Privacyverklaring

Wie is verantwoordelijk voor uw gegevens?

Voor de gegevens over uw eigen account, uw persoon en uw bedrijf (zoals uw e-mailadres, naam, telefoonnummer, bedrijfsnaam, KvK- en btw-nummer en adres) zijn wij de verwerkingsverantwoordelijke. Wij bepalen waarvoor en hoe deze gegevens worden gebruikt om u de dienst te kunnen leveren.

Voor de gegevens die u zelf in de applicatie invoert over uw klanten en projecten geldt een andere rolverdeling. Zie de volgende paragraaf.

Uw rol bij klantgegevens: u bent verwerkingsverantwoordelijke, wij zijn verwerker

Wanneer u in een offerte of project gegevens van uw eigen klant invoert (zoals naam, e-mailadres, telefoonnummer, adres, ruimte-afmetingen en vrije notities), bent u de verwerkingsverantwoordelijke voor die persoonsgegevens. Deze personen zijn uw klanten, niet die van ons, en hebben aan ons geen toestemming gegeven.

Ten aanzien van die klantgegevens treden wij op als verwerker: wij verwerken ze uitsluitend in uw opdracht, om de dienst (het berekenen, opslaan en als PDF genereren van uw offertes) te kunnen leveren. U bent er zelf verantwoordelijk voor dat u een geldige grondslag heeft om de gegevens van uw klanten in te voeren en te verwerken, en dat u uw klanten daarover informeert.

Ook de contactgegevens van contactpersonen bij leveranciers die u vastlegt, verwerken wij in deze hoedanigheid als verwerker namens u.

Welke gegevens wij verwerken

Afhankelijk van hoe u de applicatie gebruikt, kunnen wij de volgende gegevens verwerken:

• Accountgegevens: uw inlog-e-mailadres en uw wachtwoord (uitsluitend versleuteld opgeslagen als bcrypt-hash, nooit in leesbare vorm).
• Persoonsgegevens accounthouder: voornaam, achternaam en (optioneel) telefoonnummer.
• Bedrijfsgegevens: bedrijfsnaam, slogan, website, KvK-nummer, btw-nummer, adres, postcode en plaats, zoals getoond op uw offertes.
• Klantgegevens in offertes: naam, e-mailadres, telefoonnummer en adres van uw eigen klant, plus vrije notities die u toevoegt.
• Offerte- en projectinhoud: projectnaam, vloertype, oppervlakte, status, prijzen (excl./incl. btw), ruimte-afmetingen per kamer (naam, lengte, breedte, aantal deuren) en calculatie- en offerteregels.
• Leveranciersgegevens: naam, website, contactpersoon, e-mailadres, telefoonnummer en notities van uw leveranciers.
• Materialengegevens: uw eigen productcatalogus (naam, categorie, eenheid, prijs, verpakking/verbruik), inclusief gegevens die u via een CSV-bestand importeert.
• Geüploade bestanden: uw bedrijfslogo en geüploade tekeningen/plattegronden. Tekeningen kunnen de indeling van de woning van uw klant tonen en soms naam- of adresgegevens bevatten.
• Gegenereerde offerte-PDF’s: deze worden op verzoek aangemaakt en bevatten uw bedrijfsgegevens en de klantgegevens en prijzen uit het betreffende project. Zij worden niet door ons op schijf bewaard, maar op het moment van opvragen gegenereerd en aan u getoond.
• Sessie- en beveiligingsgegevens: een versleutelde (SHA-256) representatie van uw sessietoken, uw IP-adres en browser-/apparaatinformatie (user-agent) op het moment van inloggen of registreren.
• Wachtwoordherstel: een versleuteld herstel-token met korte geldigheidsduur (één uur), gekoppeld aan uw account.
• Operationele beveiligingsgegevens: rate-limitgegevens waarin e-mailadressen en IP-adressen tijdelijk voorkomen om misbruik en brute-force-pogingen te beperken.
• Instellingen: uw calculatie- en marge-instellingen en btw-percentage.
• Toestemmingsregistratie: tijdstempels waarop u de algemene voorwaarden en deze privacyverklaring heeft geaccepteerd.
• Abonnements- en betaalgegevens: uw abonnementsstatus en de identificatoren van uw betaalrelatie (Stripe customer-/subscription-id). Wij bewaren zelf geen kaartgegevens.
• Logboek (audit log): registratie van beheerdershandelingen, waaronder het e-mailadres van de betrokken beheerder en soms van betrokken accounts.
• Contactverzoeken: als u het contactformulier op onze website gebruikt, verwerken en bewaren wij uw naam, e-mailadres, eventueel telefoonnummer, het onderwerp en uw bericht, zodat wij uw vraag kunnen beantwoorden.
• Teamaccounts: een bedrijf kan meerdere gebruikers toevoegen die in dezelfde werkruimte samenwerken. Wij verwerken van elk teamlid de account- en persoonsgegevens en het e-mailadres waarnaar een uitnodiging is verstuurd.
• Website-gebruiksgegevens (alleen met toestemming): op onze publieke website meten wij, als u daarvoor toestemming geeft, geanonimiseerd welke pagina’s worden bekeken en waar wordt geklikt. Dit gebeurt met een eigen, first-party statistiek en wordt niet aan uw naam of account gekoppeld. Zie onze cookieverklaring.

Waarvoor wij uw gegevens gebruiken (doeleinden)

Wij verwerken bovenstaande gegevens uitsluitend voor de volgende doeleinden:

• Het leveren en beschikbaar houden van de dienst en het beheren van uw account.
• Het berekenen, opslaan en beheren van uw offertes, projecten, ruimtes, materialen en leveranciers.
• Het genereren van offerte-PDF’s met uw bedrijfs- en klantgegevens.
• Het (optioneel) analyseren van een of meer geüploade tekeningen om ruimte-afmetingen te herkennen en uw calculatie vooraf in te vullen.
• Het verzenden van e-mails die bij de dienst horen, zoals accountbevestiging, wachtwoordherstel, uitnodigingen voor teamleden en abonnementsbevestigingen, en het via uw eigen mailinstellingen versturen van uw offertes en facturen naar uw eigen klanten.
• Het afhandelen van vragen die u via het contactformulier stelt.
• Het (optioneel, op het Pro-plan) doorsturen van uw facturen naar een boekhoudpakket dat u zelf koppelt.
• Facturatie en het beheer van uw abonnement (betalingen en abonnementsstatus).
• Het meten en verbeteren van onze publieke website met geanonimiseerde gebruiksstatistieken, uitsluitend als u daarvoor toestemming geeft.
• Beveiliging: authenticatie, sessies, wachtwoordherstel, misbruikbestrijding (rate limiting) en verantwoording van beheerdershandelingen.

Derden en sub-verwerkers

Voor bepaalde functies schakelen wij externe dienstverleners in die als sub-verwerker gegevens verwerken. Wij delen niet meer gegevens dan nodig is voor de betreffende functie.

• Anthropic (Claude AI) – analyse van tekeningen: als u de functie voor tekeninganalyse gebruikt (beschikbaar op het Pro-abonnement), wordt de door u geüploade plattegrond/tekening als afbeelding samen met een instructie verzonden naar de Claude AI-dienst van Anthropic (api.anthropic.com), zodat daaruit ruimtes en afmetingen worden herkend. Omdat een plattegrond de woning van uw klant kan tonen en tekst zoals naam of adres kan bevatten, verlaten hierbij mogelijk klantgerelateerde gegevens ons systeem. De verbinding verloopt uitsluitend vanaf onze server; onze sleutel voor deze dienst komt nooit in de browser terecht. De afbeelding wordt voor deze functie niet door ons in de database of op schijf opgeslagen; alleen het herkende resultaat (de lijst met ruimtes en afmetingen) wordt aan u teruggegeven.
• Stripe – betalingen en abonnement: voor het afsluiten en beheren van een betaald abonnement gebruiken wij Stripe. Bij het afrekenen worden uw e-mailadres en uw interne gebruikers-id naar Stripe verzonden en kunt u betalen via kaart of iDEAL. Stripe verwerkt de betaling; kaartgegevens worden bij Stripe verwerkt en niet door ons opgeslagen. Wij ontvangen en bewaren van Stripe alleen uw abonnementsstatus en de bijbehorende Stripe-identificatoren.
• E-mailprovider (SMTP) – account- en transactie-e-mails: voor e-mails die bij uw account horen, gebruiken wij een externe e-mail-/SMTP-dienstverlener. Deze ontvangt het e-mailadres van de ontvanger en de inhoud van het bericht. Het gaat om e-mails zoals accountverificatie/welkom, wachtwoordherstel, uitnodigingen voor extra teamleden, abonnementsbevestigingen en meldingen naar aanleiding van het contactformulier.
• Uw eigen mailserver – offertes en facturen naar uw klanten: wanneer u een offerte of factuur per e-mail naar uw eigen klant verstuurt, verloopt dat via de mailserver (SMTP) die u zelf in de instellingen opgeeft. Die verzending gaat via uw eigen e-maildienst en niet via een dienst van ons.
• Boekhoudkoppeling (optioneel, Pro) – doorsturen van facturen: als u zelf een boekhoudpakket koppelt (zoals Moneybird, e-Boekhouden of WeFact), sturen wij op uw verzoek uw factuurgegevens — waaronder de naam en het adres van uw klant, de factuurregels en bedragen — rechtstreeks naar dat pakket via hun API. De inloggegevens van die koppeling bewaren wij versleuteld. Deze koppeling is optioneel en wordt alleen actief als u die zelf instelt.
• Cookies en websitestatistieken: op onze publieke website gebruiken wij, uitsluitend met uw toestemming, een eigen (first-party) statistiek om geanonimiseerd het gebruik te meten. Wij zetten hiervoor geen externe analyse- of advertentiediensten in en volgen u niet over andere websites. Zie onze cookieverklaring voor de details.

Doorgifte buiten de Europese Unie

De analyse van tekeningen door Anthropic (Claude AI) kan plaatsvinden op servers buiten de Europese Unie, waaronder in de Verenigde Staten. Ook Stripe en Resend kunnen gegevens buiten de EU verwerken. Bij een dergelijke doorgifte gelden aanvullende waarborgen zoals door de AVG vereist.

Onze eigen database en geüploade bestanden worden opgeslagen in onze eigen omgeving; wij maken voor die opslag geen gebruik van externe cloudopslagdiensten.

Bewaartermijn en verwijdering van uw account

Wij bewaren uw gegevens zolang uw account bestaat en dit nodig is voor de doeleinden hierboven, of zolang een wettelijke bewaarplicht dit vereist.

Wanneer uw account wordt verwijderd, worden de bijbehorende gegevens in onze database automatisch en in samenhang (cascade) verwijderd. Dit omvat onder meer uw sessies, wachtwoordherstel-tokens, abonnementsgegevens, profiel- en bedrijfsgegevens, instellingen, leveranciers, materialen en al uw projecten, inclusief de daaraan gekoppelde ruimtes, calculaties, offerteregels en de daarin opgenomen klantgegevens.

Voor verantwoording en fraudepreventie kunnen bepaalde vermeldingen in het beheerderslogboek bewaard blijven, waaronder het e-mailadres dat bij een beheerdershandeling betrokken was. Geüploade bestanden (logo’s en tekeningen) worden bij het verwijderen van een account niet automatisch mee verwijderd; u kunt verzoeken deze te (laten) verwijderen.

Contactberichten die u via het contactformulier verstuurt, bewaren wij zolang dat nodig is om uw vraag af te handelen en voor onze administratie; u kunt verzoeken deze eerder te verwijderen. De geanonimiseerde websitestatistieken bewaren wij niet langer dan nodig is om de website te verbeteren.

Beveiliging

Wij nemen passende technische en organisatorische maatregelen om uw gegevens te beschermen. De belangrijkste maatregelen zijn:

• Wachtwoorden worden nooit in leesbare vorm opgeslagen, maar versleuteld met bcrypt (cost-factor 12); bij het inloggen wordt een constante-tijd-vergelijking gebruikt om te voorkomen dat kan worden afgeleid of een e-mailadres bestaat.
• Sessies verlopen via beveiligde cookies (httpOnly, in productie uitsluitend via https, met vervaldatum); van uw sessietoken slaan wij alleen een versleutelde (SHA-256) representatie op, zodat een token niet uit de database herbruikbaar is.
• Wachtwoordherstel-tokens worden uitsluitend versleuteld (SHA-256) opgeslagen, zijn eenmalig bruikbaar en verlopen na één uur; na een succesvolle reset worden alle actieve sessies beëindigd.
• Wij passen rate limiting toe op inloggen, registreren, wachtwoordherstel en tekeninganalyse om misbruik tegen te gaan.
• Sleutels van externe diensten (zoals Anthropic en Stripe) worden uitsluitend aan de serverzijde gebruikt en komen nooit in de browser terecht; inkomende betaalmeldingen van Stripe worden op echtheid (handtekening) gecontroleerd.

Cookies en websitestatistieken

Om u ingelogd te houden en de dienst veilig te laten werken, plaatsen wij noodzakelijke cookies, waaronder een beveiligde sessiecookie en een cookie die uw cookiekeuze onthoudt. Hiervoor is geen toestemming vereist.

Op onze publieke website meten wij, uitsluitend nadat u daarvoor toestemming heeft gegeven, geanonimiseerd het gebruik (welke pagina’s worden bekeken en waar wordt geklikt) met een eigen, first-party statistiek. Wij gebruiken hiervoor geen externe analyse- of advertentiediensten en volgen u niet over andere websites. In het afgeschermde dashboard meten wij niets.

U kunt uw toestemming op elk moment wijzigen of intrekken via de link “Cookievoorkeuren” onderaan de website. De volledige details, inclusief de gebruikte cookies en de bewaartermijnen, staan in onze cookieverklaring.

Uw rechten

U heeft op grond van de AVG recht op inzage in uw gegevens, op correctie van onjuiste gegevens en op verwijdering van uw gegevens. Daarnaast kunt u onder omstandigheden bezwaar maken tegen verwerking, verwerking laten beperken en uw gegevens laten overdragen.

Omdat u ten aanzien van de klantgegevens in uw offertes zelf verwerkingsverantwoordelijke bent, richten uw klanten hun verzoeken over die gegevens in beginsel aan u; wij ondersteunen u als verwerker om aan zulke verzoeken te voldoen. U bent ook zelf bevoegd om klant-, leveranciers- en projectgegevens in de applicatie in te zien, aan te passen of te verwijderen.

Bent u het oneens over hoe wij met uw gegevens omgaan, dan heeft u het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Contact en wijzigingen

Heeft u vragen over deze privacyverklaring of wilt u een beroep doen op uw rechten, neem dan contact met ons op via de contactgegevens op onze website.

Wij kunnen deze privacyverklaring van tijd tot tijd aanpassen wanneer onze dienst of de inzet van sub-verwerkers wijzigt. De meest actuele versie is steeds via de applicatie beschikbaar.