Privacybeleid

1. Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke voor de verwerking van uw persoonsgegevens is:

1A. Onze rol: verwerkingsverantwoordelijke en verwerker

Caproom treedt in twee hoedanigheden op. Wij zijn verwerkingsverantwoordelijke voor persoonsgegevens die wij voor eigen doeleinden verwerken: websitebezoekers, marketingcontacten, gebruikersaccounts van het platform, beveiligings- en auditlogging en onze eigen bedrijfsvoering. Wij treden op als verwerker namens een fondsbeheerder voor de persoonsgegevens die deze beheerder uploadt of genereert met betrekking tot zijn fondsen, investeerders, adviseurs en portfoliovennootschappen. In die hoedanigheid verwerken wij uitsluitend op basis van de gedocumenteerde instructies van de beheerder onder een met die beheerder gesloten verwerkersovereenkomst. Bent u investeerder en wilt u uw rechten uitoefenen ten aanzien van fondsgegevens, dan richt u uw verzoek tot de fondsbeheerder als verwerkingsverantwoordelijke; wij ondersteunen de beheerder bij de beantwoording en sturen een verzoek dat wij rechtstreeks ontvangen door.

2. Persoonsgegevens die wij verzamelen

Wij verzamelen de volgende categorieën persoonsgegevens:

2A. Herkomst van uw gegevens

Niet alle persoonsgegevens die wij verwerken worden rechtstreeks door u verstrekt. Wanneer wij gegevens uit een andere bron verkrijgen, is dat een van de volgende:

• De fondsbeheerder of diens adviseurs, die investeerders-, contact- en commitmentgegevens invoeren bij uw onboarding op een fonds;
• Uw eigen organisatie, wanneer een collega u uitnodigt voor het platform of u wordt aangewezen als tekenbevoegde, bestuurder of uiteindelijk belanghebbende;
• Sanctie-, PEP- en adverse-mediabronnen, waaronder de officiële geconsolideerde lijsten van de EU, de VN en OFAC, gebruikt voor wettelijk verplichte screening;
• Openbare registers en openbaar toegankelijke bronnen, zoals handelsregistergegevens, gebruikt ter verificatie van entiteits- en UBO-gegevens.

3. Rechtsgronden voor verwerking

Wij verwerken uw persoonsgegevens op basis van de volgende rechtsgronden onder Artikel 6(1) AVG:

• Overeenkomst (Art. 6(1)(b)) — Verwerking noodzakelijk voor het leveren van onze fondsadministratiediensten: accountbeheer, documentgeneratie, verwerking van kapitaalopvragingen/uitkeringen en investeerderscommunicatie.
• Wettelijke verplichting (Art. 6(1)(c)) — KYC/AML-screening, sanctiecontroles, UBO-identificatie en bewaarplicht zoals vereist door de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft), de Richtlijn markten voor financiële instrumenten (MiFID II) en de Richtlijn beheerders van alternatieve beleggingsinstellingen (AIFMD).
• Gerechtvaardigd belang (Art. 6(1)(f)) — Platformbeveiliging (fraudepreventie, auditlogging), dienstverbetering en gebruiksanalyses.
• Toestemming (Art. 6(1)(a)) — Marketingcommunicatie en niet-essentiële cookies. U kunt uw toestemming te allen tijde intrekken via uw accountinstellingen of het cookievoorkeuren paneel.

4. Bewaartermijnen

• KYC/AML-dossiers: Bewaard gedurende minimaal 7 jaar na beëindiging van de zakelijke relatie, zoals vereist door de Wwft.
• Financiële gegevens: Bewaard gedurende 7 jaar conform de Nederlandse fiscale bewaarplicht.
• Accountgegevens: Bewaard gedurende de looptijd van uw account. Bij een verwijderingsverzoek worden gegevens binnen 30 dagen verwijderd of onomkeerbaar geanonimiseerd, met inachtneming van wettelijke bewaarplichten. Gegevens die onder een wettelijke bewaartermijn vallen, worden tot het verstrijken daarvan in afgeschermde vorm bewaard.
• Gebruiksgegevens & logs: Bewaard gedurende maximaal 12 maanden, daarna geaggregeerd of verwijderd.
• Cookie-toestemmingsgegevens: Bewaard gedurende 12 maanden, waarna opnieuw toestemming wordt gevraagd.

5. Sub-verwerkers

Wij schakelen de volgende sub-verwerkers in onder passende verwerkersovereenkomsten:

6. Internationale gegevensoverdrachten

Uw gegevens worden voornamelijk verwerkt binnen de Europese Economische Ruimte (EER). Onze database, bestandsopslag, e-mailverzending en documentbewerking vinden alle binnen de EER plaats. Een beperkt aantal verwerkers is buiten de EER gevestigd: Cloudflare (contentlevering en botbescherming) en, uitsluitend voor niet-vertrouwelijke inhoud, de AI-aanbieders Google en OpenAI. Voor die doorgiften baseren wij ons op door de EU goedgekeurde Standaard Contractuele Bepalingen (SCC's) of een adequaatheidsbesluit op grond van Hoofdstuk V AVG. Vertrouwelijke en onder het verschoningsrecht vallende inhoud wordt nooit buiten de EER doorgegeven. Er worden geen gegevens overgedragen naar landen zonder adequaat beschermingsniveau tenzij passende waarborgen zijn getroffen.

7. Uw rechten onder de AVG

U heeft de volgende rechten met betrekking tot uw persoonsgegevens:

• Recht van inzage (Art. 15) — Vraag een kopie op van alle persoonsgegevens die wij over u bewaren.
• Recht op rectificatie (Art. 16) — Corrigeer onjuiste of onvolledige gegevens via uw instellingenpagina.
• Recht op vergetelheid (Art. 17) — Verzoek tot verwijdering van uw persoonsgegevens, met inachtneming van wettelijke bewaarplichten.
• Recht op beperking (Art. 18) — Verzoek dat wij de verwerking van uw gegevens beperken onder bepaalde omstandigheden.
• Recht op overdraagbaarheid (Art. 20) — Download uw gegevens in een machineleesbaar formaat (JSON) via Instellingen → Beveiliging → "Mijn gegevens downloaden".
• Recht van bezwaar (Art. 21) — Maak bezwaar tegen verwerking op basis van gerechtvaardigd belang of voor direct marketing doeleinden.
• Recht om een klacht in te dienen (Art. 77) — U kunt een klacht indienen bij de Autoriteit Persoonsgegevens (zie Sectie 11).

Om een van deze rechten uit te oefenen, neem contact met ons op via hi@caproomfunds.com of gebruik de selfservice-tools in uw accountinstellingen. Wij reageren binnen 30 dagen.

8. Gegevensbeveiliging

Wij treffen passende technische en organisatorische maatregelen om uw persoonsgegevens te beschermen, waaronder: versleuteling tijdens transport (TLS 1.2+) en in opslag, row-level security policies op alle databasetabellen, rolgebaseerde toegangscontroles, auditlogging van gevoelige bewerkingen en regelmatige beveiligingsbeoordelingen. Toegang tot persoonsgegevens is beperkt tot geautoriseerd personeel op basis van need-to-know.

8A. Kunstmatige intelligentie en geautomatiseerde verwerking

Bepaalde platformfuncties maken gebruik van AI-modellen ter ondersteuning van documentopstelling, documentvergelijking, gegevensextractie en de beoordeling van screeningsresultaten. Inhoud wordt geclassificeerd voordat deze naar enig model wordt gestuurd. Vertrouwelijke en onder het verschoningsrecht vallende inhoud — waaronder concept-fondsdocumentatie, side letters en KYC-dossiers — wordt uitsluitend verwerkt door een modelaanbieder gevestigd in de Europese Unie onder een zero-retention-regeling, wat betekent dat de aanbieder de inhoud niet opslaat en niet gebruikt voor modeltraining. Niet-vertrouwelijke inhoud kan worden verwerkt door aanbieders buiten de EER onder Europese gegevensbeschermingsvoorwaarden. Er worden geen persoonsgegevens gebruikt voor het trainen van modellen.

Wij nemen geen geautomatiseerde besluiten met rechtsgevolgen voor u of die u anderszins in aanmerkelijke mate treffen in de zin van Artikel 22 AVG. Sanctie- en PEP-screening, risicoscores en compliancecontroles leveren adviserende resultaten op die altijd door een mens worden beoordeeld en beslist voordat enige actie wordt ondernomen.

8B. Melding van datalekken

In geval van een inbreuk in verband met persoonsgegevens melden wij dit zonder onredelijke vertraging en, indien mogelijk, binnen 72 uur na kennisname aan de Autoriteit Persoonsgegevens, tenzij het niet waarschijnlijk is dat de inbreuk een risico oplevert voor uw rechten en vrijheden (Artikel 33 AVG). Wanneer de inbreuk waarschijnlijk een hoog risico voor u oplevert, informeren wij u zonder onredelijke vertraging (Artikel 34 AVG). Wanneer wij optreden als verwerker voor een fondsbeheerder, stellen wij die beheerder zonder onredelijke vertraging op de hoogte zodat deze aan de eigen meldplicht kan voldoen.

9. Cookiebeleid

Wij gebruiken cookies in de volgende categorieën:

U kunt uw cookievoorkeuren op elk moment beheren door te klikken op Cookievoorkeuren of via de link onderaan elke pagina.

10. Privacy van kinderen

Caproom is een professioneel fondsadministratieplatform en is niet gericht op personen jonger dan 18 jaar. Wij verzamelen niet bewust persoonsgegevens van minderjarigen. Als wij ontdekken dat wij gegevens van een minderjarige hebben verzameld, zullen wij deze onverwijld verwijderen.

11. Toezichthoudende autoriteit

Als u van mening bent dat uw gegevensbeschermingsrechten zijn geschonden, heeft u het recht een klacht in te dienen bij de Nederlandse toezichthouder:

12. Wijzigingen in dit beleid

Wij kunnen dit Privacybeleid van tijd tot tijd bijwerken. Wezenlijke wijzigingen worden ten minste 14 dagen voor inwerkingtreding gecommuniceerd via e-mailnotificatie en/of een prominente melding op ons platform. De datum "Laatst bijgewerkt" bovenaan deze pagina geeft de meest recente revisie weer.

13. Contact

Voor vragen over dit Privacybeleid of om uw gegevensbeschermingsrechten uit te oefenen, neem contact met ons op via hi@caproomfunds.com.

Caproom is op grond van Artikel 37 AVG niet verplicht een functionaris voor gegevensbescherming aan te stellen en heeft dit niet gedaan. Privacyaangelegenheden worden rechtstreeks behandeld door de directie, op het hierboven vermelde adres en e-mailadres.