Privacybeleid

Dit privacybeleid legt uit welke persoonsgegevens Ekkora verwerkt, waarom wij dat doen en welke rechten u heeft. We proberen het kort en concreet te houden — als iets onduidelijk is, mailt u ons op info@ekkora.nl.

1. Wie wij zijn

Ekkora is een Nederlandse onderneming, gevestigd in Den Haag, die sector-specifieke AI-producten bouwt. Dit beleid geldt voor de holdingwebsite ekkora.nl en voor het product Ekkora BI (te bereiken via bi.ekkora.nl) waarmee administratie- en accountantskantoren operationele inzichten krijgen uit hun eigen systemen.

Verwerkingsverantwoordelijke: Ekkora · Den Haag, Nederland · [VERIFY: definitieve handelsnaam, KvK-nummer en BTW-ID worden toegevoegd zodra de registratie bij de Kamer van Koophandel is afgerond].

Wij hebben op dit moment geen Functionaris Gegevensbescherming (FG) aangesteld. Dit is voor onze schaal en activiteiten niet verplicht onder de AVG. U kunt voor alle privacyvragen direct contact opnemen via info@ekkora.nl.

2. Op wie dit beleid van toepassing is

Dit beleid is van toepassing op:

• Websitebezoekers van ekkora.nl en bi.ekkora.nl.
• Contactpersonen van klantkantoren die met ons in gesprek zijn over de dienst of die de dienst gebruiken.
• Sollicitanten die per e-mail reageren op een vacature of zich spontaan melden.

Belangrijk onderscheid: wanneer een klantkantoor Ekkora BI gebruikt om hun eigen administratie te analyseren, treedt het kantoor zelf op als verwerkingsverantwoordelijke voor de persoonsgegevens van hun klanten en medewerkers. Ekkora is dan verwerker. Voor die rol gelden de afspraken in onze Verwerkersovereenkomst, niet dit privacybeleid.

3. Welke persoonsgegevens wij verwerken

3.1 Als u onze website bezoekt

• Technische gegevens: IP-adres, browsertype, datum en tijd van het bezoek. Deze worden door onze webserver (Caddy) en omgekeerde proxy in geanonimiseerde vorm in serverlogs opgeslagen om de website beschikbaar te houden en misbruik te herkennen.
• Voorkeursinstellingen: uw taalkeuze (NL/EN) wordt opgeslagen inlocalStorage in uw browser. Dit is geen cookie en wordt niet door Ekkora gelezen.

Wij gebruiken geen tracking-cookies, geen Google Analytics, geen advertentiepixels en geen andere derde-partij analytics op onze marketingpagina's. U hoeft daarom ook geen cookiebanner weg te klikken.

3.2 Als u contact met ons opneemt

• Uw naam, e-mailadres en wat u ons schrijft.
• Als u via Calendly een gesprek inplant: de gegevens die u bij Calendly invult — Calendly verwerkt die volgens hun eigen privacybeleid.

3.3 Als uw kantoor klant wordt van Ekkora BI

• Accountgegevens: zakelijke contactgegevens, inlogcredentials van de gebruikers binnen uw kantoor, en (geëncrypteerde) API-tokens van de systemen waarmee u Ekkora koppelt (Exact Online en — vanaf Q3 2026 — Twinfield).
• Operationele klantdata: financiële en urenadministratiegegevens die wij read-only ophalen uit uw bronsysteem. Hierin kunnen persoonsgegevens voorkomen van uw medewerkers en uw eindklanten. Deze data wordt vóór elke AI-analyse gepseudonimiseerd (zie sectie 5).
• Gebruikslogs: welke schermen geopend zijn, welke acties zijn uitgevoerd, technische foutmeldingen — om de dienst te kunnen onderhouden.

4. Doelen en grondslagen

Wij verwerken persoonsgegevens uitsluitend voor de hieronder genoemde doelen:

• Beschikbaar houden van de website — grondslag: gerechtvaardigd belang (artikel 6 lid 1 sub f AVG); ons belang om de site online en veilig te houden weegt zwaarder dan het beperkte privacy-effect van een IP-adres in een serverlog.
• Reageren op uw bericht of geplande afspraak — grondslag: uitvoering van precontractuele maatregelen of, na de overeenkomst, uitvoering van die overeenkomst (artikel 6 lid 1 sub b AVG).
• Leveren van de dienst Ekkora BI — grondslag: uitvoering van de overeenkomst met uw kantoor (artikel 6 lid 1 sub b AVG).
• Facturatie, boekhouding en wettelijke administratieplicht — grondslag: wettelijke verplichting (artikel 6 lid 1 sub c AVG).
• Beveiliging, misbruik-detectie en het oplossen van incidenten — grondslag: gerechtvaardigd belang en wettelijke verplichting.
• Sollicitaties — grondslag: precontractuele maatregelen; we bewaren uw gegevens maximaal 4 weken na afronding, tenzij u toestemt voor een langere bewaartermijn (maximaal 1 jaar).

Wij verwerken geen bijzondere categorieën van persoonsgegevens(zoals gezondheid, etniciteit of politieke voorkeur) en wij voeren geen geautomatiseerde besluitvorming met rechtsgevolgen uit. De rapporten die Ekkora BI produceert zijn adviserend; het kantoor neemt de beslissingen.

5. Anonimisering vóór externe analyse

Voor klanten van Ekkora BI is dit het belangrijkste onderdeel om te lezen.

Wij gebruiken een groot taalmodel (Anthropic Claude) voor analyse. Het taalmodel wordt door Anthropic in de Verenigde Staten gehost. Om te voorkomen dat persoonsgegevens van uw klanten of medewerkers ooit de EU verlaten, wordt elke analyse-aanvraag eerst door onze anonimiseringslaag gehaald. Concreet:

• E-mailadressen, IBAN, BTW-nummers, KvK-nummers, BSN (met elfproef), Nederlandse telefoonnummers, postcodes, IP-adressen en herkenbare Nederlandse namen worden door reguliere expressies en een Nederlandse namenlijst gedetecteerd.
• Elke gedetecteerde waarde wordt vervangen door een deterministisch token (bijv.Person_047, Email_001). Het taalmodel ziet alleen die tokens, nooit de oorspronkelijke waarde.
• De koppeling tussen token en oorspronkelijke waarde wordt in onze database opgeslagen als SHA-256 hash, niet als platte tekst. Plaintext PII komt nooit in deze tabel terecht.
• Mappings vervallen automatisch 90 dagen na het laatste gebruik.
• De architectuur dwingt dit af: een testsuite (tests/test_anthropic_client_isolation.py) faalt de build als ergens in de code een Claude-aanroep is die niet via de anonimiseringswrapper of een expliciet gedocumenteerde uitzondering loopt. De huidige uitzonderingen werken uitsluitend op publieke webdata (Brave Search), nooit op klantdata.

Dit beschouwen wij als pseudonimisering in de zin van artikel 4 AVG. Het ontslaat ons niet van de AVG-verplichtingen, maar het beperkt het privacy-risico van de doorgifte aan Anthropic aanzienlijk.

6. Bewaartermijnen

• Serverlogs: maximaal 30 dagen, daarna automatisch opgeschoond.
• Contactaanvragen / e-mailwisseling: zo lang als nodig om uw vraag af te handelen en daarna maximaal 12 maanden in ons archief.
• Klantaccountgegevens: gedurende de looptijd van de overeenkomst. Na beëindiging worden ze binnen 90 dagen verwijderd, behoudens onze wettelijke bewaarplichten (zie hieronder).
• Geanalyseerde operationele data: zo lang als nodig voor de rapportage, en hooguit 90 dagen na de laatste analyse.
• Anonimiserings-mappings: 90 dagen na laatste gebruik, daarna automatische opschoning.
• Facturen en boekhouding: 7 jaar (wettelijke bewaarplicht art. 52 AWR).
• Sollicitatiegegevens: 4 weken na afronding van de procedure (of 1 jaar na uw toestemming).

7. Ontvangers en sub-verwerkers

Wij verkopen uw gegevens niet en geven ze niet door voor marketingdoeleinden. Voor het leveren van de dienst schakelen wij de volgende sub-verwerkers in:

• Hetzner Online GmbH (Duitsland) — hosting van onze applicatie en database. Datacenter in Falkenstein/Nürnberg. Hetzner heeft een Article-28 verwerkersovereenkomst en accepteert uitsluitend Duitse gerechtelijke verzoeken.
• Supabase Inc. (database-platform op AWS) — productiedatabase [VERIFY: bevestig of de gekozen regio eu-central-1 (Frankfurt) is]. Supabase is een Amerikaanse onderneming; er gelden Standard Contractual Clauses (SCC's) en in voorkomend geval bescherming onder het EU-US Data Privacy Framework. Door de Amerikaanse moederonderneming kan in theorie de US CLOUD Act van toepassing zijn.
• Anthropic, PBC (Verenigde Staten) — leverancier van het Claude taalmodel. Krijgt uitsluitend gepseudonimiseerde data (zie sectie 5). Verwerking onder hun Article-28 DPA en SCC's.
• Brave Software, Inc. (Verenigde Staten / EU) — zoekmachine die wij gebruiken voor publieke webresearch (sectorpatronen). Krijgt geen klantdata.
• Resend Inc. (Verenigde Staten) — verzending van transactionele e-mail (bevestigingen, waarschuwingen). DPF-gecertificeerd, SCC's en Article-28 DPA. [VERIFY: alleen vermelden als Resend daadwerkelijk geconfigureerd is — anders verwijderen].
• Calendly LLC (Verenigde Staten) — voor het inplannen van afspraken via onze website. Calendly verwerkt rechtstreeks de gegevens die u in hun formulier invult.

Een actuele lijst inclusief verwerkingsdoel en locatie staat in Bijlage B van onze Verwerkersovereenkomst.

8. Doorgifte buiten de Europese Economische Ruimte

Een aantal van onze sub-verwerkers is in de Verenigde Staten gevestigd of heeft een Amerikaanse moederonderneming. Doorgifte vindt plaats op grond van:

• de Standaardcontractbepalingen (SCC's) van de Europese Commissie, en — waar van toepassing —
• het EU-US Data Privacy Framework (voor partijen die daaronder zijn gecertificeerd).

Onze anonimiseringslaag (sectie 5) is een aanvullende technische maatregel om de feitelijke blootstelling van persoonsgegevens bij doorgifte tot een minimum te beperken.

9. Beveiliging

Wij nemen onder meer de volgende technische en organisatorische maatregelen:

• TLS (HTTPS) voor al het verkeer; automatische certificaatuitgifte via Let's Encrypt.
• Inloggegevens beschermd via bcrypt, JWT-tokens met token-versionering voor directe revocatie.
• API-tokens van klantsystemen versleuteld at rest met Fernet (AES-128-CBC + HMAC-SHA256).
• Database-toegang per klant geïsoleerd via tenant-checks op elk endpoint.
• IP-allowlist op de huidige private-beta-omgeving van Ekkora BI.
• Geautomatiseerde security-checks bij elke deploy (dependency-scanning, secret-detection).
• Toegang tot productiesystemen is beperkt tot de oprichter; alle wijzigingen lopen via versiebeheer en code-review.

Een volledige beschrijving van technische en organisatorische maatregelen (TOM's) staat in Bijlage A van onze Verwerkersovereenkomst.

10. Uw rechten

U heeft op grond van de AVG het recht om:

• uw gegevens in te zien (artikel 15);
• onjuiste gegevens te laten corrigeren (artikel 16);
• uw gegevens te laten verwijderen (artikel 17);
• de verwerking te laten beperken (artikel 18);
• uw gegevens in een gestructureerd formaat te ontvangen (artikel 20);
• bezwaar te maken tegen verwerking op basis van gerechtvaardigd belang (artikel 21);
• een gegeven toestemming weer in te trekken.

Een verzoek stuurt u naar info@ekkora.nl. We reageren binnen één werkdag en handelen het verzoek af binnen één maand (bij complexe verzoeken kan deze termijn met twee maanden worden verlengd, conform artikel 12 AVG).

11. Cookies

Wij plaatsen alleen strikt-noodzakelijke cookies die nodig zijn om de website en het product te laten werken (bijvoorbeeld een sessie-cookie nadat u bent ingelogd in het klantportaal). Voor deze cookies is geen toestemming vereist onder artikel 11.7a Telecommunicatiewet. Op onze marketingpagina's plaatsen wij geen tracking-cookies.

12. Klachten

Heeft u een klacht over hoe wij met uw gegevens omgaan? Wij horen het graag — eerst direct, dan kunnen wij het rechtzetten. U heeft daarnaast het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

13. Wijzigingen

Wij kunnen dit privacybeleid van tijd tot tijd aanpassen — bijvoorbeeld wanneer wij een nieuwe sub-verwerker toevoegen of wanneer de wet wijzigt. De meest recente versie staat altijd op deze pagina, met de datum ‘Laatst bijgewerkt’ bovenaan. Materiële wijzigingen kondigen wij vooraf aan bij klanten.

14. Contact

E-mail: info@ekkora.nl
Beveiliging / responsible disclosure: security@ekkora.nl
Post: Ekkora, Den Haag, Nederland · [VERIFY: vestigingsadres invullen zodra de KvK-registratie afgerond is].