Privacyverklaring

Aflin is een dienst van Aflin, Ambachtslaan 128, 5506AK Veldhoven (KvK 74689657), btw-nummer NL002409615B22.

Vragen over privacy of een verzoek over je gegevens? Mail naar privacy@aflin.nl of bel +31621182302.

Aflin is verwerkingsverantwoordelijke voor:

• accounts die je zelf aanmaakt op aflin.nl ("losse accounts"), voor schulden en/of budgetteren;
• de Budgetcoach (abonnement) en de betalingen daarvoor;
• de website, het contactformulier en aanvragen van organisaties.

Aflin is verwerker wanneer een organisatie (bijvoorbeeld een gemeente, schuldhulporganisatie of bewindvoerder) Aflin gebruikt om jou te begeleiden, of de documentscanner (Aflin Scan) gebruikt. Die organisatie is dan verwerkingsverantwoordelijke en bepaalt waarvoor je gegevens worden gebruikt. Met die organisaties sluiten we een verwerkersovereenkomst. Heb je vragen over je gegevens bij zo'n organisatie? Stel ze bij voorkeur aan hen; wij helpen hen daarbij.

Vraag je via Aflin zelf professionele hulp aan, dan geven we je aanvraag (met je toestemming) door aan een schuldhulporganisatie. Vanaf dat moment is die organisatie verantwoordelijke voor je dossier.

• Accountgegevens: naam, e-mailadres, (optioneel) telefoonnummer, wachtwoord (alleen versleuteld als hash), gekozen accounttype, tijdzone.
• Schulden en betalingen: schuldeisers, bedragen, kenmerken, betaaldagen, betalingen die je registreert, je aflosplan.
• Brieven en documenten die je uploadt of scant. Deze kunnen ook gegevens bevatten die wij niet vragen (zoals je adres of BSN); die gebruiken we niet voor iets anders dan het uitlezen van de brief.
• Inkomen en uitgaven: wat je invult in de rekenhulp “Inkomen & uitgaven”.
• Budgetcoach: je potjes, uitgaven, spaardoelen, inkomen en — als je de chatcoach aanzet — je chatberichten.
• Betaalgegevens: voor de Budgetcoach betaal je via Mollie. Wij zien je kaart- of rekeningnummer niet volledig; we bewaren het betaalbedrag, de status en een referentie van Mollie.
• Hulpaanvraag: je gemeente, telefoonnummer en wat je over je situatie vertelt.
• Maatjes: naam en (optioneel) e-mailadres van iemand die je uitnodigt, en berichten tussen jullie.
• Technische gegevens: een logboek van belangrijke acties (met IP-adres) ter beveiliging, en cookies (zie de cookieverklaring).
• Medewerkers van organisaties: naam, e-mail, rol, profielfoto (optioneel) en 2FA-gegevens.

• Je account en de dienst leveren (schulden bijhouden, aflosplan, rekenhulp, Budgetcoach, scanner): uitvoering van de overeenkomst met jou (art. 6 lid 1 sub b AVG).
• Abonnementen en betalingen afhandelen: uitvoering van de overeenkomst; de betalingsadministratie bewaren we omdat de wet dat verplicht (art. 6 lid 1 sub c AVG, fiscale bewaarplicht).
• Je hulpaanvraag doorsturen naar een schuldhulporganisatie: op jouw verzoek en met jouw toestemming (art. 6 lid 1 sub a AVG). Je kunt de aanvraag altijd intrekken.
• De chatcoach (AI): alleen als je die zelf aanzet (toestemming, art. 6 lid 1 sub a AVG). Uitzetten kan altijd.
• Uitgebreide websitestatistiek met een bezoekerscookie: alleen met toestemming. Zonder toestemming meten we alleen anoniem en zonder cookies (gerechtvaardigd belang).
• Beveiliging, fraude- en misbruikpreventie (logboek, inlogbeveiliging): gerechtvaardigd belang (art. 6 lid 1 sub f AVG).
• Service-e-mails (bevestigingen, herinneringen die je aanzet): uitvoering van de overeenkomst. We sturen geen reclame zonder je toestemming.

Financiële gegevens zijn geen “bijzondere persoonsgegevens” in de zin van de AVG, maar we behandelen ze wel zo: alleen wie het nodig heeft kan erbij, en gevoelige velden en documenten slaan we versleuteld op.

Documentscanner: brieven die je scant of uploadt, worden gelezen door een AI-systeem van Mistral AI (Frankrijk, servers in de EU). Bij een foto of gescande brief gaat het beeld van de brief daarvoor naar Mistral; bij een digitale PDF alleen de tekst, waaruit BSN, IBAN, adres, naam, e-mail en telefoon eerst worden weggelakt. Mistral gebruikt de brieven alleen om de gegevens te herkennen en niet om AI-modellen te trainen. Je controleert de herkende gegevens altijd zelf voordat ze worden opgeslagen.

Chatcoach: als je die aanzet, praat je met een AI-systeem van Mistral AI (EU). We sturen je vraag en een samenvatting van je budget mee, niet je naam of contactgegevens. Mistral gebruikt deze gegevens niet om modellen te trainen.

Geen geautomatiseerde besluiten: Aflin neemt geen besluiten over jou met rechtsgevolgen. Berekeningen, adviezen (bijvoorbeeld “vraag hulp aan”) en antwoorden van de chatcoach zijn informatief; jij of je begeleider beslist.

We verkopen nooit gegevens. We delen alleen met partijen die ons helpen de dienst te leveren (verwerkers), onder een verwerkersovereenkomst:

• Vercel — hosting van de app; serverfuncties draaien in Frankfurt (EU).
• Neon (op Amazon Web Services) — database in Frankfurt (EU).
• Mollie B.V. (Nederland) — betalingen.
• Resend — verzenden van e-mails (bevestigingen, uitnodigingen, herinneringen).
• Mistral AI (Frankrijk, EU-servers) — voor het lezen van brieven in de documentscanner, en voor de chatcoach als je die aanzet.
• Push-diensten van je browser (bijv. Google, Apple, Mozilla) — alleen als je meldingen aanzet; de inhoud is versleuteld.

Daarnaast delen we gegevens met de organisatie die jou begeleidt (als je begeleiding hebt aangevraagd of door een organisatie bent uitgenodigd) en met maatjes, alleen wat jij ze laat zien.

Buiten de EU: we slaan gegevens op en verwerken ze in de EU. Sommige leveranciers (Vercel, Neon/AWS, Resend) hebben een Amerikaans moederbedrijf; bij eventuele toegang vanuit de VS (bijvoorbeeld voor support) gelden het EU-VS Data Privacy Framework en/of de standaardcontractbepalingen van de Europese Commissie.

• Je account en wat je erin zet: zolang je account bestaat. Verwijder je je account, dan wissen we alles direct en definitief.
• Dossiers bij een organisatie: zolang die organisatie dat bepaalt (vaak 5 jaar na afsluiten, volgens de Wet gemeentelijke schuldhulpverlening).
• Betalingsadministratie (Budgetcoach): 7 jaar, omdat de wet dat verplicht.
• Logboek met IP-adressen: 24 maanden.
• Berichten via het contactformulier: 12 maanden.
• Scans in Aflin Scan: het origineel tot de scan is gecontroleerd of geëxporteerd; alle scangegevens maximaal 30 dagen (instelbaar door de organisatie, 7–90 dagen).
• Chatberichten met de chatcoach: tot je het gesprek wist, de chatcoach uitzet of je account verwijdert.

Je hebt het recht om:

• je gegevens in te zien en mee te nemen — in je dashboard onder Meer → Mijn gegevens → Download al mijn gegevens;
• onjuiste gegevens te laten verbeteren — de meeste kun je zelf aanpassen;
• je gegevens te laten verwijderen — onder Meer → Mijn gegevens → Account verwijderen;
• de verwerking te laten beperken of er bezwaar tegen te maken;
• je toestemming in te trekken (bijvoorbeeld voor de chatcoach of de bezoekerscookie), zonder dat dit eerdere verwerking onrechtmatig maakt.

Je kunt ook mailen naar privacy@aflin.nl. We reageren binnen een maand. Ben je niet tevreden over hoe we met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

• Alle verbindingen zijn versleuteld (HTTPS); de database staat in de EU en is alleen versleuteld bereikbaar.
• Gevoelige velden en documenten worden versleuteld opgeslagen; wachtwoorden alleen als hash.
• Medewerkers van organisaties en beheerders gebruiken verplicht tweestapsverificatie.
• Toegang is per rol beperkt; belangrijke acties worden gelogd.
• Bij een datalek handelen we volgens de wet: we melden het waar nodig aan de Autoriteit Persoonsgegevens en aan jou.

Aflin is bedoeld voor mensen vanaf 16 jaar. Een abonnement op de Budgetcoach kun je afsluiten vanaf 18 jaar.

We passen deze verklaring aan als onze dienst of de wet verandert. Bij belangrijke wijzigingen laten we het je in de app of per e-mail weten. Bovenaan staat de datum van deze versie.