Privacy Statement

1. Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke is Kivilime, handelend onder de naam Zaakly, ingeschreven bij de Kamer van Koophandel onder nummer 42017058. Privacyverzoeken en -vragen behandelen wij via het bovenstaande e-mailadres.

Wij hebben geen functionaris voor gegevensbescherming aangesteld; dat is voor een organisatie van deze omvang en aard niet wettelijk verplicht.

2. Twee rollen, en waarom dat verschil telt

Voor jouw eigen gegevens — je account, je bedrijfsgegevens, je abonnement — zijn wij verwerkingsverantwoordelijke. Wij bepalen waarom en hoe die worden verwerkt.

Voor de gegevens die jij in Zaakly zet — je klanten, de aanvragen via je bedrijfspagina, de personen op je facturen — ben jij verwerkingsverantwoordelijke en zijn wij verwerker. Wij verwerken die uitsluitend om de dienst aan jou te leveren, nooit voor eigen doeleinden. De afspraken daarover staan in de verwerkersovereenkomst, die onderdeel is van je overeenkomst met ons.

3. Wat wij verwerken, waarvoor en hoe lang

4. Automatische verwerking: OCR en AI

Twee onderdelen van Zaakly gebruiken geautomatiseerde verwerking. Wij noemen ze apart, omdat er gegevens bij externe partijen terechtkomen.

• Bonnen en facturen herkennen (OCR). Upload je een bon of factuur, dan wordt de afbeelding automatisch gelezen om bedrag, datum, leverancier en btw voor te stellen. Wij verwerken daarbij wat er op het document staat. De voorstellen zijn een hulpmiddel — jij blijft verantwoordelijk voor je administratie.
• Bedrijfspagina laten genereren. Maak je een website met Zaakly, dan sturen wij je bedrijfsnaam en de omschrijving die je zelf typt naar Google Cloud (Vertex AI) om teksten voor te stellen. Wij sturen daarbij geen klantgegevens, geen administratie en geen accountgegevens mee. De gegenereerde tekst is een voorstel dat je zelf aanpast en publiceert.

Er vindt geen geautomatiseerde besluitvorming plaats met rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen (art. 22 AVG).

5. Google Places

Koppel je Google-reviews aan je bedrijfspagina, dan vragen wij bij Google op welke vestiging je bedoelt en welke openbare reviews daarbij horen. Daarvoor sturen wij je zoekopdracht en het gekozen vestigings-ID naar Google. Wij halen alleen openbaar beschikbare informatie op.

6. Cookies en statistieken

Wij plaatsen noodzakelijke cookies om Zaakly te laten werken. Analytische en marketingcookies — waaronder Google Analytics en de Meta Pixel — plaatsen wij alleen na jouw toestemming. Zonder toestemming maken wij geen bezoekerskenmerk aan.

De volledige uitleg staat in onze cookieverklaring.

7. Wie jouw gegevens nog meer verwerkt

Wij verkopen gegevens niet en gebruiken ze niet voor doeleinden van derden. Om Zaakly te kunnen leveren schakelen wij een beperkt aantal dienstverleners in, elk voor één duidelijk omschreven taak. Met elk van hen hebben wij een verwerkersovereenkomst.

De volledige, actuele lijst met naam, taak, vestiging en doorgiftegrondslag staat op subverwerkers.

8. Waar jouw gegevens staan, en doorgifte buiten de EER

Je administratie blijft in de Europese Unie. De database, de authenticatie en je geüploade bestanden staan bij Supabase in de regio West EU (Ierland). De serverfuncties van de applicatie draaien bij Vercel in Dublin (Ierland). Het genereren van conceptteksten voor je bedrijfspagina gebeurt bij Google Cloud in europe-west4 (Eemshaven, Nederland) — die regio is in onze backend vastgelegd en een regio buiten de EER wordt bij het opstarten geweigerd.

Dat betekent niet dat er nooit gegevens buiten de EER kunnen komen. Supabase Inc., Vercel Inc. en Stripe maken deel uit van concerns in de Verenigde Staten, en statische bestanden van de website worden via een wereldwijd edge-netwerk geleverd. Waar dat tot doorgifte leidt, gebeurt die op basis van het EU-US Data Privacy Framework of standaardcontractbepalingen van de Europese Commissie.

Per dienstverlener staat de regio en de grondslag vermeld op de subverwerkerslijst.

9. Beveiliging

Wij nemen passende technische en organisatorische maatregelen, waaronder versleuteld transport (TLS), versleutelde opslag, isolatie van gegevens per gebruiker op databaseniveau, afgeschermde opslag voor documenten, toegangsbeperking en snelheidsbegrenzing tegen misbruik.

Wat wij concreet doen, staat op Veiligheid & privacy. Geen enkel systeem is zonder risico, en wij beweren dat ook niet.

10. Datalekken

Constateren wij een datalek, dan melden wij dit binnen 72 uur bij de Autoriteit Persoonsgegevens wanneer dat vereist is, en informeren wij betrokkenen als het lek een hoog risico voor hen oplevert. Ben jij verwerkingsverantwoordelijke voor de getroffen gegevens, dan informeren wij jou zonder onredelijke vertraging, zodat jij je eigen meldplicht kunt nakomen.

11. Jouw rechten

Een verzoek indienen kan via privacy@zaakly.nl. Wij kunnen je vragen je identiteit te bevestigen en reageren binnen één maand.

Gaat je verzoek over gegevens die een gebruiker van Zaakly over jou heeft opgeslagen — bijvoorbeeld omdat je een aanvraag deed via een bedrijfspagina — dan is die ondernemer verwerkingsverantwoordelijke. Wij verwijzen je dan door en helpen die ondernemer je verzoek uit te voeren.

12. Klacht indienen

Ben je het niet eens met hoe wij met je gegevens omgaan, laat het ons weten via privacy@zaakly.nl. Je hebt daarnaast altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

13. Wijzigingen

Wij kunnen dit statement aanpassen wanneer de dienst verandert. De datum bovenaan geeft aan wanneer dat voor het laatst gebeurde. Bij ingrijpende wijzigingen informeren wij actieve gebruikers per e-mail of in de applicatie.