Privacyverklaring

1. Toepassingsgebied

Deze verklaring gaat over de verwerkingen waarvoor wij verwerkingsverantwoordelijke zijn: je account, je abonnement, onze communicatie met jou, onze website en de beveiliging van de dienst.

Leg je in appjeboekhouding gegevens van jouw klanten vast (namen, adressen, facturen), dan ben jij daarvoor verwerkingsverantwoordelijke en zijn wij verwerker. Die verwerking valt onder onze verwerkersovereenkomst, die automatisch deel uitmaakt van je overeenkomst met ons.

2. Wie zijn wij?

Verwerkingsverantwoordelijke: Appje B.V. (KvK 42127670). De dienst wordt aangeboden via appjeboekhouding.nl. Contact voor privacyvragen en -verzoeken: info@appjeboekhouding.nl. We hebben geen aparte functionaris gegevensbescherming; privacyverzoeken behandelt de directie zelf.

3. Welke gegevens verwerken wij?

• Accountgegevens: naam, e-mail, telefoon, taal, profielfoto/logo, voorkeuren.
• Bedrijfsgegevens: bedrijfsnaam, KvK-nummer, BTW-nummer, IBAN, adres, vestigingsplaats, uurtarief, branche, services.
• Klant- en transactiegegevens (jij verantwoordelijke, wij verwerker): klantnamen, adressen, e-mails, telefoonnummers, factuurregels, uren, ritten, uitgaven, afspraken, offertes, herinneringen.
• Berichten aan de assistent: wat je typt of instuurt via WhatsApp of de app-chat, inclusief bonfoto's en doorgestuurde contacten, en de antwoorden die wij terugsturen.
• Spraakopnames: tijdelijke audio voor transcriptie. Audio wordt na transcriptie direct verwijderd; alleen de tekst blijft, gekoppeld aan de actie die jij bevestigt.
• Foto's: bonnen, werkfoto's en factuurbijlagen, bewaard zolang het bijbehorende document bestaat.
• Locatiegegevens: rit-adressen en afstanden, alleen als jij ze opgeeft.
• Gebruiks- en verwerkingslogs: welke functies je gebruikt, foutmeldingen, en per assistent-bericht een technisch verwerkingslog (welke stappen er gezet zijn), voor kwaliteit en support.
• Betaalgegevens: abonnementsstatus via Mollie; wij zien geen volledige rekeninggegevens.
• Bezoekgegevens website: cookieloze paginastatistieken via Vercel en een eigen, beperkte bezoekstatistiek (pagina, verwijzer, land, apparaattype, sessiecode; geen user agent).

4. Dienstverlening en klantrelatie

5. Communicatie en marketing

Onze e-mails bevatten geen advertentie-trackingpixels. We kopen geen adressenbestanden en versturen geen koude commerciële mail naar niet-klanten.

6. Wettelijke verplichtingen

7. Gerechtvaardigd belang: beveiliging en verbetering

8. Met wie delen wij gegevens?

We delen alleen met subverwerkers die noodzakelijk zijn voor de dienst, onder verwerkersovereenkomst. Het volledige, actuele overzicht staat in tabelvorm op de pagina subverwerkers: per partij waarvoor, welke gegevens, waar die staan en onder welke waarborg. De kern: database en opslag draaien in de EU (Frankfurt), WhatsApp-berichtinhoud wordt in de EU (Duitsland) opgeslagen en betalingen lopen via Mollie (Nederland). Voor de AI-verwerking: zie artikel 11.

Wij verkopen nooit gegevens en delen niets met adverteerders of datahandelaren.

Daarbuiten delen we gegevens alleen: (a) als jij er zelf om vraagt (bijvoorbeeld een koppeling aanzetten of een factuur laten mailen), (b) om aan een wettelijke plicht te voldoen (artikel 12), of (c) bij een bedrijfsoverdracht, waarbij dezelfde privacyafspraken mee overgaan en we je vooraf informeren.

Doorgestuurde contacten van jouw klanten. Stuur je via WhatsApp een contact van je klant door, dan leggen wij die klant voor jou vast in je administratie. Jij bent verantwoordelijk voor een geldige grondslag om die gegevens met ons te delen; wij verwerken ze uitsluitend als verwerker namens jou. Laat je de assistent namens jou een bericht aan je klant sturen, dan ben jij verantwoordelijk voor de grondslag daarvoor.

Google-gebruikersgegevens (Google API Services)

Als je je Google-account koppelt, vragen we alleen toegang tot wat de gekozen functie nodig heeft:

• Google Contacten (alleen-lezen): om je bestaande contacten als klanten te importeren, zodat je ze niet hoeft over te typen. We lezen je contacten alleen wanneer jij op "Importeren" klikt.
• Google Agenda (afspraken lezen en schrijven): om je afspraken in je dagoverzicht te tonen en klus-afspraken twee kanten op te synchroniseren.

We gebruiken deze Google-gegevens uitsluitend om die functies te leveren, verkopen ze nooit, gebruiken ze niet voor advertenties of profilering, laten geen mensen ze lezen (behalve met jouw toestemming of waar wettelijk vereist), en delen ze niet met derden buiten het leveren van de dienst. Je kunt de koppeling op elk moment intrekken.

appjeboekhouding's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

9. Koppelingen die jij zelf aanzet

Koppel je zelf een dienst aan je account, dan wisselen wij in jouw opdracht gegevens met die dienst uit. Dat geldt voor je boekhoudpakket (Moneybird, e-Boekhouden, Jortt, Exact Online), je agenda (Google, Microsoft), je CRM (HubSpot, Salesforce), je webshop of kassa (Shopify, Lightspeed, Zettle, PayPal) en je eigen Mollie-account voor betaallinks. Die partijen zijn geen subverwerker van ons: je gebruikt daar je eigen account en hun eigen voorwaarden en privacybeleid gelden. Wij sturen alleen de gegevens die voor de gekozen functie nodig zijn, en een koppeling kun je in de app op elk moment weer loskoppelen.

Bij het opzoeken van bedrijfsgegevens (bijvoorbeeld een klant toevoegen op naam) raadplegen we het openbare KvK-register; de KvK is daarvoor zelf verantwoordelijke.

10. AI en geautomatiseerde besluitvorming

De assistent gebruikt AI om je berichten te begrijpen en om te zetten in een voorstel: een concept-factuur, een registratie, een antwoord. Daarbij gelden vaste waarborgen:

• Acties met gevolgen (versturen, doorzetten naar je pakket, opzeggen) voert de assistent pas uit na jouw bevestiging.
• Er worden geen besluiten met rechtsgevolgen voor jou genomen op basis van uitsluitend geautomatiseerde verwerking; er is altijd een mens (jijzelf) in de keten.
• Bedragen en btw worden door onze eigen code gecontroleerd en berekend, niet door het AI-model gegokt.
• Jouw gegevens worden niet gebruikt om AI-modellen te trainen.
• We profileren je niet voor advertenties en kennen geen scores aan je toe.

Twijfel je aan een uitkomst of wil je een menselijke blik? Mail info@appjeboekhouding.nl.

11. Doorgifte buiten de EER

We houden de verwerking zo veel mogelijk binnen de EU: database en opslag in Frankfurt, WhatsApp-berichtinhoud in Duitsland, betalingen in Nederland, spraak-naar-tekst via het EU-endpoint van Deepgram.

AI-verwerking. De AI-interpretatie (Claude van Anthropic) loopt op dit moment via de API van Anthropic; daarbij kan verwerking in de Verenigde Staten plaatsvinden, onder verwerkersvoorwaarden met EU-modelcontractbepalingen (SCC's) en zonder dat jouw gegevens voor modeltraining worden gebruikt. We zijn deze verwerking aan het verplaatsen naar AWS Bedrock in Frankfurt (EU); zodra dat rond is, werken we deze pagina en de subverwerkerslijst bij.

Voor leveranciers met een Amerikaanse moeder (zoals Meta, Vercel, Cloudflare, Google, Microsoft en Deepgram) geldt: waar toch doorgifte naar de VS plaatsvindt, gebeurt dat op basis van het EU-VS Data Privacy Framework en/of SCC's, aangevuld met technische maatregelen zoals versleuteling. Per partij staat de waarborg op de subverwerkerspagina.

12. Verzoeken van autoriteiten

Wij verstrekken gegevens aan politie, justitie, de Belastingdienst of toezichthouders alleen als daar een geldige wettelijke basis voor is (zoals een vordering of controlebevoegdheid). We beoordelen elk verzoek kritisch, verstrekken niet meer dan gevraagd wordt, en informeren jou vooraf waar dat wettelijk mag. We geven nooit vrijwillig klantdata aan autoriteiten buiten zulke verzoeken om.

13. Verwijderen en overige bewaartermijnen

• Spraakopnames (audio): direct verwijderd na transcriptie, binnen seconden.
• Transcriptie- en verwerkingslogs, eigen bezoekersstatistiek, website-chat: 90 dagen, daarna automatisch verwijderd.
• Accountverwijdering: 30 dagen bedenktijd, daarna wordt je profiel geanonimiseerd (naam, adres, telefoon, logo en omschrijving verwijderd) en worden je WhatsApp-historie, transcripties, feedback en auditlog gewist.
• Wat na verwijdering bewaard blijft: facturen en financiële administratie, gepseudonimiseerd, 7 jaar (fiscale bewaarplicht), met je inlog-e-mailadres als sleutel zodat het dossier bij een controle aan de juiste onderneming te koppelen blijft. Daarna wordt ook dat verwijderd.

14. Beveiliging

• HTTPS verplicht (HSTS) op alle endpoints.
• Row-level security in de database: elke gebruiker ziet alleen eigen data.
• Wachtwoorden via Supabase Auth (bcrypt) of inloggen zonder wachtwoord (magic link, Google, Microsoft); wij slaan nooit wachtwoorden in leesbare vorm op.
• Toegang voor medewerkers alleen op need-to-know-basis; databasetoegang wordt bij onze infrastructuurpartner gelogd.
• Periodieke security-audits en geautomatiseerde beveiligingstests.

Meer over onze maatregelen en hoe je een kwetsbaarheid meldt: Beveiliging & Trust.

15. Jouw rechten

Je hebt onder de AVG het recht op:

• Inzage: vraag een kopie van je data op via Instellingen, Mijn data.
• Rectificatie: pas onjuiste gegevens aan in je profiel.
• Vergetelheid: verwijder je account; zie artikel 13 voor wat er dan gebeurt.
• Beperking: pauzeer verwerking door je account te bevriezen.
• Dataportabiliteit: download je data in JSON-formaat.
• Bezwaar: maak bezwaar tegen verwerking op basis van gerechtvaardigd belang, bijvoorbeeld de productverbetering uit artikel 7.
• Klacht bij de toezichthouder: autoriteitpersoonsgegevens.nl.

Verzoeken die niet via de app kunnen: mail info@appjeboekhouding.nl vanaf het e-mailadres van je account, dan weten we zeker dat het verzoek van jou komt. Kunnen we je identiteit zo niet vaststellen, dan vragen we een aanvullende bevestiging via je account. We reageren binnen 30 dagen.

16. Kinderen

appjeboekhouding is een zakelijke dienst voor ondernemers en is niet gericht op kinderen. We verwerken niet bewust gegevens van personen onder de 16; merken we dat dit toch gebeurt, dan verwijderen we die gegevens.

17. Cookies en tracking

We gebruiken alleen functionele cookies: voor inloggen, sessiebeheer en een kortlevende, willekeurige sessiecode voor onze eigen bezoekersstatistiek (artikel 7). Geen advertentiecookies, geen trackingpixels van derden, geen profilering; daarom tonen we ook geen cookiebanner. Vercel verzamelt daarnaast anonieme paginastatistieken zonder cookies. Details staan op de cookiepagina.

18. Datalek

Mocht er onverhoopt een datalek zijn, dan melden we dat waar vereist binnen 72 uur bij de Autoriteit Persoonsgegevens en, als jouw data betrokken is met hoog risico, ook bij jou. Onze datalekprocedure is intern gedocumenteerd.

19. Wijzigingen

Wij kunnen deze privacyverklaring aanpassen, bijvoorbeeld bij nieuwe functies of gewijzigde regelgeving. Materiële wijzigingen melden we vooraf per e-mail. De laatste versie staat altijd op deze pagina.