Versie 1.5, geldig vanaf 23 juli 2026 · KontoCSV · https://kontocsv.de
Deze kennisgeving informeert u overeenkomstig art. 12 – 14 AVG en § 25 TDDDG over het type, de omvang en het doel van de verwerking van persoonsgegevens bij het gebruik van KontoCSV.
1 verantwoordelijke instantie
Tom Abraham
Riemekestraße 118 · 33102 Paderborn · Duitsland
E-mail support@kontocsv.de
(Momenteel verwerken < 20 personen regelmatig persoonsgegevens - overeenkomstig artikel 38 BDSG hoeft er geen functionaris voor gegevensbescherming te worden aangesteld. Als u vragen heeft, kunt u rechtstreeks contact opnemen met de verantwoordelijke persoon.)
2 definities
De definities uit artikel 4 DSGVO zijn van toepassing (bijvoorbeeld “verwerking”, “persoonsgegevens”).
3 Hosting en infrastructuur
| dienst | Locatie | Doel | Wettelijke basis | Contract/verzekering |
|---|---|---|---|---|
| Supabase (Supabase Inc.) | eu-central-1 (Frankfurt) | Authenticatie, database, jobs en private objectopslag | Art. 6 lid 1 onder b of Art. 6 lid 1 onder f AVG | Supabase Data Processing Terms inclusief standaardcontractbepalingen |
| Google Cloud Storage (Google Ireland Ltd.) | Regio europe-west3, Frankfurt am Main | Tijdelijke versleutelde beschikbaarstelling van PDF-bestanden, documentchunks en technisch vereiste tussenformaten voor AI-ondersteunde documentverwerking; geen permanente documentopslag | Art. 6 lid 1 onder b AVG | Google Cloud Data Processing Addendum inclusief standaardcontractbepalingen |
| Google Vertex AI / Gemini (Google Ireland Ltd.) | Regio europe-west3, Frankfurt am Main | KI-gestützte Extraktion und Strukturierung hochgeladener PDF-Dokumente | Art. 6 lid 1 onder b AVG | Google Cloud Data Processing Addendum inclusief standaardcontractbepalingen |
| Render (Render Inc.) | Frankfurt | Gebruik van de Python-backend en documentverwerking | Kunst. 6 Paragraaf. 1 f DSGVO | Data Processing Agreement en standaardcontractbepalingen |
| Stripe (Stripe Payments Europe Ltd.) | Ierland | Betalingsverwerking | Kunst. 6 Paragraaf. 1 b | Zelfverantwoordelijke dienst |
| Vercel Inc. | Frankfurt, function-regio fra1 | Frontend-hosting en server-side functies | Kunst. 6 Paragraaf. 1 f DSGVO | Data Processing Agreement, standaardcontractbepalingen en EU-US Data Privacy Framework |
| Resend Inc. | Ierland (eu-west-1) | Transactionele e-mails (registratie, wachtwoord opnieuw instellen) | Kunst. 6 Paragraaf. 1 b | DPA + SCC |
| PostHog Inc. | EU (Frankfurt, AWS eu-central-1) | Webanalyses, paginaweergaven, klikken | Kunst. 6 Paragraaf. 1 f | DPA + SCC |
| Sentry (Functionele Software Inc.) | EU (Frankfurt) | Foutregistratie en technische stabiliteitsanalyse van het platform | Kunst. 6 Paragraaf. 1 f DSGVO | Verwerkersovereenkomst (DPA) + Standaardcontractbepalingen (SCC) |
Webanalyse gebeurt cookieless, zonder cookies of lokale opslag (PostHog cookieless_mode). Er worden geen analytische cookies geplaatst, dus er is geen toestemmingsbanner nodig.
Google Cloud Storage wordt alleen gebruikt in het verwerkingspad, met name voor tijdelijke uploads, het opdelen van grote bestanden en vereiste tussenformaten. Automatische definitieve verwijdering vindt uiterlijk binnen zeven dagen plaats; in het normale verwerkingspad kan dit eerder gebeuren.
4 Verwerkingsdoeleinden en rechtsgrondslagen
| Verwerking | Gegevens | Doel | Wettelijke basis |
|---|---|---|---|
| Toegang tot de website | IP-adres, user-agent, tijd, verwijzer | Technische implementatie- en beveiligingslogboeken | Kunst. 6 Paragraaf. 1 f |
| Registratie/Inloggen | E-mail, wachtwoordhash, sessietoken | Uitvoering van contracten | Kunst. 6 Paragraaf. 1 b |
| PDF upload & AI-analyse | PDF-inhoud, metadata, tijdelijke chunks en vereiste tussenformaten | Versleutelde tijdelijke overdracht en verwerking voor uitvoering van de overeenkomst; geen permanente opslag in Google Cloud Storage, automatische definitieve verwijdering uiterlijk binnen zeven dagen | Kunst. 6 Paragraaf. 1 b |
| Betaling | Naam, e-mailadres, kaartgegevens | Uitvoering van contracten | Kunst. 6 Paragraaf. 1 b |
| Realtime synchronisatie/authenticatie (Supabase) | Apparaattoken, app-ID, gebeurtenisgegevens | Live status en pushmeldingen | Kunst. 6 Paragraaf. 1 f |
| Ondersteuningscontact | E-mail, bericht | Het verwerken van uw aanvraag | Kunst. 6 Paragraaf. 1 f |
| Webanalyse (PostHog, zonder cookies) | Geanonimiseerde gebruikershash, paginaweergaven, klikken | Productverbetering & conversieoptimalisatie | Kunst. 6 Paragraaf. 1 f |
| Foutlogboeken (Sentry) | technische foutgegevens, browsertype, geanonimiseerde IP | Stabiliteit, foutanalyse en technische verbetering van het platform | Kunst. 6 Paragraaf. 1 f DSGVO |
| Cookies/lokale opslag | Sessie- en CSRF-tokens | Aanmeldingspersistentie | § 25 Paragraaf 2 nr. 2 TDDDG i. V. met art. 6 Paragraaf. 1 f |
Sentry wordt uitsluitend gebruikt voor technische foutanalyse. Persoonlijke gegevens worden niet actief verzonden.
Bij foutcontrole wordt de inhoud van geüploade documenten niet opgeslagen. Financiële gegevens, PDF-inhoud en transactiegegevens worden nooit doorgegeven aan foutbewakingsdiensten. Alleen metagegevens over technische fouten worden verwerkt.
Er worden geen analyse- of marketingcookies geplaatst. De webanalyse is cookieless (PostHog cookieless_mode) zonder cookies of lokale opslag; een toestemmingsbanner is dus niet nodig.
5 AI-ondersteunde verwerking en overdrachten naar derde landen
Geüploade PDF-bestanden worden versleuteld verwerkt binnen de geconfigureerde EU-regio's. De Python-backend verwerkt jobs op Render in Frankfurt.
- Google Cloud Storage: Voor het Gemini-verwerkingspad worden PDF-bestanden of daaruit gegenereerde chunks tijdelijk beschikbaar gesteld in Google Cloud Storage in regio europe-west3, Frankfurt am Main. Google Cloud Storage dient alleen voor tijdelijke verwerking, het opdelen van grote bestanden en vereiste tussenformaten.
- Google Gemini / Vertex AI: De AI-ondersteunde extractie en structurering vindt plaats via Vertex AI of Gemini in regio europe-west3, Frankfurt am Main. De basis is het Google Cloud Data Processing Addendum inclusief standaardcontractbepalingen.
- Andere AI-aanbieders: Andere AI-aanbieders worden alleen voor klantdocumenten gebruikt als zij in het productieklantpad zijn geactiveerd en in de lijst met subverwerkers zijn gedocumenteerd.
Voor de verwerking geldt:
- Bewaartermijn: Originele bestanden, chunks en tussenformaten worden uiterlijk binnen zeven dagen automatisch definitief verwijderd; Google Cloud Storage wordt niet gebruikt voor permanente archivering van klantdocumenten.
- Geautomatiseerde beslissingen: geen beslissingen in de zin van art. 22 AVG; de extractie wordt technisch gevalideerd en moet inhoudelijk door de gebruiker worden gecontroleerd.
Supabase wordt gebruikt voor authenticatie, database, jobs en private objectopslag in de regio eu-central-1 (Frankfurt).
6 bewaartermijnen
| Gegevenstype | Verwijdering/bewaring |
|---|---|
| Serverlogboeken | 30 dagen |
| PDF-bestanden, tijdelijke GCS-uploads, documentchunks en tussenformaten | automatische definitieve verwijdering uiterlijk binnen zeven dagen, doorgaans eerder na voltooiing van de verwerking |
| Contract- en factuurgegevens | 10 jaar (HGB, AO) |
| Ondersteunings-e-mails | ≤ 1 jaar na afstuderen |
| Sessietokens | Verwijdering bij accountverwijdering of opt-out |
7 Technische & organisatorische maatregelen (TOM)
•Versleuteling tijdens overdracht en opslag volgens de standaard van de aanbieder
•Rolgebaseerde toegangsbeperkingen voor administratie- en supportprocessen
•Tijdelijke verwerking en automatische verwijderingsroutines
•Regelmatige technische veiligheidscontroles en dependency-scans
•Toezicht op subverwerker (opzegtermijn van 15 dagen)
8 Uw rechten (Art. 15 – 22 DSGVO)
U kunt te allen tijde verzoeken om informatie, correctie, verwijdering, beperking, gegevensoverdraagbaarheid of bezwaar.
Zelfbediening in het dashboard:
- Gegevens exporteren (Art. 20): Onder Instellingen → “Mijn gegevens exporteren” kunt u al uw gegevens downloaden als JSON-bestand.
- Account verwijderen (artikel 17): Onder Instellingen → “Account verwijderen” kunt u uw account en alle bijbehorende gegevens onherroepelijk verwijderen.
U kunt ons ook per e-mail bereiken: support@kontocsv.de
U heeft ook het recht een klacht in te dienen bij de bevoegde toezichthoudende autoriteit voor gegevensbescherming in Noordrijn-Westfalen: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.
9 Intrekking van toestemming
U kunt op elk moment de verwerking die op uw toestemming is gebaseerd, informeel intrekken. De rechtmatigheid van eerdere verwerkingen blijft onaangetast.
10 Verplichting om gegevens te verstrekken
Voor registratie, PDF upload en betaling zijn e-mailadres, wachtwoord en betalingsgegevens vereist. Zonder deze gegevens is het niet mogelijk om gebruik te maken van de betaalde diensten.
11 Wijzigingen in deze Verklaring
Wij zullen deze verklaring inzake gegevensbescherming bijwerken zodra procedures, dienstverleners of juridische situaties veranderen. Huidige versie: https://www.kontocsv.de/nl/privacy · Versie 1.5, geldig vanaf 23 juli 2026.