Klantdocumenten veilig delen: zo regel je het als kantoor

Waarom zijn e-mailbijlagen en chatapps riskant voor klantdocumenten?

E-mailbijlagen en chatapps zijn riskant omdat je niet bepaalt waar een document terechtkomt, wie het kan zien en hoe lang het blijft bestaan. Een mail is snel aan de verkeerde ontvanger gestuurd, bijvoorbeeld door het automatisch aanvullen van een adres. Volgens de Autoriteit Persoonsgegevens is het versturen van persoonsgegevens aan een verkeerde geadresseerde een datalek, en of je dat moet melden hangt af van het risico voor de betrokkenen.

Daarnaast staan bijlagen na een paar maanden op veel plekken: in de inbox van de klant, de inbox van een medewerker, doorgestuurde mails en gedownloade mappen. Bij chatapps op een privételefoon van een medewerker komt daar bij dat het kantoor geen zicht heeft op de chatgeschiedenis en die niet kan opschonen als de medewerker vertrekt. Bovendien staat een los document nergens gekoppeld aan de administratie of de vraagpost waar het bij hoort.

• Verkeerde ontvanger door een typfout of automatisch aangevuld adres.
• Kopieën in inboxen, doorgestuurde mails en downloadmappen.
• Chatgeschiedenis op privételefoons waar het kantoor geen zicht op heeft.
• Geen toegangsbeheer: wie de mail of chat heeft, heeft het document.
• Geen koppeling met de administratie, waardoor documenten zoekraken.

Hoe richt je veilig documenten delen in met een portaal of app?

Je richt veilig delen in door één vast kanaal te kiezen, zoals een klantportaal of app, en daarin per gebruiker te bepalen wie wat mag zien en doen. Een klant met meerdere bedrijven krijgt toegang tot die bedrijven, een medewerker van de klant bijvoorbeeld alleen tot de vraagposten van één bedrijf. Aan kantoorzijde zie je alleen de administraties die aan je zijn toegewezen.

Een vast kanaal werkt alleen als het ook het enige kanaal is. Spreek af dat financiële documenten niet meer als losse bijlage worden gemaild, en stuur klanten die dat toch doen vriendelijk door naar het portaal. Loop periodiek na wie er toegang heeft: een vertrokken medewerker van de klant of van het kantoor hoort geen toegang meer te hebben. Kijk bij de leverancier van het portaal ook naar de afspraken in de verwerkersovereenkomst.

1. 1Kies één vast kanaal voor documenten, zoals een klantportaal met app.
2. 2Geef elke gebruiker een eigen account in plaats van gedeelde inloggegevens.
3. 3Stel rechten per gebruiker en per bedrijf in.
4. 4Koppel bronnen zoals de mailbox of cloudopslag van de klant, zodat doorsturen niet meer nodig is.
5. 5Spreek af dat financiële documenten niet als losse mailbijlage worden gestuurd.
6. 6Loop periodiek na wie toegang heeft en trek toegang in bij vertrek.

Hoe lang bewaar je klantdocumenten en wie mag erbij?

Een ondernemer moet zijn administratie volgens de Belastingdienst 7 jaar bewaren, en voor gegevens over onroerende zaken geldt 10 jaar. De basisgegevens, zoals het grootboek, de debiteuren- en crediteurenadministratie en de in- en verkoopadministratie, moeten altijd 7 jaar worden bewaard. De bewaarplicht ligt bij de ondernemer, dus bij je klant, ook als het kantoor de administratie voert. Leg daarom vast waar de bronbestanden staan en wie ze bewaart.

De AVG werkt de andere kant op: persoonsgegevens bewaar je niet langer dan nodig. Langer bewaren dan de wettelijke termijn vraagt volgens Ondernemersplein een goede reden. Kijk ook bij elke kopie of die nodig is: een factuur die in het portaal en in het boekhoudpakket staat, hoeft niet ook nog in een downloadmap of mailbox van een medewerker te blijven staan. Zo beperk je het aantal plekken waar een datalek kan ontstaan.

Hoe herken je nepfacturen en gewijzigde IBAN's?

Je herkent nepfacturen vooral aan afwijkingen ten opzichte van wat normaal is: een onbekende leverancier, een ongebruikelijk bedrag, haast in de toon of een ander rekeningnummer bij een bekende leverancier. Een veelvoorkomende vorm is een mail die eruitziet als van een vaste leverancier, met de mededeling dat het rekeningnummer is gewijzigd. Wordt zo'n factuur zonder controle betaald, dan is het geld vaak niet terug te halen.

De belangrijkste regel: controleer een gewijzigd IBAN altijd via een contactgegeven dat je al kende, zoals het telefoonnummer uit eerdere correspondentie of de website van de leverancier, en nooit via het nummer of adres in dezelfde mail. Software kan helpen door het IBAN te controleren en afwijkingen te signaleren, maar de klant beslist over de betaling. Signalen om op te letten:

• Een ander IBAN dan eerder bij dezelfde leverancier.
• Een rekeningnummer in een ander land dan waar de leverancier zit.
• Een factuur van een leverancier waarmee de klant geen relatie heeft.
• Een afwijkend bedrag, factuurnummer of opmaak ten opzichte van eerdere facturen.
• Druk om snel te betalen, of een verzoek om de wijziging niet telefonisch te bespreken.
• Een afzenderadres dat net iets anders is dan het bekende domein.

Wat vertel je klanten over veilig documenten aanleveren?

Vertel klanten bij de start, en daarna af en toe opnieuw, via welk kanaal ze documenten aanleveren en wat het kantoor nooit vraagt. Hoe duidelijker de afspraak, hoe sneller een klant een afwijkend verzoek herkent. Een kort bericht bij de onboarding en een herhaling rond drukke periodes, zoals de jaarafsluiting, is meestal genoeg.

Houd het praktisch en concreet. Klanten hoeven geen securitycursus te volgen, maar wel te weten waar ze bonnen en facturen kwijt kunnen, dat ze een gewijzigd rekeningnummer altijd zelf telefonisch controleren en wie ze bellen als ze twijfelen. Een paar punten die je kunt overnemen:

• Lever documenten aan via het portaal, de app of de gekoppelde mailbox, niet als losse bijlage.
• Wij vragen nooit via mail of chat om inloggegevens of om een betaling naar een ander rekeningnummer.
• Ziet een factuur van een vaste leverancier er anders uit, of staat er een nieuw IBAN op, bel de leverancier dan op een nummer dat je al kende.
• Gebruik je eigen account en deel je inloggegevens niet met collega's.
• Laat het ons weten als een medewerker vertrekt die toegang had.
• Twijfel je over een bericht dat van ons lijkt te komen, bel ons dan op het bekende nummer.

Hoe werken het klantportaal, de app en Connect van Autoboeker?

In Autoboeker levert de klant documenten aan via het klantportaal of de app voor iOS en Android, onder jouw kantoor, met bulk-aanlevering via drag-and-drop. Eén account kan toegang hebben tot meerdere bedrijven, met rechten per gebruiker, bijvoorbeeld alleen de vraagposten van bedrijf X. Aan kantoorzijde zijn er onbeperkt gebruikers met rollen en rechten per administratie. Vragen, antwoorden en aanleveringen blijven gekoppeld aan dezelfde context. Volgens de beveiligingsinformatie van Autoboeker is data versleuteld met TLS tijdens transport en AES-256 in opslag, en is elke actie herleidbaar in auditlogs.

Met Connect koppelt de klant zijn bronnen in het klantportaal: Gmail en Outlook in twee klikken, een andere mailbox via IMAP (onder andere iCloud), WhatsApp voor bonnen en cloudopslag zoals iCloud, OneDrive, Dropbox, Google Drive en SharePoint. Elke administratie heeft daarnaast een inkoop- en verkoop-e-mailadres, en documenten uit de Exact digitale brievenbus en uit SnelStart kunnen worden opgehaald. Bronnen zijn gekoppeld aan het portaal van een administratie, dus documenten komen bij die administratie binnen en worden gematcht aan een openstaande vraagpost of doorgezet naar de AI-verwerking. Daar voert Autoboeker onder meer een IBAN-controle uit en signaleert het afwijkingen, onbekende leveranciers en dubbele facturen, voor alle vier de gekoppelde pakketten.