Geldig vanaf 29 september 2026 · vorige versie: 27 augustus 2026 · Cijferchef, KvK 89856732
Cijferchef (eenmanszaak), gevestigd aan Hesseling 10, 4841 JJ Prinsenbeek, ingeschreven bij de Kamer van Koophandel onder nummer 89856732, btw-id NL004766152B45 ("Cijferchef", "wij"). Bereikbaar via info@cijferchef.nl.
Cijferchef is een online boekhoudpakket. Voor de gegevens die je in je administratie vastlegt (bijvoorbeeld gegevens van jouw klanten en leveranciers) ben jij zelf de verwerkingsverantwoordelijke en zijn wij verwerker; daarvoor sluiten we een verwerkersovereenkomst met je (zie artikel 9). Deze privacyverklaring gaat over de gegevens waarvoor Cijferchef zelf verantwoordelijk is: je account, je abonnement en het gebruik van de website. Cijferchef is niet verplicht een functionaris voor gegevensbescherming aan te stellen en heeft er geen.
Accountgegevens. Je naam, je e-mailadres en een versleutelde afgeleide (hash) van je wachtwoord, plus — als je die invult — bedrijfsgegevens zoals KvK- en btw-nummer. Wachtwoorden worden nooit leesbaar opgeslagen (bcrypt). Zonder e-mailadres kunnen we geen account leveren: het is nodig voor de inlogcodes en accountherstel. Grondslag: uitvoering van de overeenkomst.
Inloggegevens en beveiliging. Bij elke inlog sturen we een eenmalige 6-cijferige code naar je e-mailadres (verplichte tweestapsverificatie). Sessies werken met een beveiligd cookie (httpOnly, secure); in onze database staat alleen een hash van het sessietoken. Zet je bij het inloggen „Blijf ingelogd” aan, dan krijgt je browser na de inlogcode ook een apparaatcookie (httpOnly, secure). Daarmee kun je op dat apparaat blijven inloggen als iemand anders je account met foute wachtwoorden probeert te blokkeren. Het cookie geeft zelf geen toegang — je wachtwoord en de inlogcode blijven nodig — en in onze database staat alleen een hash ervan, zonder IP-adres. Van inlog- en aanvraagverkeer bewaren we kortstondig een gehashte afgeleide van het IP-adres om misbruik te beperken (rate limiting). Grondslag: gerechtvaardigd belang (beveiliging).
Je administratie. De inhoud van je boekhouding (boekingen, facturen, relaties, instellingen) wordt versleuteld opgeslagen (AES-256-GCM) op servers binnen de EU en is strikt gescheiden per gebruiker. Wij kijken niet in je administratie, behalve als je ons daar bij een supportvraag uitdrukkelijk om vraagt. Van je administratie bewaren we automatisch maximaal 30 herstelpunten (reservekopieën), zodat je een eerdere stand kunt terugzetten. Grondslag: uitvoering van de overeenkomst.
Documenten en scans. Bonnen en facturen die je uploadt worden opgeslagen als onderdeel van je administratie (versleuteld, zie hierboven). Voor automatische herkenning (OCR) wordt het document via onze server voorgelegd aan Anthropic (aanbieder van het Claude-model, Verenigde Staten); Anthropic gebruikt via de zakelijke API aangeleverde gegevens niet om haar modellen te trainen. Uploaden is optioneel — je kunt alles ook handmatig invoeren; dan vindt deze verwerking niet plaats. Grondslag: uitvoering van de overeenkomst.
Bankkoppeling (Pro/Chef). Koppel je je zakelijke rekening, dan geef je via Ponto (Isabel Group NV, België — een vergunde aanbieder van rekeninginformatiediensten onder PSD2) zelf toestemming om je banktransacties op te halen. Wij ontvangen via Ponto je IBAN en transactiegegevens (datum, bedrag, tegenrekening en omschrijving); die worden versleuteld onderdeel van je administratie. De koppeling is optioneel en kun je op elk moment intrekken (in de app of via je Ponto-dashboard); bankafschriften handmatig inlezen (MT940) kan altijd. Grondslag: uitvoering van de overeenkomst.
Chatbot Charlie (hulp in de app). De ingebouwde hulp beantwoordt vragen zoveel mogelijk lokaal in je browser; vragen over je cijfers worden altijd lokaal beantwoord en verlaten je apparaat niet. Alleen algemene vragen die de ingebouwde kennisbank niet kan beantwoorden worden — dat staat ook in het chatvenster vermeld — via onze server voorgelegd aan Anthropic (aanbieder van het Claude-model, Verenigde Staten; dezelfde partij als bij de documentherkenning), samen met enkele relevante kennisbankfragmenten en de laatste berichten uit het gesprek, maar zonder je boekhoudgegevens. Anthropic gebruikt via de zakelijke API aangeleverde gegevens niet om haar modellen te trainen; wij slaan de gesprekken niet op. Grondslag: uitvoering van de overeenkomst.
Adrescheck. Laat je een adres automatisch aanvullen, dan sturen we alleen de ingevoerde postcode en het huisnummer naar de PDOK Locatieserver van het Kadaster (Nederland) om straat en plaats op te halen. Grondslag: uitvoering van de overeenkomst.
Btw-nummercontrole. Als je een btw-nummer van een relatie laat valideren, sturen we dat nummer naar VIES, de officiële validatiedienst van de Europese Commissie. Grondslag: uitvoering van de overeenkomst.
Betaalgegevens. Abonnementsbetalingen lopen via Mollie B.V. (Amsterdam). Wij bewaren je klant- en abonnementsreferentie bij Mollie, het gekozen abonnement, de periode en de betaalstatus. Bij een geslaagde betaling ontvangen we via Mollie ook het rekeningnummer waarvan is betaald; daarvan bewaren we uitsluitend een versleutelde afgeleide (SHA-256-hash) om misbruik van het uitnodigingsprogramma tegen te gaan — het rekeningnummer zelf slaan we niet op. Mollie is voor de betaalverwerking zelf verwerkingsverantwoordelijke; zie de privacyverklaring van Mollie. Grondslag: uitvoering van de overeenkomst en gerechtvaardigd belang (misbruikpreventie).
Uitnodigingsprogramma. Doe je mee aan het uitnodigingsprogramma (je nodigt iemand uit, of je wordt via een uitnodiging klant), dan bewaren we je persoonlijke uitnodigingscode, de koppeling tussen uitnodiger en genodigde en de status en tijdstippen van de beloning. Uitnodigen per e-mail verloopt via je eigen mailprogramma: e-mailadressen van genodigden verwerken wij dus niet. Grondslag: uitvoering van de overeenkomst (actievoorwaarden) en gerechtvaardigd belang (misbruikpreventie).
Offerte-akkoord via link. Verstuur je vanuit je administratie een akkoordlink voor een offerte, dan kan de ontvanger die offerte op een publieke pagina bekijken en akkoord geven of afwijzen. Daarbij worden uitsluitend de ingevulde naam, het tijdstip en de offerteversie vastgelegd — bewust géén IP-adres — als onderdeel van jouw administratie; daarvoor zijn wij verwerker (zie artikel 9). De link is een unieke code die vervalt na de geldigheidsdatum van de offerte, bij intrekken en bij facturatie; wijzig je de offerte, dan wordt de oude link ongeldig. Grondslag: uitvoering van de overeenkomst.
Facturen. Voor elke abonnementsbetaling maken we een factuur met de wettelijk verplichte gegevens (waaronder je naam en — als je die hebt ingevuld — je bedrijfsgegevens). Facturen bewaren we 7 jaar (fiscale bewaarplicht). Grondslag: wettelijke verplichting.
Juridisch bewijs van akkoord. Als je akkoord gaat met onze voorwaarden leggen we vast: de versie en een digitale vingerafdruk (hash) van de tekst, het tijdstip en het IP-adres. Grondslag: gerechtvaardigd belang (bewijsplicht).
E-mail. We sturen alleen transactionele e-mail (bevestiging, inlogcode, wachtwoordherstel, wijziging e-mailadres, facturen) via de SMTP-server van onze hostingprovider STRATO, met een mailbox op ons eigen domein. We sturen geen nieuwsbrieven zonder aparte toestemming.
Foutmeldingen en beveiligingsrapporten van je browser. Loopt de app in je browser tegen een fout aan, of blokkeert je browser iets op grond van onze beveiligingsinstellingen (Content Security Policy), dan stuurt je browser daar automatisch een kort rapport over naar onze server. Daarin staan: de foutmelding of de geblokkeerde richtlijn, de bestandsnaam en het regelnummer, het versienummer van de app, het adres dat werd geblokkeerd en — als je browser dat meestuurt — maximaal veertig tekens van het geblokkeerde script- of stijlfragment. Van je IP-adres bewaren we alleen een versleutelde, gepeperde afkorting (hash), om misbruik te beperken. We vragen deze rapporten niet op uit je administratie en ze bevatten je boekhouding niet, maar in een geblokkeerd webadres of in zo’n fragment kan onbedoeld een persoonsgegeven terechtkomen. We halen daarom de gegevens achter het vraagteken uit het webadres weg voordat we iets opslaan, en we bewaren deze logbestanden maximaal 14 dagen; daarna worden ze automatisch gewist. Grondslag: gerechtvaardigd belang (een werkende en veilige app).
Automatisch categoriseren van banktransacties. Kies je in het bankoverzicht zelf voor „Laat AI categoriseren”, dan leggen we van de geselecteerde transacties de datum, het bedrag, de omschrijving (maximaal 140 tekens) en de naam van de tegenpartij (maximaal 48 tekens) via onze server voor aan Anthropic (aanbieder van het Claude-model, Verenigde Staten), zodat er een kostencategorie kan worden voorgesteld. Je saldo en de rest van je administratie gaan niet mee. Het rekeningnummer van je tegenpartij sturen we niet als apart gegeven mee, maar het kan wel in de omschrijving staan die je bank meelevert — die gaat, ingekort, wél mee. Staat er iets in een omschrijving dat je liever niet buiten de deur hebt, categoriseer die transactie dan met de hand. Dit gebeurt alleen als je er zelf op klikt; je kunt elke transactie ook met de hand categoriseren, en dan vindt deze verwerking niet plaats. Anthropic gebruikt via de zakelijke API aangeleverde gegevens niet om haar modellen te trainen; wij bewaren de aanvraag niet. Grondslag: uitvoering van de overeenkomst.
Kentekengegevens (RDW). Vul je bij een auto een kenteken in en klik je op „cataloguswaarde ophalen”, dan haalt je browser dat kenteken rechtstreeks op bij de open-datadienst van de RDW, om de cataloguswaarde en de datum van eerste toelating te vinden. Er gaat niets anders mee dan het kenteken zelf, maar omdat je browser het verzoek doet, ziet de RDW daarbij ook je IP-adres. Doe je het niet, dan vul je de cataloguswaarde gewoon zelf in. Grondslag: uitvoering van de overeenkomst.
Wisselkoersen. Boek je een bedrag in een andere valuta dan de euro, dan haalt je browser de koers van die dag rechtstreeks op bij Frankfurter, een open koersendienst die de referentiekoersen van de Europese Centrale Bank doorgeeft. Er gaat alleen het valutapaar en de datum mee — geen bedrag en geen gegevens uit je administratie — maar omdat je browser het verzoek doet, ziet die dienst daarbij ook je IP-adres. Grondslag: uitvoering van de overeenkomst.
Geen advertenties, geen tracking- of analytics-cookies, geen verkoop of verhuur van gegevens, geen profilering en geen geautomatiseerde besluitvorming met rechtsgevolgen. De site gebruikt alleen functionele opslag: het sessiecookie, het apparaatcookie (zie §2), de gewone browseropslag voor je sessie en je profiel, en de databaseopslag van je browser (IndexedDB) voor je administratie, je auditspoor en je opgeslagen scans. Daarom tonen we geen cookiebanner. Log je uit, dan wordt dat alles van dat apparaat gewist, behalve het apparaatcookie: dat blijft staan, zodat niemand je daar na het uitloggen kan buitensluiten. Het verloopt na 180 dagen; eerder weg kan door de cookies van cijferchef.nl in je browser te wissen. Ook lettertypen en scripts serveren we van ons eigen domein, zodat het laden van de pagina zelf geen verzoeken naar externe partijen oplevert. Verzoeken naar buiten ontstaan pas door wat je in de app doet — zie §2 en §7 voor welke dat zijn.
Hosting en opslag bij STRATO AG (Berlijn, Duitsland) op servers binnen de EU. Er vindt geen doorgifte buiten de EER plaats, met drie uitzonderingen: de automatische documentherkenning, het automatisch categoriseren van banktransacties en de AI-antwoorden van Chatbot Charlie lopen via Anthropic, waarbij gegevens buiten de EER (Verenigde Staten) kunnen worden verwerkt op basis van EU-standaardcontractbepalingen. Alle drie zet je zelf in gang. Gebruik je ze niet, dan blijft alles binnen de EU — met één kanttekening: bij de kentekencheck en het ophalen van een wisselkoers doet je eigen browser het verzoek, en daarbij ziet die dienst je IP-adres. Wij kunnen niet garanderen dat die diensten uitsluitend binnen de EER draaien; ze krijgen van ons geen gegevens uit je administratie.
Je administratie en documenten: zolang je account bestaat. Documenten die je verwijdert worden nog bewaard tot de fiscale bewaarplicht van 7 jaar is verstreken (artikel 52 AWR) en daarna definitief gewist. Na opzegging van je account verwijderen we accountgegevens binnen 30 dagen, met uitzondering van gegevens waarvoor een wettelijke bewaarplicht geldt (zoals facturatie- en akkoordgegevens: 7 jaar). Rate-limit-gegevens (de tellers tegen misbruik): maximaal 2 dagen. Het apparaatcookie en de hash ervan: 180 dagen (de hash wissen we uiterlijk 30 dagen daarna). Foutmeldingen en beveiligingsrapporten uit je browser, met een gehashte afkorting van je IP-adres: maximaal 14 dagen. Herstelpunten schuiven automatisch door (maximaal 30 per gegevenssoort). Wis je iets definitief, dan is het meteen uit je administratie weg; uit de versleutelde serverback-ups verdwijnt het binnen 30 dagen, omdat die back-ups nodig zijn om je gegevens te kunnen herstellen als er iets misgaat. Wis je een administratie voorlopig, dan verdwijnt hij uit je overzicht en van al je apparaten, maar blijven de gegevens versleuteld bewaard zolang je account bestaat — zo kun je hem met een herstelpunt terugzetten en houd je zelf toegang tot je administratie voor de fiscale bewaarplicht. Kies je definitief wissen, dan worden die gegevens direct verwijderd, inclusief alle herstelpunten van die administratie; deelde je die administratie met iemand anders, dan wordt die toegang meteen ingetrokken. Gegevens van het uitnodigingsprogramma (code, koppeling uitnodiger–genodigde, rekeningnummer-hash): zolang je account bestaat.
Versleutelde verbindingen (TLS), versleutelde opslag (AES-256-GCM), wachtwoord-hashing (bcrypt), verplichte tweestapsverificatie, eenmalige tokens met vervaltijd waarvan alleen hashes worden bewaard, strikte scheiding per gebruiker in de database, rate limiting tegen misbruik en automatische herstelpunten. Toegang tot productiesystemen is beperkt tot uitsluitend de eigenaar (eenmanszaak zonder personeel).
Alleen met de partijen die nodig zijn om de dienst te leveren: STRATO (hosting en e-mailbezorging), Mollie (betalingen), Isabel Group/Ponto (bankkoppeling — alleen als je die zelf activeert), Anthropic (documentherkenning, automatisch categoriseren van banktransacties en AI-antwoorden van Chatbot Charlie), het Kadaster/PDOK (adrescheck), de Europese Commissie/VIES (btw-validatie, alleen het btw-nummer), Frankfurter (wisselkoersen — alleen het valutapaar en de datum) en de RDW (kentekengegevens — alleen het kenteken dat je zelf invult). Met verwerkers sluiten we verwerkersovereenkomsten. We verstrekken gegevens verder alleen als de wet ons daartoe verplicht.
Administratie delen (op jouw initiatief). Je kunt een administratie zelf delen met iemand anders met een Cijferchef-account (bijvoorbeeld je boekhouder), als "meekijker" (alleen bekijken en exporteren) of "meewerker". Die persoon ziet dan uitsluitend de administratie die jij deelt — nooit je andere administraties of je accountgegevens — en dus ook de persoonsgegevens die dáárin staan (zoals gegevens van jouw klanten en leveranciers); als verwerkingsverantwoordelijke voor je administratie bepaal jij zelf of dat passend is. Een meewerker kan — zodra die mogelijkheid actief is — ook boekingen doen en gegevens invoeren in de gedeelde administratie; aangiftes definitief maken, het boekjaar afsluiten, delen en instellingen blijven altijd voorbehouden aan de eigenaar. Bij elke opslag door een meewerker leggen we vast wíe er schreef (gebruikers-id), zodat het auditspoor van jouw administratie compleet is. Delen is optioneel, per administratie, en je kunt de toegang op elk moment met één klik intrekken; de ander ziet de administratie dan direct niet meer en kan er ook niet meer in schrijven. Van uitnodigen, accepteren en intrekken bewaren we een logregel (wie, welke administratie, welke rol, wanneer). Grondslag: uitvoering van de overeenkomst.
Je hebt recht op inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar. Voor je administratie kun je veel zelf: exporteren (o.a. Excel, PDF, XAF-auditfile) en verwijderen kan direct in de app. Berust een verwerking op je toestemming (zoals een eventuele nieuwsbrief), dan kun je die toestemming op elk moment intrekken; dat doet geen afbreuk aan de verwerking vóór de intrekking. Voor overige verzoeken: mail info@cijferchef.nl; we reageren binnen een maand. Klachten kun je indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).
In jouw administratie staan persoonsgegevens van jouw klanten, leveranciers en eventueel personeel. Daarvoor ben jij verwerkingsverantwoordelijke en is Cijferchef verwerker. Onze verwerkersovereenkomst maakt deel uit van het abonnement en geldt automatisch zodra je een administratie voert.
Bij inhoudelijke wijzigingen informeren we je via de app of per e-mail. Deze verklaring geldt vanaf de datum die bovenaan deze pagina staat; de actuele versie staat altijd op cijferchef.nl.