Privacyverklaring Fintiq

Versie 1.2 - geldig vanaf 26 september 2026

Deze privacyverklaring legt uit hoe Fintiq B.V. persoonsgegevens verwerkt via fintiq.nl, Fintiq Desk, Fintiq Compass, Fintiq Admin, support en de gebruikte koppelingen. Fintiq B.V. is gevestigd aan Ringelpoel 9, 3931 MP Woudenberg en ingeschreven bij de Kamer van Koophandel onder nummer 42094154.

1. Onze rol en die van de klant

Voor de website, verkoop, abonnementen, eigen facturatie, gebruikersaccounts, beveiliging en support bepaalt Fintiq de doeleinden en middelen van de verwerking en is Fintiq verwerkingsverantwoordelijke.

Voor persoonsgegevens die een klant in Desk of Compass invoert, importeert of via een koppeling laat verwerken, handelt Fintiq in opdracht van die klant. De klant is doorgaans verwerkingsverantwoordelijke. Is de klant zelf verwerker voor een opdrachtgever, dan is Fintiq voor die verwerking subverwerker. De feitelijke werkzaamheden bepalen de rol.

De afspraken voor verwerking in opdracht worden vastgelegd in een afzonderlijke verwerkersovereenkomst. Een concept, publicatie of inzage daarvan betekent niet dat een overeenkomst is gesloten. Alleen de daadwerkelijk overeengekomen versie geldt tussen partijen. Deze privacyverklaring vervangt die overeenkomst niet.

2. Contact en verantwoordelijkheid

Voor privacyvragen, een export- of verwijderverzoek en meldingen van een mogelijk datalek kun je terecht bij info@fintiq.nl. Rik van den Berg is binnen Fintiq verantwoordelijk voor de behandeling van privacyvragen, incidenten en verwijderverzoeken. Dit is geen aanwijzing als functionaris voor gegevensbescherming.

3. Welke gegevens verwerken wij en waar komen die vandaan?

Wij ontvangen gegevens rechtstreeks van gebruikers, via door hen geïmporteerde bestanden en via koppelingen die bevoegde gebruikers voor hun organisatie activeren. Technische gegevens ontstaan bij het gebruiken en beveiligen van de diensten. Welke categorieën worden verwerkt hangt af van de gebruikte functies.

• Account en organisatie: naam, e-mailadres, contactgegevens, functie, organisatie, rol, applicatietoegang, uitnodigingen, gebruikersstatus en voorkeuren.
• Bedrijf en betaling: bedrijfsnaam, adres, KvK- en btw-nummer, abonnement, licenties, facturen, betaalstatus en betaalreferenties.
• Authenticatie en beveiliging: aanmeld- en sessiegegevens, autorisatietokens, IP-adres, browser- en technische gegevens, rechten en noodzakelijke beveiligings- en auditregistraties.
• Contact en support: e-mails, supportvragen, demo-aanvragen, notities, foutmeldingen en communicatievoorkeuren.
• Desk: klant- en bedrijfsgegevens, contactpersonen, taken, planning, uren, facturen, vragenlijsten, opdrachtbevestigingen, onboarding en document- en workflowgegevens.
• Compass: klant- en dossiergegevens, geïmporteerde administratieve gegevens, grootboekrekeningen, saldi, mapping, rapportages, werkprogramma's, notities, documenten, jaarrekeningen en export- of deponeringsgegevens.
• Koppelingen: administratie- en opslagreferenties, instellingen en autorisatiegegevens die nodig zijn om de door de klant gekozen verbinding te onderhouden.
• Websitevoorkeuren: noodzakelijke cookies en browseropslag voor aanmelding, beveiliging en voorkeuren; eventuele aanvullende cookies volgens onderdeel 5.

Wanneer een bevoegde gebruiker de Exact Online-koppeling in Compass activeert, autoriseert die gebruiker de toegang bij Exact en selecteert de administratie. Compass ontvangt via de Exact API de identificatie en naam van die administratie, grootboekrekeningen en financiële saldi per boekjaar en periode voor mapping, rapportages en jaarwerk. De huidige koppeling importeert geen afzonderlijke journaalpostregels. OAuth-toegangs- en vernieuwingstokens worden aan de serverzijde bewaard om de verbinding te onderhouden.

Een Exact-export vanuit Desk van bestaande Desk-facturen als verkoopboekingen is nog geen beschikbare verwerking. Voordat deze functie wordt aangeboden, werken wij de beschrijving van de verzonden gegevens en ontvangers bij. Deze verklaring geeft daarvoor geen automatische toestemming of opdracht.

Voer geen onnodige bijzondere persoonsgegevens, strafrechtelijke gegevens of identificatienummers in. Stem een noodzakelijke verwerking daarvan vooraf met Fintiq af.

4. Doeleinden en grondslagen

Voor eigen verwerkingen gebruikt Fintiq de volgende grondslagen:

• Uitvoering van een overeenkomst of stappen op jouw verzoek voorafgaand daaraan: diensten en accounts leveren, abonnementen beheren, demo's verzorgen en overeengekomen support uitvoeren. Als je namens een organisatie handelt en niet zelf contractspartij bent, baseren wij noodzakelijk zakelijk contact en gebruikersbeheer op het gerechtvaardigde belang om die organisatie te bedienen.
• Wettelijke verplichting: onze eigen fiscale administratie en andere verplichtingen die concreet op Fintiq rusten.
• Gerechtvaardigd belang: noodzakelijke beveiliging, misbruikpreventie, afhandeling van zakelijke vragen en het betrouwbaar laten functioneren van de diensten. Wij wegen dit belang af tegen de gevolgen voor betrokkenen en beperken de gegevens tot wat daarvoor nodig is.
• Toestemming: waar toestemming vereist is, bijvoorbeeld voor niet-noodzakelijke cookies of marketing. Die toestemming is afzonderlijk en kan worden ingetrokken.

Bij klantdata bepaalt de klant de rechtmatige grondslag en het doel. Fintiq verwerkt deze gegevens uitsluitend om de overeengekomen diensten en gedocumenteerde instructies uit te voeren. Een verwerkingsinstructie is op zichzelf geen AVG-grondslag voor de klant. Wij gebruiken dossiergegevens niet zonder afzonderlijke rechtmatige afspraak voor andere doeleinden.

5. Cookies en browseropslag

Noodzakelijke cookies en browseropslag ondersteunen aanmelding, sessies, beveiliging, cookiekeuzes en interfacevoorkeuren. Aanvullende analytics- en marketingcookies staan standaard uit en mogen alleen na de vereiste toestemming worden gebruikt. Je kunt je keuze wijzigen via Cookie-instellingen in de footer. De marketingwebsite laadt geen externe trackingpixels of advertentiecookies zonder toestemming.

6. Ontvangers en leveranciers

Wij delen gegevens voor de gebruikte dienst, op instructie van de klant, op een toepasselijke wettelijke verplichting of met vereiste toestemming. De technische diensten en koppelingen omvatten:

• Supabase (Supabase Pte. Ltd.): database, authenticatie, serverfuncties en waar gebruikt bestandsopslag voor Admin, Desk en Compass.
• Lovable: ontwikkeling en publicatie/hosting van de website en applicaties. Dit staat los van klantgerichte externe AI-analyse, die is uitgeschakeld zoals beschreven in onderdeel 11.
• Resend (Plus Five Five, Inc.): service-e-mails, zoals uitnodigingen, activatie-, contact-, demo-, feedback- en ondertekeningsberichten. Daarbij worden de noodzakelijke afzender- en ontvangergegevens, berichtinhoud, bezorggegevens en eventuele bijlagen verwerkt, waaronder jaarrekening-PDF's en ondertekende exemplaren wanneer de betreffende functie wordt gebruikt.
• Microsoft: aanmelding, documentopslag via SharePoint en, waar gebruikt, planning en communicatie via Microsoft-diensten.
• Google: aanmelding of documentopslag via een door de klant gebruikte Google-koppeling.
• Moneybird en Exact Online: administratieve gegevensuitwisseling wanneer de betreffende beschikbare koppeling is geactiveerd.
• Mollie: betalingen, betaalstatus en betaalreferenties.
• Digipoort en de Kamer van Koophandel: door de klant geïnitieerde deponeringen en daarvoor noodzakelijke gegevens.
• Adviseurs, bevoegde instanties en toezichthouders: uitsluitend voor zover noodzakelijk of wettelijk verplicht.

Niet iedere ontvanger is een subverwerker van Fintiq. Een door de klant zelf gecontracteerde externe dienst heeft eigen voorwaarden en privacy-informatie. De rol hangt af van de concrete gegevensstroom. Het leveranciersoverzicht en de verwerkersafspraken worden verder afgerond; deze verklaring houdt niet in dat iedere benodigde leveranciersovereenkomst al is gesloten. Je kunt via info@fintiq.nl informatie vragen over de leveranciers, gegevens en afspraken die op jouw dienstverlening van toepassing zijn.

7. Locaties en doorgifte buiten de EER

De primaire Supabase-databases voor Compass en Admin staan in Ierland (eu-west-1); die voor Desk in Zweden (eu-north-1). Dit betekent niet dat alle verwerking, ondersteuning, e-mail of gekoppelde diensten uitsluitend in de EER plaatsvindt.

Resend bewaart klantgegevens, waaronder berichtinhoud en bezorggegevens, in de Verenigde Staten. Een Europese verzendregio verandert die opslaglocatie niet. De toepasselijke Resend-DPA bevat standaardcontractbepalingen voor internationale doorgifte.

Voor een doorgifte buiten de EER moet een geldige doorgiftebasis en waar nodig aanvullende bescherming aanwezig zijn, bijvoorbeeld een adequaatheidsbesluit of de toepasselijke standaardcontractbepalingen. Fintiq moet dit per leverancier en gegevensstroom vaststellen voordat een nieuwe doorgifte wordt geactiveerd. Het onderzoek en contractuele overzicht voor de bestaande leveranciers worden afgerond; wij geven daarom geen algemene garantie dat alle leveranciersverwerking binnen de EER plaatsvindt. Vraag via info@fintiq.nl naar de toepasselijke waarborgen en beschikbare informatie daarover.

8. Bewaren, exporteren en verwijderen

Klantdata in Desk en Compass, waaronder geïmporteerde Exact-data, wordt bewaard zolang die nodig is voor de actieve dienstverlening en de instructies van de klant. Bestaande specifieke schriftelijke afspraken over export of bewaring blijven gelden voor zover rechtmatig. Dat geldt ook voor een afzonderlijk vooraf meegedeeld bewaarschema voor proefaccounts. De onderstaande standaardregeling verkort zulke afspraken niet stilzwijgend; ontbreekt een specifieke regeling, dan geldt de standaard.

Bij ontbreken van specifiekere afspraken kan de klant gedurende 30 dagen na het einde van de dienstverlening export of teruggave vragen. Fintiq verwijdert klantdata uit actieve systemen uiterlijk aan het einde van die 30 dagen. Tijdig gevraagde teruggave handelen wij vóór die verwijdering af. Een afzonderlijke, geverifieerde verwijderinstructie wordt zonder onnodige vertraging en uiterlijk binnen 30 dagen uitgevoerd. Een noodzakelijke afwijking wordt vóór het verstrijken van de termijn met de klant afgestemd. Export- en verwijderverzoeken lopen via info@fintiq.nl; deze regeling beschrijft een door Fintiq uit te voeren proces en geen belofte van automatische verwijdering.

Wij betrekken relevante documenten, koppelingstokens en andere actieve kopieën bij het verzoek. Het stoppen van een Exact-koppeling beëindigt verdere gegevensuitwisseling, maar verwijdert niet vanzelf eerder geïmporteerde gegevens. Daarvoor kun je afzonderlijk verwijdering vragen. De administratie bij Exact zelf blijft onder de verantwoordelijkheid van de klant en Exact. Tijdelijke OAuth-autorisatiegegevens zijn slechts kort geldig; het verlopen daarvan betekent niet dat iedere technische registratie meteen fysiek is gewist.

De Supabase-projecten gebruiken dagelijkse databaseback-ups met een herstelvenster van zeven dagen. Dit herstelvenster is geen garantie dat iedere kopie op fysieke opslag exact zeven dagen na verwijdering is gewist. Supabase-bestandsobjecten vallen niet onder die databaseback-ups. Back-ups zijn voor herstel en niet voor normaal gebruik; bij herstel moeten eerdere verwijderinstructies opnieuw worden toegepast voordat de gegevens regulier worden gebruikt. Voor eventuele overige kopieën en gekoppelde opslag betrekken wij de betreffende leverancier bij de afhandeling en informeren wij de klant over de toepasselijke cyclus of beperking.

Accountgegevens die niet meer nodig zijn voor een andere actieve klantorganisatie worden bij beëindiging of een geverifieerd verzoek meegenomen. Supportgegevens bewaren wij tot de vraag is afgehandeld en daarna alleen voor zover nodig voor een concrete vervolgactie, klacht of rechtsvordering. Beveiligings- en auditgegevens worden beperkt tot wat nodig is voor beveiliging, incidentonderzoek en aantoonbare rechten of verplichtingen; ze zijn geen grond om volledige klantdossiers onbeperkt te bewaren.

Fintiqs eigen factuur- en administratiegegevens worden bewaard zolang de fiscale bewaarplicht dat verlangt, doorgaans zeven jaar. Deze eigen bewaarplicht geldt niet automatisch voor alle klantdata of geïmporteerde Exact-data. Als een wettelijke verplichting of concrete rechtsvordering verwijdering van bepaalde gegevens verhindert, beperken wij de bewaring tot die gegevens, het noodzakelijke doel en de toepasselijke duur en lichten wij de uitzondering toe.

9. Beveiliging

De applicaties gebruiken beveiligde verbindingen, aanmelding, organisatiegebonden rollen en servercontroles voor gegevens en koppelingen. OAuth-credentials horen bij de serververwerking en worden niet als algemene klantgegevens beschikbaar gesteld. Dagelijkse databaseback-ups ondersteunen herstel zoals toegelicht in onderdeel 8.

Voor productiebeheer schrijven wij persoonlijke accounts met multifactorauthenticatie, toegang beperkt tot bevoegde personen, zorgvuldig apparaat- en geheimenbeheer en opvolging van incidenten voor. Rik van den Berg is de aangewezen productiebeheerder. Fintiq claimt in deze verklaring geen eigen ISO-certificering of afgeronde onafhankelijke beveiligingsaudit.

Meld vermoedens van misbruik, een datalek of kwetsbaarheid via info@fintiq.nl.

10. Jouw rechten en het stoppen van een koppeling

Afhankelijk van de situatie heb je recht op inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar. Je kunt toestemming voor daarop gebaseerde verwerking intrekken. Dat verandert niet de rechtmatigheid van eerdere verwerking; een andere geldige grondslag wordt afzonderlijk beoordeeld. Kennisneming van deze verklaring is geen algemene toestemming voor alle verwerking.

Stuur een verzoek naar info@fintiq.nl en vermeld de organisatie en betrokken gegevens. Wij vragen alleen aanvullende informatie die nodig is om het verzoek en je bevoegdheid veilig vast te stellen. Wij beantwoorden verzoeken in beginsel binnen één maand. Als een wettelijke verlenging nodig is, informeren wij je binnen die maand over de reden en termijn. De uitvoering van een geverifieerde klantinstructie volgt de regeling in onderdeel 8.

Voor klantdata stemmen wij de afhandeling af met de klant die daarvoor verantwoordelijk is. Een betrokkene kan zich ook rechtstreeks tot die organisatie wenden. Voor beëindiging van de Exact-koppeling of verwijdering van de opgeslagen kopie kun je eveneens info@fintiq.nl gebruiken. Intrekken van de autorisatie bij Exact stopt toegang via die autorisatie; eerder geïmporteerde gegevens vallen onder onderdeel 8.

Je kunt een klacht indienen bij de Autoriteit Persoonsgegevens, via autoriteitpersoonsgegevens.nl.

11. AI en geautomatiseerde besluitvorming

Externe AI-analyse van klantgegevens valt buiten de huidige dienstverlening. De bestaande klantgerichte AI-analysefuncties in Compass zijn centraal uitgeschakeld. Deze functies sturen daardoor geen nieuwe klantgegevens naar een externe AI-dienst. Deze actuele blokkade is geen verklaring dat in het verleden nooit AI-verwerking heeft plaatsgevonden. Voor vragen over eerdere verwerking kun je contact opnemen via info@fintiq.nl.

De e-maildienst voert noodzakelijke beveiligings- en misbruikcontroles uit, die modellen kunnen gebruiken. Resend beschrijft een kleine steekproef van e-mails via RunPod op dedicated infrastructuur die Resend beheert. Resend verklaart dat deze klantinhoud niet wordt gebruikt voor modeltraining of fine-tuning. Deze beperkte beveiligingscontrole is toegestaan binnen de e-maildienst en activeert geen financiële of dossieranalyse door Fintiq. Fintiq voert klantdossiers niet in optionele AI-editors of AI-supportprompts in.

Een toekomstige activering van een klantgerichte AI-analyse- of generatiefunctie vereist vooraf een duidelijke beschrijving van doel, betrokken gegevens, provider, bewaring en eventuele internationale doorgifte, passende leveranciersafspraken en een afzonderlijke gedocumenteerde instructie van de bevoegde klant. Het lezen of accepteren van deze privacyverklaring of een verwerkersovereenkomst activeert geen dergelijke AI-functie. Klantdossiers mogen zonder zo'n afzonderlijke rechtmatige afspraak niet voor modeltraining worden gebruikt.

Fintiq neemt geen uitsluitend geautomatiseerde besluiten die rechtsgevolgen hebben of iemand anderszins aanmerkelijk treffen. Mapping, signaleringen en rapportvoorstellen ondersteunen de gebruiker, die verantwoordelijk blijft voor professionele controle.

12. Wijzigingen

De actuele verklaring staat op fintiq.nl/privacy. Wij vermelden de versie en ingangsdatum en informeren klanten op passende wijze over materiële wijzigingen. Een nieuwe verklaring wijzigt een eerder gesloten verwerkersovereenkomst niet automatisch.