Privacyverklaring
Privacyverklaring – Vastgoedvoordeel.com
Versie 2.2.0 – 10 juni 2026
1. Verwerkingsverantwoordelijke
Vastgoedvoordeel
Markt 9, 2611 GP Delft
KvK: 97435031
Contact: privacy@vastgoedvoordeel.com
2. Persoonsgegevens die wij verwerken
Wij verzamelen en verwerken de volgende categorieën persoonsgegevens:
2.1 Account- en profielgegevens
- Naam (voornaam, achternaam)
- E-mailadres
- Telefoonnummer (optioneel)
- Geboortedatum (optioneel)
- Adresgegevens (straat, huisnummer, postcode, woonplaats)
- Bedrijfsgegevens (KvK-nummer, BTW-nummer, indien zakelijk)
- Voorkeuren per dienst (bijv. pro-modus, watermerk, logo) opgeslagen in uw accountinstellingen
2.2 Identificatie- en machtigingsgegevens
Voor specifieke diensten verwerken wij aanvullende identificatiegegevens:
- BSN of RSIN – uitsluitend voor het opstellen van machtigingen aan de Belastingdienst en overige overheidsinstanties (Teruggaaf Energiebelasting). Versleuteld opgeslagen met een application-level encryptiesleutel; alleen ontsleuteld op moment van indienen.
- KvK- en BTW-id voor zakelijke klanten en op de marketplace aangesloten adviseurs
- DigiD/eIDAS-flow-gegevens bij identificatie waar de dienst dit vereist
- Digitale handtekening en machtigingsverklaringen (inclusief versie, datum, IP-adres)
2.3 Betalings- en uitbetalingsgegevens
- IBAN-rekeningnummer – versleuteld opgeslagen met een application-level encryptiesleutel
- Naam rekeninghouder
- Factuurgegevens en betalingshistorie
- SEPA-mandaten en uitbetalings-gegevens voor no-cure-no-pay-payouts
- Boekhoudkundige administratie-gegevens (Exact Online)
2.4 Adres- en pandgegevens
- Object-/pandadressen die u aan ons verstrekt of die wij opvragen bij de BAG (Kadaster) voor de uitvoering van een dienst
- WOZ-waarden, energielabel-data (EP-Online) en BAG-gebruiksdoelen voor de diensten Huurpunten en Energielabel
- Per-periode adres- en eigendoms-feiten (voor TEB-machtigingen)
2.5 Technische, beveiligings- en device-gegevens
- IP-adres en geschatte locatie (stad, land)
- Apparaatinformatie (browser, besturingssysteem, apparaat-ID)
- Login-fingerprints (gehashte combinaties van IP-prefix, user-agent en browser-/OS-kenmerken) ter detectie van nieuwe apparaten
- Inloggeschiedenis en -tijdstippen, aantal logins, laatste login
- Twee-factor authenticatie (TOTP-secret versleuteld opgeslagen) en trusted-device-lijst
- Step-up authenticatietokens en magic-link tokens voor one-time-use-flows in reminder-mails
- Sessie-, authenticatie- en App Check-gegevens (Firebase)
2.6 Dienst-gerelateerde gegevens
- Aanvraaggegevens voor onze diensten
- Documenten die u aan ons verstrekt (machtigingen, volmachten, huurcontracten, energie-facturen, eigendomsbewijzen, foto's van objecten, e.d.)
- Status, voortgang en uitkomst van uw aanvragen en machtigingen
2.7 Communicatiegegevens
- Inkomende en uitgaande e-mailcommunicatie (inclusief inhoud, bijlagen en delivery-metadata zoals open/click/bounce via Postmark)
- Chatberichten met onze AI-assistent en eventuele menselijke medewerker
- Berichten via contactformulieren en support-kanalen
- Door onze AI-assistent autonoom verzonden e-mails ter afhandeling van uw verzoeken (met menselijke supervisie)
2.8 OAuth-tokens van derden
- OAuth-tokens voor koppelingen met externe diensten (bijv. Google Calendar voor marketplace-adviseurs). Toegangs- en refresh-tokens worden versleuteld opgeslagen met een application-level encryptiesleutel.
2.9 AI-gerelateerde gegevens
- Inputs aan onze AI-systemen (uw vragen, documenten, dienst-context)
- Outputs van onze AI-systemen (gegenereerde adviezen, concepten, extracties, voorstellen)
- Model-traces, prompt-versies en kostenmetingen (zonder vrije dienst-inhoud) voor kwaliteits- en kostenbewaking
- Feedback-, evaluatie- en lessons-data die wij gebruiken om onze AI-systemen verder te verbeteren (waar mogelijk geanonimiseerd of gepseudonimiseerd)
2.10 Audit-, gedrags- en monitoring-gegevens
- Audit-trail van alle handelingen op het platform (wie heeft wat wanneer gedaan, inclusief snapshots voor reconstructie en fraude-onderzoek)
- Domain events met snapshots van transactioneel relevante gebeurtenissen (interne event-outbox tussen onze services)
- Foutmeldingen en stack-traces met gepseudonimiseerde gebruikersreferentie voor diagnostiek (Sentry)
- Resultaten van geautomatiseerde synthetic-monitoring-runs voor de werking van het platform
2.11 Voorkeuren en toestemmingen
- Marketingvoorkeuren (nieuwsbrief opt-in/opt-out)
- Cookie-voorkeuren
- Acceptatie van voorwaarden en privacyverklaring (versie, datum, methode)
- Opt-out van cross-sell-suggesties tussen onze diensten
3. Doeleinden en rechtsgronden
Aanmaken en beheren van uw account
Rechtsgrond (AVG)Uitvoering overeenkomst (art. 6 lid 1 sub b)
Levering van onze diensten
Rechtsgrond (AVG)Uitvoering overeenkomst (art. 6 lid 1 sub b)
Communicatie over uw aanvragen
Rechtsgrond (AVG)Uitvoering overeenkomst (art. 6 lid 1 sub b)
Facturatie, betalingsverwerking en uitbetalingen
Rechtsgrond (AVG)Uitvoering overeenkomst (art. 6 lid 1 sub b)
AI-gestuurde analyse en verwerking van documenten
Rechtsgrond (AVG)Uitvoering overeenkomst (art. 6 lid 1 sub b)
Geautomatiseerde verwerking van inkomende en uitgaande e-mail door onze AI-assistent
Rechtsgrond (AVG)Uitvoering overeenkomst (art. 6 lid 1 sub b)
Marketplace-matching tussen klanten en aangesloten adviseurs
Rechtsgrond (AVG)Uitvoering overeenkomst (art. 6 lid 1 sub b)
Beveiliging van uw account (inlogtracking, 2FA, step-up auth)
Rechtsgrond (AVG)Gerechtvaardigd belang (art. 6 lid 1 sub f)
Audit-logging van alle handelingen op het platform (audit trail, fraude-onderzoek, reconstructie)
Rechtsgrond (AVG)Gerechtvaardigd belang (art. 6 lid 1 sub f)
Fraudepreventie en misbruikdetectie
Rechtsgrond (AVG)Gerechtvaardigd belang (art. 6 lid 1 sub f)
Geautomatiseerde verwerking met menselijke controle
Rechtsgrond (AVG)Gerechtvaardigd belang (art. 6 lid 1 sub f)
Training, evaluatie en optimalisatie van onze AI-systemen op basis van uw inputs en feedback
Rechtsgrond (AVG)Gerechtvaardigd belang (art. 6 lid 1 sub f)
Productontwikkeling, uitbreiding van bestaande en ontwikkeling van nieuwe diensten
Rechtsgrond (AVG)Gerechtvaardigd belang (art. 6 lid 1 sub f)
Uitbreiding van onze kennisbank en intern referentie-materiaal
Rechtsgrond (AVG)Gerechtvaardigd belang (art. 6 lid 1 sub f)
Geanonimiseerde markt-, sector- en benchmarkanalyses en commerciële inzichten
Rechtsgrond (AVG)Geanonimiseerde gegevens (buiten AVG-scope) / gerechtvaardigd belang (art. 6 lid 1 sub f)
Suggesties voor andere diensten van Vastgoedvoordeel (cross-sell, met opt-out)
Rechtsgrond (AVG)Gerechtvaardigd belang (art. 6 lid 1 sub f)
Verbetering en monitoring van het platform (foutmeldingen, synthetic monitoring)
Rechtsgrond (AVG)Gerechtvaardigd belang (art. 6 lid 1 sub f)
Wettelijke bewaarplichten (fiscaal, administratief)
Rechtsgrond (AVG)Wettelijke verplichting (art. 6 lid 1 sub c)
Verwerking van BSN/RSIN voor machtigingen aan de Belastingdienst en overheidsinstanties
Rechtsgrond (AVG)Wettelijke verplichting (art. 6 lid 1 sub c) jo. art. 46 Wet BRP
Marketing en nieuwsbrieven
Rechtsgrond (AVG)Toestemming (art. 6 lid 1 sub a)
Analytische cookies
Rechtsgrond (AVG)Toestemming (art. 6 lid 1 sub a)
| Doeleinde | Rechtsgrond (AVG) |
|---|---|
| Aanmaken en beheren van uw account | Uitvoering overeenkomst (art. 6 lid 1 sub b) |
| Levering van onze diensten | Uitvoering overeenkomst (art. 6 lid 1 sub b) |
| Communicatie over uw aanvragen | Uitvoering overeenkomst (art. 6 lid 1 sub b) |
| Facturatie, betalingsverwerking en uitbetalingen | Uitvoering overeenkomst (art. 6 lid 1 sub b) |
| AI-gestuurde analyse en verwerking van documenten | Uitvoering overeenkomst (art. 6 lid 1 sub b) |
| Geautomatiseerde verwerking van inkomende en uitgaande e-mail door onze AI-assistent | Uitvoering overeenkomst (art. 6 lid 1 sub b) |
| Marketplace-matching tussen klanten en aangesloten adviseurs | Uitvoering overeenkomst (art. 6 lid 1 sub b) |
| Beveiliging van uw account (inlogtracking, 2FA, step-up auth) | Gerechtvaardigd belang (art. 6 lid 1 sub f) |
| Audit-logging van alle handelingen op het platform (audit trail, fraude-onderzoek, reconstructie) | Gerechtvaardigd belang (art. 6 lid 1 sub f) |
| Fraudepreventie en misbruikdetectie | Gerechtvaardigd belang (art. 6 lid 1 sub f) |
| Geautomatiseerde verwerking met menselijke controle | Gerechtvaardigd belang (art. 6 lid 1 sub f) |
| Training, evaluatie en optimalisatie van onze AI-systemen op basis van uw inputs en feedback | Gerechtvaardigd belang (art. 6 lid 1 sub f) |
| Productontwikkeling, uitbreiding van bestaande en ontwikkeling van nieuwe diensten | Gerechtvaardigd belang (art. 6 lid 1 sub f) |
| Uitbreiding van onze kennisbank en intern referentie-materiaal | Gerechtvaardigd belang (art. 6 lid 1 sub f) |
| Geanonimiseerde markt-, sector- en benchmarkanalyses en commerciële inzichten | Geanonimiseerde gegevens (buiten AVG-scope) / gerechtvaardigd belang (art. 6 lid 1 sub f) |
| Suggesties voor andere diensten van Vastgoedvoordeel (cross-sell, met opt-out) | Gerechtvaardigd belang (art. 6 lid 1 sub f) |
| Verbetering en monitoring van het platform (foutmeldingen, synthetic monitoring) | Gerechtvaardigd belang (art. 6 lid 1 sub f) |
| Wettelijke bewaarplichten (fiscaal, administratief) | Wettelijke verplichting (art. 6 lid 1 sub c) |
| Verwerking van BSN/RSIN voor machtigingen aan de Belastingdienst en overheidsinstanties | Wettelijke verplichting (art. 6 lid 1 sub c) jo. art. 46 Wet BRP |
| Marketing en nieuwsbrieven | Toestemming (art. 6 lid 1 sub a) |
| Analytische cookies | Toestemming (art. 6 lid 1 sub a) |
4. Ontvangers en verwerkers
Wij schakelen onderstaande partijen in voor de uitvoering van onze diensten of het functioneren van het platform. Met alle verwerkers hebben wij een verwerkersovereenkomst gesloten. Een up-to-date overzicht is daarnaast beschikbaar op verzoek via privacy@vastgoedvoordeel.com.
4.1 Hosting en infrastructuur
- Google Cloud Platform (Google Ireland Ltd., EU / Google LLC, VS) – Cloud Run (centrale API), Cloud SQL (PostgreSQL-database), Cloud Storage (documenten), Cloud Scheduler en overige GCP-bouwstenen, primair in EU-regio
- Firebase (Google Ireland Ltd. / Google LLC, VS) – Authenticatie, App Check, Firestore (legacy) en Storage
- Vercel Inc. (VS) – Hosting van de publieke website, admin-omgeving en marketplace-app (Edge computing en KV-store voor rate-limiting)
4.2 AI-dienstverleners
- Anthropic Claude via Google Vertex AI (Google Ireland Ltd., EU-regio) – Generatieve AI voor onze AI-assistent, documentverwerking, chat en agent-workflows. Anthropic-modellen draaien hier via Google Vertex AI in een EU-regio; Google fungeert als sub-processor.
- Google Vertex AI (Google Ireland Ltd., EU-regio) – Gemini- en Imagen-modellen voor analyse, extractie en beeldgeneratie
- Google reCAPTCHA Enterprise (Google Ireland Ltd. / Google LLC) – Botpreventie en fraudedetectie
Wij gebruiken op dit moment geen modellen van OpenAI. Eerder werd OpenAI in deze verklaring genoemd; die vermelding is per V2.2 verwijderd omdat de integratie niet actief is.
4.3 E-mail, communicatie en outreach
- Postmark (Wildbit LLC, VS) – Transactionele, operationele en marketing-e-mailverzending, inbound mailverwerking en delivery-tracking (open/click/bounce) via webhooks
- Google Workspace (Google Ireland Ltd. / Google LLC, VS) – Zakelijk e-mailverkeer en synchronisatie van Gmail- threads voor klantcontact en onze AI-assistent
- Google Calendar (Google Ireland Ltd. / Google LLC, VS) – Optionele OAuth-koppeling met de agenda van marketplace-adviseurs voor planning van energielabel-afspraken
- Meta Platforms(Meta Platforms Ireland Ltd. / Meta Platforms Inc., VS) – Publicatie van blog-artikelen naar onze Facebook- en Instagram-pagina's en optionele WhatsApp Business-koppeling voor klantcommunicatie (alleen na opt-in)
4.4 Betalingen, boekhouding en logistiek
- Mollie B.V. (Amsterdam, NL) – Verwerking van online betalingen (iDEAL, kaart, SEPA)
- Exact Online (Exact Group B.V.) (Delft, NL) – Boekhouding, facturatie en financiële administratie
- Bunq B.V. (Amsterdam, NL) – Bankzaken, SEPA-betalingen en uitbetalingen aan klanten bij no-cure-no-pay-diensten
- Postbode.nu (NL) – Fysieke postverzending (machtigingen, brieven en bijlagen)
4.5 Identificatie, registers en lookups
- Kamer van Koophandel (KvK) (NL) – Verificatie van KvK-/BTW-gegevens van zakelijke klanten en marketplace-adviseurs
- Kadaster (PDOK / BAG) (NL) – Adres- en pandgegevens
- WOZ Waardeloket (NL) – Opvragen van WOZ-waarden voor o.a. Huurpunten
- EP-Online (RVO) (NL) – Energielabel-data voor EPA-W-aanvragen en huurpuntenberekeningen
- DigiD / Logius (NL) – Voor zover een dienst DigiD-identificatie vereist
4.6 Monitoring en development
- Sentry (Functional Software Inc., VS) – Foutmeldingen, prestatie-tracing en gepseudonimiseerde gebruikersreferenties voor diagnostiek
- GitHub (Microsoft Corporation, VS) – Versiebeheer van onze broncode en CI/CD-pipelines. Bevat geen klantdata, wel technische logs.
4.7 Overige ontvangers (geen verwerker maar zelfstandig verantwoordelijke)
- Belastingdienst – ontvanger van verzoeken op basis van uw machtiging (Teruggaaf Energiebelasting)
- Gemeenten en DUO – ontvanger van vorderingen en aanvragen voor o.a. Subsidiedienst
- Overige overheidsinstanties – voor diensten waarvoor u ons een machtiging heeft verleend
- Aangesloten adviseurs op onze marketplace – ontvangen contactgegevens en aanvraagdetails om u rechtstreeks te kunnen bedienen (bijv. energielabel-adviseurs)
- Onze boekhouder/accountant – voor wettelijke financiële administratie
- Juridische adviseurs en deurwaarders – indien noodzakelijk voor incasso, geschilbeslechting of procesvertegenwoordiging
- Rechtsopvolgers van Vastgoedvoordeel – bij een eventuele overname, fusie of bedrijfsoverdracht kunnen wij gegevens overdragen aan de rechtsopvolger, met behoud van deze privacyverklaring
4.8 Beperkt gebruik van Google-gebruikersdata (Google API Services User Data Policy)
Wanneer u uw Google-account aan Vastgoedvoordeel koppelt — bijvoorbeeld om de Google Calendar-integratie voor energielabel-afspraken te gebruiken — vragen wij uitsluitend de Google API-scopes die strikt noodzakelijk zijn voor de gevraagde functie. Voor de Calendar-koppeling is dat https://www.googleapis.com/auth/calendar.events (aanmaken, bijwerken en verwijderen van uw eigen afspraken, inclusief vrij/bezet-informatie) en de standaard openid- en email-scopes om uw Google-identiteit aan uw Vastgoedvoordeel-account te koppelen.
Vastgoedvoordeel houdt zich strikt aan het Google API Services User Data Policy, inclusief de daarin opgenomen Limited Use-vereisten. Concreet:
- Wij gebruiken Google-gebruikersdata uitsluitend voor het leveren of verbeteren van zichtbare functies die u zelf in het Vastgoedvoordeel-platform hebt aangevraagd of gekoppeld (bijvoorbeeld het automatisch plannen van een energielabel-inspectie in uw agenda).
- Wij verkopen Google-gebruikersdata niet en stellen deze niet beschikbaar aan datamakelaars, advertentie-netwerken of andere derden voor advertentie-, marketing- of profileringsdoeleinden.
- Wij gebruiken Google-gebruikersdata niet om generieke AI-modellen, chat-modellen of foundation-modellen (van ons of van derden) te trainen, te fine-tunen of te optimaliseren.
- Mensen binnen Vastgoedvoordeel hebben geen toegang tot Google-gebruikersdata, behalve (a) met uw expliciete toestemming, (b) voor security-doeleinden zoals incident-onderzoek of misbruikdetectie, (c) om te voldoen aan toepasselijke wet- en regelgeving, of (d) voor geanonimiseerde, geaggregeerde interne statistieken (bijv. het aantal succesvolle koppelingen).
Tokens die wij van Google ontvangen (access- en refresh-tokens) worden versleuteld opgeslagen op onze infrastructuur (zie sectie 2.8 en sectie 8) en uitsluitend gebruikt voor de hierboven beschreven functies. U kunt de koppeling op elk moment beëindigen via de instellingen in uw account; wij trekken de tokens dan in bij Google en verwijderen deze uit onze database. U kunt de toegang daarnaast altijd intrekken via myaccount.google.com/permissions.
Doorgifte buiten de EER: Een aantal verwerkers (Vercel, Postmark, Sentry, GitHub en delen van Firebase / Google Cloud / Google Workspace) is gevestigd in de Verenigde Staten of kent een Amerikaanse moedermaatschappij. Voor deze doorgiften baseren wij ons op de EU Standard Contractual Clauses, het EU-US Data Privacy Framework (waar van toepassing) en aanvullende technische en organisatorische maatregelen. Onze Anthropic-modellen draaien via Google Vertex AI in een EU-regio, waardoor klantinputs niet rechtstreeks naar de Verenigde Staten worden gestuurd.
5. Kunstmatige Intelligentie en Geautomatiseerde Verwerking
Wij maken op verschillende plekken in het platform gebruik van kunstmatige intelligentie (AI). Dit omvat in ieder geval:
- Onze AI-assistent ("AI Vastgoedvoordeel") die inkomende e-mails kan lezen, beantwoorden en aanvullende documenten kan opvragen, steeds onder menselijke supervisie
- Onze chat-AI in het platform die uw vragen helpt beantwoorden en u door diensten leidt
- Analyse en extractie van gegevens uit door u verstrekte documenten (energiefacturen, machtigingen, eigendomsbewijzen, foto's e.d.)
- AI-ondersteunde berekeningen, adviezen en concept-rapporten voor o.a. Huurpunten, TEB, Subsidiedienst en Energielabel
- Drift-detectie, kwaliteitscontrole en fraudepreventie
- Verbetering, evaluatie en optimalisatie van onze AI-systemen op basis van uw inputs en feedback (intern, niet voor extern hertrainen van foundation-modellen van onze AI-leveranciers)
5.1 AI-transparantie (AI Act artikel 50)
Wij maken voor u zichtbaar wanneer u met een AI-systeem communiceert. Onze chat-AI en AI-assistent zijn herkenbaar gelabeld en e-mails die door onze AI-assistent zijn opgesteld bevatten een duidelijke vermelding. U kunt op elk moment vragen om menselijke afhandeling.
5.2 Geen geautomatiseerde besluitvorming met juridisch effect
Onze AI-systemen nemen geen geautomatiseerde besluiten over u met juridisch of vergelijkbaar significant effect in de zin van AVG artikel 22. De definitieve beslissingen bij onze diensten worden genomen door de bevoegde instantie (zoals de Belastingdienst, een gemeente of DUO) of door een medewerker van Vastgoedvoordeel.
5.3 AI-verwerkers en datalocatie
Uw gegevens kunnen voor de hierboven beschreven doeleinden worden verwerkt door AI-systemen van de in sectie 4.2 genoemde AI-dienstverleners. Onze Anthropic-modellen draaien via Google Vertex AI in een EU-regio. Wij gebruiken klantdata niet om foundation-modellen van derden extern te hertrainen.
5.4 Test- en evaluatie-omgeving
Wij hanteren een gescheiden test-modus voor onze AI-systemen, waarin testdata (afkomstig van interne testaccounts of geanonimiseerde voorbeelden) wordt geïsoleerd van productiedata. Er wordt vanuit de test-modus geen klantcommunicatie naar buiten gestuurd.
5.5 Uw rechten met betrekking tot AI en geautomatiseerde verwerking
U heeft het recht om:
- Te weten wanneer u met een AI-systeem communiceert en wat daarvan de hoofdkenmerken zijn
- Informatie te vragen over de logica achter een geautomatiseerde verwerking die u betreft
- Menselijke tussenkomst te verzoeken bij een AI-output of geautomatiseerd voorstel
- Uw standpunt kenbaar te maken en een voorstel of besluit aan te vechten
6. Bewaartermijnen
Account- en profielgegevens
BewaartermijnDuur van de account + 2 jaar na verwijdering
Dienstaanvragen en documenten
Bewaartermijn7 jaar na afronding (fiscale bewaarplicht)
Facturen, betalings- en uitbetalingsgegevens
Bewaartermijn7 jaar (fiscale bewaarplicht)
BSN/RSIN en machtigingsgegevens (TEB)
BewaartermijnTot 7 jaar na afronding van de machtiging (fiscale bewaarplicht)
OAuth-tokens (Google Calendar, Outlook e.d.)
BewaartermijnTot intrekking van de koppeling of beëindiging van het account
Audit-logs van platform-handelingen (actions_log, audit_log)
Bewaartermijn7 jaar (mede in aansluiting op fiscale bewaarplicht)
AI-conversaties en e-mailcommunicatie via onze AI-assistent
Bewaartermijn7 jaar indien dienst-gerelateerd, anders 24 maanden
AI-trainings- en feedback-data (geanonimiseerd of gepseudonimiseerd)
BewaartermijnTot herroeping of accountverwijdering; geanonimiseerde derivaten blijven behouden
AI-traces en gateway-logs (modelgebruik, prompts, kosten)
Bewaartermijn24 maanden
Cross-domain events (event-outbox)
Bewaartermijn90 dagen
Magic-link tokens (auth-shortcuts in mails)
BewaartermijnTot consumptie + 30 dagen audit
Inloggeschiedenis, device-fingerprints en beveiligingslogs
Bewaartermijn12 maanden (rollend)
Contactformulier berichten
Bewaartermijn24 maanden
Foutmeldingen en monitoring (Sentry, synthetic monitoring)
Bewaartermijn90 dagen
Cookie- en analytische data
BewaartermijnConform uw cookie-instellingen (max. 13 maanden)
Toestemmingsregistratie (voorwaarden/privacy)
BewaartermijnDuur van de account + 5 jaar
| Categorie | Bewaartermijn |
|---|---|
| Account- en profielgegevens | Duur van de account + 2 jaar na verwijdering |
| Dienstaanvragen en documenten | 7 jaar na afronding (fiscale bewaarplicht) |
| Facturen, betalings- en uitbetalingsgegevens | 7 jaar (fiscale bewaarplicht) |
| BSN/RSIN en machtigingsgegevens (TEB) | Tot 7 jaar na afronding van de machtiging (fiscale bewaarplicht) |
| OAuth-tokens (Google Calendar, Outlook e.d.) | Tot intrekking van de koppeling of beëindiging van het account |
| Audit-logs van platform-handelingen (actions_log, audit_log) | 7 jaar (mede in aansluiting op fiscale bewaarplicht) |
| AI-conversaties en e-mailcommunicatie via onze AI-assistent | 7 jaar indien dienst-gerelateerd, anders 24 maanden |
| AI-trainings- en feedback-data (geanonimiseerd of gepseudonimiseerd) | Tot herroeping of accountverwijdering; geanonimiseerde derivaten blijven behouden |
| AI-traces en gateway-logs (modelgebruik, prompts, kosten) | 24 maanden |
| Cross-domain events (event-outbox) | 90 dagen |
| Magic-link tokens (auth-shortcuts in mails) | Tot consumptie + 30 dagen audit |
| Inloggeschiedenis, device-fingerprints en beveiligingslogs | 12 maanden (rollend) |
| Contactformulier berichten | 24 maanden |
| Foutmeldingen en monitoring (Sentry, synthetic monitoring) | 90 dagen |
| Cookie- en analytische data | Conform uw cookie-instellingen (max. 13 maanden) |
| Toestemmingsregistratie (voorwaarden/privacy) | Duur van de account + 5 jaar |
7. Cookies en tracking
Wij gebruiken cookies en vergelijkbare technologieën voor het functioneren van onze website. Analytische en marketing cookies worden alleen geplaatst na uw expliciete toestemming via de cookiebanner.
- Noodzakelijke cookies: Sessie, authenticatie, beveiliging
- Functionele cookies: Voorkeuren onthouden
- Analytische cookies: Website verbetering (Google Analytics)
- Marketing cookies: Gepersonaliseerde advertenties
U kunt uw cookie-voorkeuren te allen tijde aanpassen via de cookiebanner of uw browserinstellingen.
8. Beveiliging
Wij nemen de bescherming van uw gegevens serieus en hebben passende technische en organisatorische maatregelen getroffen:
- Versleutelde verbindingen (TLS/SSL) voor alle dataoverdracht
- Application-level versleuteling (pgcrypto met sleutels in Google Secret Manager) voor bijzonder gevoelige velden, waaronder BSN/RSIN, IBAN, OAuth-tokens en 2FA-secrets
- Versleuteling at-rest van de overige gegevens door onze cloud-provider
- Twee-factor authenticatie (2FA) en step-up authenticatie voor gevoelige handelingen zoals verwijderen, terugbetalen of sleutelrotatie
- Trusted-device-controle, login-fingerprints en detectie van nieuwe of verdachte apparaten
- Magic-link tokens als one-time-use auth-shortcut in reminder-mails
- Firebase App Check tegen geautomatiseerd misbruik en rate-limiting op gevoelige endpoints
- Strikte toegangscontrole (principe van minimale rechten)
- Audit-logging van alle admin- en system-handelingen, inclusief snapshots voor reconstructie en onderzoek
- Periodieke beveiligingsaudits, secret-rotaties en updates
- Automatische sessie-time-outs
- Zorgvuldige selectie van AI- en infrastructuurverwerkers met verwerkersovereenkomsten en passende beveiligingsmaatregelen
9. Uw rechten
Op grond van de AVG heeft u de volgende rechten:
- Recht op inzage: U kunt opvragen welke gegevens wij van u verwerken.
- Recht op rectificatie: U kunt onjuiste gegevens laten corrigeren via uw account of door contact met ons.
- Recht op verwijdering: U kunt verzoeken om verwijdering van uw gegevens. Dit kan via de deactiveren-functie in uw account.
- Recht op beperking: U kunt verzoeken om beperking van de verwerking.
- Recht op overdraagbaarheid: U kunt uw gegevens in een gestructureerd formaat opvragen.
- Recht op bezwaar: U kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
- Recht op intrekking toestemming: Waar verwerking gebaseerd is op toestemming, kunt u deze te allen tijde intrekken.
- Recht m.b.t. geautomatiseerde besluitvorming: U kunt menselijke tussenkomst verzoeken bij geautomatiseerde besluiten (zie sectie 5).
Voor het uitoefenen van uw rechten kunt u contact opnemen via privacy@vastgoedvoordeel.com. Wij reageren binnen 30 dagen. U heeft ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).
10. Accountbeheer en gegevensexport
Via uw account op vastgoedvoordeel.com/account kunt u:
- Uw persoonsgegevens inzien en wijzigen
- Uw marketingvoorkeuren beheren
- Uw account deactiveren
- Uw gegevens exporteren (op verzoek)
11. Minderjarigen
Onze diensten zijn niet gericht op personen jonger dan 18 jaar. Wij verwerken niet bewust gegevens van minderjarigen zonder toestemming van ouder of voogd.
12. Wijzigingen
Wij kunnen deze privacyverklaring van tijd tot tijd aanpassen. De meest recente versie is altijd beschikbaar op deze pagina. Bij materiële wijzigingen informeren wij u via e-mail en/of via een melding in uw account. U wordt gevraagd de nieuwe voorwaarden te accepteren voordat u verder kunt met uw account.
Laatste wijziging: 10 juni 2026