Privacy
Privacyverklaring
Versie 2026-10, geldig vanaf 1 oktober 2026.
1. Wie we zijn
BossBase is een handelsnaam van NG E-Commerce B.V., gevestigd aan Sodalietdreef 6, 7828 CR Emmen, ingeschreven bij de KVK onder 91856396. Voor vragen over privacy: info@bossbase.nl.
2. Twee rollen
- Verwerkingsverantwoordelijke voor gegevens van bezoekers van bossbase.nl, van wie contact opneemt, en van onze gebruikers (accounts, abonnementen, support). Daarover gaat deze privacyverklaring.
- Verwerker voor de gegevens die onze gebruikers in BossBase vastleggen over hún klanten, leveranciers en medewerkers (klantgegevens, offertes, werkbonnen, facturen, uren, foto's, handtekeningen). Daarvoor geldt de verwerkersovereenkomst.
3. Welke gegevens, waarvoor, op welke grondslag, hoe lang
| Verwerking | Gegevens | Doel | Grondslag | Bewaartermijn |
|---|---|---|---|---|
| Account en registratie | Naam, e-mailadres, wachtwoord (door de inlogdienst versleuteld opgeslagen), bedrijfsnaam, telefoon, KvK-nummer; aanmeldcode (versleuteld opgeslagen, 10 minuten geldig, na 24 uur verwijderd) | Account aanmaken en toegang geven | Uitvoering van de overeenkomst | Zolang het account bestaat, en 2 jaar na het einde van het abonnement |
| Akkoord met de voorwaarden | Welke documenten (algemene voorwaarden, verwerkersovereenkomst, privacyverklaring) en welke versie, tijdstip, IP-adres en browser | Kunnen aantonen dat je akkoord ging | Gerechtvaardigd belang (bewijs) | Zolang het account bestaat |
| Wachtwoordherstel | E-mailadres, hersteltoken (alleen versleuteld opgeslagen, 1 uur geldig) | Nieuw wachtwoord instellen | Uitvoering van de overeenkomst | 24 uur, daarna automatisch verwijderd |
| Bedrijfsprofiel | Bedrijfsnaam, KvK, btw-nummer, adres, telefoon, e-mail, website, logo | Dienst leveren; op offertes en facturen van de gebruiker | Uitvoering van de overeenkomst | Zolang het account bestaat, en 2 jaar na het einde van het abonnement |
| Abonnement en betaling | Bedrijfsnaam, e-mail, factuuradres (door Stripe gevraagd), Stripe-id's, pakket, perioden | Abonnement afrekenen | Uitvoering van de overeenkomst; voor onze facturen een wettelijke plicht (fiscale bewaarplicht) | Onze facturen 7 jaar (fiscale bewaarplicht) |
| Servicemails | E-mailadres | Aanmeldcode, wachtwoordherstel, uitnodigingen en berichten over je account en abonnement | Uitvoering van de overeenkomst | Zolang het account bestaat |
| Proefperiodemails | E-mailadres van de beheerder | Vijf mails: 7 en 3 dagen vóór het einde (hoe het gaat, einddatum), 1 dag vóór het einde (met aanbod jaarabonnement), 1 dag na het einde (nieuw werk vastleggen en versturen staat stil) en 15 dagen na het einde (herinnering om een abonnement te kiezen). Vanaf 3 dagen vóór het einde elk met een knop om een abonnement te kiezen. Elke mail heeft een afmeldlink | Gerechtvaardigd belang: het gaat om onze eigen klanten en een vergelijkbare dienst (artikel 11.7 lid 3 Telecommunicatiewet) | Tot je je afmeldt of je account eindigt |
| Contactformulier | Naam, e-mailadres, bericht; optioneel bedrijfsnaam, telefoon, branche, onderwerp; adres van de pagina (zonder querystring); bevestiging dat de privacy-uitleg is gelezen, met versie en tijdstip | Bericht beantwoorden | Gerechtvaardigd belang | 1 jaar, daarna automatisch verwijderd |
| Misbruik van het formulier beperken | Versleutelde code (hash) van IP-adres en e-mailadres met een teller | Spam en misbruik tegengaan | Gerechtvaardigd belang (beveiliging) | 1 dag, daarna automatisch verwijderd |
| Helpchat Boss | Chatberichten (rol, tekst, tijdstip), titel (eerste 80 tekens) | Gebruiksvragen beantwoorden | Uitvoering van de overeenkomst | 12 maanden na het laatste bericht, daarna automatisch verwijderd |
| Boss doorzetten naar het team | Naam, e-mail, bedrijfsnaam en het volledige gesprek, per e-mail aan ons team | Vraag door een mens laten beantwoorden | Uitvoering van de overeenkomst | 12 maanden |
| Meldpunt (bug of idee) | Omschrijving, naam, e-mail, rol, abonnement, bedrijfsnaam, pagina-adres, browser, schermgrootte, optioneel een zelf gekozen schermafbeelding | Fouten oplossen, product verbeteren | Gerechtvaardigd belang | 2 jaar, daarna automatisch verwijderd, met de schermafbeelding |
| Meldactie (als er een actie loopt) | Deelname aan een prijsactie bij een melding | Actie uitvoeren | Gerechtvaardigd belang | 2 jaar |
| Verzonden e-mails namens de gebruiker | Ontvanger, onderwerp, volledige inhoud van de mail, klant-id; fouten | Bewijs van verzending, foutopsporing | Uitvoering van de overeenkomst | Zolang de klantgegevens bestaan; ze worden verwijderd samen met de klant |
| Adres zoeken | De getypte zoektekst gaat vanuit je browser naar PDOK (Kadaster), met je IP-adres | Adres aanvullen | Uitvoering van de overeenkomst | BossBase slaat niets op |
| Gebruiksstatistieken (Vercel Web Analytics), website en app | Per paginabezoek: tijdstip, pagina-adres waaruit codes, nummers en querystrings (behalve utm_* en ref) vooraf zijn verwijderd, verwijzende site, land en regio (afgeleid uit het IP-adres, dat niet wordt bewaard), besturingssysteem, browser en soort apparaat. Twee gebeurtenissen: klik op een link naar de aanmeldpagina en een gelukte aanmelding, zonder persoonsgegevens. Een versleutelde code van het verzoek om bezoeken te tellen, na 24 uur weggegooid. Geen cookies, niets opgeslagen op het apparaat |
Zien hoe website en app gebruikt worden en ze verbeteren | Gerechtvaardigd belang; geen toestemming nodig op grond van artikel 11.7a lid 3 onder b Telecommunicatiewet (analytics met geen of geringe gevolgen voor je privacy, zie het cookiebeleid) | Alleen opgetelde cijfers. Vercel houdt die op ons abonnement minstens 1 maand beschikbaar en kan ze langer bewaren |
| Logbestanden | Technische gegevens en gebruikers-id's van serverfuncties; geen e-mailadressen of tokens | Beveiliging en foutopsporing | Gerechtvaardigd belang | Supabase: 1 dag. Vercel: 1 uur |
4. Met wie we gegevens delen
| Partij | Waarvoor | Vanuit | Opslagregio / doorgifte |
|---|---|---|---|
| Supabase | Database, inloggen, bestandsopslag, serverfuncties | Browser en server | Database in Frankfurt (Duitsland); serverfuncties voor verzoeken uit Nederland ook in Frankfurt. Supabase Pte. Ltd. (Singapore); doorgifte op basis van standaardcontractbepalingen |
| Vercel | Hosting van website en app; één serverfunctie | Browser en server | Website via het netwerk van Vercel (voor Nederland Frankfurt); de serverfunctie draait in Frankfurt. Vercel Inc., VS; EU-US Data Privacy Framework en standaardcontractbepalingen |
| Stripe | Abonnementen; betaallinks op facturen van gebruikers (via hun eigen Stripe-account) | Server; betaler op de pagina van Stripe | Stripe Payments Europe, Ltd. (Ierland); verwerking ook buiten de EU op basis van het EU-US Data Privacy Framework en standaardcontractbepalingen |
| Resend | Versturen van alle e-mail | Server | Plus Five Five, Inc. (VS). Mail wordt verstuurd vanuit de EU (Ierland); account, metadata en logs staan in de VS. EU-US Data Privacy Framework en standaardcontractbepalingen |
| Anthropic | Antwoorden van de helpchat; alleen de chatberichten, geen naam of e-mail | Server | Anthropic Ireland, Ltd.; verwerking ook in de VS op basis van standaardcontractbepalingen; geen training op klantgegevens, na 30 dagen verwijderd |
| PDOK (Kadaster) | Adres zoeken | Browser | Nederland (Kadaster, overheid) |
| Moneybird / SnelStart / AFAS / Google Agenda | Alleen als de gebruiker die koppeling aanzet | Server | Niet door BossBase bepaald |
| Vercel (Web Analytics) | Gebruiksstatistieken van website en app | Browser | Vercel Inc., VS; EU-US Data Privacy Framework en standaardcontractbepalingen |
De actuele lijst van subverwerkers staat op bossbase.nl/subverwerkers.
Geen advertentie- of trackingdiensten. Voor gebruiksstatistieken gebruiken we Vercel Web Analytics, zonder cookies en zonder dat er iets op je apparaat wordt opgeslagen. Lettertypen staan op onze eigen server.
5. Cookies en opslag in je browser
BossBase zet zelf geen cookies. Wel gebruikt de app de browseropslag (localStorage en sessionStorage):
- Noodzakelijk: je inlogsessie, het gekozen bedrijf in deze sessie.
- Voorkeuren: ingeklapte zijbalk, weergave van lijsten, opgeslagen filters, kostenweergave, planningslegenda, uitstel van de urenherinnering, gekozen pakket tijdens het aanmelden.
Vercel Web Analytics telt bezoeken zonder cookies en zonder iets op je apparaat op te slaan. Er is geen cookiebanner, omdat er niets is waarvoor toestemming nodig is. Meer daarover in het cookiebeleid.
6. Bewaren en verwijderen
Bewaartermijnen staan per regel in §3. Na het einde van het abonnement bewaren we de gegevens van een bedrijf nog 2 jaar, gelijk aan de algemene voorwaarden. Daarna worden ze verwijderd, ook de bestanden.
- "Bedrijf sluiten" (door de eigenaar) beëindigt de toegang van het hele team; "Account deactiveren" (door andere gebruikers) alleen die van jezelf.
- De wettelijke bewaarplicht van 7 jaar voor de eigen administratie van de gebruiker ligt bij de gebruiker zelf. BossBase bewaart zijn eigen facturen aan de gebruiker 7 jaar.
- Wil je dat we je gegevens eerder verwijderen? Mail info@bossbase.nl.
7. Beveiliging
Toegang is per bedrijf afgeschermd met regels in de database. Handtekeningen en ondertekende documenten staan in niet-openbare opslag. BossBase slaat wachtwoorden niet zelf op, en aanmeldcodes en hersteltokens alleen versleuteld.
8. Je rechten
Je hebt recht op inzage, correctie, verwijdering, beperking, bezwaar en overdraagbaarheid. Stuur je verzoek naar info@bossbase.nl; we reageren binnen een maand. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.
Tegen een verwerking op grond van gerechtvaardigd belang kun je altijd bezwaar maken. Voor de proefperiodemails kan dat met de afmeldlink in elke mail.
9. Wijzigingen
Passen we deze privacyverklaring aan, dan zetten we de nieuwe versie hier, met een nieuw versienummer en de datum waarop hij ingaat.