAuth-autorisatie omvat de machtigingen pins:read, pins:write, boards:read, boards:write en user_accounts:read. Verzonden worden het videobestand, titel, beschrijving en het gekozen bord; opgeslagen worden het OAuth-token (versleuteld, zie sectie 8 hierboven) en de ID en naam van je Pinterest-account. Pinterest Europe Ltd. kan gegevens doorgeven aan Pinterest, Inc. (VS); de doorgifte wordt gewaarborgd op basis van de standaardcontractbepalingen van de EU (SCC 2021/914). Rechtsgrond is art. 6 lid 1 sub b AVG. Details: policy.pinterest.com/privacy-policy.

8.16 Podcast-RSS-feeds — podcast (bron)

Koppel je een podcast via het adres van de RSS-feed, dan haalt onze server de openbare feed en de daarin gelinkte audio- of videobestanden op bij de betreffende podcasthost; de host ontvangt daarbij het IP-adres van onze server, niet het jouwe. Daarbij wordt geen toegangstoken gebruikt. Om ervoor te zorgen dat alleen je eigen programma’s worden verwerkt, vergelijken wij het in de feed opgegeven e-mailadres van de eigenaar met het e-mailadres van je account of controleren wij een verificatiecode die je in de beschrijving van het programma plaatst. Opgeslagen worden het feedadres, de titel van het programma en metadata van de afleveringen (titel, lengte, publicatiedatum). Rechtsgrond is art. 6 lid 1 sub b AVG.

9. AI-ondersteunde verwerking (transcriptie & clipanalyse)

Voor het automatisch maken van transcripten, het herkennen van spannende momenten en het genereren van hook-/titelvarianten gebruiken wij AI-ondersteunde methoden. Verzonden worden audio-/teksttranscripten en relevante metadata van de betreffende video. De verwerking vindt plaats binnen de EU of — voor zover verwerkers in een derde land zijn ingeschakeld — op basis van standaardcontractbepalingen van de EU (art. 46 AVG). De inhoud wordt uitsluitend verwerkt om de functie te leveren en niet gebruikt om AI-modellen te trainen.

Rechtsgrond: art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst).

10. Betalingsafhandeling

De betalingen worden afgehandeld via Mollie B.V. (Keizersgracht 126, 1015 CW Amsterdam, Nederland). Aan Mollie worden de voor de betalingsafhandeling noodzakelijke gegevens (bedrag, betaalmethode, e-mail, factuuradres) doorgegeven. Mollie is zelf verwerkingsverantwoordelijke in de zin van de AVG voor de verwerking van de betalingsgegevens. Meer informatie vind je in de privacyverklaring van Mollie.

Rechtsgrond: art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst), art. 6 lid 1 sub c AVG (wettelijke bewaarplichten volgens § 257 HGB, § 147 AO).

Facturen maken wij zelf op onze servers; daarvoor verwerken wij naam of bedrijf, factuuradres, eventueel je btw-id en de gegevens van de betreffende betaling. Geef je een btw-id op, dan controleren wij de geldigheid ervan via het btw-informatie-uitwisselingssysteem (VIES) van de Europese Commissie; daarbij worden alleen landcode en btw-id doorgegeven. Rechtsgrond is art. 6 lid 1 sub b en c AVG (uitvoering van de overeenkomst, btw-verplichtingen).

11. Verzending van e-mail

Voor het verzenden van transactionele e-mails (registratiebevestiging, wachtwoordreset, facturen, meldingen over clips) gebruiken wij de SMTP-relay van IONOS SE (zie sectie 4). Een aparte verzenddienstverlener buiten de EU wordt niet ingezet. De verzending gebeurt uitsluitend via met TLS versleutelde verbindingen (TLS 1.2 of hoger).

Heb je bij de registratie toestemming gegeven om productnieuws per e-mail te ontvangen (nieuwe functies, tips voor de start en herinneringen, bijvoorbeeld als je enkele dagen na de registratie nog geen video hebt aangemaakt), dan wordt de toestemming pas geldig met de klik op de bevestigingslink (double opt-in); het tijdstip slaan wij op als bewijs. Rechtsgrond is jouw toestemming (art. 6 lid 1 sub a AVG), die je op elk moment met werking voor de toekomst kunt intrekken, bijvoorbeeld via de uitschrijflink in elke e-mail of in de instellingen.

12. Cookies & vergelijkbare technologieën

Onze marketingwebsite castloop.de plaatst geen cookies en bindt geen analyse- of advertentiediensten in; zij slaat alleen je taalkeuze en eventueel je cookie-instellingen op in de lokale opslag van je browser. De applicatie app.castloop.de gebruikt uitsluitend technisch noodzakelijke cookies en items in de lokale opslag (met name een HttpOnly-cookie voor het refresh-token, een kortlevend cookie ter beveiliging van inlogacties en accountkoppelingen en je taal- en weergavekeuze). Toestemming is hiervoor volgens § 25 lid 2 nr. 2 TDDDG niet nodig. Meer details vind je in ons cookiebeleid.

13. Ontvangers van de gegevens / verwerkers

De volgende dienstverleners verwerken persoonsgegevens in opdracht of als zelfstandig verwerkingsverantwoordelijke (bij social-mediaplatforms en Mollie):

• IONOS SE (Montabaur, DE) — hostinginfrastructuur, SMTP-relay, back-ups via VM-snapshots
• Mollie B.V. (Amsterdam, NL) — betalingsverwerking & factuurafhandeling
• Google Ireland Ltd. (Dublin, IE) — YouTube Data API, inloggen met Google
• Microsoft Ireland Operations Ltd. (Dublin, IE) — authenticatie via Microsoft-account
• Apple Distribution International Ltd. (Cork, IE) — authenticatie via Apple-ID
• Meta Platforms Ireland Ltd. (Dublin, IE) — inloggen via Facebook en Instagram (Facebook-login, Instagram-login), publicaties op Instagram, Facebook en Threads
• TikTok Technology Ltd. (Dublin, IE) — publicaties op TikTok
• LinkedIn Ireland Unlimited Company (Dublin, IE) — publicaties op LinkedIn
• X Corp. (San Francisco, VS) — publicaties op X/Twitter (gegevensverwerking ook in de VS, gewaarborgd door SCC 2021/914)
• Bluesky Social, PBC (Seattle, VS) — publicaties op Bluesky (gegevensverwerking ook in de VS)
• Beheerder van de door de gebruiker gekozen Mastodon-instantie (gedecentraliseerd; voor mastodon.social: Mastodon gGmbH, DE) — publicaties op Mastodon
• Tumblr, Inc. (Automattic-groep, San Francisco, VS) — publicaties op Tumblr (gegevensverwerking ook in de VS)
• Telegram FZ-LLC (Dubai, VAE) — publicaties op Telegram (gegevensverwerking ook buiten de EU)
• Twitch Interactive, Inc. (San Francisco, VS) — leestoegang tot jouw Twitch-kanaal als bron (gegevensverwerking ook in de VS, gewaarborgd door SCC 2021/914)
• Kick Streaming Pty Ltd (Melbourne, Australië) — leestoegang tot jouw Kick-kanaal als bron (gegevensverwerking in Australië en de VS, gewaarborgd door SCC 2021/914)
• Vimeo.com, Inc. (New York, VS) — publicaties op Vimeo (gegevensverwerking ook in de VS, gewaarborgd door SCC 2021/914)
• Pinterest Europe Ltd. (Dublin, IE) — publicaties op Pinterest, als je een Pinterest-account koppelt
• Europese Commissie (Brussel, BE) — controle van het btw-id via het btw-informatie-uitwisselingssysteem (VIES), alleen als je een btw-id opgeeft

Met alle verwerkers sluiten wij volgens art. 28 AVG een verwerkersovereenkomst; zakelijke klanten kunnen zelf een verwerkersovereenkomst met ons sluiten (zie het model van de verwerkersovereenkomst).

14. Doorgifte aan derde landen

Waar mogelijk verwerken wij persoonsgegevens binnen de Europese Unie of de Europese Economische Ruimte. In de volgende gevallen is doorgifte aan derde landen (met name de VS) onvermijdelijk:

• X Corp. (VS) — bij het publiceren van clips op X
• Meta Platforms, Inc. (VS) — bij het inloggen via Facebook en bij het publiceren op Instagram, Facebook of Threads, voor zover Meta Ireland gegevens doorgeeft aan zijn Amerikaanse moederbedrijf
• TikTok Inc. / ByteDance Ltd. (VS / Singapore) — bij publicaties op TikTok, voor zover gegevens worden doorgegeven aan groepsmaatschappijen
• Apple Inc. (VS) — bij Sign in with Apple, voor zover Apple Distribution International Ltd. gegevens doorgeeft aan zijn Amerikaanse moederbedrijf
• Google LLC (VS) — voor zover Google Ireland Ltd. gegevens doorgeeft aan zijn Amerikaanse moederbedrijf
• Microsoft Corporation (VS) — voor zover Microsoft Ireland Operations Ltd. gegevens doorgeeft aan zijn Amerikaanse moederbedrijf
• Bluesky Social, PBC (VS) — bij het publiceren van clips op Bluesky
• Tumblr, Inc. / Automattic Inc. (VS) — bij publicaties op Tumblr
• Telegram FZ-LLC (Dubai, VAE) — bij publicaties op Telegram
• Twitch Interactive, Inc. (VS) — bij de leestoegang tot het gekoppelde Twitch-kanaal als bron
• Kick Streaming Pty Ltd (Australië) — bij de leestoegang tot het gekoppelde Kick-kanaal als bron
• Vimeo.com, Inc. (VS) — bij publicaties op Vimeo
• Beheerder van de gekozen Mastodon-instantie — alleen als de gebruiker een instantie koppelt die buiten de EU wordt beheerd
• Pinterest, Inc. (VS) — bij publicaties op Pinterest, voor zover Pinterest Europe Ltd. gegevens doorgeeft aan zijn Amerikaanse moederbedrijf

Deze doorgiften aan derde landen worden gewaarborgd op basis van de standaardcontractbepalingen van de EU (SCC) overeenkomstig uitvoeringsbesluit (EU) 2021/914 van de Europese Commissie. Google, Microsoft, Meta en Apple zijn bovendien onder het EU-US Data Privacy Framework (DPF) gecertificeerd en bieden bijbehorende toezeggingen voor doorgifte. Indien nodig stellen wij je op verzoek kopieën van de gesloten SCC ter beschikking.

Rechtsgrond: art. 46 lid 2 sub c AVG.

15. Bewaartermijnen

Wij verwerken en bewaren persoonsgegevens alleen zolang dat nodig is om het doel van de verwerking te bereiken of wettelijke bewaarplichten bestaan (met name § 257 HGB: 10 jaar voor boekingsstukken / facturen, § 147 AO: 6 resp. 10 jaar voor fiscaal relevante documenten).

Concreet geldt met name: serverlogbestanden worden uiterlijk na 14 dagen verwijderd of geanonimiseerd (sectie 4). Na het verwijderen van een account is het account direct geblokkeerd; de gegevens worden uiterlijk na 30 dagen uit de productiedatabase verwijderd. In onze versleutelde back-ups (dagelijkse back-ups worden 14 dagen, wekelijkse 8 weken en maandelijkse 12 maanden bewaard) kunnen verwijderde gegevens daarna nog voorkomen, totdat de betreffende back-up volgens de cyclus wordt verwijderd, uiterlijk 13 maanden na de verwijdering uit de productiedatabase. Back-ups worden alleen gebruikt voor herstel na een storing. Details vind je op de pagina Gegevensverwijdering.

Opzeggingen die via de opzegknop binnenkomen (sectie 19), bewaren wij als ontvangen handelsbrieven zes jaar (§ 257 lid 1 nr. 2, lid 4 en 5 HGB; § 147 lid 1 nr. 2, lid 3 en 4 AO). De termijn begint aan het einde van het kalenderjaar waarin de opgezegde overeenkomst eindigt; kunnen wij een verklaring niet aan een overeenkomst toewijzen, dan aan het einde van het kalenderjaar waarin zij is ontvangen. Daarna verwijderen wij de verklaring automatisch. De hashwaarde van het IP-adres verwijderen wij al na 30 dagen.

16. Jouw rechten

Op grond van de AVG heb je de volgende rechten:

• Recht op inzage (art. 15 AVG)
• Recht op rectificatie (art. 16 AVG)
• Recht op verwijdering (art. 17 AVG)
• Recht op beperking van de verwerking (art. 18 AVG)
• Recht op gegevensoverdraagbaarheid (art. 20 AVG)
• Recht van bezwaar (art. 21 AVG)
• Intrekking van gegeven toestemmingen met werking voor de toekomst (art. 7 lid 3 AVG)
• Recht om een klacht in te dienen bij een toezichthoudende autoriteit (art. 77 AVG)

Self-service in het dashboard: Je kunt je gegevens op elk moment zelf beheren via het dashboard:

• Data-export (art. 15 AVG) — onder Instellingen → Alle gegevens exporteren kun je een machineleesbare kopie van je persoonsgegevens (JSON) downloaden.
• Account verwijderen (art. 17 AVG) — onder Instellingen → Account verwijderen kun je je account definitief verwijderen. Het account wordt direct geblokkeerd en uiterlijk na 30 dagen uit de productiedatabase verwijderd; uit de back-ups verdwijnen de gegevens zodra die volgens de cyclus worden verwijderd (zie sectie 15).

Als alternatief volstaat een vormvrij bericht aan info@castloop.de.

Recht van bezwaar volgens art. 21 AVG. Voor zover wij je gegevens verwerken op grond van gerechtvaardigde belangen (art. 6 lid 1 sub f AVG, bijvoorbeeld voor beveiliging en misbruikpreventie, het meten van het resultaat van onze advertenties of op de openbare controlepagina), kun je op elk moment bezwaar maken tegen deze verwerking om redenen die verband houden met jouw bijzondere situatie. Wij verwerken de gegevens dan niet meer, tenzij wij dwingende gerechtvaardigde gronden kunnen aantonen die zwaarder wegen dan jouw belangen, of de verwerking dient voor de instelling, uitoefening of onderbouwing van een rechtsvordering. Een vormvrij bezwaar aan info@castloop.de volstaat.

17. Bevoegde toezichthoudende autoriteit

De voor ons bevoegde toezichthoudende autoriteit voor gegevensbescherming is de Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, baden-wuerttemberg.datenschutz.de. Een volledige lijst van de deelstaatautoriteiten voor gegevensbescherming vind je bij de Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI).

18. Openbare controlepagina voor de AI-markering

Op de pagina castloop.de/ki-pruefung kun je zonder account en zonder in te loggen een videobestand uploaden en laten controleren of het een door CastLoop aangebrachte, ondertekende markering voor AI-gegenereerde inhoud (C2PA) bevat. De controle staat voor iedereen open, omdat art. 50 lid 2 van Verordening (EU) 2024/1689 vereist dat de markering controleerbaar is.

Het geüploade bestand (maximaal 50 MB) wordt uitsluitend voor deze controle verwerkt. Het wordt onder een willekeurig toegekende naam tijdelijk in het werkgeheugen en in een tijdelijke map op onze server geplaatst, op de markering gecontroleerd en direct na de controle verwijderd, ook als de controle mislukt. De oorspronkelijke bestandsnaam wordt niet overgenomen. Het bestand wordt niet permanent opgeslagen, niet inhoudelijk geanalyseerd, niet aan derden doorgegeven en niet gebruikt om AI-modellen te trainen.

Het resultaat ontvang je in je browser. In het toepassingslogboek van onze interface blijft van een controle alleen het resultaat in samengevatte vorm (markering gevonden, niet gevonden of niet controleerbaar) staan, evenals methode, pad, antwoordstatus en duur van het verzoek, maar geen bestandsinhoud, geen bestandsnaam en geen IP-adres. Zoals bij elke toegang tot onze servers komt je IP-adres terecht in de serverlogbestanden (zie sectie 4). Om misbruik te voorkomen tellen wij bovendien het aantal controles per IP-adres (bij IPv6 per netwerkprefix) in een tussenopslag; deze teller verloopt automatisch als er 15 minuten lang geen nieuwe controle plaatsvindt.

Rechtsgrond is art. 6 lid 1 sub f AVG. Ons gerechtvaardigd belang is om de wettelijk vereiste controleerbaarheid van de markering voor iedereen toegankelijk te maken en de controlepagina te beschermen tegen misbruik en overbelasting. Gebruik je de controle als klant in het kader van je overeenkomst met ons, dan is art. 6 lid 1 sub b AVG de rechtsgrond. Het uploaden van het bestand is vrijwillig; zonder bestand kan de controle niet worden uitgevoerd. Je hebt het recht om bezwaar te maken tegen de verwerking volgens art. 21 AVG (zie sectie 16).

19. Opzegging via de opzegknop

Via de knop “Contracten hier opzeggen” op de pagina castloop.de/kuendigen kun je je overeenkomst zonder in te loggen opzeggen (§ 312k BGB). Daarbij verwerken wij de gegevens uit het formulier: je naam, het e-mailadres van je CastLoop-account, de aard van de opzegging en bij een buitengewone opzegging de reden, de overeenkomst of het plan, het gewenste tijdstip en, indien opgegeven, je workspace of klantnummer. Daar komen datum en tijd van ontvangst en de taal van de pagina bij.

Wij verwerken deze gegevens om de opzegging aan je overeenkomst toe te wijzen, uit te voeren en de ontvangst direct per e-mail aan je te bevestigen. Daarvoor vergelijken wij het e-mailadres met onze klantaccounts. Loopt je abonnement via Mollie, dan melden wij de beëindiging aan Mollie (zie sectie 10); de bevestiging versturen wij zoals beschreven in sectie 11. Kan de opzegging niet automatisch worden toegewezen, dan controleren wij die handmatig. Ter bescherming tegen misbruik bevat de bevestiging een link waarmee de accounteigenaar de uitvoering goedkeurt; pas daarna of na een controle van je identiteit zeggen wij het abonnement op. Het tijdstip waarop de opzegging ingaat, verandert daardoor niet.

Rechtsgrond is art. 6 lid 1 sub b AVG (uitvoering en beëindiging van de overeenkomst) en art. 6 lid 1 sub c AVG in samenhang met § 312k BGB (wettelijke plicht om de opzegknop beschikbaar te houden en de ontvangst te bevestigen).

Ter voorkoming van misbruik slaan wij bij elke verklaring een met een geheime waarde gevormde hashwaarde van je IP-adres op, niet het IP-adres zelf, en verwijderen wij die na 30 dagen. Bovendien tellen wij de verzendingen per IP-adres in een tussenopslag die na een uur verloopt. Rechtsgrond daarvoor is art. 6 lid 1 sub f AVG; ons gerechtvaardigd belang is de bescherming van de pagina en van andermans postvakken tegen massale verzendingen.

De verklaring bewaren wij als ontvangen handelsbrief zes jaar, gerekend vanaf het einde van het kalenderjaar waarin de opgezegde overeenkomst eindigt (§ 257 lid 1 nr. 2, lid 4 en 5 HGB; § 147 lid 1 nr. 2, lid 3 en 4 AO; zie sectie 15). Kunnen wij haar niet aan een overeenkomst toewijzen, dan begint de termijn aan het einde van het kalenderjaar waarin zij is ontvangen. Daarna verwijderen wij haar automatisch. Rechtsgrond voor de bewaring is art. 6 lid 1 sub c AVG. Het verstrekken van de gegevens is vrijwillig; zonder naam en e-mailadres kunnen wij de opzegging echter niet toewijzen en niet bevestigen. Je kunt ook vormvrij per e-mail aan info@castloop.de opzeggen.

20. Actualiteit

Deze privacyverklaring wordt voortdurend aangepast aan juridische en technische ontwikkelingen.

Bijgewerkt: 27 oktober 2026 · Versie 2.2 (inhoud van het productnieuws in sectie 11 verduidelijkt)