Privacyverklaring

1 Over deze Privacyverklaring

Deze Privacyverklaring legt uit hoe de Fourthline Groep (zoals hieronder gedefinieerd) uw persoonsgegevens verzamelt en verwerkt. Zij beschrijft welke persoonsgegevens wij verwerken, voor welke doeleinden, op welke rechtsgronden, hoe lang wij ze bewaren en welke rechten u heeft.

Deze Privacyverklaring is van toepassing wanneer u:

• onze websites, portalen of applicaties bezoekt of gebruikt (samen: „Websites“);

• onze Diensten (zoals hieronder gedefinieerd) gebruikt;

• onze kantoren bezoekt;

• als klant wordt onboard via bedrijven die onze Diensten gebruiken („Zakelijke Partners“) en van wier financiële diensten u gebruik wilt maken; of

• vertegenwoordiger bent van een van onze Zakelijke Partners, prospects, leveranciers of toeleveranciers.

Deze Privacyverklaring bevat de volgende onderwerpen:

1. Over deze Privacyverklaring

2. Wie wij zijn

3. Toepasselijk recht

4. Hoe wij uw persoonsgegevens verzamelen

5. Verwerkingsdoeleinden, categorieën persoonsgegevens en rechtsgronden

6. Geautomatiseerde besluitvorming

7. Gebruik van kunstmatige intelligentie

8. Minderjarigen

9. Met wie wij uw gegevens delen en waarom

10. Cookies

11. Uw rechten

12. Uw plicht om gegevens te verstrekken

13. Hoe lang wij uw persoonsgegevens bewaren

14. Hoe wij uw persoonsgegevens beschermen

15. Hoe u kunt helpen uw gegevens veilig te houden

16. Contact

Wij kunnen deze Privacyverklaring van tijd tot tijd bijwerken om wijzigingen in de toepasselijke wetgeving of in onze verwerkingsactiviteiten weer te geven. De meest recente versie is altijd beschikbaar op onze Website. Wij raden u aan deze pagina regelmatig te raadplegen.

2 Wie wij zijn

2.1 Fourthline Groep

De Fourthline Groep levert identiteitsverificatie, fraudepreventie en aanverwante diensten (de „Diensten“) en helpt financiële instellingen de identiteit van hun klanten te verifiëren om te voldoen aan hun wettelijke verplichtingen onder de toepasselijke antiwitwaswetgeving.

Voor de toepassing van deze Privacyverklaring verwijst de „Fourthline Groep“ uitsluitend naar de volgende twee entiteiten, die elk, afhankelijk van de context, optreden als zelfstandig verwerkingsverantwoordelijke voor uw persoonsgegevens:

Fourthline Payments is een gereguleerde betaalinstelling met een vergunning van De Nederlandsche Bank N.V. (DNB) voor het verlenen van betaaldiensten. Zij stelt daarnaast andere financiële instellingen in staat te vertrouwen op het cliëntenonderzoek dat Fourthline Payments uitvoert overeenkomstig de Nederlandse antiwitwaswetgeving.

Fourthline levert ook identiteitsverificatie, fraudepreventie en aanverwante Diensten op uitbestedingsbasis aan haar Zakelijke Partners. In die gevallen treedt Fourthline doorgaans op als verwerker namens de betreffende Zakelijke Partner, en de verwerking van persoonsgegevens in die hoedanigheid valt niet onder deze Privacyverklaring. Waar Fourthline echter persoonsgegevens verwerkt als zelfstandig verwerkingsverantwoordelijke met het oog op het verbeteren van haar Diensten, valt die verwerking wel onder deze Privacyverklaring, zoals nader toegelicht in paragraaf 2.1.2 hieronder.

Waar deze Privacyverklaring verwijst naar „wij“, „ons“ of „onze“, wordt daarmee, afhankelijk van de context, een van beide of beide entiteiten bedoeld. Waar een specifieke paragraaf slechts op één entiteit van toepassing is, wordt dit uitdrukkelijk vermeld.

2.2 Welke entiteit is verantwoordelijk voor uw gegevens?

• Fourthline Payments is de verwerkingsverantwoordelijke voor alle verwerkingen van uw persoonsgegevens in verband met uw onboarding als klant van Fourthline Payments en/of het verlenen van betaaldiensten („Klant“).

• Zowel Fourthline als Fourthline Payments zijn zelfstandig verwerkingsverantwoordelijke voor de verwerking van uw persoonsgegevens in verband met de verbetering van hun respectieve Diensten.

3 Toepasselijk recht

De Fourthline Groep behandelt persoonsgegevens die zij via haar Websites of op andere wijze ontvangt met de nodige zorgvuldigheid. Wij verwerken persoonsgegevens in overeenstemming met:

• de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679) („AVG“); en

• de Uitvoeringswet Algemene verordening gegevensbescherming.

4 Hoe wij uw persoonsgegevens verzamelen

Wij kunnen uw persoonsgegevens op de volgende manieren ontvangen:

• rechtstreeks van u, wanneer u onze Diensten gebruikt of met ons communiceert per e-mail, telefoon of andere elektronische middelen;

• van Zakelijke Partners, d.w.z. bedrijven van wier financiële diensten u gebruik wilt maken en die Fourthline inschakelen om uw identiteit te verifiëren; en

• van externe gegevensleveranciers, zoals aanbieders van sanctielijsten, lijsten inzake terrorismefinanciering en lijsten van politiek prominente personen (PEP).

5 Verwerkingsdoeleinden, categorieën persoonsgegevens en rechtsgronden

Persoonsgegevens zijn alle gegevens die betrekking hebben op u of die aan u kunnen worden gekoppeld. Hieronder beschrijven wij per doeleinde welke persoonsgegevens wij verwerken en op welke rechtsgrond.

5.1 Identiteitsverificatie en AML-screening

5.1.1 Verwerkingsdoeleinde

Als vergunninghoudende betaalinstelling is Fourthline Payments wettelijk verplicht de identiteit van haar Klanten te verifiëren en hen vóór en tijdens een zakelijke relatie te toetsen aan de toepasselijke watchlists. Deze verplichting vloeit onder meer voort uit de Wet ter voorkoming van witwassen en financieren van terrorisme („Wwft“) en de Sanctiewet 1977. Dit omvat ook het gebruik van AI voor dit doel; zie paragraaf 8 voor meer informatie.

In de praktijk bestaan deze vereisten uit twee afzonderlijke maar samenhangende controles:

1. Identiteitsverificatie - bevestigen dat u bent wie u zegt dat u bent:

   • Wie bent u? Wij controleren of u bent wie u zegt dat u bent. Dit doet u door een foto te maken van uw identiteitsdocument (zoals een paspoort of identiteitskaart) en een selfie en/of korte video van uw gezicht. Wij vergelijken deze om er zeker van te zijn dat het document van u is en dat u tijdens de controle fysiek aanwezig bent. Daarnaast beoordelen wij of het document volledig zichtbaar en leesbaar is en controleren wij of het document de verwachte (beveiligings)kenmerken bevat.

   • Is uw document echt? Wij controleren of uw identiteitsdocument echt is en niet is gemanipuleerd of vervalst. Wij kijken ook naar bepaalde kenmerken van het document, zoals de lay-out en de gedrukte gegevens.

   • Wat is uw risicoscore voor identiteitsverificatie? Op basis van de hierboven beschreven identiteits- en documentcontroles berekenen wij een totale risicoscore voor uw verificatie. Deze score is het resultaat van verschillende controles op factoren zoals uw identiteit, de echtheid van het document, geografische indicatoren en compliance-signalen. Elke controle draagt met een gewogen waarde bij aan de totaalscore. De uiteindelijke score bepaalt of u wordt ingedeeld als laag, midden, hoog of onaanvaardbaar risico, en op basis daarvan bepalen wij of wij u als Klant kunnen accepteren.

2. AML-screening - beoordelen of u een risico op financiële criminaliteit vormt:

   • Staat u op een (watch)lijst? Wij controleren of uw naam en persoonsgegevens overeenkomen met die van een persoon op toepasselijke sanctielijsten, watchlists van politiek prominente personen (PEP) of in negatieve mediaberichten. Als uw gegevens overeenkomen met iemand op een van deze lijsten, onderzoeken wij verder of u daadwerkelijk dezelfde persoon bent.

   • Wat is uw risicoscore voor AML-screening? Wanneer uw persoonsgegevens lijken overeen te komen met die van een persoon op een watchlist, beoordelen wij afzonderlijk hoe waarschijnlijk het is dat u daadwerkelijk dezelfde persoon bent als die vermelde persoon. Dit doen wij door uw persoonsgegevens (zoals naam, geboortedatum, leeftijd, locatie, nationaliteit, geslacht en geboorteplaats) te vergelijken met die van de vermelde persoon. Aan elk gegeven wordt een gewogen score toegekend afhankelijk van de mate van overeenkomst, wat resulteert in een totale hit-risicoscore die bepaalt of wij u als Klant kunnen accepteren.

5.1.2 Gebruikte persoonsgegevens

Afhankelijk van de Zakelijke Partner van wiens financiële diensten u gebruik wilt maken, kunnen wij de volgende persoonsgegevens verwerken:

• Basisidentiteitsgegevens: volledige naam, geboortedatum, geboorteplaats, nationaliteit, geslacht, selfiefoto's en video-opnamen, adres, e-mailadres en telefoonnummer;

• Identiteitsdocumentgegevens: documenttype, documentfoto (voor- en achterkant), documentnummer, afgiftedatum, vervaldatum, land van afgifte, afgevende instantie;

• Biometrische gegevens: gezichtsgeometrie afgeleid uit selfiefoto's en video-opnamen en de daaruit afgeleide gezichtsgelijkenisscore (bijzondere categorie gegevens onder art. 9 AVG);

• AML-screeningsgegevens: PEP-status, eventuele vermelding op een sanctielijst, eventuele negatieve mediaberichten over u. Gegevens die op u betrekking hebben (zoals naam, geboortedatum, nationaliteit, geslacht, locatie en geboorteplaats) worden vergeleken met watchlist-databases, waaronder sanctielijsten, PEP-lijsten en negatieve mediaberichten.

• Afgeleide en geïnfereerde gegevens: KYC-risicoscores, verificatieresultaten en andere resultaten die door de algoritmen of analyseprocessen van Fourthline worden gegenereerd;

• Communicatiegegevens: correspondentie tussen u en Fourthline.

5.1.3 Rechtsgrond en bijzondere categorieën gegevens

De rechtsgrond voor de verwerking van uw persoonsgegevens voor identiteitsverificatie en AML-screening hangt af van het soort verwerkte gegevens:

• De verwerking van uw identiteits- en documentgegevens, AML-screeningsgegevens en afgeleide en geïnfereerde gegevens is gebaseerd op een wettelijke verplichting, in het bijzonder onze verplichtingen onder de Wwft en de Sanctiewet 1977 om cliëntenonderzoek te verrichten en klanten te toetsen aan de toepasselijke watchlists.

• De verwerking van uw biometrische gegevens is gebaseerd op de uitvoering van een overeenkomst. Biometrische verificatie is noodzakelijk om uw identiteit vast te stellen als onderdeel van het aangaan van een relatie met u als Klant. Hoewel de Wwft ons verplicht uw identiteit te verifiëren, schrijft zij niet voor op welke wijze wij dat doen. Wij gebruiken biometrische verificatie omdat dit de meest betrouwbare en proportionele methode is om de identiteit te verifiëren bij onboarding op afstand.

Aangezien biometrische gegevens een bijzondere categorie persoonsgegevens vormen onder artikel 9 AVG, beroepen wij ons voor de verwerking van uw biometrische gegevens aanvullend op de uitzondering van het zwaarwegend algemeen belang (art. 9 lid 2 sub g AVG), in het bijzonder met het oog op het vaststellen van uw identiteit in verband met ons wettelijk verplichte cliëntenonderzoek en voor daarmee samenhangende beveiligingsdoeleinden.

5.2 Betaaldiensten

5.2.1 Verwerkingsdoeleinde

Wanneer Fourthline Payments betaaldiensten aan u als Klant verleent, is het noodzakelijk bepaalde persoonsgegevens te verwerken om betalingstransacties uit te voeren en te administreren. Dit omvat het initiëren, verwerken en registreren van betalingstransacties namens u.

5.2.2 Gebruikte persoonsgegevens

• Voornaam, achternaam en adres;

• Internationaal bankrekeningnummer (IBAN); en

• Transactie-indicatoren en gerelateerde informatie.

5.2.3 Rechtsgrond

De rechtsgrond voor de verwerking van uw persoonsgegevens voor dit doel is de uitvoering van een overeenkomst: deze gegevens zijn noodzakelijk om de door u gevraagde betaaldiensten uit te voeren. Voor dit doel worden geen bijzondere categorieën persoonsgegevens verwerkt.

5.3 Fraudedetectie en -preventie

5.3.1 Verwerkingsdoeleinde

Criminelen die bankrekeningen en andere financiële systemen voor illegale activiteiten willen gebruiken, proberen soms op frauduleuze wijze toegang te krijgen tot een financiële rekening. Om onze eigen belangen, die van onze Zakelijke Partners en hun klanten en de integriteit van het financiële stelsel in bredere zin te beschermen, verwerken wij persoonsgegevens om identiteitsfraude te detecteren en te voorkomen, waaronder back-ups van deze gegevens. Wij gebruiken AI voor dit doel; zie paragraaf 8.

In de praktijk betekent dit dat wij de volgende controles uitvoeren:

• Ziet deze aanvraag er verdacht uit? Onze systemen analyseren elke verificatie automatisch om patronen te herkennen die vaak samenhangen met fraudepogingen. Deze patronen omvatten bijvoorbeeld tekenen van documentmanipulatie, inconsistenties tussen de foto op het document en de selfie, en apparaat- of locatiegegevens.

• Is deze persoon of dit document al eerder gezien? Wij controleren of een identiteitsdocument of een combinatie van persoonsgegevens eerder is gemarkeerd of gebruikt bij een vermoedelijke of bevestigde fraudepoging. Dit helpt ons gevallen op te sporen waarin hetzelfde frauduleuze document of dezelfde identiteit meerdere keren wordt gebruikt bij verschillende onboardingpogingen.

• Is een menselijke beoordeling nodig? Als onze systemen aangeven dat een verificatie mogelijk frauduleus is, beoordelen getrainde analisten van Fourthline de zaak handmatig. De analist beoordeelt of het dossier daadwerkelijk frauduleus is of ten onrechte is gemarkeerd. Alleen een mens neemt de uiteindelijke beslissing.

• Wat gebeurt er als fraude wordt bevestigd? Als onze analist bevestigt dat er fraude heeft plaatsgevonden en dat de betrokken persoonsgegevens toebehoren aan een dader, leggen wij deze informatie vast en bewaren wij deze. Zo kunnen wij ons beschermen tegen toekomstige fraudepogingen met dezelfde identiteit en eventuele daaropvolgende juridische procedures ondersteunen. Wij bewaren deze gegevens maximaal acht jaar.

5.3.2 Gebruikte persoonsgegevens

Dit kan de volgende persoonsgegevens betreffen:

• Documentkenmerken;

• Selfie- en videokenmerken;

• Netwerk- en connectiviteitsgegevens;

• Locatiegegevens;

• Nationaliteit en geografie;

• Apparaatkenmerken;

• Gegevens van bewegingssensoren van het apparaat;

• Resultaten van kruiscontroles;

• Risico- en compliance-signalen;

• Risicoscores; en

• Klant-ID's en tijdstempels.

5.3.3 Rechtsgrond en bijzondere categorieën gegevens

De rechtsgrond voor de verwerking van gegevens voor dit doel is het gerechtvaardigd belang, dat drieledig is:

• Het eigen belang van Fourthline Payments: zichzelf beschermen tegen frauduleus gebruik van haar platform en Diensten, waaronder financiële schade en reputatieschade;

• Het belang van Zakelijke Partners: financiële instellingen beschermen tegen het onboarden van frauduleuze klanten, wat hen zou kunnen blootstellen aan toezichtsancties en financiële criminaliteit; en

• Het bredere algemeen belang: het voorkomen van financiële criminaliteit en identiteitsfraude in het algemeen, in lijn met de doelstellingen van de AML/KYC-wetgeving.

Onze rechtvaardiging voor het verwerken van persoonsgegevens over strafbare feiten is te bepalen of wij al dan niet een Dienst aan u als (potentiële) Klant verlenen en onze belangen te beschermen met betrekking tot strafbare feiten die tegen Fourthline Payments zijn of mogelijk zullen worden gepleegd.

De toepasselijke uitzondering voor de verwerking van uw biometrische gegevens voor dit doel is een zwaarwegend algemeen belang, in het bijzonder het beschermen van het bredere algemeen belang bij het voorkomen van criminaliteit en identiteitsfraude in het algemeen, in lijn met de doelstellingen van de AML/KYC-wetgeving.

Om de juistheid van persoonsgegevens over strafbare feiten te waarborgen, voert ons Quality Assurance Team regelmatig steekproefcontroles uit.

5.4 Personal KYC Vault

5.4.1 Verwerkingsdoeleinde

Als onderdeel van haar Diensten biedt Fourthline Payments een beveiligde Personal KYC Vault aan. Dit is een beveiligde opslagvoorziening waarin uw geverifieerde persoonsgegevens namens u worden bewaard, zodat deze kunnen worden hergebruikt voor toekomstige identiteitsverificatieprocessen zonder dat u het volledige verificatieproces opnieuw hoeft te doorlopen.

5.4.2 Gebruikte persoonsgegevens

Voor dit doel verwerken wij de volgende persoonsgegevens:

• Basisidentiteitsgegevens: volledige naam, geboortedatum, geboorteplaats, nationaliteit, geslacht, selfiefoto's en video-opnamen, adres, e-mailadres en telefoonnummer;

• Identiteitsdocumentgegevens: documenttype, documentfoto (voor- en achterkant), documentvideo, documentnummer, afgiftedatum, vervaldatum, land van afgifte, afgevende instantie;

• Biometrische gegevens: gezichtsgeometrie afgeleid uit selfiefoto's en video-opnamen en de daaruit afgeleide gezichtsgelijkenisscore (bijzondere categorie gegevens onder art. 9 AVG); en

• Afgeleide en geïnfereerde gegevens: KYC-risicoscores, verificatieresultaten en andere resultaten die door de algoritmen of analyseprocessen van Fourthline worden gegenereerd.

5.4.3 Rechtsgrond en bijzondere categorieën gegevens

De rechtsgrond voor de verwerking van uw persoonsgegevens voor dit doel is de uitvoering van de overeenkomst met u: de opslag van uw geverifieerde identiteitsgegevens is noodzakelijk om de door u gevraagde KYC Vault-dienst te leveren. Er worden geen bijzondere categorieën persoonsgegevens uitsluitend voor dit doel verwerkt, buiten wat al is verzameld en geverifieerd als onderdeel van het identiteitsverificatieproces beschreven in paragraaf 5.1.3.

5.5 Training en verbetering van AI-systemen

5.5.1 Verwerkingsdoeleinde

Nu criminelen steeds geavanceerdere technieken gebruiken om het financiële stelsel te misbruiken, werkt de Fourthline Groep voortdurend aan het verbeteren van de nauwkeurigheid, veiligheid en betrouwbaarheid van haar Diensten. Een centraal onderdeel hiervan is het trainen en verbeteren van de AI-systemen die ten grondslag liggen aan onze mogelijkheden voor identiteitsverificatie en fraudedetectie.

Zowel Fourthline als Fourthline Payments gebruiken persoonsgegevens uit echte verificaties om hun AI-modellen te trainen en te verbeteren, waaronder modellen voor:

• Documentauthenticatie: vaststellen of een identiteitsdocument echt of frauduleus is;

• Documentherkenning: identificeren van documenttypen en extraheren van relevante velden;

• Liveness Detection: verifiëren dat de persoon die het document toont fysiek aanwezig is;

• Gezichtsherkenning: een selfiefoto matchen met de foto op een identiteitsdocument;

• Fraudedetectie: identificeren van patronen die samenhangen met frauduleuze onboardingpogingen.

Bij dit proces zijn menselijke analisten (annotators) betrokken die identiteitsgegevens beoordelen en labelen, bijvoorbeeld door relevante gebieden op documentfoto's te markeren of te beoordelen of een document authentiek lijkt. De resulterende geannoteerde datasets worden vervolgens gebruikt om de AI-modellen te trainen en te valideren. De toegang tot gegevens die voor trainingsdoeleinden worden gebruikt, is strikt gecontroleerd en beperkt tot uitsluitend bevoegd personeel.

5.5.2 Gebruikte persoonsgegevens

Wij gebruiken de volgende persoonsgegevens voor deze doeleinden:

• Uw voornaam, achternaam, geboortedatum, geboorteplaats en adres;

• Uw (selfie)foto's en video-opnamen;

• Uw identiteitsdocument, inclusief de documentfoto en -video, de machineleesbare zone (MRZ), de visuele inspectiezone (VIZ), het documentnummer, de afgiftedatum, de vervaldatum en het land en de instantie van afgifte;

• Locatiegegevens; en

• Technische metadata van uw verificatiesessie, zoals het besturingssysteem van het apparaat, browserdetails en apparaatsensoren.

5.5.3 Rechtsgrond

De rechtsgrond voor de verwerking van gegevens voor dit doel is een gerechtvaardigd belang: ons belang bij het in stand houden en verbeteren van veilige, nauwkeurige en fraudebestendige identiteitsverificatiediensten. Dit geldt voor zowel Fourthline als Fourthline Payments.

5.6 Marketing en communicatie

5.6.1 Verwerkingsdoeleinde

Wij kunnen persoonsgegevens van vertegenwoordigers van Zakelijke Partners, potentiële zakelijke klanten en andere professionele contacten gebruiken om informatie te sturen over onze producten, Diensten en updates, zoals nieuwsbrieven, uitnodigingen voor evenementen en soortgelijke communicatie. Deze marketing is niet gericht op individuele eindgebruikers van onze Diensten.

5.6.2 Gebruikte persoonsgegevens

Wij gebruiken de volgende persoonsgegevens voor deze doeleinden:

• Voornaam, achternaam, e-mailadres, functietitel.

5.6.3 Rechtsgrond

De rechtsgrond voor de verwerking van persoonsgegevens voor dit doel is toestemming of gerechtvaardigd belang, afhankelijk van de aard van de communicatie en de toepasselijke regels onder de Nederlandse telecommunicatiewetgeving.

U kunt te allen tijde bezwaar maken tegen het ontvangen van marketingcommunicatie via de afmeldoptie in onze berichten of door contact met ons op te nemen via dpo@fourthline.com.

5.7 Back-ups en bedrijfscontinuïteit

5.7.1 Verwerkingsdoeleinde

Als vergunninghoudende betaalinstelling is Fourthline Payments op grond van artikel 12 van de Digital Operational Resilience Act (Verordening (EU) 2022/2554, „DORA“) verplicht back-upbeleid en -procedures te ontwikkelen, te documenteren en te onderhouden om bij een incident het herstel van haar ICT-systemen en gegevens met minimale uitvaltijd, verstoring en verlies te waarborgen. Fourthline voert deze verplichting namens beide entiteiten uit als onderdeel van haar rol als ICT-dienstverlener binnen de Fourthline Groep.

Back-upgegevens worden opgeslagen in systemen die fysiek en logisch gescheiden zijn van de primaire systemen, zijn onderworpen aan dezelfde toegangscontroles, versleutelingsnormen en beveiligingsmaatregelen als de oorspronkelijke gegevens, en worden voor geen ander doel gebruikt dan herstel. Back-upprocedures en herstelmethoden worden periodiek getest in overeenstemming met onze ICT-bedrijfscontinuïteitsverplichtingen onder DORA.

Back-upgegevens worden bewaard gedurende dezelfde periode als de oorspronkelijke gegevens waarop zij betrekking hebben, in lijn met ons informatiebewaarbeleid, en worden verwijderd wanneer de onderliggende gegevens het einde van hun bewaartermijn bereiken.

5.7.2 Gebruikte persoonsgegevens

Om aan onze verplichtingen onder DORA te voldoen, maken wij back-ups van alle gegevens die essentieel zijn voor het herstel van onze Diensten en het nakomen van onze wettelijke verplichtingen. Dit omvat alle persoonsgegevens genoemd in hoofdstuk 5.1.

5.7.3 Rechtsgrond en bijzondere categorieën gegevens

De rechtsgrond voor de verwerking van de in 5.1 genoemde persoonsgegevens voor dit doel is een wettelijke verplichting onder DORA.

De toepasselijke uitzondering voor de verwerking van biometrische gegevens voor dit doel is een zwaarwegend algemeen belang, in overeenstemming met onze antiwitwas- en identiteitsverificatieverplichtingen.

5.8 Cameratoezicht

5.8.1 Verwerkingsdoeleinde

Fourthline maakt gebruik van camerabewaking in haar kantoorpanden ter beveiliging van haar faciliteiten, ter bescherming van de veiligheid van medewerkers, bezoekers en eigendommen, en ter voorkoming en opsporing van ongeautoriseerde toegang, diefstal of andere beveiligingsincidenten. Camerabeelden worden alleen geraadpleegd in geval van een beveiligingsincident of op een legitiem verzoek van opsporingsautoriteiten.

5.8.2 Gebruikte persoonsgegevens

• Videobeelden en foto's van personen die aanwezig zijn in de panden van Fourthline, waaronder bezoekers en medewerkers.

5.8.3 Rechtsgrond

Onze rechtsgrond voor deze verwerking is gerechtvaardigd belang, namelijk ons belang bij het beveiligen van onze panden en het waarborgen van de veiligheid van de daar aanwezige personen en eigendommen.

5.9 Sales en leadgeneratie

5.9.1 Verwerkingsdoeleinde

Fourthline verwerkt persoonsgegevens van vertegenwoordigers van potentiële Zakelijke Partners in het kader van salesactiviteiten, waaronder het identificeren en benaderen van potentiële klanten, het beantwoorden van inkomende vragen, het opstellen van commerciële voorstellen en het beheren van de salespijplijn. Het doel is nieuwe commerciële relaties aan te gaan met financiële instellingen en andere gereguleerde entiteiten die baat kunnen hebben bij de Diensten van Fourthline.

5.9.2 Gebruikte persoonsgegevens

• Naam, functietitel, werkgever en zakelijke contactgegevens (e-mailadres, telefoonnummer, LinkedIn-profiel, zakelijk adres) van vertegenwoordigers van potentiële Zakelijke Partners;

• Registraties van salesinteracties, vergaderingen, gesprekken en correspondentie; en

• Informatie die de potentiële Zakelijke Partner deelt in het kader van verkennende gesprekken.

5.9.3 Rechtsgrond

Onze rechtsgrond voor deze verwerking is gerechtvaardigd belang, namelijk ons belang bij het laten groeien van ons bedrijf en het identificeren van organisaties die baat kunnen hebben bij onze Diensten.

5.10 Contractbeheer en -onderhandeling

5.10.1 Verwerkingsdoeleinde

In het kader van het onderhandelen, aangaan, uitvoeren en beheren van overeenkomsten met Zakelijke Partners, leveranciers en toeleveranciers verwerkt Fourthline persoonsgegevens van de natuurlijke personen die optreden als contactpersoon of vertegenwoordiger van die organisaties. Dit omvat het beheren van correspondentie, het bijhouden van contractdossiers en het opvolgen van contractuele verplichtingen.

5.10.2 Gebruikte persoonsgegevens

• Naam, functietitel en zakelijke contactgegevens (e-mailadres, telefoonnummer, zakelijk adres) van contactpersonen bij Zakelijke Partners, leveranciers en toeleveranciers;

• Correspondentie en communicatieregistraties met betrekking tot contractonderhandeling en -uitvoering; en

• Handtekeningen op overeenkomsten en bijbehorende documenten.

5.10.3 Rechtsgrond

Waar de betrokkene optreedt als vertegenwoordiger of contactpersoon van een rechtspersoon die partij is bij de overeenkomst, is onze rechtsgrond gerechtvaardigd belang, namelijk ons belang bij het kunnen uitvoeren en beheren van onze contractuele relaties.

5.11 Websitebezoekers

5.11.1 Verwerkingsdoeleinde

Wanneer u de website van Fourthline bezoekt, verzamelen wij bepaalde technische en gedragsgegevens om de goede werking van de website te waarborgen, te analyseren hoe bezoekers omgaan met onze content en de gebruikerservaring te verbeteren. Deze verwerking wordt nader beschreven in het cookiebeleid in paragraaf 8 van deze Privacyverklaring.

5.11.2 Gebruikte persoonsgegevens

• IP-adres en de daaruit afgeleide geschatte locatie;

• Browsertype, besturingssysteem en apparaatinformatie;

• Bezochte pagina's, tijd besteed op pagina's, klikpatronen en verwijzingsbron; en

• Cookie-identificatoren en vergelijkbare trackinggegevens (waar vereist met toestemming).

5.11.3 Rechtsgrond

Onze rechtsgrond voor strikt noodzakelijke verwerking is gerechtvaardigd belang, namelijk ons belang bij de goede werking en beveiliging van onze website. Voor analytische en trackingcookies is onze rechtsgrond toestemming, verkregen via de cookiebanner die bij uw eerste bezoek wordt getoond.

6 Geautomatiseerde besluitvorming

De berekening van uw risicoscore en de eerste vaststelling of nader onderzoek nodig is, kunnen geautomatiseerd plaatsvinden, onder meer door het gebruik van AI-systemen (zie het volgende hoofdstuk).

In bepaalde gevallen kan uw verificatie automatisch worden afgerond zonder verdere menselijke beoordeling. Dit is het geval wanneer:

• uw verificatie resulteert in een sendback, wat betekent dat de ingediende foto's of gegevens niet voldoen aan de vereiste kwaliteitsnormen en u wordt uitgenodigd het opnieuw te proberen. Een sendback is geen afwijzing en heeft geen negatieve gevolgen voor u;

• u niet voldoet aan dwingende wettelijke toelatingsvereisten, bijvoorbeeld wanneer u zich bevindt in een land dat onderworpen is aan sancties of andere wettelijke beperkingen. In die gevallen neemt Fourthline geen beslissing: de uitkomst is een rechtstreeks rechtsgevolg van de toepasselijke wetgeving en Fourthline heeft geen beoordelingsruimte om anders te beslissen; en

• de financiële diensten die u aanvraagt niet beschikbaar zijn in uw land, omdat de betreffende Zakelijke Partner die diensten daar niet aanbiedt. In die gevallen weerspiegelt de uitkomst de reikwijdte van de door de Zakelijke Partner aangeboden diensten en niet een beslissing van Fourthline over u persoonlijk.

In alle andere gevallen waarin uw risicoscore aangeeft dat afwijzing gerechtvaardigd kan zijn, wordt de uiteindelijke beslissing altijd genomen door een menselijke analist. Artikel 22 AVG, dat u het recht geeft niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit, is niet van toepassing op sendbacks of wettelijk voorgeschreven uitkomsten, omdat deze ofwel geen negatief rechtsgevolg voor u hebben ofwel geen besluit van Fourthline vormen.

7 Gebruik van kunstmatige intelligentie

Wij gebruiken kunstmatige intelligentie („AI“) als onderdeel van onze Diensten voor identiteitsverificatie en fraudepreventie, zoals beschreven in de paragrafen 5.1, 5.2 en 5.3. Wij willen transparant zijn over hoe dit in de praktijk werkt.

Wij gebruiken in geen enkel onderdeel van ons identiteitsverificatieproces Large Language Models („LLM's“) of generatieve AI, zoals ChatGPT, Gemini of vergelijkbare tools. Uw persoonsgegevens worden niet verwerkt door, of gebruikt om te trainen, enig publiek beschikbaar of commercieel geëxploiteerd AI-model. Dit betekent dat uw persoonsgegevens niet worden opgenomen in of bewaard binnen een groot algemeen AI-model.

In plaats daarvan gebruiken wij nauw afgebakende, eigen AI-modellen, elk intern ontwikkeld voor één specifieke, duidelijk omschreven taak. Voorbeelden zijn:

• vaststellen of een identiteitsdocument authentiek is;

• verifiëren dat een selfie overeenkomt met de foto op een identiteitsdocument; of

• detecteren of een video live is opgenomen.

Elk model ontvangt alleen de gegevens die het strikt nodig heeft voor zijn specifieke taak en produceert een vaste, deterministische uitkomst, zoals een geslaagd/niet-geslaagd-resultaat of een begrensde score. Geen enkel model kan taken uitvoeren buiten zijn gedefinieerde reikwijdte.

Uw gegevens worden verwerkt binnen deze gesloten, gecontroleerde omgeving. Onze AI-systemen worden volledig door onszelf gehost en worden nooit als zelfstandige modellen aan derden beschikbaar gesteld. De toegang tot persoonsgegevens is beperkt, wordt gelogd en is onderworpen aan strikte rolgebaseerde controles.

AI-uitkomsten dienen als signalen binnen een breder verificatiesysteem. Afhankelijk van de uitkomst van het verificatieproces kan uw verificatie automatisch worden afgerond of worden geëscaleerd voor beoordeling door een getrainde menselijke analist, in overeenstemming met onze gecontroleerde procedures. Elke vaststelling van documentmanipulatie, spoofing, deepfakes of andere identiteitsfraude wordt bevestigd door een dergelijke getrainde menselijke analist.

8 Minderjarigen

Onze Diensten zijn niet rechtstreeks gericht op minderjarigen (personen jonger dan 18 jaar). Afhankelijk van de aard van de financiële diensten die een Zakelijke Partner aanbiedt, kunnen wij echter persoonsgegevens van minderjarigen verwerken, bijvoorbeeld wanneer een Zakelijke Partner financiële producten of diensten aanbiedt die toegankelijk zijn voor minderjarigen en ons verzoekt dienovereenkomstig identiteitsverificatie uit te voeren. In die gevallen vindt de verwerking van de persoonsgegevens van de minderjarige plaats op dezelfde rechtsgronden en volgens dezelfde normen als beschreven in deze Privacyverklaring.

9 Met wie wij uw gegevens delen en waarom

Wij delen uw persoonsgegevens alleen waar nodig en zorgen altijd voor passende waarborgen. Waar wij gegevens delen met partijen buiten de EER, beroepen wij ons op adequaatheidsbesluiten, het EU-VS-kader voor gegevensbescherming (EU-US Data Privacy Framework) of EU-modelcontractbepalingen.

9.1 Binnen de Fourthline Groep

Voor de toepassing van deze Privacyverklaring omvat de Fourthline Groep twee entiteiten die persoonsgegevens met elkaar delen voor operationele, toezichts- en rapportagedoeleinden. De rechtsgrond en aard van die uitwisseling hangen af van de context.

9.1.1 Identiteitsverificatiedoeleinden

Fourthline Payments treedt op als verwerkingsverantwoordelijke voor identiteitsverificatie en AML-screening. Persoonsgegevens die in dit kader worden verzameld, worden verwerkt door Fourthline Payments en gedeeld met Fourthline voor zover noodzakelijk voor het verlenen van de identiteits- en verificatiediensten, inclusief het leveren van de daarvoor benodigde technische infrastructuur en ondersteunende diensten. In dit kader treedt Fourthline op als verwerker namens Fourthline Payments, op basis van een intragroepsdienstverleningsovereenkomst.

9.1.2 AI-modeltrainingsdoeleinden

Fourthline is verantwoordelijk voor de ontwikkeling en training van de AI-systemen die ten grondslag liggen aan de Diensten van de Fourthline Groep (zie 5.2 voor meer informatie). Om dit mogelijk te maken, worden persoonsgegevens die Fourthline Payments in het kader van identiteitsverificatie verzamelt, overgedragen aan Fourthline voor gebruik als trainingsgegevens. Na ontvangst van deze gegevens treedt Fourthline op als zelfstandig verwerkingsverantwoordelijke voor het trainen van AI-modellen, aangezien zij zelfstandig het doel van en de middelen voor die verwerking bepaalt.

Deze intragroepsoverdracht is geformaliseerd in een intragroepsovereenkomst voor gegevensuitwisseling en vindt plaats op basis van het gerechtvaardigd belang van Fourthline bij het in stand houden en verbeteren van veilige, nauwkeurige en fraudebestendige identiteitsverificatiediensten. De overdracht leidt er niet toe dat uw persoonsgegevens worden gebruikt voor andere doeleinden dan beschreven in paragraaf 5.2 van deze Privacyverklaring.

9.1.3 Waarborgen

Alle intragroepsoverdrachten van persoonsgegevens worden beheerst door een intragroepsovereenkomst met passende gegevensbeschermingswaarborgen. Persoonsgegevens die binnen de Fourthline Groep worden gedeeld, zijn onderworpen aan dezelfde technische en organisatorische beveiligingsmaatregelen als beschreven in paragraaf 14 van deze Privacyverklaring en worden voor geen andere doeleinden gebruikt dan hierin beschreven.

9.2 Zakelijke Partners

Wij delen uw persoonsgegevens met de Zakelijke Partner via wie u wordt onboard, voor zover noodzakelijk voor het verlenen van onze Diensten en de eigen wettelijke verplichtingen van de Zakelijke Partner.

9.3 Overheidsinstanties en toezichthouders

Als vergunninghoudende betaalinstelling staat Fourthline Payments onder toezicht van De Nederlandsche Bank (DNB) en andere bevoegde autoriteiten. Zowel Fourthline als Fourthline Payments kunnen verplicht of gerechtigd zijn uw persoonsgegevens te delen met de volgende partijen:

• Toezichthoudende en regelgevende autoriteiten, waaronder DNB als prudentieel toezichthouder van Fourthline Payments, de Autoriteit Financiële Markten (AFM), andere nationale toezichthouders binnen de EER waar de toepasselijke wetgeving dit vereist, en gegevensbeschermingsautoriteiten waaronder de Autoriteit Persoonsgegevens;

• Rechterlijke en onderzoeksinstanties, waaronder rechtbanken, arbitrage- en bemiddelingsinstanties, het openbaar ministerie en opsporingsautoriteiten, op hun rechtmatig verzoek of in het kader van juridische procedures;

• Financiële inlichtingenautoriteiten, waaronder de Financial Intelligence Unit (FIU-Nederland), voor zover wij verplicht zijn ongebruikelijke transacties te melden onder de Wwft;

• Juridische en financiële professionals, zoals advocaten, curatoren of accountants, waar openbaarmaking wettelijk vereist is of noodzakelijk is in verband met het bovenstaande.

Wij verstrekken uw persoonsgegevens alleen aan bovengenoemde partijen voor zover dit op grond van de toepasselijke wetgeving vereist of toegestaan is, en uitsluitend voor de doeleinden waarvoor die verstrekking juridisch gerechtvaardigd is.

9.4 Externe dienstverleners (verwerkers)

Wij werken samen met externe dienstverleners die persoonsgegevens namens ons verwerken. Wij delen alleen de persoonsgegevens die noodzakelijk zijn voor de specifieke dienst die zij leveren.

9.5 Bedrijfsoverdrachten

In geval van een fusie, overname of verkoop van (een deel van) de onderneming van de Fourthline Groep kunnen persoonsgegevens als onderdeel van die transactie worden overgedragen. In dat geval zullen wij onze Privacyverklaring dienovereenkomstig bijwerken.

10 Cookies

Onze Websites gebruiken cookies en vergelijkbare technologieën (samen: „cookies“) om uw ervaring te verbeteren, het gebruik te analyseren en integraties van derden te ondersteunen. Wanneer u onze Websites voor het eerst bezoekt, krijgt u een cookiebanner te zien waarmee u niet-essentiële cookies kunt accepteren, weigeren of beheren. Strikt noodzakelijke cookies worden zonder toestemming geplaatst, omdat zij vereist zijn voor de werking van de Website.

Zie ons Cookiebeleid (www.fourthline.com/cookie-policy) voor meer informatie over de cookies die wij gebruiken.

11 Uw rechten

De AVG geeft u een aantal rechten met betrekking tot uw persoonsgegevens. Hieronder lichten wij elk recht toe, wanneer het van toepassing is en wanneer het beperkt kan zijn. Om een van deze rechten uit te oefenen, kunt u contact met ons opnemen via dpo@fourthline.com en ons informeren via welke Zakelijke Partner u bent onboard met onze identiteitsverificatiediensten. Wij streven ernaar binnen één maand te reageren. In sommige gevallen kunnen wij uw verzoek weigeren; in dat geval informeren wij u binnen een redelijke termijn over de reden, waar dit wettelijk is toegestaan. Stuur ons geen ongeanonimiseerde kopie van uw identiteitsdocument via gewone e-mail.

11.1 Recht van bezwaar

U heeft het recht bezwaar te maken tegen de verwerking van uw persoonsgegevens op basis van ons gerechtvaardigd belang. Wij beoordelen dan of uw belangen of fundamentele rechten en vrijheden zwaarder wegen dan onze gerechtvaardigde belangen.

U heeft ook het recht te allen tijde bezwaar te maken tegen het gebruik van uw persoonsgegevens voor directmarketingdoeleinden. Na ontvangst van uw bezwaar staken wij onmiddellijk de verwerking van uw gegevens voor dit doel.

U kunt geen bezwaar maken tegen verwerking die is gebaseerd op een wettelijke verplichting. Als wij wettelijk verplicht zijn uw gegevens te verwerken, leidt uw bezwaar er niet toe dat wij die verwerking staken.

11.2 Recht van inzage

U heeft het recht een overzicht te vragen van de persoonsgegevens die wij over u bewaren en hoe wij deze verwerken.

Wij kunnen de inzage beperken wanneer het verlenen ervan de rechten en vrijheden van anderen zou schaden of wanneer het ons wettelijk verboden is bepaalde informatie te verstrekken, bijvoorbeeld in het kader van een lopend fraudeonderzoek of een AML-meldplicht.

11.3 Recht op rectificatie

Als uw persoonsgegevens onjuist of onvolledig zijn, heeft u het recht ons te verzoeken deze te corrigeren of aan te vullen. Waar wij onjuiste gegevens met derden hebben gedeeld, stellen wij hen op de hoogte van de correctie.

Persoonsgegevens in alleen-lezen registraties zoals auditlogs en actiesporen kunnen niet worden gewijzigd als gevolg van een rectificatieverzoek.

11.4 Recht op gegevenswissing

U heeft het recht ons te verzoeken uw persoonsgegevens te wissen wanneer:

• wij deze niet langer nodig hebben voor het doel waarvoor zij zijn verzameld;

• u uw toestemming intrekt en er geen andere rechtsgrond voor de verwerking is;

• u bezwaar maakt tegen verwerking op basis van gerechtvaardigd belang en er geen dwingende gronden zijn;

• de verwerking onrechtmatig is; of

• wissing vereist is op grond van EU- of nationaal recht.

Dit recht geldt niet wanneer verwerking noodzakelijk is om aan een wettelijke verplichting te voldoen. In het bijzonder is Fourthline Payments op grond van de Wwft wettelijk verplicht uw persoonsgegevens te bewaren tot vijf jaar na het einde van onze zakelijke relatie of vijf jaar na de uitvoering van een transactie. In geval van fraude kunnen wij persoonsgegevens over een strafbaar feit tot acht jaar bewaren. In die gevallen laten wij u weten dat wij uw wissingsverzoek niet kunnen inwilligen en leggen wij uit waarom. Persoonsgegevens in alleen-lezen registraties zoals auditlogs kunnen niet worden gewist als gevolg van een wissingsverzoek.

11.5 Recht op beperking van de verwerking

U heeft het recht ons te verzoeken de verwerking van uw persoonsgegevens te beperken wanneer:

• u de juistheid van uw gegevens betwist (gedurende de periode die wij nodig hebben om dit te verifiëren);

• de verwerking onrechtmatig is maar u de voorkeur geeft aan beperking boven wissing;

• wij de gegevens niet langer nodig hebben maar u deze nodig heeft voor rechtsvorderingen; of

• u bezwaar heeft gemaakt tegen de verwerking en wij beoordelen of onze gerechtvaardigde belangen zwaarder wegen dan de uwe.

11.6 Recht op overdraagbaarheid van gegevens

U heeft het recht uw persoonsgegevens te ontvangen in een gestructureerde, gangbare en machineleesbare vorm en deze te laten overdragen aan een andere verwerkingsverantwoordelijke, wanneer:

• de verwerking is gebaseerd op toestemming of de uitvoering van een overeenkomst; en

• de verwerking via geautomatiseerde procedés wordt verricht.

Dit recht geldt niet voor verwerking op basis van een wettelijke verplichting of gerechtvaardigd belang. Aangezien het grootste deel van onze verwerking van Klantgegevens is gebaseerd op een wettelijke verplichting, zal dit recht in de praktijk binnen onze Diensten beperkt toepasbaar zijn.

11.7 Rechten met betrekking tot geautomatiseerde besluitvorming

Wanneer geautomatiseerde systemen worden gebruikt om besluiten te nemen die u in aanmerkelijke mate treffen, heeft u het recht op menselijke beoordeling van het besluit, om uw standpunt kenbaar te maken en om het besluit aan te vechten. Zie paragraaf 8 voor meer informatie over het bestaan van geautomatiseerde besluitvorming.

11.8 Recht om toestemming in te trekken

Waar wij uw persoonsgegevens verwerken op basis van toestemming, heeft u het recht uw toestemming te allen tijde in te trekken. Intrekking laat de rechtmatigheid van de verwerking vóór de intrekking onverlet.

11.9 Recht om een klacht in te dienen

Als u niet tevreden bent over de manier waarop wij met uw persoonsgegevens omgaan, kunt u:

• contact opnemen met onze Functionaris voor Gegevensbescherming via dpo@fourthline.com; of

• een klacht indienen bij de Autoriteit Persoonsgegevens via www.autoriteitpersoonsgegevens.nl, onze leidende toezichthoudende autoriteit, of bij de gegevensbeschermingsautoriteit van uw woonland.

12 Uw plicht om gegevens te verstrekken

Er zijn bepaalde gegevens die Fourthline Payments wettelijk verplicht is over u te verzamelen voordat wij een relatie met u als Klant kunnen aangaan, om te voldoen aan onze verplichtingen onder de Wwft. Zonder deze gegevens kunnen wij u mogelijk onze Diensten niet verlenen of geen overeenkomst met u aangaan.

13 Hoe lang wij uw persoonsgegevens bewaren

De Fourthline Groep bewaart en verwerkt uw persoonsgegevens slechts zolang dit noodzakelijk is om onze verplichtingen uit de overeenkomst met u na te komen, of zolang de wet ons verplicht dergelijke gegevens te bewaren. Fourthline Payments is wettelijk verplicht uw persoonsgegevens met betrekking tot uw onboarding als Klant te bewaren tot vijf jaar na beëindiging van onze zakelijke relatie met u, of vijf jaar na uitvoering van een transactie, op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme. Er kunnen omstandigheden zijn (zoals fraude, antiwitwasvereisten, strafrechtelijk onderzoek of het instellen van rechtsvorderingen) waarin wij verplicht zijn uw persoonsgegevens nog langer te bewaren. In geval van fraude kunnen wij uw persoonsgegevens over een strafbaar feit tot acht jaar bewaren.

14 Hoe wij uw persoonsgegevens beschermen

De Fourthline Groep past een kader van intern beleid, procedures en technische en organisatorische maatregelen toe om uw gegevens veilig te houden. Dit omvat:

• clean-room-beleid en strikte toegangscontroles;

• versleuteling en pseudonimisering waar passend;

• regelmatig testen en evalueren van beveiligingsmaatregelen, inclusief back-up- en hersteltests;

• geheimhoudingsovereenkomsten voor alle medewerkers met toegang tot persoonsgegevens;

• scheiding van back-upvoorzieningen van de primaire gegevensopslag.

Ondanks onze inspanningen kan geen enkele gegevensoverdracht via internet volledig veilig worden gegarandeerd. Elke overdracht naar onze Websites geschiedt op eigen risico. Zodra wij uw gegevens hebben ontvangen, passen wij strikte controles toe om ongeautoriseerde toegang te voorkomen.

15 Hoe u kunt helpen uw gegevens veilig te houden

U kunt helpen uw persoonsgegevens te beschermen door:

• actuele endpointbeveiligingssoftware (zoals antivirus) en netwerkbeveiliging (zoals firewalls) te gebruiken;

• sterke wachtwoorden en, waar beschikbaar, multifactorauthenticatie te kiezen en deze vertrouwelijk te houden;

• uw fysieke identiteitsdocumenten, apparaten en betaalinstrumenten veilig te bewaren;

• alert te blijven bij het gebruik van onlinediensten waar ongebruikelijke of frauduleuze activiteiten of pogingen tegen uw gegevens kunnen voorkomen.

16 Contact

Voor vragen over deze Privacyverklaring of over hoe wij met uw persoonsgegevens omgaan, of om een kopie van onze waarborgen voor internationale doorgifte op te vragen, kunt u contact opnemen met onze Functionaris voor Gegevensbescherming:

dpo@fourthline.com

Let op: dit e-mailadres is uitsluitend bestemd voor vragen over gegevensbescherming. Alle andere berichten worden niet in behandeling genomen.

Dit is een vertaling van de Engelse Privacyverklaring. Raadpleeg voor juridische terminologie de Engelse versie, die bij eventuele verschillen leidend is. Versie: oktober 2026.