Cookiebeleid

1. Wie zijn wij

Deze website wordt beheerd door Andrey Sobolevsky, eenmanszaak handelend onder de naam Waivoo, Chaussée de Tervuren 145, 1410 Waterloo, België. Ondernemingsnummer (KBO) 0772.527.301, btw BE 0772.527.301. Wij zijn de verwerkingsverantwoordelijke. Contact: support@waivoo.com.

2. Waarover dit beleid gaat

De Belgische wet (artikel 10/2 van de wet van 30 juli 2018, dat artikel 5(3) van de ePrivacyrichtlijn omzet) vereist uw toestemming voordat iets op uw toestel wordt opgeslagen of gelezen — tenzij dat strikt noodzakelijk is voor een dienst die u uitdrukkelijk hebt gevraagd. De regel is technologieneutraal: dit beleid geldt dus ook voor localStorage, sessionStorage, IndexedDB, trackingpixels, fingerprinting en trackinglinks, niet alleen voor cookies.

3. Strikt noodzakelijk

Een element is enkel vrijgesteld als het een communicatie mogelijk maakt, of als de gevraagde dienst er echt niet zonder kan. Gemak, statistiek of commercieel nut volstaan niet. Dit zijn de elementen waarvoor wij ons op die vrijstelling beroepen:

• access_token (cookie, api.waivoo.com) — Keeps you signed in between requests. Set by our authentication service and not readable by page scripts (httpOnly). Bewaartermijn: 30 minutes.
• refresh_token (cookie, api.waivoo.com) — Lets your browser obtain a new session token without asking you to sign in again. Single-use and replaced each time it is used. This is the longest-lived identifier we store on your device. Bewaartermijn: 30 days.
• access_token (cookie, waivoo.com) — A copy of your session token that our page server reads to decide whether you may open a protected page. Written by page scripts, and removed automatically once the token expires. Bewaartermijn: Up to 24 hours, and never longer than the token itself is valid.
• token_type (cookie, waivoo.com) — Records the authentication scheme used with the session token above. Bewaartermijn: Up to 24 hours.
• isAuthenticated (cookie, waivoo.com) — Flags that a session exists, so the interface can render the signed-in state. Bewaartermijn: Up to 24 hours.
• workforce_access_token (cookie, waivoo.com) — Staff console session. Only ever set for Waivoo staff accounts. Bewaartermijn: 12 hours.
• waivoo_consent (cookie, waivoo.com) — Remembers your cookie choices, so we neither ignore them nor ask you again on every page. Bewaartermijn: 180 days (identical whether you accept or refuse).
• access_token, token_type, isAuthenticated (localStorage, waivoo.com) — Holds your session token for the in-page API client, so the app can call our services as you. Bewaartermijn: Until you sign out or clear site data.
• search_prompt_<id>, initial_prompt_<id> (sessionStorage, waivoo.com) — Carries the trip request you just typed across a single page redirect. Deleted the moment it is read, and in any case when the tab closes. Bewaartermijn: Deleted on first read; at most the browser tab session.
• new_session_<id> (sessionStorage, waivoo.com) — Marks a trip you have just started in this tab, so the page opens it as a new trip rather than as a trip you have no access to. Holds no content. Bewaartermijn: Deleted once the trip is saved; at most the browser tab session.
• waivoo_pending_trip (cookie, waivoo.com) — Holds the trip request you typed while signed out, so signing in can pick up exactly where you left off instead of losing your request to the login screen. A cookie rather than tab storage because e-mail verification usually returns in a new tab. Bewaartermijn: 30 minutes, and deleted the moment it is used.
• waivoo_pending_share (cookie, waivoo.com) — Holds the shared-trip invitation link you opened while signed out, so that after you sign in or create an account you land back on the invitation instead of losing it to the login screen. It contains only the invitation code — never who invited you or anything about the trip. A cookie rather than tab storage because e-mail verification usually returns in a new tab. Bewaartermijn: 1 day, and deleted the moment it is used.
• accounts.google.com/gsi/client (script, accounts.google.com) — Google Identity Services, used only for the "Continue with Google" sign-in option. Loaded ONLY once you open the sign-in dialog — never on ordinary browsing. Bewaartermijn: Per page load; any cookies set are Google's own and governed by Google's policy.
• __stripe_mid, __stripe_sid and related (cookie, checkout.stripe.com / billing.stripe.com) — Payment processing and fraud prevention, set by Stripe on Stripe's own pages after you choose to subscribe. Stripe's scripts are NOT loaded on waivoo.com — you are redirected to Stripe. Bewaartermijn: Set by Stripe (typically 30 minutes to 1 year).

4. Doeleinden die u kunt kiezen

Elk doel hieronder is optioneel, staat op zichzelf en staat uit tenzij u het aanzet. Weigeren geeft u volledige toegang tot de site — wij gebruiken geen cookiemuur en rekenen niets aan om te weigeren.

Doeleinden die wij niet gebruiken

Wij publiceren deze zodat onze indeling transparant is vóór er iets verandert. Wij doen dit vandaag niet, er worden hiervoor geen gegevens verzameld, en wij vragen het u opnieuw voordat wij eraan beginnen:

• Meten hoe de site wordt gebruikt. Statistieken over welke pagina's worden bezocht en waar mensen vastlopen, zodat we het product kunnen verbeteren.
• Afstemmen van wat we u tonen. Een beeld van uw reisvoorkeuren opbouwen op basis van uw gebruik van de site, om de voorgestelde bestemmingen, hotels en reisplannen te kiezen en te ordenen.
• Gepersonaliseerde prijzen en commissie. Een profiel op basis van uw gedrag gebruiken om de prijzen, commissies of aanbiedingen voor hotelboekingen te bepalen die u te zien krijgt. Dit staat volledig los van elk ander doel en wordt er nooit mee gebundeld.
• Eigen marketing van Waivoo. Onze eigen campagnes meten en u onze eigen aanbiedingen tonen op basis van uw gebruik van de site.
• Knoppen voor delen op sociale media. Deel- en volgknoppen die van sociale netwerken worden geladen en hen laten zien dat u de pagina bezocht.

5. Optionele elementen in detail

• search_session_<sessionId> (localStorage, waivoo.com) — Keeps a copy of trips you have opened on this device, so they load instantly and still appear if our servers are briefly unreachable. The site works fully without it. Bewaartermijn: Until you withdraw consent or clear site data.
• waivoo-offline-tours (stores: sections, blobs) (indexedDB, waivoo.com) — Holds a guided tour you previously downloaded — its text, images and audio. Guided tours have been withdrawn, so nothing new is written here, but anything downloaded before then is still on your device. It can reach tens of megabytes and is never deleted automatically; you can remove it from the cookie preferences panel at any time. Bewaartermijn: Until you delete it or clear site data — no automatic expiry.
• maps.googleapis.com (Maps JavaScript API + Places) (script, maps.googleapis.com) — Draws the interactive map of your trip and suggests places as you type. Loading it tells Google your IP address and which page you are on. If you refuse, we show a static map preview served by our own servers instead (the /api/map-snapshot route — Google never sees your browser). Bewaartermijn: Per page load; any storage is set by Google under Google's policy. Doorgifte: United States — EU-US Data Privacy Framework and Standard Contractual Clauses.
• www.youtube-nocookie.com (embedded travel films) (script, www.youtube-nocookie.com) — Plays short travel films about your destinations inside the trip report. Loading a player tells YouTube your IP address and which film you watch, and YouTube will store identifiers in your browser under its own policy. If you refuse, we show only still images served by Waivoo. Bewaartermijn: Per play; any storage is set by YouTube under Google's policy. Doorgifte: United States — EU-US Data Privacy Framework and Standard Contractual Clauses.
• www.tiktok.com/player (embedded travel films) (script, www.tiktok.com) — Plays short travel films hosted on TikTok inside the trip report, only after you allow it. Loading a player tells TikTok your IP address and which film you watch. If you refuse, we show only still images served by Waivoo. Bewaartermijn: Per play; any storage is set by TikTok under TikTok's policy. Doorgifte: United States / Singapore — Standard Contractual Clauses.
• videos.pexels.com / images.pexels.com (stock travel footage) (script, videos.pexels.com) — Streams licence-free stock travel footage inside the trip report when no creator film is available for a destination. Loading a clip tells Pexels your IP address. Poster images are proxied through Waivoo; the video stream itself comes from Pexels. If you refuse, we show only still images served by Waivoo. Bewaartermijn: Per play; any storage is set by Pexels under Pexels' policy.
• player.vimeo.com (embedded travel films) (script, player.vimeo.com) — Plays short travel films hosted on Vimeo inside the trip report, only after you allow it. Loading a player tells Vimeo your IP address and which film you watch. If you refuse, we show only still images served by Waivoo. Bewaartermijn: Per play; any storage is set by Vimeo under Vimeo's policy. Doorgifte: United States — Standard Contractual Clauses.
• Stay22 "Let Me Allez" (letmeallez.js and spark-gallery-widget.js) (script, scripts.stay22.com) — Loaded only on Explore travel articles, and only after you allow partner tracking. Rewrites links to booking sites (Booking.com, the Expedia group including Hotels.com and Vrbo, the Kayak group, Agoda, GetYourGuide) into www.stay22.com tracking links so a booking can be attributed to Waivoo for a commission. It calculates a device fingerprint (from canvas, audio, WebGL, screen, hardware, plugins, speech voices, language and system settings) and sends it to id.h2.stay22.com; checks for ad blockers and private browsing (in Chromium browsers this can create a one-byte test file named "_" in the site's private file system); and sends Stay22 the full address of the page including its query string, the referring page, the article title and up to 10,000 characters of its text. Stay22 derives an approximate location from your IP address. It can also add sponsored links to the article text and open partner results in a new tab. A small, randomly sampled share of visits sends page-performance measurements to Stay22, and ThumbmarkJS (api.thumbmarkjs.com) receives rare sampled diagnostics. Bewaartermijn: Per page load while you are on Explore; the identifiers it stores are listed separately below. Doorgifte: Outside the EEA — Stay22's privacy policy states data may be processed outside Québec and Canada, including in the United States and Europe.
• sid22, hip22, conMeth, localnova, pendingNovaSave, scrollPort22, visitor_id_id22 (localStorage, waivoo.com) — Written into this site's storage by the Stay22 script. sid22: visitor/session identifier sent with every Stay22 request. hip22: a hash of your IP address supplied by Stay22. conMeth: Stay22's classification of your connection (normal, VPN, data centre, Tor, bot). visitor_id_id22: your device-fingerprint identifier. localnova and pendingNovaSave: remember that a partner tab was recently opened, to limit how often it happens. scrollPort22: your scroll position when you leave through a partner link. Deleted when you withdraw consent. Bewaartermijn: sid22, hip22, conMeth: 6 hours; localnova, pendingNovaSave: about 14 minutes; scrollPort22: 1 minute; visitor_id_id22: no expiry — deleted when you withdraw consent or clear site data. Doorgifte: Values are sent to Stay22 — see the Stay22 script entry above.
• extnova, _tmjs_l (sessionStorage, waivoo.com) — Written by the Stay22 script. extnova: a one-time flag about a partner tab, deleted as soon as it is read. _tmjs_l: records that the fingerprinting library already sent its sampled diagnostics in this tab. Bewaartermijn: At most the browser tab session; deleted when you withdraw consent. Doorgifte: Used by the Stay22 script — see the Stay22 script entry above.
• __cf_bm (cookie, stay22.com) — Bot-detection cookie set on Stay22's own domain when your browser downloads the Stay22 script. Waivoo cannot read or delete it; it is governed by Stay22's policy. Bewaartermijn: 30 minutes. Doorgifte: See the Stay22 script entry above.

6. Derden

Google Ireland Ltd / Google LLC (aanmelden met Google; Maps en Places), Stripe Payments Europe Ltd / Stripe, Inc. (betaalpagina's) en DigitalOcean / AWS (tijdelijke links naar uw eigen documenten). Stay22 Technologies Inc. (affiliatietrackinglinks in onze Explore-artikelen, enkel geladen als u partnertracking toestaat; het script, geleverd door scripts.stay22.com, contacteert ook www.stay22.com, id.h2.stay22.com en, zelden, api.thumbmarkjs.com; volgens het privacybeleid van Stay22 kunnen gegevens buiten Québec en Canada worden verwerkt, onder meer in de Verenigde Staten en Europa). Afgezien van die Stay22-partnertracking, waarvoor uw toestemming nodig is en die enkel op Explore-artikelen draait, gebruiken wij geen analytics, geen advertentienetwerk, geen tagmanager, geen sessieopname en geen trackingpixel.

7. Hoelang uw keuze geldt

Wij onthouden uw antwoord 180 dagen, even lang of u nu aanvaardt dan wel weigert. Binnen die periode vragen wij het niet opnieuw, behalve als wij een nieuw doel, een nieuwe ontvanger of een nieuwe doorgifte invoeren.

8. Wijzigen of intrekken

Gebruik de link Cookie preferences onderaan elke pagina, of de knop hieronder. Intrekken vraagt evenveel moeite als geven. Het werkt met terugwerkende kracht: wij laden de betrokken inhoud van derden niet langer en wissen wat dat doel al op uw toestel bewaarde. Het doet geen afbreuk aan de rechtmatigheid van wat daarvoor gebeurde.

9. Profilering, personalisatie en prijzen

De prijs die u ziet, hangt niet af van wie u bent. Voor eenzelfde hotel, datum en gezelschap ziet iedere bezoeker dezelfde prijs. Wij bouwen vandaag geen gedragsprofielen op en er is geen geautomatiseerde besluitvorming met rechtsgevolgen of vergelijkbare gevolgen in de zin van artikel 22 AVG.

Mochten wij ooit prijzen, commissies of aanbiedingen personaliseren op basis van geautomatiseerde besluitvorming, dan verbinden wij ons ertoe u dat vooraf apart en uitdrukkelijk te vragen, een gegevensbeschermingseffectbeoordeling uit te voeren, menselijke tussenkomst en betwisting mogelijk te maken, nooit bijzondere categorieën van gegevens of gegevens van minderjarigen te gebruiken, en de vermelding te tonen die artikel VI.45 §1 21° van het Wetboek van economisch recht vereist — “deze prijs werd voor u gepersonaliseerd op basis van geautomatiseerde besluitvorming” — naast de prijs zelf. Die laatste verplichting volgt uit het consumentenrecht en geldt ongeacht uw cookiekeuze.

10. Uw rechten

U hebt recht op inzage, verbetering en wissing, op beperking en bezwaar, en op overdraagbaarheid (artikelen 15–20 AVG). U hebt een absoluut recht van bezwaar tegen verwerking voor direct marketing, inclusief profilering daarvoor (artikel 21(2)). Contact: support@waivoo.com.

U kunt ook klacht indienen bij de Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel, contact@apd-gba.be.

11. Verwante documenten

Zie ons Privacybeleid en onze Gebruiksvoorwaarden. Cookies aanvaarden is geen aanvaarding van die documenten.