Privacybeleid

Versie: 1.0 (draft) Datum van inwerkingtreding: [in te vullen] Verwerkingsverantwoordelijke: Konsensi BudgetBeheer BV KvK-nummer: [in te vullen — zie map 12] Vestigingsadres: [in te vullen] Contact privacy: privacy@konsensi-budgetbeheer.nl Functionaris Gegevensbescherming: wordt aangewezen — tot dan dient bovenstaande mailbox als contactpunt

1. Inleiding

Konsensi BudgetBeheer BV — hierna "Konsensi", "wij" of "ons" — biedt een ecosysteem van digitale diensten dat jongeren met financiële stress en schulden ondersteunt en dat hulporganisaties, schuldeisers, coaches en gemeenten met elkaar verbindt. Wij hechten grote waarde aan de bescherming van uw persoonsgegevens en houden ons aan de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG). In dit privacybeleid leggen wij uit welke persoonsgegevens wij verwerken, met welk doel, op welke rechtsgrond, hoe lang wij ze bewaren, met wie wij ze delen en welke rechten u heeft.

Dit privacybeleid is van toepassing op alle diensten van Konsensi, te weten: de Konsensi App voor persoonlijk budgetbeheer en schuldhulp, Hulpradar voor het matchen van hulpzoekers met hulporganisaties, Schuldenradar voor inzicht in openstaande schulden, Konsensi Bewind voor coaches en bewindvoerders, het Insights Dashboard en de Konsensi Workspace voor intern gebruik, en de toekomstige Konsensi Work-dienst voor matching tussen jongeren en werkgevers. Per dienst gelden specifieke verwerkingen die in hoofdstuk 3 en de bijbehorende addenda zijn beschreven.

2. Verwerkingsverantwoordelijke en rolverdeling

Konsensi BudgetBeheer BV is voor het merendeel van de diensten de verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 AVG. Dit betekent dat Konsensi het doel en de middelen van de verwerking van uw persoonsgegevens bepaalt. Voor twee specifieke contexten kan de rolverdeling anders liggen.

Bij Schuldenradar, waar incassobureaus, schuldeisers en overheidsinstanties schulden registreren die voor burgers zichtbaar worden, treedt Konsensi op als verwerker in opdracht van die organisaties voor wat betreft de door hen aangeleverde data. Konsensi blijft verwerkingsverantwoordelijke voor de accountgegevens van de burger zelf en voor de werking van het platform. Bij gemeenten of organisaties die Konsensi-licenties afnemen voor "hun" inwoners of cliënten, kan de gemeente of organisatie verwerkingsverantwoordelijke zijn en Konsensi verwerker — vergelijkbaar met de wijze waarop gemeenten zakelijke softwaredienstverleners inhuren. De exacte rolverdeling wordt per overeenkomst vastgelegd in een verwerkersovereenkomst.

Wij wijzen een Functionaris Gegevensbescherming aan zodra de aanwijzingsprocedure is afgerond. Tot die tijd is het privacy-mailadres het officiële contactpunt voor alle verzoeken, klachten en vragen met betrekking tot uw persoonsgegevens.

3. Welke persoonsgegevens verwerken wij

De persoonsgegevens die wij verwerken hangen af van de dienst die u gebruikt en de wijze waarop u met ons in contact komt. Hieronder beschrijven wij per dienst welke categorieën van persoonsgegevens worden verwerkt.

In de Konsensi App verwerken wij uw naam, e-mailadres, geboortedatum, telefoonnummer, gemeente, en de financiële gegevens die u zelf invoert of die wij uit door u aangeleverde documenten extraheren. Dit omvat informatie over uw schulden, inkomsten, vaste lasten, spaarpotjes en gesprekken met onze AI-coach. Wanneer u bankafschriften, schulddocumenten of loonstroken uploadt, verwerken wij die documenten geautomatiseerd om u inzicht te geven in uw financiële situatie. Wij verwerken ook gegevens die nodig zijn voor de werking van uw account zoals inloggegevens, twee-factor authenticatie-codes en sessie-informatie.

Op Hulpradar verwerken wij de gegevens die u invult in het hulp-zoeken-formulier: uw naam, e-mailadres, telefoonnummer, gemeente of postcode, het type hulp dat u zoekt, en de toelichting die u zelf geeft over uw situatie. Wanneer u een match heeft met een hulporganisatie verwerken wij ook de inhoud van de berichten die u via het platform met die organisatie wisselt.

Op Schuldenradar verwerken wij uw burgerservicenummer (BSN), naam, geboortedatum, adres, e-mailadres en telefoonnummer, en de openstaande schulden die op uw BSN zijn gekoppeld door schuldeisers en incassobureaus. Wij verwerken ook de uitkomsten van AI-verificatie die de geldigheid van een geregistreerde schuld inschat. BSN is een bijzondere persoonsgegeven onder de Uitvoeringswet AVG en wordt nooit zonder uw expliciete toestemming verwerkt en nooit gedeeld buiten het wettelijk toegestane kader.

In Konsensi Bewind verwerken wij voor coaches en bewindvoerders de accountgegevens (naam, e-mailadres, telefoonnummer, organisatie, KvK-nummer waar van toepassing) en de berichten, notities en video-call-metadata die in de uitvoering van hun werkzaamheden ontstaan. Coaches en bewindvoerders hebben inzage in de financiële gegevens van cliënten uit de Konsensi App, maar uitsluitend nadat de cliënt daar expliciet toestemming voor heeft gegeven en alleen binnen de scope waarvoor toestemming is verleend.

In de interne tools Insights Dashboard en Konsensi Workspace verwerken wij geaggregeerde en geanonimiseerde data uit de andere diensten ten behoeve van interne rapportage, productverbetering en het beheer van het Konsensi-team. Toegang tot persoonsgegevens via deze tools is rolgebonden en gelogd, en de inhoud wordt waar mogelijk geaggregeerd weergegeven in plaats van op individueel niveau.

De toekomstige dienst Konsensi Work wordt op moment van publicatie nog ontwikkeld en krijgt een eigen addendum zodra het in productie gaat.

4. Met welk doel verwerken wij uw gegevens

Wij verwerken uw persoonsgegevens om u de dienst te kunnen leveren waar u zich voor heeft aangemeld, om de kwaliteit en veiligheid van onze diensten te bewaken, en om te voldoen aan onze wettelijke verplichtingen. Concreet betekent dit dat wij gegevens verwerken om accounts aan te maken en te beheren, om financiële inzichten en advies te kunnen geven, om u te matchen met passende hulporganisaties of coaches, om communicatie tussen u en deze partijen mogelijk te maken, om fraudepogingen en misbruik te detecteren, en om geanonimiseerde rapportages op te stellen voor het verbeteren van onze diensten en voor de gemeenten of partners die Konsensi-licenties afnemen.

Wij gebruiken uw gegevens niet voor commerciële profilering ten behoeve van derden, en wij verkopen uw gegevens onder geen enkele omstandigheid aan derde partijen.

5. Op welke rechtsgrond verwerken wij uw gegevens

Iedere verwerking is gebaseerd op een van de rechtsgronden uit artikel 6 AVG. Voor de uitvoering van de overeenkomst die u met ons aangaat wanneer u onze diensten gebruikt, verwerken wij de gegevens die nodig zijn om die dienst te leveren — uw accountgegevens, uw financiële gegevens binnen de Konsensi App, uw hulpverzoek op Hulpradar. Dit is artikel 6 lid 1 sub b AVG.

Voor specifieke verwerkingen die niet noodzakelijk zijn voor de uitvoering van de overeenkomst, vragen wij u expliciet toestemming. Dit geldt onder meer voor het opslaan van uw BSN op Schuldenradar, voor het inzage geven aan een coach in uw financiële gegevens via Konsensi Bewind, voor het plaatsen van analytische en marketing-cookies en voor het ontvangen van nieuwsbrieven. Toestemming wordt vastgelegd met versie en datum, en u kunt uw toestemming op elk moment intrekken zonder dat dit de eerdere rechtmatigheid van de verwerking aantast. Dit is artikel 6 lid 1 sub a AVG.

Voor verwerkingen die voortvloeien uit een wettelijke verplichting — zoals het bewaren van financiële administratie gedurende zeven jaar conform de boekhoudplicht — beroepen wij ons op artikel 6 lid 1 sub c AVG.

Voor het detecteren en voorkomen van fraude, het beveiligen van onze diensten en het bijhouden van audit-logs voor compliance-doeleinden beroepen wij ons op het gerechtvaardigd belang van Konsensi en van onze gebruikers bij een veilige en betrouwbare dienst, conform artikel 6 lid 1 sub f AVG. Wij hebben hiervoor een belangenafweging gemaakt waarin uw rechten en vrijheden zorgvuldig zijn meegewogen.

6. Met wie delen wij uw gegevens

Wij delen uw gegevens alleen waar dat noodzakelijk is voor de levering van de dienst, met partijen waarmee wij een verwerkersovereenkomst hebben gesloten, of waar dat wettelijk verplicht is.

Binnen Konsensi hebben uitsluitend medewerkers die uw gegevens nodig hebben voor hun werkzaamheden toegang, op basis van een rolgebonden autorisatiestructuur. Iedere toegang tot bijzondere persoonsgegevens wordt gelogd en periodiek getoetst.

Op Hulpradar worden gegevens uit uw hulpverzoek gedeeld met de hulporganisaties die op basis van uw gemeente of postcode en de specialisatie die u zoekt door het systeem als geschikt worden geïdentificeerd. Iedere ontvangende organisatie heeft een verwerkersovereenkomst met Konsensi en is gebonden aan dezelfde geheimhoudings- en beveiligingseisen.

Op Schuldenradar ziet u uitsluitend zelf de schulden die op uw BSN zijn gekoppeld. Schuldeisers en incassobureaus die data registreren zien alleen de gegevens van hun eigen schuldenaren. Het platform fungeert hier als doorgeefluik en niet als marktplaats.

In Konsensi Bewind worden uw gegevens uit de Konsensi App alleen zichtbaar voor een specifieke coach of bewindvoerder waarvoor u expliciete toestemming heeft verleend. U kunt deze toestemming op ieder moment intrekken via uw account in de Konsensi App of via de magic-link die u bij het verlenen van toestemming heeft ontvangen.

Wij maken gebruik van de volgende sub-verwerkers voor de technische werking van onze diensten. Supabase verzorgt de database- en authenticatie-infrastructuur en is gevestigd in de Europese Unie. Vercel verzorgt de hosting van onze applicaties en heeft zijn hoofdzetel in de Verenigde Staten — de doorgifte vindt plaats op basis van het EU-VS Data Privacy Framework en Standard Contractual Clauses van de Europese Commissie. Resend verzorgt het versturen van transactionele e-mails. Daily.co levert de video-call-infrastructuur voor Konsensi Bewind. Anthropic levert de AI-modellen die gebruikt worden voor inkomende-document-analyse en voor de AI-coach in de Konsensi App; ook hier vindt doorgifte plaats op basis van DPF en SCCs. Voor Schuldenradar maakten wij tot recent gebruik van het Base44-platform — deze sub-verwerker wordt uitgefaseerd en de data wordt overgezet naar onze eigen Supabase-omgeving. Een actueel overzicht van alle sub-verwerkers is op verzoek beschikbaar via het privacy-mailadres.

Wij delen uw gegevens uitsluitend met derden buiten dit kader wanneer wij daartoe wettelijk verplicht zijn, bijvoorbeeld op grond van een gerechtelijk bevel.

7. Doorgifte naar landen buiten de Europese Economische Ruimte

Een aantal van onze sub-verwerkers heeft zijn hoofdzetel buiten de Europese Economische Ruimte, met name in de Verenigde Staten. Doorgifte naar deze partijen vindt plaats op basis van het EU-VS Data Privacy Framework en aanvullend op basis van Standard Contractual Clauses zoals vastgesteld door de Europese Commissie. Wij beoordelen periodiek of het beschermingsniveau in de ontvangende landen passend blijft en passen onze infrastructuur aan wanneer dat nodig is.

8. Hoe lang bewaren wij uw gegevens

Wij bewaren uw gegevens niet langer dan noodzakelijk voor de doeleinden waarvoor zij zijn verzameld, behoudens wettelijke bewaartermijnen. Accountgegevens bewaren wij gedurende de looptijd van uw account en tot dertig dagen na verwijdering van uw account, waarna ze definitief worden verwijderd of geanonimiseerd. Financiële gegevens die onder de boekhoudplicht vallen bewaren wij zeven jaar, conform artikel 52 Algemene wet inzake rijksbelastingen. Hulpverzoeken op Hulpradar bewaren wij zes maanden indien niet gematcht en twaalf maanden na afronding van een match, waarna soft-delete plaatsvindt en dertig dagen later hard-delete. Berichten in Konsensi Bewind bewaren wij gedurende de coachingsrelatie en zes maanden in archief daarna, voordat hard-delete plaatsvindt. Audit-logs bewaren wij vierentwintig maanden in identificeerbare vorm, daarna geanonimiseerd.

Een gedetailleerd bewaarbeleid is in te zien via het privacy-mailadres.

9. Hoe beveiligen wij uw gegevens

Wij hebben passende technische en organisatorische maatregelen genomen om uw gegevens te beschermen tegen verlies, onrechtmatige verwerking en ongeautoriseerde toegang. Onze infrastructuur draait op versleutelde verbindingen en versleutelde dataopslag. Wij gebruiken Row Level Security in onze database zodat data uitsluitend zichtbaar is voor de personen die daartoe geautoriseerd zijn. Voor de Konsensi App is twee-factor authenticatie beschikbaar en bij gevoelige acties verplicht. Toegang door medewerkers is rolgebonden en wordt gelogd. Wij voeren periodiek beveiligingsaudits uit en hebben een datalekprocedure die binnen tweeënzeventig uur na vaststelling van een datalek tot melding bij de Autoriteit Persoonsgegevens leidt indien de wet daartoe verplicht.

10. Welke rechten heeft u

Op grond van de AVG heeft u een aantal rechten met betrekking tot uw persoonsgegevens. U heeft het recht op inzage in de gegevens die wij van u verwerken (artikel 15 AVG), het recht op rectificatie van onjuiste gegevens (artikel 16 AVG), het recht op verwijdering van uw gegevens (artikel 17 AVG, ook bekend als het recht op vergetelheid), het recht op beperking van de verwerking (artikel 18 AVG), het recht op dataportabiliteit waarbij u uw gegevens in een machineleesbaar formaat ontvangt (artikel 20 AVG), en het recht van bezwaar tegen verwerkingen op basis van gerechtvaardigd belang (artikel 21 AVG). Wanneer er sprake is van geautoriseerde besluitvorming met aanzienlijke gevolgen voor u — bijvoorbeeld AI-verificatie op Schuldenradar — heeft u het recht op menselijke tussenkomst conform artikel 22 AVG.

U kunt deze rechten uitoefenen door een verzoek te sturen naar het privacy-mailadres of, voor de specifieke diensten, via de daarvoor bestemde functionaliteit in de app zelf. Wij reageren binnen een maand op uw verzoek, met de mogelijkheid om die termijn met twee maanden te verlengen bij complexe verzoeken. Wij kunnen u vragen om uzelf te identificeren voordat wij uw verzoek in behandeling nemen, om te voorkomen dat gegevens aan onbevoegden worden verstrekt.

Bepaalde rechten kennen wettelijke uitzonderingen. Zo kunnen wij gegevens die wij op grond van een wettelijke bewaarplicht moeten bewaren niet verwijderen, ook niet op uw verzoek — maar wij zullen ze in zo'n geval gemaskeerd of geanonimiseerd bewaren waar mogelijk.

11. Cookies en vergelijkbare technieken

Onze diensten maken gebruik van cookies en vergelijkbare technieken voor de werking van de dienst, voor analyse en — alleen na uw expliciete toestemming — voor marketingdoeleinden. Een gedetailleerde beschrijving van de cookies die wij plaatsen, hun doel en bewaartermijn, vindt u in ons separate cookiebeleid op de website van iedere dienst.

12. Klachten

Indien u van mening bent dat wij uw gegevens onjuist verwerken, vragen wij u om eerst contact met ons op te nemen via het privacy-mailadres. Wij gaan met u in gesprek en proberen samen tot een oplossing te komen. Komt u er met ons niet uit, dan heeft u het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

13. Wijzigingen in dit privacybeleid

Wij behouden ons het recht voor om dit privacybeleid van tijd tot tijd aan te passen, bijvoorbeeld wanneer wij nieuwe diensten introduceren, bestaande diensten ingrijpend wijzigen of wanneer wet- of regelgeving daartoe aanleiding geeft. De meest recente versie is altijd beschikbaar via onze websites en apps. Bij ingrijpende wijzigingen informeren wij actieve gebruikers per e-mail.

14. Contact

Voor alle vragen, verzoeken en klachten met betrekking tot dit privacybeleid en de verwerking van uw persoonsgegevens kunt u contact opnemen via privacy@konsensi-budgetbeheer.nl. Na aanwijzing van onze Functionaris Gegevensbescherming wordt dat e-mailadres direct doorgekoppeld naar de FG.

Bijlage A — Addendum Konsensi App

[Korte herhaling van de Konsensi App-specifieke verwerkingen, met verwijzingen naar specifieke functionaliteit zoals AI-coach, document-parsing, schuldhulp-modules. Wordt verder ingevuld zodra Konsensi App-specifieke nuances worden gevalideerd.]

Bijlage B — Addendum Hulpradar

[Beschrijving van de matching-procedure, welke organisaties matches ontvangen, hoe consent voor doorgifte wordt vastgelegd, hoe u uw verzoek kunt intrekken via /mijn-gegevens.]

Bijlage C — Addendum Schuldenradar

[BSN-verwerking specifiek toegelicht, AI-verificatie en het recht op menselijke review (artikel 22), webhook-doorgifte aan incassobureaus, rechtsgrond per categorie debt.]

Bijlage D — Addendum Konsensi Bewind

[Coach- en bewindvoerder-toegang via expliciete cliënt-consent, scope-categorieën, intrekprocedure, video-call-handling.]

Bijlage E — Addendum Insights Dashboard en Konsensi Workspace

[Interne tools, geaggregeerde data, rolgebonden toegang, audit-log, geen externe gebruikers.]

Versiegeschiedenis

| Versie | Datum | Wijziging | Auteur | |---|---|---|---| | 1.0 draft | 2026-05-09 | Eerste opzet | Claude / Rivaldo |