Privacyverklaring Summas

1. Wie zijn wij

Summas is een dienst van [naam onderneming / handelsnaam], gevestigd aan [adres], ingeschreven bij de Kamer van Koophandel onder nummer [KvK-nummer] (hierna: ‘Summas’, ‘wij’ of ‘ons’).

Wij zijn de verwerkingsverantwoordelijke in de zin van de Algemene verordening gegevensbescherming (AVG). Vragen over privacy kun je stellen via privacy@summas.nl.

2. Welke gegevens verwerken wij

• Accountgegevens: je e-mailadres en de naam die je opgeeft.
• Inlog- en beveiligingsgegevens: eenmalige inlogcodes, de koppeling met je authenticator-app (tweestapsverificatie), sessiegegevens, IP-adres, browser- en apparaatinformatie en tijdstippen van inloggen.
• Huishoudgegevens: de naam van je huishouden, wie lid is, de rol en rechten per lid en uitnodigingen (inclusief het e-mailadres van de uitgenodigde).
• Financiële gegevens die je zelf importeert: per transactie onder meer datum, bedrag, af/bij, omschrijving, mededelingen, naam en rekeningnummer (IBAN) van de tegenpartij, transactiesoort en saldo, en de rekeningnummers van je eigen rekeningen.
• Gegevens die je zelf toevoegt: categorieën, trefwoordregels, notities, budgetten en instellingen zoals de startdag van je periode.
• Technische gegevens en logbestanden die nodig zijn voor de werking en beveiliging van de dienst, waaronder een auditlog van wijzigingen in rechten, categorieën en regels.

Wij vragen niet om bijzondere persoonsgegevens. Transactieomschrijvingen kunnen daar wel indirect iets over zeggen (bijvoorbeeld een betaling aan een zorgverlener). Wij gebruiken die informatie uitsluitend om de dienst aan jou te leveren en analyseren haar niet voor andere doeleinden.

3. Waarvoor en op welke grondslag

• Het leveren van de dienst (account, import, categoriseren, overzichten, huishouden en rechten): uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG).
• Beveiliging, voorkomen van misbruik en fraude (waaronder tweestapsverificatie, CAPTCHA en logbestanden): gerechtvaardigd belang (art. 6 lid 1 sub f AVG).
• Het versturen van servicemails (inlogcodes, uitnodigingen, belangrijke wijzigingen): uitvoering van de overeenkomst.
• Slimme categorievoorstellen met behulp van AI (wanneer beschikbaar en door jou ingeschakeld): toestemming (art. 6 lid 1 sub a AVG), die je altijd kunt intrekken.
• Het voldoen aan wettelijke verplichtingen: wettelijke verplichting (art. 6 lid 1 sub c AVG).

Wij verkopen je gegevens nooit, gebruiken ze niet voor advertenties en maken geen profielen voor marketing.

4. Gegevens van anderen en minderjarigen

Geïmporteerde transacties bevatten gegevens van tegenpartijen, zoals namen en rekeningnummers. Die verwerken we alleen als onderdeel van jouw administratie. Nodig je gezinsleden uit, dan zorg je ervoor dat zij daarmee instemmen.

Summas is niet bedoeld voor kinderen jonger dan 16 jaar die zelfstandig een account aanmaken. Kinderen kunnen alleen deelnemen via een uitnodiging van het hoofd van het huishouden, die daarbij als ouder of voogd toestemming geeft. Het kind-profiel toont uitsluitend geaggregeerde uitgaven per hoofdcategorie.

5. Slimme categorievoorstellen (AI)

Wanneer deze functie beschikbaar is en je haar inschakelt, sturen wij per transactie alleen de gegevens die nodig zijn voor een voorstel (zoals de naam van de tegenpartij, de omschrijving en het bedrag) naar een AI-dienstverlener. Rekeningnummers en kaartnummers worden vooraf verwijderd. Een voorstel telt pas mee nadat jij het hebt bevestigd. De dienstverlener mag deze gegevens volgens de met hem gemaakte afspraken niet gebruiken om eigen modellen te trainen.

6. Met wie delen wij gegevens

Wij schakelen de volgende dienstverleners (verwerkers) in. Met hen zijn verwerkersafspraken gemaakt; zij mogen je gegevens alleen gebruiken om hun dienst aan ons te leveren.

• Supabase — database en authenticatie; opslag in Londen (Verenigd Koninkrijk).
• Vercel — hosting van de website en app.
• Resend — verzending van e-mails (inlogcodes en uitnodigingen).
• Cloudflare — CAPTCHA (Turnstile) ter bescherming tegen geautomatiseerd misbruik bij registreren en inloggen.
• Anthropic — AI-categorievoorstellen, alleen als je die functie gebruikt.
• TransIP — domeinnaam en DNS.

Voor het Verenigd Koninkrijk geldt een adequaatheidsbesluit van de Europese Commissie. Bij doorgifte naar de Verenigde Staten baseren wij ons op het EU-VS Data Privacy Framework en/of de standaardcontractbepalingen van de Europese Commissie. [Per verwerker controleren en aanvullen.]

Daarnaast verstrekken wij gegevens alleen als wij daartoe wettelijk verplicht zijn.

7. Hoe lang bewaren wij gegevens

• Account-, huishoud- en financiële gegevens: zolang je account actief is. Verwijder je je account of huishouden, dan worden de gegevens binnen 30 dagen verwijderd; in back-ups kunnen ze nog maximaal 90 dagen aanwezig zijn.
• Logbestanden voor beveiliging: maximaal 90 dagen, tenzij langer nodig voor het onderzoeken van een incident.
• Auditlog van wijzigingen binnen een huishouden: zolang het huishouden bestaat.
• Uitnodigingen: zijn 7 dagen geldig en worden daarna niet meer gebruikt.

[Bewaartermijnen laten toetsen, onder meer aan de back-upinstellingen van Supabase.]

8. Beveiliging

• Inloggen zonder wachtwoord met een eenmalige code, gecombineerd met verplichte tweestapsverificatie.
• Toegangsregels in de database zelf (row level security): zonder tweestapsverificatie is geen enkele financiële gegeven opvraagbaar en ieder lid ziet alleen wat het hoofd toestaat.
• Versleutelde verbindingen (TLS) en versleutelde opslag bij onze hostingpartijen.
• Uitnodigingscodes worden uitsluitend versleuteld (gehasht) opgeslagen.
• Een strikt beveiligingsbeleid voor de website (Content Security Policy) en geen scripts van derden voor tracking.

Ontdek je een beveiligingsprobleem? Meld het via privacy@summas.nl.

9. Cookies en lokale opslag

Summas gebruikt alleen functionele cookies die nodig zijn om je ingelogd te houden en de dienst veilig te laten werken. Wij gebruiken geen analytische of tracking-cookies en geen advertentiecookies. Daarnaast bewaren wij in je browser enkele voorkeuren, zoals of je de rondleiding al hebt gezien. Cloudflare Turnstile kan technische gegevens van je browser verwerken om te beoordelen of je een mens bent.

10. Jouw rechten

Je hebt het recht op inzage, rectificatie, verwijdering, beperking van de verwerking, overdraagbaarheid van je gegevens en het recht om bezwaar te maken. Gegeven toestemming kun je altijd intrekken. Stuur je verzoek naar privacy@summas.nl; wij reageren binnen één maand. Wij kunnen je vragen je identiteit te bevestigen.

Ben je het niet eens met hoe wij met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

11. Wijzigingen

Wij kunnen deze privacyverklaring aanpassen. Bij belangrijke wijzigingen informeren wij je vooraf per e-mail of in de app. De datum en versie staan bovenaan dit document.