Privacyverklaring

AVG op Maat is de handelsnaam waaronder deze dienst wordt aangeboden. De officiële statutaire gegevens (rechtspersoon, adres, KvK-nummer en btw-identificatienummer) vind je op de pagina Contact- en bedrijfsgegevens. Voor privacy-gerelateerde vragen bereik je ons via privacy@avgopmaat.nl. Wij zijn verwerkingsverantwoordelijke voor de verwerkingen die op deze website plaatsvinden.

Afhankelijk van hoe je onze dienst gebruikt, verwerken wij:

• Accountgegevens: e-mailadres en versleuteld wachtwoord bij het aanmaken van een account. Optioneel: naam, bedrijfsnaam, telefoonnummer en KvK-nummer in je profiel.
• Intake-antwoorden: de antwoorden die je invult in de vragenlijst, waaronder sector, gebruikte systemen, aantallen medewerkers, verwerkingsactiviteiten, doorgifte buiten de EER en organisatorische maatregelen. Terwijl je de vragenlijst invult worden je antwoorden lokaal in je browser opgeslagen (localStorage) zodat je later verder kunt. Zodra je op "opslaan" of "naar de preview" klikt, worden ze via een beveiligde verbinding naar onze database gestuurd en aan je (eventueel anonieme) account gekoppeld.
• Gegenereerde documenten en previews: de op basis van jouw antwoorden samengestelde documenten en preview-fragmenten.
• Factuur- en betaalgegevens: naam of bedrijfsnaam, factuuradres, e-mailadres, optioneel KvK-nummer en btw-identificatienummer. De betaling zelf gaat via Stripe. Volledige kaart- of betaalgegevens verwerken wij niet zelf; die worden uitsluitend door Stripe verwerkt. Wij ontvangen een betaalreferentie en betaalstatus.
• Klantcommunicatie: e-mailberichten die je ons stuurt en de inhoud van support- of privacyverzoeken.
• Technische gegevens: IP-adres, browsertype, apparaatinformatie en beveiligingslogs. Deze worden verwerkt door onze hostingpartij en zijn nodig om de website te leveren en tegen misbruik te beschermen.
• Cookievoorkeuren: de keuzes die je in de cookiebanner maakt worden lokaal in je browser bewaard.

Wij vragen je uitdrukkelijk om in vrije tekstvelden geen namen of andere direct identificerende gegevens van medewerkers of klanten in te vullen, tenzij dit noodzakelijk is voor het opstellen van het document. Vrije tekst wordt automatisch grammaticaal herschreven door onze AI-gateway (zie sectie 5); daarbij wordt geen persoonsgegeven gebruikt om AI-modellen te trainen.

Wij passen geen geautomatiseerde besluitvorming of profilering toe met rechtsgevolgen voor jou. De inhoud van je documenten is een sjabloon dat op basis van je antwoorden wordt samengesteld, geen geautomatiseerd besluit in de zin van artikel 22 AVG.

Bepaalde gegevens moeten wij verwerken om de dienst te kunnen leveren. Zonder e-mailadres kunnen wij geen account bevestigen of documenten toesturen; zonder factuurgegevens kunnen wij geen wettelijk correcte factuur opstellen. Als je deze gegevens niet verstrekt, kunnen wij de betreffende dienst niet leveren.

• Onafgemaakte intakes (alleen lokaal in je browser): zolang jij de gegevens niet wist. Je kunt ze op elk moment leegmaken via de knop "verwijderen" in de vragenlijst of via de instellingen van je browser.
• Op de server opgeslagen intakes: maximaal 90 dagen na laatste activiteit voor onbetaalde intakes; daarna verwijderd of geanonimiseerd.
• Gekochte documenten en bijbehorende intake: zolang je toegang wilt behouden en maximaal 24 maanden na aankoop, tenzij je eerder om verwijdering vraagt.
• Accountgegevens: zolang je account actief is en tot 12 maanden na jouw laatste activiteit, tenzij je eerder om verwijdering vraagt.
• Facturen en betaaladministratie: 7 jaar na afloop van het boekjaar (fiscale bewaarplicht).
• Supportberichten: tot 24 maanden na afhandeling.
• Technische en beveiligingslogs: maximaal 12 maanden.
• Cookievoorkeuren: maximaal 12 maanden of tot je ze wijzigt.

Wij delen alleen gegevens met dienstverleners die noodzakelijk zijn voor het leveren van onze dienst. De volledige lijst met doelen, rol, locatie en doorgifte-informatie vind je op de pagina Verwerkers en externe dienstverleners. Wij verkopen persoonsgegevens niet en gebruiken ze niet voor advertentiedoeleinden. Vrije tekst uit intake-velden wordt op het moment van generatie door onze AI-gateway grammaticaal herschreven; wij hebben met deze dienst afgesproken dat jouw invoer niet wordt gebruikt om modellen te trainen.

Onze database, opslag en AI-gateway draaien binnen de Europese Unie. Voor Stripe kan doorgifte naar de Verenigde Staten plaatsvinden. Deze doorgifte is gebaseerd op EU-standaardcontractbepalingen (SCC's) en aanvullende technische en organisatorische waarborgen zoals versleuteld transport en beperkte toegang. Je kunt de details opvragen via privacy@avgopmaat.nl.

Onder de AVG heb je recht op:

• inzage in de gegevens die wij van je verwerken;
• rectificatie van onjuiste gegevens;
• verwijdering (recht om vergeten te worden);
• beperking van de verwerking;
• bezwaar tegen verwerking op basis van gerechtvaardigd belang;
• gegevensoverdracht van door jou aangeleverde gegevens;
• intrekking van eerder gegeven toestemming, zonder terugwerkende kracht;
• het indienen van een klacht bij de Autoriteit Persoonsgegevens.

Deze rechten oefen je uit via de pagina Privacyverzoek indienen. Wij vragen geen kopie van een identiteitsbewijs, tenzij dat redelijkerwijs noodzakelijk is om je identiteit vast te stellen; in dat geval vragen wij niet meer dan strikt nodig.

Wij versleutelen verkeer met HTTPS (TLS), gebruiken de authenticatie en row-level-security van onze database, versleutelen wachtwoorden met bcrypt via onze auth-provider, hanteren rolgebaseerde toegang (klant en beheerder), verifiëren Stripe-webhooks aan de hand van hun handtekening en beperken toegang tot beheerfuncties. Wij slaan geen volledige betaalkaartgegevens op. Beheerders gebruiken multifactor-authenticatie waar hun account dat ondersteunt.

Wanneer wij een inbreuk in verband met persoonsgegevens vaststellen, beoordelen wij zonder onnodige vertraging de aard en omvang. Bij een lek met een waarschijnlijk risico voor de rechten en vrijheden van betrokkenen melden wij dit binnen 72 uur aan de Autoriteit Persoonsgegevens. Bij een hoog risico informeren wij ook de betrokkenen. Vermoed je een datalek? Meld dat via privacy@avgopmaat.nl.

Wij kunnen deze privacyverklaring aanpassen. Bij een inhoudelijke wijziging publiceren wij een nieuwe versie op deze website. De actuele versie, ingangsdatum en datum van laatste wijziging staan bovenaan deze pagina.