Privacybeleid

Dit privacybeleid legt uit hoe Lowkey Automation persoonsgegevens verwerkt bij het gebruik van het adviseursportaal op app.lowkeyautomation.com(hierna: “het Portaal”). Het Portaal is een betaalde dienst voor belastingadvies- en accountancykantoren.

1. Onze rol: verantwoordelijke en verwerker

Voor de gegevens van het Portaal hebben we twee verschillende rollen. Voor de account-, contact- en facturatiegegevens van het kantoor zelf zijn wij verwerkingsverantwoordelijke. Voor de gegevens die een kantoor via het Portaal verwerkt over zijn eigen clienten zijn wij verwerker: het kantoor is dan de verwerkingsverantwoordelijke en wij handelen uitsluitend op zijn instructie. Voor die clientdata sluiten we met het kantoor een verwerkersovereenkomst (zie paragraaf 9).

Lowkey Automation, een eenmanszaak gevestigd te Amsterdam, ingeschreven bij de Kamer van Koophandel onder nummer 42057580 (btw NL005462937B30). Contact: privacy@lowkeyautomation.com.

2. Welke gegevens verwerken we?

• Account- en kantoorgegevens: naam, kantoornaam (optioneel), KvK-nummer (optioneel), btw-nummer, land, e-mailadres en een wachtwoord (uitsluitend versleuteld als hash opgeslagen, nooit leesbaar).
• Facturatiegegevens: de gegevens die nodig zijn om je te factureren, per gebruik of, voor het Kennisbank-abonnement, per actieve gebruiker per maand. Volledige kaartgegevens worden uitsluitend bij onze betaaldienstverlener verwerkt; het Portaal ziet je kaartnummer niet. Voor de doorverwijzingsregeling bij het Kennisbank-abonnement horen hierbij ook het doorverwijzingsrecord (welk account welk ander account heeft doorverwezen), door het Portaal vastgelegd bij de aanmelding, en de kaart-fingerprint, ontvangen van onze betaaldienstverlener als facturatiegegeven, om de korting tot één per betaalkaart te beperken.
• Clientdata van het kantoor (wij als verwerker): de documenten die je uploadt en de gegevens daarin (zoals naam, adres, fiscale en financiele gegevens, en soms een BSN), je vragen in de chat en de documenten in de dossierreview. Deze verwerken we namens en op instructie van het kantoor.
• Gebruiks- en beveiligingsgegevens: een gebruiksregel per verwerkt document (zonder de inhoud zelf), sessiegegevens en gegevens die nodig zijn voor botbescherming.

3. Doeleinden en rechtsgrond

De account- en facturatiegegevens verwerken we om het Portaal te leveren en je te factureren. De rechtsgrond is de uitvoering van de overeenkomst (artikel 6, lid 1, sub b AVG) en het voldoen aan wettelijke (fiscale) verplichtingen. Het doorverwijzingsrecord en de kaart-fingerprint verwerken we op dezelfde grondslag en daarnaast op grond van ons gerechtvaardigd belang bij het voorkomen van misbruik van de doorverwijzingsregeling (artikel 6, lid 1, sub f AVG). De clientdata verwerken we uitsluitend om de door het kantoor gevraagde verwerking uit te voeren, op grond van de verwerkersovereenkomst. We gebruiken clientdata niet voor eigen doeleinden, niet voor marketing en niet om AI-modellen te trainen, en we verkopen geen gegevens.

4. Hoe verwerken we de gegevens?

De verwerking en opslag vinden plaats binnen de EU. De tools voor de 30%-regeling, de fiscale eenheid (vennootschapsbelasting en btw), de RGS-brugstaat en de aanslag naar concept-mail verwerken geuploade documenten alleen tijdens de bewerking en bewaren ze daarna niet; we leggen alleen een gebruiksregel vast, zonder de inhoud. Bestanden die je in de webchat als bijlage meestuurt, worden niet op onze servers opgeslagen; de antwoorden kunnen wel inhoud uit die bijlage bevatten. Gebruik je de chat in Word of Outlook, dan bewaren we de tekst van het geopende document of de geopende e-mail bij het gesprek, zodat je er later op kunt terugkomen. De chatgeschiedenis (je vragen en de antwoorden), die tekst en de dossierreview (de documenten, de daaruit gelezen tekst en de beoordelingen) worden bewaard tot het kantoor ze verwijdert.

Enkele functies (de chat, de tekstherkenning van geuploade documenten en het opstellen van conceptteksten) worden ondersteund door AI. De AI draait bij een verwerker binnen de EU, leest alleen wat wordt aangeleverd en wordt niet getraind op jouw gegevens. De AI-uitvoer is een hulpmiddel en geen fiscaal advies; de adviseur blijft verantwoordelijk en controleert het resultaat.

Koppeling met chat-assistenten (MCP-connector)

Je kunt de Lowkey Kennisbank koppelen aan een chat-assistent zoals Claude of ChatGPT. Je logt dan in met je account voor het Portaal; de assistent krijgt een toegangstoken met leesrechten op de kennisbank en kan dat token voor niets anders gebruiken.

• Wat we ontvangen: alleen wat de assistent naar de kennisbank stuurt, zoals je zoekvraag of het nummer van een bron. Je volledige gesprek ontvangen we nooit.
• Wat we bewaren: de tekst van je zoekvraag bewaren we niet; we verwerken die alleen tijdens het zoeken, binnen de EU. Per zoekopdracht bewaren we anonieme kenmerken zonder koppeling aan jou of je kantoor (zoals welke wetsartikelen of uitspraken genoemd werden, het belastingmiddel, het onderwerp, het aantal resultaten en de responstijd), om de kennisbank te verbeteren. Per account houden we een dagtelling van het aantal aanroepen bij, voor de facturatie en om misbruik te voorkomen.
• Wat de assistent bewaart: wat de assistent met je gesprek en met onze antwoorden doet, valt onder het privacybeleid van de aanbieder van die assistent, niet onder dit beleid.
• Toegang intrekken: verbreek de koppeling in de instellingen van je assistent. Het toegangstoken werkt ook niet meer zodra je account wordt gedeactiveerd.

5. Verwerkers die we inschakelen

We schakelen externe verwerkers in. De verwerking vindt binnen de EU plaats:

De namen en vestiging van de verwerkers die we inschakelen, maken deel uit van de verwerkersovereenkomst en delen we met (potentiele) kantoor-klanten onder geheimhouding. Vragen kun je stellen via privacy@lowkeyautomation.com.

6. Cookies en lokale opslag

Op de publieke marketing- en aanmeldpagina’s tonen we een cookiebanner. Je kunt kiezen tussen alleen noodzakelijke opslag of ook advertentiemeting toestaan. Je keuze wordt bewaard in lokale opslag en is op elk moment opnieuw in te stellen via de “Cookie-instellingen”-link onderaan de pagina.

• Noodzakelijk (geen toestemming vereist): sessieopslag om je ingelogd te houden en de dienst te laten werken.
• Functioneel (geen toestemming vereist): bij het openen van een doorverwijzingslink plaatsen we de doorverwijzingscookie (lk_ref), die bijhoudt via welke doorverwijzing je bent aangemeld zodat de doorverwijzingskorting aan het juiste account wordt toegekend. Deze cookie is 30 dagen geldig en bevat geen persoonsgegevens buiten een doorverwijzingscode.
• Advertentiemeting (alleen met toestemming): we laden een advertentietag van een advertentieplatform om te meten hoe bezoekers via onze campagnes bij ons terechtkomen. Deze tag slaat niets op en deelt geen gegevens totdat je toestemming geeft; tot die tijd werkt hij in de modus zonder opslag.

Binnen het ingelogde gedeelte van het Portaal worden geen tracking- of advertentiecookies geplaatst. De cookiebanner verschijnt daar niet.

7. Bewaartermijnen

Account- en facturatiegegevens bewaren we gedurende de overeenkomst en daarna zolang de wettelijke (fiscale) bewaarplichten dat vereisen. Het doorverwijzingsrecord en de kaart-fingerprint bewaren we zolang het account bestaat. Clientdata bewaren we niet langer dan nodig: uploads in de tools uit paragraaf 4 en bijlagen in de webchat bewaren we niet na de bewerking, en de chatgeschiedenis (met de tekst uit Word of Outlook) en de dossierreview blijven bewaard tot het kantoor ze verwijdert. Bij beeindiging geven we clientdata terug of verwijderen we die, naar keuze van het kantoor.

8. Doorgifte buiten de EU

De fiscale clientdata blijft binnen de EU. Alleen onze betaaldienstverlener, met een groep in de Verenigde Staten, verwerkt facturatiegegevens (naam, e-mail, land, btw en betaalgegevens, met inbegrip van de kaart-fingerprint voor de doorverwijzingsregeling), nooit clientdocumenten. Het doorverwijzingsrecord zelf leggen wij vast; het gaat niet naar de betaaldienstverlener. Waar een verwerker een moederbedrijf buiten de EU heeft, is doorgifte afgedekt via EU-entiteiten, het EU-US Data Privacy Framework en standaardcontractbepalingen (SCC’s).

9. Verwerkersovereenkomst voor kantoren

Omdat een kantoor verwerkingsverantwoordelijke is voor de gegevens van zijn clienten, sluiten we met elk kantoor een verwerkersovereenkomst (artikel 28 AVG) met bijlagen over de verwerking, de subverwerkers, de beveiligingsmaatregelen en het bewaarbeleid. De verwerkersovereenkomst is op aanvraag beschikbaar via privacy@lowkeyautomation.com.

10. Je rechten

Je hebt recht op inzage, rectificatie, verwijdering, beperking, bezwaar en gegevensoverdraagbaarheid. Voor account- en facturatiegegevens kun je je rechten rechtstreeks bij ons uitoefenen. Voor clientdata loopt een verzoek via het kantoor als verwerkingsverantwoordelijke; wij ondersteunen het kantoor daarbij. Mail je verzoek naar privacy@lowkeyautomation.com.

11. Klachten

Heb je een klacht over hoe we met je gegevens omgaan, neem dan eerst contact met ons op. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.