Privacyverklaring

Klavix Software B.V. (hierna: Klavix) is verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens zoals beschreven in deze verklaring.

Contact: privacy@klavix.nl

Wij verwerken de volgende categorieën persoonsgegevens:

• Account­gegevens: voornaam, achternaam, e-mailadres, wachtwoord (in gehashte vorm), telefoonnummer.
• Bedrijfsgegevens: bedrijfsnaam, KvK-nummer, BTW-nummer, adres, IBAN.
• Administratieve gegevens: boekingen, facturen, relaties, medewerkers (indien loonmodule), bijlagen.
• Gebruiksgegevens: IP-adres, browser-informatie, sessie-tijden, kliks (voor beveiliging en verbetering van de Dienst).
• Communicatie: correspondentie met support, chat-berichten met de AI-assistent (indien geactiveerd).

• Het leveren van de Dienst waarvoor u een overeenkomst met ons heeft;
• Facturatie en incasso;
• Beveiliging (fraudedetectie, incidentonderzoek);
• Wettelijke verplichtingen (fiscale bewaarplicht, AVG);
• Productverbetering (aggregaten en anonieme statistieken).

Wij baseren onze verwerkingen op:

• Uitvoering van de overeenkomst (accountbeheer, dienstverlening);
• Wettelijke verplichting (fiscale bewaarplichten);
• Gerechtvaardigd belang (beveiliging, productverbetering);
• Toestemming (voor optionele marketing-communicatie, indien van toepassing).

Uw gegevens worden gedeeld met de volgende verwerkers:

• Hetzner Online GmbH (Duitsland) — hosting van infrastructuur en databases;
• Postmark (ActiveCampaign) — verzending van transactionele e-mail;
• OpenAI — bij gebruik van de AI-assistent worden alleen geaggregeerde vragen (geen brondata) verstuurd;
• Mollie B.V. — betalingsverwerking (SEPA);
• Vercel Inc. — hosting van web-frontend;
• Belastingdienst / Digipoort — bij digitaal indienen van aangiften;
• Enable Banking Oy (Finland) — geregistreerd AISP-provider onder PSD2, alleen bij gebruik van de bankkoppel-functie.

Met alle verwerkers hebben wij een verwerkersovereenkomst gesloten. Wij verkopen geen persoonsgegevens aan derden.

Als u ervoor kiest uw bankrekening te koppelen aan Klavix, maken wij gebruik van Enable Banking Oy — een door de Finse toezichthouder (Finanssivalvonta) erkend AISP (Account Information Service Provider) onder PSD2. Enable Banking is werkzaam in de hele EER.

Wat wordt opgehaald met uw expliciete toestemming (SCA bij uw bank):

• IBAN, tenaamstelling en actueel saldo van gekoppelde rekeningen;
• Transactie-historie (datum, bedrag, tegenpartij-naam, omschrijving, referentie) — standaard 90 dagen, maximaal wat uw bank levert;
• Openingsbalans (indien beschikbaar) voor sluitende bankboekhouding.

De toestemming (consent) is 90 dagen geldig— daarna moet u opnieuw autoriseren, conform PSD2. U kunt de koppeling op elk moment beëindigen via Financieel → Bank → Opzeggen; wij trekken de sessie dan direct in bij Enable Banking en de bank.

Wij bewaren opgehaalde bank-transacties zolang uw administratie bestaat (fiscale bewaarplicht: 7 jaar na boekjaar-afsluiting). Ruwe API-responses (technische debug-data) worden na 30 dagen verwijderd.

Enable Banking verwerkt uw bank-gegevens uitsluitend op basis van uw toestemming en verkoopt geen data aan derden. De volledige privacyverklaring van Enable Banking: enablebanking.com/legal/privacy-policy.

De meeste verwerking vindt plaats binnen de EU/EER. Waar verwerking buiten de EER plaatsvindt (o.a. OpenAI, Vercel), maken wij gebruik van standaardcontractbepalingen zoals vastgesteld door de Europese Commissie.

• Actieve accountgegevens: zolang uw account bestaat;
• Administratieve gegevens (fiscale bewaarplicht): 7 jaar na afsluiting boekjaar;
• Backups: 14 dagen roulerend;
• Support-communicatie: 3 jaar;
• Na accountverwijdering: 30 dagen grace-periode voor export, daarna definitieve verwijdering (behoudens wettelijke bewaarplichten).

Op grond van de AVG heeft u het recht op:

• Inzage in uw persoonsgegevens;
• Correctie of aanvulling;
• Verwijdering (recht op vergetelheid, tenzij wettelijke bewaarplicht);
• Beperking van verwerking;
• Overdraagbaarheid (export in machine-leesbaar formaat);
• Bezwaar tegen verwerking gebaseerd op gerechtvaardigd belang.

Verzoeken kunt u richten aan privacy@klavix.nl. Wij reageren binnen 30 dagen.

Wij nemen passende technische en organisatorische maatregelen om uw gegevens te beschermen, waaronder:

• Versleuteling van gegevens in rust en tijdens transport (TLS 1.3);
• Wachtwoord-hashing met bcrypt;
• Multi-factor authenticatie voor beheerders;
• Dagelijkse backups met 14-dagen retentie;
• Toegang op need-to-know basis met audit-logging.

Wij gebruiken alleen functionele cookies (voor login-sessies en taalvoorkeur). Geen tracking- of marketing-cookies. Daarom is er geen cookie-banner vereist.

Als u vindt dat wij niet zorgvuldig omgaan met uw gegevens, hebt u het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

Wij kunnen deze privacyverklaring wijzigen. Materiële wijzigingen worden tenminste 30 dagen vooraf aangekondigd via e-mail en in de applicatie.