Privacyverklaring

Deze verklaring heeft drie delen: opdrachten voor organisaties, je account bij KotoPlat (de omgeving achter de login, met de modules) en deze website.

Je account bij KotoPlat en de website

Voor de gegevens in je account bij KotoPlat en op deze website is KotoPlat (kotoplat.nl) verwerkingsverantwoordelijke. Een uitzondering is KotoMoves: daar is de organisator van een verhuizing verantwoordelijk voor de gegevens van de helpers en verwerkt KotoPlat ze in diens opdracht (zie het onderdeel KotoMoves).

Naam en contact

KotoPlat (kotoplat.nl), bereikbaar via info@kotoplat.nl. KvK-inschrijving volgt.

Opdrachten

Bij een opdracht werken we in de omgeving van de organisatie. Die organisatie is verantwoordelijk voor haar gegevens. Kunnen we daarbij persoonsgegevens inzien of verwerken, dan doen we dat in haar opdracht en leggen we dat vast in een verwerkersovereenkomst (zie het onderdeel Opdrachten).

Standaard bij de klant

We richten workflows, agents en waar nodig een datalake in binnen de omgeving van de klant. De data blijft daar standaard en loopt niet via KotoPlat, tenzij we samen iets anders afspreken.

Als we iets anders afspreken

Een andere plek of werkwijze, bijvoorbeeld dat er gegevens bij KotoPlat komen te staan, kan alleen als de klant en KotoPlat dat vooraf samen afspreken. We leggen dat schriftelijk vast in de opdrachtbevestiging en, als we daarbij persoonsgegevens verwerken, ook in de verwerkersovereenkomst, voordat er gegevens worden verwerkt. Een offerte alleen is daarvoor niet genoeg.

Toegang tot de omgeving van de klant

• We werken met persoonlijke accounts die de klant ons in de eigen omgeving geeft, met alleen de rechten die voor de opdracht nodig zijn. De klant kan die accounts zelf intrekken.
• Kunnen we daarbij persoonsgegevens inzien of verwerken, ook alleen bij het inrichten, testen of beheren, dan sluiten we een verwerkersovereenkomst met de klant.
• Aan het einde van de opdracht, of van het beheer als we dat afspreken, worden onze accounts ingetrokken.

Welke gegevens

Welke persoonsgegevens we bij een opdracht kunnen zien of verwerken, verschilt per opdracht; dat leggen we vooraf vast. Daarnaast verwerken we de contactgegevens van onze contactpersonen bij de klant, om de opdracht te kunnen uitvoeren.

Mijn KotoPlat is de omgeving achter de login, met je account en de modules. Anders dan bij een opdracht staan de gegevens hier bij KotoPlat, in een datacenter in Frankfurt (EU). Elke nacht maken we er een versleutelde kopie van (een back-up), die bij GitHub wordt bewaard (zie de onderdelen Hoe lang we gegevens bewaren en Wie de gegevens verwerkt). Dat geldt voor iedereen met een account; je leest het ook in de privacyuitleg die je te zien krijgt als je je account aanmaakt.

Je account

• Je e-mailadres en een versleutelde vorm van je wachtwoord (het wachtwoord zelf kunnen we niet lezen).
• Technische gegevens over het inloggen, zoals het moment van inloggen, om misbruik te voorkomen.
• Welke modules je mag gebruiken.

Uitnodigingen

Nodigen we je uit voor een module, dan bewaren we je e-mailadres, de module, wie de uitnodiging heeft verstuurd en tot wanneer ze geldt. Dat geldt ook als je nog geen account hebt. De uitnodiging sturen we je per e-mail.

Feedback

Geef je in je account bij KotoPlat feedback, dan bewaren we het soort feedback, het onderwerp, je bericht, de pagina waar je was en hoe ver we met je feedback zijn.

Inloggen via Google of Microsoft (komt later, optioneel)

Nu log je in met je e-mailadres. Komt inloggen via Google of Microsoft erbij, dan blijft dat optioneel. Kies je daar dan voor, dan ontvangen we van die partij je naam, je e-mailadres en een kenmerk van je account daar, en bij Google ook een link naar je profielfoto. Een wachtwoord krijgen we dan niet. Google of Microsoft ziet op dat moment dat je bij KotoPlat inlogt.

De modules

• KotoFinance: de bestanden die je zelf uploadt, zoals exports van je beleggingsrekening, en de cijfers die daaruit worden afgeleid, zoals transacties, posities en rendement.
• KotoMoves: de gegevens van een verhuizing die je organiseert, en de aanmeldingen van helpers (zie het onderdeel KotoMoves).

Wie bepaalt wat er gebeurt

Met KotoMoves, een module in je account bij KotoPlat, organiseert iemand met een account een verhuizing en deelt een aanmeldlink. De organisator bepaalt welke gegevens er worden gevraagd en wat ermee gebeurt, en is daarvoor verantwoordelijk. KotoPlat verwerkt de gegevens in opdracht van de organisator, alleen om de aanmeldingen voor die verhuizing te regelen.

Wat je als helper invult

• Je voornaam, en als je wilt je achternaam.
• Je e-mailadres en/of telefoonnummer, zoals de organisator vraagt; minimaal één van beide.
• Op welke dagdelen je helpt, en welke taak als de organisator taken heeft ingesteld.
• Je antwoorden op de vragen van de organisator, je toestemming en of je een herinnering wilt.

Wie wat ziet

De organisator ziet alle aanmeldingen met contactgegevens en antwoorden. Andere helpers zien nooit je contactgegevens; afhankelijk van de instelling zien ze per dagdeel alleen het aantal aanmeldingen of de voornamen. De adressen van de verhuizing staan niet op de openbare aanmeldpagina en zijn alleen zichtbaar voor helpers die zich hebben aangemeld. Omdat iedereen met de link zich kan aanmelden, zijn ze dus zichtbaar voor iedereen die zich met de link aanmeldt.

Geen account nodig

Je meldt je aan zonder KotoPlat-account. Na het aanmelden krijg je een persoonlijke beheerlink.

Hoe lang

Standaard 30 dagen na de laatste dag van de verhuizing worden alle persoonsgegevens automatisch verwijderd: namen, contactgegevens, antwoorden en de adressen. Alleen anonieme tellingen blijven over, zoals het aantal helpers per dagdeel. De organisator kan die termijn instellen tussen 7 en 90 dagen; de datum staat bij je toestemming. Uit de versleutelde back-ups verdwijnen de gewiste gegevens vanzelf, uiterlijk acht weken later.

Je rechten

Met je beheerlink bekijk en wijzig je je aanmelding, of meld je je af. Bij afmelden worden je achternaam en contactgegevens direct gewist; je voornaam blijft tot de automatische verwijdering zichtbaar voor de organisator als "afgemeld". Voor andere vragen over je gegevens neem je contact op met de organisator, of mail je naar info@kotoplat.nl.

Contact

Mail je ons of gebruik je het contactformulier, dan verwerken we je naam, je e-mailadres, het onderwerp dat je kiest en je bericht. Het formulier bewaart je bericht niet op de website: het gaat als e-mail naar onze mailbox. Om misbruik te beperken houdt de server je IP-adres kort bij in het werkgeheugen; we slaan het niet op. Straks controleert Cloudflare Turnstile, voordat je bericht wordt verstuurd, of je een mens bent (zie het onderdeel Cookies).

Bezoek

Onze hostingdienst Cloudflare verwerkt technische gegevens van elk verzoek, zoals je IP-adres, het adres van de pagina en je browser, om de website bereikbaar en veilig te houden. Daarvoor kan Cloudflare ook een technisch cookie zetten (zie het onderdeel Cookies). We gebruiken geen tracking- of advertentiecookies.

Bezoekersstatistieken

• Om te zien hoe de website wordt gebruikt en hoe snel de pagina's laden, gaan we Cloudflare Web Analytics gebruiken, zodra we dat aanzetten. Een klein script in de pagina meet dan de laadtijd en stuurt die naar Cloudflare; Cloudflare telt daarmee paginaweergaven en bezoeken, en toont ons totalen per pagina, land, soort apparaat en verwijzende website.
• Volgens Cloudflare gebruikt het geen cookies of andere opslag in je browser, verzamelt het geen persoonsgegevens van bezoekers en volgt het je via je IP-adres of je browser niet in de loop van de tijd of van website naar website. Het deel van het webadres na het vraagteken slaat Cloudflare niet op.
• Wij zien alleen totalen, geen gegevens per bezoeker.
• Cloudflare bewaart de losse metingen 7 dagen en daarna samengevat; in het dashboard zijn de cijfers van de afgelopen zes maanden te zien.

Foutmeldingen (komt later)

We gebruiken nog geen dienst voor foutmeldingen. Komt die er (Sentry), dan gaan er geen e-mailadressen, inlogtokens of bedragen mee, en noemen we de dienst in het onderdeel Wie de gegevens verwerkt, met de plaats waar hij gegevens verwerkt.

• Je account aanmaken, je laten inloggen en je eigen gegevens aan je tonen in je account bij KotoPlat: nodig om de dienst te leveren die je aanvraagt (uitvoering van een overeenkomst).
• Je geüploade bestanden omzetten in je overzicht: idem, uitvoering van een overeenkomst.
• Je account bij KotoPlat en de website beveiligen, fouten opsporen en misbruik voorkomen: gerechtvaardigd belang bij een veilige dienst.
• Je uitnodigen voor een module en die toegang regelen: nodig om de dienst te leveren (uitvoering van een overeenkomst), of ons gerechtvaardigd belang zolang je nog geen account hebt.
• Je feedback lezen en Mijn KotoPlat verbeteren: gerechtvaardigd belang bij een dienst die beter wordt.
• Je vraag beantwoorden als je mailt of het contactformulier gebruikt: gerechtvaardigd belang bij het beantwoorden van je vraag, of de voorbereiding van een overeenkomst als je vraag daarover gaat.
• Bijhouden hoe de website wordt gebruikt en hoe snel de pagina's laden (bezoekersstatistieken): gerechtvaardigd belang bij een website die goed werkt en te vinden is.
• Opdrachten voor organisaties uitvoeren: in opdracht van de klant en volgens de afspraken met de klant, waaronder de verwerkersovereenkomst als we persoonsgegevens verwerken.

We verkopen geen gegevens, tonen geen advertenties en gebruiken je gegevens niet om AI-modellen mee te trainen. Er is geen geautomatiseerde besluitvorming met gevolgen voor jou.

• Je account en je gegevens bij KotoPlat: zolang je account bestaat. Verwijder je je account, dan worden account, gegevens en bestanden gewist.
• Back-ups: elke nacht maken we een versleutelde kopie van de database. Elke kopie wordt na 56 dagen automatisch verwijderd. Gegevens die je wist of die we verwijderen, staan dus nog hoogstens acht weken in een back-up.
• Berichten via mail of het contactformulier: 12 maanden na het laatste contact. Wordt je aanvraag een opdracht, dan gaat de correspondentie mee naar de administratie van die opdracht en bewaren we die zo lang als die administratie bewaard moet blijven.
• Bezoekersstatistieken: Cloudflare bewaart de losse metingen 7 dagen en daarna samengevat; in het dashboard zijn de cijfers van de afgelopen zes maanden te zien.
• Feedback: zolang je account bestaat. Verwijder je je account, dan verdwijnt ook je feedback.
• Uitnodigingen: een uitnodiging verloopt na 14 dagen. Maak je een account, dan blijft de uitnodiging bewaard zolang je account bestaat. Hoe lang we een uitnodiging bewaren die niet is gebruikt, leggen we nog vast en vullen we hier aan.
• Overige termijnen, bijvoorbeeld voor originele uploads, worden per module vastgelegd en hier aangevuld.
• Opdrachten voor organisaties: de gegevens blijven standaard bij de klant, tenzij anders afgesproken; dan geldt de termijn uit de afspraken met de klant.
• Aanmeldingen voor KotoMoves: standaard tot 30 dagen na de laatste dag van de verhuizing (zie het onderdeel KotoMoves).

Voor je account bij KotoPlat en de website gebruiken we een paar diensten die gegevens in onze opdracht verwerken. Zij mogen die gegevens niet voor zichzelf gebruiken, behalve waar we dat hieronder noemen.

• Supabase: database, inloggen en bestandsopslag, in een datacenter in Frankfurt (EU).
• Cloudflare: de website en het domein, de beveiliging van de website tegen misbruik en geautomatiseerd verkeer (bots), en straks de bezoekersstatistieken (Web Analytics). Komt de controle Turnstile erbij (zie het onderdeel Cookies), dan gebruikt Cloudflare volgens zijn eigen voorwaarden de technische kenmerken daaruit ook om zijn herkenning van bots te verbeteren; daarvoor is Cloudflare zelf verantwoordelijk.
• GitHub: de automatische verwerking van je uploads, het bijwerken van koersen en het maken en bewaren van de back-ups. Elke nacht maakt GitHub in onze opdracht een kopie van de database. Die kopie wordt versleuteld voordat hij wordt opgeslagen. De opgeslagen kopie is zonder de sleutel niet te lezen, en die sleutel heeft alleen de eigenaar van KotoPlat. GitHub kan gegevens buiten de EU verwerken en opslaan, onder meer in de Verenigde Staten. Volgens de verwerkersovereenkomst van GitHub gebeurt dat op basis van het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.
• Resend: het versturen van e-mails, zoals de bevestigingsmail, de inloglink, uitnodigingen en berichten uit het contactformulier. De mails worden verstuurd vanuit een datacenter in Ierland (EU). Volgens de verwerkersovereenkomst van Resend vindt een deel van de verwerking plaats in de Verenigde Staten, op basis van de standaardcontractbepalingen van de Europese Commissie en het EU-VS Data Privacy Framework.
• Zoho Mail: de mailbox van info@kotoplat.nl, in de EU. Daar komen ook de berichten uit het contactformulier binnen.

Later komt daar mogelijk een dienst voor foutmeldingen (Sentry) bij. Zodra we die gebruiken, staat hij hier met de plaats waar hij gegevens verwerkt.

Bij opdrachten

De diensten in de omgeving van de klant, zoals de cloud en de AI-diensten die daar draaien, kiest en contracteert de klant zelf, tenzij anders afgesproken. Schakelen we bij een opdracht zelf een andere partij in die persoonsgegevens verwerkt, dan alleen met toestemming van de klant en vastgelegd in de verwerkersovereenkomst.

Komt inloggen via Google of Microsoft erbij, dan verwerkt die partij het inloggen onder haar eigen privacyverklaring; zij is daarvoor zelf verantwoordelijk en geen verwerker van KotoPlat. Ze krijgt van ons geen gegevens uit je account bij KotoPlat.

KotoPlat gebruikt geen trackingcookies en geen advertentiecookies. De bezoekersstatistieken van Cloudflare, die we straks gebruiken, werken volgens Cloudflare zonder cookies. Wel kunnen er een paar technische cookies in je browser komen, om de website te beveiligen en om je ingelogd te houden.

Beveiliging (Cloudflare)

• Cloudflare, onze hostingdienst, beschermt de website tegen misbruik en geautomatiseerd verkeer (bots). Als Cloudflare dat nodig vindt, controleert het of je browser door een mens wordt gebruikt. Meestal merk je daar niets van. Haal je de controle, dan onthoudt het cookie cf_clearance dat, zodat je hem niet steeds opnieuw krijgt. Het cookie is kort geldig, na een controle standaard 30 minuten.
• Straks controleert Cloudflare Turnstile bij het inloggen, het aanmaken van een account, het herstellen van je wachtwoord en het contactformulier of je een mens bent. Daarvoor kijkt Turnstile naar technische kenmerken van je verbinding en je browser, zoals je IP-adres en het type browser. Wat je in het formulier typt, leest Turnstile volgens Cloudflare niet. Volgens Cloudflare gebruikt Turnstile daarvoor ook cookies en andere opslag in je browser.

Inloggen (Mijn KotoPlat)

Als je inlogt, zet Mijn KotoPlat een cookie dat je ingelogd houdt. Tijdens het inloggen met een link of het herstellen van je wachtwoord kan daar kort een tweede, technisch cookie bij komen.

• In je account bij KotoPlat geeft de database zelf elk account alleen de eigen gegevens terug; een automatische test controleert dat bij elke wijziging.
• De verbinding met KotoPlat is versleuteld (https); database en bestanden worden versleuteld opgeslagen, en de back-ups ook.
• De beheerder kan alleen voor support meekijken in je gegevens, via een aparte functie. Elke inzage via die functie wordt intern vastgelegd met tijdstip en reden; op verzoek vertellen we je of en wanneer er is meegekeken.
• Bij een opdracht gelden de beveiligingsmaatregelen van de omgeving van de klant, aangevuld met wat we vooraf vastleggen: persoonlijke accounts, alleen de rechten die nodig zijn, en intrekken aan het einde.

Je hebt recht op inzage, correctie en verwijdering van je gegevens, op een kopie van je gegevens (export), op beperking van de verwerking en op bezwaar tegen verwerking op basis van gerechtvaardigd belang.

Exporteren en je account verwijderen doe je zelf vanuit je profiel, onder Account bij "Privacy en gegevens". Voor de andere rechten, of als het zelf niet lukt, mail je naar info@kotoplat.nl. We kunnen je vragen te bevestigen dat het verzoek van jou komt.

Gaat het om gegevens die we in opdracht van een organisatie verwerken, dan is die organisatie je aanspreekpunt. Komt je verzoek bij ons binnen, dan geven we het aan haar door en helpen we haar zoals afgesproken.

Ben je niet tevreden over hoe we met je gegevens omgaan, laat het ons dan eerst weten. Je hebt ook altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Als je account bij KotoPlat, de website of onze werkwijze bij opdrachten verandert, passen we deze verklaring aan. De datum van de huidige versie staat bovenaan deze pagina.