Privacybeleid

1. Algemene informatie en rollen van partijen

Dit Privacybeleid beschrijft de regels voor de verwerking en bescherming van persoonsgegevens in de Synomi-webdienst en in de mobiele applicatie van Synomi, geleverd door Synomi.

Synomi is een dienst die bestemd is voor ondernemers (B2B) en is niet gericht op personen jonger dan 18 jaar; wij verzamelen niet bewust gegevens van minderjarigen.

In overeenstemming met Verordening 2016/679 (AVG/GDPR) treedt Synomi op in twee verschillende rollen, afhankelijk van het soort verwerkte gegevens:

• Als Verwerkingsverantwoordelijke — met betrekking tot de accountgegevens van de Synomi-Gebruiker (voornaam, achternaam, e-mailadres, telefoonnummer, correspondentieadres, bedrijfsgegevens, betaalgegevens, technische logs), d.w.z. gegevens die rechtstreeks worden verzameld om de Synomi-dienst te leveren en het account te beheren.
• Als Verwerker in de zin van art. 4 lid 8 en art. 28 AVG/GDPR — met betrekking tot de gegevens die de Gebruiker invoert of genereert in het Synomi-systeem in het kader van zijn onderneming (klantgegevens, factuurinhoud, bonnen en boekhouddocumenten, spraakopnamen/transcripties, foto's van documenten, gps-ritten in de kilometerregistratie). De Verwerkingsverantwoordelijke van deze gegevens is de Synomi-Gebruiker (art. 4 lid 7 AVG/GDPR), en Synomi verwerkt deze uitsluitend op zijn gedocumenteerde instructie. De gedetailleerde voorwaarden van de verwerking zijn vastgelegd in sectie 9 van de Algemene Voorwaarden van Synomi.

Contactgegevens Synomi:
Synomi
's-Gravelandseweg 397, 3125 BJ Schiedam, Nederland
KvK: 64597237
E-mail: hello@synomi.ai

2. Omvang van verzamelde gegevens

In het kader van onze dienstverlening verzamelen wij de volgende persoonsgegevens:

• Identificatiegegevens: voornaam, achternaam, bedrijfsnaam
• Contactgegevens: e-mailadres, telefoonnummer, correspondentieadres
• Bedrijfsgegevens: KvK-nummer, BTW-nummer
• Gebruiksgegevens: logs, IP-adres, browsertype
• Betalingsgegevens: verwerkt door Mollie (wij slaan geen kaartgegevens op)

2a. Gegevens in de mobiele applicatie (iOS / Android)

De mobiele applicatie van Synomi krijgt toegang tot bepaalde functies van het apparaat uitsluitend na uitdrukkelijke toestemming van de Gebruiker en alleen om de door de Gebruiker gekozen functie uit te voeren. Gegevens die door deze functies worden gegenereerd (factuurinhoud, bonnen, ritten) worden door Synomi als Verwerker verwerkt namens de Gebruiker-Verwerkingsverantwoordelijke (zie sectie 1).

• Microfoon (Voice-to-Invoice™) — na het tikken op de knop "Spreken" start de applicatie spraakherkenning op het apparaat (on-device spraakherkenning op iOS / Android). Alleen de tekst (transcriptie van de opdracht) wordt naar onze server verzonden — wij verzenden of bewaren geen audio-opnamen.
• Locatie (Kilometerregistratie) — GPS-coördinaten worden ALLEEN geregistreerd wanneer de Gebruiker de ritregistratie actief start. De modus "op de achtergrond" (Always) wordt uitsluitend gebruikt om te voorkomen dat de ritregistratie wordt onderbroken wanneer de applicatie tijdens het rijden op de achtergrond draait. Ritgegevens worden gebruikt voor de afrekening van zakelijke reiskosten.
• Camera / Foto's (Kosten — bon-OCR) — na het maken van een foto van een bon of factuur wordt de afbeelding naar de AI-dienst van Anthropic gestuurd voor automatische gegevensuitlezing (OCR, zie sectie 6) of verwerkt door een lokale OCR-engine op onze server. Na uitlezing kan de afbeelding in het account van de Gebruiker worden bewaard als bijlage bij de kostenpost.
• Crashrapporten — iOS en Android sturen standaard diagnostische crashgegevens naar Apple / Google als de Gebruiker hiervoor toestemming heeft gegeven in de systeeminstellingen. Synomi maakt in de mobiele applicatie geen gebruik van externe analyse- of advertentie-SDK's (geen Firebase Analytics, geen Google Analytics in de app, geen advertentietracker-SDK's).

De Gebruiker kan de toestemming voor toegang tot de microfoon, locatie of camera op elk moment intrekken in de instellingen van het besturingssysteem van zijn apparaat (iOS: Instellingen → Privacy; Android: Instellingen → Apps → Synomi → Machtigingen).

3. Doel van gegevensverwerking

Persoonsgegevens worden verwerkt voor de volgende doeleinden:

• Verlenen van diensten op het gebied van facturatie en bedrijfsbeheer
• Beheer van gebruikersaccounts
• Verwerking van betalingen en afrekeningen
• Communicatie met gebruikers
• Waarborgen van de veiligheid van de dienst
• Analyse en verbetering van onze diensten
• Nakoming van wettelijke en fiscale verplichtingen

4. Rechtsgrondslag voor verwerking

De verwerking van persoonsgegevens vindt plaats op basis van:

• Toestemming van de gebruiker (art. 6 lid 1 sub a AVG/GDPR)
• Uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG/GDPR)
• Nakoming van wettelijke verplichtingen (art. 6 lid 1 sub c AVG/GDPR)
• Gerechtvaardigd belang van de verwerkingsverantwoordelijke (art. 6 lid 1 sub f AVG/GDPR)

5. Cookies

5.1. Wat zijn cookies?

Cookies zijn kleine tekstbestanden die op uw apparaat worden opgeslagen tijdens het browsen op websites. Ze worden gebruikt om uw voorkeuren en instellingen te onthouden.

De bepalingen van deze sectie zijn van toepassing op de website. De mobiele app van Synomi (iOS en Android) toont geen cookiebanner en gebruikt uitsluitend technisch noodzakelijke sessiemechanismen (inloggen, beveiliging) — zonder marketing-, analyse- of trackingcookies.

5.2. Waarom werkt Synomi niet zonder cookies?

Synomi vereist technische cookies voor een goede werking om de volgende redenen:

• Gebruikersauthenticatie — sessiecookies maken inloggen en toegang tot uw account mogelijk
• CSRF-beveiliging — bescherming tegen cross-site request forgery-aanvallen vereist tokens in cookies
• Taalvoorkeuren — onthouden van de gekozen interfacetaal
• Winkelwagen en sessie — opslaan van de applicatiestatus tussen HTTP-verzoeken

5.3. Welke cookies gebruiken wij?

Noodzakelijke cookies (technisch)

Deze cookies zijn noodzakelijk voor de werking van de dienst en kunnen niet worden uitgeschakeld:

• synomi_session — gebruikerssessie-identificatie
• XSRF-TOKEN — beveiligingstoken tegen CSRF-aanvallen
• synomi_cookie_consent — uw cookietoestemming (LocalStorage)

Analytische en advertentiecookies

Synomi gebruikt geen analytische, advertentie- of trackingcookies — noch in de webdienst, noch in de mobiele applicatie (geen Google Analytics, geen advertentie-SDK's, geen datahandelaren).

5.4. Hoe lang bewaren wij cookies?

• Sessiecookies — worden verwijderd na het sluiten van de browser
• Permanente cookies — worden bewaard tot 30 dagen (cookietoestemming)
• "Onthoud mij"-cookies — tot 1 jaar (indien u deze optie bij het inloggen inschakelt)

5.5. Hoe kunt u cookies beheren?

U kunt cookies beheren via:

• Browserinstellingen — u kunt cookies blokkeren of verwijderen
• Informatiebanner — bij uw eerste bezoek aan de website synomi.ai tonen wij een melding over het gebruik van noodzakelijke technische cookies (knop „Ik begrijp het"). Omdat wij uitsluitend noodzakelijke cookies gebruiken, is de banner informatief en vereist geen keuze. In de mobiele applicatie verschijnt deze banner niet

5.6. Externe cookies (betalingen)

Tijdens het betalingsproces wordt de gebruiker doorgestuurd naar de website van betalingsprovider Mollie B.V., die eigen cookies kan gebruiken in overeenstemming met hun privacybeleid, beschikbaar op mollie.com/privacy. Synomi heeft geen controle over cookies die door Mollie worden geplaatst.

Betalingen worden niet verwerkt in de mobiele app van Synomi (iOS en Android) — de hierboven beschreven doorverwijzing naar Mollie en de bijbehorende cookies komen uitsluitend op de website voor.

6. Delen van gegevens (subverwerkers)

Om de Synomi-dienst te leveren, maken wij gebruik van vertrouwde externe leveranciers (subverwerkers in de zin van art. 28 AVG/GDPR). Gegevens kunnen met de volgende partijen worden gedeeld, uitsluitend voor zover noodzakelijk voor het uitvoeren van een specifieke functie:

• Mollie B.V. (Nederland) — online betalingsprovider. Zie mollie.com/privacy
• Anthropic PBC (VS) — leverancier van AI-modellen die worden gebruikt voor automatische gegevensuitlezing uit foto's van bonnen en facturen (OCR), het verwerken van Voice-to-Invoice-opdrachten en het functioneren van de AI-assistent Daisy. Alleen gegevens die externe verwerking vereisen, worden naar Anthropic verstuurd en verzoeken zijn niet aan een specifieke gebruiker gekoppeld. Anthropic is gebonden aan een DPA en gebruikt de overgedragen gegevens niet om modellen te trainen. Zie anthropic.com/legal/privacy
• Google LLC (VS) — in twee onafhankelijke gevallen:
  • "Sign in with Google" — als de Gebruiker ervoor kiest om via Google in te loggen, verstrekt Google ons het e-mailadres en basisprofielgegevens binnen de omvang van de gegeven toestemming.
  • Google Calendar-synchronisatie — als de Gebruiker zijn Google Calendar-account actief koppelt (OAuth2), schrijft Synomi in zijn agenda gebeurtenissen die in het systeem worden gegenereerd (vervaldata van facturen, geplande afspraken, kostenherinneringen) en leest gebeurtenissen uit de agenda om ze in het Synomi-paneel weer te geven. De Gebruiker kan de integratie op elk moment loskoppelen en de toestemming intrekken in de instellingen van zijn Google-account (myaccount.google.com/permissions).
  Zie policies.google.com/privacy
• Apple Inc. (VS) — in twee onafhankelijke gevallen:
  • "Sign in with Apple" — als de Gebruiker ervoor kiest om via Apple in te loggen, verstrekt Apple ons uitsluitend een identificator en — op verzoek van de Gebruiker — een e-mail (eventueel in geanonimiseerde vorm, gerelayeerd door Apple).
  • iCloud Calendar-synchronisatie (CalDAV) — als de Gebruiker zijn iCloud-agenda actief koppelt met een app-specifiek wachtwoord (App-Specific Password), communiceert Synomi met Apple-servers (caldav.icloud.com) om gebeurtenissen te schrijven en te lezen (vervaldata, afspraken, herinneringen). De Gebruiker kan de integratie op elk moment loskoppelen door het app-specifieke wachtwoord in te trekken op appleid.apple.com.
  Zie apple.com/legal/privacy
• Overheidsinstanties — wanneer de wet dit vereist (bijv. dagvaarding, fiscale verplichtingen).

Doorgifte van gegevens naar de VS (Anthropic, Google, Apple) vindt plaats op basis van Standaardcontractbepalingen (SCC) goedgekeurd door de Europese Commissie en — voor Google en Apple — certificering onder het EU–US Data Privacy Framework.

Wij verkopen uw persoonsgegevens niet aan derden. Wij maken geen gebruik van advertentienetwerken of datahandelaren.

7. Rechten van de gebruiker

Conform de AVG/GDPR heeft u het recht op:

• Inzage in uw persoonsgegevens
• Rectificatie (correctie) van gegevens
• Verwijdering van gegevens ("recht om vergeten te worden")
• Beperking van de verwerking
• Overdraagbaarheid van gegevens
• Bezwaar tegen verwerking
• Intrekking van toestemming op elk moment
• Een klacht indienen bij een toezichthoudende autoriteit — in Nederland is dit de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl)

Om gebruik te maken van deze rechten, neem contact met ons op: hello@synomi.ai

8. Gegevensbeveiliging

Wij passen passende technische en organisatorische maatregelen toe om uw gegevens te beschermen:

• Versleuteling van bedrijfsgegevens (encrypted at rest)
• SSL/TLS-verbindingen (HTTPS)
• Regelmatige beveiligingsupdates
• Beperkte toegang tot persoonsgegevens
• Regelmatige back-ups
• Servers in Nederland (AVG-conform)

9. Bewaartermijn en verwijderen van account

Wij bewaren uw gegevens gedurende:

• De looptijd van de overeenkomst en dienstverlening
• Na afloop van het abonnement — in de alleen-lezen modus, gedurende maximaal 24 maanden ononderbroken inactiviteit (verwijdering na voorafgaande kennisgeving per e-mail met een termijn van 30 dagen)
• Maximaal 30 dagen na verwijdering van het account (bedenktermijn)

9.1. Account verwijderen

U kunt uw account zelf in de app verwijderen: Profiel → Account verwijderen. U kunt verwijdering van uw account en gegevens ook per e-mail aanvragen via support@synomi.ai (ook zonder de app te gebruiken).

Na de aanvraag gaat het account een respijtperiode van 30 dagen in — gedurende deze tijd kunt u de verwijdering annuleren door opnieuw in te loggen. Na 30 dagen worden de gegevens permanent en onomkeerbaar van onze servers verwijderd.

Vóór verwijdering raden wij aan uw gegevens te exporteren (PDF/XML/Excel-exports) — herstel is na verwijdering niet mogelijk. De verplichting om uw eigen administratie 7 jaar te bewaren ligt bij de Gebruiker.

Wat blijft bewaard: de door Synomi uitgereikte verkoopfacturen (voor het abonnement) bewaren wij 7 jaar in onze administratie — dit vloeit voort uit een wettelijke verplichting (administratieplicht; art. 6 lid 1 sub c AVG/GDPR), waarvoor Synomi als Verwerkingsverantwoordelijke optreedt.

10. Wijzigingen in het Privacybeleid

Wij behouden ons het recht voor om wijzigingen aan te brengen in dit Privacybeleid. Over wijzigingen informeren wij u door publicatie van een nieuwe versie op de website en het versturen van een e-mailnotificatie (bij belangrijke wijzigingen).

11. Contact

Bij vragen over de verwerking van persoonsgegevens of dit Privacybeleid kunt u contact met ons opnemen: