Privacyverklaring

Laatst bijgewerkt: 27 augustus 2026
Versie: 2026-08

Deze privacyverklaring legt uit hoe Siska B.V. ("Siska", "wij", "we", "ons") persoonsgegevens verwerkt wanneer je onze website op siska.nl of de Siska-applicatie gebruikt (samen: de "Dienst").

Siska is een AI-assistent voor accountants- en administratiekantoren. De Dienst ondersteunt kantoormedewerkers bij het beantwoorden van vragen van hun klanten, onder meer door conceptantwoorden voor te stellen op basis van binnenkomende berichten en gekoppelde bronnen.

Wij verwerken persoonsgegevens conform de Algemene verordening gegevensbescherming (Verordening (EU) 2016/679, "AVG") en de Nederlandse Uitvoeringswet AVG.

Voor privacyvragen kun je contact opnemen via privacy@siska.nl.

1. Wie we zijn

Wij hebben geen functionaris voor gegevensbescherming aangesteld op grond van artikel 37 AVG; het hierboven genoemde privacycontact is het verantwoordelijke aanspreekpunt.

2. Op wie deze verklaring van toepassing is

Deze verklaring geldt voor:

• bezoekers van siska.nl;

• Siska-klanten (accountants- en administratiekantoren) en de medewerkers die zij uitnodigen;

• personen van wie persoonsgegevens via Siska door een klant worden verwerkt — met name de klanten en contactpersonen van een kantoor;

• iedereen die contact met ons opneemt.

Waar Siska persoonsgegevens verwerkt namens een kantoor (zie paragraaf 4), geldt de privacyverklaring van dat kantoor en niet deze verklaring. Het kantoor is er zelf verantwoordelijk voor zijn klanten te informeren over de inzet van Siska en, waar nodig, daarvoor een grondslag te hebben. Ben je klant van een kantoor dat Siska gebruikt, richt je vragen dan in eerste instantie tot dat kantoor.

3. Welke persoonsgegevens we verwerken

Bijzondere categorieën persoonsgegevens. Wij richten de Dienst er niet op in bijzondere categorieën persoonsgegevens (artikel 9 AVG) of strafrechtelijke gegevens (artikel 10 AVG) te verwerken, en signaleren ze juist om verdere verwerking te stoppen. Berichten en bestanden waarin dergelijke gegevens worden gesignaleerd, worden niet gebruikt om een conceptantwoord op te stellen maar teruggelegd bij het kantoor (zie paragraaf 6). Kantoren zijn er contractueel voor verantwoordelijk de Dienst niet zo in te richten dat dergelijke gegevens actief worden uitgevraagd.

Burgerservicenummer. Het BSN is geen bijzondere categorie, maar mag op grond van artikel 87 AVG en de Uitvoeringswet AVG alleen worden verwerkt als daarvoor een wettelijke grondslag bestaat. In de fiscale en salarispraktijk kan een BSN in klantcorrespondentie voorkomen, en vaker nog in bijlagen en geüploade bestanden zoals loonstroken, aangiftes en kopieën van identiteitsbewijzen. Het kantoor is als verwerkingsverantwoordelijke verantwoordelijk voor de rechtmatigheid daarvan; wij verwerken zulke gegevens uitsluitend in opdracht en gebruiken ze niet voor eigen doeleinden. Een BSN gaat niet naar een taalmodel buiten de Europese Unie en komt niet voor in de vakinhoudelijke vragen die wij bij een AI-leverancier uitzetten (zie paragraaf 6).

4. Rollen: verwerkingsverantwoordelijke en verwerker

Voor klantinhoudelijke vragen, gekoppelde e-mailgegevens en de conceptantwoorden die daaruit voortkomen geldt: het kantoor is verwerkingsverantwoordelijke en Siska is verwerker. Wij verwerken die gegevens uitsluitend op gedocumenteerde instructie van het kantoor.

De verwerkersovereenkomst maakt onderdeel uit van onze algemene voorwaarden, de NLdigital Voorwaarden 2020 (hoofdstuk 2). Een losse verwerkersovereenkomst kan op verzoek worden gesloten via privacy@siska.nl.

Voor accountgegevens, facturatiegegevens, supportcorrespondentie, marketinganalytics en operationele telemetrie is Siska zelf verwerkingsverantwoordelijke. Deze verklaring beschrijft primair die verwerkingen.

5. Doeleinden en grondslagen

Waar wij ons op toestemming baseren, kun je die op elk moment intrekken. Intrekking geldt vanaf dat moment en tast de rechtmatigheid van eerdere verwerkingen niet aan.

Waar wij ons op een gerechtvaardigd belang baseren, hebben wij een belangenafweging gemaakt om vast te stellen dat ons belang niet zwaarder weegt dan jouw rechten en vrijheden. Je kunt de uitkomst daarvan op verzoek ontvangen.

6. AI-functionaliteit

Siska gebruikt taalmodellen om berichten te analyseren en conceptantwoorden op te stellen.

Waar de verwerking plaatsvindt. De taalmodellen die de Dienst gebruikt, draaien binnen de Europese Unie: klantinhoudelijke vragen, gekoppelde e-mail en de inhoud van bestanden en bijlagen gaan niet naar een model buiten de EU. Dat is een uitspraak over de modelaanroepen. Voor de infrastructuur daaromheen — het netwerkverkeer naar de Dienst en de toegang die leveranciers voor beheer en ondersteuning kunnen hebben — geldt paragraaf 10.

Bestanden en bijlagen. De Dienst verwerkt niet alleen berichttekst, maar ook bestanden die bij een vraag horen. Uit die bestanden halen wij de tekst die nodig is om de vraag te kunnen beantwoorden; bij gescande documenten en afbeeldingen gebeurt dat met tekstherkenning (OCR). Daarvoor schakelen wij geen aparte dienst in: dat gebeurt bij dezelfde AI-leverancier en onder dezelfde voorwaarden als de rest van de verwerking uit deze paragraaf. Op die geëxtraheerde inhoud gelden dezelfde regels als op de berichttekst: de controle hieronder wordt er ook op uitgevoerd. Wij accepteren alleen bestandstypen die de Dienst nodig heeft, hanteren een maximum aan bestandsgrootte en scannen bestanden op malware.

Controle vooraf op bijzondere gegevens. Voordat een bericht of bestand wordt gebruikt om een conceptantwoord op te stellen, controleren wij geautomatiseerd of het bijzondere categorieën persoonsgegevens (artikel 9 AVG) of strafrechtelijke gegevens (artikel 10 AVG) bevat. Is dat het geval, dan stopt de verwerking: er wordt geen conceptantwoord opgesteld en het bericht en de bijbehorende bestanden worden teruggelegd bij de medewerker van het kantoor voor handmatige afhandeling. Van zo'n signaal leggen wij alleen vast dát er is gedetecteerd en om welke categorie het gaat, niet de inhoud.

Deze controle voeren wij uit als onderdeel van de verwerking in opdracht van het kantoor. Het kantoor is voor die gegevens verwerkingsverantwoordelijke; wij signaleren ze uitsluitend om verdere verwerking te voorkomen.

Dataminimalisatie. Wij sturen alleen de gegevens naar een AI-leverancier die nodig zijn voor de betreffende taak. Voor een deel van de functionaliteit is dat niet meer dan een losstaande vakinhoudelijke vraag: daarin komen het bericht van de klant en de inhoud van bestanden niet voor — ook niet in bewerkte vorm — en evenmin persoonsgegevens, bedrijfsnamen, bedragen, datums, aantallen of plaatsaanduidingen die tot een persoon of onderneming herleidbaar zijn.

Dat berust niet op de manier waarop de vraag wordt geformuleerd, maar op de inrichting van de verwerking: een aparte verwerkingsstap binnen de EU stelt die vraag op, en de stappen daarna werken uitsluitend met het resultaat daarvan en hebben geen toegang tot het oorspronkelijke bericht of bestand. Slaagt die stap niet, dan is er ook geen vraag en loopt de verwerking niet verder. Het antwoord passen wij binnen onze eigen omgeving toe op het concrete bericht.

Geen training op klantgegevens. Wij gebruiken de inhoud van klantvragen, gekoppelde e-mail of documenten niet om onze eigen modellen of die van onze leveranciers te trainen of te verbeteren; met al onze AI-leveranciers is contractueel vastgelegd dat zij invoer en uitvoer niet voor trainingsdoeleinden gebruiken. Voor de verwerking van klantgegevens is daarnaast vastgelegd dat invoer, uitvoer en bestandsinhoud niet toegankelijk zijn voor de makers van de onderliggende modellen of voor derden, en na verwerking niet worden bewaard of gelogd. Alleen bij een vermoeden van misbruik of bij een verstoring van de dienst kan een verzoek tijdelijk worden bewaard om de oorzaak te achterhalen; de leverancier stelt die termijn op maximaal twee weken.

Mens in de lus. Siska stelt concepten voor; een medewerker van het kantoor beoordeelt, past aan en verzendt. Er is geen sprake van uitsluitend geautomatiseerde besluitvorming met rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen in de zin van artikel 22 AVG. De verantwoordelijkheid voor het uiteindelijke antwoord ligt bij de vakinhoudelijke professional.

Nauwkeurigheid. Uitvoer van taalmodellen kan onjuistheden bevatten. De Dienst is bedoeld ter ondersteuning van vakinhoudelijke beoordeling, niet ter vervanging daarvan.

Misbruik en manipulatie. Wij nemen maatregelen tegen misbruik van de Dienst en tegen manipulatie van modelinvoer via aangeleverde berichten en bestanden.

7. Koppelingen met Microsoft en Google

Een kantoor kan de Dienst koppelen aan zijn eigen e-mailomgeving. De twee koppelingen verschillen in reikwijdte:

• Microsoft 365 — Siska leest berichten in de gekoppelde mailbox of gedeelde mailbox en kan namens de gebruiker antwoorden verzenden.

• Google Workspace — Siska leest berichten in de gekoppelde mailbox. Via deze koppeling verzendt Siska niets.

Het kantoor bepaalt zelf welke mappen worden uitgelezen. In de Dienst kan per koppeling worden ingesteld welke mappen of postbussen Siska mag benaderen. Standaard staat er geen enkele map geselecteerd; zonder die keuze verwerkt Siska geen berichten. Het is de verantwoordelijkheid van het kantoor om die selectie te beperken tot de mappen waarin klantvragen binnenkomen, en om te voorkomen dat mappen met correspondentie die niets met de Dienst te maken heeft — zoals personeelszaken of privéberichten — worden meegenomen.

Voor beide koppelingen geldt:

• Koppelen gebeurt uitsluitend op initiatief van het kantoor, via een expliciete autorisatie (OAuth) door een bevoegde gebruiker of beheerder.

• Wij vragen niet meer rechten (scopes) dan nodig is voor de functionaliteit en verwerken uitsluitend gegevens binnen die geautoriseerde scope.

• Een koppeling kan op elk moment worden ingetrokken, in de Dienst zelf of bij Microsoft respectievelijk Google. Na intrekking stoppen wij de gegevensuitwisseling en verwijderen wij de opgehaalde gegevens conform paragraaf 8.

• Bijlagen bij berichten uit de geselecteerde mappen worden meeverwerkt; hoe wij met bestanden omgaan staat in paragraaf 6.

• Gegevens uit koppelingen worden niet gebruikt voor advertenties, niet verkocht en niet gedeeld met derden anders dan de subverwerkers op onze subverwerkerslijst.

Google API Services User Data Policy. Het gebruik door Siska van informatie die is ontvangen via Google API's voldoet aan het Google API Services User Data Policy, inclusief de Limited Use-vereisten. Wij gebruiken Google-gebruikersgegevens uitsluitend om de door de gebruiker gevraagde functionaliteit te leveren, niet voor advertenties, en dragen ze niet over aan derden behalve waar dat noodzakelijk is voor die functionaliteit of wettelijk vereist. Geen medewerker leest deze gegevens, tenzij met uitdrukkelijke toestemming van de gebruiker, voor beveiligingsdoeleinden, om te voldoen aan de wet, of wanneer de gegevens geaggregeerd en geanonimiseerd zijn. Wij gebruiken deze gegevens niet om modellen voor algemene doeleinden te trainen.

8. Hoe lang we persoonsgegevens bewaren

Na afloop van een termijn verwijderen of anonimiseren wij de gegevens.

9. Subverwerkers en delen met derden

Wij schakelen een beperkt aantal zorgvuldig geselecteerde subverwerkers in om de Dienst te leveren: cloudinfrastructuur en applicatiehosting, netwerkbeveiliging en bereikbaarheid, database en opslag, AI-verwerking op klantgegevens, AI-verwerking op afgeleide vakvragen en transactionele e-mail. Elke subverwerker is gebonden aan een schriftelijke overeenkomst die voldoet aan artikel 28 AVG en verwerkt persoonsgegevens uitsluitend op onze gedocumenteerde instructie.

Voor onze eigen bedrijfsvoering — zoals de financiële administratie, supportcorrespondentie en de analyse van het gebruik van onze website — schakelen wij daarnaast partijen in die géén persoonsgegevens verwerken die wij namens een kantoor verwerken. Dat zijn geen subverwerkers; die verwerkingen vallen onder de verwerkingen waarvoor Siska zelf verwerkingsverantwoordelijke is.

Op siska.nl/subverwerkers publiceren wij een overzicht op categorieniveau: per soort subverwerker waarvoor wij die inschakelen, waar de verwerking plaatsvindt, welke categorieën persoonsgegevens het betreft en welk doorgiftemechanisme geldt.

Conform artikel 29 van de NLdigital Voorwaarden 2020 kondigen wij nieuwe subverwerkers die klantpersoonsgegevens verwerken minimaal 30 dagen vooraf aan; voor functioneel gelijkwaardige vervangingen geldt een termijn van 7 dagen. Klanten ontvangen die aankondiging rechtstreeks, per e-mail aan het bij ons bekende contactadres en met een melding in de applicatie.

Wij verkopen geen persoonsgegevens en delen geen persoonsgegevens voor marketing door derden.

10. Doorgifte buiten de EER

Onze primaire verwerkingsinfrastructuur staat in de Europese Unie: de applicatie, de database, de verwerkingsomgeving en de AI-verwerking op klantgegevens draaien binnen de EU.

Daarnaast zijn er situaties waarin verwerking buiten de EER plaatsvindt:

• Netwerkbeveiliging en bereikbaarheid. Het inkomende verkeer naar de Dienst loopt via een wereldwijd netwerk van datacenters en wordt afgehandeld op de locatie die het dichtst bij de bezoeker ligt, ook buiten de EER. Het gaat daarbij om verkeersmetadata en, omdat het beveiligde verkeer daar wordt ontsleuteld, in beginsel ook om de inhoud van het verkeer tussen de gebruiker en de applicatie.

• Beheer, onderhoud en ondersteuning. Een aantal leveranciers is gevestigd buiten de EER of kan van daaruit toegang hebben tot gegevens die binnen de EU zijn opgeslagen, ook waar de opslag en de primaire verwerking binnen de EU plaatsvinden. Die toegang is niet bij elke leverancier tot bepaalde landen beperkt.

Welk doorgiftemechanisme geldt, bepaalt de overeenkomst met de betrokken partij. Waar een adequaatheidsbesluit van de Europese Commissie van toepassing is — het EU-US Data Privacy Framework (artikel 45 AVG) — baseren wij ons daarop, met de standaardcontractbepalingen (artikel 46 AVG) als terugvaloptie. In de overige gevallen gelden de standaardcontractbepalingen. De verwerkingslocatie en het doorgiftemechanisme per categorie subverwerkers staan op siska.nl/subverwerkers. Een kopie van de standaardcontractbepalingen met een specifieke subverwerker is op verzoek beschikbaar via privacy@siska.nl, met weglating van commercieel gevoelige bepalingen.

11. Jouw rechten

Onder de voorwaarden van de artikelen 12 tot en met 22 AVG heb je het recht op:

• inzage in de persoonsgegevens die wij van je verwerken;

• rectificatie van onjuiste of onvolledige gegevens;

• verwijdering van je gegevens ("recht op vergetelheid");

• beperking van de verwerking;

• dataportabiliteit: ontvangst van je gegevens in een gestructureerd, gangbaar en machineleesbaar formaat;

• bezwaar tegen verwerkingen op basis van gerechtvaardigd belang, en te allen tijde tegen direct marketing;

• intrekking van toestemming, waar de verwerking daarop is gebaseerd.

Op deze rechten kunnen wettelijke uitzonderingen of beperkingen van toepassing zijn.

Hoe je je rechten uitoefent:

Wij brengen geen kosten in rekening voor redelijke verzoeken en kunnen redelijke stappen nemen om je identiteit te verifiëren voordat wij reageren. Wij reageren binnen één maand; bij bijzonder complexe verzoeken kunnen wij die termijn met maximaal twee maanden verlengen, conform artikel 12(3) AVG.

Klachten. Heb je een klacht, laat het ons eerst weten — wij proberen er samen uit te komen. Je hebt daarnaast altijd het recht een klacht in te dienen bij een toezichthouder. Onze leidende toezichthouder is de Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl. Je kunt ook klagen bij de toezichthouder van de EU-lidstaat waar je woont, werkt of waar de vermeende inbreuk plaatsvond.

12. Hoe we persoonsgegevens beveiligen

Wij treffen technische en organisatorische maatregelen die passen bij het risico, conform artikel 32 AVG. Daaronder vallen:

• versleuteling tijdens transport en in rust;

• sterke wachtwoordhashing en meervoudige authenticatie voor beheerderstoegang;

• rolgebaseerde toegangscontrole volgens het least-privilege-beginsel;

• scheiding van klantomgevingen op applicatieniveau;

• logging en monitoring van toegang tot persoonsgegevens;

• veilige ontwikkelpraktijken en periodieke beveiligingsreviews;

• periodieke backups en een gedocumenteerd incidentresponseplan.

Wij houden een verwerkingsregister bij op grond van artikel 30 AVG, dat op verzoek en onder geheimhouding inzichtelijk is.

13. Melding van datalekken

Voor inbreuken die de drempel van artikel 33 AVG halen, melden wij zonder onredelijke vertraging en waar mogelijk binnen 72 uur bij de Autoriteit Persoonsgegevens. Wanneer de inbreuk waarschijnlijk een hoog risico voor betrokkenen oplevert, informeren wij de betrokkenen zonder onredelijke vertraging, conform artikel 34 AVG.

Treft een inbreuk gegevens die wij als verwerker voor een kantoor verwerken, dan informeren wij dat kantoor binnen 48 uur nadat wij ervan op de hoogte zijn geraakt, zodat het kantoor aan zijn eigen meldplicht kan voldoen. Dit sluit aan bij artikel 25 van de NLdigital Voorwaarden 2020.

14. Cookies

De Siska-applicatie gebruikt cookies en vergelijkbare technieken die strikt noodzakelijk zijn voor het functioneren van de Dienst (sessie, CSRF, inloggen). Daarvoor is op grond van de Telecommunicatiewet geen toestemming vereist.

Onze website siska.nl gebruikt analytics- en conversiecookies en maakt sessieopnames van je bezoek: een weergave van de pagina's die je bekijkt en van je muis- en toetsenbordacties op die pagina's. Wij zetten deze technieken pas in nadat je daarvoor toestemming hebt gegeven via onze cookiebanner, en stoppen ermee zodra je die toestemming intrekt. Je kunt je keuze op elk moment aanpassen via de banner. Een overzicht van de gebruikte cookies en de bewaartermijnen staat in ons cookiebeleid op siska.nl/cookies.

15. Links naar websites van derden

De Dienst en onze website kunnen links bevatten naar websites of diensten van derden. Wij zijn niet verantwoordelijk voor hun inhoud of hun omgang met persoonsgegevens. Raadpleeg hun eigen privacyverklaring voordat je gegevens met hen deelt.

16. Kinderen

Siska is een zakelijk hulpmiddel voor accountants- en administratiekantoren. De Dienst is niet gericht op kinderen onder de 16 jaar en wij verzamelen niet bewust persoonsgegevens van kinderen. Denk je dat een kind persoonsgegevens aan ons heeft verstrekt, neem dan contact op via privacy@siska.nl; wij verwijderen deze dan.

17. Wijzigingen in deze verklaring

Wij herzien deze verklaring minimaal jaarlijks en verder telkens wanneer onze verwerkingen of de toepasselijke wetgeving daartoe aanleiding geven. De velden "Laatst bijgewerkt" en "Versie" bovenaan geven aan wanneer de verklaring voor het laatst is herzien; de meest recente versie staat altijd op siska.nl/privacy. Bij materiële wijzigingen informeren wij klanten vooraf, doorgaans per e-mail en met een melding in de applicatie. Eerdere versies zijn op verzoek beschikbaar.

18. Contact