1. Verwerkingsverantwoordelijke
Caproom B.V., gevestigd te Amsterdam, KvK 42151311, btw NL869941288B01, is verwerkingsverantwoordelijke in de zin van art. 4 lid 7 AVG voor de in deze verklaring beschreven verwerkingen. Contact: privacy@caproomdocs.nl.
Onze rol: verwerkingsverantwoordelijke en verwerker
Wij zijn verwerkingsverantwoordelijke voor gegevens die wij voor eigen doeleinden verwerken, zoals accounts, facturatie, de wachtlijst en beveiliging. Voor persoonsgegevens die u in Documenten opneemt (zoals namen van bestuurders, aandeelhouders en wederpartijen) zijn wij verwerker en bent u verwerkingsverantwoordelijke; daarop is onze Verwerkersovereenkomst van toepassing. Gegevens over bestuurders en wederpartijen ontvangen wij van u of uit het openbare Handelsregister (KvK).
2. Welke gegevens we verwerken
- Accountgegevens: naam, e-mailadres, gehasht wachtwoord, taalvoorkeur.
- Bedrijfsgegevens: KvK-nummer, vestigingsadres, btw-id van de werkruimte en haar entiteiten.
- Documentinhoud: de door u ingevoerde gegevens voor besluiten/NDA's (namen bestuurders, bedragen, data, ondertekenaars).
- Activiteitslog: wie wat wanneer in de Dienst heeft gedaan (audit trail; 7 jaar bewaard t.b.v. fiscale bewaarplicht).
- Technisch: IP-adres, user-agent, sessietoken (alleen voor authenticatie en fraudepreventie).
- Facturatiegegevens: bedrijfsnaam, factuuradres, btw-id, Mollie-mandaatreferentie. Wij verwerken geen kaartnummers, die blijven bij Mollie.
3. Doeleinden en grondslagen
| Doel | Categorie | Grondslag (AVG art. 6) |
|---|---|---|
| Levering van de Dienst | Account + documentinhoud | Uitvoering overeenkomst (1b) |
| Wachtlijst en lanceringsbericht | E-mailadres, optioneel naam en bedrijf | Toestemming (1a) |
| Facturatie | Bedrijfs- + facturatiegegevens | Wettelijke verplichting (1c), art. 35a Wet OB |
| Audit trail | Activiteitslog | Wettelijke verplichting (1c), art. 52 AWR |
| Beveiliging en fraudepreventie | Technisch | Gerechtvaardigd belang (1f) |
| Productverbetering (geaggregeerd) | Geanonimiseerde metrics | Gerechtvaardigd belang (1f) |
4. Bewaartermijnen
- Account: tot 30 dagen na opzegging; daarna geanonimiseerd.
- Wachtlijst: tot de lancering en het lanceringsbericht, of eerder op uw verzoek; daarna verwijderd.
- Documenten: tot u ze verwijdert; bij opzegging maximaal 90 dagen retentie (download window).
- Facturen en activiteitslog: 7 jaar (fiscale bewaarplicht, art. 52 AWR).
- SEPA-mandaten: 14 maanden na laatste incasso (EBA-richtlijnen).
- Cookietoestemming: 12 maanden, daarna vragen wij opnieuw toestemming.
- Backups: 30 dagen rolling, daarna automatisch verwijderd.
5. Ontvangers en sub-verwerkers
Wij delen gegevens uitsluitend met de sub-verwerkers vermeld op Sub-verwerkers hieronder. Alle sub-verwerkers en de toepasselijke waarborgen voor verwerking buiten de EER staan daar vermeld. Zie ook de internationale gegevensoverdrachten hieronder.
6. Internationale gegevensoverdrachten
Uw gegevens worden voornamelijk verwerkt binnen de Europese Economische Ruimte (EER). Onze database en bestandsopslag (Frankfurt), AI-verwerking (Frankrijk), e-mailverzending en betalingen vinden binnen de EER plaats. Een beperkt aantal verwerkers heeft een moedermaatschappij buiten de EER: Lovable (applicatiehosting), Cloudflare (contentlevering en DDoS-bescherming) en hCaptcha (botbescherming op formulieren). Voor die doorgiften baseren wij ons op het EU-US Data Privacy Framework waar de verwerker daaronder is gecertificeerd, en anders op de Standaardcontractbepalingen van de Europese Commissie (art. 46 AVG).
7. AI en geautomatiseerde verwerking
Voor tekstvoorstellen gebruiken wij AI-modellen van Mistral AI (Frankrijk), zonder opslag van invoer en zonder gebruik voor training. Voorstellen worden alleen opgenomen na uw acceptatie. Wij nemen geen uitsluitend geautomatiseerde besluiten met rechtsgevolgen of vergelijkbare aanmerkelijke gevolgen in de zin van art. 22 AVG.
8. Beveiliging en datalekken
Wij treffen passende technische en organisatorische maatregelen, waaronder versleuteling tijdens transport en opslag, toegangsscheiding per werkruimte en audit-logging. Een inbreuk in verband met persoonsgegevens melden wij waar vereist binnen 72 uur aan de Autoriteit Persoonsgegevens (art. 33 AVG) en, bij een hoog risico, aan betrokkenen (art. 34 AVG). Als verwerker informeren wij u zonder onredelijke vertraging.
9. Uw rechten
U heeft onder de AVG het recht op:
- Inzage in uw gegevens (art. 15)
- Rectificatie van onjuiste gegevens (art. 16)
- Verwijdering (art. 17), geautomatiseerd via /app/settings/privacy; facturen en activiteitslog blijven 7 jaar bewaard wegens wettelijke plicht.
- Beperking (art. 18) en bezwaar (art. 21)
- Data-portabiliteit (art. 20), JSON-export via /app/settings/privacy.
10. Klacht bij de Autoriteit Persoonsgegevens
U heeft altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (Bezuidenhoutseweg 30, 2594 AV Den Haag; telefoon +31 (0)70 888 85 00).
11. Contact
Voor vragen of verzoeken: privacy@caproomdocs.nl. Wij reageren binnen 30 dagen na ontvangst.
Caproom B.V. is op grond van art. 37 AVG niet verplicht een functionaris voor gegevensbescherming aan te stellen en heeft dit niet gedaan. Deze verklaring is niet gericht op personen jonger dan 18 jaar. Wezenlijke wijzigingen kondigen wij ten minste 14 dagen vooraf aan.
Sub-verwerkers
1. Beleid
Wij verwerken gegevens zoveel mogelijk binnen de EER. Alle hieronder genoemde partijen hebben een verwerkersovereenkomst met ons. Voor doorgifte buiten de EER, zie Internationale gegevensoverdrachten; voor de juridische kaders onze Verwerkersovereenkomst. Bedrijfsgegevens uit het KvK-handelsregister gebruiken wij als bron van gegevens; de KvK is geen verwerker.
2. Actuele sub-verwerkers
| Sub-verwerker | Doel | Locatie | Gegevenscategorieën | Beveiligingsmaatregel |
|---|---|---|---|---|
| Supabase Inc. | Database, authenticatie en bestandsopslag | EU (Frankfurt, Duitsland) | Account-, document- en activiteitsloggegevens | EU-regio, toegang per werkruimte, versleuteling at-rest en in transit |
| Lovable (GPT Engineer Inc.) | Applicatiehosting en build-infrastructuur | EU | Verzoekgegevens tijdens verwerking | Verwerkersovereenkomst; DPF of Standaardcontractbepalingen |
| Cloudflare Inc. | Contentlevering en DDoS-bescherming | Wereldwijd, verwerking in de EU | IP-adres, verzoekmetadata | Verwerkersovereenkomst; DPF of Standaardcontractbepalingen |
| Mistral AI SAS | AI-verwerking voor tekstvoorstellen | EER (Frankrijk) | Documentprompts (geen persistente opslag) | Zero-retention; geen gebruik voor training; EU-endpoint |
| Lettermint | Transactionele e-mail (login, notificaties, facturen) | EER (Nederland) | E-mailadres ontvanger, naam, mailinhoud | DKIM/SPF/DMARC, EU-routing |
| Mollie B.V. | Betaalverwerker (iDEAL, SEPA-incasso, creditcard) | Nederland | Facturatiegegevens, mandaatreferentie (geen kaartnummers) | PCI-DSS Level 1; Mollie is zelfstandig verantwoordelijk voor betaalgegevens |
| Plausible Insights OU | Cookieloze bezoekersstatistieken | EU | Geaggregeerde paginabezoeken (geen IP-opslag) | Geen cookies, geen persoonsprofielen |
| hCaptcha (Intuition Machines Inc.) | Botbescherming op publieke formulieren | Verenigde Staten | IP-adres, user-agent, challenge-respons | Standaardcontractbepalingen; geen advertentietracking |
3. Wijzigingsmelding
Wijzigingen in deze lijst (toevoeging of vervanging van een sub-verwerker) melden wij minimaal 30 dagen vooraf via e-mail aan alle werkruimte-eigenaren. Klant kan binnen die termijn gemotiveerd bezwaar maken; bij gegrond bezwaar kan kosteloos worden opgezegd (zie DPA §6).
4. Versiehistorie
Een changelog van wijzigingen in deze lijst is beschikbaar op verzoek via privacy@caproomdocs.nl.
Verwerkersovereenkomst (DPA)
Deze Verwerkersovereenkomst ("DPA") maakt integraal onderdeel uit van de Algemene Voorwaarden tussen Klant ("Verwerkingsverantwoordelijke") en Caproom B.V. ("Verwerker"). Bij strijdigheid prevaleert deze DPA voor zover het de verwerking van persoonsgegevens betreft.
1. Rolverdeling
Klant is verwerkingsverantwoordelijke in de zin van art. 4 lid 7 AVG; Caproom B.V. is verwerker in de zin van art. 4 lid 8 AVG. Caproom B.V. verwerkt persoonsgegevens uitsluitend in opdracht van Klant.
2. Onderwerp, duur, aard en doel
- Onderwerp: hosting en verwerking van documentgegevens binnen de Dienst.
- Duur: gedurende de looptijd van de Algemene Voorwaarden.
- Aard: opslag, generatie, ondertekening en uitlevering van juridische documenten.
- Doel: het mogelijk maken van Klant om documenten te creëren, te ondertekenen en te archiveren.
- Categorieën betrokkenen: bestuurders, aandeelhouders, werknemers en wederpartijen van Klant.
- Categorieën gegevens: naam, functie, e-mailadres, KvK-nummer, btw-id, ondertekeningsbewijs (IP, timestamp, hash).
3. Instructies en doelbinding
Verwerker verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van Klant en niet voor eigen doeleinden, behoudens wettelijke verplichtingen waaraan Verwerker is onderworpen.
4. Geheimhouding
Verwerker waarborgt dat de tot verwerking gemachtigde personen zich contractueel of wettelijk hebben verbonden tot geheimhouding (art. 28 lid 3 sub b AVG).
5. Beveiligingsmaatregelen (art. 32 AVG)
Verwerker treft passende technische en organisatorische maatregelen, waaronder:
- Versleuteling van data-in-transit (TLS 1.3) en data-at-rest (AES-256, transparent disk encryption).
- Row-Level Security policies op database-niveau (per-werkruimte isolatie).
- Toegangscontrole op basis van rolgebaseerd autorisatiemodel; MFA verplicht voor admin-toegang.
- Audit-logging van alle CRUD-operaties; 7 jaar retentie.
- Dagelijkse encrypted backups naar geografisch gescheiden EU-datacentrum.
- Disaster Recovery drill per kwartaal; RPO ≤ 24u, RTO ≤ 4u.
- Pen-tests jaarlijks door extern bureau; bevindingen P0/P1 binnen 30 dagen gepatched.
6. Sub-verwerkers (art. 28 lid 4 AVG)
Klant geeft Verwerker een algemene toestemming om sub-verwerkers in te schakelen, mits deze zijn opgenomen op de lijst met sub-verwerkers. Verwerker meldt wijzigingen minimaal 30 dagen vooraf; Klant kan binnen die termijn gemotiveerd bezwaar maken en in dat geval kosteloos opzeggen.
7. Datalek-meldplicht
Verwerker informeert Klant zonder onredelijke vertraging, en uiterlijk binnen 48 uur na constatering, over een inbreuk in verband met persoonsgegevens, met de informatie die Klant nodig heeft om aan zijn meldplicht jegens de Autoriteit Persoonsgegevens (art. 33 AVG) en betrokkenen (art. 34 AVG) te voldoen.
8. Bijstand bij verzoeken betrokkenen
Verwerker biedt Klant binnen een redelijke termijn bijstand bij het nakomen van zijn verplichtingen op grond van de art. 12-22 AVG (recht op inzage, rectificatie, verwijdering, beperking, bezwaar, portabiliteit) middels self-service tooling op /app/settings/privacy en op verzoek per e-mail aan privacy@caproomdocs.nl.
9. Audit en controle
Klant heeft het recht, maximaal eenmaal per jaar, op eigen kosten en na voorafgaande schriftelijke aankondiging van ten minste 30 dagen, een audit te (laten) verrichten door een onafhankelijke, gecertificeerde auditor onder geheimhoudingsverklaring. Verwerker mag in plaats daarvan een recent SOC 2 / ISO 27001-rapport overleggen.
10. Retournering en verwijdering
Na beëindiging van de overeenkomst stelt Verwerker een download-export beschikbaar gedurende 90 dagen; daarna worden persoonsgegevens verwijderd, met uitzondering van wettelijk verplichte retentie (facturen en activiteitslog: 7 jaar).