Privacyverklaring

AVG op Maat is de handelsnaam waaronder deze dienst wordt aangeboden. De website bevindt zich in een testfase. De volledige bedrijfsgegevens, waaronder de statutaire naam, het vestigingsadres en het KvK-nummer, worden vóór de commerciële lancering toegevoegd en verschijnen dan ook hier. Tot die tijd vindt u wat wel is vastgesteld op de pagina Contact- en bedrijfsgegevens.

De volledige bedrijfsgegevens staan ook op de pagina Contact- en bedrijfsgegevens. Voor privacy-gerelateerde vragen bereikt u ons via privacy@avgopmaat.nl. Wij zijn verwerkingsverantwoordelijke voor de verwerkingen die op deze website plaatsvinden.

Afhankelijk van hoe u onze dienst gebruikt, verwerken wij:

• Accountgegevens: e-mailadres en versleuteld wachtwoord bij het aanmaken van een account. Optioneel: naam, bedrijfsnaam, telefoonnummer en KvK-nummer in uw profiel.
• Intake-antwoorden: de antwoorden die u invult in de vragenlijst, waaronder sector, gebruikte systemen, aantallen medewerkers, verwerkingsactiviteiten, doorgifte buiten de EER en organisatorische maatregelen. Terwijl u de vragenlijst invult worden uw antwoorden lokaal in uw browser opgeslagen (localStorage) zodat u later verder kunt. Zodra u op "opslaan" of "naar de preview" klikt, worden ze via een beveiligde verbinding naar onze database gestuurd en aan uw (eventueel anonieme) account gekoppeld.
• Gegenereerde documenten en previews: de op basis van uw antwoorden samengestelde documenten en preview-fragmenten.
• Factuur- en betaalgegevens: naam of bedrijfsnaam, factuuradres, e-mailadres, optioneel KvK-nummer en btw-identificatienummer. De betaling zelf gaat via Stripe. Volledige kaart- of betaalgegevens verwerken wij niet zelf; die worden uitsluitend door Stripe verwerkt. Wij ontvangen een betaalreferentie en betaalstatus.
• Klantcommunicatie: e-mailberichten die u ons stuurt en de inhoud van support- of privacyverzoeken.
• Technische gegevens: IP-adres, browsertype, apparaatinformatie en beveiligingslogs. Deze worden verwerkt door onze hostingpartij en zijn nodig om de website te leveren en tegen misbruik te beschermen.
• Lokale opslag: uw (tussentijdse) intake-antwoorden worden in uw eigen browser bewaard. Wij gebruiken geen analytics- of marketingcookies en tonen daarom geen cookiebanner.

Wij vragen u uitdrukkelijk om in vrije tekstvelden geen namen, BSN-nummers, medische gegevens of andere onnodige persoonsgegevens in te vullen. Vrije tekst wordt op het moment van genereren grammaticaal herschreven via een AI-gateway (zie sectie 5). Waar mogelijk worden gegevens vooraf geminimaliseerd en gepseudonimiseerd.

Wij passen geen geautomatiseerde besluitvorming of profilering toe met rechtsgevolgen voor u. De inhoud van uw documenten is een sjabloon dat op basis van uw antwoorden wordt samengesteld, geen geautomatiseerd besluit in de zin van artikel 22 AVG.

Bepaalde gegevens moeten wij verwerken om de dienst te kunnen leveren. Zonder e-mailadres kunnen wij geen account bevestigen of documenten toesturen; zonder factuurgegevens kunnen wij geen wettelijk correcte factuur opstellen. Als u deze gegevens niet verstrekt, kunnen wij de betreffende dienst niet leveren.

• Onafgemaakte intakes (alleen lokaal in uw browser): zolang u de gegevens niet wist. U kunt ze op elk moment leegmaken via de knop "verwijderen" in de vragenlijst of via de instellingen van uw browser.
• Op de server opgeslagen intakes zonder aankoop: 90 dagen na uw laatste wijziging, waarna ze automatisch worden verwijderd. Wij houden van elke opschoning bij wanneer die liep en hoeveel er is verwijderd. U kunt daarnaast op elk moment zelf om verwijdering vragen.
• Gekochte documenten en bijbehorende intake: zolang uw account bestaat, tenzij u eerder om verwijdering vraagt. Zie ook de bewaarplicht voor facturen hieronder.
• Accountgegevens: zolang uw account actief is. Bij 24 maanden inactiviteit beoordelen wij handmatig of het account kan worden verwijderd.
• Facturen en betaaladministratie: 7 jaar na afloop van het boekjaar (fiscale bewaarplicht, art. 52 AWR).
• Berichten via het contactformulier: 12 maanden na ontvangst, waarna ze automatisch worden verwijderd. Gaat uw bericht over een lopende zaak, dan bewaren wij de afhandeling daarvan zolang die zaak duurt.
• Gewone technische logs: richttermijn 90 dagen. Logs die onze hostingleverancier zelf bijhoudt vallen onder diens bewaarbeleid.
• Lokale opslag in uw browser: tot u deze wist via de knop in de vragenlijst of via uw browserinstellingen.

De termijnen die hierboven als automatisch zijn aangeduid, worden dagelijks door de database zelf uitgevoerd; facturen blijven daarbij buiten schot vanwege de fiscale bewaarplicht. Waar "richttermijn" staat, is de verwijdering nog een handmatige controle en geen geautomatiseerde taak, en dat schrijven wij liever op dan dat wij meer beloven dan er staat. Wilt u weten hoe lang wij een specifieke gegevenscategorie bewaren? Vraag het op via privacy@avgopmaat.nl.

Wij delen alleen gegevens met dienstverleners die noodzakelijk zijn voor het leveren van onze dienst. De volledige lijst met doelen, rol, locatie en doorgifte-informatie vindt u op de pagina Verwerkers en externe dienstverleners. Wij verkopen persoonsgegevens niet en gebruiken ze niet voor advertentiedoeleinden. Vrije tekst uit intake-velden wordt op het moment van genereren via een AI-gateway grammaticaal herschreven. Waar mogelijk worden gegevens vooraf geminimaliseerd en gepseudonimiseerd. Wij sturen zelf geen intake-informatie naar een AI-dienst om modellen te trainen. Wij hebben echter geen volledige technische controle over de onderliggende modelaanbieders; voor de actuele voorwaarden over het bewaren van prompts, gegenereerde uitvoer en modeltraining verwijzen wij naar de voorwaarden van de gateway- en modelaanbieder.

Onze database en bestandsopslag draaien binnen de Europese Unie. De AI-gateway wordt aangeboden via het Lovable-platform; de onderliggende modelaanbieders kunnen buiten de EER opereren, waardoor verwerking buiten de EER niet is uitgesloten. Voor Stripe kan doorgifte naar de Verenigde Staten plaatsvinden. Deze doorgifte is gebaseerd op EU-standaardcontractbepalingen (SCC's) en aanvullende technische en organisatorische waarborgen zoals versleuteld transport en beperkte toegang. U kunt de details opvragen via privacy@avgopmaat.nl.

Onder de AVG hebt u recht op:

• inzage in de gegevens die wij van u verwerken;
• rectificatie van onjuiste gegevens;
• verwijdering (recht om vergeten te worden);
• beperking van de verwerking;
• bezwaar tegen verwerking op basis van gerechtvaardigd belang;
• gegevensoverdracht van door u aangeleverde gegevens;
• intrekking van eerder gegeven toestemming, zonder terugwerkende kracht;
• het indienen van een klacht bij de Autoriteit Persoonsgegevens.

Deze rechten oefent u uit via de pagina Privacyverzoek indienen. Wij vragen geen kopie van een identiteitsbewijs, tenzij dat redelijkerwijs noodzakelijk is om uw identiteit vast te stellen; in dat geval vragen wij niet meer dan strikt nodig.

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies of onrechtmatige verwerking. Wij versleutelen verkeer met HTTPS (TLS), maken gebruik van de authenticatie en row-level-security van onze databaseleverancier, hanteren rolgebaseerde toegang (klant en beheerder), verifiëren Stripe-webhooks aan de hand van hun handtekening en beperken toegang tot beheerfuncties. Wij slaan geen volledige betaalkaartgegevens op.

Wanneer wij een inbreuk in verband met persoonsgegevens vaststellen, beoordelen wij zonder onnodige vertraging de aard en omvang. Bij een lek met een waarschijnlijk risico voor de rechten en vrijheden van betrokkenen melden wij dit binnen 72 uur aan de Autoriteit Persoonsgegevens. Bij een hoog risico informeren wij ook de betrokkenen. Vermoedt u een datalek? Meld dat via privacy@avgopmaat.nl.

Wij kunnen deze privacyverklaring aanpassen. Bij een inhoudelijke wijziging publiceren wij een nieuwe versie op deze website. De actuele versie, ingangsdatum en datum van laatste wijziging staan bovenaan deze pagina.