Privacy Policy

1. Inleiding

ClearVault ("wij", "ons" of "onze") respecteert uw privacy en zet zich in voor de bescherming van uw persoonsgegevens. Deze privacy policy beschrijft hoe wij uw persoonsgegevens verzamelen, gebruiken, opslaan en beschermen wanneer u gebruik maakt van onze PDF conversie diensten.

Wij verwerken persoonsgegevens in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG/GDPR) en andere toepasselijke privacywetgeving.

2. Verwerkingsverantwoordelijke

3. Welke gegevens verzamelen wij?

3.1 Accountgegevens (vrijwillig)

Wanneer u een account aanmaakt, verzamelen wij:

• E-mailadres
• Wachtwoord (versleuteld opgeslagen)
• Accountaanmaakdatum
• Credits balans

3.2 Bestandsgegevens

Bij het uploaden en converteren van PDF bestanden verwerken wij:

• Geüploade PDF bestanden: Bankafschriften en creditcard statements die u uploadt voor conversie
• Geëxtraheerde transactiegegevens: Datum, bedrag, tegenrekening, omschrijving en andere banktransactie-informatie uit uw PDF
• Bestandsmetadata: Bestandsnaam, bestandsgrootte, uploaddatum

3.3 Betalingsgegevens

Voor het verwerken van betalingen gebruiken wij Mollie als betalingsprovider. Wij bewaren:

• Betaal-ID en status
• Bedrag en aantal gekochte credits
• Betaaldatum

Belangrijk: Uw creditcard- of bankgegevens worden NIET door ons opgeslagen. Deze worden rechtstreeks en veilig verwerkt door Mollie, een gecertificeerde PCI DSS Level 1 betalingsprovider.

3.4 Technische gegevens

Voor het functioneren en beveiligen van onze dienst verzamelen wij automatisch:

• IP-adres (voor rate limiting en misbruikpreventie)
• Browser type en versie
• Tijdstip van verzoeken
• Foutmeldingen en prestatiemetingen

4. Hoe gebruiken wij uw gegevens?

4.1 Rechtmatige grondslag

Wij verwerken uw persoonsgegevens uitsluitend op basis van de volgende rechtmatige grondslagen:

• Uitvoering van een overeenkomst: Om de conversie dienst te leveren die u van ons verwacht
• Gerechtvaardigd belang: Voor beveiliging, fraudepreventie en verbetering van onze dienst
• Wettelijke verplichting: Voor boekhoudkundige en fiscale doeleinden

4.2 Doeleinden van verwerking

Wij gebruiken uw gegevens voor:

• Dienstverlening: Het converteren van uw PDF bestanden naar MT940, CAMT.053 en CSV formaten
• Accountbeheer: Het beheren van uw account en credits
• Betalingsverwerking: Het afhandelen van uw aankopen via Mollie
• Technische ondersteuning: Het oplossen van technische problemen en beantwoorden van vragen
• Beveiliging: Het beschermen tegen fraude, misbruik en ongeautoriseerde toegang
• Wettelijke verplichtingen: Het voldoen aan fiscale en boekhoudkundige verplichtingen

4.3 Geen andere doeleinden

Wij gebruiken uw gegevens NIET voor:

• Marketing of reclame zonder uw expliciete toestemming
• Het verkopen of verhuren van uw gegevens aan derden
• Het analyseren van uw financiële gedrag voor commerciële doeleinden
• Profilering of geautomatiseerde besluitvorming

4A. slim aangestuurd documentverwerking

Om uw documenten te analyseren en te converteren, maken wij gebruik van Smart-technologie van externe providers. Hieronder leggen wij uit hoe dit werkt en hoe wij uw gegevens beschermen.

4A.1 Smart-providers

Wij maken gebruik van de volgende Smart-providers voor documentverwerking:

• OpenAI LLC (San Francisco, VS) — Met dit bedrijf hebben wij een Data Processing Agreement (DPA) getekend
• Google LLC / Gemini (Mountain View, VS) — Data wordt geanonimiseerd verwerkt

4A.2 Data-anonimisatie (masking)

Voordat uw documenttekst naar een Smart-provider wordt gestuurd, worden gevoelige gegevens automatisch gemaskeerd (geanonimiseerd). Dit betekent dat de volgende gegevens worden vervangen door placeholders:

• IBAN-nummers — worden vervangen door bijv. [IBAN_1]
• E-mailadressen — worden vervangen door bijv. [EMAIL_1]
• Telefoonnummers — worden vervangen door bijv. [TEL_1]
• BSN-nummers — worden vervangen door bijv. [BSN_1]
• Namen (na herkenbare patronen zoals "t.n.v.") — worden vervangen door bijv. [NAAM_1]

Na ontvangst van het Smart-antwoord worden de placeholders automatisch terugvertaald naar de oorspronkelijke waarden. De Smart-provider ziet dus nooit uw echte persoonlijke gegevens.

4A.3 Geen modeltraining

Beide Smart-providers hebben contractueel bevestigd dat uw data niet wordt gebruikt voor het trainen van Smart-modellen. Uw gegevens worden uitsluitend verwerkt om uw verzoek te beantwoorden en daarna verwijderd.

4A.4 Rechtsgrondslag

De verwerking van uw documenten via Smart vindt plaats op basis van Art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst): de Smart-verwerking is noodzakelijk om de conversie- en analysedienst te leveren die u van ons verwacht.

5. Hoe beschermen wij uw gegevens?

Wij nemen de beveiliging van uw gegevens zeer serieus en hebben passende technische en organisatorische maatregelen getroffen:

5.1 Technische maatregelen

• Versleuteling: Alle data wordt versleuteld tijdens overdracht (HTTPS/TLS) en in rust (database encryptie)
• Toegangscontrole: Strikte toegangsbeperking op basis van het principe van minimale toegang
• Authenticatie: Veilige wachtwoordhashing met moderne algoritmen
• Rate limiting: Bescherming tegen brute force aanvallen en misbruik
• Firewall en monitoring: Continu monitoren van verdachte activiteiten

5.2 Organisatorische maatregelen

• Minimalisatie: Wij verzamelen alleen gegevens die noodzakelijk zijn voor onze dienst
• Privacy by design: Privacy is ingebouwd in alle systemen vanaf het ontwerp
• Geen admin toegang: Zelfs beheerders hebben GEEN toegang tot uw geüploade bestanden en transactiegegevens
• Incident response: Procedures voor snelle respons bij beveiligingsincidenten

6. Bewaartermijnen

6.1 Zonder account

• Geüploade PDF bestanden: Niet permanent opgeslagen
• Verwerkingsgegevens: Tijdelijk in geheugen tijdens conversie, daarna verwijderd

6.2 Met account

• Geüploade bestanden en conversies: Automatisch verwijderd na 1 jaar
• Accountgegevens: Bewaard totdat u uw account verwijdert
• Betalingsgegevens: 7 jaar (wettelijke bewaarplicht voor fiscale doeleinden)

7. Delen van gegevens met derden

7.1 Dienstverleners

Wij maken gebruik van de volgende vertrouwde dienstverleners:

• Supabase: Database en authenticatie hosting (servers binnen EU)
• Mollie: Betalingsverwerking (PCI DSS Level 1 gecertificeerd)
• OpenAI LLC (San Francisco, VS) — Smart-documentverwerking. DPA getekend. Data wordt geanonimiseerd voordat het wordt verstuurd.
• Google LLC / Gemini (Mountain View, VS) — Smart-documentverwerking. Data wordt geanonimiseerd voordat het wordt verstuurd.

Al deze partijen hebben verwerkersovereenkomsten met ons en/of verwerken uitsluitend geanonimiseerde data. Allen zijn GDPR-compliant.

7.2 Geen verkoop of verhuur

Wij verkopen, verhuren of verstrekken uw persoonsgegevens NOOIT aan derden voor commerciële doeleinden.

7.3 Wettelijke verplichtingen

Wij kunnen uw gegevens delen indien wij daartoe wettelijk verplicht zijn (bijvoorbeeld bij een gerechtelijk bevel), maar alleen in de mate die strikt noodzakelijk is.

8. Internationale gegevensoverdracht

Uw accountgegevens en bestanden worden opgeslagen op servers binnen de Europese Economische Ruimte (EER).

Voor Smart-documentverwerking worden geanonimiseerde gegevens doorgestuurd naar servers in de Verenigde Staten (OpenAI en Google). Deze overdracht is beschermd door:

• EU-US Data Privacy Framework: Beide providers zijn gecertificeerd onder dit framework
• Data Processing Agreement (DPA): Contractuele waarborgen voor gegevensbescherming
• Data-anonimisatie: Gevoelige persoonsgegevens worden vóór verzending automatisch gemaskeerd (zie sectie 4A.2)

Door deze combinatie van juridische en technische maatregelen is uw privacy optimaal beschermd, ook bij internationale gegevensoverdracht.

9. Uw rechten

Op grond van de AVG/GDPR heeft u de volgende rechten met betrekking tot uw persoonsgegevens:

• Recht op inzage: U kunt ons vragen welke persoonsgegevens wij van u verwerken
• Recht op correctie: U kunt onjuiste gegevens laten corrigeren
• Recht op verwijdering (recht op vergetelheid): U kunt ons vragen uw gegevens te verwijderen
• Recht op beperking: U kunt vragen de verwerking van uw gegevens te beperken
• Recht op dataportabiliteit: U kunt uw gegevens in een gestructureerd formaat ontvangen
• Recht op bezwaar: U kunt bezwaar maken tegen bepaalde verwerkingen
• Recht om toestemming in te trekken: Indien verwerking op basis van toestemming, kunt u deze op elk moment intrekken

10. Klachtenrecht

Indien u niet tevreden bent over hoe wij met uw persoonsgegevens omgaan, kunt u een klacht indienen bij de Autoriteit Persoonsgegevens (AP):

11. Cookies en tracking

Onze website maakt minimaal gebruik van cookies:

• Noodzakelijke cookies: Voor het functioneren van authenticatie en sessies
• Geen tracking cookies: Wij gebruiken geen cookies voor tracking of advertenties
• Geen third-party cookies: Geen externe tracking of analytics (zoals Google Analytics)

12. Wijzigingen in deze privacy policy

Wij kunnen deze privacy policy van tijd tot tijd aanpassen. Belangrijke wijzigingen zullen wij van tevoren aankondigen via e-mail (indien u een account heeft) of via een prominente melding op onze website.

De datum van de laatste wijziging staat bovenaan dit document vermeld.

13. Contact

Voor vragen over deze privacy policy of over de verwerking van uw persoonsgegevens: