Privacybeleid

Dit beleid geldt voor bezoekers van de Cashbox-website (cashbox.events) en voor organisaties en gebruikers van de Cashbox-applicatie.

Gebruik je Cashbox via je werkgever of productiebedrijf, dan is die organisatie de verwerkingsverantwoordelijke voor de gegevens over evenementen, uitgaven, inkomsten en bewijsstukken die je team invoert. Cashbox treedt namens hen op als verwerker.

Voor de website zelf en voor je persoonlijke account (naam, e-mail, inloggegevens) is Cashbox de verwerkingsverantwoordelijke.

Account- en authenticatiegegevens: naam, e-mailadres, profielfoto (indien opgegeven), gehashte inloggegevens of identificatoren van federatief inloggen (bijv. Google), lidmaatschap van organisaties, rol en voorkeurstaal.

Configuratie van de organisatie: naam van de organisatie, btw- of fiscaal nummer, standaardvaluta, regionale instellingen, categorieën, goedkeuringsdrempels, lijst met btw-tarieven en uitgenodigde leden.

Financiële gegevens die je team invoert: evenementen, budgetten, uitgaven (inclusief leverancier, bedragen, data, btw-regels en vastgelegde wisselkoersen), inkomstenregels, goedkeuringen, notities en de bijbehorende auditgeschiedenis.

Geüploade bestanden: facturen en bonnen als bijlage, en optionele screenshots bij supportverzoeken of bugmeldingen. Ze worden opgeslagen in Firebase Storage onder je organisatie. Een CSV die je importeert, wordt in je browser gelezen en het bestand zelf wordt nooit opgeslagen: alleen de rijen die je bevestigt worden bewaard, als uitgaven of inkomsten.

Factureringsgegevens: abonnement, abonnementsstatus, factuur-e-mailadres, btw-nummer en factuurgeschiedenis. Kaartgegevens worden door Stripe verwerkt en nooit op servers van Cashbox opgeslagen.

Communicatie: de inhoud van berichten die je ons stuurt via het contactformulier, het supportformulier, bugmeldingen en directe e-mail.

Technische gegevens: IP-adres, browser, apparaattype, globale locatie op basis van het IP-adres, tijdstempels en standaard serverlogs voor beveiliging, het voorkomen van misbruik en het oplossen van fouten.

Om de dienst te leveren: gebruikers authenticeren, de gegevens van je organisatie tonen, goedkeuringen afhandelen, totalen berekenen, transactionele e-mails versturen (uitnodigingen, goedkeuringen, wachtwoordherstel) en een manipulatiebestendige audittrail bijhouden.

Om support te bieden: reageren op contactberichten, supportverzoeken en bugmeldingen, en problemen onderzoeken die je meldt.

Om te helpen bij imports: als je een CSV importeert, worden de kolomkoppen en een steekproef van de rijen naar de Gemini-API van Google gestuurd om een kolomkoppeling voor te stellen. Je bevestigt de koppeling voordat er iets wordt opgeslagen, en als de dienst niet beschikbaar is, koppelt de import op kolomnaam.

Om te factureren en abonnementen te beheren: limieten van het abonnement afdwingen (actieve evenementen, gebruikers), betalingen via Stripe verwerken en betaalbewijzen uitgeven.

Om de dienst veilig te houden: misbruik opsporen, fraude voorkomen, het aantal inzendingen beperken en andere klanten beschermen.

Om het product te verbeteren: geaggregeerd gebruik en betrouwbaarheid begrijpen. We verkopen geen persoonsgegevens en gebruiken de financiële gegevens van je organisatie niet om externe modellen te trainen.

Uitvoering van een overeenkomst: de dienst leveren aan de organisatie en de gebruiker die zich hebben aangemeld.

Gerechtvaardigd belang: de dienst beveiligen, misbruik voorkomen, vragen beantwoorden en de betrouwbaarheid verbeteren, afgewogen tegen jouw rechten.

Wettelijke verplichtingen: voldoen aan boekhoudkundige, fiscale en andere wettelijke eisen (bijvoorbeeld het bewaren van factuurgegevens).

Toestemming: als je ervoor kiest ons optionele informatie te sturen, zoals een screenshot bij een bugmelding.

We delen gegevens met een klein aantal infrastructuur- en dienstverleners, uitsluitend om Cashbox te laten werken:

Google Cloud / Firebase: authenticatie, Firestore-database en Cloud Storage (gegevensregio: EU waar beschikbaar).

Vercel: hosting en levering van de applicatie. Verwerkt verzoeken aan de site en de API en houdt standaard serverlogs bij.

Stripe: facturering van abonnementen en betalingen; verwerkt je kaartgegevens in zijn eigen PCI-conforme omgeving.

Resend: verzending van de transactionele e-mails en meldingen die het product verstuurt.

Google Gemini: kolomkoppeling bij CSV-imports. Als je een bestand importeert, worden de kolomkoppen, de eerste 15 rijen en de verschillende waarden voor categorie of inkomstenbron erin naar de Gemini-API gestuurd, zodat die kan voorstellen welke kolom welke is. Het voorstel is een suggestie die jij bevestigt, en de import werkt ook als de aanroep mislukt.

Google Analytics: webanalyse op onze openbare pagina's, alleen geladen met je toestemming; IP-adressen worden geanonimiseerd.

We hebben met elke subverwerker een schriftelijke verwerkersovereenkomst en delen alleen de minimale gegevens die voor die dienst nodig zijn. Internationale doorgiften vallen waar van toepassing onder modelcontractbepalingen.

Gegevens die in een organisatie worden ingevoerd (evenementen, uitgaven, inkomsten, bijlagen, auditregels) zijn zichtbaar voor andere leden van die organisatie, afhankelijk van hun rol.

Eigenaren en beheerders van een organisatie zien de leden, uitnodigingen, rolwijzigingen en het volledige financiële record. Eigenaren kunnen de gegevens van hun organisatie op elk moment exporteren of verwijderen.

We verkopen geen persoonsgegevens en delen ze niet met derden voor hun eigen advertenties.

We kunnen informatie verstrekken als de wet dat vereist, naar aanleiding van een geldig juridisch verzoek, of als dat redelijkerwijs nodig is om de dienst, onze gebruikers of onze rechten te beschermen.

Account- en organisatiegegevens worden bewaard zolang de organisatie actief is. Wordt een abonnement opgezegd, dan blijven de gegevens een korte overgangsperiode bewaard zodat je ze kunt exporteren, waarna ze op verzoek worden verwijderd of geanonimiseerd.

Factuur-, belasting- en boekhoudgegevens kunnen langer worden bewaard als Estisch en Europees recht dat vereisen (voor boekhoudkundige gegevens doorgaans tot 7 jaar).

Serverlogs en beveiligingsgegevens worden bewaard gedurende een beperkte periode die bij hun doel past.

Gegevens worden via TLS verzonden en opgeslagen op beheerde infrastructuur met versleuteling in rust. Toegang is gebaseerd op rollen en wordt zowel in de applicatie als op databaseniveau afgedwongen via beveiligingsregels.

Elke schrijfactie op financiële gegevens wordt vastgelegd in een auditlog met wie, wanneer en wat er veranderde. Geen enkel systeem is volkomen veilig: denk je dat je account is gecompromitteerd, neem dan direct contact met ons op.

Op grond van de AVG en vergelijkbare wetten kun je vragen om inzage in, correctie van of verwijdering van je persoonsgegevens; bezwaar maken tegen of beperking vragen van bepaalde verwerkingen; en een overdraagbare kopie van je gegevens vragen.

Eigenaren kunnen de financiële gegevens van hun organisatie rechtstreeks uit het product exporteren. Voor verzoeken over een persoonlijk account mail je naar hello@cashbox.events, met genoeg details zodat we het record kunnen vinden.

Vind je dat we je verzoek niet goed hebben afgehandeld, dan kun je een klacht indienen bij de Estse toezichthouder voor gegevensbescherming (Andmekaitse Inspektsioon) of bij de toezichthoudende autoriteit van de EU-lidstaat waar je woont.

Cashbox gebruikt een klein aantal strikt noodzakelijke cookies om je ingelogd te houden, je te beschermen tegen cross-site request forgery en je taalvoorkeur te onthouden. Ze zijn nodig om de dienst te laten werken en zijn niet optioneel.

Met je toestemming gebruiken we ook Google Analytics 4 om te begrijpen hoe bezoekers onze openbare website vinden en gebruiken. Het wordt pas geladen nadat je in de cookiebanner akkoord geeft: weiger je, of negeer je de banner, dan wordt er geen analysescript geladen en geen analysecookie geplaatst.

Geef je akkoord, dan bewaren we ook de campagneparameters (zoals utm_source of gclid) uit de link waarmee je voor het eerst op de site kwam, zodat we weten welke marketing tot een aanmelding leidde. Weiger je, dan worden ze weggegooid en verlaten ze je browser nooit.

Je kunt je keuze op elk moment wijzigen door de gegevens van deze site in je browser te wissen; de banner verschijnt dan opnieuw. We vragen het sowieso minstens elke zes maanden opnieuw.

Cashbox is een zakelijk product en is niet bedoeld voor kinderen onder de 16 jaar. Denk je dat een minderjarige een account heeft aangemaakt, neem dan contact op en we verwijderen het.

We kunnen dit beleid bijwerken naarmate het product zich ontwikkelt. Belangrijke wijzigingen worden op de pagina uitgelicht en waar passend per e-mail aan eigenaren van organisaties gemeld.

De datum "laatst bijgewerkt" bovenaan deze pagina geeft altijd de actuele versie weer.

Voor vragen over privacy, verzoeken van betrokkenen of informatie over subverwerkers kun je terecht bij hello@cashbox.events.