Privacyverklaring

1. Wie zijn wij?

Vordero is een eenmanszaak van Vincent Smets, gevestigd in Hoogezand. Vordero exploiteert het gelijknamige platform voor debiteurenbeheer.

Voor vragen over deze verklaring of over de verwerking van uw persoonsgegevens kunt u contact met ons opnemen via bovenstaande e-mailadressen.

2. Verwerkingsverantwoordelijke vs. verwerker

Vordero vervult twee verschillende rollen onder de Algemene Verordening Gegevensbescherming (AVG), afhankelijk van welke gegevens het betreft:

a) Verwerkingsverantwoordelijke, voor accountgegevens van klanten (tenants)

Wanneer een bedrijf of ondernemer (de "tenant") een account aanmaakt bij Vordero, verwerken wij de contactgegevens van die tenant om de dienst te kunnen leveren. Voor deze verwerking is Vordero de verwerkingsverantwoordelijke: wij bepalen het doel en de middelen van de verwerking.

b) Verwerker, voor gegevens die tenants invoeren over hun debiteuren

Tenants voeren zelf gegevens in over hun debiteuren (klanten van de tenant) in Vordero. Voor de verwerking van die debiteurengegevens is de tenant de verwerkingsverantwoordelijke, en is Vordero de verwerker. Wij verwerken deze gegevens uitsluitend op instructie van de tenant, in overeenstemming met een verwerkersovereenkomst (zie artikel 10).

3. Welke gegevens verwerken wij?

Accountgegevens van tenants (als verwerkingsverantwoordelijke)

• Naam en e-mailadres van de accounthouder
• Bedrijfsnaam
• Facturatiegegevens (voor betaalde abonnementen)
• Bij het aanmaken van uw account: de pagina van vordero.nl waarvandaan u kwam, zoals een rekentool of een voorbeeldbrief, en, als u dat invult, hoeveel facturen u per maand verstuurt. De pagina gebruiken wij alleen om te tellen welke pagina's tot een aanmelding leiden, het aantal facturen om te zien voor wie Vordero het meest oplevert. Beide op grond van ons gerechtvaardigd belang (AVG art. 6 lid 1 sub f).

Debiteurengegevens ingevoerd door tenants (als verwerker)

• Bedrijfsnaam van de debiteur
• Naam van de contactpersoon
• E-mailadres en telefoonnummer
• Adresgegevens
• Factuurbedragen, factuurnummers en vervaldatums
• Als de debiteur toestemming gaf om automatisch af te schrijven:
  • de soort betaalmiddel (bankrekening of kaart)
  • de laatste vier cijfers
  • bij een kaart het merk en de vervaldatum
  • het kenmerk van de machtiging
  • het hoogste bedrag per afschrijving
  • de datum van de toestemming
  • de versie van de tekst die de debiteur te zien kreeg
  • de kenmerken die de betaaldienst aan klant, betaalmiddel en machtiging geeft
  • of en wanneer de toestemming eindigde en waarom
  • en per afschrijving het bedrag, de uitkomst en de reden als hij mislukte.
  Het volledige rekening- of kaartnummer bewaart Vordero niet; dat staat bij de betaaldienst.

Technische gegevens (als verwerkingsverantwoordelijke)

• IP-adressen (uitsluitend voor beveiligings- en anti-fraudedoeleinden)
• Login-logs en sessiedata. Per ingelogde sessie bewaren wij de browser, het besturingssysteem, een plaats bij benadering (stad en land, die onze hostingpartij Vercel afleidt uit het IP-adres van de verbinding) en of het een sessie is waarin een medewerker van Vordero meekijkt. Het IP-adres zelf slaan wij hierbij niet op. Dit dient om misbruik van een account te herkennen en om u te kunnen tonen waar u bent ingelogd. Wij bewaren dit hoogstens 90 dagen.
• Technische logs van de applicatie
• E-mailadressen waarop een bericht van Vordero niet aankwam of die een spamklacht gaven, met de reden. Alle berichten gaan via hetzelfde verzenddomein; zo'n adres krijgt daarna van geen enkele gebruiker nog post via Vordero.

Landinteresse via de website (als verwerkingsverantwoordelijke)

Laat u op de landenpagina uw land en e-mailadres achter, dan mailen wij u één keer als Vordero in uw land beschikbaar komt. Daarna wissen wij uw e-mailadres, en uiterlijk na 24 maanden ook als dat moment niet komt. Het land tellen wij zonder naam mee. Grondslag: uw toestemming, die u intrekt via privacy@vordero.nl.

Wij verzamelen geen bijzondere categorieën persoonsgegevens (zoals gezondheids- of strafrechtelijke gegevens). Wij verwerken ook geen gegevens van personen jonger dan 16 jaar.

4. Grondslag voor verwerking

5. Verwerkers en doorgifte buiten de EER

Voor het leveren van onze dienst maken wij gebruik van de volgende sub-verwerkers. Waar gegevens worden doorgegeven buiten de Europese Economische Ruimte (EER), hebben wij passende waarborgen getroffen in de vorm van Standaardcontractbepalingen (SCCs) zoals bedoeld in AVG art. 46 lid 2 sub c.

Stripe bij de betaallink en de automatische afschrijvingen

Betaalt een debiteur via de betaallink, of schrijft een tenant automatisch af, dan is Stripe de betaaldienst van die tenant en geen sub-verwerker van Vordero. Stripe voert de betaling uit voor de tenant die hem ontvangt, onder een eigen overeenkomst tussen die tenant en Stripe, en is daarnaast zelfstandig verwerkingsverantwoordelijke voor eigen doelen, zoals fraudebestrijding en de controles die de wet tegen witwassen voorschrijft. Zie ook punt 7 van bijlage 1 bij de algemene voorwaarden.

Moneybird en andere boekhoudpakketten

Koppelt een tenant zijn boekhoudpakket, zoals Moneybird, dan is dat pakket geen sub-verwerker van Vordero. De tenant heeft er een eigen overeenkomst mee en geeft Vordero zelf toegang tot zijn administratie. Vordero haalt daar, op instructie van de tenant, debiteuren en facturen op, met hun betaalstatus. Heeft de tenant dat aangezet, dan boekt Vordero er ook een betaling in die via Vordero binnenkwam. Zie ook punt 7 van bijlage 1 bij de algemene voorwaarden.

Wat er naar het taalmodel gaat, en wat niet

Vordero heeft een assistent waaraan u vragen kunt stellen (“welke klanten betalen het vaakst te laat?”) en die handelingen kan klaarzetten. Die assistent draait op een taalmodel van een externe leverancier, en dat betekent dat er gegevens naartoe gaan. Wij vinden dat u moet weten welke.

• Wat er heen gaat: uw vraag zelf, en de gegevens die Vordero erbij opzoekt om hem te beantwoorden. Dat kunnen namen van debiteuren zijn, openstaande bedragen, factuurdata en e-mailadressen. Hetzelfde geldt wanneer u een factuur of een debiteurenlijst laat inlezen: dat bestand gaat langs het model om de velden eruit te halen.
• Wat er niet heen gaat: het model krijgt geen toegang tot de database. Het kan alleen een opzoeking aanvragen, en die opzoeking blijft binnen de eigen werkruimte van de tenant. Het model kan zelf niets versturen, wijzigen of verwijderen: een handeling wordt klaargezet en de gebruiker bevestigt hem.
• Waar het gebeurt: op een endpoint binnen de Europese Unie. Dat is geen belofte maar een instelling in onze code, en van elke vraag wordt de regio vastgelegd. Zou er ooit een vraag buiten de EU lopen, dan wordt onze eigen controle daarop rood.
• Wat wij bewaren: het gesprek staat in onze database in Frankfurt en valt onder de bewaartermijnen in artikel 6. Wij gebruiken uw gegevens niet om modellen te trainen. Wat de modelleverancier zelf bewaart, staat in zijn eigen voorwaarden.

Wij geven geen persoonsgegevens door aan andere derden, tenzij wij daartoe wettelijk verplicht zijn (bijv. op vordering van een toezichthouder of rechterlijke instantie).

6. Bewaartermijnen

Na het verstrijken van de bewaartermijn worden gegevens veilig en onomkeerbaar verwijderd of geanonimiseerd.

7. Rechten van betrokkenen

Onder de AVG heeft u als betrokkene de volgende rechten ten aanzien van uw persoonsgegevens die wij als verwerkingsverantwoordelijke verwerken:

• Inzage, u kunt opvragen welke gegevens wij over u verwerken.
• Rectificatie, u kunt onjuiste of onvolledige gegevens laten corrigeren.
• Verwijdering, u kunt verzoeken uw gegevens te laten verwijderen ('recht op vergetelheid'), tenzij een wettelijke bewaarplicht van toepassing is.
• Beperking van verwerking, u kunt de verwerking van uw gegevens laten beperken in bepaalde omstandigheden.
• Dataportabiliteit, u kunt uw gegevens opvragen in een gestructureerd, veelgebruikt en machineleesbaar formaat.
• Bezwaar, u kunt bezwaar maken tegen verwerking op grond van gerechtvaardigd belang.

Let op: voor gegevens die een tenant over u heeft ingevoerd als debiteur, dient u zich te wenden tot de betreffende tenant (de verwerkingsverantwoordelijke), niet tot Vordero.

8. Cookies en tracking

In de applicatie: alleen wat nodig is om in te loggen

In Vordero zelf (app.vordero.nl) staan uitsluitend functionele sessie-cookies die noodzakelijk zijn voor het correct functioneren van de applicatie (authenticatie en sessiebeheer via Supabase Auth, en vd_apparaat, dat onthoudt dat het apparaat van deze sessie al is vastgelegd, zodat dat niet bij elke pagina opnieuw gebeurt). Daar staat geen analytische cookie en geen advertentiecookie, en er worden geen gegevens gedeeld met advertentienetwerken.

Voor functionele cookies is geen toestemming vereist op grond van de Telecommunicatiewet (Tw) en de AVG, omdat deze strikt noodzakelijk zijn voor de werking van de dienst.

Op de website: Google Analytics, met een cookie alleen na uw akkoord

Op vordero.nl meten wij sinds 22 september 2026 met Google Analytics 4 welke pagina's gelezen worden en via welk kanaal een bezoeker binnenkomt. De standaardstand is geweigerd: zolang u niets kiest, of zolang u op Alleen het noodzakelijke klikt, plaatst Google geen cookie en herkent het u niet als terugkerende bezoeker. Klikt u op Akkoord, dan mag die cookie er wel komen.

Wij zeggen er meteen bij wat er zonder cookie nog gebeurt, omdat die helft anders onzichtbaar blijft. Ook zonder uw akkoord stuurt de meetcode een cookieloos signaal naar Google met de pagina die u opvraagt, de verwijzende site, de taal van uw browser en de locatie die Google uit uw IP-adres afleidt. Volgens Google wordt dat IP-adres daarbij niet vastgelegd. Klikt u door naar het aanmaken van een account, of gebruikt u een rekentool of de verliescheck, dan gaat in datzelfde signaal ook mee welke knop of welke tool dat was, en bij een knop welk abonnement hij kiest. Verstuurt u een aanvraag, dan telt het signaal dat ook. Wat u in een rekentool, de verliescheck of een formulier invult, gaat niet mee. Zo'n signaal bevat geen kenmerk dat over pagina's of bezoeken heen blijft staan, dus het levert bezoekaantallen op zonder dat er een profiel ontstaat. Wij baseren die meting op ons gerechtvaardigd belang om te weten of onze uitleg gelezen wordt (AVG art. 6 lid 1 sub f). Voor de cookie zelf is en blijft uw toestemming de grondslag (AVG art. 6 lid 1 sub a en Tw art. 11.7a).

Gebruikt u de Peppol-checker, dan vraagt onze server het ondernemingsnummer dat u invult op bij het openbare Peppol-netwerk: het centrale register (via de DNS-diensten van Cloudflare en Google), het toegangspunt van die onderneming en de Peppol Directory. Wij bewaren dat nummer niet.

Uw akkoord geldt ook voor advertenties, en daar zijn wij liever duidelijk over dan kort. Klikt u op Akkoord, dan zetten wij vier standen tegelijk op verleend: analytics_storage voor de meting hierboven, en ad_storage, ad_user_data en ad_personalization voor advertenties. Die drie laatste staan aan voor Google-signalen: Google mag uw bezoek dan koppelen aan uw ingelogde Google-account en zo over uw apparaten heen herkennen, en die gegevens gebruiken om advertenties af te stemmen. Klikt u op Alleen het noodzakelijke, of kiest u niets, dan blijven alle vier op geweigerd staan.

Vordero draait op dit moment zelf geen advertenties. Wij vragen deze toestemming omdat Google-signalen in onze Analytics-property aanstaan en zonder die toestemming niets doen, en omdat wij niet later stil iets willen aanzetten waar u nooit ja tegen zei. Voor dit Analytics-account zijn de Google Ads Data Processing Terms aanvaard op 22 september 2026.

Uw keuze wordt opgeslagen in de lokale opslag van uw eigen browser, onder de naam vordero-toestemming, en verlaat uw apparaat niet. Herroepen kan altijd: onderaan elke pagina staat Cookievoorkeur, waarmee de vraag opnieuw verschijnt. Kiest u daar voor Alleen het noodzakelijke, dan verwijderen wij de cookies van Google die al op uw apparaat stonden: zowel de meetcookies (_ga) als de advertentiecookie (_gcl_au).

Naast Google Analytics telt Vercel Web Analytics het aantal paginaweergaven zonder cookie en zonder profiel. Die meting staat in de tabel in artikel 5 en vraagt geen toestemming.

9. Beveiliging

Wij treffen passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen ongeoorloofde toegang, verlies of vernietiging:

• Versleuteling in transit: alle verbindingen verlopen via TLS 1.2 of hoger (HTTPS).
• Versleuteling at rest: databasegegevens worden versleuteld opgeslagen (AES-256 via Supabase).
• Toegangscontrole per tenant: Row Level Security (RLS) in de database zorgt ervoor dat tenants uitsluitend toegang hebben tot hun eigen gegevens.
• Authenticatie: inloggen kan met een wachtwoord, met een inloglink per e-mail, of met een Google-account. Wachtwoorden worden nooit als leesbare tekst bewaard; alleen een onomkeerbare hash (bcrypt) via Supabase Auth. Kiest u voor Google, dan verloopt het inloggen via Google en gelden daarvoor ook de voorwaarden van Google.
• Beveiligingslogs: loginpogingen en verdachte activiteiten worden gelogd en gemonitord.

Vermoedt u een datalek of beveiligingsincident? Meld dit zo spoedig mogelijk via privacy@vordero.nl. Wij zijn verplicht datalekken binnen 72 uur te melden bij de Autoriteit Persoonsgegevens indien de inbreuk een risico vormt voor betrokkenen.

10. Verwerkersovereenkomst (DPA)

De verwerkersovereenkomst is bijlage 1 bij de algemene voorwaarden en geldt voor elke tenant. Hij regelt het doel en de duur van de verwerking, de soorten persoonsgegevens, de instructies van de tenant, de sub-verwerkers, en wat er met de gegevens gebeurt als de overeenkomst eindigt.

11. Klachten

Bent u van mening dat wij uw persoonsgegevens niet conform de AVG verwerken? Dan verzoeken wij u eerst contact met ons op te nemen via privacy@vordero.nl. Wij lossen klachten graag zo snel en direct mogelijk op.

U heeft ook het recht een klacht in te dienen bij de toezichthouder van het land waar u woont, werkt, of waar het incident plaatsvond. Vordero wordt in Nederland en België gebruikt; dit zijn de twee autoriteiten die daarbij horen.

12. Wijzigingen in deze verklaring

Wij kunnen deze privacyverklaring van tijd tot tijd bijwerken. Bij materiële wijzigingen , dat wil zeggen wijzigingen die van wezenlijke invloed zijn op de manier waarop wij uw gegevens verwerken, informeren wij actieve tenants per e-mail voorafgaand aan de inwerkingtreding van de wijziging.

De datum van de laatste update staat altijd bovenaan deze pagina vermeld. Wij raden u aan deze verklaring periodiek te raadplegen.