Privacybeleid Theca
1. Wie wij zijn
Theca is een boekhoudplatform van Aerypton bv, Loppemsestraat 10, 8020 Oostkamp, België.
- Ondernemingsnummer: BE 0871.268.153
- E-mail: aerypton@theca.be
- Website: https://theca.be
Aerypton bv is de verwerkingsverantwoordelijke voor de persoonsgegevens die via Theca worden verwerkt, behalve waar hieronder anders vermeld.
Wanneer je Theca gebruikt om de administratie van je eigen onderneming te voeren, ben jij de verwerkingsverantwoordelijke voor de gegevens die je in het platform invoert over je klanten, leveranciers en medewerkers. Aerypton bv treedt daarvoor op als verwerker, onder de voorwaarden van de verwerkersovereenkomst die deel uitmaakt van je abonnement.
2. Welke gegevens wij verwerken
Accountgegevens. Naam, e-mailadres, telefoonnummer, taalvoorkeur, en de gegevens van de onderneming(en) waarvoor je een dossier beheert: naam, adres, ondernemingsnummer, btw-nummer, rechtsvorm.
Authenticatiegegevens. Een gehashte wachtwoordwaarde, sessietokens, en — indien ingeschakeld — de geheime sleutel van je tweestapsverificatie. Wij bewaren nooit je wachtwoord in leesbare vorm.
Boekhoudkundige gegevens. Alles wat je in je dossier invoert of importeert: facturen, creditnota's, bankafschriften, rekeninguittreksels, journaalposten, btw-aangiften, jaarrekeningen, en de bijhorende documenten en bijlagen. Deze gegevens kunnen persoonsgegevens van derden bevatten (klanten, leveranciers, medewerkers).
Gebruiksgegevens. Technische logbestanden van het platform: IP-adres, tijdstip, opgevraagde pagina, foutmeldingen. Deze gebruiken wij voor beveiliging, foutopsporing en capaciteitsplanning.
Gegevens uit gekoppelde diensten. Zie sectie 3.
3. Koppelingen met externe diensten
3.1 Google Agenda
Als je de Google-agendakoppeling activeert, vraagt Theca via Google's OAuth-scherm jouw toestemming voor de volgende scopes:
| Scope | Wat wij ermee doen |
|---|---|
openid |
Je Google-account koppelen aan je Theca-account |
.../auth/userinfo.email |
Het e-mailadres van je Google-account uitlezen om de koppeling te tonen en te kunnen verbreken |
.../auth/calendar.freebusy |
Uitsluitend je vrij/bezet-tijdvakken opvragen, om beschikbare momenten voor afspraken te tonen |
.../auth/calendar.calendarlist.readonly |
De namen en kleuren van je agenda's uitlezen, zodat je zelf kunt aanvinken welke agenda's meetellen voor je beschikbaarheid |
.../auth/calendar.events.readonly |
De titel en het tijdstip van je afspraken uitlezen, zodat je eigen agenda in Theca de afspraak zelf toont in plaats van enkel een ‘Bezet’-blok |
Van je afspraken lezen wij uitsluitend de titel en het tijdstip, en
alleen om ze in jouw eigen agenda-weergave in Theca te tonen. Wij lezen
geen omschrijvingen, geen locaties en geen deelnemers, en
daarnaast de naam en kleur van je agenda's zelf. Wij vragen bewust niet de
bredere calendar.readonly-scope aan, die ons ook toegang tot de
overige afspraakinhoud en tot je agenda-instellingen zou geven. De titels worden
nergens naar de boekingspagina doorgegeven: daar geldt onverkort dat klanten
uitsluitend vrij/bezet te zien krijgen.
Wij bewaren:
- het access token en refresh token die Google uitgeeft, versleuteld opgeslagen, zodat de koppeling actief blijft zonder dat je telkens opnieuw moet aanmelden;
- het e-mailadres van het gekoppelde Google-account;
- de identificatiecodes van de agenda's die jij zelf aanvinkt, zodat je keuze bewaard blijft. De agendanamen zelf halen wij telkens live op en bewaren wij niet;
- géén kopie van je agenda. Vrij/bezet-tijdvakken en de titels van je afspraken worden live bij Google opgehaald en hoogstens 60 seconden in een kortstondige servergeheugen-cache gehouden om Google niet te overbelasten; daarna verdwijnen ze.
Je kunt de koppeling op elk moment verbreken in Theca onder Afspraken → Agenda, of via je Google-account op https://myaccount.google.com/permissions. Bij het verbreken van de koppeling verwijderen wij de tokens en het gekoppelde e-mailadres onmiddellijk.
Limited Use. Het gebruik en de doorgifte door Theca van informatie die is ontvangen via Google API's houdt zich aan het Google API Services User Data Policy, inclusief de Limited Use-vereisten. Wij verkopen deze gegevens niet, gebruiken ze niet voor advertenties, en geven ze niet door aan derden behalve waar dat noodzakelijk is om de dienst te leveren, om te voldoen aan de wet, of met jouw uitdrukkelijke toestemming.
3.2 Overige koppelingen
- Peppol (via Recommand) — verzenden en ontvangen van elektronische facturen namens jouw onderneming. Uitgewisseld worden de factuurgegevens zelf (afzender, ontvanger, bedragen, omschrijvingen). Rechtsgrond: uitvoering van de overeenkomst en de wettelijke e-facturatieverplichting.
- Bankkoppeling (PSD2 via Ponto/Isabel Group, en CAMT-import) — inlezen van rekeninginformatie van de rekeningen die jij koppelt of aanlevert. Rechtsgrond: uitvoering van de overeenkomst; de PSD2-koppeling activeer jij zelf bij je bank.
- Boekhoudkoppelingen (Yuki, Silverfin, Exact Online, CodaBox) — alleen actief als jij zo'n koppeling instelt voor je dossier; uitgewisseld worden de boekhoudstukken die de koppeling vereist. Rechtsgrond: uitvoering van de overeenkomst.
- VIES (Europese Commissie) — controle van btw-nummers van je relaties tegen het publieke Europese register. Er worden alleen btw-nummers uitgewisseld.
- Btw-aangifte en jaarrekening — Theca bereidt de bestanden voor (Intervat-XML, XBRL); de indiening bij FOD Financiën en de Nationale Bank verloopt niet via een automatische koppeling maar door jou of je accountant.
4. Waarom wij deze gegevens verwerken
| Doel | Rechtsgrond |
|---|---|
| Het leveren van het platform en de afgesproken functionaliteit | Uitvoering van de overeenkomst |
| Facturatie en administratie van je abonnement | Uitvoering van de overeenkomst |
| De agendakoppeling | Jouw toestemming (in te trekken op elk moment) |
| Beveiliging, fraudepreventie, foutopsporing | Gerechtvaardigd belang |
| Bewaren van boekhoudkundige stukken | Wettelijke verplichting |
| Klantenondersteuning | Uitvoering van de overeenkomst |
5. Hoe lang wij bewaren
- Boekhoudkundige stukken: zeven jaar na het einde van het boekjaar waarop ze betrekking hebben, conform de Belgische wetgeving.
- Accountgegevens: zolang je account actief is, plus twaalf maanden na opzegging, waarna ze worden verwijderd of onomkeerbaar geanonimiseerd.
- Technische logs: negentig dagen.
- Google-tokens: tot je de koppeling verbreekt of je account opzegt.
6. Met wie wij gegevens delen
Wij verkopen je gegevens niet. Wij doen een beroep op de volgende verwerkers, elk gebonden door een verwerkersovereenkomst:
| Verwerker | Rol | Locatie |
|---|---|---|
| resource.cloud (XLIS) | Hosting van het platform | EU |
| Scaleway SAS | Transactionele e-mail | Frankrijk (EU) |
| Mollie B.V. | Verwerking van abonnementsbetalingen | Nederland (EU) |
| Recommand | Peppol-toegangspunt | EU |
| Isabel Group (Ponto) | Bankrekening-informatie (PSD2) | België (EU) |
Daarnaast delen wij gegevens met overheidsdiensten waar de wet dat oplegt, en met je boekhouder of accountant wanneer jij die toegang tot je dossier verleent.
Wij dragen geen persoonsgegevens over buiten de Europese Economische Ruimte, met één uitzondering: activeer je de Google-agendakoppeling, dan verwerkt Google LLC (VS) de daarbij horende gegevens; die doorgifte steunt op jouw toestemming en op Googles certificering onder het EU-VS Data Privacy Framework.
7. Beveiliging
Alle verkeer tussen je toestel en Theca verloopt over TLS. Gevoelige gegevens worden versleuteld opgeslagen. Toegang tot productiesystemen is beperkt tot wie die nodig heeft, en tweestapsverificatie is beschikbaar voor alle accounts. Wij houden logboeken bij van toegang tot dossiers.
Als er zich toch een datalek voordoet met een risico voor jouw rechten en vrijheden, melden wij dat binnen 72 uur aan de Gegevensbeschermingsautoriteit en informeren wij jou wanneer de wet dat vereist.
8. Jouw rechten
Je hebt het recht om je gegevens in te zien, te laten verbeteren, te laten wissen, de verwerking te laten beperken, bezwaar te maken tegen verwerking op grond van gerechtvaardigd belang, en je gegevens in een gangbaar formaat over te dragen. Waar de verwerking op toestemming steunt, kun je die toestemming op elk moment intrekken zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking vóór de intrekking.
Richt je verzoek aan aerypton@theca.be. Wij antwoorden binnen één maand.
Ben je niet tevreden met onze afhandeling, dan kun je klacht indienen bij de Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel — contact@apd-gba.be — www.gegevensbeschermingsautoriteit.be.
9. Cookies
Theca plaatst uitsluitend functionele cookies die nodig zijn om je aangemeld te houden en je voorkeuren te onthouden. Er worden geen analytische of advertentiecookies geplaatst.
10. Wijzigingen
Wij passen dit beleid aan wanneer de dienst of de regelgeving daarom vraagt. De datum bovenaan geeft de laatste wijziging aan. Bij ingrijpende wijzigingen brengen wij je vooraf op de hoogte via e-mail of in het platform.