Privacyverklaring

Versie 5.0. Ingangsdatum: 1 oktober 2026

Epassi Nederland B.V. en Epassi NL Platform Transactions B.V., samen “Epassi” of “wij”, respecteren jouw privacy en willen de persoonsgegevens van de mensen die gebruikmaken van de diensten van Epassi goed beschermen. Deze privacyverklaring beschrijft hoe Epassi persoonsgegevens verwerkt: welke soorten persoonsgegevens we verzamelen, voor welke doeleinden we ze gebruiken en aan wie we ze kunnen verstrekken.

Deze privacyverklaring geldt voor de gegevens die we nodig hebben voor ons platform, onze website, onze zakelijke contacten en sollicitaties.

Persoonsgegevens zijn alle gegevens over een natuurlijke persoon (“betrokkene”) waarmee die persoon direct of indirect kan worden geïdentificeerd. Begrippen als persoonsgegevens, betrokkene en verwerkingsverantwoordelijke zijn gedefinieerd in de Algemene Verordening Gegevensbescherming ((EU) 2016/679, “AVG”), die van toepassing is op alle verwerkingen van persoonsgegevens door Epassi. Epassi houdt zich bij alle verwerkingen van persoonsgegevens aan de AVG en andere toepasselijke nationale privacywetgeving (“privacywetgeving”).

Onze diensten kunnen ook links bevatten naar externe websites en diensten waarop deze privacyverklaring niet van toepassing is. Die websites of diensten worden beheerd door andere organisaties waarover Epassi geen controle heeft. Epassi is daarom niet verantwoordelijk voor hun verwerking van persoonsgegevens. We raden je aan de privacyverklaringen van die websites of diensten te lezen.

Het Epassi-platform

Epassi biedt onder meer een platform waarop je, na het aanmaken van een persoonlijk account, kortingen en aanbiedingen van partners kunt bekijken en aanschaffen. Deze aanbiedingen komen van partners; wij faciliteren het platform en het aankoopproces. We bieden via het platform ook zelf producten en diensten aan, zoals vouchers. Voor het aanbieden, beheren en beveiligen van het platform voor deze doeleinden zijn wij verwerkingsverantwoordelijke.

Voor bedrijfsfitness via MijnEpassi geldt een aparte privacyverklaring. Je vindt die op www.mijn.epassi.nl/privacy.

Wanneer geldt deze privacyverklaring niet?

Deze privacyverklaring geldt niet voor de persoonsgegevens die we verwerken via het platform waarmee werknemers hun arbeidsvoorwaarden kunnen flexibiliseren. Die gegevens verwerken we als verwerker in opdracht van jouw werkgever. Jouw werkgever is de verwerkingsverantwoordelijke en de privacyverklaring van jouw werkgever is van toepassing.

Heb je een vraag of verzoek over die gegevens? Neem dan contact op met je werkgever. Ontvangen wij zo’n verzoek, dan sturen we het door aan je werkgever.

2. Verwerkingsverantwoordelijken

Epassi Nederland B.V., Omval 300, 1096 HP Amsterdam, Nederland, ingeschreven bij de Kamer van Koophandel onder nummer 01121539.

Epassi NL Platform Transactions B.V., Omval 300, 1096 HP Amsterdam, Nederland, ingeschreven bij de Kamer van Koophandel onder nummer 88734692.

3. Doeleinden, soorten gegevens, grondslagen en bewaartermijnen

Epassi verwerkt alleen persoonsgegevens die relevant en noodzakelijk zijn voor de doeleinden in deze privacyverklaring. Persoonsgegevens worden gescheiden van andere systemen van Epassi verwerkt en niet gecombineerd met andere verwerkingsdoeleinden. Hieronder vind je een tabel met de door Epassi vastgestelde verwerkingsdoeleinden, de betreffende categorieën persoonsgegevens, een beschrijving van de verwerking en de bewaartermijnen, en de toepasselijke grondslag onder de AVG.

Doel	Gegevens	Grondslag	Verantwoordelijke	Bewaartermijn
Beantwoorden van vragen en opvolgen van contact (contactformulier, demo-aanvraag, evenement)	Contactgegevens (naam, e-mailadres, telefoonnummer), inhoud van je bericht	Gerechtvaardigd belang: het beantwoorden van je vraag en het onderhouden van zakelijke contacten	Epassi Nederland B.V.	Tot 1 jaar na het laatste contact
Versturen van onze nieuwsbrief	Naam, e-mailadres	Toestemming	Epassi Nederland B.V.	Tot je je afmeldt
Aanbieden en beheren van het kortingsplatform, waaronder het aanmaken en beheren van accounts en het tonen van aanbiedingen	Accountgegevens (naam, inloggegevens)	Uitvoering van de overeenkomst (de gebruiksvoorwaarden van het platform)	Epassi Nederland B.V.	7 jaar om te voldoen aan onze administratieplicht
Faciliteren van aankopen bij partners en leveren van benefits die we zelf aanbieden, zoals vouchers	Naam, e-mailadres, (optioneel) betaalgegevens, aankoopgegevens	Uitvoering van de overeenkomst; voor de bewaartermijn: wettelijke verplichting (fiscale bewaarplicht)	Epassi NL Platform Transactions B.V.	7 jaar om te voldoen aan onze administratieplicht
Werving en selectie	Sollicitatiegegevens (cv, motivatiebrief, opleiding, werkervaring)	Gerechtvaardigd belang: het beoordelen van je sollicitatie. Langer bewaren: toestemming	Epassi Nederland B.V.	Tot 4 weken na afloop van de procedure, of langer als je daarvoor toestemming geeft (bijvoorbeeld voor toekomstige vacatures)
Beveiliging en goede werking van onze website, app en platform	Technische log- en beveiligingsgegevens (IP-adres, loggegevens)	Gerechtvaardigd belang: het beveiligen van onze systemen en het voorkomen van misbruik	Epassi Nederland B.V.	Tot 6 maanden, tenzij een langere bewaartermijn nodig is voor beveiliging of incidentonderzoek

 

4. Waar komen je gegevens vandaan?

Persoonsgegevens verzamelen we in de eerste plaats rechtstreeks bij de betrokkenen, bijvoorbeeld bij registratie voor onze diensten, tijdens het gebruik ervan of gedurende de klantrelatie.

5. Verstrekking, doorgifte en ontvangers van persoonsgegevens

Verwerkers

We maken gebruik van dienstverleners die gegevens in onze opdracht verwerken, zoals:

• een hostingprovider: Amazon Web Services (AWS), voor het hosten en opslaan van ons platform, onze website en de daarin opgeslagen gegevens. De servers staan in de EU;
• een aanbieder van e-mailcommunicatie, voor het versturen van onze nieuwsbrief en service- en accountmails (naam, e-mailadres);
• een CRM-platform, voor het vastleggen en opvolgen van zakelijke contacten, demo-aanvragen en berichten via ons contactformulier (contactgegevens, inhoud van je bericht);
• een betaaldienstverlener, voor het verwerken van betalingen via ons platform (naam, betaalgegevens, aankoopgegevens);
• een aanbieder van ons recruitmentsysteem, voor het beheren van sollicitaties (sollicitatiegegevens).
• Inzage. Je kunt ons vragen welke persoonsgegevens we van je verwerken en daar een kopie van ontvangen, samen met informatie over onder meer het doel, de ontvangers en de bewaartermijn.
• Rectificatie. Zijn je gegevens onjuist of onvolledig, dan kun je ons vragen ze te corrigeren of aan te vullen.
• Verwijdering. In bepaalde gevallen kun je ons vragen je gegevens te verwijderen, bijvoorbeeld als we ze niet meer nodig hebben voor het doel waarvoor we ze hebben verzameld, of als je je toestemming intrekt. Soms mogen of moeten we gegevens toch bewaren, bijvoorbeeld vanwege een wettelijke bewaartermijn. In dat geval leggen we uit waarom we niet (volledig) aan je verzoek kunnen voldoen.
• Beperking. In bepaalde gevallen kun je ons vragen de verwerking van je gegevens tijdelijk te beperken, bijvoorbeeld terwijl we een verzoek om rectificatie of een bezwaar beoordelen. We bewaren de gegevens dan wel, maar gebruiken ze niet verder.
• Overdraagbaarheid. Gegevens die je zelf aan ons hebt verstrekt en die we verwerken op basis van je toestemming of de overeenkomst met jou, kunnen we aan je verstrekken in een gangbaar, machineleesbaar formaat. Waar technisch mogelijk sturen we ze op jouw verzoek rechtstreeks door aan een andere partij.
• Bezwaar. Verwerken we je gegevens op basis van een gerechtvaardigd belang, dan kun je daartegen bezwaar maken vanwege je specifieke situatie. We stoppen dan met de verwerking, tenzij we dwingende gerechtvaardigde gronden hebben die zwaarder wegen dan jouw belangen, of de gegevens nodig zijn voor juridische procedures. Tegen het gebruik van je gegevens voor direct marketing kun je altijd bezwaar maken. Dan stoppen we daar direct mee.
• Toestemming intrekken. Heb je ons toestemming gegeven, bijvoorbeeld voor de nieuwsbrief, dan kun je die op elk moment intrekken, via de afmeldlink in de nieuwsbrief of door ons te mailen. Intrekking heeft geen gevolgen voor verwerkingen die al hebben plaatsgevonden.
• Geen uitsluitend geautomatiseerde besluiten. Je hebt het recht om niet onderworpen te worden aan besluiten die uitsluitend op geautomatiseerde verwerking zijn gebaseerd en die je in aanmerkelijke mate treffen. Zoals hierboven beschreven, nemen wij dergelijke besluiten niet.
• a hosting provider: Amazon Web Services (AWS), for hosting and storing our platform, our website and the data stored in them. The servers are located in the EU;
• a provider for email communication, for sending our newsletter and service and account emails (name, email address);
• a CRM platform, for recording and following up on business contacts, demo requests and messages sent through our contact form (contact details, content of your message);
• a payment service provider, for processing payments made through our platform (name, payment information, purchase data);
• a provider of our recruitment system, for managing job applications (application data).
• Access. You can ask us which personal data we process about you and receive a copy, together with information about, among other things, the purpose, the recipients and the retention period.
• Rectification. If your data is inaccurate or incomplete, you can ask us to correct or complete it.
• Erasure. In certain cases you can ask us to delete your data, for example if we no longer need it for the purpose for which we collected it, or if you withdraw your consent. Sometimes we may or must keep data anyway, for example because of a statutory retention period. In that case we will explain why we cannot (fully) comply with your request.
• Restriction. In certain cases you can ask us to temporarily restrict the processing of your data, for example while we assess a request for rectification or an objection. We will then keep the data but not use it further.
• Data portability. Data you have provided to us yourself and that we process on the basis of your consent or the contract with you can be provided to you in a commonly used, machine-readable format. Where technically feasible, we will transmit it directly to another party at your request.
• Objection. Where we process your data on the basis of a legitimate interest, you can object to that processing on grounds relating to your particular situation. We will then stop the processing, unless we have compelling legitimate grounds that override your interests, or the data is needed for legal claims. You can always object to the use of your data for direct marketing. We will then stop immediately.
• Withdrawing consent. If you have given us consent, for example for the newsletter, you can withdraw it at any time, via the unsubscribe link in the newsletter or by emailing us. Withdrawal does not affect processing that has already taken place.
• No solely automated decisions. You have the right not to be subject to decisions based solely on automated processing that significantly affect you. As described above, we do not make such decisions.

Een actueel overzicht van de verwerkers die we inzetten vind je op www.epassi.nl/legal/subprocessors.

Deze verwerkers mogen je gegevens alleen gebruiken voor het doel waarvoor wij ze inschakelen en alleen op onze instructie. Dat leggen we vast in een verwerkersovereenkomst, waarin ook beveiliging en geheimhouding zijn geregeld.

Partners

Koop je via het kortingsplatform een aanbieding van een partner, dan delen we met die partner de gegevens die nodig zijn om de aanbieding aan je te leveren zoals je naam, je e-mailadres en de gekozen aanbieding. Voor sommige aanbiedingen heeft de partner aanvullende gegevens nodig, zoals een bezorgadres. Die gegevens geef je dan rechtstreeks aan de partner. De partner is zelfstandig verwerkingsverantwoordelijke voor de verdere verwerking van je gegevens en heeft een eigen privacyverklaring. We verkopen je gegevens niet.

Autoriteiten

Als we daartoe wettelijk verplicht zijn, verstrekken we gegevens aan toezichthouders of andere overheidsinstanties. Voorbeelden zijn de Belastingdienst, de Autoriteit Persoonsgegevens, of politie en justitie op grond van een wettelijk bevel. In die gevallen verstrekken we niet meer gegevens dan waartoe we verplicht zijn.

Groepsmaatschappijen

Epassi Nederland B.V. en Epassi NL Platform Transactions B.V. maken deel uit van Epassi Group (Epassi Group Oy, Helsinki, Finland). Binnen de groep delen we gegevens alleen voor zover dat nodig is voor gedeelde IT-, beveiligings- en supportdiensten en voor interne rapportage. De grondslag is ons gerechtvaardigd belang om onze onderneming efficiënt en veilig te voeren. Alle groepsmaatschappijen met toegang tot je gegevens zijn gevestigd in de EU.

Overige ontvangers

Waar nodig delen we gegevens met onze professionele adviseurs, zoals onze accountant, auditor, juridisch adviseurs of verzekeraar. Zij zijn gebonden aan geheimhouding. Bij een fusie, overname of reorganisatie kunnen gegevens onder geheimhouding worden gedeeld met de betrokken partijen en hun adviseurs. Je gegevens blijven onder deze privacyverklaring vallen, tenzij we je anders informeren.

6. Doorgifte buiten de EU/EER

We verwerken je gegevens hoofdzakelijk binnen de EER. De AWS-servers waarop je gegevens zijn opgeslagen, staan in de EU.

Sommige derden en hun diensten die Epassi gebruikt voor de verwerking van persoonsgegevens kunnen buiten de Europese Unie (EU) of de Europese Economische Ruimte (EER) actief zijn, waardoor persoonsgegevens buiten deze regio’s kunnen worden doorgegeven. Worden persoonsgegevens buiten de EU/EER doorgegeven, dan gelden daarvoor de volgende wettelijke waarborgen:

• De doorgifte vindt plaats naar een land waarvoor de Europese Commissie een adequaatheidsbesluit heeft genomen over het minimale niveau van gegevensbescherming;

• De doorgifte vindt plaats op basis van de standaardcontractbepalingen van de Europese Commissie of andere passende waarborgen die door een bevoegde toezichthouder zijn goedgekeurd.

Bij doorgifte van gegevens naar derde landen treft Epassi passende waarborgen, waar nodig met aanvullende beschermende maatregelen, of andere door de Europese Commissie of een bevoegde toezichthouder goedgekeurde methoden om de gegevensbescherming in overeenstemming met de AVG te waarborgen. Je kunt een kopie van deze waarborgen opvragen via privacy@epassi.nl.

7. Beveiligingsmaatregelen

We nemen passende technische en organisatorische maatregelen om je gegevens te beschermen tegen onbevoegde toegang, verlies of wijziging. Epassi is ISO 27001-gecertificeerd. Dat betekent dat we werken volgens internationaal erkende normen voor informatiebeveiliging.

8. Gebruik van cookies en vergelijkbare technieken

We gebruiken cookies en vergelijkbare technieken op onze website en in onze app. Hoe en waarom lees je in onze Cookiebot-widget.

9. Rechten van betrokkenen

Je hebt de volgende rechten:

Hoe werkt het?

Mail je verzoek naar privacy@epassi.nl. We reageren binnen één maand. Bij complexe of veel verzoeken kunnen we deze termijn met twee maanden verlengen; als dat zo is, laten we dat binnen de eerste maand weten. We kunnen je vragen je identiteit te bevestigen, zodat we je gegevens niet aan de verkeerde persoon geven.

Het uitoefenen van je rechten is gratis. Alleen als een verzoek kennelijk ongegrond of buitensporig is, bijvoorbeeld omdat je steeds hetzelfde verzoek herhaalt, kunnen we een redelijke vergoeding vragen of het verzoek weigeren. Gaat je verzoek over gegevens die we als verwerker in opdracht van je werkgever verwerken, dan sturen we het door aan je werkgever en laten we je dat weten.

Een klacht?

Niet tevreden over hoe we met je gegevens omgaan? Laat het ons weten. Je kunt ook altijd een klacht indienen bij de Autoriteit Persoonsgegevens. Die vind je op www.autoriteitpersoonsgegevens.nl. Woon of werk je in een ander EU-land, dan kun je ook contact opnemen met de toezichthouder daar.

10. Wijzigingen

We kunnen deze privacyverklaring aanpassen, bijvoorbeeld als de wet verandert of als we onze werkwijze wijzigen. We plaatsen de nieuwe versie met een nieuwe datum op onze website. Kijk daarom af en toe terug.

Versie 5.0. Ingangsdatum: 1 oktober 2026. Deze versie vervangt de Alleo Privacyverklaring versie 4.0 van 1 maart 2026.

 

 

Privacy Policy

Version 5.0. Effective date: 1 October 2026

Epassi Nederland B.V. and Epassi NL Platform Transactions B.V., together “Epassi” or “we”, respect your privacy and aim to maintain the protection of personal data of individuals using Epassi’s services. This Privacy Policy describes how Epassi processes personal data, including what types of personal data are collected, the purposes for which personal data is used, and to whom personal data may be disclosed.

This Privacy Policy applies to the data we need for our platform, our website, our business contacts and job applications.

Personal data refers to any information relating to a natural person (“data subject”) that can identify the person directly or indirectly. Terms such as personal data, data subject, and controller are defined in the General Data Protection Regulation ((EU) 2016/679, “GDPR”), which applies to all processing of personal data by Epassi. Epassi complies with the GDPR and other applicable national data protection laws (“data protection legislation”) in all personal data processing.

Our services may also include links to external websites and services to which this Privacy Policy does not apply. These websites or services are operated by other organizations that Epassi does not control and therefore Epassi is not responsible for their processing of personal data. For this reason, we encourage you to review the applicable privacy policies of those websites or services.

The Epassi platform

Epassi offers, among other things, a platform where you can view and purchase discounts and offers from partners after creating a personal account. These offers come from partners; we facilitate the platform and the purchase process. We also offer products and services directly through the platform, such as vouchers. We are the controller for providing, managing and securing the platform for these purposes.

A separate privacy policy applies to corporate fitness through MijnEpassi. You can find it at www.mijn.epassi.nl/privacy.

When does this privacy policy not apply?

This privacy policy does not apply to the personal data we process through the platform that lets employees flexibilise their employment benefits. We process that data as a processor on behalf of your employer. Your employer is the controller and your employer’s privacy policy applies.

Do you have a question or request about that data? Please contact your employer. If we receive such a request, we forward it to your employer.

2. Controllers

Epassi Nederland B.V., Omval 300, 1096 HP Amsterdam, the Netherlands, registered with the Dutch Chamber of Commerce under number 01121539.

Epassi NL Platform Transactions B.V., Omval 300, 1096 HP Amsterdam, the Netherlands, registered with the Dutch Chamber of Commerce under number 88734692.

3. Purposes, Type of Data, Legal Bases and Retention Times for Processing

Epassi processes only personal data that is relevant and necessary to fulfill the purposes defined in this Privacy Policy. Personal data is processed separately from other Epassi systems and is not combined with other processing purposes. Below, you will find tables listing the purposes of processing identified by Epassi, the categories of personal data involved, a description of the processing and retention periods, and the applicable legal basis under the GDPR.

Purpose	Data	Legal basis	Controller	Retention period
Answering questions and following up on contact (contact form, demo request, event)	Contact details (name, email address, phone number), content of your message	Legitimate interest: responding to your question and maintaining business contacts	Epassi Nederland B.V.	Up to 1 year after the last contact
Sending our newsletter	Name, email address	Consent	Epassi Nederland B.V.	Until you unsubscribe
Providing and managing the discount platform, including creating and managing accounts and showing offers	Account data (name, login credentials)	Performance of the contract (the platform terms of use)	Epassi Nederland B.V.	7 years to meet our record-keeping obligations
Facilitating purchases from partners and delivering benefits we offer directly, such as vouchers	Name, email address, (optionally) payment information, purchase data	Performance of the contract; for the retention period: legal obligation (tax record-keeping)	Epassi NL Platform Transactions B.V.	7 years to meet our record-keeping obligations
Recruitment and selection	Application data (CV, cover letter, education, work experience)	Legitimate interest: assessing your application. Longer retention: consent	Epassi Nederland B.V.	Up to 4 weeks after the end of the procedure, or longer if you give your consent (for example for future vacancies)
Security and proper functioning of our website, app and platform	Technical log and security data (IP address, log data)	Legitimate interest: securing our systems and preventing misuse	Epassi Nederland B.V.	Up to 6 months, unless a longer retention period is necessary for security or incident investigation

 

4. Where does your data come from?

Personal data is primarily collected directly from data subjects, for example, during registration for our services, while using them, or during the customer relationship.

5. Disclosure, Transfer, and Recipients of Personal Data

Processors

We use service providers that process data on our behalf, such as:

An up-to-date overview of the processors we use is available at www.epassi.nl/legal/subprocessors.

These processors may only use your data for the purpose for which we engage them and only on our instructions. We set this out in a data processing agreement, which also covers security and confidentiality.

Partners

If you purchase a partner’s offer through the discount platform, we share with that partner the data needed to deliver the offer to you: such as your name, your email address and the offer you selected. For some offers, the partner needs additional data, such as a delivery address. You then provide that data directly to the partner. The partner is an independent controller for any further processing of your data and has its own privacy policy. We do not sell your data.

Authorities

Where we are legally required to, we provide data to supervisory authorities or other public authorities. Examples are the Dutch Tax Administration, the Dutch Data Protection Authority, or the police and judicial authorities on the basis of a legal order. In such cases we do not provide more data than we are required to.

Group companies

Epassi Nederland B.V. and Epassi NL Platform Transactions B.V. are part of Epassi Group (Epassi Group Oy, Helsinki, Finland). Within the group, we share data only to the extent necessary for shared IT, security and support services and for internal reporting. The legal basis is our legitimate interest in running our business efficiently and securely. All group companies with access to your data are established in the EU.

Other recipients

Where necessary, we share data with our professional advisers, such as our accountant, auditor, legal advisers or insurer. They are bound by confidentiality. In the event of a merger, acquisition or reorganisation, data may be shared under confidentiality with the parties involved and their advisers. Your data will remain subject to this privacy policy unless we inform you otherwise.

6. Transfers Outside the EU/EEA

We process your data primarily within the EEA. The AWS servers that store your data are located in the EU.

Some third parties and their services used by Epassi for personal data processing may operate outside the European Union (EU) or European Economic Area (EEA), meaning personal data may be transferred outside these regions. If personal data is transferred outside the EU/EEA, such transfers are subject to the following legal safeguards:

• Transfers are made to a country for which the European Commission has issued an adequacy decision regarding minimum data protection standards;

• Transfers are carried out using the European Commission’s standard contractual clauses or other appropriate safeguards approved by a competent data protection authority.

When transferring data to third countries, Epassi implements appropriate safeguards, including additional protective measures where necessary, or other methods approved by the European Commission or competent data protection authority to maintain data protection in accordance with the GDPR. You can request a copy of these safeguards at privacy@epassi.nl.

7. Security Measures

We take appropriate technical and organisational measures to protect your data against unauthorised access, loss or alteration. Epassi holds an ISO 27001 certification, which means we operate in accordance with internationally recognised standards for information security.

 

8. Use of Cookies and Similar Technologies

We use cookies and similar technologies on our website and in our app. Read how and why under our Cookiebot widget.

9. Data subject’s rights

You have the following rights:

How does it work?

Email your request to privacy@epassi.nl. We respond within one month. For complex or numerous requests we may extend this by two months; if so, we will tell you within the first month. We may ask you to confirm your identity, so we don’t give your data to the wrong person.

Exercising your rights is free of charge. Only if a request is manifestly unfounded or excessive, for example because you keep repeating the same request, may we charge a reasonable fee or refuse the request. If your request concerns data we process as a processor on behalf of your employer, we will forward it to your employer and let you know.

A complaint?

Not happy with how we handle your data? Let us know. You can also file a complaint with the Dutch Data Protection Authority (Autoriteit Persoonsgegevens) at any time. You can find the Autoriteit Persoonsgegevens at www.autoriteitpersoonsgegevens.nl. If you live or work in another EU country, you can also contact the supervisory authority there.

10. Changes

We may update this privacy policy, for example when the law changes or when we change the way we work. We will post the new version on our website with a new date. So check back from time to time.

Version 5.0. Effective date: 1 October 2026. This version replaces the Alleo Privacy Policy version 4.0 of 1 March 2026.