Privacyverklaring PensionPlanner

Verwerkingsverantwoordelijke voor de in deze verklaring beschreven verwerkingen is Finstri · KvK 82491224 · adres: Willem de Zwijgerlaan 110-2, 1056 JV Amsterdam · info@finstri.nl. Gebruik dat e-mailadres voor privacyvragen en voor het uitoefenen van je rechten. Er is geen functionaris voor gegevensbescherming aangesteld.

Gebruik je PensionPlanner als adviseur voor cliënten, dan bepaal jij de grondslag, het doel en de essentiële middelen van de verwerking van hun gegevens. Voor door ons in jouw opdracht uitgevoerde uploads, AI-functies en feedback met cliëntgegevens gelden wij als verwerker en geldt de Verwerkersovereenkomst in Bijlage 1 van de uitdrukkelijk geaccepteerde zakelijke Algemene Voorwaarden. Lokale gegevens ontvangen wij daarbij niet vanzelf. Voor accountbeheer, beveiliging, facturatie en eigen productstatistieken zijn wij zelf verwerkingsverantwoordelijke.

Je berekeningen, inkomenswens, maandlasten, partnergegevens en klantprofielen staan in local storage en IndexedDB van je browser. Ze worden niet als financieel dossier bij Finstri opgeslagen en komen niet als rekenvelden in analytics terecht. Bij bewust gebruikte cloudfuncties, uploads en feedback kan inhoud wel naar ons en een leverancier gaan, zoals hieronder uitgelegd. Browseropslag is geen versleutelde kluis en geen serverback-up: bij wissen of verlies van het apparaat kunnen wij deze gegevens niet herstellen.

Adviseurs kunnen meerdere klantprofielen in hun eigen browser bewaren. De interface koppelt profielen aan het ingelogde account, maar dat is geen cryptografische afscheiding tegen iemand met toegang tot hetzelfde apparaat of de browseropslag. Een Excel-back-up wordt lokaal gemaakt en teruggezet en kan namen en financiële gegevens bevatten. Bewaar en deel die daarom zorgvuldig. Als adviseur blijf je verantwoordelijk voor cliëntgegevens. Accountverwijdering wist de bijbehorende lokale profielen op het apparaat waarop je dat doet; kopieën op andere apparaten of eigen back-ups moet je zelf verwijderen.

Je kunt een partner aan een plan toevoegen met naam, geboortedatum, inkomen en documenten. Informeer de partner en voeg gegevens alleen toe met een geldige grondslag; toestemming is niet automatisch de enige mogelijke grondslag. Ook partnergegevens kunnen meegaan in bewust gestarte uploads, AI-verwerking of een back-up. Partner verwijderen en Gegevens wissen wissen de betreffende gegevens op dit apparaat, niet automatisch eerder gemaakte kopieën.

Een gewone upload gaat naar onze server. Daar wordt tekst uit het document gehaald; relevante tekst kan vervolgens naar de betaalde Google Gemini Developer API gaan. Document en financiële uitkomst worden niet als gebruikersdossier bewaard. Namen en een ongeschoond BSN kunnen nog in die tekst staan: scherm niet-noodzakelijke gegevens vooraf af. Mijnpensioenoverzicht-XML/JSON wordt op de server uitgelezen zonder dat daarvoor Gemini nodig is. Met ondersteunde Privacymodus wordt een document lokaal uitgelezen. Voor cliëntdocumenten handelen wij als verwerker.

Een cloud-conceptadvies verwerkt de daarvoor aangeboden financiële samenvatting en eventuele eigen context. Alleen opslaan in je browser betekent niet dat deze functie lokaal draait. De Gemini-schakelaar in de planvergelijking staat standaard uit: zonder Gemini rekent de app lokaal. Na inschakelen en starten gaan alleen inkomenswens, budget, buffer en beperkte doorgerekende scenario's naar Gemini, geen namen, documenten of volledige klantdossiers. De uitkomst wordt alleen na jouw bevestiging overgenomen. In Privacymodus blijft de lokale vergelijking beschikbaar en is Gemini uitgeschakeld.

Laat je het pensioenadvies voorlezen, dan stuurt je browser de adviestekst per alinea naar onze server, die er met Google Gemini gesproken audio van maakt en die meteen teruggeeft. Wij bewaren tekst noch audio. Staat privacymodus aan, dan leest een stem op je eigen apparaat voor en gaat er niets naar ons of naar Google. Spreek je bij het advies je situatie in (bètafunctie), dan zet je browser je stem om in tekst. Chrome gebruikt daarvoor een spraakdienst van Google en Edge een van Microsoft, onder de voorwaarden van je browser. Wil je dat niet, typ je situatie dan. In privacymodus is inspreken uitgeschakeld.

Wij bewaren de accountgegevens die voor toegang nodig zijn, zoals e-mailadres, organisatie/domein, rol, uitnodigingsgegevens, proefduur/-status en de geregistreerde juridische versies met acceptatietijdstip. Extra zakelijke profielgegevens staan onder Adviseursprofiel. Per sessie registreren wij aanmeldmethode, apparaat-/browserlabel, activiteit en een gepseudonimiseerde netwerkcode (HMAC van een netwerkprefix), niet het ruwe IP-adres in de sessietabel. De code is niet anoniem en ondersteunt misbruikcontrole. Onze infrastructuur en leveranciers kunnen daarnaast netwerkgegevens verwerken voor verkeer en beveiliging. Wachtwoorden zijn gesalt gehasht, passkeys hebben een publieke sleutel en herstelcodes een keyed hash; authenticatorgeheimen zijn versleuteld. Biometrie en de lokale apparaat-pincode gaan niet naar Finstri.

Voor nieuwe zakelijke abonnementen gebruiken wij Moneybird voor facturatie en boekhouding. Bij een afgesproken SEPA-incasso verwerken de daarvoor ingeschakelde partijen ook IBAN, rekeninghouder en machtigingsgegevens. De precieze betaalafspraak wordt bij het starten vastgelegd; de juridische tekst maakt geen nieuwe incassomachtiging aan. Voor zover een bestaand abonnement nog via Stripe loopt, verwerkt Stripe facturatie en betaalgegevens onder zijn toepasselijke voorwaarden en privacyverklaring. Finstri verwerkt de benodigde klant-, factuur-, betaal- en abonnementsmetadata. De keuze voor een nieuw abonnementsmodel zet een bestaand abonnement niet automatisch om.

Feedback bevat je bericht, meldingstype, account-/organisatiegegevens, pagina zonder querytokens, apparaatinformatie en appversie. Screenshots, pdf's en de berichttekst zelf kunnen financiële of cliëntgegevens bevatten. Wij gebruiken dit voor afhandeling, ondersteuning en verbetering. Bijlagen worden afgeschermd opgeslagen bij Microsoft Azure (of bij een opslagstoring in onze database), niet als bijlage doorgemaild. Beheerders met een noodzaak hebben toegang. Verwijder niet-noodzakelijke of gevoelige inhoud vóór verzending.

Een adviseursprofiel kan naam, functie, bedrijf, KvK-, AFM- en Kifid-nummer, adres, telefoon, e-mail, website, logo en voorkeuren voor aanbieders bevatten. Wij bewaren dit voor je rapportbriefpapier en accountinstellingen. Een logo wordt opnieuw opgeslagen in verkleinde vorm zonder metadata. Cliëntnamen staan niet als profielveld bij ons, maar kunnen wel in bewust verstuurde documenten, adviesinhoud of feedback voorkomen. Accountverwijdering verwijdert het adviseursprofiel en logo.

Log je in met Microsoft, dan valideren wij een Azure Entra ID-token en gebruiken wij claims uit dat token - e-mailadres, tenant-ID, object-ID en weergavenaam - om je toegangsrecord aan te maken of bij te werken.

Gebruiksstatistieken bevatten beperkte metadata, zoals route, component, actie, documenttype, status, organisatie/domein en apparaatcategorie. Bij ingelogde gebruikers kunnen statistieken ook aan hun account of een apparaat-id zijn gekoppeld. Het zijn daarom niet uitsluitend anonieme statistieken. Financiële rekenvelden worden vóór opslag uitgefilterd. Er zijn geen tracking- of advertentiecookies en geen koppelingen met advertentienetwerken.

Deze verklaring veronderstelt geen bestaande nieuwsbriefinschrijving: een nieuwsbrief is geen onderdeel van de huidige aanmelding. Wordt die later aangeboden, dan gebeurt inschrijving afzonderlijk en met een duidelijke afmeldmogelijkheid. Noodzakelijke account-, beveiligings- en contractmails zijn geen nieuwsbrief.

De tool gebruikt geen tracking- of advertentiecookies. Wel gebruiken wij functionele opslag in je browser (local storage en IndexedDB) voor je taalkeuze, je thema, je sessie, je eigen rekengegevens en je klantprofielen. Die opslag is noodzakelijk om de dienst te leveren en vraagt daarom geen cookietoestemming. Je kunt deze op elk moment wissen via je browserinstellingen of via ‘Gegevens wissen’ in de tool.

Wij verwerken persoonsgegevens op de volgende grondslagen:

• Uitvoering van een overeenkomst of, waar passend voor zakelijke contactpersonen, gerechtvaardigd belang: toegang, accountbeheer, ondersteuning, proefperiode, adviseursprofiel en abonnement. Voor cliëntverwerkingen handelt Finstri onder gedocumenteerde instructies; de adviseur bepaalt de grondslag voor zijn cliënten.
• Gerechtvaardigd belang: beveiliging en misbruikpreventie en beperkte productstatistieken. Daarbij moeten noodzaak, proportionaliteit en belangen van betrokkenen worden afgewogen; alleen het ontbreken van financiële bedragen maakt accountgekoppelde metadata niet anoniem.
• Wettelijke verplichting (art. 6 lid 1 sub c AVG): het bewaren van facturen en administratie (fiscale bewaarplicht) en van accountgegevens voor zover wet- en regelgeving daartoe verplicht.
• Toestemming waar die voor een optionele functie wordt gevraagd, zoals het inschakelen van de Gemini-planvergelijking. Een toestemming kun je voor toekomstig gebruik intrekken via de schakelaar of info@finstri.nl; een reeds uitgevoerde doorgifte wordt daarmee niet ongedaan gemaakt. Een klik van een adviseur is niet automatisch AVG-toestemming namens zijn cliënt of diens partner. De adviseur zorgt voor een passende eigen grondslag en informatieverstrekking.

Dienstverleners zijn Microsoft Azure voor hosting, Google voor de betaalde Gemini Developer API, een SMTP-provider voor accountmails en Moneybird voor nieuwe facturatie/boekhouding. Voor bestaande Stripe-abonnementen blijft Stripe relevant, deels als zelfstandig verwerkingsverantwoordelijke. Bij cliëntverwerking zijn de daarvoor ingeschakelde partijen subverwerkers; de lijst staat in Bijlage 3 van de zakelijke voorwaarden. De toepasselijke Google-afspraken zijn de Gemini API Additional Terms en het Data Processing Addendum for Products Where Google is a Data Processor, niet zonder meer de voorwaarden voor Vertex AI.

Voor Gemini en andere externe diensten kan verwerking buiten de EER plaatsvinden. De toepasselijke contractspartij, regio's, standaardcontractbepalingen en eventuele adequaatheidsdekking moeten bij de werkelijk gebruikte dienst passen. Voor de bevestigde betaalde Gemini-dienst worden prompts en antwoorden niet gebruikt voor productverbetering, maar beperkte logging voor misbruikdetectie blijft mogelijk. Lokale AI of handmatige invoer voorkomt verzending van die financiële inhoud naar Gemini, niet al het internationale account-, modeldownload- of betaalverkeer.

Privacymodus downloadt modelbestanden van Hugging Face en software-/modelbibliotheken via onder meer GitHub/CDN's. Die diensten ontvangen netwerkgegevens zoals je IP-adres, niet je financiële invoer bij alleen het downloaden. De bestanden worden lokaal bewaard. Ondersteunde verwerking draait daarna op je apparaat. Finstri host de modelgewichten niet. De gekozen licenties zijn:

• Qwen3.5-2B — Alibaba Cloud — Apache License 2.0
• Qwen3.5-4B — Alibaba Cloud — Apache License 2.0
• WebLLM (MLC LLM) — MLC AI — Apache License 2.0
• PDF.js — Mozilla — Apache License 2.0

Lokale rekengegevens blijven staan totdat je ze wist, de browser ze verwijdert of je apparaat verloren gaat. Accountgegevens blijven staan zolang het account bestaat; de huidige accountverwijdering wist het accountrecord en is geen hersteltermijn van twaalf maanden. Een noodzakelijke contract- en factuuradministratie kan afzonderlijk worden bewaard, in beginsel zeven jaar waar de fiscale bewaarplicht dat vereist. Dit betekent niet dat de app al een zevenjarig acceptatiearchief heeft. Uitnodigings-/toegangslijsten worden bewaard zolang nodig voor toegang en opvolging. Voor gebruiksstatistieken geldt als bewaarbeleid maximaal 24 maanden; sessiegegevens worden tot 90 dagen na het verlopen van de sessie bewaard. Feedbackbijlagen worden na 30 dagen en feedbacktekst na maximaal 24 maanden verwijderd, of eerder bij accountverwijdering. Een profiel en logo bestaan zolang het account bestaat. Leveranciers kunnen tijdelijk beveiligingslogging bewaren volgens hun voorwaarden.

Wij gebruiken TLS, gehashte wachtwoorden, versleutelde authenticatorgeheimen, passkeys of tweestapsverificatie en beperkte beheertoegang. Er kan voor bestaande accounts een inrichtingstermijn voor de tweede factor gelden. Deze maatregelen versleutelen lokale cliëntgegevens niet automatisch en sluiten beveiligingsrisico's niet uit. Meld kwetsbaarheden via info@finstri.nl zonder cliëntgegevens of geheime sleutels mee te sturen.

Wij nemen geen besluiten met rechtsgevolg of vergelijkbaar aanmerkelijk gevolg op basis van uitsluitend geautomatiseerde verwerking, zoals bedoeld in artikel 22 AVG. Het AI-advies is informatief en leidt niet tot een besluit over jou.

De tool is niet gericht op personen jonger dan 16 jaar als gebruiker. Een huishoudberekening kan wel beperkte gegevens over kinderen bevatten, zoals aantal, leeftijd en maandlasten. Voer geen onnodige namen, dossiers of bijzondere gegevens over kinderen in.

Je kunt inzage, correctie, verwijdering, beperking, bezwaar en waar van toepassing overdraagbaarheid vragen via info@finstri.nl. Wij reageren in beginsel binnen één maand; een wettelijk toegestane verlenging lichten wij binnen die maand toe. Bezwaar tegen verwerking op gerechtvaardigd belang beoordelen wij afzonderlijk. Je kunt een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl). Als cliënt van een adviseur wend je je voor diens verwerkingen in eerste instantie tot de adviseur; wij helpen hem als verwerker.

Privacyvragen kun je sturen naar info@finstri.nl.