Privacyverklaring

AVG op Maat is de handelsnaam waaronder deze dienst wordt aangeboden. De statutaire naam, het vestigingsadres, het KvK-nummer en het btw-identificatienummer staan op de pagina Contact- en bedrijfsgegevens.

De volledige bedrijfsgegevens staan ook op de pagina Contact- en bedrijfsgegevens. Voor privacy-gerelateerde vragen bereikt u ons via privacy@avgopmaat.nl. Wij zijn verwerkingsverantwoordelijke voor de verwerkingen die op deze website plaatsvinden.

Afhankelijk van hoe u onze dienst gebruikt, verwerken wij:

• Accountgegevens: e-mailadres en de inloggegevens die nodig zijn voor authenticatie. Wachtwoorden worden door de authenticatiedienst verwerkt en zijn voor AVG op Maat niet leesbaar. Optioneel: naam, bedrijfsnaam, telefoonnummer en KvK-nummer in uw profiel.
• Intake-antwoorden: de antwoorden die u invult in de vragenlijst, waaronder sector, gebruikte systemen, aantallen medewerkers, verwerkingsactiviteiten, doorgifte buiten de EER en organisatorische maatregelen. Terwijl u de vragenlijst invult worden uw antwoorden lokaal in uw browser opgeslagen (localStorage) zodat u later verder kunt. Zodra u op "opslaan" of "naar de preview" klikt, worden ze via een beveiligde verbinding naar onze database gestuurd en aan uw (eventueel anonieme) account gekoppeld.
• Gegenereerde documenten en previews: de op basis van uw antwoorden samengestelde documenten en preview-fragmenten.
• Factuur- en betaalgegevens: naam of bedrijfsnaam, factuuradres, e-mailadres, optioneel KvK-nummer en btw-identificatienummer. De betaling zelf gaat via Stripe. Volledige kaart- of betaalgegevens verwerken wij niet zelf; die worden uitsluitend door Stripe verwerkt. Wij ontvangen een betaalreferentie en betaalstatus.
• Klantcommunicatie: e-mailberichten die u ons stuurt en de inhoud van support- of privacyverzoeken.
• Geschiktheids- en vraaggegevens: als u de geschiktheidscheck afrondt, leggen wij op organisatieniveau vast wat de uitkomst was en, als uw organisatie buiten het huidige bereik valt, om welke reden. Daarbij bewaren wij beperkte bedrijfskenmerken die u zelf hebt opgegeven of die uit de websitecheck volgen: bedrijfsnaam, domeinnaam, KvK-nummer, rechtsvorm, sector en personeelscategorie. Deze mogen allemaal ontbreken en wij vragen er ook niet extra naar. Wij bewaren voor dit doel uitdrukkelijk niet uw volledige vragenlijst, uw antwoorden over beveiliging, de naam of het telefoonnummer van een contactpersoon, vrije tekst, uw IP-adres of een browserkenmerk. Bij een eenmanszaak of een natuurlijke ondernemer kunnen bedrijfskenmerken persoonsgegevens zijn; daarom gelden ook hier doelbinding, minimalisatie en een bewaartermijn.
• Interesse in nieuwe of aanvullende diensten: alleen als u daar zelf voor kiest. Wij leggen dan vast: uw zakelijke e-mailadres, uw bedrijfsnaam als u die hebt opgegeven, het moment waarop u koos, welke versie van de tekst en van de reikwijdte u daarbij zag, waar u die keuze maakte, en of u de toestemming later hebt ingetrokken. Dit staat los van uw intake en van de geschiktheidscheck.
• Technische gegevens: IP-adres, browsertype, apparaatinformatie en beveiligingslogs. Deze worden verwerkt door onze hostingpartij en zijn nodig om de website te leveren en tegen misbruik te beschermen.
• Lokale opslag: uw (tussentijdse) intake-antwoorden worden in uw eigen browser bewaard. Wij gebruiken geen analytics- of marketingcookies en tonen daarom geen cookiebanner.

Wij vragen u uitdrukkelijk om in vrije tekstvelden geen namen, BSN-nummers, medische gegevens of andere onnodige persoonsgegevens in te vullen. Vrije tekst wordt op het moment van genereren grammaticaal herschreven via een AI-gateway (zie sectie 5). Waar mogelijk worden gegevens vooraf geminimaliseerd en gepseudonimiseerd.

Wij passen geen geautomatiseerde besluitvorming of profilering toe met rechtsgevolgen voor u. De inhoud van uw documenten is een sjabloon dat op basis van uw antwoorden wordt samengesteld, geen geautomatiseerd besluit in de zin van artikel 22 AVG.

Bepaalde gegevens moeten wij verwerken om de dienst te kunnen leveren. Zonder e-mailadres kunnen wij geen account bevestigen of documenten toesturen; zonder factuurgegevens kunnen wij geen wettelijk correcte factuur opstellen. Als u deze gegevens niet verstrekt, kunnen wij de betreffende dienst niet leveren.

• Onafgemaakte intakes (alleen lokaal in uw browser): zolang u de gegevens niet wist. U kunt ze op elk moment leegmaken via de knop "verwijderen" in de vragenlijst of via de instellingen van uw browser.
• Op de server opgeslagen intakes zonder aankoop: 90 dagen na uw laatste wijziging, waarna ze automatisch worden verwijderd. Wij houden van elke opschoning bij wanneer die liep en hoeveel er is verwijderd. U kunt daarnaast op elk moment zelf om verwijdering vragen.
• Gekochte documenten en bijbehorende intake: zolang uw account bestaat, tenzij u eerder om verwijdering vraagt. Zie ook de bewaarplicht voor facturen hieronder.
• Accountgegevens: zolang uw account actief is. Bij 24 maanden inactiviteit beoordelen wij handmatig of het account kan worden verwijderd.
• Geschiktheids- en vraaggegevens: de bedrijfskenmerken waarmee een organisatie herkenbaar is (bedrijfsnaam, domeinnaam, KvK-nummer en een eventuele koppeling aan een intake) bewaren wij maximaal 24 maanden. Daarna worden die velden automatisch leeggemaakt en blijft alleen niet-herleidbare trendinformatie over: de periode, de uitkomst, de reden waarom het huidige pakket niet paste, de grove sector en personeelscategorie, en de versie van het model waaronder dat oordeel viel.
• Interesse in nieuwe of aanvullende diensten: uw toestemming is maximaal 24 maanden actief, gerekend vanaf het moment waarop u die gaf. Daarna benaderen wij u niet meer, tenzij u opnieuw aangeeft dat u dat wilt. Trekt u de toestemming eerder in, dan stopt het gebruik direct. Wij bewaren van een intrekking wel de minimale vastlegging die nodig is om te voorkomen dat u per ongeluk opnieuw wordt benaderd.
• Facturen en betaaladministratie: 7 jaar na afloop van het boekjaar (fiscale bewaarplicht, art. 52 AWR).
• Berichten via het contactformulier: 12 maanden na ontvangst, waarna ze automatisch worden verwijderd. Gaat uw bericht over een lopende zaak, dan bewaren wij de afhandeling daarvan zolang die zaak duurt.
• Gewone technische logs: richttermijn 90 dagen. Logs die onze hostingleverancier zelf bijhoudt vallen onder diens bewaarbeleid.
• Lokale opslag in uw browser: tot u deze wist via de knop in de vragenlijst of via uw browserinstellingen.

De termijnen die hierboven als automatisch zijn aangeduid, worden dagelijks door de database zelf uitgevoerd; facturen blijven daarbij buiten schot vanwege de fiscale bewaarplicht. Waar "richttermijn" staat, is de verwijdering nog een handmatige controle en geen geautomatiseerde taak, en dat schrijven wij liever op dan dat wij meer beloven dan er staat. Wilt u weten hoe lang wij een specifieke gegevenscategorie bewaren? Vraag het op via privacy@avgopmaat.nl.

Wij delen alleen gegevens met dienstverleners die noodzakelijk zijn voor het leveren van onze dienst. De volledige lijst met doelen, rol, locatie en doorgifte-informatie vindt u op de pagina Verwerkers en externe dienstverleners. Wij verkopen persoonsgegevens niet en gebruiken ze niet voor advertentiedoeleinden. Vrije tekst uit intake-velden wordt op het moment van genereren via een AI-gateway grammaticaal herschreven. Waar mogelijk worden gegevens vooraf geminimaliseerd en gepseudonimiseerd. Wij sturen zelf geen intake-informatie naar een AI-dienst om modellen te trainen. Wij hebben echter geen volledige technische controle over de onderliggende modelaanbieders; voor de actuele voorwaarden over het bewaren van prompts, gegenereerde uitvoer en modeltraining verwijzen wij naar de voorwaarden van de gateway- en modelaanbieder.

Onze database en bestandsopslag draaien binnen de Europese Unie. De AI-gateway wordt aangeboden via het Lovable-platform; de onderliggende modelaanbieders kunnen buiten de EER opereren, waardoor verwerking buiten de EER niet is uitgesloten. Voor Stripe kan doorgifte naar de Verenigde Staten plaatsvinden. Lovable en Stripe publiceren daarvoor overdrachtswaarborgen, waaronder EU-standaardcontractbepalingen en, waar van toepassing, het EU-VS Data Privacy Framework. Welke waarborg per verwerking geldt, staat nader toegelicht op onze pagina over verwerkers en in de privacydocumentatie van de dienstverlener. U kunt de details ook opvragen via privacy@avgopmaat.nl.

Onder de AVG hebt u recht op:

• inzage in de gegevens die wij van u verwerken;
• rectificatie van onjuiste gegevens;
• verwijdering (recht om vergeten te worden);
• beperking van de verwerking;
• bezwaar tegen verwerking op basis van gerechtvaardigd belang;
• gegevensoverdracht van door u aangeleverde gegevens;
• intrekking van eerder gegeven toestemming, zonder terugwerkende kracht. Hebt u aangegeven dat u wilt horen over nieuwe of aanvullende diensten van AVG op Maat, dan kunt u die keuze intrekken via de link in de bevestigingsmail of door ons een bericht te sturen;
• het indienen van een klacht bij de Autoriteit Persoonsgegevens.

Deze rechten oefent u uit via de pagina Privacyverzoek indienen. Wij vragen geen kopie van een identiteitsbewijs, tenzij dat redelijkerwijs noodzakelijk is om uw identiteit vast te stellen; in dat geval vragen wij niet meer dan strikt nodig.

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies of onrechtmatige verwerking. Wij versleutelen verkeer met HTTPS (TLS), maken gebruik van de authenticatie en row-level-security van onze databaseleverancier, hanteren rolgebaseerde toegang (klant en beheerder), verifiëren Stripe-webhooks aan de hand van hun handtekening en beperken toegang tot beheerfuncties. Wij slaan geen volledige betaalkaartgegevens op.

Wanneer wij een inbreuk in verband met persoonsgegevens vaststellen, beoordelen wij zonder onnodige vertraging de aard en omvang. Bij een lek met een waarschijnlijk risico voor de rechten en vrijheden van betrokkenen melden wij dit binnen 72 uur aan de Autoriteit Persoonsgegevens. Bij een hoog risico informeren wij ook de betrokkenen. Vermoedt u een datalek? Meld dat via privacy@avgopmaat.nl.

Wij kunnen deze privacyverklaring aanpassen. Bij een inhoudelijke wijziging publiceren wij een nieuwe versie op deze website. De actuele versie, ingangsdatum en datum van laatste wijziging staan bovenaan deze pagina.