Privacybeleid | Knippie

Artikel 1: Inleiding

Knippie B.V. (“wij,” “ons,” “onze”) is een Nederlands bedrijf dat het Knippie-platform exploiteert op knippie.io. Dit privacybeleid beschrijft hoe wij uw persoonsgegevens verzamelen, gebruiken, opslaan en beschermen wanneer u het Platform gebruikt.

Wij hechten grote waarde aan de bescherming van uw privacy en verwerken persoonsgegevens in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG).

Artikel 2: Verwerkingsverantwoordelijke

Knippie B.V. is de verwerkingsverantwoordelijke voor de persoonsgegevens die via het Platform worden verwerkt. Voor vragen over privacy kunt u contact opnemen via privacy@knippie.io.

Artikel 3: Welke gegevens verzamelen wij

3.1 Accountgegevens

Naam, e-mailadres, wachtwoord (gehasht), bedrijfsnaam, KvK-nummer en vestigingsadres.

3.2 Bedrijfsgegevens

Logo, huisstijlkleuren, lettertype-instellingen, factuurnummering, IBAN en widget-configuratie.

3.3 Leadgegevens (persoonsgegevens van derden)

Klantnaam, e-mailadres, telefoonnummer, adresgegevens, postcode, kadastergegevens, energielabel, inmetingsgegevens en foto's. Deze gegevens worden door uw medewerkers ingevoerd of via uw offerte-widget door eindklanten aangeleverd.

3.4 Gebruiksgegevens

Inlogmomenten, apparaattype, browsertype en interacties met het Platform.

3.5 Betalingsgegevens

Betalingen worden verwerkt door Stripe. Knippie slaat geen creditcard- of bankgegevens op. Wij ontvangen uitsluitend een transactiereferentie en bevestigingsstatus.

Artikel 4: Grondslagen voor verwerking

Uitvoering van de overeenkomst: accountgegevens en bedrijfsgegevens worden verwerkt om de dienst te leveren.
Gerechtvaardigd belang: gebruiksanalyse voor platformverbetering en kwaliteitsverificatie van de Marketplace.
Toestemming: marketingcommunicatie (indien van toepassing).
Wettelijke verplichting: bewaring van financiële administratie conform fiscale wetgeving.

Artikel 5: Doel van verwerking

Wij verwerken uw gegevens voor de volgende doeleinden:

Het leveren en onderhouden van de dienst.
Het faciliteren van de Marketplace (leadhandel tussen bedrijven).
Facturering en betalingsverwerking.
Kwaliteitsverificatie van Marketplace-transacties.
Verbetering van het Platform.
Communicatie over uw account en de dienst.

Artikel 6: Delen met derden

Wij delen gegevens met de volgende dienstverleners:

Stripe: betalingsverwerking (EU).
Mollie: betalingsverwerking (EU).
Supabase: databasehosting (EU, Frankfurt).
Vercel: applicatiehosting (EU).
PostHog: productanalyse (server-side, geen cookies).
Resend: transactionele e-mail.
KvK API: bedrijfsverificatie.
Kadaster BAG API: objectgegevens.

Wij verkopen geen persoonsgegevens aan derden. Bij het aanbieden van een Lead op de Marketplace worden leadgegevens gedeeld met het accepterende Bedrijf. Dit betreft een verstrekking tussen onderling onafhankelijke verwerkingsverantwoordelijken. Het aanbiedende Bedrijf staat ervoor in dat het over een geldige grondslag onder de AVG beschikt om deze gegevens te delen (bij voorkeur toestemming van de eindklant, verkregen bij de intake).

Artikel 7: Doorgifte buiten de EU

Alle primaire gegevensopslag vindt plaats binnen de EU (Supabase Frankfurt). Vercel edge-functies verwerken gegevens binnen Europese regio's. Indien een subverwerker buiten de EU opereert, zijn Standaard Contractuele Clausules (SCC's) van toepassing.

Artikel 8: Bewaartermijnen

Accountgegevens: duur van het abonnement + 90 dagen na opzegging.
Leadgegevens: duur van het abonnement + 90 dagen.
Financiële administratie (facturen, transacties): 7 jaar conform de Algemene wet inzake rijksbelastingen.
Gebruikslogs: 12 maanden.
Bezoekstatistiek aanvraagpagina (module Marketing): 13 maanden, daarna automatisch verwijderd.

Wanneer u gegevens verwijdert, worden deze eerst naar een prullenbak verplaatst en blijven daar zichtbaar voor eigenaren en beheerders van uw bedrijf. Gedurende deze periode kunnen zij een onbedoelde verwijdering ongedaan maken. Na 90 dagen worden de gegevens definitief en onherstelbaar verwijderd. Gegevens die onder een wettelijke bewaarplicht vallen (met name financiële administratie) worden gedurende de wettelijke termijn (7 jaar) bewaard voordat zij definitief worden verwijderd.

Artikel 9: Beveiliging

Alle gegevens worden versleuteld tijdens transport (TLS) en in opslag.
Row Level Security (RLS): bedrijfsgegevens zijn op databaseniveau geïsoleerd.
Wachtwoorden worden gehasht (bcrypt via Supabase Auth).
Rolgebaseerde toegangscontrole (eigenaar, mede-eigenaar, admin, verkoper, externe verkoper, viewer).
Regelmatige beveiligingsbeoordelingen.

Artikel 10: Uw rechten (AVG)

U heeft de volgende rechten met betrekking tot uw persoonsgegevens:

Recht op inzage: u kunt opvragen welke gegevens wij van u verwerken.
Recht op correctie: u kunt onjuiste of onvolledige gegevens laten corrigeren.
Recht op verwijdering: u kunt verzoeken uw gegevens te verwijderen (met inachtneming van wettelijke bewaartermijnen).
Recht op overdraagbaarheid: u kunt uw gegevens opvragen in een gestructureerd, gangbaar formaat.
Recht op beperking: u kunt verzoeken de verwerking te beperken.
Recht van bezwaar: u kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.

Om een van deze rechten uit te oefenen, stuurt u een e-mail naar privacy@knippie.io. Wij reageren binnen 30 dagen. U heeft te allen tijde het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Artikel 11: Cookies

Wij gebruiken momenteel uitsluitend functionele cookies voor sessiebeheer. Onze productanalyse (PostHog) vindt server-side plaats en plaatst geen cookies. Er worden geen tracking- of advertentiecookies geplaatst. Indien wij in de toekomst analytics- of trackingcookies introduceren, zal vooraf een toestemmingsbanner worden weergegeven.

Bezoekstatistiek van de aanvraagpagina: als een Bedrijf de module Marketing gebruikt, bewaart de offerte-aanvraagpagina van dat Bedrijf een willekeurig bezoekersnummer in de browser van de bezoeker (geen cookie, 30 dagen geldig). Daarmee meten wij namens het Bedrijf hoeveel bezoekers de pagina heeft, via welke bron zij binnenkomen en bij welke stap zij afhaken. Wij slaan daarbij geen IP-adres, naam of contactgegevens op, delen deze bezoekstatistiek zelf niet met derden en volgen bezoekers alleen binnen de aanvraagpagina en website(s) van hetzelfde Bedrijf, nooit tussen Bedrijven of over andere websites. Pas wanneer een bezoeker een aanvraag verstuurt, worden zijn eerdere bezoeken aan die pagina aan de aanvraag gekoppeld; dit staat vermeld bij de toestemming in het aanvraagformulier. Staat de aanvraagpagina ingebouwd op de website van het Bedrijf en heeft de bezoeker daar geen toestemming voor statistieken gegeven, dan bewaren wij niets in zijn browser en tellen wij alleen het lopende bezoek. Het Bedrijf is hiervoor verwerkingsverantwoordelijke en Knippie verwerker.

Bezoekstatistiek van de website van een Bedrijf: een Bedrijf met de module Marketing kan ook op zijn eigen website een meetscript van Knippie plaatsen. Zolang de bezoeker via de cookiebanner van het Bedrijf geen toestemming voor statistieken heeft gegeven, telt dat script bezoeken alleen anoniem: het bewaart niets op het apparaat van de bezoeker en gebruikt geen bezoekersnummer. Het leest dan alleen gegevens van de pagina zelf (het webadres, de verwijzende website en de schermbreedte, om het soort apparaat te bepalen). Per bekeken pagina ontvangen wij dan alleen het adres van de pagina (zonder de rest van het webadres), het soort apparaat (telefoon, tablet of computer) en, bij binnenkomst, via welke bron de bezoeker binnenkwam: de campagnegegevens uit de link (utm-waarden zoals bron, medium, campagne en zoekwoord), de naam van de verwijzende website en of het om een advertentieklik ging, maar nooit de advertentieklikcode zelf. Het IP-adres dat de browser daarbij meestuurt, slaan wij niet op. Dit levert alleen aantallen op, die nooit aan een persoon worden gekoppeld. Alleen als de bezoeker in hetzelfde bezoek een aanvraag verstuurt, gaan de campagnegegevens van zijn binnenkomst (bijvoorbeeld een flyer- of advertentiecampagne) met die aanvraag mee, zodat het Bedrijf weet waar de aanvraag vandaan kwam; daarvoor wordt niets op het apparaat bewaard. Met en zonder toestemming telt het script ook klikken op een link om te bellen, te WhatsAppen of te mailen (alleen het soort link, nooit het telefoonnummer of e-mailadres) en de ingang naar de aanvraagpagina: de plek van de aangeklikte knop of link (header, footer, menu of pagina) en de tekst erop, nooit wat de bezoeker in een formulier invult. Zonder toestemming gaan zulke kliks anoniem mee, eventueel met dezelfde brongegevens als hierboven. Geeft de bezoeker wel toestemming voor statistieken, dan bewaart het script een willekeurig bezoekersnummer in de browser (geen cookie, 30 dagen geldig) en meet het namens het Bedrijf welke pagina's worden bekeken (zonder de rest van het webadres), via welke bron de bezoeker binnenkwam en of hij doorklikt naar de aanvraagpagina. Pas wanneer de bezoeker een aanvraag verstuurt, worden zijn eerdere websitebezoeken aan de aanvraag gekoppeld. Geeft de bezoeker toestemming voor marketing, ook zonder toestemming voor statistieken, dan bewaart het script tijdens het bezoek de advertentieklikcode in de browser, zodat die bij een aanvraag kan worden meegestuurd zoals hierboven beschreven. Wij slaan geen IP-adres, naam of contactgegevens op. Weigert de bezoeker of trekt hij zijn toestemming in, dan wist het script wat het eerder in de browser bewaarde en telt het daarna alleen nog anoniem. De bezoekstatistiek bewaren wij maximaal 13 maanden. Het Bedrijf is hiervoor verwerkingsverantwoordelijke en Knippie verwerker.

Meta-koppeling: een Bedrijf met de module Marketing kan daarnaast de koppeling met Meta (Facebook/Instagram) aanzetten. Knippie stuurt dan als verwerker, in opdracht van dat Bedrijf, gegevens van aanvragen via de aanvraagpagina versleuteld (gehasht) naar Meta Platforms Ireland Ltd., zodat het Bedrijf kan meten welke advertenties werken: e-mailadres, telefoonnummer, naam, postcode en plaats, en later of er een inmeting, offerte of akkoord kwam, met het offertebedrag. Bij de aanvraag zelf gaan ook het IP-adres, de browsergegevens en, als de bezoeker via een advertentie kwam, de advertentieklikcode mee. Knippie bewaart IP-adres en browsergegevens hiervoor 7 dagen en de advertentieklikcode 90 dagen. Hiervoor worden geen cookies of advertentiepixels gebruikt. Het aanvraagformulier vermeldt dit; wie dat niet wil, kan bezwaar maken bij het Bedrijf, dat het delen voor die aanvraag dan stopzet.

Google Ads-koppeling: een Bedrijf met de module Marketing kan ook de koppeling met Google Ads aanzetten. Knippie stuurt dan als verwerker, in opdracht van dat Bedrijf, gegevens van aanvragen via de aanvraagpagina naar Google Ireland Ltd., zodat het Bedrijf kan meten welke advertenties werken: e-mailadres, telefoonnummer en naam versleuteld (gehasht), de postcode, en later of er een inmeting, offerte of akkoord kwam, met het offertebedrag. Als de bezoeker via een Google-advertentie kwam, gaat ook de advertentieklikcode mee; Knippie bewaart die 90 dagen. Hiervoor worden geen cookies of advertentiepixels gebruikt. De aanvraagpagina vermeldt dit vóór de bezoeker verdergaat; wie verdergaat met de aanvraag of het contactformulier verstuurt, geeft daarmee toestemming. Wie dat niet (meer) wil, kan bezwaar maken bij het Bedrijf, dat het delen voor die aanvraag dan stopzet.

Artikel 12: Verwerker namens u

Knippie verwerkt leadgegevens (persoonsgegevens van uw klanten) namens uw Bedrijf. Dit maakt uw Bedrijf verwerkingsverantwoordelijke voor de gegevens van uw klanten, en Knippie verwerker. De voorwaarden van deze verhouding zijn vastgelegd in onze verwerkersovereenkomst, die integraal onderdeel uitmaakt van de overeenkomst.

Artikel 13: Wijzigingen

Wijzigingen in dit privacybeleid worden minimaal 30 dagen vooraf per e-mail medegedeeld. Wezenlijke wijzigingen vereisen hernieuwde toestemming.

Artikel 14: Contact

Voor privacygerelateerde vragen kunt u contact opnemen via privacy@knippie.io.