Hoe Stipto met je gegevens omgaat.

Stipto verwerkt persoonsgegevens en bedrijfsadministratie van Nederlandse zzp'ers. We nemen je privacy serieus en houden ons aan de Algemene Verordening Gegevensbescherming (AVG / GDPR). Deze verklaring legt uit welke gegevens we verwerken, waarom, hoe lang en wat jouw rechten zijn.

1. Wie zijn wij?

Stipto wordt aangeboden door Stipto B.V. i.o. (KvK in oprichting), gevestigd in Amsterdam, Nederland. Contactpersoon voor privacyzaken: jeffrey@stipto.nl.

2. Welke gegevens verwerken we?

• Accountgegevens: e-mailadres, naam, KvK-nummer, BTW-nummer, IBAN, vestigingsadres.
• Administratie-inhoud: facturen, kostenposten, bonnen (foto's), banktransacties (uit jouw uploads), opdrachtgever-gegevens (naam, KvK, BTW, contactgegevens).
• Wet DBA-antwoorden: je antwoorden op de 7-vragen check per opdrachtgever, samen met de daaruit afgeleide score en redenen.
• Technische metadata: IP-adres, browser, tijdstempel van inloggen — beperkt tot beveiligingsdoeleinden.

3. Waarom verwerken we deze gegevens?

• Uitvoering van de overeenkomst: je hebt Stipto nodig om je administratie te voeren — we kunnen onze dienst niet leveren zonder deze gegevens. Rechtsgrond: artikel 6 lid 1 onder b AVG.
• Wettelijke verplichting: de Belastingdienst eist een 7-jaar bewaarplicht (artikel 52 Algemene Wet inzake Rijksbelastingen) voor administraties. Rechtsgrond: artikel 6 lid 1 onder c AVG.
• Authenticatie: e-mail voor magic-link inlog. Rechtsgrond: artikel 6 lid 1 onder b AVG.

4. Waar staan je gegevens?

• Database: Neon Postgres op AWS Frankfurt (eu-central-1). Versleuteld “at rest” en “in transit”.
• Bonfoto's en PDF's: Vercel Blob (AWS S3-backed) in Europese regio.
• Hosting: Vercel (eu-central-1 / Frankfurt).
• E-mailbezorging: Resend (US/EU). De inhoud van magic-link en factuur-e-mails passeert hun systemen tijdens verzending; ze bewaren geen administratie-inhoud.
• OCR voor bonnen: Mindee (Frankrijk, EU). We sturen een bonfoto naar hun API ter extractie van leverancier/bedrag/BTW — zij houden de foto niet langer dan nodig voor de verwerking aan.
• AI-samenvattingen van nieuws: AWS Bedrock (eu-west-1, Ierland). Geen persoonsgegevens worden hier verzonden — alleen publieke RSS-titels en snippets.
• Betalingsverwerking: Stripe Payments Europe Ltd. (Ierland). Verwerkt je naam, e-mail, factuuradres, BTW-nummer en betaalmethode bij abonnement en facturatie. Stripe Tax berekent de juiste EU-BTW per klant. Betaalgegevens zoals creditcardnummers worden nooit op Stipto-servers opgeslagen.

5. Hoe lang bewaren we je gegevens?

• Actieve administratie: zolang je een actief abonnement hebt.
• Na opzegging: je administratie blijft 7 jaar beschikbaar (read-only) i.v.m. de bewaarplicht. Je kunt op elk moment een export downloaden via XAF/Auditfile.
• Volledig verwijderen: na de bewaarplicht verwijderen we je gegevens automatisch. Je kunt ook eerder verwijdering aanvragen voor data die niet onder de bewaarplicht valt (bijvoorbeeld Wet DBA-antwoorden).

6. Wie ziet je gegevens?

Niemand buiten ons team en de bovengenoemde subverwerkers. We delen je gegevens nooit met derden voor marketing- of commerciële doeleinden. We verkopen niets. Bij een eventuele overname of fusie wordt deze verklaring vooraf bijgewerkt.

7. Jouw rechten

• Inzage: opvragen welke gegevens we van je hebben.
• Rectificatie: laten corrigeren als gegevens onjuist zijn.
• Wissen: laten verwijderen, voor zover de bewaarplicht dat toestaat.
• Beperking: tijdelijk laten stilleggen van verwerking.
• Overdraagbaarheid: een machine-leesbare export (XAF/Auditfile) downloaden.
• Bezwaar: bezwaar maken tegen specifieke verwerkingen.
• Klacht bij de AP: je kunt altijd een klacht indienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

Stuur verzoeken naar jeffrey@stipto.nl. We reageren binnen 30 dagen.

8. Cookies en tracking

Stipto plaatst alleen functionele cookies die nodig zijn om je ingelogd te houden. Geen analytics, geen tracking, geen advertenties.

9. Wijzigingen

We kunnen deze verklaring aanpassen wanneer onze dienst of de wet dat vereist. Belangrijke wijzigingen melden we per e-mail aan ingelogde gebruikers minimaal 30 dagen vooraf.

10. Verwerkersovereenkomst (B2B)

Als zakelijke afnemer ben jij (verwerkingsverantwoordelijke) voor je eigen klantgegevens; Stipto is verwerker. Zie onze verwerkersovereenkomst voor de juridische voorwaarden.