Inloggen

Demo aanvragen

// Privacy & AVG

Privacyverklaring

Versie 1.0 · Laatst bijgewerkt: 30 september 2026

In het kort

• Hixly verwerkt alleen de gegevens die nodig zijn om het inkoopplatform te leveren.

• Voor de gegevens die u en uw collega’s in het platform invoeren, werken wij in opdracht van uw organisatie (als verwerker).

• AI-functies doen alleen voorstellen: beslissingen worden altijd door mensen genomen, of volgens regels die uw organisatie zelf instelt.

• Uw gegevens worden niet verkocht, niet gebruikt voor advertenties en niet gebruikt om AI-modellen te trainen.

• Gegevens van verschillende bedrijven worden nooit gecombineerd: elke bedrijfsomgeving is technisch gescheiden.

• U kunt uw rechten uitoefenen via privacy@hixly.nl. Wij reageren binnen één maand.

Inhoud: 1. Wie wij zijn · 2. Als uw organisatie Hixly gebruikt · 3. Welke gegevens wij verwerken · 4. Doelen, grondslagen en bewaartermijnen · 5. AI en geautomatiseerde besluitvorming · 6. Met wie wij gegevens delen · 7. Doorgifte buiten de Europese Unie · 8. Cookies en vergelijkbare technieken · 9. Beveiliging · 10. Uw rechten · 11. Klacht indienen · 12. Wat wij niet doen · 13. Wijzigingen · 14. Contact

1. Wie wij zijn

Hixly is een inkoopplatform voor het MKB, aangeboden door Hixly, eenmanszaak, Medelsestraat 33, 4005 VB Tiel, ingeschreven bij de Kamer van Koophandel onder KVK-nummer 78256674, btw-id NL003307106B84.

Deze privacyverklaring geldt voor bezoekers van hixly.nl, voor bedrijven die een abonnement afsluiten en voor gebruikers van het platform.

Hixly is verwerkingsverantwoordelijke voor de gegevens die wij zelf nodig hebben: het account en de contactgegevens van klanten, facturatie, websitebezoek en e-mailcontact. Voor de gegevens die klanten in het platform invoeren — zoals aanvragen, facturen, leveranciers, contracten en gegevens van hun medewerkers — is de klant verwerkingsverantwoordelijke en treedt Hixly op als verwerker. De verwerkersovereenkomst maakt deel uit van onze algemene voorwaarden.

Hixly heeft geen functionaris gegevensbescherming (FG) aangesteld; dat is voor onze organisatie niet verplicht. Voor vragen over privacy kunt u terecht bij privacy@hixly.nl.

2. Als uw organisatie Hixly gebruikt

Bent u door uw werkgever of een andere organisatie uitgenodigd voor Hixly? Dan beheert de beheerder (admin) van die organisatie uw account. De beheerder kan onder meer uw naam, e-mailadres en rol zien, en de aanvragen en acties die u in het platform uitvoert (bijvoorbeeld in de audit log). Heeft uw organisatie iemand de rol IT-beheer gegeven, dan kan die gebruikers en gekoppelde apparaten beheren en de audit log inzien, maar geen aanvragen, facturen of andere inkoopgegevens.

Wilt u uw gegevens inzien, laten aanpassen of verwijderen? Neem dan eerst contact op met de beheerder van uw organisatie. Wij helpen uw organisatie om aan uw verzoek te voldoen. Leveranciers en contactpersonen van onze klanten kunnen zich voor hun gegevens ook tot die klant wenden.

3. Welke gegevens wij verwerken

Account en bedrijf

• E-mailadres (nodig om in te loggen via een inloglink)

• Voornaam, tussenvoegsel en achternaam

• Telefoonnummer van wie het abonnement afsluit

• Uw akkoord met de algemene voorwaarden en deze privacyverklaring bij het afsluiten (versie, datum, tijd en IP-adres)

• Rol in het platform (admin, manager, inkoper, magazijn, IT-beheer of alleen-lezen), afdeling

• Bedrijfsgegevens: bedrijfsnaam, adres, KvK- en btw-nummer, inkoopcontactpersoon (naam, e-mailadres en telefoonnummer)

Gebruik van het platform

• Inkoopaanvragen en goedkeuringen: titel, omschrijving, bedrag, notities, meekijkers

• Facturen: gegevens en de geüploade PDF of foto

• Leveranciers en hun contactpersonen: naam, e-mailadres, telefoonnummer, adres

• Contracten: titel, looptijd, verlenging en eventueel een geüploade PDF

• Voorraad (als de module actief is): artikelen, aantallen, locaties. Wie voorraad afboekt via een QR-code, kan daarbij zijn naam of e-mailadres invullen; dat wordt bij de voorraadmutatie opgeslagen.

• Magazijn-app (gekoppelde apparaten): de naam van het apparaat, wie het koppelde, wanneer het laatst werd gebruikt en vanaf welk IP-adres. Gebruikt uw organisatie pincodes, dan ook welke medewerker zich op het apparaat aanmeldde; van de pincode zelf bewaren wij alleen een onherleidbare hash.

Betaling

• Abonnement, factuurgegevens en betaalstatus. Betaalgegevens zoals kaart- of rekeningnummers voert u in bij onze betaalprovider; Hixly slaat die niet op.

Technisch

• Audit log: welke gebruiker welke actie uitvoerde, wanneer en vanaf welk IP-adres

• IP-adres en technische gegevens van uw browser in serverlogs en in onze beveiligingslaag (Cloudflare)

• Een sessietoken in uw browser om ingelogd te blijven

Website en e-mail

• Anonieme bezoekstatistieken van hixly.nl (zie sectie 8)

• De inhoud van e-mails die u ons stuurt, met uw naam en e-mailadres

4. Doelen, grondslagen en bewaartermijnen

Account aanmaken en toegang geven (inloglinks)

• Gegevens: e-mail, naam, telefoonnummer, rol, akkoord met de voorwaarden

• Grondslag: Uitvoering van de overeenkomst

• Bewaartermijn: Zolang het abonnement loopt; uiterlijk 90 dagen na het einde verwijderd of geanonimiseerd

Het platform leveren (aanvragen, goedkeuringen, facturen, leveranciers, contracten, voorraad)

• Gegevens: gebruiksgegevens

• Grondslag: Uitvoering van de overeenkomst (voor klantgegevens: in opdracht van de klant)

• Bewaartermijn: Zolang het abonnement loopt, maximaal 15 jaar (na 10 jaar gearchiveerd), of korter als de klant gegevens eerder verwijdert

Abonnement en facturatie

• Gegevens: bedrijfsgegevens, betaalstatus

• Grondslag: Uitvoering van de overeenkomst en wettelijke verplichting

• Bewaartermijn: Facturen en administratie 7 jaar (fiscale bewaarplicht)

Contact en ondersteuning

• Gegevens: naam, e-mail, telefoon, e-mails

• Grondslag: Uitvoering van de overeenkomst / gerechtvaardigd belang

• Bewaartermijn: Zolang nodig voor de vraag, uiterlijk 2 jaar na het laatste contact

Beveiliging, misbruik voorkomen, storingen oplossen

• Gegevens: IP-adres, serverlogs

• Grondslag: Gerechtvaardigd belang (veilig en betrouwbaar platform)

• Bewaartermijn: Serverlogs maximaal 30 dagen

Audit log (wie deed wat)

• Gegevens: gebruiker, actie, tijdstip, IP-adres

• Grondslag: Gerechtvaardigd belang (controleerbaarheid voor de klant)

• Bewaartermijn: Zolang het abonnement loopt, maximaal 15 jaar; bij verwijderen van het account worden details en IP-adressen gewist

AI-functies

• Gegevens: zie sectie 5

• Grondslag: Uitvoering van de overeenkomst (in opdracht van de klant)

• Bewaartermijn: Bij Hixly zoals de bijbehorende gegevens; bij Anthropic zie sectie 5

Websitestatistieken

• Gegevens: anonieme bezoekgegevens

• Grondslag: Gerechtvaardigd belang (website verbeteren)

• Bewaartermijn: Geaggregeerd, niet herleidbaar tot personen

Back-ups

• Gegevens: alle platformgegevens

• Grondslag: Gerechtvaardigd belang (herstel na storing)

• Bewaartermijn: Wekelijks, maximaal 4 weken bewaard

Waar geen vaste termijn geldt, bewaren wij gegevens niet langer dan nodig is voor het doel, rekening houdend met de aard van de gegevens en wettelijke verplichtingen.

Gegevens exporteren en account verwijderen: de eigenaar van het abonnement (de beheerder die het abonnement heeft afgesloten) kan in het platform onder Compliance een export van alle gegevens downloaden (als JSON-bestand, als CSV per onderdeel of als PDF-inkoopoverzicht per jaar; geüploade documenten bij aanvragen en contracten kunt u in het platform zelf downloaden) en het account verwijderen; dat kan ook per e-mail aan privacy@hixly.nl. Bij verwijderen worden de persoonsgegevens direct verwijderd of geanonimiseerd, inclusief geüploade documenten en contracten; uit back-ups verdwijnen ze uiterlijk 4 weken later. Na het einde van het abonnement is het platform niet meer toegankelijk; exporteer uw gegevens daarom vóór die datum. Uiterlijk 90 dagen na het einde van het abonnement verwijderen of anonimiseren wij de persoonsgegevens; meldt u zich in die periode opnieuw aan, dan herstellen wij de omgeving met alle gegevens. Facturen bewaren wij op grond van de fiscale bewaarplicht tot het einde van die termijn (7 jaar).

5. AI en geautomatiseerde besluitvorming

Hixly gebruikt de Claude API van Anthropic voor de volgende functies:

• Aanvragen controleren en indelen: titel, omschrijving en bedrag van een aanvraag worden beoordeeld en aan een productgroep gekoppeld.

• Factuurverwerking en -matching: een geüploade factuur (PDF of foto) wordt volledig naar de API gestuurd om de gegevens uit te lezen en te koppelen aan een order en leverancier. Een factuur kan persoonsgegevens bevatten, zoals namen en contactgegevens.

• Contractanalyse: alleen contractgegevens zoals titel, leverancier, looptijd en verlenging. De inhoud van een geüploade contract-PDF wordt niet naar Anthropic gestuurd.

• Uitgavenanalyse (Advanced Analytics): ’s nachts worden titels en bedragen van aanvragen geanalyseerd om besparingskansen aan te wijzen.

Voorraadsuggesties (bijvoorbeeld bij een dreigend tekort) worden met vaste rekenregels bepaald, niet met AI.

Wij sturen alleen de gegevens mee die voor de functie nodig zijn, en altijd per bedrijfsomgeving: gegevens van verschillende klanten worden nooit gecombineerd. Anthropic gebruikt gegevens uit de API standaard niet om modellen te trainen, en bewaart ze alleen tijdelijk volgens haar eigen voorwaarden.

Geen besluiten zonder mens. AI-uitkomsten zijn voorstellen. Er worden geen besluiten met rechtsgevolgen of vergelijkbare gevolgen voor personen uitsluitend geautomatiseerd genomen. Een klant kan zelf regels instellen waarmee aanvragen onder een bepaald bedrag automatisch worden goedgekeurd; die regels zijn door de klant ingesteld en gaan over inkooporders, niet over personen.

6. Met wie wij gegevens delen

Wij delen gegevens alleen met partijen die ons helpen de dienst te leveren, en alleen wat zij daarvoor nodig hebben. Met elk van hen zijn afspraken gemaakt volgens de AVG.

• DigitalOcean — hosting van servers en database. Datacenter in Amsterdam (bedrijf in de VS).

• Cloudflare — beveiliging en bereikbaarheid van het platform (verkeer, IP-adressen). Wereldwijd netwerk (bedrijf in de VS).

• Betaalprovider (Stripe, aanbieder van betaalmogelijkheden) — abonnementsbetalingen. EU-entiteit in Ierland (moederbedrijf in de VS).

• Postmark — verzenden van inloglinks, uitnodigingen en bevestigingen (bijvoorbeeld van een opzegging). VS.

• Zoho — onze e-mail (info@, support@, privacy@). EU-datacenter.

• Anthropic — AI-functies (zie sectie 5). VS.

• Framer — hosting van de website hixly.nl en bezoekstatistieken. Nederland.

• Google (Google Fonts) — lettertypen op de website. VS (zie sectie 8).

Daarnaast verstrekken wij gegevens alleen als de wet ons daartoe verplicht, bijvoorbeeld aan de Belastingdienst of op last van een rechter. Als Hixly wordt overgenomen of fuseert, kunnen gegevens onder dezelfde afspraken overgaan naar de nieuwe eigenaar; wij informeren u daar vooraf over.

7. Doorgifte buiten de Europese Unie

Sommige partijen zijn (ook) buiten de EU gevestigd, vooral in de Verenigde Staten. Wij maken alleen gebruik van partijen die passende waarborgen bieden, zoals certificering onder het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie. Waar mogelijk worden gegevens in de EU opgeslagen, zoals onze database in Amsterdam.

8. Cookies en vergelijkbare technieken

• Website (hixly.nl): wij gebruiken de bezoekstatistieken van Framer. Die werken zonder cookies en zonder opslag in uw browser. Lettertypen worden geladen via Google Fonts, waarbij uw IP-adres aan Google wordt doorgegeven. Wij plaatsen geen advertentie- of trackingcookies.

• Platform (login.hixly.nl): om u ingelogd te houden, bewaren wij een sessietoken in de opslag van uw browser. Dat is strikt noodzakelijk. Daarnaast wordt daar uw keuze voor een licht of donker thema bewaard. U wordt automatisch uitgelogd na 8 uur zonder activiteit, en altijd uiterlijk 12 uur na het inloggen. Onze beveiligingslaag Cloudflare kan technisch noodzakelijke gegevens verwerken om misbruik te voorkomen.

• Betaalpagina: de betaalpagina wordt verzorgd door onze betaalprovider (Stripe), die daarvoor eigen cookies kan gebruiken. Zie het privacybeleid van Stripe.

9. Beveiliging

• Alle verbindingen zijn versleuteld via HTTPS/TLS.

• Er worden geen wachtwoorden opgeslagen: u logt in met een inloglink die 15 minuten geldig is en eenmalig werkt.

• U wordt automatisch uitgelogd na 8 uur zonder activiteit, en altijd uiterlijk 12 uur na het inloggen.

• De database scheidt elke bedrijfsomgeving technisch (row-level security): toegang tot gegevens van een ander bedrijf is niet mogelijk.

• Medewerkers van Hixly hebben alleen toegang tot gegevens als dat nodig is voor beheer of ondersteuning.

• Gevoelige acties worden vastgelegd in een audit log.

• Een gekoppeld apparaat (magazijn-app) logt niet in met een inloglink maar met een eigen apparaatsleutel, waarvan wij alleen een hash bewaren. Een beheerder kan een apparaat altijd ontkoppelen; een apparaat dat 30 dagen niet is gebruikt, vervalt vanzelf. Met pincodes wordt een medewerker na een ingestelde tijd zonder activiteit afgemeld, en na herhaalde foute pogingen gaat de pincode op slot.

Geen enkel systeem is volledig onkwetsbaar. Omdat de inloglink naar uw e-mail wordt gestuurd, is het belangrijk dat u uw mailbox goed beveiligt.

10. Uw rechten

U heeft het recht op inzage, rectificatie, verwijdering, beperking van de verwerking, overdraagbaarheid van uw gegevens en bezwaar tegen verwerking op basis van gerechtvaardigd belang. U heeft ook het recht niet te worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking berust (zie sectie 5).

Stuur uw verzoek naar privacy@hixly.nl. Om te voorkomen dat gegevens bij de verkeerde persoon terechtkomen, kunnen wij u vragen uw identiteit te bevestigen. Wij reageren binnen één maand. Gaat het om gegevens die een klant in het platform heeft ingevoerd? Zie dan sectie 2.

11. Klacht indienen

Bent u niet tevreden over hoe wij met uw gegevens omgaan? Laat het ons weten via privacy@hixly.nl. U heeft ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

12. Wat wij niet doen

• Wij verkopen uw gegevens niet.

• Wij gebruiken uw gegevens niet voor advertenties.

• Wij laten uw gegevens niet gebruiken om AI-modellen te trainen.

• Wij combineren nooit gegevens van verschillende bedrijven.

13. Wijzigingen

Wij kunnen deze privacyverklaring aanpassen. Bij wezenlijke wijzigingen informeren wij klanten vooraf per e-mail of met een melding in het platform. De actuele versie staat altijd op deze pagina.