Privacybeleid
RecurBoard v.o.f. (hierna: “RecurBoard”, “wij”, “ons”), hecht waarde aan de bescherming van persoonsgegevens. In dit privacybeleid lees je welke gegevens wij verwerken, waarvoor wij ze gebruiken, hoe lang wij ze bewaren en welke rechten je hebt.
RecurBoard v.o.f. is gevestigd aan de Jan van Embdenweg 2, 6861 ZT Oosterbeek en ingeschreven bij de Kamer van Koophandel onder nummer 42093113. Voor vragen over dit privacybeleid en voor privacyverzoeken kun je contact opnemen via privacy@recurboard.com.
Inhoudsopgave
- 1. Wie zijn wij?
- 2. Twee rollen: verantwoordelijke en verwerker
- 3. Welke gegevens verwerken wij als verantwoordelijke?
- 4. Gegevens uit Exact Online: wij zijn verwerker
- 5. Waarvoor gebruiken wij je gegevens?
- 6. Bewaartermijnen en verwijdering
- 7. Jouw rechten
- 8. Beveiliging
- 9. Ontvangers en doorgifte buiten de EER
- 10. Cookies en vergelijkbare technieken
- 11. Geautomatiseerde besluitvorming en AI
- 12. Wijzigingen in dit privacybeleid
- 13. Contact en klachten
1. Wie zijn wij?
RecurBoard is een online dashboard voor gebruikers van Exact Online. Wij synchroniseren financiële, CRM- en abonnementsgegevens vanuit Exact Online naar een beveiligde omgeving en maken deze inzichtelijk via dashboards, rapportages en KPI’s (zoals MRR, ARR en churn).
2. Twee rollen: verantwoordelijke en verwerker
RecurBoard heeft onder de AVG twee verschillende rollen. Het verschil bepaalt waar je terechtkunt met vragen of verzoeken over je gegevens:
- Wij zijn verwerkingsverantwoordelijke voor de gegevens die wij nodig hebben om RecurBoard zelf te leveren en te beheren: accountgegevens van gebruikers, registratie-, facturatie- en betaalgegevens, technische logs en websitebezoek. Daarover gaat dit privacybeleid.
- Wij zijn verwerker voor de gegevens die wij in opdracht van onze klanten uit hun Exact Online-administratie synchroniseren. Daarvoor is de klantorganisatie zelf verwerkingsverantwoordelijke; zie artikel 4.
3. Welke gegevens verwerken wij als verantwoordelijke?
Account- en organisatiegegevens
- Organisatienaam en tenantinformatie
- Naam, e-mailadres en functie van geregistreerde gebruikers
Registratiegegevens (signup)
- E-mailadres en eenmalige verificatiecode (OTP) bij het aanmaken van een proefaccount
- IP-adres en technische browserkenmerken voor botdetectie (Cloudflare Turnstile)
Facturatie- en betaalgegevens
- Bedrijfsnaam, factuuradres, btw-nummer en factuurregels
- Betaalstatus en betaalreferenties via onze betaaldienstverlener Mollie; wij slaan zelf geen volledige betaalkaart- of rekeninggegevens op
Technische en authenticatiegegevens
- API-sleutels (uitsluitend opgeslagen als SHA-256-hash; de platte sleutel wordt eenmalig getoond en daarna nooit meer bewaard)
- OAuth2-tokens voor de koppeling met Exact Online (versleuteld opgeslagen met AES-256-GCM)
- Tijdstempels van aanmeldingen en API-gebruik
- Technische loggegevens (IP-adres, tijdstip, actietype) voor beveiligings- en auditdoeleinden
Supportgegevens
- Inhoud van e-mails en andere berichten die je ons stuurt, en onze antwoorden daarop
4. Gegevens uit Exact Online: wij zijn verwerker
Voor de financiële, CRM- en abonnementsgegevens die wij in opdracht van onze klanten uit Exact Online synchroniseren — zoals grootboekrekeningen, kostenplaatsen, relaties, contactpersonen, facturen en abonnementen — en voor de daarop berekende KPI’s zijn wij verwerker in de zin van de AVG. Onze klant is daarvoor verwerkingsverantwoordelijke. Deze verwerking is geregeld in onze verwerkersovereenkomst (recurboard.com/verwerkersovereenkomst).
Je autoriseert RecurBoard als klant zelf via OAuth2 om gegevens uit jouw Exact Online-administratie op te halen. Exact Online (Exact Group B.V., Delft) is de bron van deze gegevens en is geen sub-verwerker van RecurBoard; jouw relatie met Exact wordt beheerst door jouw eigen overeenkomst met Exact. Je organisatie kan de OAuth2-autorisatie op elk moment intrekken via het beheerportaal; daarna stopt de synchronisatie direct.
Sta je in de administratie van een RecurBoard-klant (bijvoorbeeld als contactpersoon of debiteur) en wil je je privacyrechten uitoefenen? Richt je verzoek dan aan die organisatie. Verzoeken die ons rechtstreeks bereiken, sturen wij door naar de betreffende klant.
5. Waarvoor gebruiken wij je gegevens?
Wij gebruiken je gegevens uitsluitend voor de volgende doeleinden:
| Doel | Grondslag |
|---|---|
| Synchroniseren van je Exact Online-gegevens naar je eigen beveiligde omgeving en berekenen van KPI’s en rapportages | Uitvoering van de overeenkomst |
| Aanmaken en verifiëren van je account (e-mail-OTP) en voorkomen van misbruik en geautomatiseerde registraties | Uitvoering van de overeenkomst; gerechtvaardigd belang: bescherming van onze systemen tegen misbruik |
| AI-functies: beantwoorden van vragen over je eigen financiële data en voorstellen van grootboek-mappings (alleen als je deze functies gebruikt) | Uitvoering van de overeenkomst |
| Facturatie, betalingsverwerking en debiteurenbeheer | Uitvoering van de overeenkomst; wettelijke verplichting (fiscale bewaarplicht) |
| Beveiliging, audit en fraudepreventie | Gerechtvaardigd belang: het beschermen van onze systemen en klantdata tegen misbruik |
| Technisch beheer en storingsbeheer | Gerechtvaardigd belang: een betrouwbare en continue dienstverlening |
| Klant- en productcommunicatie, zoals berichten over je proefperiode, serviceberichten en productupdates | Gerechtvaardigd belang: het informeren van bestaande klanten over onze eigen, vergelijkbare diensten; afmelden kan in elk bericht |
| Verbeteren en benchmarken van de dienst met onomkeerbaar geanonimiseerde, geaggregeerde gegevens die niet tot jou herleidbaar zijn | Gerechtvaardigd belang: productverbetering |
Wij verkopen je persoonsgegevens nooit aan derden. Het verstrekken van account- en facturatiegegevens is noodzakelijk om de overeenkomst uit te voeren; zonder deze gegevens kunnen wij de dienst niet leveren.
6. Bewaartermijnen en verwijdering
Na het verstrijken van de bewaartermijn verwijderen wij gegevens uit onze actieve systemen. In back-ups kunnen gegevens daarna nog maximaal twaalf (12) weken aanwezig zijn, totdat de back-uprotatie is voltooid. Back-ups gebruiken wij niet om verwijderde gegevens te herstellen, behalve bij calamiteitenherstel.
| Categorie | Bewaartermijn |
|---|---|
| Gesynchroniseerde Exact Online-gegevens en berekende KPI-snapshots | Zolang je account actief is + 30 dagen na beëindiging |
| Gegevens van een proefperiode die niet wordt omgezet in een abonnement | 30 dagen na afloop van de proefperiode |
| Accountgegevens van gebruikers (naam, e-mail, functie) | Zolang je account actief is + 30 dagen na beëindiging |
| Facturen en administratiegegevens | 7 jaar na afloop van het boekjaar (wettelijke fiscale bewaarplicht) |
| Technische loggegevens | 90 dagen |
| Auditlogs (synchronisatiegeschiedenis) | 1 jaar |
| OAuth2-tokens | Tot intrekking van de autorisatie of beëindiging van het account |
| API-sleutels (gehasht) | Tot intrekking of beëindiging van het account |
| Supportcorrespondentie | 2 jaar na afhandeling |
7. Jouw rechten
Voor de gegevens waarvoor wij verwerkingsverantwoordelijke zijn (artikel 3), heb je de volgende rechten. Een verzoek is kosteloos; wij reageren binnen één maand. Stuur je verzoek naar privacy@recurboard.com.
- Inzage — een kopie opvragen van de persoonsgegevens die wij van je verwerken.
- Rectificatie — onjuiste of onvolledige gegevens laten corrigeren of aanvullen.
- Verwijdering — je gegevens laten wissen (“recht op vergetelheid”), tenzij een wettelijke plicht ons tot bewaren verplicht (zoals de fiscale bewaarplicht voor facturen).
- Beperking — de verwerking tijdelijk laten beperken, bijvoorbeeld zolang een bezwaar of correctieverzoek loopt.
- Overdraagbaarheid — gegevens die je zelf hebt verstrekt in een gestructureerd, gangbaar en machineleesbaar formaat ontvangen of laten overdragen.
Recht van bezwaar — verwerken wij je gegevens op grond van ons gerechtvaardigd belang (zie de tabel in artikel 5), dan kun je daartegen bezwaar maken vanwege je specifieke situatie. Tegen het gebruik van je e-mailadres voor klant- en productcommunicatie kun je altijd en zonder opgave van redenen bezwaar maken; iedere commerciële e-mail bevat daarvoor een afmeldlink.
Vind je dat wij je privacyrechten schenden, dan heb je het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl). We stellen het op prijs als je eerst contact met ons opneemt via privacy@recurboard.com.
Gaat je verzoek over gegevens uit de administratie van een RecurBoard-klant (artikel 4)? Richt je dan tot die organisatie; wij sturen rechtstreekse verzoeken door.
8. Beveiliging
- Hosting op beveiligde servers van Strato GmbH in Duitsland (EER), met logische netwerk- en containerisolatie
- Tenant-isolatie via Row Level Security op alle datalagen in de database
- Versleuteling van OAuth2-tokens met AES-256-GCM; opslag van API-sleutels uitsluitend als SHA-256-hash
- Alle verbindingen via TLS 1.2 of hoger
- Multi-factor authenticatie voor RecurBoard-medewerkers met toegang tot productiesystemen, met toegang op need-to-know-basis
- Logging en monitoring van toegang tot productiesystemen
- Periodieke back-ups en getest herstel van data
9. Ontvangers en doorgifte buiten de EER
Wij schakelen voor de levering van de dienst de volgende dienstverleners in:
| Partij | Dienst | Locatie | Waarborg bij doorgifte |
|---|---|---|---|
| Strato GmbH (Berlijn, Duitsland) | Hosting van applicatie, database en cache | Duitsland (EER) | Niet van toepassing |
| WorkOS, Inc. (San Francisco, VS) | Gebruikersauthenticatie en -beheer (SSO, wachtwoordloos inloggen) | VS (buiten EER) | Standard Contractual Clauses (Besluit 2021/914) |
| Cloudflare, Inc. (San Francisco, VS) | Botbescherming (Turnstile), CDN en netwerkbeveiliging | VS / globaal | Standard Contractual Clauses en EU-VS Data Privacy Framework |
| Resend (Plus Five Five, Inc., San Francisco, VS) | Verzending van dienstgerelateerde e-mails, zoals verificatiecodes | VS (buiten EER) | Standard Contractual Clauses en EU-VS Data Privacy Framework |
| Anthropic, PBC (San Francisco, VS) | AI-functies: AI-chat en mapping-suggesties — alleen als je deze functies gebruikt | VS (buiten EER) | Standard Contractual Clauses (Besluit 2021/914) |
| Mollie B.V. (Amsterdam, Nederland) | Verwerking van abonnementsbetalingen; Mollie is hiervoor zelf verwerkingsverantwoordelijke (zie mollie.com/nl/privacy) | Nederland (EER) | Niet van toepassing |
Met onze sub-verwerkers hebben wij verwerkersovereenkomsten gesloten met afspraken over beveiliging, geheimhouding en naleving van de AVG. Anthropic gebruikt jouw gegevens volgens haar zakelijke voorwaarden niet voor het trainen van AI-modellen; zonder gebruik van de AI-functies gaan er geen gegevens naar Anthropic.
Je financiële gegevens uit Exact Online worden opgeslagen binnen de EER (Duitsland). Voor de hierboven genoemde Amerikaanse dienstverleners vindt doorgifte naar de Verenigde Staten plaats met passende waarborgen overeenkomstig hoofdstuk V AVG: de Standard Contractual Clauses van de Europese Commissie en — waar van toepassing — certificering onder het EU-VS Data Privacy Framework. Een kopie van deze waarborgen kun je opvragen via privacy@recurboard.com.
10. Cookies en vergelijkbare technieken
RecurBoard gebruikt uitsluitend technieken die strikt noodzakelijk zijn voor de werking en beveiliging van de dienst:
- Sessie- en inlogcookies — om je ingelogd te houden (via onze authenticatiedienst WorkOS).
- Cloudflare Turnstile — botdetectie op het registratieformulier; hierbij worden technische browserkenmerken uitgelezen om geautomatiseerd misbruik te voorkomen.
Voor deze strikt noodzakelijke technieken is geen toestemming vereist. Wij gebruiken geen analytische of marketingcookies. Zouden wij die in de toekomst willen gebruiken, dan vragen wij daarvoor eerst je toestemming.
11. Geautomatiseerde besluitvorming en AI
RecurBoard neemt geen besluiten op basis van uitsluitend geautomatiseerde verwerking die rechtsgevolgen voor je hebben of je anderszins in aanmerkelijke mate treffen (artikel 22 AVG).
De dienst bevat optionele AI-functies (een AI-chat over je eigen financiële data en AI-suggesties voor grootboek-mapping). In de dienst wordt duidelijk gemaakt dat je met een AI-systeem communiceert. AI-suggesties worden altijd eerst door een gebruiker beoordeeld en bevestigd voordat ze worden toegepast. Alleen als je de AI-functies gebruikt, worden de daarvoor noodzakelijke gegevens gedeeld met Anthropic (zie artikel 9).
12. Wijzigingen in dit privacybeleid
RecurBoard kan dit privacybeleid wijzigen. Bij materiële wijzigingen informeren wij gebruikers ten minste 30 dagen van tevoren per e-mail of via een melding in de dienst. De meest actuele versie is altijd beschikbaar op recurboard.com/privacy.
13. Contact en klachten
Voor vragen, verzoeken of klachten over dit privacybeleid kun je contact opnemen via privacy@recurboard.com (privacyverzoeken) of info@recurboard.com (algemeen). Wij streven ernaar binnen vijf werkdagen te reageren; voor privacyverzoeken geldt de wettelijke termijn van één maand.