1. Verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke is Tatic ApS (CVR 42532940), Mejsevej 2, Hadbjerg, 8370 Hadsten, Denemarken, handelend onder de secundaire naam OpenBanking IO ApS.
Verzoeken over privacy en AVG: [email protected].
2. Wat we verzamelen
Persoonsgegevens: alleen je e-mailadres, dat we ontvangen wanneer je inlogt via OIDC. We gebruiken het voor facturering en voor operationele meldingen. Geen marketing zonder je toestemming, geen verkoop van gegevens, geen advertenties, geen profilering.
Bankgegevens: met je PSD2-toestemming halen we je bankrekening- en transactiegegevens op en slaan we ze op. Dit is de kern van de dienst — we verwerken ze alleen om ze aan jou terug te leveren.
3. Doeleinden en rechtsgronden
- Het leveren van de dienst en facturering — overeenkomst, AVG art. 6, lid 1, onder b
- Beveiliging en waarschuwingen wanneer een banktoestemming bijna verloopt — gerechtvaardigd belang, AVG art. 6, lid 1, onder f
- Toegang tot je bankgegevens op grond van PSD2 — je toestemming, AVG art. 6, lid 1, onder a, rechtstreeks bij je bank gegeven en op elk moment intrekbaar
4. Verwerkers en subverwerkers
We gebruiken een klein aantal Europese verwerkers:
- Enable Banking Oy (Espoo, Finland) — bankconnectiviteit; een geregistreerde AISP onder toezicht van de Finse Financiële Toezichthouder (FIN-FSA) op grond van PSD2. Noch wij, noch Enable Banking slaan je bankinloggegevens op.
- Hetzner (Hetzner Online GmbH / Hetzner Finland Oy) — hosting in ISO/IEC 27001:2022-gecertificeerde datacenters in Duitsland en Finland.
- Gcore — DDoS-bescherming en netwerk-edge, op Europese infrastructuur.
- Stripe (Stripe Payments Europe, Ltd., Ierland) — kaartbetalingen en opwaarderingen. Wij slaan nooit kaartgegevens op.
Bankgegevens worden nooit met derden gedeeld buiten deze verwerkers om.
5. Waar je gegevens staan
Alle gegevens worden binnen de EU opgeslagen en verwerkt — in datacenters in Duitsland en Finland. We dragen je gegevens niet over buiten de EU.
6. Bewaring en verwijdering
We bewaren je gegevens zolang je account actief is. Wanneer je je account verwijdert, worden je bankrekening- en transactiegegevens verwijderd.
Je kunt ook op elk moment individuele banktoestemmingen intrekken; we stoppen dan met het ophalen van gegevens van die bank.
7. Beveiliging
Gegevens worden versleuteld tijdens transport en in rust. De hosting draait in ISO/IEC 27001:2022-gecertificeerde datacenters, achter Europese DDoS-bescherming.
Een kwetsbaarheid gevonden? Meld het bij [email protected]. We bevestigen meldingen binnen 48 uur en vragen je om met ons af te stemmen vóór je iets openbaar maakt.
8. Je rechten
Onder de AVG heb je recht op inzage, rectificatie, wissing, gegevensoverdraagbaarheid, beperking van de verwerking en bezwaar. Schrijf naar [email protected] om een van deze rechten uit te oefenen.
Als je meent dat we je gegevens onrechtmatig verwerken, kun je een klacht indienen bij Datatilsynet, de Deense gegevensbeschermingsautoriteit (datatilsynet.dk).
9. Meldingen bij verlopen van toestemming
Op grond van PSD2 verlopen banktoestemmingen periodiek en moeten ze worden vernieuwd. We e-mailen je voordat een toestemming verloopt, zodat het synchroniseren ononderbroken doorloopt. Dit zijn operationele meldingen, geen marketing, en ze worden verzonden op grond van ons gerechtvaardigd belang om de dienst voor je werkend te houden.
10. Wijzigingen van dit beleid
Als we dit beleid wezenlijk wijzigen — bijvoorbeeld door een verwerker of een nieuw doel toe te voegen — stellen we je per e-mail op de hoogte voordat de wijziging ingaat. De datum bovenaan weerspiegelt altijd de huidige versie.
11. Contact
- Privacy- en AVG-verzoeken: [email protected]
- Algemene support: [email protected]
- Beveiligingsmeldingen: [email protected]