Privacyverklaring

1. Toepassingsgebied

Deze verklaring gaat over de verwerkingen waarvoor wij verwerkingsverantwoordelijke zijn: je account, je abonnement, onze communicatie met jou, onze website en de beveiliging van de dienst.

Leg je in appjeboekhouding gegevens van jouw klanten vast (namen, adressen, facturen), dan ben jij daarvoor verwerkingsverantwoordelijke en zijn wij verwerker. Die verwerking valt onder onze verwerkersovereenkomst, die automatisch deel uitmaakt van je overeenkomst met ons.

2. Wie zijn wij?

Verwerkingsverantwoordelijke: Appje B.V. (KvK 42127670). De dienst wordt aangeboden via appjeboekhouding.nl. Contact voor privacyvragen en -verzoeken: info@appjeboekhouding.nl. We hebben geen aparte functionaris gegevensbescherming; privacyverzoeken behandelt de directie zelf.

3. Welke gegevens verwerken wij?

• Accountgegevens: naam, e-mail, telefoon, taal, profielfoto/logo, voorkeuren.
• Bedrijfsgegevens: bedrijfsnaam, KvK-nummer, BTW-nummer, IBAN, adres, vestigingsplaats, uurtarief, branche, services.
• Klant- en transactiegegevens (jij verantwoordelijke, wij verwerker): klantnamen, adressen, e-mails, telefoonnummers, factuurregels, uren, ritten, uitgaven, afspraken, offertes, herinneringen.
• Berichten aan de assistent: wat je typt of instuurt via WhatsApp of de app-chat, inclusief bonfoto's en doorgestuurde contacten, en de antwoorden die wij terugsturen.
• Spraakopnames: tijdelijke audio voor transcriptie. Audio wordt na transcriptie direct verwijderd; alleen de tekst blijft, gekoppeld aan de actie die jij bevestigt.
• Foto's: bonnen, werkfoto's en factuurbijlagen, bewaard zolang het bijbehorende document bestaat.
• Locatiegegevens: rit-adressen en afstanden, alleen als jij ze opgeeft.
• Gebruiks- en verwerkingslogs: welke functies je gebruikt, foutmeldingen, en per assistent-bericht een technisch verwerkingslog (welke stappen er gezet zijn), voor kwaliteit en support.
• Betaalgegevens: abonnementsstatus via Mollie; wij zien geen volledige rekeninggegevens.
• Bezoekgegevens website: cookieloze paginastatistieken via Vercel en een eigen, beperkte bezoekstatistiek (pagina, verwijzer, land, apparaattype, sessiecode; geen user agent). Alleen als je in de cookiebanner op Accepteren klikt ook cookies en meetgegevens van Google Analytics, Google Ads, Meta en Microsoft Clarity (artikel 17).

4. Dienstverlening en klantrelatie

5. Communicatie en marketing

Onze e-mails bevatten geen advertentie-trackingpixels. We kopen geen adressenbestanden en versturen geen koude commerciële mail naar niet-klanten.

6. Wettelijke verplichtingen

7. Gerechtvaardigd belang: beveiliging en verbetering

8. Met wie delen wij gegevens?

We delen alleen met subverwerkers die noodzakelijk zijn voor de dienst, onder verwerkersovereenkomst. Het volledige, actuele overzicht staat in tabelvorm op de pagina subverwerkers: per partij waarvoor, welke gegevens, waar die staan en onder welke waarborg. De kern: database en opslag draaien in de EU (Frankfurt), WhatsApp-berichtinhoud wordt in de EU (Duitsland) opgeslagen en betalingen lopen via Mollie (Nederland). Voor de AI-verwerking (Requesty, AWS en Scaleway): zie artikel 11.

Welke partij bij welke stap van een gesprek meedoet, en in welke regio, zie je hier. Dezelfde partijen staan met hun waarborgen op de subverwerkerspagina.

Wij verkopen nooit gegevens en delen niets met adverteerders of datahandelaren.

Daarbuiten delen we gegevens alleen: (a) als jij er zelf om vraagt (bijvoorbeeld een koppeling aanzetten of een factuur laten mailen), (b) om aan een wettelijke plicht te voldoen (artikel 12), of (c) bij een bedrijfsoverdracht, waarbij dezelfde privacyafspraken mee overgaan en we je vooraf informeren.

Doorgestuurde contacten van jouw klanten. Stuur je via WhatsApp een contact van je klant door, dan leggen wij die klant voor jou vast in je administratie. Jij bent verantwoordelijk voor een geldige grondslag om die gegevens met ons te delen; wij verwerken ze uitsluitend als verwerker namens jou. Laat je de assistent namens jou een bericht aan je klant sturen, dan ben jij verantwoordelijk voor de grondslag daarvoor.

Google-gebruikersgegevens (Google API Services)

Als je je Google-account koppelt, vragen we alleen toegang tot wat de gekozen functie nodig heeft:

• Google Contacten (alleen-lezen): om je bestaande contacten als klanten te importeren, zodat je ze niet hoeft over te typen. We lezen je contacten alleen wanneer jij op "Importeren" klikt.
• Google Agenda (afspraken lezen en schrijven): om je afspraken in je dagoverzicht te tonen en klus-afspraken twee kanten op te synchroniseren.

We gebruiken deze Google-gegevens uitsluitend om die functies te leveren, verkopen ze nooit, gebruiken ze niet voor advertenties of profilering, laten geen mensen ze lezen (behalve met jouw toestemming of waar wettelijk vereist), en delen ze niet met derden buiten het leveren van de dienst. Je kunt de koppeling op elk moment intrekken.

appjeboekhouding's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

9. Koppelingen die jij zelf aanzet

Koppel je zelf een dienst aan je account, dan wisselen wij in jouw opdracht gegevens met die dienst uit. Dat geldt voor je boekhoudpakket (Moneybird, e-Boekhouden, Exact Online, Jortt, Rompslomp en SnelStart), je agenda (Google, Microsoft), je CRM (HubSpot, Salesforce), je webshop of kassa (Shopify, Lightspeed, Zettle, PayPal) en je eigen Mollie-account voor betaallinks. Die partijen zijn geen subverwerker van ons: je gebruikt daar je eigen account en hun eigen voorwaarden en privacybeleid gelden. Wij sturen alleen de gegevens die voor de gekozen functie nodig zijn, en een koppeling kun je in de app op elk moment weer loskoppelen.

Bij het opzoeken van bedrijfsgegevens (bijvoorbeeld een klant toevoegen op naam) raadplegen we het openbare KvK-register; de KvK is daarvoor zelf verantwoordelijke.

10. AI en geautomatiseerde besluitvorming

De assistent gebruikt AI om je berichten te begrijpen en om te zetten in een voorstel: een concept-factuur, een registratie, een antwoord. Daarbij gelden vaste waarborgen:

• Acties met gevolgen (versturen, doorzetten naar je pakket, opzeggen) voert de assistent pas uit na jouw bevestiging.
• Er worden geen besluiten met rechtsgevolgen voor jou genomen op basis van uitsluitend geautomatiseerde verwerking; er is altijd een mens (jijzelf) in de keten.
• Bedragen en btw worden door onze eigen code gecontroleerd en berekend, niet door het AI-model gegokt.
• Jouw gegevens worden niet gebruikt om AI-modellen te trainen.
• Leg je een vraag voor aan je eigen boekhouder, dan sturen we pas na jouw ja de vraag, de gegevens die daarvoor nodig zijn en ons conceptantwoord naar het mailadres dat jij voor je boekhouder hebt opgegeven. Zijn antwoord sturen we ongewijzigd naar jou door. Die vraag en dat antwoord wissen we 90 dagen nadat het antwoord bij je is afgeleverd.
• Van zo'n doorgezette vraag bewaren we alleen de strekking van de vraag, ons conceptantwoord en het antwoord van je boekhouder, zonder namen, bedragen, klant- of administratiegegevens, om de kwaliteit van onze antwoorden te verbeteren. Dat is een eigen kwaliteitsset; geen AI-leverancier traint er een model mee.
• We profileren je niet voor advertenties en kennen geen scores aan je toe.

Twijfel je aan een uitkomst of wil je een menselijke blik? Mail info@appjeboekhouding.nl.

11. Doorgifte buiten de EER

We houden de verwerking zo veel mogelijk binnen de EU: database en opslag in Frankfurt, WhatsApp-berichtinhoud in Duitsland, betalingen in Nederland, spraak-naar-tekst via het EU-endpoint van Deepgram.

AI-verwerking. De AI-interpretatie loopt via taalmodellen in de EU: het Claude-taalmodel op Amazon Bedrock (AWS) in Frankfurt, dat wij aanroepen via Requesty, een doorgeefdienst in Frankfurt die de inhoud niet bewaart of logt, en een taalmodel bij Scaleway in Parijs. Er gaat voor deze verwerking niets naar de Verenigde Staten, en jouw gegevens worden niet gebruikt voor modeltraining. Wie welke rol heeft, staat in de subverwerkerslijst.

Voor leveranciers met een Amerikaanse moeder (zoals Meta, Vercel, Cloudflare, Google, Microsoft en Deepgram) geldt: waar toch doorgifte naar de VS plaatsvindt, gebeurt dat op basis van het EU-VS Data Privacy Framework en/of SCC's, aangevuld met technische maatregelen zoals versleuteling. Per partij staat de waarborg op de subverwerkerspagina.

12. Verzoeken van autoriteiten

Wij verstrekken gegevens aan politie, justitie, de Belastingdienst of toezichthouders alleen als daar een geldige wettelijke basis voor is (zoals een vordering of controlebevoegdheid). We beoordelen elk verzoek kritisch, verstrekken niet meer dan gevraagd wordt, en informeren jou vooraf waar dat wettelijk mag. We geven nooit vrijwillig klantdata aan autoriteiten buiten zulke verzoeken om.

13. Verwijderen en overige bewaartermijnen

• Spraakopnames (audio): direct verwijderd na transcriptie, binnen seconden.
• Gesprekken met de assistent via WhatsApp en de app-chat: de berichten, je lopende gesprekken en de gesprekshistorie 30 dagen, daarna automatisch verwijderd. Je bedrijfsgegevens en je administratie blijven daarbij staan.
• Transcripties, verwerkingslogs, foutmeldingen, doorgegeven wensen, antwoorden op tevredenheidsvragen, mails aan info@ en de demo op de website: 30 dagen, daarna automatisch verwijderd.
• Foto's en logo's zonder eigenaar: bestanden in onze opslag waarvan het account niet meer bestaat, ruimen we dagelijks automatisch op. Foto's van een bestaand account blijven zolang het bijbehorende document bestaat.
• Eigen bezoekersstatistiek en website-chat: 90 dagen, daarna automatisch verwijderd.
• Accountverwijdering: start als je zelf je account verwijdert, of automatisch zodra je je abonnement opzegt en de betaalde periode daarna afloopt (een mislukte incasso start dit niet, alleen een echte opzegging). Je krijgt dan de volledige download van je gegevens en een maand de tijd. Daarna verwijderen we alles: je administratie, je profiel met naam, e-mail, KvK, btw, IBAN en WhatsApp-nummer, je logs, mutaties en instellingen, en je account zelf.
• Wat na verwijdering bewaard blijft: bij ons niets van je administratie. De fiscale bewaarplicht van 7 jaar ligt bij jou als ondernemer, dus bewaar de download goed. Wij bewaren alleen onze eigen facturen aan jou voor het abonnement, in onze boekhouding en bij Mollie (artikel 4), omdat wij die zelf 7 jaar moeten bewaren.

14. Beveiliging

• HTTPS verplicht (HSTS) op alle endpoints.
• Row-level security in de database: elke gebruiker ziet alleen eigen data.
• Wachtwoorden via Supabase Auth (bcrypt) of inloggen zonder wachtwoord (magic link, Google, Microsoft); wij slaan nooit wachtwoorden in leesbare vorm op.
• Toegang voor medewerkers alleen op need-to-know-basis; databasetoegang wordt bij onze infrastructuurpartner gelogd.
• Periodieke security-audits en geautomatiseerde beveiligingstests.

Meer over onze maatregelen en hoe je een kwetsbaarheid meldt: Beveiliging & Trust.

15. Jouw rechten

Je hebt onder de AVG het recht op:

• Inzage: vraag een kopie van je data op via Instellingen, Mijn data.
• Rectificatie: pas onjuiste gegevens aan in je profiel.
• Vergetelheid: verwijder je account; zie artikel 13 voor wat er dan gebeurt.
• Beperking: mail naar info@appjeboekhouding.nl om de verwerking te beperken; wij zetten die dan met de hand stil en bevestigen dat per mail.
• Dataportabiliteit: download je data in JSON-formaat.
• Bezwaar: maak bezwaar tegen verwerking op basis van gerechtvaardigd belang, bijvoorbeeld de productverbetering uit artikel 7.
• Klacht bij de toezichthouder: autoriteitpersoonsgegevens.nl.

Verzoeken die niet via de app kunnen: mail info@appjeboekhouding.nl vanaf het e-mailadres van je account, dan weten we zeker dat het verzoek van jou komt. Kunnen we je identiteit zo niet vaststellen, dan vragen we een aanvullende bevestiging via je account. We reageren binnen 30 dagen.

16. Kinderen

appjeboekhouding is een zakelijke dienst voor ondernemers en is niet gericht op kinderen. We verwerken niet bewust gegevens van personen onder de 16; merken we dat dit toch gebeurt, dan verwijderen we die gegevens.

17. Cookies en tracking

Zonder je toestemming gebruiken we alleen functionele cookies: voor inloggen, sessiebeheer en een kortlevende, willekeurige sessiecode voor onze eigen bezoekersstatistiek (artikel 7). Vercel verzamelt daarnaast anonieme paginastatistieken zonder cookies.

Via Google Tag Manager laden we Google Analytics, Meta (Facebook en Instagram) en Microsoft Clarity. Die plaatsen alleen cookies en verzamelen alleen meetgegevens na je toestemming in de cookiebanner; zonder keuze of na Weigeren staan ze uit. Je kunt je toestemming altijd intrekken op de cookiepagina, waar ook per cookie staat wat hij doet en hoe lang hij blijft.

18. Datalek

Ontdekken we een datalek, dan meldt Appje B.V. dat binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het lek waarschijnlijk geen risico voor je oplevert. Zijn jouw gegevens betrokken, dan hoor je het van ons per mail: wat er gebeurde, om welke gegevens het gaat en wat je zelf kunt doen.

Gaat het om de gegevens van jouw klanten, dan zijn wij hun verwerker. Dan lichten we jou zonder onredelijke vertraging in, zodat jij kunt melden; zie artikel 7 van de verwerkersovereenkomst. Zie je zelf iets dat op een lek lijkt, mail dan info@appjeboekhouding.nl.

19. Wijzigingen

Wij kunnen deze privacyverklaring aanpassen, bijvoorbeeld bij nieuwe functies of gewijzigde regelgeving. Materiële wijzigingen melden we vooraf per e-mail. De laatste versie staat altijd op deze pagina.