Privacybeleid

1. Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke van uw persoonsgegevens is Atlas Digital SRL (btw BE 1033.770.471), Boulevard du Roi Albert II 4, 1000 Bruxelles, België, bereikbaar via contact@lumohub.eu.

2. Verzamelde gegevens

Wij verwerken uitsluitend de gegevens die nodig zijn voor de werking van de dienst:

• Account: naam, voornaam, e-mail, wachtwoord (gehasht), taal, telefoon (optioneel).
• Aanmelden met Google of Microsoft (als u daarvoor kiest): die aanbieder verifieert uw identiteit volgens zijn eigen privacybeleid en stuurt ons uw naam en e-mailadres. Wij sturen hem niets.
• Onderneming: benaming, ondernemingsnummer, btw-nummer, adres, rechtsvorm, sociaal verzekeringsfonds, bankgegevens (IBAN, BIC).
• Activiteit: facturen, uitgaven, contracten, klanten, prospecten, gepresteerde dagen, investeringen, documenten die u erin plaatst.
• Lumohub-facturatie: uw abonnement wordt beheerd door Stripe; wij bewaren nooit uw bankkaartgegevens.
• Technisch: serverlogs en uw aanmeldingsgeschiedenis (IP-adres, land, browser, tijdstempel) voor beveiligings- en diagnosedoeleinden.

De gegevens van uw eigen klanten die u in Lumohub registreert, worden voor uw rekening verwerkt: u blijft hiervoor verantwoordelijk, en Lumohub treedt op als verwerker in de zin van de AVG, volgens de verwerkersovereenkomst in bijlage bij de algemene voorwaarden.

3. Doeleinden en rechtsgronden

• Levering van de dienst (uitvoering van het contract): accountbeheer, facturatie, Peppol-e-facturatie, fiscale berekeningen, exports.
• Transactionele e-mails (uitvoering van het contract): accountbevestiging, vervaldagherinneringen, fiscale meldingen.
• Beveiliging en misbruikpreventie (gerechtvaardigd belang): logs, snelheidsbeperking, tweefactorauthenticatie, netwerkbescherming.
• Wettelijke verplichtingen van Lumohub als verkoper: de boekhouding van onze eigen abonnementsfacturen. De documenten die u in Lumohub maakt, vallen daar niet onder: de wettelijke bewaring ervan blijft uw verplichting (punt 6).

4. Verwerkers

Wij doen een beroep op strikt noodzakelijke dienstverleners, in het kader van de AVG:

• Scaleway — hosting en opslag, datacenters in de EU.
• Cloudflare — vóór de website en de applicatie: het ontvangt elke versleutelde verbinding (TLS), filtert ze tegen aanvallen en geeft ze door aan onze hostingprovider; het verzorgt ook de omzetting van de domeinnamen (DNS). Het ziet dus elk verzoek, met inbegrip van uw IP-adres, en geeft ons het land door van waaruit u verbinding maakt.
• Stripe — betaling van abonnementen (PCI-DSS-gecertificeerd).
• Brevo — verzending van transactionele e-mails.
• Recommand — toegangspunt tot het Peppol-netwerk voor het verzenden en ontvangen van elektronische facturen.
• Scaleway — opslag van onze nachtelijke back-ups, datacenters in Frankrijk. Ze worden versleuteld voordat ze onze deploymentketen verlaten: Scaleway kan ze niet lezen.
• GitHub (onderdeel van Microsoft) — onze deploymentketen, die ook de nachtelijke back-up uitvoert: zolang ze wordt versleuteld, passeert de database zijn servers.
• Anthropic — functies met artificiële intelligentie. De hulpchat (alle plannen) ontvangt uw vragen en het lopende gesprek; het persoonlijke advies (vanaf het plan Pro) ontvangt de cijfers van uw jaar (omzet, kosten, netto-inkomen), uw land, uw rechtsvorm en uw verzekeringen; het lezen van documenten (plan Expert, en tijdens de proefperiode) ontvangt het bonnetje, het contract of de factuur die u toevoegt om het formulier in te vullen. Anthropic verwerkt deze gegevens in onze opdracht, onder een verwerkersovereenkomst, en gebruikt ze niet om zijn modellen te trainen.

5. Doorgiften buiten de Europese Unie

Uw gegevens worden gehost in de Europese Unie, en ook het versturen van e-mails (Brevo) en het Peppol-netwerk (Recommand) blijven daar. Vier verwerkers zijn Amerikaanse ondernemingen die gegevens in de Verenigde Staten kunnen verwerken:

• Cloudflare, waarlangs elk verzoek naar de website en de applicatie loopt, onder het EU-VS-kader voor gegevensbescherming (Data Privacy Framework), aangevuld met de door de Europese Commissie vastgestelde modelcontractbepalingen (uitvoeringsbesluit (EU) 2021/914);
• Anthropic, voor de hierboven beschreven functies met artificiële intelligentie, onder diezelfde modelcontractbepalingen;
• Stripe, voor de betaling van het abonnement, onder het Data Privacy Framework, aangevuld met diezelfde modelcontractbepalingen;
• GitHub, waarvan de servers die de nachtelijke back-up uitvoeren zich in de Verenigde Staten kunnen bevinden, onder het Data Privacy Framework, aangevuld met diezelfde modelcontractbepalingen.

6. Bewaartermijnen

• Actief account: zolang het account bestaat.
• Verwijdering van account: definitieve wissing van al uw gegevens na een herroepingstermijn van 30 dagen. Daarna wordt niets bewaard.
• Onvoltooide inschrijving: de reeds ingevulde antwoorden worden 30 dagen bewaard zodat u verder kunt gaan waar u gebleven was, en daarna gewist. Zodra de inschrijving voltooid is, worden ze meteen gewist.
• Inactief account: een account dat langer dan 2 jaar zonder abonnement blijft, wordt per e-mail gewaarschuwd en daarna op dezelfde manier definitief gewist.
• Vóór elke wissing kunt u uw facturen en documenten exporteren (gecertificeerd ZIP-archief inbegrepen in het Expert-plan). Uw eigen wettelijke bewaarplicht blijft de uwe: de duur hangt af van uw land en de app vermeldt ze.
• Onze eigen abonnementsfacturen: bewaard conform onze boekhoudkundige verplichtingen als verkoper. Het gaat om uw facturatiegegevens en de betaalde bedragen — nooit om de documenten die u in Lumohub hebt gemaakt.
• Technische logs (aanmeldingen, fouten, verzonden e-mails): 90 dagen.

7. Uw rechten

U beschikt over het recht op inzage, rectificatie, wissing, beperking, bezwaar en overdraagbaarheid. De applicatie bevat rechtstreeks de volledige export van uw gegevens en het verzoek tot verwijdering van het account (Instellingen → Account). Voor elk ander verzoek: contact@lumohub.eu. U kunt een klacht indienen bij de toezichthoudende autoriteit van uw land van verblijf (in België: de Gegevensbeschermingsautoriteit, autoriteprotectiondonnees.be).

8. Cookies en lokale opslag

Lumohub gebruikt uitsluitend strikt noodzakelijke cookies — voor uw aanmelding, voor de beveiliging van de dienst of om een keuze te onthouden die u zelf hebt gemaakt:

• .AspNetCore.Cookies — uw aanmeldingssessie, beveiligd en onleesbaar voor de scripts van de pagina; hij verdwijnt bij het afmelden of aan het einde van de sessie.
• .AspNetCore.Correlation.… — alleen tijdens een aanmelding met Google of Microsoft: hij beveiligt de heen-en-terugweg naar die aanbieder en verdwijnt daarna.
• .AspNetCore.Antiforgery.… — beschermt de formulieren van de applicatie tegen verzoeken die buiten uw medeweten worden verstuurd; hij verdwijnt wanneer u de browser sluit.
• .AspNetCore.Culture — de taal die u hebt gekozen, een jaar bewaard.
• flh-theme — het lichte of donkere thema dat u hebt gekozen, een jaar bewaard.
• flh_country — het land dat u op de openbare website hebt gekozen, om er de tarieven en bedragen van te tonen, een jaar bewaard.
• ARRAffinity en ARRAffinitySameSite — geplaatst door onze hostingprovider om uw verzoeken tijdens uw bezoek naar dezelfde server te sturen; ze verdwijnen wanneer u de browser sluit.

Tijdens een betaling, en enkel bij die stap, plaatst onze betaaldienst Stripe op zijn pagina's zijn eigen cookies ter voorkoming van fraude, strikt noodzakelijk voor de transactie. Cloudflare kan een beveiligingscookie plaatsen (__cf_bm, of cf_clearance na een controle) wanneer het een bezoeker van een robot moet onderscheiden.

De applicatie bewaart ook enkele instellingen in de lokale opslag van uw browser: de taal, het plan dat u bij de inschrijving koos, de grootte van de lijsten, de berichten die u al hebt gelezen of gesloten. Ze blijven op uw toestel.

Er wordt geen reclame-, bezoekersmetings- of trackingcookie gebruikt: bezoeken aan de openbare website worden geteld zonder cookie of IP-adres, als eenvoudige totalen per dag en per pagina. Omdat deze cookies en instellingen strikt noodzakelijk zijn, vragen ze niet om uw toestemming — daarom is er geen toestemmingsbanner vereist.

9. Beveiliging

Versleutelde verbindingen (HTTPS), gegevens in rust versleuteld door de hostingprovider, gehashte wachtwoorden (bcrypt), tweefactorauthenticatie beschikbaar voor elk account en verplicht voor het beheer, strikte gegevensscheiding per gebruiker, hosting in de EU. Zie de pagina Beveiliging.