Juridisch

Privacyverklaring Flowskraft

Laatst gewijzigd: 19 juni 2026

1. Wie zijn wij?

Flowskraft B.V. is verantwoordelijk voor de verwerking van persoonsgegevens zoals beschreven in deze verklaring. Je vindt ons als volgt:

• Flowskraft B.V., ingeschreven bij de Kamer van Koophandel onder nummer 42070015;
• Tollensstraat 2, 3771 ZK Barneveld;
• Vragen over privacy? Mail naar privacy@flowskraft.nl.

We zijn niet wettelijk verplicht een functionaris voor gegevensbescherming (FG) aan te stellen en hebben dat ook niet gedaan. De directie is gezamenlijk eindverantwoordelijk voor gegevensbescherming.

2. Onze twee rollen

Flowskraft heeft bij het verwerken van persoonsgegevens twee verschillende rollen. Welke regels gelden, hangt af van het soort gegevens.

Als verwerker. Voor de gegevens die je binnen je eigen omgeving (tenant) in het platform invoert of gebruikt — zoals account- en identiteitsgegevens, projectinhoud en beeldmateriaal — treedt Flowskraft op als verwerker. Jouw werkgever (de organisatie met wie wij een overeenkomst hebben) is in dat geval de verwerkingsverantwoordelijke. De afspraken hierover staan in de verwerkersovereenkomst. Heb je vragen over deze gegevens of wil je een recht uitoefenen, richt je dan in eerste instantie tot je werkgever.

Als verwerkingsverantwoordelijke. Voor een aantal eigen doeleinden bepaalt Flowskraft zelf waarom en hoe we gegevens verwerken. Dat gaat om: (1) facturatie en administratie, (2) beveiliging, fraude- en misbruikpreventie en het bewaken van de integriteit van het platform, (3) het verbeteren en stabiel houden van de dienst (geaggregeerd of gepseudonimiseerd) en (4) de klantrelatie en communicatie. De rest van deze verklaring gaat over deze verwerkingen, waarvoor wij zelf verantwoordelijk zijn.

Waar komen de gegevens vandaan? Contact- en facturatiegegevens ontvangen we van de klant; beveiligings- en gebruiksgegevens ontstaan automatisch bij het gebruik van het platform.

Beeldmateriaal. Voor foto's en video's die een klant uploadt of publiceert, is de klant de verwerkingsverantwoordelijke en is Flowskraft verwerker. We publiceren niets automatisch. Sta je herkenbaar op beeldmateriaal en wil je dat het wordt verwijderd, neem dan contact op via privacy@flowskraft.nl.

3. Welke persoonsgegevens verwerken we (als verantwoordelijke)?

Voor onze eigen doeleinden verwerken we de volgende gegevens:

• Contact- en facturatiegegevens van de klant en diens contactpersonen: naam, zakelijk e-mailadres, functie, bedrijfsnaam, KvK- en btw-nummer en betaalstatus. We bewaren géén volledige creditcard- of bankgegevens.
• Beveiligings- en gebruiksgegevens die we nodig hebben om het platform veilig en betrouwbaar te houden: inlog- en auditgegevens, IP-adres, tweefactorauthenticatie (MFA) en het AI-gebruik (quota).
• Correspondentie wanneer je contact met ons opneemt.

We verwerken geen bijzondere categorieën van persoonsgegevens. Er is ook geen geautomatiseerde besluitvorming of profilering: de AI genereert hooguit een concept, een mens beslist.

4. Op welke grondslag verwerken we?

Voor elk doel hanteren we een wettelijke grondslag uit de AVG:

Doel	Grondslag
Facturatie, administratie en boekhouding	Wettelijke verplichting (art. 6 lid 1 sub c) en uitvoering van de overeenkomst (sub b)
Beveiliging, fraude- en misbruikpreventie en integriteit	Gerechtvaardigd belang (sub f)
Verbetering en stabiliteit (geaggregeerd/gepseudonimiseerd)	Gerechtvaardigd belang (sub f)
Klantrelatie en communicatie	Uitvoering van de overeenkomst (sub b) / gerechtvaardigd belang (sub f)
Niet-functionele cookies	Toestemming (sub a) — nu niet van toepassing

We hebben een belangenafweging gemaakt waar we ons op gerechtvaardigd belang baseren. Gegevens voor verbetering gebruiken we uitsluitend geaggregeerd of gepseudonimiseerd. We tonen geen advertenties en verkopen geen gegevens door.

5. E-mail

Transactionele en administratieve e-mail (zoals facturen, account- en MFA-/beveiligingsberichten) sturen we op grond van de overeenkomst of een wettelijke plicht. Overige e-mail, zoals aankondigingen en tips, sturen we op grond van gerechtvaardigd belang; daarvoor kun je je altijd afmelden.

6. Hoe lang bewaren we gegevens?

We bewaren gegevens niet langer dan nodig:

• contact- en facturatiegegevens: 7 jaar (fiscale bewaarplicht);
• auditgegevens: 24 maanden;
• gegevens over AI-gebruik: 13 maanden;
• account- en tenantgegevens (waarvoor we verwerker zijn): uiterlijk 30 dagen na het einde van de overeenkomst verwijderd;
• back-ups: 7 tot 14 dagen.

7. Welke verwerkers schakelen we in?

Voor het leveren van de dienst werken we met zorgvuldig geselecteerde partijen: Supabase (EU, hosting en database), Netlify (hosting/CDN), OpenAI (VS, AI), Sentry (DE/EU, foutmonitoring), Mollie (betalingen) en SnelStart (facturatie). Dit overzicht kan wijzigen; de actuele lijst is op aanvraag beschikbaar en is opgenomen in of bij de verwerkersovereenkomst. We verkopen geen gegevens aan derden.

8. Doorgifte buiten de EER

Eén verwerker, OpenAI, verwerkt gegevens (mede) in de Verenigde Staten. Voor die doorgifte gelden passende waarborgen: standaardcontractbepalingen (SCC) en, waar van toepassing, het EU-US Data Privacy Framework. OpenAI traint niet op gegevens die via de API binnenkomen en bewaart deze maximaal 30 dagen voor misbruikdetectie, waarna ze worden verwijderd.

9. Cookies en lokale opslag

Het portaal gebruikt geen tracking- of advertentiecookies. Je sessie wordt bewaard in de lokale opslag van je browser (localStorage) — er is dus geen apart authenticatiecookie — samen met functionele voorkeuren zoals de actieve omgeving en weergave. Deze gegevens blijven op je eigen apparaat. Niet-functionele cookies plaatsen we alleen met jouw toestemming, die je altijd kunt intrekken.

10. Hoe beveiligen we gegevens?

We nemen passende technische en organisatorische maatregelen, waaronder strikte scheiding van gegevens per klant (row-level security per tenant), verplichte tweefactorauthenticatie voor beheerders, versleutelde verbindingen (TLS) en versleutelde opslag, een Content Security Policy met Subresource Integrity, en privacyvriendelijke foutmonitoring.

11. Datalekken

Treedt er onverhoopt een datalek op, dan handelen we volgens de AVG. Als verantwoordelijke melden we een lek binnen 72 uur bij de Autoriteit Persoonsgegevens en, waar vereist, ook aan de betrokkenen (art. 33 en 34 AVG). Als verwerker melden we een lek zonder onnodige vertraging aan de betrokken klant, die vervolgens zelf de melding doet.

12. Welke rechten heb je?

Je hebt het recht op inzage (art. 15), rectificatie (16), verwijdering (17), beperking (18), dataportabiliteit (20) en bezwaar (21), en je kunt een gegeven toestemming intrekken.

Waar dien je een verzoek in? Gaat het om account- of projectgegevens, dan loopt dat via je werkgever (de verwerkingsverantwoordelijke); wij ondersteunen daarbij. Gaat het om onze eigen verwerkingen, dan kun je je verzoek richten aan privacy@flowskraft.nl. We reageren binnen één maand. Ben je het niet eens met hoe we met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

13. Minderjarigen

Onze dienst is gericht op zakelijke gebruikers en niet op kinderen jonger dan 16 jaar. Verzamelen we onbedoeld toch gegevens van een minderjarige, dan verwijderen we die zo snel mogelijk.

14. Wijzigingen

We kunnen deze privacyverklaring van tijd tot tijd aanpassen. De meest recente versie staat altijd op flowskraft.nl/privacy. Laatst gewijzigd: 19 juni 2026.