XRechnungs

De verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG) is:

Er is geen functionaris voor gegevensbescherming aangesteld, omdat hiertoe geen wettelijke verplichting bestaat.

Wij verwerken persoonsgegevens uitsluitend in overeenstemming met de AVG en de geldende nationale privacywetgeving.

De verwerking vindt plaats voor:

• Het leveren van onze SaaS-diensten
• Uitvoering van de overeenkomst
• Waarborging van IT-beveiliging
• Verbetering van ons aanbod

3.1 Registratie- en accountgegevens

• Naam
• E-mailadres
• Wachtwoord (gehasht opgeslagen)
• Bedrijfsgegevens (bijv. bedrijfsnaam, adres, btw-nummer)

Doel: accountbeheer en gebruik van de applicatie

Rechtsgrondslag: art. 6 lid 1 sub b AVG

3.2 Factuur- en zakelijke gegevens

• Namen en adressen van klanten, leveranciers en zakenpartners
• E-mailadressen en telefoonnummers
• Btw-identificatienummers
• Factuurgegevens, in het bijzonder bedragen, factuurregels, bankgegevens, betalingsvoorwaarden en betalingsstatus, voor zover deze in de applicatie worden opgeslagen of op facturen worden vermeld
• Abonnements- en betalingsstatusgegevens; volledige creditcard- of SEPA-betalingsgegevens voor abonnementen worden door Stripe verwerkt en niet door XRechnungs opgeslagen
• Omschrijvingen van prestaties en factuurnummers
• Medewerkergegevens (voor zover vermeld op facturen of documenten)

Doel: aanmaken, valideren en leveren van elektronische facturen (XRechnung, ZUGFeRD)

Rechtsgrondslag:

• Art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst met de gebruiker)
• Art. 6 lid 1 sub f AVG (gerechtvaardigd belang bij het leveren van het SaaS-platform)

3.3 Technische gebruiksgegevens

• IP-adres
• Datum en tijdstip van toegang
• Browser- en apparaatinformatie
• Aanmeldingstijdstippen en activiteitslogboeken
• Logbestanden

Doel: operationele beveiliging, foutanalyse, misbruikdetectie

Rechtsgrondslag: art. 6 lid 1 sub f AVG (gerechtvaardigd belang)

3.4 Foutanalyse en stabiliteitsbewaking

Wij gebruiken Sentry, een dienst van Functional Software, Inc., San Francisco, VS ('Sentry'), om de technische stabiliteit van onze applicatie te verbeteren door de systeemstabiliteit te bewaken en codefouten op te sporen.

Sentry wordt uitsluitend voor deze doeleinden en niet voor reclamedoeleinden gebruikt. De gegevensverzameling wordt tot een minimum beperkt.

Wij sturen niet bewust persoonsgegevens zoals namen, e-mailadressen, betalingsgegevens, factuurdocumenten, XML-bestanden, PDF-bestanden of bijlagen naar Sentry. Voor zover mogelijk worden persoonsgegevens vóór verzending verwijderd of ingekort.

De verzonden foutgegevens worden slechts bewaard zolang dit nodig is voor de analyse en oplossing van technische fouten.

De verwerking is gebaseerd op ons gerechtvaardigd belang bij de veiligheid, stabiliteit en foutoplossing van onze applicatie conform art. 6 lid 1 sub f AVG.

De kernverwerking van de productiegegevens, in het bijzonder de productiedatabase, factuurgegevens, klantgegevens, factuurdocumenten, XML-bestanden, PDF-bestanden en bijlagen, vindt uitsluitend plaats op servers binnen de Europese Unie (EU) of de Europese Economische Ruimte (EER). De backend, productiedatabase en documentopslag worden momenteel binnen de EU op infrastructuur van Hetzner geëxploiteerd. Voor de technische uitvoering maken wij gebruik van de volgende dienstverleners:

Voor aanbieders binnen de EU/EER bestaat een overeenkomst conform art. 28 AVG. Voor zover aanbieders met vestiging in de VS worden ingezet, vindt een doorgifte van persoonsgegevens primair plaats op basis van een adequaatheidsbesluit conform art. 45 AVG, in het bijzonder het EU-US Data Privacy Framework, mits de betreffende ontvanger actueel gecertificeerd is. Aanvullend of voor zover vereist worden EU-standaardcontractbepalingen conform art. 46 lid 2 sub c AVG overeengekomen. De actuele certificeringsstatus wordt voor elke betrokken aanbieder regelmatig gecontroleerd en gedocumenteerd.

Bij gebruik van de PDF-naar-XRechnung/ZUGFeRD-conversiefunctie worden geüploade factuurdocumenten (PDF of afbeeldingsbestanden) voor automatische extractie van factuurgegevens doorgestuurd naar de API van OpenAI, Inc., VS.

Daarbij kunnen persoonsgegevens worden overgedragen die in het document zijn opgenomen (bijv. namen, adressen, btw-nummers, bankgegevens of betalingsvoorwaarden).

OpenAI gebruikt API-invoer standaard niet voor het verbeteren of trainen van modellen. API-invoer en -uitvoer kunnen volgens OpenAI in beginsel tot 30 dagen worden bewaard voor het leveren van de diensten en het detecteren van misbruik, voor zover geen afwijkende bewaarinstelling of wettelijke verplichting geldt.

De overdracht naar de VS vindt plaats op basis van EU-standaardcontractbepalingen conform art. 46 lid 2 sub c AVG of een adequaatheidsbesluit conform art. 45 AVG, voor zover van toepassing.

Rechtsgrondslag: art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst).

Meer informatie: openai.com/policies/privacy-policy

Voor de technische validatie van factuurdocumenten (XRechnung, ZUGFeRD) maken wij gebruik van de KoSIT-validator en de Mustang Validator. De validatie vindt server-zijdig plaats. Daarbij worden de in de factuurdocumenten opgenomen gegevens technisch gecontroleerd.

Rechtsgrondslag: art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst).

Voor de verwerking van abonnementen en betalingen maken wij gebruik van Stripe Payments Europe, Limited, Ierland.

Betalingsgegevens in het kader van het checkout- en abonnementsproces, in het bijzonder volledige creditcard- of SEPA-betalingsgegevens, worden rechtstreeks door Stripe verwerkt. XRechnungs slaat geen volledige betaalinstrumentgegevens op, maar uitsluitend de voor het contract- en accountbeheer noodzakelijke abonnements- en betalingsstatusgegevens.

Rechtsgrondslag: art. 6 lid 1 sub b AVG.

Meer informatie: stripe.com/nl/privacy

Voor zover u toestemming hebt gegeven, maken wij gebruik van Google Analytics, een webanalysedienst van Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ierland.

Google Analytics gebruikt cookies die een analyse van het gebruik van onze website mogelijk maken. Wij hebben IP-anonimisering geactiveerd, zodat uw IP-adres binnen de EU wordt ingekort.

Rechtsgrondslag: art. 6 lid 1 sub a AVG en § 25 lid 1 TDDDG (toestemming).

Een gegevensoverdracht naar Google-servers in de VS kan niet worden uitgesloten. Deze vindt plaats op basis van SCC's conform art. 46 AVG. U kunt uw toestemming te allen tijde intrekken via de cookie-instellingen.

Meer informatie: policies.google.com/privacy

Wij gebruiken:

• Technisch noodzakelijke cookies (login, sessie, beveiliging)
• Analyse- of statistiekcookies (alleen na toestemming)

Technisch noodzakelijke cookies: § 25 lid 2 TDDDG; art. 6 lid 1 sub f AVG (gerechtvaardigd belang)

Analyse-/statistiekcookies: § 25 lid 1 TDDDG; art. 6 lid 1 sub a AVG (toestemming)

Persoonsgegevens worden alleen bewaard zolang dit noodzakelijk is voor de uitvoering van de overeenkomst of wettelijke bewaarplichten van toepassing zijn.

Factuur- en accountgegevens worden bewaard zolang een actief account bestaat.

Gegevenswissing na opzegging

Na beëindiging van de gebruiksovereenkomst of opzegging van het gebruikersaccount kunt u naar keuze de teruggave of wissing van de in opdracht verwerkte persoonsgegevens verlangen.

• Voor de teruggave stellen wij de opgeslagen documenten en gegevens gedurende een periode van 30 kalenderdagen in een gangbaar elektronisch formaat ter beschikking voor download.
• Verlangt u de wissing, of vindt er binnen de 30-daagse termijn geen teruggaveverzoek dan wel download plaats, dan worden de opgeslagen gegevens en documenten na het verstrijken van de termijn gewist, voor zover geen wettelijke bewaarplichten daaraan in de weg staan.
• De wissing wordt op passende wijze intern gedocumenteerd. Herstel van de gegevens na uitgevoerde wissing is technisch niet mogelijk.

Let op: XRechnungs slaat uw documenten op gedurende de actieve accountperiode. U blijft verantwoordelijk voor het naleven van uw eigen fiscaalrechtelijke en handelsrechtelijke bewaarplichten. Wij raden aan regelmatig eigen back-ups te maken buiten het platform.

Voor zover wettelijke bewaarplichten aan onze zijde onmiddellijke wissing in de weg staan, worden de betreffende gegevens bewaard tot het verstrijken van deze plicht en daarna onverwijld gewist.

In het kader van het gebruik van XRechnungs verwerken wij persoonsgegevens in opdracht van onze klanten (art. 28 AVG). De bijbehorende verwerkersovereenkomst (AVV) maakt deel uit van de gebruiksovereenkomst.

Met registratie en gebruik van het platform stemt u elektronisch in met de AVV. De AVV (XRechnungs – Verwerkersovereenkomst (AVV)) is na registratie beschikbaar in het gebruikersgebied van het platform.

De AVV regelt in het bijzonder de aard, omvang en het doel van de verwerking, de ingeschakelde subverwerkers en de technische en organisatorische maatregelen (TOM) conform art. 32 AVG.

U heeft de volgende rechten:

• Inzage (art. 15 AVG)
• Rectificatie (art. 16 AVG)
• Wissing (art. 17 AVG)
• Beperking van de verwerking (art. 18 AVG)
• Gegevensoverdraagbaarheid (art. 20 AVG)
• Bezwaar tegen de verwerking (art. 21 AVG)
• Intrekking van verleende toestemmingen (art. 7 lid 3 AVG)

Om uw rechten uit te oefenen, kunt u contact opnemen via: info@xrechnungs.de

U heeft het recht een klacht in te dienen bij de bevoegde toezichthoudende autoriteit:

De Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg

www.baden-wuerttemberg.datenschutz.de

Wij passen passende technische en organisatorische maatregelen toe conform art. 32 AVG, in het bijzonder:

• TLS/HTTPS-versleuteling van alle gegevensoverdrachten
• Rolgebaseerde toegangscontrole
• Logische scheiding van gebruikersgegevens per tenant
• Versleutelde gegevensback-ups
• Monitoring en logging van beveiligingsrelevante gebeurtenissen
• Regelmatige beveiligingsupdates

De volledige beschrijving van onze technische en organisatorische maatregelen (TOM) is te vinden in bijlage 3 van de AVV.

Ondanks alle technische en organisatorische maatregelen kan absolute bescherming van gegevens tegen toegang door derden niet volledig worden gegarandeerd.

Er vindt geen geautomatiseerde besluitvorming inclusief profilering conform art. 22 AVG plaats.

Deze privacyverklaring kan indien nodig worden aangepast. De actuele versie is te allen tijde op deze pagina beschikbaar. Bij wezenlijke wijzigingen informeren wij u per e-mail.