Privacyverklaring. Wat we wel en niet verwerken.

Deze privacyverklaring bestaat uit drie delen, omdat KENBAAR drie soorten diensten aanbiedt die op een wezenlijk verschillende manier met gegevens omgaan:

• Deel 1 — De Website (kenbaar.com): wat er gebeurt als u de Website bezoekt, cookies accepteert of weigert, of contact opneemt.
• Deel 2 — De Extensies (KENBAAR Decode en KENBAAR Shift): lokale hulpmiddelen in de browser; inhoudelijke gegevens verlaten uw apparaat niet.
• Deel 3 — KENBAAR Briefing: een online dienst die met uw toestemming gegevens uit Exact Online leest en op de servers van de Aanbieder verwerkt om een wekelijkse kasbriefing te maken en te versturen.

De verwerkingsverantwoordelijke en het contactadres (P.2) en uw rechten (P.9) gelden voor alle drie de delen.

W.1 Bezoek aan de Website

W.1.1 Bij ieder bezoek aan de Website verwerkt de webhostingpartij van de Aanbieder technische gegevens die nodig zijn om de pagina te tonen: het IP-adres, het tijdstip, de opgevraagde pagina en het type browser. Deze gegevens worden vastgelegd in serverlogboeken en uitsluitend gebruikt voor beveiliging en het oplossen van storingen (gerechtvaardigd belang, art. 6 lid 1 sub f AVG). De Aanbieder gebruikt ze niet voor analyse of profilering. Ze worden bewaard zolang de hostingpartij die logboeken bewaart, doorgaans enkele weken.

W.1.2 Lettertypen, afbeeldingen en scripts van de Website worden vanaf de Website zelf geladen. Bij een bezoek worden geen gegevens naar Google Fonts of andere lettertypediensten gestuurd.

W.2 Analytische cookies (Google Analytics)

W.2.1 Alleen als u daarvoor via de cookiemelding toestemming geeft (art. 6 lid 1 sub a AVG), gebruikt de Website Google Analytics 4 om te meten hoe bezoekers de Website gebruiken: welke pagina's worden bekeken en op welke knoppen wordt geklikt, zoals "Aanmelden voor de pilot" of "Bekijk de pakketten". Daarvoor worden de cookies _ga en _ga_* geplaatst.

W.2.2 Advertentiefuncties zijn uitgeschakeld: er worden geen advertentiecookies geplaatst, geen advertentieprofielen gemaakt en geen gegevens gedeeld voor advertentiedoeleinden. Google Analytics 4 slaat geen volledige IP-adressen op.

W.2.3 Zonder toestemming plaatst Google Analytics geen cookies. Via Google Consent Mode kan Google dan wel een cookieloos signaal ontvangen dat een pagina is bekeken, zonder dat daarbij een cookie of identificatienummer wordt gebruikt.

W.2.4 Analytische gegevens worden door Google maximaal veertien maanden bewaard. Google Analytics wordt geleverd door Google Ireland Limited; gegevens kunnen worden doorgegeven aan Google LLC in de Verenigde Staten op basis van het EU–US Data Privacy Framework (zie ook P.6).

W.3 Uw cookiekeuze

W.3.1 Uw keuze (toestaan of weigeren) wordt in uw eigen browser opgeslagen (localStorage, sleutel kenbaar_cookie_consent) en na 180 dagen opnieuw gevraagd. Deze opslag is nodig om uw keuze te onthouden en bevat geen persoonsgegevens.

W.3.2 U kunt uw keuze op ieder moment wijzigen of uw toestemming intrekken via Cookie-instellingen onderaan iedere pagina. Bij intrekking worden de Analytics-cookies van de Website verwijderd.

W.4 Herkomst van een aankoop

W.4.1 Als u toestemming voor analytische cookies hebt gegeven en op een kooplink voor een Extensie klikt, wordt het anonieme Analytics-klantnummer uit de cookie _ga meegegeven aan de betaalpagina van Lemon Squeezy. Zo kan de Aanbieder zien via welk bezoek een aankoop tot stand kwam. Zonder toestemming wordt niets meegegeven en verloopt de aankoop gewoon.

W.5 Contact, pilotaanmelding en kennismaking

W.5.1 Als u een e-mail stuurt aan support@kenbaar.com, bijvoorbeeld via de knop "Aanmelden voor de pilot", "Plan een kennismaking" of "Verwerkersovereenkomst aanvragen", verwerkt de Aanbieder de gegevens die u daarin opneemt: uw naam, functie, e-mailadres en eventueel telefoonnummer, de naam van uw bedrijf of kantoor, en gegevens over uw organisatie zoals het aantal medewerkers en administraties.

W.5.2 De Aanbieder gebruikt deze gegevens om uw bericht te beantwoorden en, bij een pilotaanmelding, om te beoordelen of uw bedrijf in de pilot past (uitvoering van een overeenkomst of het nemen van stappen daartoe op uw verzoek, art. 6 lid 1 sub b AVG).

W.5.3 Leidt een aanmelding of kennismaking niet tot een overeenkomst, dan worden de gegevens uiterlijk twaalf maanden na het laatste contact verwijderd. Leidt zij wel tot een overeenkomst, dan gelden de bewaartermijnen van deel 3.

W.6 Links naar derden

W.6.1 De Website verwijst naar de Chrome Web Store (Google) en naar de betaalomgeving van Lemon Squeezy. Op wat u daar doet, is het privacybeleid van die partijen van toepassing.

P.1 Kern van deze verklaring

P.1.1 De Extensies van KENBAAR zijn lokale hulpmiddelen. Alles wat de Gebruiker met een Extensie bekijkt, scant, selecteert of berekent, wordt uitsluitend verwerkt op het apparaat van de Gebruiker zelf en wordt niet naar de Aanbieder verzonden. Voor de Extensies heeft de Aanbieder geen server, geen database en geen account-omgeving waarin inhoudelijke gegevens van de Gebruiker terechtkomen.

P.1.2 Dit betekent concreet: de Aanbieder ziet niet welke websites de Gebruiker bezoekt, welke documenten of PDF-bestanden hij opent, welke betalingskenmerken of aanslagnummers worden gescand, welke burgerservicenummers (BSN) of RSIN-nummers daaruit worden afgeleid, welke administratie in Exact Online wordt geopend, of welke waarden worden geselecteerd of berekend.

P.1.3 De enige gegevens die het apparaat van de Gebruiker verlaten, zijn de gegevens die noodzakelijk zijn om de licentie te activeren en periodiek te controleren, en om te controleren of er een nieuwere versie van de Extensie beschikbaar is. Deze zijn hieronder volledig beschreven.

P.2 Verwerkingsverantwoordelijke en contact

P.2.1 Verwerkingsverantwoordelijke in de zin van de Algemene verordening gegevensbescherming (AVG) is: KENBAAR, gevestigd te Lelystad, Nederland.

P.2.2 Voor iedere vraag, verzoek of klacht over privacy is de Aanbieder bereikbaar via support@kenbaar.com.

P.2.3 Deze verwerkingsverantwoordelijke en dit contactadres gelden voor alle drie de delen van deze verklaring.

P.3 Gegevens die het apparaat van de Gebruiker níét verlaten

P.3.1 De volgende gegevens worden uitsluitend lokaal, in de browser van de Gebruiker, verwerkt en nooit naar de Aanbieder of enige derde verzonden:

• de inhoud van webpagina's en PDF-bestanden die de Gebruiker met KENBAAR Decode scant, inclusief de daarin aangetroffen betalingskenmerken en aanslagnummers;
• de uit een betalingskenmerk of aanslagnummer afgeleide gegevens, waaronder burgerservicenummers (BSN), RSIN-nummers, belastingsoort, tijdvak en jaar;
• ieder CSV-bestand dat de Gebruiker met de exportfunctie aanmaakt: dit wordt rechtstreeks door de browser op het apparaat van de Gebruiker opgeslagen;
• de administraties, schermen, selecties en berekeningen binnen Exact Online bij gebruik van KENBAAR Shift;
• de door de Gebruiker ingestelde voorkeuren, zoals thema en snelkoppelingen.

P.3.2 Het scannen van een pagina gebeurt uitsluitend op uitdrukkelijke handeling van de Gebruiker (het openen van de Extensie en het aanklikken van "Scan"). Er vindt geen scan op de achtergrond plaats en er wordt geen scangeschiedenis bijgehouden. Velden van het type wachtwoord worden bij het scannen overgeslagen.

P.3.3 Omdat deze gegevens de Aanbieder nooit bereiken, is de Aanbieder daarvan geen verwerkingsverantwoordelijke en geen verwerker. De Gebruiker blijft ten aanzien van de gegevens in zijn eigen administratie — waaronder eventuele BSN — zelf verwerkingsverantwoordelijke.

P.4 Gegevens die wel worden verzonden

P.4.1 Uitsluitend voor licentiecontrole en versiecontrole verlaten de volgende gegevens het apparaat:

P.4.2 Het Installatie-ID is een willekeurig gegenereerd nummer dat bij de eerste activatie op het apparaat zelf wordt aangemaakt. Het is niet afgeleid van hardware, netwerkgegevens, gebruikersnaam of enig ander persoonlijk kenmerk, en kan door de Aanbieder niet worden herleid tot een persoon buiten de bij Lemon Squeezy bekende bestelling.

P.4.3 Bij het ophalen van het versiebestand wordt, zoals bij ieder internetverzoek, het IP-adres van de Gebruiker zichtbaar voor de hostingpartij (GitHub). De Aanbieder heeft geen toegang tot deze serverlogboeken en gebruikt ze niet.

P.4.4 De Extensies bevatten geen analytics, geen trackingpixels, geen cookies van derden, geen advertentienetwerken en geen profilering. Er worden geen gegevens verkocht, verhuurd of gedeeld voor commerciële doeleinden.

P.5 Aankoop en betaling

P.5.1 De verkoop en betaalafhandeling van Abonnementen verloopt via Lemon Squeezy (Lemon Squeezy LLC, Verenigde Staten), die daarbij optreedt als Merchant of Record en als zelfstandig verwerkingsverantwoordelijke voor de transactiegegevens.

P.5.2 De Gebruiker verstrekt zijn naam, e-mailadres, factuur- en betaalgegevens rechtstreeks aan Lemon Squeezy. De Aanbieder ontvangt en verwerkt geen betaalgegevens; creditcard- en bankgegevens komen op geen enkel moment bij de Aanbieder of in de Extensie terecht. De Aanbieder heeft via het dashboard van Lemon Squeezy inzage in bestel- en licentiegegevens (waaronder naam, e-mailadres en de status van de licentie), voor zover nodig voor administratie en ondersteuning.

P.5.3 Op de verwerking door Lemon Squeezy is diens eigen privacybeleid van toepassing, te raadplegen via lemonsqueezy.com/privacy.

P.6 Doorgifte buiten de EER

P.6.1 Lemon Squeezy, GitHub, Google (deel 1), Supabase, Cloudflare en Resend (deel 3) zijn gevestigd in de Verenigde Staten of maken deel uit van een Amerikaans concern. Doorgifte van gegevens naar deze partijen vindt plaats op basis van de door de Europese Commissie vastgestelde modelcontractbepalingen (Standard Contractual Clauses) en/of het EU–US Data Privacy Framework, zoals opgenomen in de verwerkersvoorwaarden van de betreffende partij.

P.7 Lokale opslag en bewaartermijnen

P.7.1 De Extensie slaat op het apparaat van de Gebruiker (via chrome.storage.local en localStorage) uitsluitend het volgende op: het Installatie-ID, de licentiesleutel en licentiestatus, het moment van akkoord met dit document, een tijdelijke kopie van het versiebestand, en de weergavevoorkeuren van de Gebruiker.

P.7.2 Deze gegevens blijven bewaard totdat de Gebruiker het apparaat ontkoppelt via "Dit apparaat ontkoppelen" of de Extensie verwijdert. Bij verwijdering van de Extensie wist Chrome de lokale opslag automatisch.

P.7.3 Licentie- en bestelgegevens bij Lemon Squeezy worden bewaard zolang het Abonnement loopt en daarna zo lang als nodig is om te voldoen aan de wettelijke administratie- en bewaarplicht, waaronder de fiscale bewaartermijn van zeven jaar.

P.7.4 De Aanbieder houdt geen logboek bij van scans, gebruik, gebruiksfrequentie of functies die de Gebruiker aanroept.

P.8 Beveiliging

P.8.1 Alle verzoeken vanuit de Extensie verlopen uitsluitend via versleutelde verbindingen (HTTPS).

P.8.2 De Extensie vraagt uitsluitend de rechten die noodzakelijk zijn voor haar werking, en vraagt uitdrukkelijk geen permanente toegang tot alle websites. Toegang tot een pagina ontstaat pas op het moment dat de Gebruiker de Extensie zelf opent en gebruikt.

P.8.3 De Extensie bevat geen code die op afstand wordt ingeladen of uitgevoerd; alle programmacode is onderdeel van het gepubliceerde installatiepakket.

P.9 Rechten van de Gebruiker

P.9.1 De Gebruiker heeft op grond van de AVG het recht op inzage, rectificatie, verwijdering, beperking van de verwerking, bezwaar en overdraagbaarheid van zijn persoonsgegevens.

P.9.2 Voor de Extensies bereiken de inhoudelijke gegevens uit P.3 de Aanbieder nooit; daar kunnen deze rechten alleen betrekking hebben op de licentie- en bestelgegevens uit P.4 en P.5. Voor de Website (deel 1) en voor accountgegevens van KENBAAR Briefing (deel 3) gelden ze voor alle daar genoemde gegevens. Gaat uw verzoek over gegevens uit een administratie die de Aanbieder als verwerker verwerkt, dan behandelt de Aanbieder het samen met, of in opdracht van, de onderneming van wie de administratie is. Een verzoek kan worden ingediend via support@kenbaar.com; de Aanbieder reageert binnen één maand.

P.9.3 De Gebruiker kan zijn gegevens grotendeels zelf beheren: door het apparaat te ontkoppelen in de Extensie wordt de lokale licentiekoppeling gewist, en door het Abonnement op te zeggen eindigt de verdere verwerking bij Lemon Squeezy.

P.9.4 De Gebruiker heeft het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

P.10 Kinderen en wijzigingen

P.10.1 De diensten van KENBAAR zijn zakelijke hulpmiddelen en zijn niet gericht op personen jonger dan zestien jaar. De Aanbieder verzamelt niet bewust gegevens van kinderen.

P.10.2 De Aanbieder kan deze Privacyverklaring wijzigen. De actuele versie is te raadplegen via kenbaar.com/privacy. Bij ingrijpende wijzigingen wordt de Gebruiker geïnformeerd via de Website, in de Extensie of per e-mail aan de accounthouders van KENBAAR Briefing.

K.1 Wat KENBAAR Briefing doet

K.1.1 KENBAAR Briefing is een online dienst. Met uw toestemming leest de dienst gegevens uit een administratie in Exact Online, berekent daaruit de kaspositie en een prognose voor dertien weken, en verstuurt elke week een briefing per e-mail. Anders dan bij de Extensies worden deze gegevens dus wel op de servers van de Aanbieder verwerkt.

K.1.2 De toegang tot Exact Online is alleen-lezen. De dienst kan niets in de administratie wijzigen, aanmaken of verwijderen. De koppeling komt tot stand via het eigen inlog- en toestemmingsscherm van Exact; de Aanbieder ziet of bewaart uw wachtwoord voor Exact Online nooit.

K.2 Rollen

K.2.1 Voor accountgegevens (K.3.1) en contactgegevens is de Aanbieder verwerkingsverantwoordelijke.

K.2.2 Voor de gegevens die de dienst uit uw administratie leest (K.3.2 en K.3.3) is de onderneming van wie de administratie is verwerkingsverantwoordelijke, en treedt de Aanbieder op als verwerker. De afspraken daarover staan in de verwerkersovereenkomst. Biedt een accountants- of administratiekantoor de briefing aan zijn klant aan, dan regelen het kantoor en zijn klant onderling wie verantwoordelijke is; de Aanbieder is dan verwerker of subverwerker van het kantoor, op basis van de verwerkersovereenkomst voor kantoren.

K.3 Welke gegevens

K.3.1 Account en ontvangers: naam, e-mailadres, functie en bedrijfsnaam van de accounthouder; naam en e-mailadres van de ontvangers die u opgeeft; bij een kantoor: de kantoornaam en het antwoordadres dat als afzender wordt gebruikt; het tijdstip waarop u inlogt met een inloglink per e-mail.

K.3.2 Koppeling: de toegangs- en vernieuwingssleutels die Exact Online na uw toestemming afgeeft, en het nummer van de gekoppelde administratie. Deze sleutels worden versleuteld opgeslagen.

K.3.3 Gegevens uit de administratie, uitsluitend gelezen: saldi en mutaties van bankrekeningen; openstaande facturen van debiteuren en crediteuren met de naam van de relatie, factuurnummer, bedrag, factuur- en vervaldatum en betaaldatum; inkoop- en verkooporders en termijnfacturen, voor zover die modules in de administratie bestaan; terugkerende boekingen en vaste lasten; aangegeven en te betalen bedragen voor btw, loonheffingen en vennootschapsbelasting met hun data. Relaties kunnen natuurlijke personen zijn, bijvoorbeeld eenmanszaken; hun naam en betaalgegevens zijn dan persoonsgegevens.

K.3.4 Afgeleide gegevens: de berekende kaspositie, prognoses en bandbreedtes, het betaalgedrag per klant en leverancier, de afwijking van eerdere prognoses, en elke verstuurde briefing zoals hij verstuurd is.

K.4 Doel en grondslag

K.4.1 De Aanbieder verwerkt deze gegevens uitsluitend om de briefing te maken, te versturen en in het archief beschikbaar te houden, om de juistheid van de gegevens te controleren voordat een briefing wordt verstuurd, en om de dienst te beveiligen en storingen op te lossen. Grondslag is de uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG) en, voor gegevens uit de administratie, de instructie van de verwerkingsverantwoordelijke.

K.4.2 De Aanbieder gebruikt gegevens uit een administratie nooit voor een andere klant of administratie, verkoopt of deelt ze niet voor commerciële doeleinden, maakt er geen profielen van buiten de briefing zelf, en gebruikt ze niet om modellen voor kunstmatige intelligentie te trainen. De prognose werkt met uitlegbare rekenregels op basis van de eigen administratie.

K.4.3 De Aanbieder kijkt alleen in de gegevens van een administratie als dat nodig is om een storing of vraag van de Gebruiker op te lossen, en dan alleen voor zover nodig.

K.5 Wie de gegevens verwerkt (subverwerkers)

K.5.1 Met deze partijen zijn verwerkersafspraken gemaakt. Voor doorgifte buiten de Europese Economische Ruimte geldt P.6: het EU–US Data Privacy Framework en/of de modelcontractbepalingen van de Europese Commissie.

K.5.2 Exact Online is geen subverwerker van de Aanbieder: Exact is de partij waar uw administratie staat en verwerkt die gegevens op grond van uw eigen overeenkomst met Exact.

K.6 Bewaartermijnen

K.6.1 Verstuurde briefings en de daarvoor gebruikte gegevens blijven in het archief bewaard zolang uw account bestaat, zodat u elke eerdere briefing kunt teruglezen en elke oude prognose kunt nakijken.

K.6.2 Verbreekt u de koppeling, of eindigt de overeenkomst, dan worden de koppelingssleutels direct ingetrokken en verwijderd. Alle gegevens uit de administratie, afgeleide gegevens en verstuurde briefings worden binnen dertig dagen verwijderd. Accountgegevens worden binnen dezelfde termijn verwijderd, behalve wat de Aanbieder moet bewaren voor de wettelijke administratieplicht, zoals facturen (zeven jaar).

K.6.3 Een inloglink per e-mail is kort geldig en kan één keer worden gebruikt.

K.7 Beveiliging

K.7.1 Alle verbindingen verlopen versleuteld (HTTPS). De koppelingssleutels voor Exact Online worden versleuteld opgeslagen. Er is geen wachtwoord dat kan uitlekken: u logt in met een eenmalige link die naar uw e-mailadres wordt gestuurd. De Aanbieder meldt een datalek zoals afgesproken in de verwerkersovereenkomst.

K.8 De koppeling zelf beheren

K.8.1 U kunt de koppeling op ieder moment verbreken in de instellingen van KENBAAR Briefing, of in Exact Online bij de geautoriseerde apps. Daarna kan de dienst niets meer uit de administratie lezen en geldt K.6.2.