Privacy Policy

We verzamelen persoonsgegevens wanneer je ons Platform gebruikt. De volgende gegevens worden verwerkt:

a) Registratie en Gebruikersaccount

• First and last name
• Email address
• Password (stored encrypted using bcrypt)
• Country and business type
• Business address (street, city, ZIP, state)
• Billing address (street, city, ZIP, state, country)
• Company name (optional, for existing companies)

Juridische basis: Art. 6(1)(b) GDPR (contractuitvoering) en Art. 6(1)(a) GDPR (toestemming).

Required details: an account requires your email address, a password, a username, your first and last name and your country. They are required to enter into the user agreement; without them we cannot create an account. There is no legal obligation to provide them. Everything else asked at registration, such as a company name, addresses or a phone number, is optional. For a paid plan our payment provider also needs your payment details; without them no plan can be booked.

b) Bedrijfsbeheer

• Company label (internal identifier)
• Desired company name
• Country and business type per company
• Progress data for each dashboard category

c) Tool-specifieke Bedrijfsgegevens

Afhankelijk van de gebruikte tools worden de volgende aanvullende gegevens verwerkt en opgeslagen:

• Invoices: invoice numbers, recipient data, line items, amounts, due dates, PDF documents
• Customers: customer names, contact details, addresses, notes, communication history
• Inventory: product names, SKUs, quantities, prices, warehouse locations, supplier information
• Contracts: contracting parties, contract contents, terms, notice periods, document attachments
• Employees: employee names, contact details, positions, working hours, salary data, social security data
• Payroll: gross salaries, tax deductions, social security contributions, bank details
• Projects: project names, tasks, assignments, time tracking data, comments
• Time tracking: working hours, break times, project assignments
• Accounting: accounts, journal entries, receipts, income, expenses
• Tax: tax-relevant data, VAT calculations, input tax amounts
• Documents: uploaded files, document metadata, versioning data
• Calendar: appointments, reminders, participant information
• Suppliers: supplier names, contact details, order history, terms
• Orders: order numbers, product lists, quantities, prices, delivery status
• Travel expenses: travel data, receipts, expense reports, mileage
• Newsletter: recipient lists, email addresses, sending history, open rates
• Fleet: vehicle data, license plates, maintenance schedules, mileage
• Coupons: coupon codes, redemption history, validity periods
• Dunning: outstanding claims, dunning levels, payment reminders
• Digital signature: signatory data, timestamps, the signer's IP address and device details, document checksums. These details are the evidence that the signature is genuine and are kept together with the document.
• Legal: legal cases, deadlines, document templates
• Domain and email (Wavor Domains, Wavmail): domain names, DNS records, email inboxes, email content

Juridische basis: Art. 6(1)(b) GDPR (contractuitvoering). Deze gegevens worden uitsluitend verwerkt om de respectieve toolfunctie te bieden en worden niet voor andere doeleinden gebruikt.

d) Vroegtoegang Registratie (Wachtlijst)

• Name
• Email address
• Company name (optional)

e) Contactformulier

• Name
• Email address
• Subject and message content

Contactvragen worden via e-mail (via een e-mailserviceprovider) doorgestuurd naar de Operator.

f) Feedback

You can send us feedback through “Send feedback” in the dashboard and below every information page (“Was this information helpful?”). We store:

• the kind of feedback, your text and an optional rating
• the page on which you gave it
• your browser's identifier (user agent) and the time
• your account identifier if you are signed in; none without an account

Your IP address is not stored with the feedback. Without an account it is used only to limit the number of submissions per connection and is discarded one hour after the last submission.

The purpose is to improve the Platform and our information. Legal basis: Art. 6(1)(f) GDPR (legitimate interest in improving our service). Feedback is deleted automatically after 24 months. Until then you can take back any feedback: when signed in at any time in the settings under “Privacy”, without an account on the information page itself, as long as your browser still holds the identifier stored for that purpose.

Het Platform maakt gebruik van AI-diensten om de volgende functies te bieden:

• AI assistant "Wavor Intelligence" - processes chat messages and user profile data (name, company, country, business type) in context
• Company name check - processes the entered desired company name, country, and business type
• Risk analysis - processes business description and company data
• Logo generation - processes description, company name, country, and business type
• Country information - processes country and business type
• Drafts for dunning letters, invoices, contract renewals and support replies - process the name of the customer concerned along with invoice and contract data
• Receipt recognition - processes the content of uploaded receipts, including supplier name and amounts
• Email analysis - processes the subject and content of incoming email
• Website generation - processes the description you enter

Tekstinvoer gaat naar een AI-dienstverlener die binnen de Europese Unie verwerkt, die de gegevens niet gebruikt voor training en deze niet bewaart. Als die dienst niet beschikbaar is, wordt hetzelfde verzoek doorgestuurd naar een aanbieder in de VS. Beeldgeneratie verloopt uitsluitend via een aanbieder in de VS.

Overdrachten naar de VS vallen onder Art. 49(1)(a) GDPR (toestemming) en de EU-standaardcontractclausules.

Als een verzoek gegevens bevat over je eigen klanten - zoals de naam in een aanmaning of factuurconcept - worden die gegevens onveranderd meegestuurd. Ze worden niet vooraf verduisterd.

AI-gebruik wordt gevolgd (kosten per verzoek, eindpunt, tijdstempel) om maandelijkse gebruikslimieten per gebruiker af te dwingen.

Gesprekken met de AI-assistent 'Wavor Intelligence' worden in onze database opgeslagen om de gespreksgeschiedenis voor de gebruiker te behouden. Opgeslagen gegevens omvatten: berichtinhoud, rol van de afzender (gebruiker/assistent), tijdstempel en gespreks titel.

Het Platform maakt gebruik van de volgende cookies en lokale opslagmechanismen:

• Inloggen en beveiliging: sessiecookies en bescherming tegen verzoeken van andere sites. Zonder hen werkt de service niet.
• Gemak: taal, lichte of donkere uitstraling, blijven op een landadres. Alleen ingesteld wanneer je zelf iets kiest.
• No cookies for advertising, analytics or tracking, neither our own nor third-party ones. The reach measurement in section 6a works without cookies.

Volledige lijst van alle cookies met doel en bewaartijd

Juridische basis voor technisch noodzakelijke cookies: Art. 6(1)(f) GDPR (gerechtvaardigd belang). Je kunt bezwaar maken tegen het gebruik van cookies via onze cookiebanner of je browserinstellingen.

Elke keer dat het Platform wordt benaderd, worden technische gegevens automatisch verzameld: IP-adres, datum en tijd van toegang, bezochte pagina's, gebruikte browser en besturingssysteem, referrer URL. Deze gegevens worden verwerkt om technische operaties te waarborgen en om aanvallen te verdedigen.

Juridische basis: Art. 6(1)(f) GDPR (gerechtvaardigd belang in de beveiliging van het Platform).

Our websites run Cloudflare Web Analytics. It shows us how many visits a page gets and how fast it loads. The script is served by Cloudflare, sets no cookies, uses no local storage and builds no fingerprint from the IP address or browser string. Collected: the page visited, the referring page, browser, device type, operating system, the country derived from the IP address and the browser's load-time measurements. A visit is recognised by the referring page, not by an identifier; no visitor profile is built.

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in knowing how the website is used and how fast it is). If you do not want the measurement, block the script (static.cloudflareinsights.com) in your browser; the website works fully without it.

Persoonsgegevens worden alleen met derden gedeeld voor zover dit noodzakelijk is voor de dienstverlening. Categorieën van ontvangers zijn: hosting en infrastructuur, betalingsverwerking, e-mail verzenden en ontvangen, SMS-levering, AI-diensten, domeinregistratie, en CDN en beveiliging.

De specifieke subverwerkers die worden gebruikt, met naam, locatie en doel, zijn vermeld in Sectie 13.

The Platform uses a specialized payment and identity service provider (USA) for two purposes: to restore access when you no longer have access to your two-factor authentication, and for the voluntary identity verification in your account settings. The following is processed:

• Photos of your identity document (ID card, passport, or driver's license), taken directly with the camera
• A selfie that the provider compares with the photo on the document (biometric data)
• Data read from the document: name, date of birth, address, document type, issuing country, expiry date and document number

The legal basis is your explicit consent (Art. 6(1)(a) GDPR, and for the biometric data Art. 9(2)(a) GDPR). Identity verification is performed solely at your initiative. You can withdraw your consent at any time; the withdrawal does not affect the lawfulness of the processing carried out until then.

The provider checks that the document is genuine and detects forged or manipulated documents. It processes the photos and the selfie according to its privacy policy; they are not stored on our servers.

We store the result of the verification (status and match result) and, from the document, first and last name, address, document type, issuing country and expiry date, the date of birth only in encrypted form. We do not store the document number, the photos or the selfie. We use this data to document the verification and to be able to match a later restoration of access to your account.

Het Platform logt automatisch wijzigingen in de volgende accountgegevens:

• Email address and phone number
• First and last name
• Business and billing address
• Two-factor authentication settings (email, SMS, TOTP)

Opgeslagen gegevens omvatten: de gewijzigde veldnaam, oude en nieuwe waarde, tijdstempel van de wijziging, en de initiator (gebruiker, admin of systeem). Deze logging dient ter voorkoming van fraude, naleving van anti-witwasregelgeving (AML) onder GwG, en ter bescherming van de gebruiker in geval van ongeautoriseerde accountwijzigingen.

Juridische basis: Art. 6(1)(c) GDPR (wettelijke verplichting, in het bijzonder GwG) en Art. 6(1)(f) GDPR (gerechtvaardigd belang bij fraudepreventie). De wijzigingsgeschiedenis wordt opgeslagen in overeenstemming met de wettelijke bewaartermijnen (minimaal 5 jaar onder Sectie 8 GwG, tot 10 jaar onder Sectie 147 AO).

Onder de GDPR heeft u de volgende rechten met betrekking tot uw persoonlijke gegevens:

• Right of access (Art. 15 GDPR) - What data is stored about you
• Right to rectification (Art. 16 GDPR) - Correction of inaccurate data
• Right to erasure (Art. 17 GDPR) - Deletion of your data
• Right to restriction of processing (Art. 18 GDPR)
• Right to data portability (Art. 20 GDPR)
• Right to object (Art. 21 GDPR) - Object to processing
• Right to withdraw consent (Art. 7(3) GDPR)
• Right to lodge a complaint with a supervisory authority (Art. 77 GDPR)

To exercise your rights, please use our support page.

Competent supervisory authority: State Commissioner for Data Protection and Freedom of Information North Rhine-Westphalia, Kavalleriestraße 2-4, 40213 Düsseldorf, Germany.

The Platform makes decisions based solely on automated processing which produce legal effects concerning you or similarly significantly affect you (Art. 22 GDPR) in only two cases:

• Restoring access (section 7a): after the identity service provider's check, the Platform compares the first and last name, date of birth and address from the identity document with the accounts whose holders have already verified their identity successfully before. If the result matches exactly one such account, you automatically receive a link at the email address this account already has, with which you restore access; your existing second factor stays active until the new one is confirmed. If you name another address, a staff member decides, as in every other case. If you have switched off recovery through support in the security settings, access is not restored this way, not even by a staff member. The Platform never rejects a request automatically. If the provider cannot complete the check, for example because a photo is unreadable, you can start it again at any time.
• Domains: if the email address of the domain holder is not confirmed within the deadline of the responsible registry (15 days for .com and other generic top-level domains), the domain is suspended automatically, as the registries' rules require (for generic top-level domains ICANN RAA § 3.7.7.1). As soon as the address is confirmed, the domain is released again.

In both cases you can ask for a staff member to review the decision, state your point of view and contest the decision. Please contact our support for this.

We gebruiken technische en organisatorische beveiligingsmaatregelen om je gegevens te beschermen: wachtwoorden worden gehashed met bcrypt, sessies worden beheerd via veilige httpOnly-cookies, gegevensoverdracht is versleuteld via HTTPS/TLS, en database-toegang is beperkt tot geautoriseerde diensten.

Persoonlijke gegevens worden bewaard volgens de volgende periodes:

• Account data (name, email, address): until account deletion by the user
• Company data and progress data: until account deletion
• Tool-specific business data (invoices, contracts, employees, accounting, etc.): until account deletion, unless statutory retention obligations apply (e.g., invoices 10 years per Section 147 AO)
• Chat histories with the AI assistant: until account deletion
• Early access registrations: until official platform launch or until withdrawal
• Contact inquiries: 6 months after completion of the inquiry
• Feedback: 24 months
• AI usage data (cost tracking): until account deletion
• Server log data: 90 days
• Sign-in history (the basis for the new-device alert): 365 days
• Sign-in attempts (protection against automated attacks): 90 days
• Session cookies: 7 days or until logout
• Change history (Data History): at least 5 years (GwG), up to 10 years (AO)
• Identity verification results: until account deletion or per statutory retention periods

Wanneer je je account verwijdert, worden alle persoonsgegevens, bedrijfsgegevens, voortgangsgegevens en chatgeschiedenissen onherroepelijk binnen 28 dagen verwijderd, tenzij wettelijke bewaarplichten (bijv. belastinggerelateerde bewaartermijnen van 6 of 10 jaar) van toepassing zijn.

Om onze diensten te verlenen, maken we gebruik van subverwerkers. AI-functies en hostinginfrastructuur zijn geïntegreerd via gespecialiseerde derde partijen als subverwerkers. De AI-dienstverlener fungeert niet als een onafhankelijke gegevensbeheerder, maar verwerkt gegevens uitsluitend binnen het kader van gegevensverwerkingsovereenkomsten. Gegevensverwerkingsovereenkomsten conform Art. 28 GDPR bestaan met alle aanbieders.

De volledige lijst van gebruikte subverwerkers, met naam, locatie en doel, is opgenomen in Sectie 13.

Door het gebruik van onze derde partijen in de VS kunnen persoonlijke gegevens naar derde landen worden overgedragen. De overdracht is gebaseerd op de volgende juridische bases:

• EU-US Data Privacy Framework (EU Commission adequacy decision)
• Standard Contractual Clauses (SCC) pursuant to Art. 46(2)(c) GDPR
• Additionally, Transfer Impact Assessments (TIA) to evaluate the level of protection

CDN- en beveiligingsproviders evenals hostingproviders, als infrastructuurproviders, zorgen voor hun eigen juridische bases voor internationale gegevensoverdrachten, inclusief het EU-VS Data Privacy Framework en/of Standaardcontractclausules (SCC).

We gebruiken de volgende subverwerkers:

Standard Contractual Clauses (SCC) per Art. 46(2)(c) GDPR are in place with all US-based sub-processors. Data Processing Agreements per Art. 28 GDPR are in place with EU-based providers.

We behouden ons het recht voor om deze Privacyverklaring op elk moment bij te werken. Belangrijke wijzigingen worden gecommuniceerd aan geregistreerde gebruikers via e-mail of via het Platform. De huidige versie is altijd beschikbaar op het Platform.