Privacybeleid

Uw privacy is belangrijk voor ons

Credia BV is een op Brussel gebaseerd fintech SaaS-platform dat Belgische MKB's helpt leningsvoorwaarden te benchmarken met behulp van kunstmatige intelligentie. Wij stellen uw privacy zeer op prijs en zorgen ervoor dat u een positieve ervaring hebt op ons platform. Dit privacybeleid legt uit hoe we uw persoonsgegevens verzamelen, gebruiken en beschermen in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG).

Welke gegevens we verzamelen

We verzamelen de volgende soorten persoonsgegevens:

• E-mailadres: Gebruikt voor accountauthenticatie en communicatie.
• IP-adres-hash: Voor beveiliging en fraudedetectie hashen wij uw IP-adres met HMAC-SHA256 en een servergeheim. Wij slaan uw werkelijke IP-adres niet op — alleen de hash-output. De hash wordt gebruikt om verdachte inlogpatronen en misbruik te detecteren. Het hashgeheim wordt veilig opgeslagen (nooit gelogd) en periodiek geroteerd. Gehashte IP-adressen worden 30 dagen bewaard en daarna verwijderd.
• Apparaatinformatie (automatisch verzameld): Browsertype, versie van het besturingssysteem en schermresolutie voor beveiliging en platformoptimalisatie. Wij verzamelen geen hardware-identificatoren (IMEI, serienummers), advertentie-ID's of browser-fingerprintinggegevens.
• Gebruiksgegevens: Interacties met het platform, gebruikte functies en tijdstempels om onze service te verbeteren.
• Geüploade documenten: Leningsvoorstel-PDF's met naam van de lener, banknaam, btw-nummers en leningsbedragen voor analyse.
• Geëxtraheerde gegevens: 78 gestandaardiseerde velden die automatisch uit uw documenten zijn geëxtraheerd (marges, kosten, convenanten, looptijd en andere leningskenmerken).

Gegevensminimalisatie: Wij verzamelen alleen gegevens die noodzakelijk zijn voor de werking van de dienst of voor de hierboven vermelde legitieme doeleinden. U kunt contact opnemen met privacy@credia.pro om te informeren over het afmelden van niet-essentiële gegevensverzameling.

Hoe we uw gegevens gebruiken

We gebruiken uw persoonsgegevens voor de volgende doeleinden:

• Accountbeheer en communicatie: Stuur service-updates, beantwoord ondersteuningsverzoeken en stuur u meldingen van wijzigingen.
• Analyseer leningsvoorstellen en geef extractieresultaten: Extraheer gestandaardiseerde velden uit uw documenten en presenteer deze in gestructureerde vorm.
• Verbeter ons AI-model: Train en verfijn onze extractie-algoritmen voor nauwkeurigere benchmarkingvergelijkingen en scoreaanbevelingen.
• Benchmarkrapporten genereren: Vergelijk uw leningsvoorwaarden met gepseudonimiseerde marktgegevens voor scoring en aanbevelingen.
• Marktinformatie en dataproducten: Gebruik van geanonimiseerde, geaggregeerde gegevens (die geen persoonsgegevens bevatten conform GDPR Overweging 26) voor de productie van benchmarkreports, marktinformatieproducten en statistische analyses voor derden. Individuele gebruikers en transacties zijn nooit identificeerbaar in deze producten. U kunt zich te allen tijde afmelden voor bijdragen aan geaggregeerde datasets via Instellingen > Privacycentrum of door contact op te nemen met privacy@credia.pro.

Juridische basis voor verwerking

Wij verwerken uw persoonsgegevens op basis van de volgende rechtsgronden onder GDPR Artikel 6: (1) Uitvoering van een overeenkomst (Artikel 6(1)(b)) voor AI-gestuurde extractie en analyse van termsheets, (2) Gerechtvaardigd belang (Artikel 6(1)(f)) voor benchmarkvergelijkingen, serviceverbetering en de productie van geanonimiseerde marktinformatieproducten (zie Sectie 3), en (3) Toestemming (Artikel 6(1)(a)) uitsluitend voor toekomstige marketingcommunicatie. U kunt uw toestemming voor marketing-e-mails te allen tijde intrekken zonder dat dit gevolgen heeft voor andere verwerking. Opmerking: geanonimiseerde, geaggregeerde dataproducten vormen geen verwerking van persoonsgegevens (GDPR Overweging 26) en zijn daarom niet onderworpen aan intrekking van toestemming, hoewel u zich kunt afmelden voor toekomstige gegevensbijdragen.

AI-verwerking en gegevensverwerkers

We gebruiken de volgende derde partijen om onze AI-gestuurde analyse te leveren. Alle verwerkers hebben Verwerkingsovereenkomsten (DPA's) met Standaardcontractbepalingen (SCC's) gesloten:

• Anthropic (Claude API) – Anthropic (Claude API): Verwerkt uw termsheets voor extractie. Gevestigd in de VS. Onze verwerkersovereenkomst met Anthropic (conform art. 28 AVG) verbiedt expliciet het gebruik van uw gegevens voor modeltraining. Alle gegevens worden binnen 30 dagen na verwerking verwijderd. Deze beperking is contractueel bindend. DPA beschikbaar op aanvraag via privacy@credia.pro.
• Vercel – Vercel: Host onze frontend-applicatie. Gevestigd in de VS. Standaardcontractbepalingen zijn van toepassing.
• Neon – Neon: Biedt databasehosting (gratis tier). Gevestigd in de VS. Standaardcontractbepalingen zijn van toepassing.
• Google Cloud Platform – Google Cloud Platform (GCP): Back-endservices. Gevestigd in België (EU). Standaardcontractbepalingen zijn van toepassing.
• Stripe – Stripe: Verwerkt betalingen en facturering. Gevestigd in de VS en Ierland. Standaardcontractbepalingen zijn van toepassing.
• Sentry – Sentry: Foutbewaking en debugging. Gevestigd in de VS. Geconfigureerd met PII-scrubbing om gevoelige gegevensregistratie te voorkomen. Standaardcontractbepalingen zijn van toepassing.
• Resend – Resend: E-mailbezorgingsservice. Gevestigd in de VS. Standaardcontractbepalingen zijn van toepassing.

Alle zeven bovengenoemde verwerkers hebben verwerkersovereenkomsten (DPA's) ondertekend zoals vereist door art. 28 AVG, inclusief instructies om gegevens uitsluitend volgens onze aanwijzingen te verwerken, garanties voor vertrouwelijkheid en beveiliging, beperkingen op sub-verwerking, en standaard contractbepalingen (SCC's) voor overdrachten buiten de EU/EER. Neem contact op met privacy@credia.pro om een kopie van een DPA aan te vragen. Als wij verwerkers toevoegen of wijzigen, stellen wij u ten minste 15 dagen van tevoren per e-mail op de hoogte.

Pseudonimisering en de-identificatie

Wij passen privacyverbeterende pseudonimiseringstechnieken toe op uw geëxtraheerde gegevens: K-anonimiteit (k≥5) zorgt ervoor dat individuele records niet kunnen worden onderscheiden van ten minste 4 andere in geaggregeerde datasets. Banknamen worden vervangen door HMAC-SHA256-hashes met een servergeheim, en leningbedragen worden ingedeeld in bandbreedtes om het risico op heridentificatie te verminderen. Belangrijk: gepseudonimiseerde gegevens blijven onder de AVG vallen omdat heridentificatie theoretisch mogelijk is. Uw rechten als betrokkene (inzage, verwijdering, overdraagbaarheid) zijn daarom van toepassing op gepseudonimiseerde gegevens. U kunt zich op elk moment afmelden voor benchmarking en verwijdering van uw gepseudonimiseerde gegevens aanvragen via privacy@credia.pro.

Geanonimiseerde, geaggregeerde gegevens die voldoen aan onze k-anonimiteitsdrempel (k≥5) en zijn ontdaan van alle directe en indirecte identificatoren, kwalificeren als niet-persoonsgegevens onder GDPR Overweging 26. Dergelijke gegevens kunnen worden gebruikt voor marktinformatieproducten zonder individuele toestemming, aangezien heridentificatie redelijkerwijs niet waarschijnlijk is. U behoudt het recht om u af te melden voor toekomstige gegevensbijdragen via Instellingen > Privacycentrum.

Gegevensbewaring

Wij bewaren uw persoonsgegevens gedurende de volgende periodes: Accountgegevens worden bewaard gedurende de looptijd van uw actieve account plus 30 dagen na verwijdering. Geüploade PDF's worden 30 dagen na extractie bewaard zodat u ze kunt bekijken en opnieuw downloaden; daarna worden PDF's automatisch verwijderd, tenzij u kiest voor verlengde opslag (tot 24 maanden voor Pro, 12 maanden voor gratis) voor uw gemak. Verlengde PDF-opslag is gebaseerd op uw uitdrukkelijke toestemming (art. 6(1)(a)). Geëxtraheerde gegevens (78 velden) worden bewaard gedurende de looptijd van uw account. Gepseudonimiseerde benchmarkgegevens worden bewaard gedurende uw account plus 30 dagen; u kunt zich op elk moment afmelden voor benchmarking. Foutlogs worden 30 dagen bewaard. Inactieve accounts (geen login gedurende 18+ maanden) worden verwijderd na 30 dagen voorafgaande kennisgeving per e-mail, inclusief instructies om uw gegevens te exporteren. Na verwijdering worden gegevens binnen 30 dagen definitief gewist, behalve wettelijk vereiste gegevens.

Uw rechten

Onder AVG hebt u de volgende rechten:

• Recht op toegang: Vraag een kopie aan van de persoonsgegevens die we over u hebben.
• Recht op rectificatie: Vraag correctie aan van onjuiste gegevens.
• Recht op verwijdering: Vraag verwijdering van uw gegevens aan, met inachtneming van een respijtperiode van 30 dagen voordat permanente verwijdering plaatsvindt.
• Recht op gegevensportabiliteit: Vraag uw gegevens aan in een machine-leesbaar formaat voor overdracht naar een ander platform.
• Recht op beperking: Vraag aan dat we de verwerking van uw gegevens in bepaalde omstandigheden beperken.
• Recht van bezwaar: Maak bezwaar tegen benchmarkingvergelijkingen en verwerking op basis van gerechtvaardigd belang.
• Recht om toestemming in te trekken: Trek toestemming in voor marketing-e-mails en niet-essentiële verwerking.
• Recht op klacht: U kunt een klacht indienen bij de Gegevensbeschermingsautoriteit. Postadres: Drukpersstraat 35, 1000 Brussel, België. E-mail: contact@apd-gba.be. Website: www.gegevensbeschermingsautoriteit.be. Klachten zijn gratis, vertrouwelijk en vereisen geen advocaat.

Om uw rechten uit te oefenen, dient u een verzoek in bij privacy@credia.pro met uw volledige naam, het e-mailadres dat aan uw Credia-account is gekoppeld, en een beschrijving van welk recht u uitoefent. Wij bevestigen de ontvangst binnen 3 werkdagen en verifiëren uw identiteit. Voor eenvoudige verzoeken reageren wij volledig binnen 30 dagen. Voor complexe verzoeken kunnen wij de reactietermijn met maximaal 2 maanden verlengen en stellen wij u binnen 30 dagen op de hoogte. Verzoeken om gegevenstoegang worden verstrekt in een machineleesbaar formaat (CSV, JSON of PDF). Voor dringende zaken, e-mail privacy@credia.pro met 'URGENT DSAR' als onderwerp. Alle antwoorden zijn gratis. privacy@credia.pro

Cookies en tracking

Credia gebruikt technisch essentiële cookies en lokale opslag, die zijn vrijgesteld van toestemmingsvereisten: (1) session_id — behoudt uw inlogstatus, verloopt bij sessie-einde; (2) csrf_token — CSRF-bescherming, verloopt bij sessie-einde; (3) locale — slaat uw taalvoorkeur op, verloopt na 1 jaar. Wij gebruiken ook Google Analytics (GA4) voor geanonimiseerde gebruiksstatistieken — dit wordt pas geladen nadat u expliciet toestemming hebt gegeven via onze toestemmingsbanner. Wij gebruiken geen reclame- of marketingcookies, geen trackingpixels, geen fingerprintingscripts en geen retargetingcookies. Onze verwerkers (Vercel, GCP) plaatsen geen trackingcookies in uw browser. Wij kunnen authenticatietokens opslaan in de localStorage van uw browser; deze worden verwijderd wanneer u uitlogt. Als wij in de toekomst bijkomende niet-essentiële cookies introduceren, bieden wij expliciete toestemmingsmechanismen en werken wij deze sectie bij met 30 dagen voorafgaande kennisgeving.

Internationale gegevensoverdrachten

Sommige van onze verwerkers zijn gevestigd in de Verenigde Staten. Alle overdrachten naar de VS worden beschermd door Standaardcontractbepalingen (SCC's) zoals goedgekeurd door de Europese Commissie. We behouden Verwerkingsovereenkomsten met alle zeven verwerkers die SCC's en andere waarborgen bevatten. De Belgische Gegevensbeschermingsautoriteit (GBA) is onze toezichthoudende autoriteit.

Geautomatiseerde besluitvorming

Het scoringalgoritme van Credia berekent uw leningkenmerken tegen geaggregeerde benchmarkgegevens. De score is informatief en adviserend — Credia neemt geen bindende beslissingen over uw kredietwaardigheid of leenbaarheid. Onder art. 22 AVG heeft u het recht om niet onderworpen te worden aan geautomatiseerde besluitvorming met rechtsgevolgen of vergelijkbare aanzienlijke gevolgen. De scoring van Credia heeft dergelijke gevolgen niet direct; de beslissing om uw lening goed te keuren of af te wijzen blijft bij uw bank of kredietverstrekker. Als uw bank echter de Credia-score gebruikt bij een geautomatiseerde leningbeslissing zonder menselijke beoordeling, kan art. 22 op die beslissing van toepassing zijn. Wij raden aan om menselijke beoordeling te vragen aan uw bank indien een dergelijke beslissing wordt genomen. Onze scoringsgewichten zijn: marge (35%), kosten (15%), convenanten (30%) en structuur (20%). U kunt de onderliggende gegevens bekijken en de scoringlogica controleren. U kunt een handmatige beoordeling aanvragen via privacy@credia.pro. Credia doet niet aan geautomatiseerde profilering voor het voorspellen van financieel gedrag.

Melding van datalekken

Als er een datalek optreedt dat een risico vormt voor uw rechten of vrijheden, stellen wij u zonder onnodige vertraging en uiterlijk 72 uur na kennisname van het lek per e-mail op de hoogte. De melding bevat: een beschrijving van het lek, de waarschijnlijke gevolgen, de genomen maatregelen en uw rechten en contactinformatie. Wij melden het lek ook binnen 72 uur aan de Gegevensbeschermingsautoriteit als het een aanzienlijk risico vormt. Wij melden het niet als het lek naar verwachting geen risico oplevert (bijv. een lek van versleutelde gegevens waarbij de encryptiesleutel niet is gecompromitteerd).

Neem contact met ons op

Voor privacyvragen, verzoeken om toegang tot gegevens, of om uw rechten uit te oefenen, neem contact op met: Credia BV, Gegevensbeschermingscontact: Luca Burigat, privacy@credia.pro. Voor juridische vragen: legal@credia.pro. Toezichthoudende autoriteit: Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel, België, www.gegevensbeschermingsautoriteit.be.

Beleidsupdates

We kunnen dit privacybeleid bijwerken om veranderingen in onze praktijken of toepasselijke wetgeving weer te geven. We zullen u op de hoogte stellen van materiële wijzigingen per e-mail of via het platform. Uw voortgezet gebruik van Credia betekent aanvaarding van het bijgewerkte beleid.