Privacyverklaring Vastly — v0.2 (28-07-2026)

> Status: juridisch getoetst (AVG-jurist, 28-07-2026 — akkoord). Vóór publicatie resteert:

> (1) resterende blokhaken invullen (adres + KvK-nummer PDL Powerhouse B.V., verwijdertermijn

> 90 dagen bevestigen), (2) hosten op vastly.software (vereiste voor de Google

> OAuth-verificatie; vastly.nl bleek bezet, vastly.software is vastgelegd 28-07-2026).

> De Google-specifieke passage (§7) is een harde eis van de Google API Services User Data Policy

> ("Limited Use") en moet inhoudelijk zo blijven.

1. Wie zijn wij

Vastly is software voor vastgoedbeheer, aangeboden door PDL Powerhouse B.V., gevestigd te Arnhem aan de Turfstraat 1-3, 6811 HL, KvK 42063059 ("wij"). Contact: privacy@vastly.software.

2. Twee rollen: verwerkingsverantwoordelijke en verwerker

• Voor gegevens van onze eigen klanten (verhuurders/beheerders die een Vastly-account hebben:

accountgegevens, facturatie, gebruik van de app) zijn wij verwerkingsverantwoordelijke.

• Voor gegevens die onze klanten in Vastly invoeren over hun huurders, contracten en objecten

zijn wij verwerker; de klant (verhuurder) is verwerkingsverantwoordelijke. Met elke klant

sluiten wij een verwerkersovereenkomst.

3. Welke gegevens wij verwerken

Van klanten (verhuurders/beheerders): naam, e-mailadres, telefoonnummer, bedrijfsgegevens

(KvK-, btw-nummer, IBAN), inloggegevens, gekoppelde dienst-accounts (zie §7), gebruiks- en

factuurgegevens.

In opdracht van klanten (huurderadministratie): NAW-gegevens van huurders, e-mail en telefoon,

geboortedatum (particuliere huurders, voor contracten), contract- en factuurgegevens,

betalingsstatus, communicatie (verzonden facturen en herinneringen), documenten in het

contractdossier (huurcontracten, opleveringsdocumenten, identificatie bij elektronische

ondertekening via onze e-sign-partner).

Uit openbare registers: pandgegevens via BAG (Kadaster), energielabels via EP-Online (RVO),

bedrijfsgegevens via het Handelsregister (KvK). Dit zijn object- en bedrijfsgegevens, in beginsel

geen persoonsgegevens.

4. Waarvoor (doeleinden en grondslagen)

Uitvoering van de overeenkomst (het leveren van de software, art. 6 lid 1 sub b AVG); wettelijke

plichten (fiscale bewaarplicht facturen, art. 6 lid 1 sub c); gerechtvaardigd belang

(beveiliging, misbruikpreventie, productverbetering op geaggregeerde gegevens, art. 6 lid 1 sub f).

Wij verkopen geen persoonsgegevens en gebruiken klant- of huurdergegevens niet voor advertenties.

5. Subverwerkers en ontvangers

Wij gebruiken een beperkt aantal subverwerkers, met wie verwerkersafspraken zijn gesloten:

hostingprovider Google Cloud (regio europe-west4, Nederland); e-sign-dienstverlener

(Yousign, EU) voor elektronische ondertekening; betaaldienstverlener (Mollie) voor

betaallinks — betalingen lopen rechtstreeks via het betaalaccount van de verhuurder;

mailverzending loopt via het eigen mailaccount van de verhuurder (Google/Microsoft, zie §7),

niet via een centrale maildienst van ons. Een actuele subverwerkerslijst is opvraagbaar.

Wij geven geen gegevens door buiten de EER, behoudens de waarborgen van §7-diensten

6. Bewaartermijnen

Factuur- en administratiegegevens: 7 jaar (fiscale bewaarplicht). Contractdossiers: gedurende de

huurrelatie + wettelijke verjaringstermijnen. Accountgegevens: tot opheffing van het account,

waarna verwijdering of anonimisering binnen 90 dagen. Klanten kunnen hun account (ook in-app)

laten verwijderen.

7. Gekoppelde Google-/Microsoft-accounts (mailverzending) — Limited Use

Een verhuurder kan zijn eigen mailbox (Google Gmail of Microsoft 365) aan Vastly koppelen om

facturen en betalingsherinneringen vanuit zijn eigen e-mailadres te versturen.

• Vastly vraagt daarbij uitsluitend de machtiging e-mail verzenden (`gmail.send`) en het

e-mailadres van het gekoppelde account (identificatie). Vastly leest geen e-mail, heeft

geen toegang tot de inbox, contacten of andere accountgegevens.

• Toegangstokens worden versleuteld opgeslagen en uitsluitend gebruikt om door de gebruiker

geïnitieerde of door de gebruiker geconfigureerde verzendingen uit te voeren. De koppeling is

op elk moment in de app te verbreken; ook via de accountinstellingen van Google/Microsoft kan

de toegang worden ingetrokken.

• Het gebruik van informatie ontvangen via Google API's voldoet aan de **Google API Services User

Data Policy, inclusief de Limited Use-vereisten**: gegevens verkregen via Google API's worden

alleen gebruikt voor het leveren van de hierboven beschreven functionaliteit, worden niet

verkocht, niet gebruikt voor advertenties en niet door mensen gelezen, behoudens de in die

policy genoemde uitzonderingen (beveiliging, wettelijke plicht, expliciete toestemming).

8. Beveiliging

Versleutelde verbindingen (TLS), versleutelde opslag van tokens en sleutels (secret management),

toegangsbeperking per rol en per verhuurder-entiteit, logging van mutaties (audit trail),

EU-hosting.

9. Rechten van betrokkenen

Betrokkenen (klanten én huurders) hebben recht op inzage, rectificatie, verwijdering, beperking,

overdraagbaarheid en bezwaar. Huurders kunnen zich rechtstreeks tot hun verhuurder wenden (de

verwerkingsverantwoordelijke); wij ondersteunen verhuurders bij die verzoeken. Klachten kunnen bij

de Autoriteit Persoonsgegevens worden ingediend.

10. Wijzigingen

Wij kunnen deze verklaring wijzigen; de actuele versie staat op vastly.software. Bij materiële

wijzigingen informeren wij klanten actief.