Privacybeleid

Laatst bijgewerkt: mei 2026

Kwito hecht veel waarde aan de privacy van haar gebruikers. In dit privacybeleid leggen we uit welke gegevens we verzamelen, waarvoor we ze gebruiken en hoe we ze beveiligen.

Welke gegevens verzamelen we?

  • Accountgegevens: je naam en e-mailadres, verzameld op het moment dat je een account aanmaakt via Clerk. Grondslag: uitvoering van de overeenkomst.
  • Financiële invoergegevens: facturen, kosten en BTW-gegevens die jij zelf in Kwito invoert. Wij slaan deze op om de tool te laten werken — het zijn jouw gegevens. Grondslag: uitvoering van de overeenkomst en wettelijke verplichting (fiscale bewaarplicht, art. 52 AWR).
  • Betalingsgegevens: als je een betaald abonnement afsluit verwerkt Stripe de betaling. Kwito slaat geen volledige betaalkaartgegevens op.
  • Technische gegevens: basale loggegevens (foutmeldingen, serververzoeken) die nodig zijn om de dienst stabiel te houden. Grondslag: gerechtvaardigd belang (stabiliteit en veiligheid van de dienst).

Waarvoor gebruiken we je gegevens?

  • Uitsluitend om de Kwito-tool aan jou te leveren: berekeningen maken, je gegevens tonen en je account beheren.
  • Om je te informeren over je abonnement (bevestigingsmails, herinneringen).
  • We gebruiken je gegevens nooit voor advertenties of profilering.

Verkopen we je gegevens?

  • Nee. We verkopen, verhuren of verhandelen je persoonlijke gegevens niet aan derden. Nooit.

Welke verwerkers gebruiken we?

  • Clerk (clerk.com) — verzorgt inloggen en accountbeheer. Verwerkt naam en e-mailadres. Clerk maakt gebruik van Cloudflare voor infrastructuur; verzoeken kunnen via servers buiten de EU worden gerouteerd. Clerk hanteert Standard Contractual Clauses (SCCs) en valt onder het EU-US Data Privacy Framework (DPF).
  • Cloudflare (cloudflare.com) — wordt ingezet door Clerk als infrastructuurpartner. Cloudflare kan verzoeken verwerken via servers buiten de EU. Cloudflare hanteert SCCs conform AVG-vereisten.
  • Convex (convex.dev) — database waar facturen en kosten worden opgeslagen. Data staat op EU-west-1 servers (Ierland, AWS). Convex hanteert een DPA conform AVG.
  • Vercel (vercel.com) — hosting van de Kwito-webapplicatie. Gevestigd in de VS; voor EU-gebruikers wordt verkeer primair via Europese edge-locaties afgehandeld. Vercel valt onder het EU-US Data Privacy Framework (DPF).
  • Stripe (stripe.com) — verwerkt betalingen. Gecertificeerd volgens PCI-DSS en hanteert SCCs.
  • Resend (resend.com) — verstuurt transactionele e-mails. Hanteert een DPA conform AVG.
  • Alle verwerkers zijn contractueel gebonden aan geheimhouding en veilig gegevensbeheer conform de AVG.

Waar staan je gegevens opgeslagen?

  • Je financiële gegevens (facturen, kosten) worden opgeslagen in de EU via Convex (EU-west-1, Ierland).
  • Je accountgegevens worden verwerkt door Clerk, waarbij infrastructuur van Cloudflare wordt gebruikt. Verzoeken kunnen via servers buiten de EU worden gerouteerd; hiervoor gelden SCCs.
  • De webapplicatie wordt gehost via Vercel. Voor EU-gebruikers wordt verkeer primair via Europese servers afgehandeld. Vercel valt onder het EU-US DPF.
  • We voldoen aan de vereisten van de AVG/GDPR.

Hoe beveiligen we je gegevens?

  • Alle communicatie tussen jouw browser en Kwito verloopt via HTTPS (versleuteld transport).
  • Je gegevens worden versleuteld opgeslagen in de database (Convex, EU-west-1). Convex past encryptie toe at rest op alle opgeslagen data.
  • Alleen jij hebt toegang tot jouw eigen facturen en kosten. Toegangscontrole wordt afgedwongen via Clerk authenticatie — zonder inloggen zijn jouw gegevens niet bereikbaar.
  • Kwito-medewerkers hebben geen routinematige toegang tot jouw financiële gegevens.
  • Bij een datalek informeren we getroffen gebruikers zo snel mogelijk, en melden we dit binnen 72 uur bij de Autoriteit Persoonsgegevens conform artikel 33 AVG.
  • We voeren geen geautomatiseerde besluitvorming of profilering uit op basis van jouw financiële gegevens.

Hoe lang bewaren we je gegevens?

  • Financiële gegevens (facturen, kosten, BTW-gegevens): minimaal 7 jaar na het betreffende boekjaar, conform de wettelijke fiscale bewaarplicht (artikel 52 Algemene wet inzake rijksbelastingen). Dit is een wettelijke verplichting waar Kwito en jij als gebruiker aan moeten voldoen.
  • Accountgegevens (naam, e-mailadres): worden verwijderd binnen 30 dagen nadat je je account hebt opgezegd.
  • Als je je account verwijdert, kun je vooraf je financiële gegevens exporteren. Na verwijdering blijven financiële gegevens bewaard voor de resterende wettelijke bewaartermijn — dit kan niet worden voorkomen vanwege de fiscale bewaarplicht.

Jouw rechten

  • Op grond van de AVG heb je het recht om je gegevens in te zien, te corrigeren of te laten verwijderen.
  • Je kunt ook bezwaar maken tegen de verwerking of vragen om beperking ervan.
  • Stuur een e-mail naar privacy@kwito.nl om van deze rechten gebruik te maken. We reageren binnen 30 dagen.
  • Je hebt ook het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl) als je van mening bent dat wij je gegevens niet correct verwerken.

Contact

  • Heb je vragen over dit privacybeleid? Stuur een e-mail naar privacy@kwito.nl.
  • Kwito is gevestigd in Nederland. KVK-nummer wordt toegevoegd na registratie.