1. Wie we zijn
BossBase is een handelsnaam van NG E-Commerce B.V., gevestigd aan Sodalietdreef 6, 7828 CR Emmen, ingeschreven bij de KVK onder 91856396. Voor vragen over privacy: info@bossbase.nl.
2. Twee rollen
- Verwerkingsverantwoordelijke voor gegevens van bezoekers van bossbase.nl, van wie contact opneemt, en van onze gebruikers (accounts, abonnementen, support). Daarover gaat deze privacyverklaring.
- Verwerker voor de gegevens die onze gebruikers in BossBase vastleggen over hún klanten, leveranciers en medewerkers (klantgegevens, offertes, werkbonnen, facturen, uren, foto's, handtekeningen). Daarvoor geldt de verwerkersovereenkomst.
3. Welke gegevens, waarvoor, op welke grondslag, hoe lang
| Verwerking | Gegevens | Doel | Grondslag | Bewaartermijn |
|---|---|---|---|---|
| Account en registratie | Naam, e-mailadres, wachtwoord (door de inlogdienst versleuteld opgeslagen), bedrijfsnaam, telefoon, KvK-nummer; aanmeldcode (versleuteld opgeslagen, 10 minuten geldig, na 24 uur verwijderd); het kanaal waarlangs je die dag op de website kwam, als dat bekend is (zie Gebruiksstatistieken) | Account aanmaken en toegang geven | Uitvoering van de overeenkomst | Zolang het account bestaat, en 2 jaar na het einde van het abonnement |
| Akkoord met de voorwaarden | Welke documenten (algemene voorwaarden, verwerkersovereenkomst, privacyverklaring) en welke versie, tijdstip, IP-adres en browser | Kunnen aantonen dat je akkoord ging | Gerechtvaardigd belang (bewijs) | Zolang het account bestaat |
| Wachtwoordherstel | E-mailadres, hersteltoken (alleen versleuteld opgeslagen, 1 uur geldig) | Nieuw wachtwoord instellen | Uitvoering van de overeenkomst | 24 uur, daarna automatisch verwijderd |
| Bedrijfsprofiel | Bedrijfsnaam, KvK, btw-nummer, adres, telefoon, e-mail, website, logo | Dienst leveren; op offertes en facturen van de gebruiker | Uitvoering van de overeenkomst | Zolang het account bestaat, en 2 jaar na het einde van het abonnement |
| Abonnement en betaling | Bedrijfsnaam, e-mail, factuuradres (door Stripe gevraagd), Stripe-id's, pakket, perioden | Abonnement afrekenen | Uitvoering van de overeenkomst; voor onze facturen een wettelijke plicht (fiscale bewaarplicht) | Onze facturen 7 jaar (fiscale bewaarplicht) |
| Intake van de website | Wat je in het intakeformulier invult: bedrijfsgegevens, naam en telefoon van de contactpersoon, teksten over je bedrijf, diensten, projecten, werkgebied en beoordelingen, het gekozen pakket, extra's, domeinnaam en e-mail. De bestanden die je uploadt: logo, foto's, schermafbeeldingen. De intakelink (alleen versleuteld opgeslagen, 30 dagen geldig). Foto's en beoordelingen kunnen gegevens van anderen bevatten; daar zorg jij voor toestemming | Je website bouwen, onderhouden en afrekenen | Uitvoering van de overeenkomst | Zolang je website bij ons loopt, en daarna net als de andere gegevens van het bedrijf tot 2 jaar na het einde van het abonnement, ook de bestanden |
| Servicemails | E-mailadres | Aanmeldcode, wachtwoordherstel, uitnodigingen en berichten over je account en abonnement | Uitvoering van de overeenkomst | Zolang het account bestaat |
| Proefperiodemails | E-mailadres van de beheerder | Vijf mails: 7 en 3 dagen vóór het einde (hoe het gaat, einddatum), 1 dag vóór het einde (met aanbod jaarabonnement), 1 dag na het einde (nieuw werk vastleggen en versturen staat stil) en 15 dagen na het einde (herinnering om een abonnement te kiezen). Vanaf 3 dagen vóór het einde elk met een knop om een abonnement te kiezen. Elke mail heeft een afmeldlink | Gerechtvaardigd belang: het gaat om onze eigen klanten en een vergelijkbare dienst (artikel 11.7 lid 3 Telecommunicatiewet) | Tot je je afmeldt of je account eindigt |
| Contactformulier | Naam, e-mailadres, bericht; optioneel bedrijfsnaam, telefoon, branche, onderwerp; adres van de pagina (zonder querystring); bevestiging dat de privacy-uitleg is gelezen, met versie en tijdstip; het kanaal waarlangs je die dag op de website kwam (bijvoorbeeld "Google (organisch)"), als dat bekend is | Bericht beantwoorden | Gerechtvaardigd belang | 1 jaar, daarna automatisch verwijderd |
| Demo inplannen | Wat je in de agenda op de contactpagina invult: naam, e-mailadres en eventueel een opmerking; het gekozen tijdstip en je tijdzone. Bij het laden van de agenda ontvangt Cal.com ook je IP-adres en browsergegevens. De agenda laadt pas als je de knop "Plan een demo" aanwijst, aantikt of aanklikt; scroll je naar het demoblok, dan maakt je browser alvast verbinding met Cal.com, die daarbij je IP-adres ziet | Het demogesprek inplannen, bevestigen en houden | Gerechtvaardigd belang | 12 maanden na de afspraak |
| Misbruik van het formulier beperken | Versleutelde code (hash) van IP-adres en e-mailadres met een teller | Spam en misbruik tegengaan | Gerechtvaardigd belang (beveiliging) | 1 dag, daarna automatisch verwijderd |
| Helpchat Boss | Chatberichten (rol, tekst, tijdstip), titel (eerste 80 tekens) | Gebruiksvragen beantwoorden | Uitvoering van de overeenkomst | 12 maanden na het laatste bericht, daarna automatisch verwijderd |
| Metingen uit een document | Het bestand dat je uploadt (export van een meetapp, spreadsheet of foto van een opnameformulier) en de maten die eruit gelezen worden. Op zo'n document kunnen ook een naam, adres of handtekening staan | Maten voorstellen, die de gebruiker controleert voordat ze worden opgeslagen | Uitvoering van de overeenkomst | Het document en de metingen blijven bij het project tot de gebruiker ze verwijdert, of tot het account wordt opgeheven |
| Boss doorzetten naar het team | Naam, e-mail, bedrijfsnaam en het volledige gesprek, per e-mail aan ons team | Vraag door een mens laten beantwoorden | Uitvoering van de overeenkomst | 12 maanden |
| Meldpunt (bug of idee) | Omschrijving, naam, e-mail, rol, abonnement, bedrijfsnaam, pagina-adres, browser, schermgrootte, optioneel een zelf gekozen schermafbeelding | Fouten oplossen, product verbeteren | Gerechtvaardigd belang | 2 jaar, daarna automatisch verwijderd, met de schermafbeelding |
| Meldactie (als er een actie loopt) | Deelname aan een prijsactie bij een melding | Actie uitvoeren | Gerechtvaardigd belang | 2 jaar |
| Verzonden e-mails namens de gebruiker | Ontvanger, onderwerp, volledige inhoud van de mail, klant-id; fouten | Bewijs van verzending, foutopsporing | Uitvoering van de overeenkomst | Zolang de klantgegevens bestaan; ze worden verwijderd samen met de klant |
| Adres zoeken | De getypte zoektekst gaat vanuit je browser naar PDOK (Kadaster), met je IP-adres | Adres aanvullen | Uitvoering van de overeenkomst | BossBase slaat niets op |
| Gebruiksstatistieken van de website (eigen meting) | Per paginabezoek op bossbase.nl: dag en tijdstip, het pad van de pagina (zonder codes, nummers en querystring, behalve utm_* en ref), de domeinnaam van de site waar je vandaan kwam, het daaruit afgeleide kanaal (bijvoorbeeld "Google (organisch)") en het soort apparaat (mobiel, tablet of computer). Eén gebeurtenis: een klik op een link naar de aanmeldpagina. Om bezoekers per dag te tellen een code (hash) van je IP-adres en browser, gemaakt met een sleutel die elke dag wisselt en daarna wordt gewist; je IP-adres zelf wordt niet bewaard, en na die dag is de code niet meer naar jou of naar een andere dag te herleiden. Maak je dezelfde dag een account aan of stuur je het contactformulier, dan bewaren we bij het account of de aanvraag alleen het kanaal, niet de code. Geen cookies, niets opgeslagen op je apparaat; met "Do Not Track" of Global Privacy Control aan meten we niets. In de app meten we niets: wat je daar doet staat al in je account |
Zien hoe de website gebruikt wordt, welke kanalen tot aanmeldingen leiden, en de website verbeteren | Gerechtvaardigd belang; geen toestemming nodig op grond van artikel 11.7a lid 3 onder b Telecommunicatiewet (analytics met geen of geringe gevolgen voor je privacy, zie het cookiebeleid) | 25 maanden, daarna automatisch verwijderd. De dagsleutel: alleen die dag |
| Advertenties meten (Meta Pixel), alleen met toestemming | Welke gebeurtenis: pagina bekeken, contactformulier verstuurd, demo ingepland, account aangemaakt en proefperiode gestart, abonnement afgesloten (met maandbedrag en valuta). Daarnaast ontvangt Meta je IP-adres, browsergegevens, het adres van de pagina en de cookies _fbp en _fbc. Geen naam, e-mailadres of andere gegevens uit formulieren. Je cookiekeuze bewaren we in je browser |
Zien of onze advertenties op Facebook en Instagram tot aanmeldingen en klanten leiden | Toestemming, via de cookiebanner; intrekken kan altijd in het cookiebeleid. Voor het verzamelen en doorgeven zijn wij en Meta samen verantwoordelijk; wat Meta daarna doet, valt onder Meta | Cookies 90 dagen; je keuze 12 maanden. Wat Meta bewaart, bepaalt Meta |
| Logbestanden | Technische gegevens en gebruikers-id's van serverfuncties; geen e-mailadressen of tokens | Beveiliging en foutopsporing | Gerechtvaardigd belang | Supabase: 1 dag. Vercel: 1 uur |
4. Met wie we gegevens delen
| Partij | Waarvoor | Vanuit | Opslagregio / doorgifte |
|---|---|---|---|
| Supabase | Database, inloggen, bestandsopslag, serverfuncties | Browser en server | Database in Frankfurt (Duitsland); serverfuncties voor verzoeken uit Nederland ook in Frankfurt. Supabase Pte. Ltd. (Singapore); doorgifte op basis van standaardcontractbepalingen |
| Vercel | Hosting van website en app; één serverfunctie | Browser en server | Website via het netwerk van Vercel (voor Nederland Frankfurt); de serverfunctie draait in Frankfurt. Vercel Inc., VS; EU-US Data Privacy Framework en standaardcontractbepalingen |
| Stripe | Abonnementen; betaallinks op facturen van gebruikers (via hun eigen Stripe-account) | Server; betaler op de pagina van Stripe | Stripe Payments Europe, Ltd. (Ierland); verwerking ook buiten de EU op basis van het EU-US Data Privacy Framework en standaardcontractbepalingen |
| Resend | Versturen van alle e-mail | Server | Plus Five Five, Inc. (VS). Mail wordt verstuurd vanuit de EU (Ierland); account, metadata en logs staan in de VS. EU-US Data Privacy Framework en standaardcontractbepalingen |
| Anthropic | Boss: antwoorden van de helpchat, voorstellen in facturen en het uitlezen van metingen. Alleen wat daarvoor nodig is: de chatberichten, de gegevens van de gekozen werkbon of offerte, of het document dat je uploadt om metingen uit te lezen (daar kunnen een naam en adres op staan). Geen e-mailadres of wachtwoord | Server | Anthropic Ireland, Ltd.; verwerking ook in de VS op basis van standaardcontractbepalingen; geen training op klantgegevens, na 30 dagen verwijderd |
| PDOK (Kadaster) | Adres zoeken | Browser | Nederland (Kadaster, overheid) |
| Cal.com | Agenda voor het inplannen van een demo, de bevestigingsmail en het videogesprek (Cal Video) | Browser, pas als je "Plan een demo" aanwijst, aantikt of aanklikt (een verbinding al bij het scrollen naar het demoblok) | Cal.com, Inc. (VS); gegevens staan in de VS. EU-US Data Privacy Framework en standaardcontractbepalingen (verwerkersovereenkomst van Cal.com) |
| Meta | Advertenties meten met de Meta Pixel, alleen na toestemming | Browser | Meta Platforms Ireland Limited (Ierland); doorgifte naar Meta Platforms, Inc. (VS) op basis van het EU-US Data Privacy Framework en standaardcontractbepalingen. Meta is voor het verzamelen en doorgeven samen met ons verantwoordelijk (privacybeleid van Meta) |
| Moneybird / SnelStart / AFAS / Google Agenda | Alleen als de gebruiker die koppeling aanzet | Server | Niet door BossBase bepaald |
De actuele lijst van subverwerkers staat op bossbase.nl/subverwerkers.
Behalve de Meta Pixel (alleen met je toestemming) geen advertentie- of trackingdiensten. Gebruiksstatistieken van de website meten we zelf, zonder cookies en zonder dat er iets op je apparaat wordt opgeslagen; ze staan in onze eigen database bij Supabase en gaan naar niemand anders. Lettertypen staan op onze eigen server.
5. Cookies en opslag in je browser
BossBase zet zelf geen cookies. Geef je toestemming in de cookiebanner, dan
zet Meta via de Meta Pixel de cookies _fbp en _fbc (zie het
cookiebeleid); je keuze bewaren we in je browser. Verder
gebruikt de app de browseropslag
(localStorage en sessionStorage):
- Noodzakelijk: je inlogsessie, het gekozen bedrijf in deze sessie.
- Voorkeuren: ingeklapte zijbalk, weergave van lijsten, opgeslagen filters, kostenweergave, planningslegenda, uitstel van de urenherinnering, gekozen pakket tijdens het aanmelden.
- Intake van de website: je antwoorden worden onderweg in je browser bewaard, zodat je later verder kunt. Na het versturen worden ze daar gewist.
Onze eigen meting van de website telt bezoeken zonder cookies en zonder iets op je apparaat op te slaan; daarvoor is geen toestemming nodig, en hij werkt ook als je cookies van Meta weigert. Toestemming vragen we alleen voor de Meta Pixel. Meer daarover in het cookiebeleid.
Wijs je op de contactpagina de knop "Plan een demo" aan, tik je hem aan of klik je
erop, dan laadt de agenda van Cal.com.
Cal.com zet daarbij een beveiligingscookie van Cloudflare (__cf_bm, 30 minuten)
en bewaart in de agenda zelf een code om een gekozen tijdstip tijdelijk vast te
houden. Beide zijn nodig om de agenda te laten werken; geen van beide is voor
statistieken of advertenties. Daarvóór komt er niets van Cal.com binnen; alleen
maakt je browser alvast een verbinding met Cal.com als je naar het demoblok
scrolt, zodat de agenda sneller laadt.
6. Bewaren en verwijderen
Bewaartermijnen staan per regel in §3. Na het einde van het abonnement bewaren we de gegevens van een bedrijf nog 2 jaar, gelijk aan de algemene voorwaarden. Daarna worden ze verwijderd, ook de bestanden.
- "Bedrijf sluiten" (door de eigenaar) beëindigt de toegang van het hele team; "Account deactiveren" (door andere gebruikers) alleen die van jezelf.
- De wettelijke bewaarplicht van 7 jaar voor de eigen administratie van de gebruiker ligt bij de gebruiker zelf. BossBase bewaart zijn eigen facturen aan de gebruiker 7 jaar.
- Wil je dat we je gegevens eerder verwijderen? Mail info@bossbase.nl.
7. Beveiliging
Toegang is per bedrijf afgeschermd met regels in de database. Handtekeningen en ondertekende documenten staan in niet-openbare opslag. BossBase slaat wachtwoorden niet zelf op, en aanmeldcodes en hersteltokens alleen versleuteld.
8. Je rechten
Je hebt recht op inzage, correctie, verwijdering, beperking, bezwaar en overdraagbaarheid. Stuur je verzoek naar info@bossbase.nl; we reageren binnen een maand. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.
Tegen een verwerking op grond van gerechtvaardigd belang kun je altijd bezwaar maken. Voor de proefperiodemails kan dat met de afmeldlink in elke mail.
9. Wijzigingen
Passen we deze privacyverklaring aan, dan zetten we de nieuwe versie hier, met een nieuw versienummer en de datum waarop hij ingaat.