Privacybeleid

1. Verwerkingsverantwoordelijke

Peil (hierna: "wij", "ons" of "Peil"), bereikbaar via peil.app, is de verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG) voor de verwerking van uw persoonsgegevens.

Contactgegevens:
Studio Jeroen Kortekaas
Nederland
KVK: 93707754
E-mail: privacy@peil.app

2. Welke gegevens verzamelen wij?

2.1 Accountgegevens

Bij het aanmaken van een account verwerken wij:

• naam en e-mailadres;
• wachtwoord (versleuteld opgeslagen, nooit in leesbare vorm);
• IP-adres bij inloggen (voor beveiliging en globale locatie-inschatting op basis van IP ten behoeve van fraudepreventie);
• tijdstip en apparaat van inlogsessies.

Bij registratie via Google OAuth ontvangen wij uitsluitend de gegevens die Google aan ons doorgeeft conform uw toestemming: naam, e-mailadres en profielfoto-URL.

2.2 Financiële gegevens ingevoerd door u

Peil verwerkt de financiële gegevens die u zelf invoert, waaronder:

• gewerkte uren, tarieven en projecten;
• factuurgegevens (factuurnummers, klantgegevens, bedragen);
• bankrekeninggegevens (IBAN) die u invoert voor weergave op uw facturen;
• vaste kosten, zakelijke uitgaven en andere kostenposten;
• instellingen zoals BTW-tarief, uurtarief, bedrijfsstartdatum;
• bedrijfslogo's die u uploadt voor gebruik op facturen.

Deze gegevens zijn volledig door u aangeleverd en worden uitsluitend verwerkt om de dienst aan u te leveren. Wij analyseren de inhoud van uw financiële gegevens niet voor commerciële doeleinden.

Voor persoonsgegevens die u invoert met betrekking tot uw eigen klanten of relaties — zoals namen, adressen en e-mailadressen op facturen — treedt Peil in beginsel op als verwerker namens u. U bent in die hoedanigheid zelf de verwerkingsverantwoordelijke voor die gegevens. Indien een verwerkersovereenkomst (DPA) vereist is, kan deze worden verstrekt op verzoek via privacy@peil.app.

2.3 Gebruiksanalyses

Wij maken gebruik van Plausible Analytics voor anonieme websitestatistieken. Plausible is een cookievrije analyticsdienst die geen persoonsgegevens verzamelt en geen tracking-cookies plaatst. Er worden uitsluitend geaggregeerde gegevens bijgehouden (zoals paginabezoeken en verwijzende websites) die niet herleidbaar zijn tot individuele gebruikers. Meer informatie: plausible.io/privacy.

2.4 Communicatie

Indien u contact met ons opneemt via e-mail, bewaren wij de inhoud van uw berichten en uw e-mailadres om uw verzoek te kunnen afhandelen.

3. Doeleinden en grondslagen voor verwerking

Wij verwerken uw persoonsgegevens op basis van de volgende grondslagen:

3.1 Uitvoering van de overeenkomst (artikel 6 lid 1 sub b AVG)

De verwerking van accountgegevens en door u ingevoerde financiële gegevens is noodzakelijk voor de uitvoering van de overeenkomst die u met ons aangaat bij het aanmaken van een account. Zonder deze verwerking kunnen wij de dienst niet aan u leveren.

3.2 Gerechtvaardigd belang (artikel 6 lid 1 sub f AVG)

Wij verwerken IP-adressen en sessiegegevens op basis van ons gerechtvaardigd belang bij het beveiligen van het Platform en het voorkomen van misbruik. Dit belang weegt op tegen uw privacybelangen, gelet op de minimale impact van deze verwerking.

3.3 Wettelijke verplichting (artikel 6 lid 1 sub c AVG)

Indien wij wettelijk verplicht zijn gegevens te bewaren of te verstrekken (bijvoorbeeld op grond van belasting- of boekhoudkundige wetgeving), verwerken wij uw gegevens op die grondslag.

4. Bewaartermijnen

Wij bewaren uw persoonsgegevens niet langer dan noodzakelijk voor de doeleinden waarvoor zij zijn verzameld:

• Accountgegevens en financiële invoer: zolang uw account actief is. Na een verwijderingsverzoek treedt een herstelperiode van 30 dagen in. Daarna worden uw actieve accountgegevens definitief verwijderd, tenzij een wettelijke bewaarplicht van toepassing is. Indien wettelijke bewaarplichten gelden, bewaren wij uitsluitend de gegevens die strikt noodzakelijk zijn om aan die verplichtingen te voldoen; overige gegevens worden verwijderd.
• Factuurgegevens: conform de wettelijke bewaarplicht voor financiële administratie in Nederland (7 jaar na het einde van het boekjaar). Wij bewaren uitsluitend de gegevens die noodzakelijk zijn om aan deze plicht te voldoen.
• Sessiegegevens en IP-adressen: maximaal 90 dagen na de betreffende sessie.
• Supportcommunicatie: maximaal 2 jaar na afsluiting van het verzoek.
• Back-ups: verwijderde gegevens kunnen gedurende beperkte tijd voorkomen in versleutelde back-ups totdat deze automatisch worden overschreven.

5. Derde partijen en subverwerkers

Wij delen uw persoonsgegevens uitsluitend met derden voor zover dat noodzakelijk is voor de uitvoering van onze dienst. Wij sluiten met alle subverwerkers een verwerkersovereenkomst af.

5.1 Hetzner (hosting)

Onze servers worden gehost bij Hetzner Online GmbH, een Duits bedrijf met datacenters binnen de Europese Unie (Duitsland en Finland). Uw gegevens worden verwerkt en opgeslagen op Europese servers, zodat er geen overdracht plaatsvindt naar landen buiten de EER in het kader van hosting.

5.2 Resend (e-mailverzending)

Voor het verzenden van e-mails (zoals facturen en systeemmeldingen) maken wij gebruik van Resend. Resend verwerkt uitsluitend de e-mailadressen en inhoud die noodzakelijk zijn voor de verzending. Meer informatie: resend.com/legal/privacy-policy.

5.3 Plausible Analytics (webanalyse)

Wij gebruiken Plausible Analytics voor anonieme bezoekersstatistieken. Plausible plaatst geen cookies en verwerkt geen persoonsgegevens. Er worden uitsluitend geaggregeerde, niet-herleidbare statistieken gegenereerd. Plausible opereert vanuit de EU en is volledig AVG-conform.

5.4 Mollie (betalingen)

Betalingen voor betaalde abonnementen worden verwerkt door Mollie B.V., een Nederlandse betalingsdienstaanbieder. Peil slaat geen betaalkaartgegevens op; kaartverwerking vindt uitsluitend plaats via Mollie. Meer informatie: mollie.com/nl/privacy.

5.5 Sentry (foutopsporing)

Voor het opsporen en diagnosticeren van technische fouten maken wij gebruik van Sentry. Sentry verwerkt foutmeldingen en stacktraces die technische context kunnen bevatten zoals gebruikers-ID's en browserinformatie. Deze gegevens worden uitsluitend gebruikt voor het oplossen van technische problemen en worden niet gedeeld met derden. Meer informatie: sentry.io/privacy. Sentry verwerkt gegevens conform de AVG op basis van standaardcontractbepalingen (SCC's).

5.6 Cloudflare R2 (back-ups)

Versleutelde dagelijkse back-ups van de database worden opgeslagen via Cloudflare R2, een objectopslagdienst van Cloudflare Inc., waarbij gebruik wordt gemaakt van Europese datacenterlocaties. Back-ups zijn versleuteld en worden uitsluitend gebruikt voor herstel bij een incident. Meer informatie: cloudflare.com/privacypolicy.

5.7 Geen verkoop van gegevens

Wij verkopen uw persoonsgegevens nooit aan derden voor commerciële of marketingdoeleinden.

5.8 Wijzigingen in subverwerkers

Wij kunnen van tijd tot tijd subverwerkers toevoegen of vervangen indien dit noodzakelijk is voor de levering van de dienst. Een actuele lijst van subverwerkers is steeds beschikbaar via dit Privacybeleid. Substantiële wijzigingen worden vooraf aangekondigd.

6. Cookies

Peil gebruikt geen tracking- of advertentiecookies. Wij plaatsen uitsluitend functionele cookies die strikt noodzakelijk zijn voor het functioneren van het Platform, zoals sessie-authenticatiecookies (JWT-tokens). Voor deze cookies is geen toestemming vereist op grond van de Telecommunicatiewet.

Voor webanalyse gebruiken wij Plausible, dat cookievrij werkt (zie §5.3).

7. Doorgifte buiten de EER

Peil streeft ernaar uw gegevens binnen de Europese Economische Ruimte te verwerken. Resend en Sentry zijn Amerikaanse bedrijven die gegevens buiten de EER kunnen verwerken; in die gevallen hanteren wij de door de Europese Commissie goedgekeurde standaardcontractbepalingen (SCC's) als passende waarborg. Cloudflare R2 slaat back-ups op in Europese datacenters; hiervoor vindt geen overdracht buiten de EER plaats.

8. Uw rechten als betrokkene

Op grond van de AVG heeft u de volgende rechten met betrekking tot uw persoonsgegevens:

• Recht op inzage (art. 15 AVG): u heeft het recht te weten welke persoonsgegevens wij van u verwerken.
• Recht op rectificatie (art. 16 AVG): u kunt onjuiste of onvolledige gegevens laten corrigeren. Veel gegevens kunt u zelf aanpassen in uw accountinstellingen.
• Recht op verwijdering (art. 17 AVG): u kunt verzoeken uw gegevens te laten verwijderen, tenzij wij wettelijk verplicht zijn deze te bewaren.
• Recht op beperking van verwerking (art. 18 AVG): in bepaalde gevallen kunt u de verwerking van uw gegevens laten beperken.
• Recht op gegevensoverdraagbaarheid (art. 20 AVG): u kunt uw gegevens exporteren in gestructureerde, gangbare en machineleesbare formaten. Peil ondersteunt export van contacten en klantgegevens, urenregistraties en factuuroverzichten (CSV/JSON), en factuur-PDF's als archief. Deze exports zijn bedoeld om dataportabiliteit te vergemakkelijken en samenwerking met boekhoudpakketten en andere diensten mogelijk te maken. Export via uw accountinstellingen of op verzoek via privacy@peil.app.
• Recht van bezwaar (art. 21 AVG): u kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
• Recht om toestemming in te trekken: voor zover verwerking op toestemming is gebaseerd, kunt u die toestemming te allen tijde intrekken.

U kunt uw rechten uitoefenen door een e-mail te sturen naar privacy@peil.app. Wij reageren binnen 30 dagen op uw verzoek. Wij kunnen u vragen uw identiteit te verifiëren alvorens uw verzoek te verwerken.

9. Beveiliging

Peil neemt passende technische en organisatorische maatregelen om uw persoonsgegevens te beveiligen tegen ongeautoriseerde toegang, verlies of misbruik. Maatregelen omvatten onder meer:

• versleutelde verbindingen (HTTPS/TLS);
• versleutelde opslag van wachtwoorden (bcrypt);
• authenticatie via kortlevende JWT-tokens met refresh-token rotatie;
• toegangsbeperking: elke gebruiker kan uitsluitend zijn eigen gegevens raadplegen.

In geval van een inbreuk in verband met persoonsgegevens zullen wij handelen conform de meldplicht datalekken onder de AVG, inclusief melding aan de Autoriteit Persoonsgegevens waar vereist, en betrokkenen informeren indien de inbreuk waarschijnlijk een hoog risico voor hun rechten en vrijheden inhoudt.

10. Klachten

Indien u van mening bent dat wij uw persoonsgegevens niet in overeenstemming met de AVG verwerken, verzoeken wij u eerst contact met ons op te nemen via privacy@peil.app. U heeft ook het recht een klacht in te dienen bij de toezichthoudende autoriteit:

Autoriteit Persoonsgegevens
Postbus 93374
2509 AJ Den Haag
autoriteitpersoonsgegevens.nl

11. Wijzigingen in dit Privacybeleid

Wij behouden ons het recht voor dit Privacybeleid te wijzigen. Substantiële wijzigingen worden ten minste 14 dagen van tevoren via e-mail aangekondigd. De meest actuele versie is altijd te vinden op peil.app/privacy. De datum bovenaan dit document geeft aan wanneer de huidige versie voor het laatst is bijgewerkt.