Privacyverklaring

Privacyverklaring van Pluxee Belgium NV

Uw privacy is erg belangrijk voor ons. We hebben deze privacyverklaring opgesteld zodat u begrijpt hoe wij uw persoonsgegevens verzamelen, gebruiken en verwerken (de “Verklaring”). Deze Verklaring beschrijft in duidelijke en begrijpelijke taal waarom en op welke rechtsgrondslag wij uw persoonsgegevens verwerken, met wie wij deze delen, hoe lang wij deze bewaren, welke rechten u heeft, welke maatregelen wij nemen om uw persoonsgegevens te beschermen en hoe u contact met ons kunt opnemen met vragen of verzoeken over uw persoonsgegevens.

1. WIE IS VERANTWOORDELIJK VOOR UW PERSOONSGEGEVENS?

De verwerkingsverantwoordelijke voor de in deze Verklaring beschreven verwerking is Pluxee Belgium NV, met maatschappelijke zetel te Ravensteinstraat 36, 1000 Brussel, ingeschreven bij de Kruispuntbank van Ondernemingen onder nummer 0403.167.335 („Pluxee”, „wij” of „ons”).

Pluxee heeft een functionaris voor gegevensbescherming (“DPO”) aangesteld. U kunt contact opnemen met de DPO:

per e-mail: privacy.be@pluxeegroup.com;
per post: Pluxee Belgium NV, ter attentie van de functionaris voor gegevensbescherming, Ravensteinstraat 36, 1000 Brussel.

Pluxee maakt deel uit van de Pluxee-groep. Wanneer wij de doeleinden en middelen van een bepaalde verwerking gezamenlijk met een andere entiteit van de Pluxee-groep of met een partner vaststellen (gezamenlijk verwerkingsverantwoordelijkheid in de zin van artikel 26 AVG), vermelden wij dit in de desbetreffende specifieke privacyverklaring, samen met de essentie van onze overeenkomst.

2. TOEPASSINGSGEBIED

Deze Verklaring is van toepassing op alle activiteiten van de onderneming Pluxee Belgium NV waarbij de Algemene Verordening Gegevensbescherming („AVG“) van toepassing is en Pluxee optreedt als verwerkingsverantwoordelijke.

Deze Verklaring is van toepassing op de verwerking van persoonsgegevens die door Pluxee, hetzij direct, hetzij indirect, worden verzameld met betrekking tot natuurlijke personen, waaronder onder meer huidige, voormalige of toekomstige sollicitanten en werknemers van Pluxee, begunstigden en gebruikers van onze vouchers, kaarten, websites en apps, contactpersonen van klanten en prospects, consumenten, kinderen, handelspartners (aangesloten handelaars) en hun contactpersonen, leveranciers/dienstverleners, partners/onderaannemers, aandeelhouders of andere derden (hierna „betrokkene“).

Deze Verklaring geeft een algemeen overzicht. Voor bepaalde categorieën betrokkenen of verwerkingen verstrekken wij een specifieke privacyverklaring (een „specifieke privacyverklaring”) met meer gedetailleerde informatie over onder andere de verwerkte gegevens, de rechtsgrondslagen, de ontvangers en de bewaartermijnen. Dit is momenteel het geval voor:

begunstigden van Pluxee-vouchers en gebruikers van onze websites en van de Pluxee-app (privacyverklaring voor gebruikers van de websites en begunstigden van Pluxee-vouchers);
handelspartners die Pluxee-vouchers en -kaarten accepteren, en hun contactpersonen (privacyverklaring voor handelspartners) [in voorbereiding];
sollicitanten en medewerkers van Pluxee (HR-verklaring inzake gegevensbescherming);
het gebruik van cookies en soortgelijke technologieën op onze websites en apps (cookiebeleid);
[andere specifieke privacyverklaringen, bijvoorbeeld voor klanten].

De specifieke privacyverklaringen zijn beschikbaar op onze website [link naar de pagina met privacyverklaringen] of worden aan u verstrekt wanneer wij uw persoonsgegevens verzamelen. In geval van tegenstrijdigheid tussen deze Verklaring en een specifieke privacyverklaring, prevaleert de specifieke privacyverklaring voor de verwerking die daarin wordt beschreven.

Wanneer Pluxee persoonsgegevens verwerkt namens en in opdracht van een klant (bijvoorbeeld een werkgever), treedt Pluxee op als verwerker. In dat geval is de privacyverklaring van de klant van toepassing en dient u in eerste instantie contact op te nemen met die klant om uw rechten uit te oefenen.

3. VERZAMELING EN VERWERKING VAN UW PERSOONSGEGEVENS

3.1 Naleving van de Europese wetgeving inzake gegevensbescherming en alle andere toepasselijke lokale wetgeving inzake gegevensbescherming

Wij zijn verplicht om alle toepasselijke wetgeving inzake persoonsgegevens na te leven en wij zorgen ervoor dat persoonsgegevens worden verzameld en verwerkt in overeenstemming met de Europese wetgeving inzake gegevensbescherming en alle toepasselijke lokale wetgeving, met inbegrip van de Belgische wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens.

3.2 Welke persoonsgegevens verwerken wij en waar komen deze vandaan?

Afhankelijk van uw relatie met Pluxee verwerken wij met name de volgende categorieën persoonsgegevens:

identificatiegegevens (bijv. achternaam, voornaam, taal, geslacht, geboortedatum, klant-, handelaar-, gebruiker- of kaartnummer);
contactgegevens (bijv. postadres, e-mailadres, telefoonnummer);
beroepsgegevens (bijv. werkgever, functie, bedrijf en bedrijfsnummer van contactpersonen van klanten, handelspartners, leveranciers en partners);
gegevens over onze producten en diensten en uw gebruik daarvan (bijv. soort en aantal vouchers, saldo, transacties, vervaldatum, acceptatie van vouchers en terugbetalingen);
financiële en factuurgegevens (bijv. bankrekeningnummer, facturen, betalingen);
gegevens over uw contacten met ons (bijv. vragen, klachten, correspondentie en, indien u hiervan vooraf op de hoogte bent gesteld, opnames van gesprekken met de klantenservice);
technische en online gegevens (bijv. IP-adres, log- en verbindingsgegevens, apparaat- en browsergegevens, cookiegegevens);
marketing- en communicatievoorkeuren.

Wij verkrijgen persoonsgegevens rechtstreeks van u of indirect, met name van:

uw werkgever of het bedrijf waarvoor u werkt (bijvoorbeeld wanneer uw werkgever vouchers voor u bestelt, of wanneer uw bedrijf een klant, handelspartner, leverancier of partner van Pluxee is);
andere entiteiten van de Pluxee-groep;
onze dienstverleners en partners (bijv. transactieverwerkers, de fabrikant van de Pluxee-kaart, marketing- of marktonderzoeksbureaus);
openbaar beschikbare bronnen (bijvoorbeeld de Kruispuntbank van Ondernemingen, het Belgisch Staatsblad, bedrijfswebsites en professionele sociale netwerken);
aanbieders van diensten op het gebied van fraudepreventie en sanctiescreening.

3.3 Rechtmatigheid, eerlijkheid en transparantie

Elke verwerking van persoonsgegevens die wij uitvoeren, is rechtmatig in de zin van de AVG en is gebaseerd op een van de rechtsgronden van artikel 6 AVG. Afhankelijk van de verwerking is dit (i) de uitvoering van een overeenkomst waarbij u partij bent of maatregelen die op uw verzoek worden genomen voordat een overeenkomst wordt gesloten; (ii) de naleving van een wettelijke verplichting waaraan Pluxee is onderworpen; (iii) de gerechtvaardigde belangen van Pluxee of van een derde, tenzij uw belangen of fundamentele rechten en vrijheden zwaarder wegen; of (iv) uw toestemming. In de onderstaande tabel worden, per categorie van betrokkenen, de belangrijkste doeleinden en de rechtsgrondslagen waarop wij ons baseren weergegeven. In de desbetreffende specifieke privacyverklaring wordt de rechtsgrondslag voor elk doel uiteengezet.

Wanneer wij uw persoonsgegevens verzamelen, verstrekken wij u de informatie die vereist is op grond van de artikelen 13 en 14 van de AVG, via deze Verklaring en, indien van toepassing, een specifieke privacyverklaring. Wanneer wij geen persoonsgegevens van u verkrijgen, stellen wij u hiervan binnen een redelijke termijn en uiterlijk binnen één maand, of op het moment van ons eerste contact met u, op de hoogte, tenzij een van de uitzonderingen van artikel 14, lid 5, van de AVG van toepassing is (bijvoorbeeld wanneer u al over die informatie beschikt of wanneer het verstrekken ervan onmogelijk blijkt of onevenredige inspanningen zou vergen).

Indien dit op grond van de toepasselijke wetgeving vereist is, zullen wij u om uw voorafgaande toestemming vragen (bijvoorbeeld voordat wij u elektronische marketingberichten sturen of niet-essentiële cookies plaatsen). Wanneer een verwerking is gebaseerd op uw toestemming, kunt u die toestemming te allen tijde intrekken, zonder dat dit invloed heeft op de rechtmatigheid van de verwerking vóór de intrekking.

Overzicht van de belangrijkste doeleinden en rechtsgrondslagen

Wie bent u?	Waarvoor gebruiken wij uw persoonsgegevens?	Rechtsgrondslag	Meer informatie
Ontvanger van Pluxee-tegoedbonnen of van de Pluxee-kaart; gebruiker van onze websites en van de Pluxee-app	Uitgifte en beheer van vouchers en kaarten (saldo, transacties, vervaldatum); aanmaken en beheren van je account; klantenservice en Card Stop; voorkomen en opsporen van fraude; informatie over voordelen en promoties	Naleving van de gebruiksvoorwaarden van de Pluxee-kaart; wettelijke verplichting (regelgeving inzake maaltijd-, eco-, cadeau- en sport- & cultuurvouchers, boekhoudwetgeving); gerechtvaardigd belang (klantenservice, kwaliteit en veiligheid van onze diensten); toestemming (bepaalde marketingcommunicatie, geolocatie, wedstrijden)	Privacyverklaring voor gebruikers van de websites en begunstigden van Pluxee-vouchers
Contactpersoon van een klant (werkgever) of potentiële klant	Offertes, het aangaan en uitvoeren van contracten, bestellingen en facturering; klantrelatiebeheer en klantenservice; B2B-marketing, evenementen en tevredenheids- of marktonderzoek	Gerechtvaardigd belang (beheer van de zakelijke relatie met het bedrijf waarvoor u werkt, promotie van onze diensten); wettelijke verplichting (boekhouding, facturering); toestemming, indien wettelijk vereist voor elektronische marketing	Deze Verklaring
Handelspartner (wanneer de handelaar een natuurlijke persoon is) of contactpersoon van een handelspartner	Aansluiting bij en beheer van ons acceptatienetwerk; verwerking en uitbetaling van geaccepteerde vouchers; klantenservice; toezicht op de naleving van de aansluitingsvoorwaarden en het voorkomen van fraude; communicatie over onze diensten	Uitvoering van de overeenkomst (wanneer u zelf de handelaar bent); gerechtvaardigd belang (beheer van de relatie met de handelaar waarvoor u werkt, de integriteit van ons netwerk, het promoten van onze diensten); wettelijke verplichting (boekhouding, regelgeving inzake vouchers)	Deze Verklaring
Contactpersoon van een leverancier, dienstverlener of partner	Selectie en due diligence (inclusief screening op sancties); het aangaan en uitvoeren van contracten; betalingen	Uitvoering van de overeenkomst (wanneer u zelf de contractpartij bent); gerechtvaardigd belang; wettelijke verplichting	Deze Verklaring
Sollicitant of werknemer	Werving en personeelsbeheer	Zie de privacyverklaring inzake HR-gegevens	Privacyverklaring voor sollicitanten Werknemers worden verwezen naar de privacyverklaring voor werknemers (intern document)
Bezoekers van onze websites en apps	Exploitatie, beveiliging en verbetering van onze websites en apps; statistieken; gepersonaliseerde inhoud en reclame	Gerechtvaardigd belang (strikt noodzakelijke cookies, beveiliging); toestemming (overige cookies)	Cookiebeleid
Iedereen die contact met ons opneemt of een vraag, klacht of verzoek indient	Behandeling van vragen, klachten en verzoeken om uw rechten uit te oefenen	Wettelijke verplichting (artikelen 12 tot en met 22 AVG); gerechtvaardigd belang (afhandeling van andere vragen en klachten)	Deze Verklaring
Alle betrokkenen	Beveiliging van onze IT-systemen en gebouwen; interne audit, naleving en rapportage binnen de Pluxee-groep; het instellen, uitoefenen of verdedigen van rechtsvorderingen; naleving van onze verplichtingen met betrekking tot sancties en belastingen; overdracht of herstructurering van (een deel van) het bedrijf	Wettelijke verplichting; gerechtvaardigd belang (beveiliging, goed bestuur binnen de groep, verdediging van onze rechten, bedrijfscontinuïteit)	Deze Verklaring

3.4 Legitieme doeleinden, doelbinding en gegevensminimalisatie

Uw persoonsgegevens worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden en worden niet verder verwerkt op een wijze die onverenigbaar is met die doeleinden. Wij verwerken alleen persoonsgegevens die toereikend en relevant zijn en beperkt blijven tot wat noodzakelijk is voor die doeleinden. Wanneer wij uw persoonsgegevens voor een nieuw doel willen gebruiken, zullen wij u hiervan vooraf op de hoogte stellen.

3.5 Bent u verplicht uw persoonsgegevens te verstrekken?

Sommige persoonsgegevens zijn noodzakelijk om een overeenkomst aan te gaan of uit te voeren, of om te voldoen aan een wettelijke verplichting. Zonder die gegevens kunnen wij bepaalde diensten niet verlenen (bijvoorbeeld het activeren van uw Pluxee-kaart, het aansluiten van een handelaar of het afhandelen van uw verzoek). Op onze formulieren staat aangegeven welke gegevens verplicht zijn. Het verstrekken van andere gegevens is vrijwillig.

3.6 Gevoelige persoonsgegevens

In de regel verwerken wij geen gevoelige persoonsgegevens, tenzij dit strikt noodzakelijk is en een van de uitzonderingen van artikel 9, lid 2, AVG van toepassing is (bijvoorbeeld voor personeelsbeheer; zie de privacyverklaring voor HR). Wij verwerken alleen persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten binnen de grenzen van artikel 10 AVG en artikel 10 van de wet van 30 juli 2018 (bijvoorbeeld om een rechtsvordering in te stellen of ons daartegen te verdedigen).

3.7 Geautomatiseerde besluitvorming en profilering

Wij nemen geen beslissingen die uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, zijn gebaseerd en die rechtsgevolgen voor u hebben of u op vergelijkbare wijze aanzienlijk beïnvloeden, tenzij artikel 22 AVG dit toestaat. Indien wij dit wel doen, lichten wij dit toe in de desbetreffende specifieke privacyverklaring, met inbegrip van zinvolle informatie over de toegepaste logica en de betekenis en beoogde gevolgen voor u. In dat geval hebt u het recht op menselijke tussenkomst, om uw standpunt kenbaar te maken en om de beslissing te betwisten.

Wij kunnen uw persoonsgegevens gebruiken om profielen aan te maken voor marketingdoeleinden (bijvoorbeeld om u relevante aanbiedingen te tonen). U kunt hiertegen te allen tijde bezwaar maken (zie paragraaf 8).

3.8 Nauwkeurigheid van gegevens en bewaartermijnen

Pluxee zorgt ervoor dat de verwerkte persoonsgegevens juist zijn en, waar nodig, worden bijgewerkt. Wij rekenen erop dat u ons op de hoogte stelt van eventuele wijzigingen in uw gegevens. Bovendien bewaren wij persoonsgegevens niet langer dan nodig is voor de doeleinden waarvoor ze zijn verzameld, onder meer om te voldoen aan wettelijke of boekhoudkundige vereisten of voor rapportagedoeleinden.

Daarnaast bewaren wij, indien nodig, persoonsgegevens om Pluxee in staat te stellen zich te verdedigen of een recht te doen gelden, zolang de toepasselijke verjaringstermijn loopt of er een geschil aanhangig is.

Bij het bepalen van de bewaartermijn houden wij met name rekening met de volgende criteria:

de duur van onze relatie met u of met het bedrijf waarvoor u werkt (bijvoorbeeld de looptijd van het contract of de aansluiting, de geldigheidsduur van uw vouchers of de tijd die nodig is om uw verzoek af te handelen);
de wettelijke bewaarverplichtingen waaraan wij onderworpen zijn (bijvoorbeeld op het gebied van boekhouding, belastingen en sociale zaken en krachtens de regelgeving inzake vouchers);
de wettelijke verjaringstermijnen voor mogelijke rechtsvorderingen;
voor marketingdoeleinden: totdat u zich afmeldt of uw toestemming intrekt, of na een periode van inactiviteit;
de richtlijnen en aanbevelingen van de toezichthoudende autoriteiten (bijvoorbeeld voor cookies).

De specifieke bewaartermijnen voor elke verwerking staan vermeld in de betreffende specifieke privacyverklaring.

Als u meer informatie nodig heeft over de bewaartermijnen van uw persoonsgegevens, kunt u contact met ons opnemen via het volgende adres: privacy.be@pluxeegroup.com.

Nadat de toepasselijke bewaartermijn is verstreken, zullen wij uw persoonsgegevens op veilige wijze verwijderen of anonimiseren. Gegevens in back-ups worden verwijderd in overeenstemming met de normale vervangingscyclus van die back-ups.

4. BEVEILIGING VAN UW PERSOONSGEGEVENS

Wij nemen de passende technische en organisatorische maatregelen om uw persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, wijziging of verlies, of tegen ongeoorloofd gebruik, openbaarmaking of toegang, in overeenstemming met ons Groepsbeleid inzake informatiebeveiliging en systemen. Deze maatregelen omvatten toegangsbeheer op basis van ‘need-to-know’, authenticatie, versleuteling waar van toepassing, logboekregistratie, fysieke beveiliging, regelmatige audits en geheimhoudingsverplichtingen voor onze medewerkers.

Wij nemen alle redelijke maatregelen die voldoen aan de beginselen van „privacy by design“ en „privacy by default“, teneinde de nodige waarborgen te implementeren en de verwerking van persoonsgegevens te beschermen.

Afhankelijk van het risiconiveau dat aan de verwerking is verbonden, voeren wij ook een gegevensbeschermingseffectbeoordeling („DPIA“) uit in de zin van artikel 35 van de AVG, om passende maatregelen te nemen en de bescherming van persoonsgegevens te waarborgen.

We nemen ook aanvullende maatregelen om gegevens te beveiligen die als gevoelige persoonsgegevens worden beschouwd.

Mocht er desondanks een inbreuk op persoonsgegevens plaatsvinden die waarschijnlijk een hoog risico voor uw rechten en vrijheden met zich meebrengt, dan zullen wij u hiervan zonder onnodige vertraging op de hoogte stellen, overeenkomstig artikel 34 van de AVG.

5. DELEN VAN UW PERSOONSGEGEVENS

Binnen Pluxee hebben alleen medewerkers die de gegevens nodig hebben voor de uitvoering van hun taken toegang tot uw persoonsgegevens, en zij zijn gebonden aan een geheimhoudingsplicht. Wij delen uw persoonsgegevens met andere entiteiten van de Pluxee-groep en andere ontvangers uitsluitend voor de doeleinden die in deze Verklaring of in de relevante specifieke privacyverklaring worden beschreven. Dit zijn de volgende categorieën ontvangers:

Met andere entiteiten van de Pluxee-groep, bijvoorbeeld voor gedeelde IT-diensten (hosting en onderhoud van informatiesystemen), informatiebeveiliging, rapportage en interne audit;
Met bepaalde geautoriseerde externe dienstverleners en uitsluitend in verband met de diensten die wij leveren, zoals aanbieders van IT-, hosting- en clouddiensten, de fabrikant van de Pluxee-kaart, verwerkers van transacties en betalingen via , callcenters, (e-)mailproviders, marktonderzoeksbureaus en onze juridische, financiële en boekhoudkundige adviseurs;
Met bedrijven die diensten verlenen ter bestrijding van fraude of illegale activiteiten en ter controle van sanctielijsten, en met derden die soortgelijke diensten verlenen, zoals financiële instellingen;
Met rechtbanken, wetshandhavingsinstanties, toezichthouders, overheidsinstanties en andere partijen wanneer dit redelijkerwijs noodzakelijk is om een recht uit te oefenen of te verdedigen, of voor buitengerechtelijke geschillenbeslechting, of wanneer wij wettelijk verplicht zijn om gegevens aan hen bekend te maken;
Met interne of externe dienstverleners die wij lokaal of in een derde land inschakelen om namens ons persoonsgegevens te verwerken voor de hierboven beschreven doeleinden (bijvoorbeeld shared service centers);
Met de partners van Pluxee (bijvoorbeeld aanbieders van diensten of voordelen die via onze platforms beschikbaar zijn), uitsluitend met uw toestemming of op uw verzoek. Wij noemen deze partners bij naam wanneer wij uw toestemming vragen;
Met uw werkgever, voor zover dat nodig is om de voordelen te beheren die hij u toekent (bijvoorbeeld het bevestigen van de levering of activering van uw vouchers), zonder hem toegang te geven tot uw individuele uitgaven;
In het geval van een verkoop, fusie of overname van bedrijven of activa; in dat geval kunnen wij uw persoonsgegevens overdragen aan de potentiële koper of verkoper om rechten of verplichtingen over te dragen of te vernieuwen, met inachtneming van passende geheimhoudingsverplichtingen.

Dienstverleners die namens ons persoonsgegevens verwerken (verwerkers) zijn contractueel gebonden overeenkomstig artikel 28 van de AVG en mogen de gegevens uitsluitend op onze instructies gebruiken. Andere ontvangers (zoals banken, adviseurs of autoriteiten) verwerken de gegevens als afzonderlijke verwerkingsverantwoordelijken, onder hun eigen verantwoordelijkheid. Wij verkopen uw persoonsgegevens niet.

6. INTERNATIONALE OVERDRACHT VAN PERSOONSGEGEVENS

Pluxee maakt deel uit van een internationale groep en werkt samen met dienstverleners, waarvan sommige buiten de Europese Economische Ruimte (EER) zijn gevestigd of van daaruit toegang hebben tot gegevens. Sommige derde landen waarin Pluxee actief is, bieden niet hetzelfde niveau van bescherming van persoonsgegevens als het land waarin u woont en worden door de Europese Commissie niet beschouwd als landen die een passend beschermingsniveau bieden voor de persoonsgegevens van natuurlijke personen.

Wij geven uw persoonsgegevens alleen door naar een land buiten de EER wanneer een van de volgende waarborgen van hoofdstuk V van de AVG van toepassing is:

een adequaatheidsbesluit van de Europese Commissie voor het betreffende land (bijvoorbeeld, voor de Verenigde Staten, het EU-VS-kader voor gegevensbescherming voor ontvangers die daaronder zijn gecertificeerd);
de door de Europese Commissie vastgestelde modelcontractbepalingen (Uitvoeringsbesluit (EU) 2021/914), zowel voor doorgiften binnen de Pluxee-groep als voor doorgiften aan andere ontvangers, waar nodig aangevuld met aanvullende technische, contractuele of organisatorische maatregelen;
bij gebrek aan een dergelijke waarborg, en uitsluitend bij wijze van uitzondering, een van de afwijkingen van artikel 49 AVG (bijvoorbeeld wanneer de doorgifte noodzakelijk is voor de vaststelling, uitoefening of verdediging van rechtsvorderingen).

U ontvangt meer informatie over de doorgifte van uw persoonsgegevens naar landen buiten de EER via de relevante specifieke privacyverklaring, op het moment dat uw persoonsgegevens worden verzameld.

Als u meer informatie wenst, waaronder een kopie van de documenten die worden gebruikt om uw persoonsgegevens te beschermen, kunt u contact met ons opnemen via het volgende adres: privacy.be@pluxeegroup.com.

7. COOKIES

Wij maken gebruik van „cookies“ en soortgelijke technologieën op onze websites en apps. Cookies zijn tekstbestanden die op uw computer, tablet of smartphone worden opgeslagen wanneer u bepaalde websites bezoekt. Wij kunnen cookies bijvoorbeeld gebruiken om te weten of u onze site al eerder hebt bezocht of om te weten welke onderwerpen u het meest interesseren. Wij kunnen cookies ook gebruiken om het verkeer te analyseren en voor reclamedoeleinden.

Cookies kunnen uw online bezoek aangenamer maken door uw voorkeuren op te slaan terwijl u de website bezoekt. Wanneer u onze websites bezoekt, laten we u weten welke soorten cookies we gebruiken en hoe u deze kunt blokkeren. Behalve cookies die strikt noodzakelijk zijn voor de werking van de website, plaatsen we alleen cookies met uw voorafgaande toestemming . U kunt uw keuze op elk moment wijzigen of uw toestemming intrekken via de cookie-instellingen op onze website, en u kunt onze websites ook bezoeken als u niet-essentiële cookies weigert. Voor meer informatie kunt u ons cookiebeleid raadplegen.

8. UW RECHTEN

Pluxee zet zich in voor de bescherming van uw rechten zoals vastgelegd in de toepasselijke wetgeving. Hieronder vindt u een tabel met een overzicht van uw verschillende rechten. Sommige rechten gelden alleen onder bepaalde voorwaarden of kunnen wettelijk beperkt zijn; in dat geval zullen wij uitleggen waarom wij niet (volledig) aan uw verzoek kunnen voldoen:

Recht op inzage	U kunt ons vragen of wij persoonsgegevens over u verwerken en, indien dit het geval is, inzage krijgen in die gegevens en in informatie over de verwerking (waaronder de doeleinden, de categorieën gegevens, de ontvangers, de bewaartermijn en de bron). U hebt recht op een gratis kopie van uw persoonsgegevens.
Recht op rectificatie	U kunt verzoeken om rectificatie van onjuiste persoonsgegevens of om aanvulling van onvolledige persoonsgegevens.
Recht op verwijdering (“recht om vergeten te worden”)	Uw recht om te worden vergeten geeft u het recht om te verzoeken dat uw persoonsgegevens worden gewist wanneer: de gegevens niet langer nodig zijn voor het doel waarvoor ze zijn verzameld; u ervoor kiest uw toestemming in te trekken; u met succes bezwaar hebt gemaakt tegen de verwerking van uw persoonsgegevens; uw persoonsgegevens onrechtmatig zijn verwerkt; er een wettelijke verplichting bestaat om uw persoonsgegevens te wissen. Het recht op verwijdering is niet absoluut: het kan bijvoorbeeld zijn dat wij bepaalde gegevens moeten bewaren om te voldoen aan een wettelijke verplichting of voor het instellen, uitoefenen of verdedigen van rechtsvorderingen.
Recht op beperking van de verwerking	U kunt verzoeken om beperking van de verwerking van uw persoonsgegevens wanneer: u de juistheid van uw persoonsgegevens betwist; PLUXEE uw persoonsgegevens niet langer nodig heeft voor de doeleinden van de verwerking, maar u deze nodig hebt voor het instellen, uitoefenen of verdedigen van rechtsvorderingen; u bezwaar hebt gemaakt tegen de verwerking, in afwachting van de verificatie of onze gerechtvaardigde gronden zwaarder wegen dan die van u; de verwerking van uw persoonsgegevens onrechtmatig is en u de voorkeur geeft aan beperking van het gebruik ervan boven verwijdering.
Recht op gegevensoverdraagbaarheid	Indien van toepassing kunt u verzoeken om de overdraagbaarheid van de persoonsgegevens die u aan PLUXEE hebt verstrekt, in een gestructureerd, gangbaar en machinaal leesbaar formaat. U hebt het recht om deze gegevens zonder belemmering van PLUXEE door te geven aan een andere verwerkingsverantwoordelijke, indien: de verwerking van uw persoonsgegevens is gebaseerd op toestemming of op een overeenkomst; en de verwerking geautomatiseerd plaatsvindt. U kunt ook verzoeken dat uw persoonsgegevens rechtstreeks worden doorgegeven aan een andere verwerkingsverantwoordelijke van uw keuze (voor zover dit technisch haalbaar is).
Recht om bezwaar te maken tegen de verwerking	U kunt, op gronden die verband houden met uw specifieke situatie, bezwaar maken tegen de verwerking van uw persoonsgegevens op basis van onze gerechtvaardigde belangen. Wij zullen die verwerking dan stopzetten, tenzij wij dwingende gerechtvaardigde gronden kunnen aantonen die zwaarder wegen dan uw belangen, of de gegevens nodig hebben voor een rechtsvordering. U kunt te allen tijde kosteloos en zonder opgave van redenen bezwaar maken tegen verwerking voor direct marketingdoeleinden, met inbegrip van daarmee verband houdende profilering (“opt-out”).
Recht om uw toestemming in te trekken	Wanneer wij uw persoonsgegevens verwerken op basis van uw toestemming, kunt u uw toestemming te allen tijde intrekken, bijvoorbeeld via de afmeldlink in onze e-mails of via het voorkeurscentrum. Intrekking heeft geen invloed op de rechtmatigheid van de verwerking vóór de intrekking.
Recht om niet te worden onderworpen aan geautomatiseerde beslissingen	U hebt het recht om niet te worden onderworpen aan een besluit dat uitsluitend is gebaseerd op geautomatiseerde verwerking, met inbegrip van profilering, dat rechtsgevolgen voor u heeft of u op vergelijkbare wijze aanzienlijk beïnvloedt (zie paragraaf 3.7). Wanneer een dergelijk besluit is toegestaan, hebt u het recht op menselijke tussenkomst, om uw standpunt kenbaar te maken en om het besluit te betwisten.
Recht om een klacht in te dienen	U kunt ervoor kiezen een klacht in te dienen bij de toezichthoudende autoriteit voor gegevensbescherming in het land van uw gewone verblijfplaats, uw werkplek of de plaats van de vermeende inbreuk. In België is dit: de Belgische Gegevensbeschermingsautoriteit (Gegevensbeschermingsautoriteit / Autorité de protection des données, Drukpersstraat 35 / rue de la Presse 35, 1000 Brussel – contact@apd-gba.be – www.dataprotectionauthority.be). U hebt ook het recht om een procedure aan te spannen bij de rechtbanken van de lidstaat waar de Pluxee-entiteit een vestiging heeft of waar u uw gewone verblijfplaats hebt. Wij zouden het op prijs stellen als u eerst contact opneemt met onze functionaris voor gegevensbescherming, zodat we samen naar een oplossing kunnen zoeken.

Uw recht van bezwaar

U hebt het recht om te allen tijde, op gronden die verband houden met uw specifieke situatie, bezwaar te maken tegen de verwerking van uw persoonsgegevens op basis van onze gerechtvaardigde belangen. U kunt te allen tijde, zonder opgave van redenen, bezwaar maken tegen verwerking voor direct marketingdoeleinden. U kunt dit doen via de afmeldlink in elke marketingcommunicatie, via het voorkeurscentrum of via de onderstaande contactgegevens.

U kunt deze rechten te allen tijde en kosteloos uitoefenen of contact met ons opnemen voor een verzoek of klacht met betrekking tot de bescherming van uw gegevens:

– door uw verzoek (in welk recht u gebruik wilt maken en op welke verwerking het betrekking heeft) te sturen naar de functionaris voor gegevensbescherming op het volgende adres: privacy.be@pluxeegroup.com;

– door het online formulier op onze website in te vullen; of

– per post aan Pluxee Belgium NV, ter attentie van de functionaris voor gegevensbescherming, Ravensteinstraat 36, 1000 Brussel.

Om uw persoonsgegevens te beschermen, verifiëren wij uw identiteit aan de hand van de gegevens die wij al in ons bezit hebben. Wij vragen alleen om aanvullende informatie wanneer wij redelijke twijfels hebben over uw identiteit. Wij vragen niet systematisch om een kopie van uw identiteitskaart.

Wij reageren zonder onnodige vertraging en uiterlijk binnen één maand na ontvangst van uw verzoek. Die termijn kan met nog eens twee maanden worden verlengd, rekening houdend met de complexiteit en het aantal verzoeken; in dat geval stellen wij u binnen de eerste maand op de hoogte van de verlenging en de redenen daarvoor. Wij kunnen een verzoek weigeren of een redelijke vergoeding in rekening brengen wanneer het kennelijk ongegrond of buitensporig is, met name vanwege het repetitieve karakter ervan.

9. KINDEREN

Kinderen verdienen specifieke bescherming met betrekking tot hun persoonsgegevens, aangezien zij zich mogelijk minder bewust zijn van de risico’s, gevolgen en waarborgen in dit verband, en van hun rechten met betrekking tot de verwerking van persoonsgegevens. Deze specifieke bescherming dient met name te gelden voor de verwerking van gegevens van kinderen voor marketingdoeleinden of voor het aanmaken van persoonlijkheids- of gebruikersprofielen, en voor het verzamelen van persoonsgegevens over kinderen bij het gebruik van diensten die rechtstreeks aan kinderen worden aangeboden.

Onze diensten zijn bedoeld voor volwassenen en zijn niet gericht op kinderen. Wij verzamelen niet bewust persoonsgegevens van kinderen voor onze diensten en wij richten ons niet met reclame op kinderen. Als u van mening bent dat wij ten onrechte persoonsgegevens van kinderen hebben verzameld, verzoeken wij u ons hiervan op de hoogte te stellen via de contactgegevens in paragraaf 11; wij zullen deze gegevens dan verwijderen.

10. WIJZIGINGEN

Van tijd tot tijd kunnen wij deze Verklaring bijwerken, aangezien onze activiteiten en wettelijke verplichtingen aanzienlijk kunnen veranderen. Indien wij wezenlijke wijzigingen aanbrengen in deze Verklaring, zullen wij dit op onze website aankondigen op het moment dat de wijzigingen van kracht worden. Wanneer een wijziging betrekking heeft op een nieuw doel of wezenlijke gevolgen heeft voor uw rechten, zullen wij u hierover rechtstreeks en vooraf informeren en, indien nodig, opnieuw om uw toestemming vragen. De datum van de laatste update staat vermeld aan het einde van deze Verklaring.

11. CONTACT

Als u vragen, opmerkingen of verzoeken hebt met betrekking tot deze Verklaring, kunt u contact opnemen met onze functionaris voor gegevensbescherming via e-mail op privacy.be@pluxeegroup.com, via het onlineformulier of per post aan Pluxee Belgium NV, ter attentie van de functionaris voor gegevensbescherming, Ravensteinstraat 36, 1000 Brussel.

12. DEFINITIES

Betrokkene: elke geïdentificeerde of identificeerbare natuurlijke persoon van wie persoonsgegevens worden verwerkt.

Derde land: elk land, gebied of sector binnen dat land, buiten de Europese Unie (EU) en de Europese Economische Ruimte (EER).

Derde: een natuurlijke of rechtspersoon, overheidsinstantie, dienst of orgaan, met uitzondering van de betrokkene, de verwerkingsverantwoordelijke, de verwerker en de personen die onder het directe gezag van de verwerkingsverantwoordelijke of de verwerker bevoegd zijn om de persoonsgegevens te verwerken.

Onder Europese wetgeving inzake gegevensbescherming of Algemene Verordening Gegevensbescherming (AVG) wordt verstaan Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, en tot intrekking van Richtlijn 95/46/EG.

Met „functionaris voor gegevensbescherming“ of „DPO“ wordt de persoon bedoeld die door Pluxee Belgium NV is aangesteld overeenkomstig artikel 37 van de AVG en die bereikbaar is via privacy.be@pluxeegroup.com.

Onder „Groepsfunctionaris voor gegevensbescherming” wordt verstaan de persoon die met goedkeuring van het Uitvoerend Comité van de Pluxee-groep is aangesteld om verantwoordelijk te zijn voor aangelegenheden met betrekking tot de vertrouwelijkheid van persoonsgegevens op het niveau van de Pluxee-groep.

Met „handelspartner“ wordt een handelaar bedoeld die is aangesloten bij het acceptatienetwerk van Pluxee en die Pluxee-vouchers of -kaarten accepteert.

Persoonsgegevens: alle informatie met betrekking tot een geïdentificeerde of identificeerbare natuurlijke persoon; een identificeerbare natuurlijke persoon is iemand die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of aan de hand van een of meer factoren die kenmerkend zijn voor de fysieke, fysiologische, genetische, mentale, economische, culturele of sociale identiteit van die natuurlijke persoon.

Specifieke privacyverklaring: een privacyverklaring die van toepassing is op een bepaalde categorie van betrokkenen of verwerkingen, zoals beschreven in paragraaf 2.

Verwerker: een natuurlijke of rechtspersoon, overheidsinstantie, dienst of ander orgaan dat persoonsgegevens verwerkt namens en in opdracht van de verwerkingsverantwoordelijke.

Verantwoordelijke: elke natuurlijke of rechtspersoon, overheidsinstantie, dienst of ander orgaan die/dat, alleen of samen met anderen, het doel en de middelen van de verwerking van persoonsgegevens vaststelt.

Verwerking of verwerking van persoonsgegevens betekent elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens of reeksen van persoonsgegevens, al dan niet met behulp van geautomatiseerde middelen, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, aanpassen of wijzigen, opvragen, raadplegen, gebruiken, openbaar maken door middel van doorgifte, verspreiding of op andere wijze beschikbaar stellen, afstemmen of combineren, beperken, wissen of vernietigen van gegevens.

Gevoelige persoonsgegevens en andere bijzondere categorieën van persoonsgegevens: alle persoonsgegevens waaruit de raciale of etnische afkomst, politieke opvattingen, religieuze of filosofische overtuigingen of het lidmaatschap van een vakbond blijken, alsmede genetische gegevens, biometrische gegevens die bedoeld zijn om een persoon op unieke wijze te identificeren, gegevens betreffende de gezondheid, of gegevens betreffende het seksleven of de seksuele geaardheid van een persoon. Deze definitie omvat ook persoonsgegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten.

Pluxee Group betekent elke entiteit die, onder de voorwaarden bepaald door de wet, direct of indirect wordt gecontroleerd door PLUXEE INTERNATIONAL, met een maatschappelijk kapitaal van 410 857 904 euro en met maatschappelijke zetel te 16 rue du Passeur de Boulogne, 92130 Issy-les-Moulineaux, Frankrijk, 350 925 384 RCS Nanterre.

Toezichthoudende autoriteit betekent een onafhankelijke overheidsinstantie die door een lidstaat is opgericht overeenkomstig de AVG; in België is dit de Gegevensbeschermingsautoriteit.

Bijgewerkt op 6 oktober 2026

Privacy Notice

General privacy notice of Pluxee Belgium NV

Your privacy is very important to us. We have drawn up this privacy notice so that you understand how we collect, use and process your Personal Data (the “Notice”). This Notice describes in clear and plain language why and on what legal basis we process your Personal Data, with whom we share it, how long we keep it, what rights you have, the measures we take to protect your Personal Data and how you can reach us with questions or requests about your Personal Data.

1. WHO IS RESPONSIBLE FOR YOUR PERSONAL DATA?

The controller of the Processing described in this Notice is Pluxee Belgium NV, with its registered office at Ravensteinstraat 36, 1000 Brussels, registered with the Crossroads Bank for Enterprises under number 0403.167.335 (“Pluxee”, “we” or “us”).

Pluxee has appointed a data protection officer (“DPO”). You can contact the DPO:

by e-mail: privacy.be@pluxeegroup.com;
by post: Pluxee Belgium NV, for the attention of the Data Protection Officer, Ravensteinstraat 36, 1000 Brussels.

Pluxee is part of the Pluxee Group. Where we determine the purposes and means of a particular Processing jointly with another Pluxee Group entity or with a partner (joint controllership within the meaning of Article 26 GDPR), we say so in the relevant Specific Privacy Notice, together with the essence of our arrangement.

2. SCOPE

This Notice applies to all activities of the company Pluxee Belgium NV where the General Data Protection Regulation (“GDPR”) applies and Pluxee acts as controller.

This Notice applies to the Processing of Personal Data collected by Pluxee, either directly or indirectly, relating to any natural persons, including among others current, former or prospective applicants and employees of Pluxee, beneficiaries and users of our vouchers, cards, websites and apps, contact persons of customers and prospects, consumers, children, merchant partners (affiliated merchants) and their contact persons, suppliers/service providers, partners/subcontractors, shareholders or any third parties (hereinafter “Data Subject”).

This Notice gives a general overview. For certain categories of Data Subjects or Processing we provide a specific privacy notice (a “Specific Privacy Notice”) with more detailed information on, among other things, the data processed, the legal bases, the recipients and the retention periods. This is currently the case for:

beneficiaries of Pluxee vouchers and users of our websites and of the Pluxee app (privacy notice for users of the websites and beneficiaries of Pluxee vouchers);
merchant partners that accept Pluxee vouchers and cards, and their contact persons (privacy notice for merchant partners) [in preparation];
applicants and employees of Pluxee (HR data protection notice);
the use of cookies and similar technologies on our websites and apps (Cookie Policy);
[other Specific Privacy Notices, e.g. for customers].

The Specific Privacy Notices are available on our website [link to the privacy notices page] or are provided to you when we collect your Personal Data. In the event of any inconsistency between this Notice and a Specific Privacy Notice, the Specific Privacy Notice prevails for the Processing it describes.

Where Pluxee processes Personal Data on behalf of and on the instructions of a customer (for example an employer), Pluxee acts as processor. In that case the customer’s privacy notice applies and you should in the first place contact that customer to exercise your rights.

3. COLLECTION AND PROCESSING OF YOUR PERSONAL DATA

3.1 Compliance with European data protection legislation and all other applicable local data protection legislation

We are bound to comply with all applicable legislation on Personal Data and we ensure that Personal Data are collected and processed in accordance with European data protection legislation and any applicable local legislation, including the Belgian Act of 30 July 2018 on the protection of natural persons with regard to the processing of personal data.

3.2 Which Personal Data do we process and where do they come from?

Depending on your relationship with Pluxee, we process in particular the following categories of Personal Data:

identification data (e.g. surname, first name, language, gender, date of birth, customer, merchant, user or card number);
contact details (e.g. postal address, e-mail address, telephone number);
professional data (e.g. employer, job title, company and company number of contact persons of customers, merchant partners, suppliers and partners);
data on our products and services and your use of them (e.g. type and amount of vouchers, balance, transactions, expiry date, voucher acceptance and reimbursements);
financial and invoicing data (e.g. bank account number, invoices, payments);
data on your contacts with us (e.g. questions, complaints, correspondence and, where you are informed of this in advance, recordings of calls with customer service);
technical and online data (e.g. IP address, log and connection data, device and browser data, cookie data);
marketing and communication preferences.

We obtain Personal Data directly from you or indirectly, in particular from:

your employer or the company you work for (e.g. when your employer orders vouchers for you, or when your company is a customer, merchant partner, supplier or partner of Pluxee);
other Pluxee Group entities;
our service providers and partners (e.g. transaction processors, the manufacturer of the Pluxee Card, marketing or market research agencies);
publicly available sources (e.g. the Crossroads Bank for Enterprises, the Belgian Official Gazette, company websites and professional social networks);
providers of fraud prevention and sanctions screening services.

3.3 Lawfulness, fairness and transparency

Every Processing of Personal Data that we carry out is lawful within the meaning of the GDPR and is based on one of the legal bases of Article 6 GDPR. Depending on the Processing, this is (i) the performance of a contract to which you are a party or steps taken at your request before entering into a contract; (ii) compliance with a legal obligation to which Pluxee is subject; (iii) the legitimate interests of Pluxee or of a third party, except where your interests or fundamental rights and freedoms override them; or (iv) your consent. The table below sets out, per category of Data Subjects, the main purposes and the legal bases we rely on. The relevant Specific Privacy Notice sets out the legal basis for each purpose.

When we collect your Personal Data, we will provide you with the information required by Articles 13 and 14 GDPR, through this Notice and, where applicable, a Specific Privacy Notice. Where we do not obtain Personal Data from you, we inform you within a reasonable period and at the latest within one month, or at the time of our first communication with you, unless one of the exceptions of Article 14(5) GDPR applies (for example where you already have that information or where providing it proves impossible or would involve a disproportionate effort).

Where required by applicable law, we will ask for your prior consent (e.g. before we send you electronic marketing or place non-essential cookies). Where a Processing is based on your consent, you may withdraw that consent at any time, without affecting the lawfulness of the Processing before its withdrawal.

Overview of the main purposes and legal bases

Who are you?	What do we use your Personal Data for?	Legal basis	More information
Beneficiary of Pluxee vouchers or of the Pluxee Card; user of our websites and of the Pluxee app	Issuing and managing vouchers and cards (balance, transactions, expiry date); creating and managing your account; customer service and Card Stop; preventing and detecting fraud; information on benefits and promotions	Performance of the Pluxee Card terms of use; legal obligation (regulations on meal, eco, gift and sport & culture vouchers, accounting law); legitimate interest (customer service, quality and security of our services); consent (certain marketing communications, geolocation, competitions)	Privacy notice for users of the websites and beneficiaries of Pluxee vouchers
Contact person of a customer (employer) or prospect	Quotations, entering into and performing contracts, orders and invoicing; customer relationship management and customer service; B2B marketing, events and satisfaction or market research	Legitimate interest (managing the business relationship with the company you work for, promoting our services); legal obligation (accounting, invoicing); consent, where required by law for electronic marketing	This Notice
Merchant partner (where the merchant is a natural person) or contact person of a merchant partner	Affiliation to and management of our acceptance network; processing and reimbursement of accepted vouchers; customer service; monitoring compliance with the affiliation conditions and preventing fraud; communication about our services	Performance of the contract (where you are the merchant yourself); legitimate interest (managing the relationship with the merchant you work for, the integrity of our network, promoting our services); legal obligation (accounting, regulations on vouchers)	This Notice
Contact person of a supplier, service provider or partner	Selection and due diligence (including sanctions screening); entering into and performing contracts; payments	Performance of the contract (where you are the contracting party yourself); legitimate interest; legal obligation	This Notice
Applicant or employee	Recruitment and human resources management	See the HR data protection notice	Candidate data protection notice Employees are referred to the Employee Privacy Notice (internal document)
Visitor of our websites and apps	Operation, security and improvement of our websites and apps; statistics; personalised content and advertising	Legitimate interest (strictly necessary cookies, security); consent (other cookies)	Cookie Policy
Anyone who contacts us or submits a question, complaint or request	Handling questions, complaints and requests to exercise your rights	Legal obligation (Articles 12 to 22 GDPR); legitimate interest (handling other questions and complaints)	This Notice
All Data Subjects	Security of our IT systems and buildings; internal audit, compliance and reporting within the Pluxee Group; establishment, exercise or defence of legal claims; compliance with our obligations regarding sanctions and taxation; transfer or restructuring of (part of) the business	Legal obligation; legitimate interest (security, good governance within the group, defence of our rights, business continuity)	This Notice

3.4 Legitimate purposes, purpose limitation and data minimisation

Your Personal Data are collected for specified, explicit and legitimate purposes and are not further processed in a manner incompatible with those purposes. We only process Personal Data that are adequate, relevant and limited to what is necessary for those purposes. Where we wish to use your Personal Data for a new purpose, we inform you in advance.

3.5 Are you required to provide your Personal Data?

Some Personal Data are necessary to enter into or perform a contract, or to comply with a legal obligation. Without those data we cannot provide certain services (for example activating your Pluxee Card, affiliating a merchant or handling your request). Our forms indicate which data are mandatory. Providing other data is voluntary.

3.6 Sensitive Personal Data

As a rule, we do not process Sensitive Personal Data, unless this is strictly necessary and one of the exceptions of Article 9(2) GDPR applies (for example for human resources management, see the HR data protection notice). We only process Personal Data relating to criminal convictions and offences within the limits of Article 10 GDPR and Article 10 of the Act of 30 July 2018 (for example to bring or defend a legal claim).

3.7 Automated decision-making and profiling

We do not take decisions based solely on automated processing, including profiling, which produce legal effects concerning you or similarly significantly affect you, unless Article 22 GDPR permits this. Where we do, we explain this in the relevant Specific Privacy Notice, including meaningful information about the logic involved and the significance and envisaged consequences for you. In that case you have the right to obtain human intervention, to express your point of view and to contest the decision.

We may use your Personal Data to create profiles for marketing purposes (for example to show you relevant offers). You can object to this at any time (see section 8).

3.8 Accuracy of data and retention periods

Pluxee will ensure that the Personal Data processed are accurate and, where necessary, kept up to date. We rely on you to inform us of any changes to your data. In addition, we do not keep Personal Data longer than necessary for the purposes for which they were collected, including to comply with legal or accounting requirements or for reporting.

In addition, where necessary, we keep Personal Data to enable Pluxee to defend itself or to assert a right, for as long as the applicable limitation period runs or a dispute is pending.

To determine the retention period, we take into account in particular the following criteria:

the duration of our relationship with you or with the company you work for (e.g. the term of the contract or affiliation, the validity of your vouchers or the time needed to handle your request);
the statutory retention obligations to which we are subject (e.g. in accounting, tax and social matters and under the regulations on vouchers);
the statutory limitation periods for possible legal claims;
for marketing purposes: until you unsubscribe or withdraw your consent, or after a period of inactivity;
the guidelines and recommendations of the supervisory authorities (e.g. for cookies).

The specific retention periods for each Processing are set out in the relevant Specific Privacy Notice.

If you need more information about the retention periods of your Personal Data, you can contact us at the following address: privacy.be@pluxeegroup.com.

After the applicable retention period has expired, we will securely delete or anonymise your Personal Data. Data in back-ups are deleted in line with the normal replacement cycle of those back-ups.

4. SECURITY OF YOUR PERSONAL DATA

We take the appropriate technical and organisational measures to protect your Personal Data against accidental or unlawful destruction, alteration or loss, or unauthorised use, disclosure or access, in accordance with our Group Information Security and Systems Policy. These measures include access management on a need-to-know basis, authentication, encryption where appropriate, logging, physical security, regular audits and confidentiality obligations for our staff.

We take all reasonable measures that comply with the principles of data protection by design (“privacy by design”) and data protection by default (“privacy by default”), in order to implement the necessary safeguards and protect the Processing of Personal Data.

Depending on the level of risk associated with the processing, we also carry out a data protection impact assessment (“DPIA”) within the meaning of Article 35 GDPR in order to take appropriate measures and guarantee the protection of Personal Data.

We also take additional measures to secure data considered to be Sensitive Personal Data.

Should a personal data breach nevertheless occur that is likely to result in a high risk to your rights and freedoms, we will inform you without undue delay, in accordance with Article 34 GDPR.

5. SHARING OF YOUR PERSONAL DATA

Within Pluxee, only staff who need the data to perform their duties have access to your Personal Data, and they are bound by confidentiality. We share your Personal Data with other Pluxee Group entities and other recipients only for the purposes described in this Notice or in the relevant Specific Privacy Notice. These are the following categories of recipients:

With other Pluxee Group entities, for example for shared IT services (hosting and maintenance of information systems), information security, reporting and internal audit;
With certain authorised external service providers and only in connection with the services we provide, such as providers of IT, hosting and cloud services, the manufacturer of the Pluxee Card, transaction and payment processors, call centres, (e-)mailing providers, market research agencies and our legal, financial and accounting advisers;
With companies providing services to combat fraud or illegal activities and to screen sanctions lists, and with third parties providing similar services, such as financial institutions;
With courts, law enforcement authorities, regulatory bodies, government bodies and other parties where reasonably necessary to exercise or defend a right or for out-of-court dispute resolution, or where we are legally required to disclose data to them;
With internal or external service providers that we engage locally or in a third country to process Personal Data on our behalf for the purposes described above (for example shared service centres);
With Pluxee’s partners (for example providers of services or benefits available through our platforms), only with your consent or at your request. We name those partners when we ask for your consent;
With your employer, to the extent necessary to manage the benefits it grants you (e.g. confirming the delivery or activation of your vouchers), without giving it access to your individual spending;
In the event of a sale, merger or acquisition of companies or assets, in which case we may transfer your Personal Data to the potential buyer or seller in order to assign or renew rights or obligations, subject to appropriate confidentiality obligations.

Service providers that process Personal Data on our behalf (processors) are bound by contract in accordance with Article 28 GDPR and may only use the data on our instructions. Other recipients (such as banks, advisers or authorities) process the data as separate controllers, under their own responsibility. We do not sell your Personal Data.

6. INTERNATIONAL TRANSFERS OF PERSONAL DATA

Pluxee is part of an international group and works with service providers, some of which are established outside the European Economic Area (EEA) or access data from there. Some third countries in which Pluxee operates do not offer the same level of protection of Personal Data as the country in which you live and are not considered by the European Commission to provide an adequate level of protection of the Personal Data of natural persons.

We only transfer your Personal Data to a country outside the EEA where one of the following safeguards of Chapter V GDPR applies:

an adequacy decision of the European Commission for the country concerned (for example, for the United States, the EU-US Data Privacy Framework for recipients certified under it);
the standard contractual clauses adopted by the European Commission (Implementing Decision (EU) 2021/914), both for transfers within the Pluxee Group and for transfers to other recipients, supplemented where necessary by additional technical, contractual or organisational measures;
in the absence of such a safeguard, and only exceptionally, one of the derogations of Article 49 GDPR (for example where the transfer is necessary for the establishment, exercise or defence of legal claims).

You will receive more information about the transfer of your Personal Data to countries outside the EEA through the relevant Specific Privacy Notice, at the time your Personal Data are collected.

If you would like more information, including a copy of the documents used to protect your Personal Data, you can contact us at the following address: privacy.be@pluxeegroup.com.

7. COOKIES

We use “cookies” and similar technologies on our websites and apps. Cookies are text files stored on your computer, tablet or smartphone when you visit certain websites. For example, we may use cookies to know whether or not you have visited our site before or to know which topics interest you most. We may also use cookies to analyse traffic and for advertising purposes.

Cookies can make your online visit more pleasant by storing your preferences while you visit the website. When you visit our websites, we will tell you which types of cookies we use and how you can block them. Except for cookies that are strictly necessary for the operation of the website, we only place cookies with your prior consent. You can change your choice or withdraw your consent at any time through the cookie settings on our website, and you can also visit our websites if you refuse non-essential cookies. If you would like more information, please consult our Cookie Policy.

8. YOUR RIGHTS

Pluxee is committed to protecting your rights granted by applicable law. Below is a table giving an overview of your various rights. Some rights only apply under certain conditions or may be restricted by law; in that case we will explain why we cannot (fully) comply with your request:

Right of access	You may ask us whether we process Personal Data about you and, if so, obtain access to those data and to information about the Processing (including the purposes, the categories of data, the recipients, the retention period and the source). You are entitled to a free copy of your Personal Data.
Right to rectification	You may request the rectification of inaccurate Personal Data, or the completion of incomplete Personal Data.
Right to erasure (“right to be forgotten”)	Your right to be forgotten gives you the right to request that your Personal Data be erased where: the data are no longer necessary for the purpose for which they were collected; you choose to withdraw your consent; you have successfully objected to the processing of your Personal Data; your Personal Data have been unlawfully processed; there is a legal obligation to erase your Personal Data. The right to erasure is not absolute: we may, for example, need to keep certain data to comply with a legal obligation or for the establishment, exercise or defence of legal claims.
Right to restriction of processing	You may request that the processing of your Personal Data be restricted where: you contest the accuracy of your Personal Data; PLUXEE no longer needs your Personal Data for the purposes of the processing, but you need them for the establishment, exercise or defence of legal claims; you have objected to processing, pending verification whether our legitimate grounds override yours; the processing of your Personal Data is unlawful and you prefer restriction of its use rather than its erasure.
Right to data portability	Where applicable, you may request the portability of the Personal Data you have provided to PLUXEE, in a structured, commonly used and machine-readable format. You have the right to transmit these data to another controller without hindrance from PLUXEE, where: the processing of your Personal Data is based on consent or on a contract; and the processing is carried out by automated means. You may also request that your Personal Data be transmitted directly to another controller of your choice (where technically feasible).
Right to object to processing	You may, on grounds relating to your particular situation, object to the processing of your Personal Data based on our legitimate interests. We will then stop that Processing, unless we demonstrate compelling legitimate grounds that override your interests, or need the data for a legal claim. You may always object, free of charge and without giving reasons, to Processing for direct marketing purposes, including profiling related to it (“opt-out”).
Right to withdraw your consent	Where we process your Personal Data on the basis of your consent, you may withdraw your consent at any time, for example through the unsubscribe link in our e-mails or through the preference centre. Withdrawal does not affect the lawfulness of the Processing before its withdrawal.
Right not to be subject to automated decisions	You have the right not to be subject to a decision based solely on automated processing, including profiling, which produces legal effects concerning you or similarly significantly affects you (see section 3.7). Where such a decision is permitted, you have the right to obtain human intervention, to express your point of view and to contest the decision.
Right to lodge a complaint	You may choose to lodge a complaint with the data protection supervisory authority in the country of your habitual residence, place of work or place of the alleged infringement. In Belgium, this is: the Belgian Data Protection Authority (Gegevensbeschermingsautoriteit / Autorité de protection des données, Drukpersstraat 35 / rue de la Presse 35, 1000 Brussels – contact@apd-gba.be – www.dataprotectionauthority.be). You also have the right to bring proceedings before the courts of the Member State where the Pluxee entity has an establishment or where you have your habitual residence. We would appreciate it if you contacted our DPO first, so that we can try to find a solution together.

Your right to object

You have the right to object at any time, on grounds relating to your particular situation, to the Processing of your Personal Data based on our legitimate interests. You may always object to Processing for direct marketing purposes, without giving reasons. You can do so through the unsubscribe link in every marketing communication, through the preference centre or using the contact details below.

You may exercise these rights at any time and free of charge or contact us for a request or complaint regarding the protection of your data:

– by sending your request (which right you wish to exercise and which Processing it concerns) to the Data Protection Officer at the following address: privacy.be@pluxeegroup.com;

– by completing the online form available on our website; or

– by post to Pluxee Belgium NV, for the attention of the Data Protection Officer, Ravensteinstraat 36, 1000 Brussels.

To protect your Personal Data, we verify your identity using the data we already hold. We only ask for additional information where we have reasonable doubts about your identity. We do not systematically ask for a copy of your identity card.

We respond without undue delay and at the latest within one month of receipt of your request. That period may be extended by two further months, taking into account the complexity and number of requests; in that case we inform you of the extension and the reasons for it within the first month. We may refuse a request or charge a reasonable fee where it is manifestly unfounded or excessive, in particular because of its repetitive character.

9. CHILDREN

Children merit specific protection with regard to their Personal Data, as they may be less aware of the risks, consequences and safeguards concerned and of their rights in relation to the processing of Personal Data. Such specific protection should in particular apply to the Processing of children’s data for marketing purposes or for creating personality or user profiles and the collection of Personal Data about children when using services offered directly to children.

Our services are intended for adults and are not directed at children. We do not knowingly collect Personal Data of children for our services and we do not advertise to children. If you believe that we have mistakenly collected Personal Data of children, please inform us using the contact details in section 11; we will then delete those data.

10. CHANGES

From time to time we may update this Notice, as our activities and legal obligations may change substantially. If we make significant changes to this Notice, we will announce this on our website when the changes take effect. Where a change concerns a new purpose or materially affects your rights, we will inform you directly and in advance, and ask for your consent again where necessary. The date of the latest update is shown at the end of this Notice.

11. CONTACT US

If you have any questions, comments or requests regarding this Notice, you can contact our Data Protection Officer by e-mail at privacy.be@pluxeegroup.com, through the online form or by post to Pluxee Belgium NV, for the attention of the Data Protection Officer, Ravensteinstraat 36, 1000 Brussels.

12. DEFINITIONS

Data Subject: any identified or identifiable natural person whose Personal Data are processed.

Third country: any country, territory or sector defined in that country, outside the European Union (EU) and the European Economic Area (EEA).

Third party: means a natural or legal person, public authority, agency or body other than the data subject, the controller, the processor and the persons who, under the direct authority of the controller or processor, are authorised to process the personal data.

European data protection legislation or General Data Protection Regulation (GDPR) means Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC.

Data Protection Officer or DPO means the person appointed by Pluxee Belgium NV in accordance with Article 37 GDPR, who can be contacted at privacy.be@pluxeegroup.com.

Group Data Protection Officer means the person appointed with the approval of the Executive Committee of the Pluxee Group to be responsible for matters relating to the confidentiality of personal data at the level of the Pluxee Group.

Merchant partner means a merchant affiliated to Pluxee’s acceptance network that accepts Pluxee vouchers or cards.

Personal Data means any information relating to an identified or identifiable natural person; an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person.

Specific Privacy Notice means a privacy notice that applies to a particular category of Data Subjects or Processing, as described in section 2.

Processor: means a natural or legal person, public authority, agency or other body which processes personal data on behalf of and on the instructions of the Controller.

Controller means any natural or legal person, public authority, agency or other body which, alone or jointly with others, determines the purposes and means of the processing of personal data.

Processing or Processing of Personal Data means any operation or set of operations performed on Personal Data or on sets of Personal Data, whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction of data.

Sensitive Personal Data and other Special categories of personal data: means any Personal Data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, as well as genetic data, biometric data for the purpose of uniquely identifying a person, data concerning health, or data concerning a person’s sex life or sexual orientation. This definition also covers Personal Data relating to criminal convictions and offences.

Pluxee Group means any entity controlled directly or indirectly, under the conditions provided by law, by PLUXEE INTERNATIONAL with a registered capital of 410 857 904 euros, and having its registered office at 16 rue du Passeur de Boulogne, 92130 Issy-les-Moulineaux, France, 350 925 384 RCS Nanterre.

Supervisory Authority means an independent public authority established by a Member State pursuant to the GDPR; in Belgium, this is the Data Protection Authority.

Updated on 6 October 2026