Privacybeleid
Laatst bijgewerkt: 9 oktober 2026
Klusbaas is administratiesoftware voor zelfstandige vakmensen. Om die te kunnen leveren verwerken wij persoonsgegevens. Hieronder staat welke, waarom, hoe lang en wat je rechten zijn.
1. Wie zijn wij
Wij bieden Klusbaas aan als webapp voor klusadministratie. De actuele contactmogelijkheid voor vragen over je gegevens staat op onze contactpagina.
2. Welke gegevens verwerken wij
Van jou, als gebruiker
- Je naam en e-mailadres, omdat je daarmee inlogt.
- Een hash van je wachtwoord (scrypt), geen leesbare kopie van het wachtwoord zelf.
- De gegevens van je bedrijf die je zelf invult: bedrijfsnaam, adres, telefoonnummer, KvK-nummer, btw-nummer, IBAN en je logo. Die staan op je offertes en facturen.
- Wanneer je voor het laatst inlogde, hoe vaak je inlogde en wanneer je voor het laatst iets in de app deed. Het beheer ziet daarnaast aantallen en recente momenten van aangemaakte klanten, klussen en documenten om het gebruik te begrijpen.
Van jouw klanten, die jij invoert
- Naam, en wat je er verder zelf bij zet: adres, telefoonnummer, e-mailadres.
- Wat je bij een klus vastlegt: foto's, documenten, bonnetjes, uren, logboekregels, offertes en facturen.
Je houdt de zeggenschap over wat je invoert. Wij verwerken deze gegevens om Klusbaas te leveren en te beheren. We verkopen ze niet en gebruiken ze niet om AI-modellen te trainen. Zie §3.
Technische gegevens
- Een cookie voor je inlogsessie. Die is nodig om ingelogd te blijven, staat op httpOnly en SameSite=Lax, en bevat alleen een willekeurig sessietoken. Er staan geen naam, e-mailadres of klantgegevens in de cookie.
- Technische en beveiligingslogs met tijdstippen, interne id's, foutcodes en foutmeldingen. Bij begrensde inlog- of registratiepogingen kan ook je IP-adres in het log staan. IP-adressen en e-mailadressen worden daarnaast tijdelijk gebruikt om te veel pogingen te blokkeren.
- Geen trackingcookies, geen Google Analytics, geen advertentiepixels. Daarom is er ook geen cookiebanner: voor een strikt noodzakelijke sessiecookie is geen toestemming nodig.
3. Onze rol: verantwoordelijke of verwerker
Dit onderscheid bepaalt wie waarvoor aanspreekbaar is, en het is het enige juridische begrip dat je hier echt moet weten.
- Voor jouw eigen accountgegevens (naam, e-mailadres, bedrijfsgegevens) zijn wij verwerkingsverantwoordelijke. Wij bepalen waarom we die nodig hebben: om je een werkend account te kunnen geven.
- Voor de gegevens van jouw klanten die jij in Klusbaas zet, ben jij de verwerkingsverantwoordelijke en zijn wij verwerker. Wij doen daarmee alleen wat nodig is om de software te laten werken. De afspraken die de AVG (art. 28) daarvoor voorschrijft staan in de voorwaarden, §7. Door akkoord te gaan met de voorwaarden is die verwerkersovereenkomst gesloten; een apart document hoef je niet te tekenen.
4. Waarom en op welke grondslag
| Waarvoor | Grondslag |
|---|---|
| Je account laten werken en de software leveren | Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG) |
| Contact met je opnemen over je account | Uitvoering van de overeenkomst |
| Misbruik voorkomen (onder andere begrenzing van inlogpogingen) | Gerechtvaardigd belang (art. 6 lid 1 sub f AVG) |
| Weten of de app gebruikt wordt (loginmomenten, activiteit en aantallen) | Gerechtvaardigd belang |
| Fouten kunnen onderzoeken (serverlogs) | Gerechtvaardigd belang |
5. Hoe lang bewaren we het
- Je gegevens en die van je klanten: zolang je account bestaat. Bij accountverwijdering worden de actieve bedrijfsgegevens verwijderd en de bijbehorende bestanden opgeruimd. Mislukt het opruimen van bestanden, dan moet de aanbieder dit herstellen. De reguliere back-ups worden veertien dagen bewaard; onze afspraak is dat verwijderde gegevens binnen 30 dagen ook uit back-ups verdwijnen.
- Serverlogs: maximaal 30 dagen.
- Inlogsessies: maximaal 90 dagen, en eerder ongeldig na 30 dagen zonder gebruik of wanneer je uitlogt. Verlopen sessies worden dagelijks opgeruimd.
6. Met wie delen we het
Met zo min mogelijk partijen. Klusbaas draait op één server bij één hostingpartij binnen de Europese Unie. Daar staat de database en daar staan de bestanden die je uploadt.
- Onze hostingpartij — als subverwerker voor de serveropslag binnen de EU. De hostingpartij beheert de infrastructuur en kan daarvoor technische toegang hebben.
- Klusbaas gebruikt geen advertentienetwerken, externe analysediensten of AI-diensten om je gegevens te verwerken. De serveropslag bevindt zich binnen de EU. Een verstrekking op grond van een wettelijke verplichting kan wel nodig zijn.
7. Hoe beveiligen we het
- Al het verkeer gaat over HTTPS.
- Wachtwoorden worden gehasht met scrypt, niet leesbaar opgeslagen.
- De applicatie begrenst toegang tot bedrijfsgegevens per bedrijf. Platformbeheer heeft eigen autorisatie en toegang voor het beheer van accounts en de dienst.
- Bestanden die je uploadt staan niet op een openbaar adres. Ze zijn alleen op te vragen als je bent ingelogd en ze bij jouw bedrijf horen.
- Er wordt elke nacht een back-up gemaakt, die veertien dagen bewaard blijft.
De reguliere back-up staat op dezelfde server. Er is nog geen externe back-up; bij verlies van die server kunnen ook de kopieën verloren gaan. Bewaar belangrijke gegevens en bestanden daarom ook zelf.
8. Je rechten
Je hebt het recht om:
- je gegevens in te zien;
- ze te laten corrigeren — de meeste kun je zelf aanpassen in de app;
- ze te laten verwijderen — je account verwijderen doe je zelf bij Instellingen → Account;
- ze mee te nemen: bij Instellingen → Account download je je bedrijfs- en klusgegevens als JSON. Geüploade foto's en documenten download je apart bij de klus;
- de verwerking te laten beperken, wanneer je daar volgens de AVG recht op hebt;
- bezwaar te maken tegen verwerking op grond van gerechtvaardigd belang.
Wil je iets waarvoor geen knop is, bekijk dan de contactmogelijkheid in §1. Op een privacyverzoek reageren we in beginsel binnen één maand. Bij een ingewikkeld verzoek kan de wettelijke termijn worden verlengd; dat laten we binnen die eerste maand weten, met de reden. Ben je het niet eens met hoe we ermee omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.
9. Datalekken
Ontdekken wij een datalek met gegevens waarvoor wij verantwoordelijke zijn, dan melden wij dat zo nodig binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens. Betrokkenen informeren wij zonder onnodige vertraging wanneer dat verplicht is. Voor gegevens van jouw klanten informeren wij jou zonder onnodige vertraging; zie de verwerkersafspraken in de voorwaarden.
10. Wijzigingen
Verandert er iets wezenlijks aan dit beleid, dan laten we dat weten via het e-mailadres waarmee je bent geregistreerd. De datum bovenaan geeft aan wanneer dit voor het laatst is aangepast.