Privacybeleid

De verwerkingsverantwoordelijke voor jouw persoonsgegevens is:

2.1 Accountgegevens

Wanneer je een account aanmaakt, verzamelen wij:

• Emailadres (van Exact Online OAuth)
• Naam (optioneel, van Exact Online profiel)
• Gekoppelde Exact Online divisie-informatie (naam en code, geen financiële data)

2.2 Support communicatie

Wanneer je contact met ons opneemt via email of het support systeem, verzamelen wij:

• Support berichten en communicatie (inhoud, datum, onderwerp)
• Email aliases (alternatieve email adressen voor support)
• Communicatie geschiedenis (inkomende en uitgaande berichten)

2.3 Technische gegevens

Voor de werking van de Dienst slaan wij op:

• OAuth access en refresh tokens (versleuteld)
• API keys (alleen een hash, nooit de volledige key)
• Sessie-informatie
• Gebruiksgegevens van de koppeling (zie hieronder welke precies)

Per actie leggen wij deze gegevens vast:

• Welke actie is uitgevoerd, bijvoorbeeld het opvragen van een winst-en-verliesrekening. Niet de vraag die je stelde en niet het antwoord.
• In welke administratie de actie plaatsvond.
• Wanneer de actie plaatsvond, en hoe lang die duurde.
• Welke AI-assistent de actie deed, bijvoorbeeld Claude of ChatGPT.
• Of de actie gelukt is of misging. Dit staat al in de belofte hierboven, maar ontbrak in deze lijst.
• Het IP-adres en de user-agent van de verbinding. Die halen wij na 30 dagen weg; daarna is uit de regel ook niet meer af te leiden welke assistent het was.

2.4 Schrijfoperaties auditlog

Wanneer schrijfrechten zijn ingeschakeld en AI-tools data aanmaken of wijzigen in Exact Online, registreren wij:

• De gebruikte tool (tool_name)
• Het API-endpoint dat is aangeroepen
• De verzonden data (request) en ontvangen data (response)
• Tijdstempel van de schrijfactie

De verzonden en ontvangen data in deze auditlog kan persoonsgegevens van jouw relaties bevatten. Wij bewaren die inhoud 1 jaar, zodat je bij bijvoorbeeld een accountantscontrole kunt terugzien wat er is gewijzigd, en redacteren haar daarna automatisch. Wat daarna nog overblijft, verschilt per tool. Voor vijf financiële schrijftools (verkoopfactuur, verkooporder aanmaken of wijzigen, memoriaalboeking en inkoopboeking) blijft de metadata - welke tool, welk endpoint, welke administratie, tijdstempel - staan tot 7 jaar, vanwege de fiscale bewaarplicht. Bij alle andere schrijftools verdwijnt de hele regel na 1 jaar, metadata inbegrepen. De volledige, authoritatieve administratie staat 7 jaar in Exact Online zelf, niet in deze auditlog.

2.5 Wat wij wel en niet opslaan van je administratie

Hier maken wij een onderscheid dat er echt is: lezen en schrijven gaan bij ons niet hetzelfde.

Wat wij in geen geval opslaan:

2.6 Administratie-profiel

Je kunt per administratie een structuurprofiel laten aanmaken: dagboeken, grootboek-hoofdindeling, btw-codes, kostenplaatsen en betaalcondities, zodat je AI-assistent je administratie sneller begrijpt. Dit staat standaard uit en werkt alleen als jij het zelf aanzet. Het profiel bevat nooit bedragen, saldi, transacties, relaties of documenten. Je kunt de opgeslagen profielen op elk moment direct verwijderen op je dashboard, en uitzetten wist ze meteen.

2.7 Verslagen die je zelf laat opslaan

Je AI-assistent heeft één actie waarmee hij tekst in onze eigen database zet, en niet in Exact Online: het opslaan van een verslag. Die actie bestaat zodat je ons gericht feedback kunt geven, bijvoorbeeld wanneer een analyse niet klopt of een onderdeel niet werkt, en zodat wij zien waar het misging zonder dat je het hoeft na te vertellen.

Wanneer een AI-assistent (zoals Claude) data opvraagt via onze Dienst:

1. De AI-assistent stuurt een verzoek naar onze server
2. Wij authenticeren het verzoek met jouw API key
3. Wij halen de gevraagde data op bij Exact Online
4. Wij sturen de data direct door naar de AI-assistent

Schrijfoperaties

Wanneer je schrijfrechten inschakelt, kunnen AI-tools data aanmaken en wijzigen in jouw Exact Online administratie. Dit omvat onder andere het aanmaken van verkoopfacturen, verkooporders, boekingen en contactpersonen. Dit gebeurt uitsluitend op jouw instructie via de AI-assistent.

Wij verwerken jouw gegevens op basis van:

Wij delen jouw gegevens met de volgende partijen:

Onder de AVG heb je de volgende rechten:

Om je rechten uit te oefenen, neem contact op via support@praatmetjeboekhouding.nl of gebruik de opties in je dashboard. Wij reageren binnen 30 dagen.

Wij nemen de volgende maatregelen om jouw gegevens te beschermen:

• Versleuteling van data in transit (TLS 1.3) en at rest (AES-256)
• OAuth 2.0 authenticatie - wij zien nooit jouw Exact Online wachtwoord
• API keys worden gehashed opgeslagen, nooit in plain text
• Cloudflare DDoS-bescherming en Web Application Firewall
• Regelmatige security audits en updates
• Toegangscontrole op basis van least-privilege principe

Wij gebruiken alleen strikt noodzakelijke cookies:

Wij gebruiken geen tracking- of advertentiecookies. Voor bezoekersstatistieken gebruiken wij Cloudflare Web Analytics: een cookieloze meting die geen cookies plaatst, geen IP-adressen opslaat en individuele bezoekers niet volgt (zie "Delen met Derden").

Wij verwerken gegevens primair binnen de EU. Waar doorgifte naar buiten de EU noodzakelijk is (bijvoorbeeld naar de AI-provider die jij kiest), roepen wij de volgende waarborgen in:

• de Standaardcontractbepalingen van de Europese Commissie (SCC's, uitvoeringsbesluit 2021/914);
• aanvullende technische maatregelen, waaronder versleuteling tijdens transport (TLS 1.3).

Wij zetten de SCC's voorop en leunen niet op het EU-VS Data Privacy Framework (DPF). Wij hebben op 10 augustus 2026 de deelnemerslijst op dataprivacyframework.gov nagelopen: Anthropic PBC en OpenAI LP staan daar niet op, niet als actieve en niet als inactieve deelnemer. Eerdere teksten van ons die het tegendeel suggereerden, waren onjuist en zijn gecorrigeerd. Van de partijen die wij zelf inschakelen staat Cloudflare, Inc. er wel actief op, en Resend, Inc. met de status "Active - Re-certification under Review" en alleen voor niet-HR-gegevens.

Dat geldt ook voor Anthropic PBC in de rol waarin wij die partij zélf inschakelen (zie "Delen met Derden"). Die verwerking vindt plaats in de Verenigde Staten en wij baseren de doorgifte daarvoor uitsluitend op de standaardcontractbepalingen, niet op het DPF.

Ook los daarvan is het DPF geen afgeronde kwestie: de European Data Protection Board heeft de Europese Commissie op 31 juli 2026 gevraagd te beoordelen of de uitspraak van het Amerikaanse Supreme Court in Trump v. Slaughter (29 juni 2026) gevolgen heeft voor de werking van uitvoeringsbesluit 2023/1795, en het hoger beroep in zaak C-703/25 P (Latombe) loopt nog.

De Dienst is niet bedoeld voor personen jonger dan 18 jaar. Wij verzamelen niet bewust gegevens van minderjarigen. Als je vermoedt dat wij gegevens van een minderjarige hebben, neem dan contact met ons op.

Wij kunnen dit Privacybeleid periodiek bijwerken. Bij materiële wijzigingen stellen wij je op de hoogte via email of een melding in de Dienst.

De "Laatst bijgewerkt" datum bovenaan geeft aan wanneer de laatste wijziging is doorgevoerd.

Als je een klacht hebt over hoe wij met jouw gegevens omgaan, neem dan eerst contact met ons op. Wij proberen elk probleem op te lossen.

Je hebt ook het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens:

Voor vragen over dit Privacybeleid of jouw gegevens: