Hoe wij met uw gegevens omgaan

NOBL is een platform voor vastgoedfinanciering. Via NOBL wordt een financieringsaanvraag opgebouwd en gestructureerd en vervolgens, met uw toestemming, voorgelegd aan een of meer financiers. NOBL richt zich op zakelijke aanvragen en op particuliere beleggers die niet als consument handelen, is zelf geen geldverstrekker en geeft geen financieel advies; de kredietbeoordeling en de uiteindelijke voorwaarden liggen bij de financier.

In deze privacyverklaring leest u welke persoonsgegevens NOBL verwerkt, waarvoor, op welke grondslag, met wie ze worden gedeeld, hoe lang ze worden bewaard en welke rechten u heeft. NOBL is de verwerkingsverantwoordelijke voor de gegevens die via het platform worden verwerkt en houdt zich aan de Algemene verordening gegevensbescherming (AVG / EU 2016/679).

• Persoonsgegevens, alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals een naam, e-mailadres of IP-adres.
• Verwerken, alles wat met persoonsgegevens gebeurt: verzamelen, vastleggen, opslaan, gebruiken, delen, en verwijderen.
• Betrokkene, de persoon op wie de gegevens betrekking hebben.
• Verwerkingsverantwoordelijke, de partij die het doel en de middelen van de verwerking bepaalt. Voor het platform is dat NOBL.
• Verwerker / sub-verwerker, een externe partij die in opdracht van NOBL gegevens verwerkt (bijvoorbeeld hosting of e-mail), onder een verwerkersovereenkomst.

• Aanvragers (geldnemers) voor wie een financieringsaanvraag wordt opgebouwd.
• Gebruikers met een account en hun medewerkers.
• Bestuurders, vennoten en uiteindelijk belanghebbenden (UBO’s) van een aanvragende onderneming.
• Personen die contact met ons opnemen, bijvoorbeeld via het contactformulier of per e-mail.

Afhankelijk van uw rol en de aanvraag kan NOBL onder meer de volgende gegevens verwerken:

• Accountgegevens, naam, e-mailadres, organisatie, rechtsvorm en KvK-nummer.
• Intake- en dossiergegevens, de financieringsbehoefte, gegevens over het object, inkomsten en lasten, zekerheden, en de namen van bestuurders/vennoten/UBO’s.
• Geüploade documenten, zoals jaarcijfers, taxatierapporten, KvK-uittreksels, koopovereenkomsten en bankafschriften.
• Gebruiks- en loggegevens, IP-adres, browsergegevens en een logboek van handelingen binnen het platform.
• Communicatiegegevens, de inhoud van uw berichten aan ons en de daarbij horende contactgegevens.
• Herkomstgegevens, via welke pagina, campagne of verwijzende website u binnenkwam toen u uw account aanmaakte.

NOBL vraagt niet om uw burgerservicenummer (BSN) en verwerkt geen bijzondere categorieën van persoonsgegevens zoals gegevens over gezondheid, geloof of politieke voorkeur. Identiteitsbewijzen worden bij het uploaden geweigerd, zodat er geen kopie-ID in de opslag belandt. Wel toetsen wij namen tegen sanctielijsten; hoe dat werkt leest u verderop bij “Toetsing aan sanctielijsten”.

Typt u onverhoopt zelf een BSN in de intake-chat, dan wordt dat geredigeerd vóórdat het wordt opgeslagen én vóórdat het naar de AI-assistent wordt gestuurd.

Geüploade documenten worden voor de analyse door onze AI-sub-verwerker verwerkt; de inhoud van het document gaat daarvoor naar die sub-verwerker, die deels buiten de EER is gevestigd (zie “Geautomatiseerde verwerking en AI” en de paragraaf over doorgifte buiten de EER, met de bijbehorende waarborgen). Staat er onverhoopt een BSN op zo’n document, dan kan dat daarbij worden meegestuurd; in het door de AI teruggegeven resultaat wordt een BSN vervolgens geredigeerd voordat het wordt opgeslagen of hergebruikt.

Voordat NOBL uw dossier aan financiers voorlegt, toetsen wij de namen van de geldnemer, de bestuurders en de uiteindelijk belanghebbenden aan openbare sanctielijsten. Financiers verlangen die toets, en wij willen niet meewerken aan een transactie die onder een sanctie valt.

Wij gebruiken daarvoor uw naam, de soort entiteit en, als dat bekend is, het geboortejaar. Die toets gebeurt volledig binnen NOBL: er gaan geen namen naar een externe screeningdienst. De lijsten zelf halen wij periodiek op bij de Europese Unie en de Verenigde Staten en bewaren wij lokaal.

Het systeem beslist niets. Het levert een mogelijke treffer met een onderbouwing, en een medewerker van NOBL beoordeelt die. De drempel staat bewust gevoelig, dus een naamsgelijkenis kan tot een handmatige controle leiden zonder dat er iets aan de hand is.

De grondslag is ons gerechtvaardigd belang bij een zorgvuldige dossieroverdracht. Het resultaat en de beoordeling bewaren wij zolang als het dossier zelf.

• Het aanmaken en beheren van uw account en de toegang tot het platform.
• Het opbouwen van de intake en het dossier van een financieringsaanvraag.
• Het opstellen van indicatieve scenario’s, haalbaarheidsoordelen en termsheets.
• Het, met toestemming, voorleggen van het dossier aan financiers.
• Beveiliging, fraudepreventie en de traceerbaarheid van handelingen.
• Het nakomen van wettelijke verplichtingen.
• Klantenservice en de verbetering van onze dienstverlening.
• Het meten welke advertenties en kanalen tot aanmeldingen en aanvragen leiden.

• Uitvoering van de overeenkomst (art. 6.1.b AVG), voor het leveren van de dienst: account, dossieropbouw, scenario’s en termsheets.
• Gerechtvaardigd belang (art. 6.1.f AVG), voor beveiliging, fraudepreventie, traceerbaarheid, de verbetering van het platform en het meten welke advertenties werken. Wij wegen daarbij uw privacybelang mee.
• Toestemming (art. 6.1.a AVG), voor het delen van uw dossier met financiers, en voor de meetcookies op onze website. Toestemming kunt u op elk moment intrekken.
• Wettelijke verplichting (art. 6.1.c AVG), voor zover wij wettelijk verplicht zijn gegevens te verwerken of te bewaren.

Uw dossier wordt pas met een financier gedeeld nadat u daarvoor toestemming heeft gegeven. Zonder vastgelegde toestemming blokkeert het platform het delen (mailen of een deelbare link).

Deze toestemming kan te allen tijde worden ingetrokken. Intrekken geldt voor toekomstige delingen en werkt niet terug op wat al is gedeeld.

Voor de levering van het platform schakelt NOBL zorgvuldig geselecteerde sub-verwerkers in (zoals hosting, database en opslag, e-mail, en AI-analyse). Met elk van hen geldt een verwerkersovereenkomst conform AVG art. 28, behalve waar in het sub-verwerkersregister staat dat die nog gesloten wordt. Dat register geeft de stand per partij en is het actuele overzicht.

Daarnaast kunnen wij gegevens verstrekken aan bevoegde instanties wanneer wij daartoe wettelijk verplicht zijn. NOBL verkoopt geen persoonsgegevens en deelt ze niet voor commerciële doeleinden van derden.

Een deel van onze sub-verwerkers is gevestigd buiten de Europese Economische Ruimte (EER), met name in de Verenigde Staten, onder meer voor AI-analyse, e-mail en foutmonitoring. De database en de opslag van geüploade documenten staan in de EER.

Voor doorgifte buiten de EER gelden passende waarborgen: de EU Standard Contractual Clauses (SCC) en/of een certificering onder het EU-US Data Privacy Framework. Per verwerker staat het toegepaste mechanisme in het sub-verwerkersregister; een kopie van de gemaakte afspraken kunt u opvragen via privacy@nobl.nl.

NOBL zet AI in voor de intake-chat, de analyse van geüploade documenten, het opstellen van indicatieve scenario’s en termsheets, en het schrijven van de samenvatting van uw dossier die wij met financiers delen. In de chat wordt u geïnformeerd dat u met een AI-assistent communiceert.

Het financieringsoordeel (haalbaarheid, indicatieve rente en LTV) wordt bepaald door een vaste, controleerbare rekenmethode en niet door AI. Valt dat oordeel positief uit, dan beoordeelt een medewerker van NOBL uw aanvraag voordat wij hem aan financiers voorleggen. In dat geval is er geen sprake van een uitsluitend geautomatiseerd besluit in de zin van artikel 22 AVG.

Komt uit de berekening dat uw aanvraag op dit moment niet haalbaar is, dan ontvangt u dat bericht automatisch, dus zonder dat een medewerker er eerst naar heeft gekeken. NOBL verstrekt zelf geen financiering, dus dit is geen afwijzing van een kredietaanvraag: de beslissing over een lening ligt altijd bij een financier. Wilt u dat een mens ernaar kijkt, dan kunt u om uitleg en om een herbeoordeling vragen via privacy@nobl.nl of via uw contactpersoon bij NOBL. Wij beoordelen uw aanvraag dan opnieuw met een medewerker erbij.

• Documenten worden privé opgeslagen, versleuteld opgeslagen en versleuteld onderweg, en zijn niet publiek toegankelijk.
• Toegang is rolgebaseerd en strikt gescheiden per organisatie; gegevens van andere organisaties zijn niet inzichtelijk.
• Voor beheerders is tweestapsverificatie (MFA) verplicht.
• Handelingen worden gelogd en zijn auditeerbaar; het BSN wordt geredigeerd en identiteitsbewijzen worden geweigerd.

Wij bewaren gegevens niet langer dan nodig. De belangrijkste termijnen:

• Dossiers en geüploade documenten, tot 12 maanden na afronding van het dossier in onze systemen.
• Activiteitslogboek (audit), 24 maanden.
• Niet-afgeronde intake-chats, tot 12 maanden.
• Meldingen in de app, 90 dagen nadat u ze heeft gelezen en in elk geval 12 maanden na het versturen.
• Accountgegevens, zolang uw account bestaat. Bij verwijdering van het account worden uw gegevens, inclusief de opgeslagen documenten, verwijderd.
• Op die verwijdering geldt één uitzondering: in het activiteitslogboek blijft staan dát uw account is verwijderd, met het e-mailadres en het IP-adres van dat moment. Zonder dat spoor is achteraf niet vast te stellen dat de verwijdering heeft plaatsgevonden. Deze gegevens vallen onder de termijn van 24 maanden hierboven en worden daarna ook verwijderd.
• Wij maken dagelijks een back-up van onze database. Verwijdert u uw account, dan verdwijnen uw gegevens ook uit de back-ups van dat moment, maar pas zodra die back-ups op hun beurt vervallen, uiterlijk na zeven dagen.
• Op de termijnen hierboven geldt nog één uitzondering, bij de dienstverlener die de achtergrondtaken van het platform uitvoert. Die verwerkt uw aanvraag in stappen en bewaart de uitkomst van elke stap langer dan deze termijnen. Daarin staan gegevens uit uw dossier zoals het adres, bedragen en wat er uit uw documenten is gelezen; uw documenten zelf gaan er niet heen. Die tussenresultaten worden versleuteld bewaard, met een sleutel die alleen wij hebben, zodat er voor die dienstverlener niets leesbaars overblijft. Gaat er bij een stap iets mis, dan ontvangt die dienstverlener een korte omschrijving van de fout, zonder de gegevens uit uw dossier.

U heeft het recht op inzage, rectificatie, verwijdering, beperking en overdraagbaarheid van uw persoonsgegevens, het recht om bezwaar te maken tegen bepaalde verwerkingen, en het recht om gegeven toestemming in te trekken.

Een volledige kopie van uw gegevens downloaden of uw account verwijderen kan direct vanuit het platform. Voor overige verzoeken neemt u contact op via privacy@nobl.nl. Wij reageren binnen een maand, de termijn van artikel 12 AVG; is uw verzoek ingewikkeld, dan mogen wij die met twee maanden verlengen en laten wij u dat binnen die eerste maand weten. Bent u het niet eens met hoe wij met uw gegevens omgaan, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

NOBL gebruikt strikt noodzakelijke, functionele cookies voor inloggen en het onthouden van uw cookiekeuze. Daarnaast plaatsen wij meetcookies waarmee wij zien hoe de site gebruikt wordt en welke campagne u hierheen bracht. Die worden uitsluitend geplaatst nadat u daarvoor toestemming heeft gegeven; de grondslag daarvoor is uw toestemming (AVG art. 6 lid 1 sub a).

U kunt die toestemming op elk moment intrekken via de cookieverklaring, net zo eenvoudig als u haar heeft gegeven. Wij verwijderen dan de meetcookies die op grond van uw toestemming zijn geplaatst. Een volledige uitleg, inclusief waarvoor zij dienen, wie ze ontvangt en hoe lang zij blijven staan, vindt u in de cookieverklaring.

Onze website kan links bevatten naar externe websites en naar onze profielen op sociale media (zoals LinkedIn en Instagram). Op die websites en platforms gelden de privacy- en cookieverklaringen van die partijen. NOBL is niet verantwoordelijk voor de omgang met uw gegevens door derden; wij raden u aan hun verklaringen te lezen.

NOBL treft technische en organisatorische maatregelen om een datalek te voorkomen. Mocht zich toch een datalek voordoen, dan handelen wij conform de wet: waar vereist melden wij het bij de Autoriteit Persoonsgegevens en, indien het waarschijnlijk een hoog risico voor u meebrengt, ook aan u.

Wij kunnen deze privacyverklaring aanpassen, bijvoorbeeld bij wijzigingen in het platform of de wetgeving. De actuele versie staat altijd op deze pagina, met de datum van de laatste wijziging.