Privacyverklaring

Klopr is een boekhoudapplicatie voor ondernemers, ontwikkeld door Klopr B.V., gevestigd in Capelle aan den IJssel en ingeschreven bij de KvK onder nummer 42122249. Wij verwerken persoonsgegevens om onze dienstverlening mogelijk te maken. Klopr B.V. is verwerkingsverantwoordelijke voor de verwerking van jouw gegevens.

• Naam en e-mailadres (bij registratie)
• Bedrijfsgegevens (KvK-nummer, btw-nummer, adres)
• Financiële gegevens (transacties, facturen, bonnetjes)
• Banktransacties via de veilige bankkoppeling (alleen leestoegang)
• Gebruiksgegevens van de applicatie

Rittenregistratie. Start je zelf een rit in de app, dan meten we je locatie via GPS om de gereden kilometers te berekenen, tot je de rit stopt. In de mobiele app loopt die meting door als je scherm uitgaat; sta je meldingen voor Klopr toe, dan zie je een melding zolang de rit loopt. Zet je in de mobiele app de schakelaar “Ritten automatisch herkennen” aan, dan gebruikt je telefoon bewegingsherkenning om een rit vanzelf te starten en te stoppen, ook als de app gesloten is; die schakelaar staat standaard uit en tijdens elke meting is een melding zichtbaar. De bewegingsherkenning gebeurt op je telefoon; Klopr stuurt de gegevens daarvan niet door. Een automatisch herkende rit staat op je telefoon tot jij hem in de app indeelt. Om het begin- en eindadres te tonen, sturen we de coördinaten van het begin- en eindpunt naar PDOK, de adresdienst van de overheid. PDOK krijgt alleen de coördinaten. Deel je de rit in, of sla je een rit op die je zelf startte, dan bewaren we het begin- en eindpunt (als adres en als coördinaten), de begin- en eindtijd en de afstand als onderdeel van je kilometerregistratie. Het gedetailleerde GPS-spoor bewaren we niet.

Wachtlijst. Schrijf je je in voor de wachtlijst, dan verwerken we alleen je e-mailadres en je gekozen ondernemingsvorm. De grondslag is jouw toestemming (AVG art. 6 lid 1 sub a), die je geeft met je aanmelding; we leggen het moment en de tekstversie van die toestemming vast. We gebruiken die gegevens uitsluitend om je te berichten over je plek op de lijst en de voortgang van Klopr, zodra er iets te melden is. Afmelden kan met één klik in elke mail; je adres wordt dan direct verwijderd. Een aanmelding bewaren we maximaal 24 maanden, met een herbevestigingsvraag na 12 maanden.

• Het verlenen van onze boekhouddienst
• Het automatisch verwerken van transacties en facturen
• Het berekenen van btw-aangiftes
• Het sturen van notificaties en herinneringen
• Het verbeteren van onze dienst

Zet je in Instellingen de schakelaar “Je e-mailadres gebruiken voor advertenties” aan, dan delen we je e-mailadres met advertentieplatforms zoals Google, om te bepalen of je daar advertenties van Klopr ziet. Die schakelaar staat standaard uit. De grondslag is jouw toestemming (AVG art. 6 lid 1 sub a); we leggen het moment en de tekstversie van die toestemming vast. Je trekt je toestemming op elk moment in met dezelfde schakelaar; daarna gebruiken we je e-mailadres niet meer voor advertenties.

Bewaartermijnen per type gegeven:

• Account- en bedrijfsgegevens: zolang je een actief account hebt
• Financiële administratie (transacties, facturen, bonnetjes, btw-aangiftes): zolang je account bestaat. Jij hebt als ondernemer de wettelijke bewaarplicht van zeven jaar (Algemene wet inzake rijksbelastingen art. 52). Daarom download je alles voordat je je account verwijdert; daarna wissen wij je administratie.
• Logboek van wijzigingen in je administratie: zeven jaar, ook na het verwijderen van je account
• Bevestigingen van fiscale keuzes die je zelf handmatig opgeeft (zoals het bevestigen van het urencriterium): we leggen vast dát en wanneer je dit hebt bevestigd, zeven jaar, in het logboek van wijzigingen
• Inlog-events en beveiligingslogs: 90 dagen
• AI-verwerkingslogs zonder content: 24 maanden
• Cookietoestemming: zes maanden
• Gegevens van een onderzoek naar misbruik, alleen als er zo'n onderzoek is: zolang dat nodig is voor een mogelijke rechtsvordering, in principe tot vijf jaar na afronding van het onderzoek, of langer zolang een procedure loopt
• Na het verwijderen van je account, alleen als je een betaald pakket of Klopr Pro had: een code berekend uit je e-mailadres en KvK-nummer, 24 maanden

Na het verwijderen van je account verwijderen we je persoonsgegevens, behalve wat we op grond van een wettelijke bewaarplicht moeten houden. Daar gelden strikte toegangsbeperkingen voor. Het logboek van wijzigingen hangt daarna niet meer aan je account. In de app kan niemand het nog inzien. Het bevat wel de wijzigingen zelf, dus soms ook een naam, e-mailadres of rekeningnummer.

Had je een betaald pakket of Klopr Pro, dan bewaren we na het verwijderen een code. Die berekenen we uit je e-mailadres en KvK-nummer. Je adres en nummer zelf bewaren we niet. Met die code zien we bij een nieuwe aanmelding of je de proefperiode al hebt gehad. Dat is ons gerechtvaardigd belang (AVG art. 6 lid 1 sub f). Je kunt bezwaar maken (zie hoofdstuk 10).

Wat je verwijdert, staat nog in onze back-ups tot die vanzelf verlopen. De back-up bij onze infrastructuurleverancier verloopt na zeven dagen. De versleutelde dagelijkse kopie in de EU verloopt na 30 dagen, de maandelijkse kopie na een jaar. Die back-ups gebruiken we alleen om na een storing te herstellen.

Bij een vermoeden van misbruik. We houden niet over iedereen een dossier bij. Alleen als er een concrete aanwijzing is dat een account wordt misbruikt, bijvoorbeeld voor betaalfraude of met valse bonnen, leggen we vast wat we hebben gezien, hoe we het hebben beoordeeld en welke transacties of betaalgegevens erbij horen. Dat doen we om fraude te voorkomen en Klopr en andere gebruikers te beschermen; dat is ons gerechtvaardigd belang (AVG art. 6 lid 1 sub f). Deze gegevens bewaren we, ook na het verwijderen van een account, zolang ze nodig zijn voor een mogelijke rechtsvordering (AVG art. 17 lid 3 sub e). Alleen wie het onderzoek doet, kan ze inzien. Je kunt bezwaar maken tegen deze verwerking (zie hoofdstuk 10).

Voor cookies en lokale opslag zie onze cookiepagina.

Wij verkopen je gegevens niet. Alleen als je daar toestemming voor geeft, delen we je e-mailadres met advertentieplatforms (zie hoofdstuk 3). We schakelen wel externe leveranciers in om Klopr te kunnen draaien. Met elke verwerker sluiten wij een verwerkersovereenkomst (DPA). De KvK en PDOK zijn publieke bronnen die wij bevragen, geen verwerkers in onze opdracht. We gebruiken leveranciers voor:

• Hosting van de applicatie en databaseopslag binnen de EU
• Bankkoppeling via een door De Nederlandsche Bank toegelaten partij
• Abonnementsbetaling via Stripe
• Geautomatiseerde herkenning van bonnen en facturen via een AI-taalmodel
• Versturen van transactionele e-mails en notificaties
• Validatie van KvK-nummers via de KvK-API
• Bot-bescherming en DNS-resolutie voor onze website
• Optionele integraties die jij zelf activeert: koppelingen met e-mailproviders, opslagdiensten of messaging-platformen

Abonnementen betaal je via Stripe. Onze overeenkomst is met Stripe Payments Europe, Limited in Ierland. Voor de betaling zelf werkt Stripe in onze opdracht. Voor eigen doelen, zoals fraudebestrijding en wettelijke controles op witwassen en de identiteit van klanten, is Stripe zelf verantwoordelijk; daarvoor geldt de privacyverklaring van Stripe (stripe.com/nl/privacy). Stripe kan je gegevens doorgeven aan Stripe, LLC in de Verenigde Staten. Die doorgifte rust op het EU-VS Data Privacy Framework, waarvoor Stripe, LLC is gecertificeerd, met de standaardcontractbepalingen van de Europese Commissie als achtervang.

Voor het versturen van e-mail werkt Resend (Plus Five Five, Inc., VS) in onze opdracht. Voor gegevens over het gebruik van zijn dienst, zoals van wie en naar wie een mail ging en de logboeken, is Resend zelf verantwoordelijk. Daarvoor geldt de privacyverklaring van Resend (resend.com/legal/privacy-policy).

De actuele lijst met onze verwerkers en de landen waar zij actief zijn, vind je op klopr.nl/verwerkers. Wijzigingen kondigen wij daar minimaal 30 dagen vooraf aan.

Waar mogelijk gebruiken wij EU-datalocaties. Wanneer een verwerker buiten de EER werkt, baseren wij de doorgifte op de Standaard Contractuele Clausules (SCC's) of het EU-VS Data Privacy Framework, aangevuld met aanvullende technische en organisatorische maatregelen. Een kopie van deze waarborgen kun je opvragen via info@klopr.nl.

Klopr gebruikt een AI-taalmodel om bonnen en facturen uit te lezen en transacties automatisch op de juiste plek te zetten. Deze verwerking is een hulpmiddel: Klopr boekt alvast, en jij ziet alles terug in je administratie en kunt het controleren, aanpassen of verwijderen. Bonnen en facturen die via je mailbox, Google Drive of WhatsApp binnenkomen, zet Klopr er direct in (zie hoofdstuk 8).

Er vindt geen geautomatiseerde besluitvorming plaats met rechtsgevolgen of een vergelijkbaar wezenlijke impact (AVG art. 22). Het uitlezen of op de juiste plek zetten resulteert nooit in automatische indiening bij een derde partij zonder jouw bevestiging.

Voor het uitlezen van bonnen en het op de juiste plek zetten van transacties gebruiken wij een AI-leverancier onder onze eigen overeenkomst. Die gebruikt jouw gegevens niet om modellen te trainen en verwijdert wat zij verwerkt binnen 30 dagen.

Koppel je zelf een AI-assistent aan je administratie, dan geldt iets anders. Zie het hoofdstuk “Je eigen AI-assistent koppelen”.

Klopr heeft een koppeling waarmee je je eigen AI-assistent toegang tot je administratie geeft, zodat je er in je eigen chat vragen over kunt stellen. Stel je een vraag, dan sturen wij de opgevraagde gegevens naar de aanbieder van je assistent. Dat kunnen je cijfers, transacties, facturen, btw-positie, uren, ritten en klantnamen zijn. Die aanbieders zijn ontvangers van je gegevens; ze werken niet in opdracht van Klopr.

De koppeling staat standaard uit. De grondslag is jouw toestemming (AVG art. 6 lid 1 sub a): je geeft per assistent expliciet akkoord op een scherm dat deze doorgifte benoemt, en je trekt de toestemming op elk moment in via Instellingen. Vanaf dat moment stopt de gegevensstroom direct; wat al verstuurd is, kunnen wij niet terughalen.

Wat de aanbieder van je assistent daarna met je gegevens doet, valt onder jouw eigen overeenkomst met die aanbieder, niet onder deze privacyverklaring. Hoe lang je gesprekken bewaard worden en of ze worden gebruikt om modellen te trainen, hangt af van jouw abonnement en jouw instellingen daar; bij consumentenabonnementen staat trainen vaak standaard aan. Deze aanbieders kunnen je gegevens buiten de EER verwerken.

Je kunt Klopr koppelen aan je Google-account (Gmail en Google Drive), je Microsoft-account (Outlook) en WhatsApp. Elke koppeling is optioneel en staat standaard uit. Je zet hem zelf aan in Klopr.

Gmail en Outlook

• Je geeft toestemming op het scherm van Google of Microsoft. Daar zie je welke toegang Klopr vraagt.
• Facturen ophalen. Je kiest vanaf welke datum Klopr facturen uit je mailbox mag ophalen, of dat we niets ophalen. Kies je een datum, dan haalt Klopr meteen een eerste deel op. Daarna kijkt Klopr elke dag naar nieuwe berichten met een bijlage die op een factuur of bonnetje lijkt. We gebruiken en bewaren alleen de afzender, het onderwerp, de datum en de bijlage (pdf of afbeelding). De tekst van je e-mails bewaren we niet.
• Elke bijlage sturen we automatisch naar de leverancier die voor ons bonnen en facturen uitleest (zie hoofdstuk 6). Lijkt het document op een inkoopfactuur, met een factuurnummer en een vervaldatum, dan zetten we het bij je inkoopfacturen. Andere documenten komen bij je bonnetjes. Past er precies één banktransactie op bedrag en datum, dan koppelen we de bon daar zelf aan. Je ziet alles terug in Klopr en kunt het controleren, aanpassen, ontkoppelen of verwijderen.
• Mailen vanaf je eigen adres. Verstuur je vanuit Klopr een factuur, offerte of loonstrook, of stuurt Klopr een betalingsherinnering voor je, dan gaat die mail vanaf je gekoppelde adres. Ook meldingen van Klopr aan jou, zoals een btw-herinnering, kunnen via je gekoppelde mailbox gaan. Voor het versturen lezen, wijzigen of verwijderen we geen e-mail.

Google Drive

• We tonen de namen van je mappen, zodat jij aanvinkt welke map Klopr mag lezen. Zodra je een map aanvinkt, haalt Klopr de pdf's en afbeeldingen uit die map op: de eerste keer alles wat erin staat, daarna elke dag wat er nieuw is of gewijzigd. Elk bestand gaat naar de leverancier die voor ons bonnen uitleest (zie hoofdstuk 6) en komt bij je bonnetjes. Past er precies één banktransactie op bedrag en datum, dan koppelen we de bon daar zelf aan. We wijzigen, verplaatsen of verwijderen niets in je Drive.

WhatsApp

• Je koppelt je eigen mobiele nummer in Klopr, bij Instellingen onder Bank en koppelingen. Daarna kun je een foto of pdf van een bonnetje naar het WhatsApp-nummer van Klopr sturen. We halen het bestand op bij WhatsApp, sturen het naar de leverancier die voor ons bonnen uitleest (zie hoofdstuk 6) en zetten het bij je bonnetjes. Je krijgt een bevestiging terug.
• Zet je “Vragen via WhatsApp” aan, dan kun je ook vragen over je eigen administratie stellen. Je vraag gaat naar dezelfde AI-leverancier. Klopr zoekt het antwoord op in je eigen administratie, met alleen leestoegang, en stuurt het terug via WhatsApp. Je vraag en ons antwoord bewaren we hoogstens zeven dagen, zodat een vervolgvraag te begrijpen is.
• Berichten via WhatsApp lopen via Meta, het bedrijf achter WhatsApp (zie klopr.nl/verwerkers).
• Komt er een bericht van een nummer dat aan geen Klopr-account hangt, dan verwerken we het niet en sturen we alleen een korte uitleg terug.

Wat we bewaren en met wie we het delen

• De toegangssleutels van Google en Microsoft, versleuteld, zolang de koppeling bestaat. Bij WhatsApp je telefoonnummer, zolang je het gekoppeld houdt.
• Per document het bestand en de gegevens die we eruit lezen, bij een mail ook de afzender en het onderwerp. Die horen bij je administratie en blijven staan tot jij ze verwijdert of je account opheft (zie hoofdstuk 4).
• Gegevens uit deze koppelingen verkopen we niet. We gebruiken ze niet voor advertenties en niet om je kredietwaardigheid te beoordelen. De leverancier die je bonnen uitleest, traint er geen modellen mee (zie hoofdstuk 6). Koppel je zelf een AI-assistent, dan geldt hoofdstuk 7. Verder delen we deze gegevens alleen met de leveranciers die Klopr laten draaien (zie klopr.nl/verwerkers), of als de wet dat verplicht.

Ontkoppelen

• Een mailbox- of Drive-koppeling zet je uit in Klopr bij Instellingen. We wissen dan de toegangssleutels. De toestemming die je bij Google of Microsoft gaf, trek je daar zelf in, in de beveiligingsinstellingen van je account.
• WhatsApp ontkoppel je door je nummer bij Instellingen, onder Bank en koppelingen, leeg te maken en op te slaan.
• Wat al is opgehaald, blijft in je administratie staan.

Wij beveiligen je gegevens met versleuteling tijdens verzending en bij opslag, strikte toegangscontrole en regelmatige beveiligingsreviews. Mocht er ondanks deze maatregelen een datalek plaatsvinden, dan volgen wij onze datalekprocedure: beoordeling binnen 24 uur, melding bij de Autoriteit Persoonsgegevens binnen 72 uur waar vereist (AVG art. 33), en melding aan betrokkenen wanneer er een hoog risico is voor hun rechten en vrijheden (AVG art. 34).

Je hebt het recht om:

• Je gegevens in te zien en te corrigeren
• Je gegevens te laten verwijderen (binnen de grenzen van de wettelijke bewaarplicht)
• Je gegevens te exporteren in een gangbaar formaat
• Bezwaar te maken tegen verwerking
• Een klacht in te dienen bij de Autoriteit Persoonsgegevens

Onderzoeken wij (een vermoeden van) misbruik, dan kunnen wij je inzage in het onderzoeksdossier tijdelijk beperken voor zover dat nodig is om het onderzoek en de rechten van anderen te beschermen (UAVG art. 41). Je inzage in je overige gegevens en je recht op export blijven daarbij bestaan, ook tijdens een pauze of na beëindiging van je account.

Neem hiervoor contact op via info@klopr.nl. Wij reageren binnen 30 dagen.

Je account en alles wat erin staat kun je ook zelf verwijderen, zonder ons te vragen. Hoe dat gaat en wat er daarna nog blijft staan, lees je op klopr.nl/gegevens-verwijderen.

Wanneer een accountant of administratiekantoor Klopr inzet voor zijn eindklanten, is dat kantoor verwerkingsverantwoordelijke voor de gegevens van die klanten. Klopr B.V. is dan verwerker. Een aanvullende verwerkersovereenkomst kun je opvragen via info@klopr.nl.

Vragen over deze privacyverklaring? Stuur een e-mail naar info@klopr.nl.