1. Wie zijn wij

ZZP Wizzard is een dienst van Bossnu. Wij respecteren je privacy en handelen in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG). Wij implementeren privacy by design — we verzamelen alleen gegevens die noodzakelijk zijn voor de dienst, versleutelen gevoelige data, en hanteren het least-privilege-principe.

2. Welke gegevens verzamelen wij

Accountgegevens: naam, e-mailadres, telefoonnummer
Bedrijfsgegevens: KvK-nummer, BTW-nummer, adres
Financiële gegevens: facturen, uitgaven, belastingberekeningen
Technische gegevens: IP-adres, browser type, logbestanden

3. Waarom verzamelen wij deze gegevens (doeleinden)

Om je account te beheren en de dienst te leveren (facturatie, klantenbeheer, BTW-berekening)
Om je financiële administratie bij te houden
Om wettelijke verplichtingen na te komen (belasting: 7 jaar bewaarplicht)
Om de app te verbeteren en technische problemen op te lossen
Om je te informeren over je abonnement en belangrijke wijzigingen
Om je bonnetjes te verwerken via AI-OCR (alleen met expliciete toestemming)
Om je accountant toegang te geven tot je gegevens (alleen als je deze uitnodigt)

4. Bewaartermijnen

Gegevenstype	Bewaartermijn	Juridische grondslag
Facturen	7 jaar	AWR Art. 52 (fiscale bewaarplicht)
Uitgaven / bonnetjes	7 jaar	AWR Art. 52
BTW-aangiften	7 jaar	AWR Art. 52
Banktransacties	7 jaar	AWR Art. 52
Klantgegevens	Tot account verwijdering + 7 jaar	AVG Art. 17(3)(b) + AWR Art. 52
AI-chatgeschiedenis	30 dagen	AVG Art. 5(1)(e) — minimalisatie
Marketinggegevens	Tot uitschrijving	AVG Art. 21
Auditlogs / beveiligingslogs	1 jaar	AVG Art. 5(1)(f) — legitiem belang (beveiliging)
Accountgegevens (na verwijdering)	7 jaar (geanonimiseerd)	AVG Art. 17(3)(b) + AWR Art. 52

5. Jouw rechten

Inzage: Vraag op welke gegevens wij van je hebben
Correctie: Wijzig onjuiste gegevens
Verwijdering: Vraag om verwijdering van je gegevens (met uitzondering van wettelijke bewaarplicht)
Data-export: Ontvang je gegevens in een gestructureerd formaat (JSON) via Instellingen → Beveiliging
Bezwaar: Maak bezwaar tegen AI-verwerking of marketingcommunicatie via Instellingen → Beveiliging
Beschwer: Dien een klacht in bij de Autoriteit Persoonsgegevens

6. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om je gegevens te beschermen: encryptie in transit (TLS 1.3), encryptie at rest (AES-256), strikte toegangscontroles, en regelmatige beveiligingsaudits.

7. Sub-processors (verwerkers)

Wij maken gebruik van de volgende sub-processors voor de verwerking van jouw gegevens:

Sub-processor	Functie	Locatie	Privacybeleid / DPA
Supabase (Supabase Inc.)	Database hosting, authenticatie	EU (Frankfurt)	supabase.com/privacy
Stripe (Stripe Inc.)	Abonnementsbetalingen	EU / US	stripe.com/privacy
Mollie B.V.	iDEAL-betalingen	Nederland	mollie.com/privacy
Resend (Resend Inc.)	E-mailverzending	US	resend.com/privacy
Kimi / Moonshot AI	AI-assistent (alleen anonieme berichten)	China	moonshot.cn/privacy
Anthropic (Anthropic PBC)	AI-assistent fallback (alleen anonieme berichten)	US	anthropic.com/privacy
Vercel (Vercel Inc.)	Hosting	EU / US	vercel.com/privacy

8. Internationale gegevensoverdracht

Sommige sub-processors zijn gevestigd buiten de EU (Vercel US, Resend US, Kimi China, Anthropic US). Wij hebben met deze partijen Standaard Contractuele Clauses (SCCs) afgesloten om jouw gegevens adequaat te beschermen. Voor AI-verwerking worden alleen geanonimiseerde berekeningen verstuurd — nooit jouw KvK-nummer, adres of klantgegevens.

9. AI-verwerking en OCR

Onze AI-assistent beantwoordt algemene vragen over Nederlandse belastingwetgeving. Wij sturen geen persoonlijke gegevens (facturen, KvK-nummers, namen van klanten) naar AI-providers. Je chatgeschiedenis wordt 30 dagen bewaard.

Voor bonnetjesherkenning (OCR) gebruiken we AI-vision. Dit gebeurt alleen als je expliciet toestemming geeft in je instellingen. Je kunt deze toestemming op elk moment intrekken.

10. Geautomatiseerde besluitvorming

ZZP Wizzard maakt geen bindende geautomatiseerde besluiten over jou. Onze AI geeft suggesties en schattingen, maar jij blijft zelf verantwoordelijk voor alle belastingaangiften en financiële beslissingen. Je moet alle AI-gegenereerde content altijd zelf controleren voordat je deze indient.

11. Datalekken

In geval van een datalek waarbij jouw persoonsgegevens zijn betrokken, informeren wij je binnen 72 uur na ontdekking. Wij melden het lek ook bij de Autoriteit Persoonsgegevens. Onze procedure:

Onmiddellijke detectie via Sentry monitoring en automatische alerts
Impactbeoordeling binnen 4 uur — welke gegevens zijn betrokken en hoeveel gebruikers?
Notificatie aan Autoriteit Persoonsgegevens binnen 72 uur (indien van toepassing)
Notificatie aan betrokkenen binnen 72 uur indien het lek waarschijnlijk een hoog risico oplevert voor hun rechten en vrijheden
Oplossing, documentatie en preventieve maatregelen

12. Contact

Vragen over je privacy? Mail ons via privacy@bossnu.com

Je hebt ook het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens: autoriteitpersoonsgegevens.nl

Privacybeleid (AVG)