Privacyverklaring

1. Wie zijn wij

OcApi is het klantenportaal van Fisc@West BV, erkend accountantskantoor (ITAA).

• Adres: Albert I-laan 15, 8630 Veurne
• Ondernemingsnummer: BE 0562.845.171
• Telefoon: 058 31 63 18
• E-mail: david@fiscatwest.be

Voor alle vragen over privacy en om je rechten uit te oefenen, kan je ons op dit adres bereiken. Een functionaris voor gegevensbescherming (DPO) is voor ons kantoor niet verplicht; je privacyvragen komen rechtstreeks bij ons terecht.

2. Onze rol: verantwoordelijke of verwerker

De privacywet (de AVG, of GDPR) maakt een onderscheid tussen wie beslist waarom en hoe gegevens verwerkt worden (de verwerkingsverantwoordelijke) en wie ze enkel in opdracht van een ander verwerkt (de verwerker). Voor ons kantoor zit dat zo:

• Je account en je gebruik van het portaal (je naam, e-mailadres, inloggegevens, logbestanden, berichten die je ons stuurt): hiervoor is Fisc@West BV verwerkingsverantwoordelijke.
• Gegevens die we nodig hebben om onze eigen wettelijke plichten als accountant na te komen (bv. de identificatie van jou als klant onder de antiwitwaswetgeving, ons beroepsgeheim en onze deontologie): ook hier zijn we verwerkingsverantwoordelijke.
• Persoonsgegevens van derden in jouw boekhouding (bv. namen van je klanten, leveranciers of personeel op facturen en rekeninguittreksels): die verwerken we in het kader van de opdracht die jij ons gaf. De afspraken daarover (de verwerkersclausule) staan in de opdrachtbrief en de algemene voorwaarden. Wil je een aparte verwerkersovereenkomst, dan bezorgen we je die op verzoek.

Kort: wij gaan met al deze gegevens zorgvuldig om, gebruiken ze enkel voor jouw dossier en voor onze wettelijke plichten, en verkopen ze nooit.

3. Welke gegevens

• Accountgegevens: naam, e-mailadres, je rol in het portaal (klant, medewerker…), de dossiers waartoe je toegang hebt, en je wachtwoord (enkel als versleutelde hash, nooit leesbaar). Heb je een tweede factor ingesteld, dan bewaren we wat daarvoor nodig is (het geheim voor je authenticator-app, de gegevens van je passkey, en je back-upcodes als hash).
• Boekhoud- en dossiergegevens: de cijfers en stukken van je dossier zoals ze in onze boekhoudsoftware en dossierbeheer staan (boekingen, saldi, facturen, btw-gegevens, rekeninguittreksels, relaties, taken en deadlines). Het portaal toont die; de bron blijft de boekhouding.
• Loggegevens: bij elke inlogpoging bewaren we het e-mailadres, het tijdstip, je IP-adres, je browser (user-agent) en of de poging lukte. Uit het IP-adres kunnen we lokaal het land afleiden (zonder externe dienst) om verdachte logins te herkennen.
• Berichten via Overleg: het onderwerp en de tekst van je vragen en berichten aan het kantoor, wie ze schreef en wanneer, en of ze bij je dossierbeheerder zijn afgeleverd.
• Wachtwoordverzoeken: vraag je via het loginscherm een nieuw wachtwoord aan, dan krijgt je dossierbeheerder een mail met je e-mailadres, naam, rol, dossier, IP-adres en browser, zodat hij kan nagaan of het verzoek echt van jou komt.
• Gebruik van de assistent: als je de assistent iets vraagt, bewaren we een logregel met wie de vraag stelde, over welk(e) dossier(s), welke hulpmiddelen de assistent gebruikte, en het verbruik. Zie punt 8.

We vragen in het portaal niet naar bijzondere gegevens (zoals gezondheid, godsdienst of politieke voorkeur). Duiken die toch op in een stuk van je boekhouding, dan behandelen we ze met extra zorg.

4. Waarom en op welke grond

We gebruiken je gegevens niet voor reclame en we verkopen ze niet.

5. Hoe lang we ze bewaren

Na afloop van de termijn verwijderen of anonimiseren we de gegevens.

6. Met wie we ze delen

Je gegevens blijven bij ons kantoor. Enkel je dossierbeheerder en de medewerkers die aan je dossier werken, zien ze. Om het portaal te laten werken, doen we een beroep op een aantal dienstverleners (sub-verwerkers). Zij verwerken gegevens enkel in onze opdracht:

Voor klanten die hun boekhouding in Dexxter voeren, leest het portaal hun cijfers daar (alleen lezen). Klik je op de WhatsApp-knop, dan ga je naar WhatsApp (Meta); wat je daar schrijft, valt onder hun voorwaarden.

Daarnaast geven we gegevens door aan overheden wanneer de wet of de opdracht dat vraagt, bijvoorbeeld de FOD Financiën (btw- en belastingaangiften) of de Nationale Bank (neerlegging van de jaarrekening).

7. Doorgifte buiten de EER

Een deel van onze dienstverleners verwerkt gegevens buiten de Europese Economische Ruimte (EER), in de Verenigde Staten:

• Railway: het portaal en de databank draaien vandaag op servers in de Verenigde Staten.
• Anthropic: de assistent werkt met het AI-model Claude van Anthropic, een Amerikaanse onderneming.
• Google: mails vanuit het portaal lopen via Gmail; Google verwerkt gegevens in de EU en in de VS.

Zo'n doorgifte gebeurt enkel met de waarborgen die de AVG voorschrijft: de standaardcontractbepalingen van de Europese Commissie in de verwerkersovereenkomst met de dienstverlener, en, waar de dienstverlener daarvoor gecertificeerd is (zoals Google), het EU-VS Data Privacy Framework. De gegevens zijn bovendien versleuteld, zowel onderweg als opgeslagen.

We onderzoeken of we het portaal en de databank naar een Europese regio kunnen verhuizen. Gebeurt dat, dan passen we deze verklaring aan.

8. De assistent (AI)

In het portaal helpt een assistent je om je cijfers te begrijpen. Zo werkt hij:

• Wat hij doet: vragen over je cijfers beantwoorden op basis van de gegevens van je dossier (balans, rapporten, relaties, stand van je jaarafsluiting).
• Enkel jouw dossier: de assistent ziet alleen de dossiers waartoe jij toegang hebt. Een vraag over een ander dossier wordt technisch geweigerd, nog vóór er gegevens opgehaald worden.
• Wat hij niet doet: de assistent boekt niets in je boekhouding en verstuurt geen mails. Hij neemt geen beslissingen over jou; een geautomatiseerd besluit in de zin van artikel 22 AVG is er dus niet. Je dossierbeheerder blijft verantwoordelijk voor je dossier.
• Geen training op je gegevens: we gebruiken de zakelijke API van Anthropic. Volgens de commerciële voorwaarden van Anthropic worden je gegevens niet gebruikt om AI-modellen te trainen. Anthropic bewaart wat de assistent verstuurt en terugkrijgt standaard maximaal 30 dagen, tenzij het langer nodig is om misbruik op te sporen. De doorgifte naar de VS is beschermd zoals beschreven in punt 7.
• Controle achteraf: elke vraag wordt gelogd (wie, welk dossier, welke hulpmiddelen), zodat we kunnen nagaan wie via de assistent welke gegevens opvroeg.
• Je kan het weigeren: wil je niet dat AI-hulpmiddelen je dossier behandelen, laat het ons weten. We markeren je dossier dan, waarna de assistent je dossier niet meer kan raadplegen. Dat heeft geen gevolgen voor onze dienstverlening; wel rekenen we het extra handwerk (manuele verwerking) aan tegen ons gewone uurtarief volgens de opdrachtbrief.

Ook buiten het portaal kunnen we AI-hulpmiddelen gebruiken bij je dossier, bijvoorbeeld om een factuur te lezen (tekstherkenning). Op vraag bezorgen we je het overzicht van de hulpmiddelen en dienstverleners die voor jouw dossier gebruikt worden.

9. Beveiliging

Enkele maatregelen die we in het portaal nemen:

• De verbinding is altijd versleuteld (HTTPS), en je browser wordt verplicht om dat zo te houden (HSTS).
• Wachtwoorden bewaren we enkel als sterke hash (Argon2id), nooit leesbaar.
• Tweestapsverificatie: met een authenticator-app (TOTP) of een passkey, met back-upcodes als vangnet. Voor medewerkers van het kantoor kan die verplicht gezet worden; klanten raden we ze sterk aan.
• Het aantal inlogpogingen per IP-adres is beperkt, en na herhaalde mislukte pogingen wordt een account geblokkeerd tot het kantoor het vrijgeeft.
• Iedereen ziet enkel de dossiers waarvoor hij toegang heeft; die afscherming geldt ook voor de assistent.
• Formulieren zijn beschermd tegen vervalste verzoeken (CSRF), en strikte beveiligingsheaders beperken wat een pagina mag laden.
• Gevoelige sleutels voor de koppelingen met andere software worden versleuteld bewaard.

Stellen we toch een datalek vast met een risico voor jou, dan melden we dat aan de Gegevensbeschermingsautoriteit en, als het risico hoog is, ook aan jou.

10. Cookies en browseropslag

Het portaal gebruikt geen cookies voor reclame, statistieken of tracking, en laadt geen analysediensten van derden. We zetten enkel wat strikt nodig is:

Omdat deze cookies strikt noodzakelijk zijn, vragen we er geen toestemming voor.

11. Je rechten

Je hebt het recht om:

• inzage te vragen in de gegevens die we over je hebben, en een kopie te krijgen;
• foute of onvolledige gegevens te laten verbeteren;
• je gegevens te laten wissen, voor zover we ze niet wettelijk moeten bijhouden (zie de bewaartermijnen hierboven);
• de verwerking te laten beperken, bijvoorbeeld zolang we een vraag tot verbetering onderzoeken;
• je gegevens over te dragen: we bezorgen ze je in een gangbaar, machineleesbaar formaat;
• bezwaar te maken tegen een verwerking op basis van ons gerechtvaardigd belang;
• een gegeven toestemming op elk moment in te trekken.

12. Klacht indienen

Ben je niet tevreden over hoe we met je gegevens omgaan, laat het ons eerst weten: dan zoeken we samen een oplossing. Je kan ook altijd een klacht indienen bij de toezichthouder:

13. Wijzigingen

We passen deze verklaring aan als het portaal of de wet verandert, bijvoorbeeld wanneer we een nieuwe dienstverlener inschakelen. De meest recente versie staat altijd op deze pagina. Bij een belangrijke wijziging laten we het je weten.

Laatst bijgewerkt: 24 september 2026.