Privacy statement

Bad Habits V.O.F. organiseert muziek- en cultuurevenementen in Maastricht. Wij zijn ingeschreven bij de Kamer van Koophandel onder nummer 87745410.

Je bereikt ons zo:

• per mail op contact@badhabits.club
• via de chat rechtsonder op deze site
• via onze site badhabits.club

Wij zijn voor de verwerkingen in deze verklaring de verwerkingsverantwoordelijke, behalve waar wij hieronder iets anders vermelden. Wij hebben geen functionaris voor gegevensbescherming; daartoe zijn wij niet verplicht.

Dit privacy statement gaat over:

• je bezoek aan badhabits.club, inclusief de pagina badhabits.club/links en de enquête
• de chat op onze site en de mail die daaruit kan volgen
• het kopen van een ticket
• je bezoek aan een van onze events

Klik je door naar een andere site, bijvoorbeeld naar onze Instagram of naar de ticketshop, dan geldt daar de privacyverklaring van die partij.

Onze site, onze chat en onze events zijn bedoeld voor bezoekers van 18 jaar en ouder.

Onze site draait bij Webflow. Om de site te kunnen tonen verwerkt Webflow je IP-adres en de gegevens van je browser in serverlogboeken. Grondslag: ons gerechtvaardigd belang om de site te laten werken en te beveiligen.

Daarnaast meten wij het bezoek met Google Analytics 4 (meet-id G-TLP1D9ZVES) en gebruiken wij het Meta-pixel (523953212853025) voor onze advertenties. Grondslag: jouw toestemming, die je in onze cookiebanner geeft en altijd weer kunt intrekken via de regel Cookie settings onderaan de site of via deze link.

Zolang je geen ja hebt gezegd staan statistieken en marketing uit, en ze gaan ook weer uit als je je ja intrekt. Het Meta-pixel wordt dan niet eens geladen: er gaat niets naar Meta en Meta zet geen cookie. Google Analytics zet dan geen cookie en herkent je niet.

Een ding gebeurt ook zonder ja, en ook na een nee: Google Analytics krijgt dan signalen zonder cookie en zonder kenmerk waaraan je te herkennen bent. Daarmee tellen wij welke pagina's bekeken worden en wat er op een pagina gebeurt, zoals scrollen en een klik op een link naar buiten. Je browser haalt daarvoor een script bij Google op, en daarbij ziet Google je IP-adres. Grondslag: ons gerechtvaardigd belang om te weten hoeveel bezoek de site krijgt. Bezwaar maken kan via deze link: dan stuurt Google Analytics vanuit deze browser niets meer, zolang je browser de cookie bewaart waarin dat bezwaar staat (zie artikel 10). Het script wordt dan nog wel bij Google opgehaald.

Op badhabits.club/links meten wij zelf welke knop je aantikt, zodat wij weten wat mensen zoeken. Wij sturen daarbij alleen:

• om welke knop het gaat en hoe die heet
• het domein en het pad waar de knop heen gaat
• of je via de bio-link binnenkwam

Wij sturen daarbij geen volledige webadressen mee en geen gegevens over jou.

Onze kaartverkoop loopt via Celebratix. Je koopt je ticket in hun shop, en daar geef je je naam, je e-mailadres en je betaalgegevens op. Die gegevens komen bij Celebratix terecht, niet bij ons. Grondslag: de uitvoering van de koopovereenkomst.

Wij bewaren zelf geen betaalgegevens.

Wat wij van Celebratix terugkrijgen zijn alleen opgetelde cijfers, zonder namen of ordernummers:

• hoeveel kaarten er per dag zijn verkocht en voor welk bedrag
• hoe de verkoop over de ticketsoorten is verdeeld
• via welke van onze links mensen binnenkwamen
• een beeld van het publiek: gemiddelde leeftijd, leeftijdsverdeling, geslacht, steden en landen, en hoeveel bezoekers er voor het eerst zijn

Kom je via een advertentie op Instagram of Facebook bij ons, dan zet Meta een klik-id in het webadres. Klik je vanaf onze pagina met links door naar de ticketshop, dan geven wij die klik-id mee in de link, zodat een aankoop aan die advertentie te koppelen is. Daarvoor lezen wij niets van je apparaat: de klik-id stond al in het adres waarmee je binnenkwam. Alleen na een ja tegen marketing gebruiken wij daarvoor ook de cookie die het Meta-pixel bij een eerder bezoek zette. Grondslag: ons gerechtvaardigd belang om te weten welke advertentie kaarten verkoopt.

In de ticketshop staan drie meetinstellingen van ons: het Meta-pixel, een TikTok-pixel en een eigen Google Analytics-meting. Die horen bij de shop en niet bij deze site, en de cookiebanner van deze site gaat er niet over.

Celebratix meldt een aankoop daarnaast van server naar server aan bij Meta, met gegevens waarmee Meta die aankoop aan een profiel kan koppelen. Dat gebeurt aan hun kant en staat los van het pixel op onze site. Wil je weten wat Celebratix precies verwerkt, lees dan hun eigen privacyverklaring.

Hoe lang Celebratix je ordergegevens bewaart bepalen zij, niet wij. Wij hebben die gegevens niet.

Stel je een vraag via de chat, dan bewaren wij het gesprek zodat wij je kunnen helpen en zodat een collega later kan zien wat er is gezegd. Grondslag: ons gerechtvaardigd belang om vragen van bezoekers te beantwoorden, en waar het over je ticket gaat de uitvoering van de overeenkomst.

Wij bewaren bij een gesprek:

• de berichten die je stuurt en de foto's die je meestuurt
• je e-mailadres, alleen als je het zelf geeft zodat wij je per mail kunnen antwoorden
• de taal waarin je schrijft en de landcode van twee letters die onze hostingpartij meegeeft
• welk apparaat, welke browser en welk besturingssysteem je gebruikt, in drie woorden
• op welke pagina je de chat opende en van welke site je kwam
• interne notities die ons team bij het gesprek zet, en je beoordeling als je die achterlaat

Ons team kan live meekijken in een lopend gesprek en op elk moment het antwoord overnemen. Antwoordt iemand van ons, dan zie je zijn naam en zijn profielfoto.

Stuur ons in de chat geen gegevens over je gezondheid en geen volledige betaalgegevens. Wij hebben ze niet nodig, en een foto van een betaling of een verwonding is precies het soort gegeven dat je liever niet rondstuurt. Heb je een bewijs van betaling nodig, vraag dat dan bij Celebratix op.

Wij bewaren je IP-adres niet, en ook niet de volledige gegevens van je browser. Een gesprek wordt twaalf maanden na het laatste bericht automatisch verwijderd, met alle berichten, foto's en notities die erbij horen. Dat is niet een voornemen maar staat zo in onze database.

Open je de chat, dan legt je browser twee sleutels vast. De eerste hoort bij dat ene gesprek en brengt je er na het sluiten van het venster weer in terug. De tweede herkent jouw browser over gesprekken heen, zodat wij zien dat een eerdere vraag van jou kwam en je niet alles opnieuw hoeft te vertellen. Bij ons staan die sleutels alleen als onleesbare afdruk, en ze verdwijnen met het gesprek na twaalf maanden. Wil je ze eerder kwijt, wis dan de opslag van je browser voor deze site.

Om te voorkomen dat iemand de chat misbruikt tellen wij hoeveel gesprekken er vanaf een verbinding komen. Die telling gebruikt geen IP-adres maar een sterk ingekorte, versleutelde afgeleide ervan, waar duizenden adressen op uitkomen, en verdwijnt na een dag.

De eerste antwoorden in de chat worden geschreven door een AI-model van Anthropic. Komt je vraag daar niet mee rond, dan neemt iemand van ons het over. Grondslag: ons gerechtvaardigd belang om vragen snel en buiten kantooruren te kunnen beantwoorden.

Naar Anthropic gaan alleen:

• de tekst van je berichten en de foto's die je stuurt
• de antwoorden van ons team in hetzelfde gesprek
• de taal waarin je schrijft
• de melding dat je een e-mailadres hebt achtergelaten, zonder dat adres zelf

Je e-mailadres, je land, je apparaat, de pagina waarop je zat en je IP-adres gaan dus niet mee. Per antwoord sturen wij hoogstens de laatste veertig berichten mee.

Onze overeenkomst loopt met Anthropic Ireland, Limited, want zo is het geregeld voor klanten in de Europese Economische Ruimte. Anthropic bewaart de berichten dertig dagen en mag ze in die tijd inzien om misbruik tegen te gaan. Daarna worden ze verwijderd. Anthropic mag onze gesprekken niet gebruiken om modellen te trainen; dat staat zo in de overeenkomst.

Laat je een e-mailadres achter en ben je weg als wij antwoorden, dan sturen wij je een mail. Die mail gaat via Resend. Daarin staan je e-mailadres, ons antwoord, het nummer van het gesprek en een link waarmee je terug in je gesprek komt. Grondslag: jouw toestemming, die je geeft door je adres achter te laten.

De link in die mail werkt dertig dagen en vervalt daarna automatisch.

Zodra een gesprek op een mens staat te wachten, krijgt ons team een melding via Telegram. Daarin staat alleen:

• het nummer van het gesprek en de reden
• een korte samenvatting of de eerste tweehonderd tekens van je laatste bericht
• je taal en je landcode
• een link naar het gesprek in ons dashboard

E-mailadressen, telefoonnummers en rekeningnummers halen wij uit die melding weg voordat hij verstuurd wordt. Zo een melding verdwijnt niet vanzelf uit Telegram.

Na een event vragen wij op badhabits.club/enquete wat je ervan vond. Meedoen is vrijwillig en de antwoorden zijn anoniem: wij vragen niet naar je naam en wij bewaren er geen e-mailadres of IP-adres bij. Grondslag: jouw toestemming, die je geeft door de enquête in te vullen.

Je browser onthoudt dat je hebt meegedaan, zodat je de vraag niet twee keer krijgt. Dat is een aantekening op je eigen apparaat en geen gegeven bij ons; hij blijft staan tot je de opslag van je browser wist.

De open antwoorden laten wij samenvatten door een AI-model van Anthropic, zodat wij de rode draad zien zonder alles los te lezen. Schrijf daarom geen gegevens in een open antwoord die je niet met ons wilt delen.

Wij bewaren de antwoorden zolang wij ze gebruiken om het event en het volgende event te beoordelen, en verwijderen ze daarna.

Op onze events maken wij foto- en video-opnames voor de sfeer en voor onze promotie. Sta je daar herkenbaar op en wil je dat niet, mail ons dan; dan halen wij het uit onze eigen kanalen. Grondslag: ons gerechtvaardigd belang om onze events bekend te maken, met jouw recht van bezwaar.

Op en rond de locatie hangen camera's voor de veiligheid. Die camera's zijn van de venue en niet van ons; de venue bepaalt wat er met die beelden gebeurt en hoe lang zij bewaard blijven. De venue kan ook crowd monitoring met AI gebruiken. Dat is geen gezichtsherkenning. Zie ook artikel 6 van onze huisregels.

Bij onze events in Maastricht is de venue Muziekgieterij, Boschstraat 5. Vragen over de camerabeelden stel je aan hen via info@muziekgieterij.nl.

Je cookiekeuze maak je in onze eigen cookiebanner. Je verandert hem op elk moment via de regel Cookie settings onderaan de site of via deze link. Een keuze geldt 6 maanden; daarna vragen wij het opnieuw, ook als je nee zei.

De banner kent drie doelen: noodzakelijk, statistieken en marketing. Noodzakelijk staat altijd aan; dat heb je nodig om de site te laten werken, en daaronder vallen je cookiekeuze zelf, cookies van Webflow en de cookies die de ticketshop van Celebratix nodig heeft om een bestelling af te ronden. Statistieken en marketing staan uit tot jij ze aanzet, en niets is vooraf aangevinkt.

Dit zijn de cookies op badhabits.club:

• bhc_toestemming (noodzakelijk, van ons): wat je koos, wanneer, onder welke versie van de cookietekst, en een willekeurig kenmerk. De keuze erin geldt 6 maanden; de cookie zelf blijft hooguit 200 dagen na je laatste bezoek staan
• bhc_geen_telling (noodzakelijk, van ons): alleen als je bezwaar maakte tegen het tellen zonder cookie (zie artikel 3); onthoudt dat bezwaar en verder niets. Blijft hooguit 200 dagen na je laatste bezoek staan
• _ga en _ga_TLP1D9ZVES (statistieken, Google Analytics): herkennen je browser bij een volgend bezoek. Blijven twee jaar staan. Alleen na een ja tegen statistieken
• _fbp en _fbc (marketing, Meta-pixel): herkennen je browser, en onthouden via welke advertentie je kwam. Blijven drie maanden staan. Alleen na een ja tegen marketing

Safari en de browsers op een iPhone bewaren een cookie die een site zelf zet hooguit zeven dagen na je laatste bezoek, en soms korter. Ben je langer weggeweest, dan vragen wij je keuze opnieuw en is een bezwaar vervallen; dat maak je opnieuw via de link in artikel 3.

Zeg je nee, of trek je je ja in, dan verwijdert de banner de cookies van Google Analytics of van Meta meteen van je apparaat, en ook wat het Meta-pixel in de opslag van je browser zette.

Om te kunnen aantonen dat wij toestemming hebben gevraagd en gekregen, leggen wij elke keuze vast in ons eigen logboek: wat je koos, wanneer, in welke taal, op welke pagina, onder welke versie van de cookietekst, en het willekeurige kenmerk uit je cookie. Wij slaan daarbij geen IP-adres, geen naam en geen gegevens van je browser op. Aan dat kenmerk kunnen wij een keuze alleen terugvinden als jij het ons geeft. Zo'n regel bewaren wij 12 maanden. Grondslag: onze wettelijke plicht om toestemming te kunnen aantonen.

Daarnaast zet de site dit in de opslag van je browser, zonder cookie:

• de sleutel van je chatgesprek, zodat je erin terugkomt
• het kenmerk dat jouw browser over gesprekken heen herkent (zie artikel 5)
• wat je aan het typen was in de chat of in de enquête, zodat een halve zin niet verdwijnt
• kleine voorkeuren van het chatvenster, zoals of je het geluid uitzette en of het venster openstond
• de aantekening dat je de enquête al hebt ingevuld
• de taal die je koos op onze juridische pagina's, zodat de cookiebanner dezelfde taal spreekt
• lastExternalReferrer en lastExternalReferrerTime (Meta-pixel): via welke site je binnenkwam en wanneer. Alleen na een ja tegen marketing, en weg zodra je dat intrekt

Wij verkopen je gegevens nooit. Wij delen ze met de partijen die wij nodig hebben om te doen wat wij doen:

• Celebratix, voor de kaartverkoop en de betaling
• Anthropic, voor het AI-model in de chat en voor de samenvatting van de enquête
• Supabase, waar onze database en de foto's uit de chat staan
• Vercel, waar ons dashboard en de chatkoppelingen draaien
• Webflow, waar deze site draait
• Resend, dat onze mail verstuurt
• Telegram, waarlangs ons team een melding krijgt
• Google, voor Google Analytics en voor de lettertypen die de chat, de cookiebanner en onze mail ophalen
• Meta, voor het pixel en onze advertenties
• TikTok, voor het pixel in de ticketshop

Bij het Meta-pixel en bij de aankoopmelding bepalen Meta en wij samen wat er met je gegevens gebeurt. Wij zijn daarvoor dus samen verantwoordelijk. Je mag je rechten bij ons uitoefenen en bij Meta; wij helpen je verder als je niet weet waar je moet zijn.

Verder delen wij gegevens alleen als de wet ons daartoe verplicht, bijvoorbeeld met de politie na een incident op een event.

Een aantal van de partijen in artikel 11 zit in de Verenigde Staten of kan gegevens buiten de Europese Economische Ruimte verwerken. Dat geldt in elk geval voor Anthropic, Google en Meta.

Voor die doorgifte leunen wij op de afspraken die met die partijen zijn gemaakt, zoals de modelcontractbepalingen van de Europese Commissie of het EU-US Data Privacy Framework. Bij Anthropic is dat geregeld in hun verwerkersovereenkomst, waarin de modelcontractbepalingen zijn opgenomen. Wil je weten welke afspraak voor een bepaalde partij geldt, vraag het ons dan; dan zoeken wij het voor je op.

Vier dingen die wij zo hebben ingericht:

• al het verkeer met onze site en ons dashboard loopt versleuteld
• onze database is niet publiek bereikbaar; alleen onze eigen server mag erbij
• de foto's uit de chat staan in afgesloten opslag en zijn niet met een raadbare link te openen
• wie bij de chatinbox wil, logt in met twee factoren

Gaat er toch iets mis en raakt dat jou, dan melden wij dat zoals de wet voorschrijft aan de Autoriteit Persoonsgegevens, en aan jou als dat nodig is.

Op grond van de AVG heb je het recht om:

• in te zien welke gegevens wij van je hebben
• gegevens die niet kloppen te laten verbeteren
• je gegevens te laten verwijderen
• de verwerking te laten beperken
• bezwaar te maken tegen een verwerking op grond van gerechtvaardigd belang
• je gegevens in een gangbaar bestand mee te krijgen, voor zover wij ze verwerken op grond van je toestemming of een overeenkomst
• een gegeven toestemming in te trekken, zonder dat dit geldt voor wat er al gebeurd is

Een verzoek doe je via contact@badhabits.club. Wij reageren binnen een maand. Om te voorkomen dat wij gegevens aan de verkeerde geven kunnen wij je vragen jezelf te identificeren. Gaat het om een chatgesprek, noem dan het gespreksnummer of het e-mailadres dat je gebruikte.

Ben je het niet met ons eens, dan mag je altijd een klacht indienen bij de Autoriteit Persoonsgegevens, via autoriteitpersoonsgegevens.nl.

Wij nemen geen besluiten over jou die uitsluitend door een computer worden genomen en die gevolgen voor je hebben. De AI in de chat beantwoordt vragen; hij beslist niet over restitutie, toegang of iets anders dat jou raakt. Dat doet altijd een mens.

Verandert er iets aan wat wij doen, dan passen wij deze verklaring aan. Bovenaan deze pagina staat het versienummer en de datum waarop wij haar voor het laatst bijwerkten. Bij een ingrijpende wijziging melden wij dat op onze site.

Bad Habits V.O.F. organises music and cultural events in Maastricht, the Netherlands. We are registered with the Dutch Chamber of Commerce under number 87745410.

You can reach us here:

• by mail at contact@badhabits.club
• through the chat at the bottom right of this site
• through our site badhabits.club

For the processing described here we are the controller, except where we state otherwise below. We do not have a data protection officer; we are not required to appoint one.

This privacy statement covers:

• your visit to badhabits.club, including badhabits.club/links and the survey
• the chat on our site and any mail that follows from it
• buying a ticket
• your visit to one of our events

If you follow a link to another site, for example to our Instagram or to the ticket shop, that party's privacy statement applies there.

Our site, our chat and our events are meant for visitors aged 18 and over.

Our site runs on Webflow. To serve the site, Webflow processes your IP address and your browser details in server logs. Legal basis: our legitimate interest in running and securing the site.

We also measure visits with Google Analytics 4 (measurement id G-TLP1D9ZVES) and use the Meta pixel (523953212853025) for our advertising. Legal basis: your consent, which you give in our cookie banner and can withdraw at any time through the Cookie settings line at the bottom of the site or through this link.

As long as you have not said yes, statistics and marketing stay off, and they go off again when you withdraw your yes. The Meta pixel is then not even loaded: nothing goes to Meta and Meta sets no cookie. Google Analytics then sets no cookie and does not recognise you.

One thing happens even without a yes, and also after a no: Google Analytics then receives signals without a cookie and without any identifier that could recognise you. We use them to count which pages are viewed and what happens on a page, such as scrolling and a click on an outbound link. To do so your browser fetches a script from Google, and in doing so Google sees your IP address. Legal basis: our legitimate interest in knowing how many visits the site gets. You can object through this link: Google Analytics then sends nothing from this browser any more, for as long as your browser keeps the cookie that holds the objection (see article 10). The script is still fetched from Google.

On badhabits.club/links we measure which button you tap, so we know what people are looking for. We only send:

• which button it is and what it is called
• the domain and the path the button leads to
• whether you arrived through the bio link

We do not send full web addresses along with it, and no data about you.

Our ticket sales run through Celebratix. You buy your ticket in their shop, where you enter your name, your email address and your payment details. Those details go to Celebratix, not to us. Legal basis: performance of the purchase agreement.

We do not store payment details ourselves.

What we get back from Celebratix is aggregated numbers only, with no names or order numbers:

• how many tickets were sold per day and for what amount
• how sales are spread across ticket types
• which of our links people arrived through
• a picture of the audience: average age, age spread, gender, cities and countries, and how many visitors are new

If you come to us through an advert on Instagram or Facebook, Meta puts a click id in the web address. When you click through from our links page to the ticket shop, we pass that click id along in the link, so a purchase can be tied to that advert. We read nothing from your device for this: the click id was already in the address you arrived with. Only after a yes to marketing do we also use the cookie the Meta pixel set on an earlier visit. Legal basis: our legitimate interest in knowing which advert sells tickets.

The ticket shop carries three measurement settings of ours: the Meta pixel, a TikTok pixel and its own Google Analytics measurement. Those belong to the shop and not to this site, and this site's cookie banner does not cover them.

Celebratix also reports a purchase server to server to Meta, with data that lets Meta match that purchase to a profile. That happens on their side and is separate from the pixel on our site. To find out exactly what Celebratix processes, read their own privacy statement.

How long Celebratix keeps your order data is up to them, not us. We do not hold that data.

If you ask a question through the chat, we keep the conversation so we can help you and so a colleague can see later what was said. Legal basis: our legitimate interest in answering visitors, and where it concerns your ticket, performance of the agreement.

With a conversation we keep:

• the messages you send and the photos you attach
• your email address, only if you give it yourself so we can answer you by mail
• the language you write in and the two letter country code our hosting provider passes on
• which device, browser and operating system you use, in three words
• which page you opened the chat on and which site you came from
• internal notes our team adds to the conversation, and your rating if you leave one

Our team can watch a running conversation live and take over the answering at any moment. When one of us answers, you see their name and their profile picture.

Please do not send us health data or full payment details in the chat. We do not need them, and a photo of a payment or an injury is exactly the kind of thing you would rather not pass around. If you need proof of payment, ask Celebratix for it.

We do not keep your IP address, and not your full browser details either. A conversation is deleted automatically twelve months after the last message, together with every message, photo and note that belongs to it. That is not an intention, it is how our database is set up.

When you open the chat, your browser stores two keys. The first belongs to that one conversation and takes you back into it after you close the window. The second recognises your browser across conversations, so we can see that an earlier question came from you and you do not have to explain everything again. On our side those keys are stored only as an unreadable digest, and they disappear with the conversation after twelve months. Want them gone sooner, clear your browser storage for this site.

To stop anyone abusing the chat we count how many conversations come from one connection. That count uses no IP address but a heavily shortened, encrypted derivation of it, which thousands of addresses map onto, and it disappears after a day.

The first answers in the chat are written by an AI model from Anthropic. If that does not settle your question, one of us takes over. Legal basis: our legitimate interest in answering questions quickly and outside office hours.

Only the following goes to Anthropic:

• the text of your messages and the photos you send
• the answers from our team in the same conversation
• the language you write in
• the note that you left an email address, without the address itself

So your email address, your country, your device, the page you were on and your IP address do not go along. For each answer we send at most the last forty messages.

Our agreement is with Anthropic Ireland, Limited, which is how it is arranged for customers in the European Economic Area. Anthropic keeps the messages for thirty days and may look at them in that time to prevent abuse. After that they are deleted. Anthropic may not use our conversations to train models; that is written into the agreement.

If you leave an email address and you are gone when we answer, we send you a mail. That mail goes through Resend. It contains your email address, our answer, the conversation number and a link that takes you back into your conversation. Legal basis: your consent, given by leaving your address.

The link in that mail works for thirty days and expires automatically after that.

As soon as a conversation is waiting for a human, our team gets an alert through Telegram. It contains only:

• the conversation number and the reason
• a short summary or the first two hundred characters of your last message
• your language and your country code
• a link to the conversation in our dashboard

We strip email addresses, phone numbers and bank account numbers out of that alert before it is sent. Such an alert does not disappear from Telegram by itself.

After an event we ask on badhabits.club/enquete what you thought of it. Taking part is voluntary and the answers are anonymous: we do not ask for your name and we store no email address or IP address with them. Legal basis: your consent, given by filling in the survey.

Your browser remembers that you took part, so you do not get asked twice. That is a note on your own device, not data held by us; it stays until you clear your browser storage.

We have the open answers summarised by an AI model from Anthropic, so we see the common thread without reading everything separately. So do not write anything in an open answer that you would rather not share with us.

We keep the answers for as long as we use them to evaluate the event and the next one, and delete them afterwards.

At our events we take photos and video for atmosphere and for our promotion. If you are recognisable in one and would rather not be, mail us and we will take it down from our own channels. Legal basis: our legitimate interest in promoting our events, with your right to object.

There are cameras at and around the location for safety. Those cameras belong to the venue, not to us; the venue decides what happens with that footage and how long it is kept. The venue may also use AI assisted crowd monitoring. That is not facial recognition. See also article 6 of our house rules.

For our events in Maastricht the venue is Muziekgieterij, Boschstraat 5. Ask them about camera footage at info@muziekgieterij.nl.

You make your cookie choice in our own cookie banner. You can change it at any time through the Cookie settings line at the bottom of the site or through this link. A choice is valid for 6 months; after that we ask again, also if you said no.

The banner has three purposes: essentials, statistics and marketing. Essentials are always on; you need them to make the site work, and they include your cookie choice itself, cookies from Webflow, and the cookies the Celebratix ticket shop needs to complete an order. Statistics and marketing stay off until you switch them on, and nothing is ticked in advance.

These are the cookies on badhabits.club:

• bhc_toestemming (essential, ours): what you chose, when, under which version of the cookie text, and a random marker. The choice in it is valid for 6 months; the cookie itself stays at most 200 days after your last visit
• bhc_geen_telling (essential, ours): only if you objected to counting without a cookie (see article 3); remembers that objection and nothing else. Stays at most 200 days after your last visit
• _ga and _ga_TLP1D9ZVES (statistics, Google Analytics): recognise your browser on a next visit. Stay for two years. Only after a yes to statistics
• _fbp and _fbc (marketing, Meta pixel): recognise your browser, and remember which advert brought you here. Stay for three months. Only after a yes to marketing

Safari and the browsers on an iPhone keep a cookie that a site sets itself for at most seven days after your last visit, and sometimes shorter. If you have been away longer, we ask for your choice again and an objection has lapsed; you make it again through the link in article 3.

If you say no, or withdraw your yes, the banner removes the Google Analytics or Meta cookies from your device straight away, along with what the Meta pixel put in your browser storage.

To be able to show that we asked for and received consent, we record every choice in our own log: what you chose, when, in which language, on which page, under which version of the cookie text, and the random marker from your cookie. We do not store an IP address, a name or any browser details with it. We can only find a choice by that marker if you give it to us. We keep such a record for 12 months. Legal basis: our legal obligation to be able to demonstrate consent.

The site also puts this in your browser storage, without a cookie:

• the key to your chat conversation, so you can get back into it
• the marker that recognises your browser across conversations (see article 5)
• whatever you were typing in the chat or the survey, so half a sentence does not disappear
• small chat window preferences, such as whether you turned the sound off and whether the window was open
• the note that you already filled in the survey
• the language you chose on our legal pages, so the cookie banner speaks the same language
• lastExternalReferrer and lastExternalReferrerTime (Meta pixel): which site you came from and when. Only after a yes to marketing, and gone as soon as you withdraw it

We never sell your data. We share it with the parties we need to do what we do:

• Celebratix, for ticket sales and payment
• Anthropic, for the AI model in the chat and for summarising the survey
• Supabase, where our database and the photos from the chat are stored
• Vercel, where our dashboard and the chat endpoints run
• Webflow, where this site runs
• Resend, which sends our mail
• Telegram, through which our team gets an alert
• Google, for Google Analytics and for the fonts the chat, the cookie banner and our mail load
• Meta, for the pixel and our advertising
• TikTok, for the pixel in the ticket shop

For the Meta pixel and the purchase report, Meta and we together decide what happens with your data. We are jointly responsible for that. You can exercise your rights with us and with Meta; if you are unsure where to go, we will help you further.

Beyond that we only share data where the law requires it, for example with the police after an incident at an event.

A number of the parties in article 11 are based in the United States or may process data outside the European Economic Area. That applies at least to Anthropic, Google and Meta.

For those transfers we rely on the arrangements made with those parties, such as the European Commission standard contractual clauses or the EU-US Data Privacy Framework. For Anthropic this is settled in their data processing addendum, which incorporates the standard contractual clauses. If you want to know which arrangement applies to a given party, ask us and we will look it up for you.

Four things we have set up this way:

• all traffic with our site and our dashboard is encrypted
• our database is not publicly reachable; only our own server can get to it
• the photos from the chat sit in locked storage and cannot be opened with a guessable link
• anyone reaching the chat inbox signs in with two factors

If something goes wrong anyway and it affects you, we report it to the Dutch Data Protection Authority as the law requires, and to you where that is needed.

Under the GDPR you have the right to:

• see which data we hold about you
• have incorrect data corrected
• have your data deleted
• have the processing restricted
• object to processing based on legitimate interest
• receive your data in a common file format, where we process it on the basis of your consent or an agreement
• withdraw consent you gave, without that affecting what already happened

You make a request at contact@badhabits.club. We respond within one month. To avoid handing data to the wrong person we may ask you to identify yourself. If it concerns a chat conversation, give us the conversation number or the email address you used.

If you disagree with us, you can always lodge a complaint with the Dutch Data Protection Authority at autoriteitpersoonsgegevens.nl.

We take no decisions about you that are made purely by a computer and that affect you. The AI in the chat answers questions; it does not decide about refunds, access or anything else that affects you. A human always does that.

If what we do changes, we update this statement. The version number and the date we last updated it are at the top of this page. For a significant change we announce it on our site.