Privacybeleid

1. Wie we zijn

Kushimio ("we", "ons", "onze") is een online platform voor boekhouding en grootboeken, beschikbaar op kushimio.com. Wij zijn de verwerkingsverantwoordelijke voor je persoonsgegevens.

Voor vragen of verzoeken over privacy kun je contact met ons opnemen via support@kushimio.com.

2. Welke gegevens we verzamelen

We verzamelen alleen wat nodig is om de dienst te leveren:

• Accountgegevens: e-mailadres, gebruikersnaam, voorkeurstaal en een gehashte (bcrypt) versie van je wachtwoord. We bewaren je wachtwoord nooit in leesbare vorm.
• Grootboekgegevens: de namen, landen en financiële boekingen die je in Kushimio aanmaakt. Dit is de kerninhoud van de dienst.
• Facturatiegegevens: je abonnement en de status ervan. Betaalgegevens (kaartnummers enz.) worden uitsluitend door Stripe verwerkt en nooit op onze servers opgeslagen.
• Gebruiksgegevens: het tijdstip van je laatste login en je IP-adres. IP-adressen worden tijdelijk gebruikt om het aantal verzoeken te beperken en worden niet permanent opgeslagen.

3. Waarom we je gegevens verwerken en op welke rechtsgrond

• Uitvoering van een overeenkomst (art. 6, lid 1, b) AVG): je de dienst Kushimio leveren — je grootboeken opslaan, je account verifiëren en je abonnement beheren.
• Gerechtvaardigd belang (art. 6, lid 1, f) AVG): de dienst beschermen tegen misbruik door het aantal verzoeken te beperken, en basisbeveiligingslogs bijhouden.
• Wettelijke verplichting (art. 6, lid 1, c) AVG): facturatiegegevens bewaren om te voldoen aan boekhoudkundige en fiscale regels.

We sturen geen marketingmails. De enige e-mails die we sturen zijn transactioneel: e-mailverificatie en wachtwoordherstel.

4. Met wie we je gegevens delen

We verkopen je gegevens niet. We delen ze alleen met de volgende externe verwerkers, die elk gebonden zijn aan hun eigen privacy- en verwerkersovereenkomsten:

• Neon (neon.tech): onze databasehost. Alle account- en grootboekgegevens worden opgeslagen op de PostgreSQL-infrastructuur van Neon.
• Stripe (stripe.com): onze betalingsverwerker. Stripe ontvangt je e-mailadres en verzorgt alle facturatie. Stripe is PCI-DSS-conform en heeft een eigen privacybeleid.
• Resend (resend.com): onze provider voor transactionele e-mails. Resend ontvangt je e-mailadres en gebruikersnaam uitsluitend om verificatie- en wachtwoordherstelmails te bezorgen.
• Cloudhostingprovider: onze applicatieservers draaien op een cloudplatform dat verzoekgegevens (waaronder IP-adressen) tijdens de overdracht kan verwerken.

5. Cookies

We gebruiken twee cookies:

• auth_token: een strikt noodzakelijke sessiecookie (HttpOnly, SameSite=Lax) die je ingelogd houdt. Hij verloopt na 7 dagen.
• locale: onthoudt de taal die je hebt gekozen. Hij bevat alleen een taalcode en verloopt na 1 jaar.

We gebruiken geen advertentie-, tracking- of analysecookies.

Omdat deze cookies nodig zijn om de dienst te leveren zoals jij die vraagt, is je toestemming volgens de ePrivacy-regels niet vereist.

6. Bewaartermijn

• Account- en grootboekgegevens: bewaard zolang je account bestaat. Wanneer je je account verwijdert, worden al je gegevens onmiddellijk en definitief uit onze database gewist.
• Facturatiegegevens: Stripe bewaart transactiegegevens zelfstandig om wettelijke en financiële redenen, volgens zijn eigen bewaarbeleid.
• Niet-geverifieerde accounts: accounts die nooit worden geverifieerd, kunnen we naar eigen inzicht periodiek verwijderen.

7. Je rechten onder de AVG

Als je in de Europese Economische Ruimte woont, heb je de volgende rechten:

• Recht op inzage: je kunt op elk moment een volledige kopie van je gegevens downloaden via je accountinstellingen.
• Recht op gegevenswissing: je kunt je account en alle bijbehorende gegevens definitief verwijderen via je accountinstellingen.
• Recht op overdraagbaarheid: je geëxporteerde gegevens worden aangeleverd in JSON, een standaard machineleesbaar formaat.
• Recht op rectificatie: je kunt je gebruikersnaam en taal wijzigen via je accountinstellingen. Moet je andere gegevens laten corrigeren, neem dan contact met ons op.
• Recht van bezwaar of beperking van de verwerking: neem contact op via privacy@kushimio.com; we antwoorden binnen 30 dagen.
• Recht om een klacht in te dienen: je hebt het recht een klacht in te dienen bij je lokale gegevensbeschermingsautoriteit.

8. Beveiliging van gegevens

Wachtwoorden worden vóór opslag gehasht met bcrypt en zijn nooit in leesbare vorm te herstellen. Alle gegevens worden via HTTPS verzonden. Toegang tot de database is beperkt tot de applicatie-infrastructuur.

9. Kinderen

Kushimio is niet bedoeld voor kinderen jonger dan 16 jaar. We verzamelen niet bewust persoonsgegevens van kinderen. Denk je dat een kind ons zijn gegevens heeft bezorgd, neem dan contact met ons op en we verwijderen ze zo snel mogelijk.

10. Wijzigingen in dit beleid

Als we dit beleid wezenlijk wijzigen, passen we de datum bovenaan deze pagina aan. Bij belangrijke wijzigingen brengen we je per e-mail op de hoogte. Als je Kushimio blijft gebruiken nadat wijzigingen zijn gepubliceerd, aanvaard je het bijgewerkte beleid.