Privacyverklaring

Craftbon B.V. is verwerkingsverantwoordelijke voor persoonsgegevens die via deze website en het platform worden verwerkt.

Adres: zie onze contactpagina · KvK: 91307058 · BTW: NL004885690B30. Voor vragen of verzoeken kun je mailen naar privacy@craftbon.nl.

Account-gegevens: naam, e-mail, telefoon, wachtwoord (gehashed met bcrypt), KvK- en BTW-nummer van je bedrijf.

Werkgegevens: door jou ingevoerde klantgegevens, offertes, facturen, werkbonnen, foto's, en Wkb-dossiers.

Technische gegevens: IP-adres bij login, browseragent voor security-detectie, en server-logs (geanonimiseerd na 30 dagen).

Wij gebruiken géén Google Analytics of cookies voor tracking. Onze enige cookie is een sessie-cookie voor inlog.

Uitvoering overeenkomst: om jou de dienst te leveren waar je voor betaalt (verwerking offertes, facturen, etc.).

Wettelijke plicht: belastingadministratie (7 jaar bewaarplicht), AVG-verzoeken, audit-logs.

Gerechtvaardigd belang: fraude-detectie, security-monitoring, productverbetering op basis van geaggregeerde, niet-herleidbare data.

Subverwerkers: AWS Frankfurt (hosting), Neon (database), Mollie (betalingen), Postmark (e-mail), Clerk (authenticatie). Met elk van hen hebben we een verwerkersovereenkomst.

Wij delen GEEN gegevens met advertentienetwerken, data-brokers of derden voor marketingdoeleinden.

Bij wettelijke verplichting (bv. opsporingsverzoek) verstrekken we alleen het strikt minimaal noodzakelijke.

Account-gegevens: zolang je account actief is + 30 dagen na opzegging (voor undo-window).

Facturen en boekhouddata: 7 jaar (Wet op de inkomstenbelasting), daarna verwijderd.

Server-logs: 30 dagen, daarna geanonimiseerd of verwijderd.

Foto's en Wkb-bestanden: zolang het project actief is + 10 jaar (Bouwbesluit). Op verzoek eerder te verwijderen.

Inzage, correctie en verwijdering: je kunt deze rechten zelf uitoefenen via Instellingen → Privacy in het platform, of via privacy@craftbon.nl.

Dataportabiliteit: één knop in Instellingen levert een volledige ZIP met al je data in PDF + CSV + UBL-formaat.

Bezwaar en beperking: je kunt bezwaar maken tegen verwerking op grond van gerechtvaardigd belang.

Klacht: bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Versleuteling: alle data is versleuteld in rust (AES-256) en tijdens transport (TLS 1.3).

Toegangscontrole: 2FA verplicht voor admins, RBAC per rol, audit-log van elke wijziging.

Servers: AWS eu-central-1 (Frankfurt). Data verlaat de EU niet.

Penetration tests: jaarlijks door externe partij. ISO 27001-certificering verwacht Q3 2026.

Wij kunnen deze privacyverklaring aanpassen. Bij materiële wijzigingen sturen we je een e-mail en tonen we een melding in de app, minimaal 30 dagen voordat de wijziging ingaat.

Laatst bijgewerkt: 1 mei 2026.