Hoe Klera met je gegevens omgaat

Klera B.V. (“Klera”), gevestigd in Nederland, levert AI-ondersteunde boekhoudsoftware. Voor je accountgegevens is Klera verwerkingsverantwoordelijke. Voor de gegevens in je administratie (relaties, transacties, facturen) ben jij — of het kantoor dat je administratie voert — verantwoordelijke en is Klera verwerker; daarvoor geldt onze verwerkersovereenkomst (DPA).

• Account- en authenticatiegegevens — naam, e-mail, gehashte wachtwoorden (beheerd door Supabase Auth), sessietokens.
• Identificatie- en contactgegevens — bedrijfsnaam, adres, KvK-nummer, BTW-identificatienummer, telefoon.
• Financiële en transactiegegevens — IBAN, banktransacties en omschrijvingen, bedragen, facturen, betaalstatus.
• Documenten (evidence) — geüploade of via e-mail aangeleverde bonnen en facturen, inclusief daarin voorkomende persoonsgegevens.

De Dienst is niet bestemd voor bijzondere categorieën persoonsgegevens (art. 9 AVG) of BSN.

We verwerken gegevens uitsluitend om de Dienst te leveren: categoriseren van transacties, afletten van bankmutaties, facturatie, BTW-ondersteuning en archivering. Grondslagen: uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG), wettelijke verplichtingen zoals de fiscale bewaarplicht (art. 6 lid 1 sub c) en gerechtvaardigd belang voor beveiliging en misbruikpreventie (art. 6 lid 1 sub f).

We verkopen je gegevens niet en gebruiken ze niet om generieke AI-modellen van derden te trainen.

Transacties en documenten worden geautomatiseerd verwerkt door AI-modellen. Elke AI-beslissing wordt vastgelegd met een onderbouwing (rationale) en betrouwbaarheidsscore die je in de app kunt inzien, en is altijd door jou te corrigeren. Beslissingen met lage zekerheid worden niet automatisch toegepast maar aan jou voorgelegd.

Je gegevens worden opgeslagen en verwerkt binnen de EU/EER. We gebruiken een beperkt aantal subverwerkers, waaronder:

• Supabase — database, authenticatie en opslag (EU-regio);
• Google Cloud / Vertex AI — hosting en AI-verwerking (EU-regio’s);
• Enable Banking — PSD2-bankkoppelingen (EU);
• Mollie — betaalverwerking (NL);
• Resend — transactionele e-mail.

Eventuele verwerking buiten de EER gebeurt uitsluitend onder een geldig AVG-doorgiftemechanisme (zoals Standaardcontractbepalingen). De actuele subverwerkerslijst maakt deel uit van de DPA.

Administratiegegevens (grootboek, journaalposten, facturen, banktransacties, bewijsstukken, BTW-gegevens) vallen onder de fiscale bewaarplicht en worden 7 jaar bewaard (10 jaar voor gegevens over onroerende zaken). Account- en contactgegevens zonder fiscale functie bewaren we niet langer dan nodig en wissen we op verzoek.

Je hebt recht op inzage, rectificatie, gegevenswissing, beperking, overdraagbaarheid en bezwaar (art. 15–21 AVG). In de app kun je zelf je volledige administratie exporteren en je account verwijderen (Instellingen → Privacy & gegevens). Bij accountverwijdering trekken we bankkoppelingen in en anonimiseren we je persoonsgegevens; administratie onder de bewaarplicht blijft bewaard tot het einde van de wettelijke termijn (art. 17 lid 3 sub b AVG) en wordt daarna gecontroleerd verwijderd.

Klachten kun je indienen bij de Autoriteit Persoonsgegevens.

Alle verbindingen verlopen via TLS; gegevens worden versleuteld opgeslagen en gevoelige tokens aanvullend versleuteld met AES-256-GCM. Elke administratie is strikt geïsoleerd per entiteit, afgedwongen op applicatie- én databaseniveau (Row-Level Security). Voor datalekken hanteren we een vastgelegde procedure met 72-uurs meldflow naar de Autoriteit Persoonsgegevens.

Vragen over privacy of een verzoek over je gegevens? Mail privacy@klera.nl. Beveiligingsproblemen meld je via security@klera.nl.