Verwerkers­overeenkomst

Onderstaande verwerkersovereenkomst is nog niet geaccepteerd. Een verwerkersovereenkomst is een overeenkomst tussen een verwerkingsverantwoordelijke en een verwerker, waarin wordt vastgelegd hoe de verwerker met persoonsgegevens om moet gaan.

Als je gebruikmaakt van Factivo, leg je diverse gegevens van je klanten, leveranciers en anderen vast. Daarbij zitten ook persoonsgegevens, zoals namen, (e-mail)adressen, telefoonnummers en rekeningnummers. Juridisch gezien word jij aangemerkt als verwerkingsverantwoordelijke voor de verwerking van die persoonsgegevens. Wijzelf worden aangemerkt als de verwerker, omdat wij het met ons systeem voor je mogelijk maken om deze gegevens op te slaan en te gebruiken.

Volgens de Algemene Verordening Gegevensbescherming (AVG) moet je afspraken met ons maken over de verwerking van de persoonsgegevens waarvoor jij verantwoordelijk bent. Zo moet je ons expliciet de opdracht geven om die gegevens via ons systeem te verwerken. Ook moet je aangeven wat wij wel en niet met die gegevens mogen doen en hoe wij de gegevens moeten beveiligen. In deze verwerkersovereenkomst leggen we deze afspraken met je vast.

1. Wat betekenen alle juridische termen?

Omdat er in de AVG veel juridische termen gebruikt worden, leggen we deze graag eerst uit. Dit helpt je bij het lezen van de rest van dit document.

Persoonsgegeven: elk gegeven dat informatie geeft over een natuurlijk persoon en waarmee je direct of indirect de identiteit van deze persoon kunt vaststellen. Bijvoorbeeld een naam, (e-mail)adres of telefoonnummer.

Betrokkene: de persoon op wie een persoonsgegeven betrekking heeft, of zijn vertegenwoordiger. Dit is bijvoorbeeld de klant of leverancier van wie jij het adres en telefoonnummer hebt opgeslagen.

Verwerken van persoonsgegevens: alles wat je met persoonsgegevens kunt doen, zoals:

• het verzamelen, vastleggen en ordenen van gegevens;
• het opvragen, wijzigen en raadplegen van gegevens;
• het verstrekken van gegevens aan anderen;
• het afschermen of vernietigen van gegevens.

Verwerkingsverantwoordelijke: de persoon of organisatie die bepaalt:

• of er persoonsgegevens mogen worden verwerkt en zo ja, welke;
• met welk doel deze persoonsgegevens mogen worden verwerkt;
• wat die verwerking precies inhoudt; en
• welke middelen daarbij gebruikt mogen worden.

In deze verwerkersovereenkomst ben jij de verwerkingsverantwoordelijke.

Verwerker: de persoon of de organisatie die voor de verwerkingsverantwoordelijke persoonsgegevens verwerkt, bijvoorbeeld via een webapplicatie. In deze verwerkersovereenkomst zijn wij, Factivo, de verwerker.

Subverwerker: een partij die in onze opdracht persoonsgegevens verwerkt, bijvoorbeeld het bedrijf dat onze servers levert.

Verwerkersovereenkomst: een overeenkomst waarin de verwerkingsverantwoordelijke (jij) en de verwerker (wij) afspraken maken over de verwerking van persoonsgegevens. Dit is de overeenkomst die je nu voor je hebt.

2. Wie is wie?

Als je in deze verwerkersovereenkomst 'jij', 'je' of 'jou(w)' leest, bedoelen we jou als klant van het online boekhoudpakket Factivo, die met ons een overeenkomst tot gebruik van Factivo heeft gesloten.

Lees je 'wij', 'we', 'ons' of 'onze', dan bedoelen we:

Factivo
Waldorpstraat 584
2521 CK Den Haag
KvK-nummer: 97275484

We bieden je in Factivo mogelijk ook koppelingen aan met diensten van derden, bijvoorbeeld met een betaaldienstverlener. In Factivo kun je die gegevens inzien of ophalen. Voor de volledigheid informeren we je dat wij juridisch gezien niet de verwerkingsverantwoordelijke zijn vanuit de AVG voor die gegevens. De verantwoordelijke voor die gegevens is de betreffende dienstverlener.

3. Wanneer geldt deze verwerkersovereenkomst? En kun je deze tussentijds opzeggen?

Deze verwerkersovereenkomst geldt vanaf de datum waarop deze wordt afgesloten. Door online akkoord te geven, komt de verwerkersovereenkomst tot stand. Deze verwerkersovereenkomst is onderdeel van de overeenkomst die we met je hebben gesloten voor het gebruik van Factivo. Als jij of wij die overeenkomst beëindigen, eindigt deze verwerkersovereenkomst automatisch ook.

Je kunt deze verwerkersovereenkomst niet apart opzeggen. Je kunt hem alleen opzeggen als je ook de overeenkomst voor het gebruik van Factivo opzegt. In dat geval wordt deze verwerkersovereenkomst per direct beëindigd.

4. Welke persoonsgegevens verwerken we voor jou? En met welke doelen?

Jij bent verantwoordelijk voor de persoonsgegevens die je via Factivo aan ons beschikbaar stelt. Wij verwerken deze persoonsgegevens alleen in opdracht van jou. Met deze verwerkersovereenkomst geef je ons de opdracht om de volgende gegevens te verwerken:

Van je klanten en leveranciers

• Bedrijfsnaam
• Voornaam en achternaam
• T.a.v.-gegevens
• Adres, postcode, plaats en land
• E-mailadres voor facturen
• E-mailadres voor offertes
• KvK-nummer
• Btw-identificatienummer
• Telefoonnummer
• Klantnummer of leveranciersnummer
• Rekeningnummer (IBAN)
• Notities die je zelf bij een contact vastlegt

Van jezelf en eventuele medewerkers

• Naam en e-mailadres
• Bedrijfsgegevens, waaronder adres, KvK-nummer, btw-nummer en rekeningnummer
• Gewerkte uren en de omschrijving daarvan

Gegevens in documenten die je uploadt

• Bonnen, inkoopfacturen en andere documenten die je zelf in Factivo zet. Hierop kunnen persoonsgegevens staan, zoals namen en adressen.

Voor het doel: het doen van je boekhouding en de functionaliteiten die hierbij horen.

Dit kan bijvoorbeeld zijn het aanmaken en versturen van facturen of offertes, het bijhouden van je uren, het herkennen van gegevens op bonnen, of het opstellen van je btw-aangifte. Ook kun je hiermee voldoen aan de wettelijke bewaartermijnen, zoals de fiscale bewaarplicht van zeven jaar.

Het kan zijn dat we op een later moment extra functionaliteiten aanbieden die horen bij het doen van je boekhouding. Als dit het geval is, dan hoort dat binnen de opdracht die je ons hebt gegeven en hoeven we niet apart toestemming te vragen voor het gebruik.

5. Aan welke regels houden wij ons?

Bij het verwerken van persoonsgegevens houden wij ons aan de wet. We verwerken deze gegevens op een behoorlijke, zorgvuldige en transparante manier, zoals de wet dat voorschrijft. De persoonsgegevens zijn van jou en we gebruiken deze alleen voor de doelen die we hierboven in artikel 4 hebben genoemd. Als we de gegevens ruimer willen gebruiken, vragen we hiervoor toestemming van jou of soms ook van jouw klanten, en zorgen we voor een wettelijke grondslag hiervoor.

We gebruiken jouw gegevens niet om onze eigen diensten te verbeteren of om modellen te trainen, tenzij we je daar apart om vragen en je daarmee instemt.

De persoonsgegevens die je invoert blijven van jou. Dat betekent dat als je de overeenkomst opzegt, je de persoonsgegevens terugkrijgt. Dit kun je doen door deze te exporteren. Let op: doe dit wel vóór de beëindiging van de overeenkomst. We verwijderen de persoonsgegevens namelijk na de beëindiging.

6. Wie krijgen er nog meer toegang tot de persoonsgegevens?

We maken zonder jouw toestemming geen gebruik van de diensten van andere organisaties, als deze daarbij toegang krijgen tot de persoonsgegevens waarvoor jij verantwoordelijk bent. Wel maken we gebruik van de diensten van subverwerkers. Dit zijn personen of organisaties die in opdracht van ons persoonsgegevens uit Factivo verwerken, bijvoorbeeld om jouw facturen per e-mail naar je klanten te versturen.

Dit zijn onze subverwerkers:

Partij	Waarvoor	Waar staan de gegevens
Supabase	Database en bestandsopslag	Frankfurt, Duitsland
FastComet	Webhosting	Europese Unie
Resend	Versturen van e-mail	Ierland
Anthropic Ireland Limited	Herkennen van gegevens op bonnen en facturen	Ierland; verwerking deels buiten de EER

Supabase slaat je administratiegegevens op: klanten, leveranciers, facturen, offertes, uren en de documenten die je uploadt.

FastComet levert de servers waarop Factivo draait.

Resend verstuurt de facturen, offertes en herinneringen die jij vanuit Factivo naar je klanten stuurt. Hierbij gaan het e-mailadres van je klant en de inhoud van het bericht mee, inclusief de factuur als bijlage.

Anthropic Ireland Limited leest bonnen en facturen in wanneer je de scanfunctie gebruikt, en herkent daarop de leverancier, het bedrag, de datum en de btw-tarieven. Op zo'n document kunnen persoonsgegevens staan. Deze functie is optioneel: gebruik je de scanfunctie niet, dan gaan er geen documenten naar deze partij. Zie ook artikel 7.

We maken goede afspraken met hen over hoe ze met deze gegevens omgaan. Ook spreken we met hen dezelfde beveiligingsmaatregelen af als die we met jou afspreken. Door deze verwerkersovereenkomst te accepteren geef je ons toestemming om subverwerkers in te schakelen. Als we een andere subverwerker gaan gebruiken, informeren we je altijd vooraf. Blijf je na de aankondiging gebruikmaken van Factivo, dan heb je hierbij het akkoord gegeven voor die subverwerker.

7. Waar worden de persoonsgegevens opgeslagen?

We slaan de persoonsgegevens op binnen de Europese Economische Ruimte (EER). Onze database en bestandsopslag staan in Frankfurt (Duitsland), onze webservers staan binnen de EU en onze e-mailverzending loopt via Ierland.

Documentherkenning. Als je een bon of factuur laat inlezen, sturen we dat document naar een externe dienstverlener die de gegevens ervan herkent. Onze contractpartij hiervoor is gevestigd in Ierland. De verwerking kan gedeeltelijk plaatsvinden buiten de EER. Voor die doorgifte gelden de standaardcontractbepalingen van de Europese Commissie, aangevuld met passende waarborgen. Deze dienstverlener gebruikt de documenten niet om eigen modellen te trainen.

Wil je geen documenten laten verwerken door deze dienstverlener, dan kun je de scanfunctie ongebruikt laten. Alle andere functies van Factivo blijven dan gewoon werken.

8. Hoe beveiligen we de persoonsgegevens?

Om de persoonsgegevens te beveiligen hebben we passende technische en organisatorische maatregelen genomen. De keuze van deze maatregelen hebben we gebaseerd op de beschikbare technologie, de uitvoeringskosten, het type persoonsgegevens dat wij voor jou verwerken (zie artikel 4) en de risico's die daaraan verbonden zijn. We streven ernaar dat deze maatregelen voldoen aan de eisen in artikel 32 van de AVG.

Onder meer hebben we de volgende maatregelen getroffen:

• Al het verkeer met Factivo verloopt versleuteld via HTTPS.
• Gegevens worden versleuteld opgeslagen.
• De toegang tot gegevens is per administratie afgeschermd, zodat gebruikers alleen bij hun eigen gegevens kunnen.
• Er worden regelmatig back-ups gemaakt.
• Toegang tot onze systemen is beperkt tot personen die daar vanuit hun rol bij moeten kunnen.

We beseffen dat de beveiligingseisen en de technologie voortdurend veranderen. Daarom spannen we ons in om de maatregelen die we op basis van dit artikel hebben genomen, voortdurend te evalueren en waar nodig te verscherpen, aan te vullen of te verbeteren.

9. Wat kun jij doen om de uitvoering van onze afspraken te controleren?

Als verwerkingsverantwoordelijke heb jij het recht om periodiek audits uit te (laten) voeren om te controleren of wij voldoen aan de afspraken die in deze verwerkersovereenkomst staan. Hierover spreken we het volgende af:

1. We spannen ons altijd in om aan de afspraken uit deze verwerkersovereenkomst te voldoen. Als we ons door een onafhankelijke en externe auditor hebben laten controleren, kun je altijd een afspraak maken om die rapportage in te zien.
2. Als we een dergelijk auditrapport ter inzage hebben liggen, dan is dit de manier waarop je kunt controleren of we ons aan de afspraken houden. Alleen als je met goede argumenten kunt aantonen dat we ons niet aan de afspraken hebben gehouden, heb je het recht om zelf een audit te laten uitvoeren door een externe auditor op jouw eigen kosten. Dit recht heb je ook als we nog geen auditrapport ter inzage hebben liggen.
3. Als jij een audit wilt (laten) uitvoeren, kondig je dit minimaal veertien dagen van tevoren schriftelijk bij ons aan. Komt de datum of het tijdstip ons niet uit, dan laten we dit weten en doen we een voorstel voor een vervangende datum.
4. Je maakt gebruik van een externe auditor die voldoet aan de kwaliteitsstandaarden die de Norea aan haar leden stelt, waaronder geheimhouding en onafhankelijkheid. Voldoet de auditor niet aan deze eisen, dan behouden we ons het recht voor deze te weigeren.
5. De personen die de audits uitvoeren houden zich aan de beveiligingsprocedures die bij ons van kracht zijn. Ook jij houdt de uitslag van de audit geheim, tenzij we toestemming geven daarover met derden te communiceren.
6. Wij werken aan de audits mee en leveren zo tijdig mogelijk alle informatie aan die hiervoor redelijkerwijs relevant is. De kosten van de audits zijn voor jouw rekening.

10. Wat moeten jij en wij doen als er een datalek is?

Een datalek is een beveiligingsincident waarbij persoonsgegevens verloren zijn gegaan of waarbij onrechtmatige verwerking van persoonsgegevens niet kan worden uitgesloten. Hierover maken we de volgende afspraken:

1. Ontdekken wij dat er een datalek is of is geweest, en is er een aanzienlijke kans dat dit nadelige gevolgen heeft voor de bescherming van de persoonsgegevens die wij voor jou verwerken? Dan laten we dit onmiddellijk aan je weten, uiterlijk binnen 48 uur nadat we het datalek hebben ontdekt.
2. Vervolgens overleggen we met jou over de aard van het datalek; het risico dat jij en wij hiermee lopen, hebben gelopen of hadden kunnen lopen; en de maatregelen die we treffen of al getroffen hebben om het datalek op te lossen of om de gevolgen zo veel mogelijk te beperken.
3. Na onze melding beoordeel jij of je het datalek moet melden aan de Autoriteit Persoonsgegevens en aan de betrokkenen. Wij doen dit zelf niet, omdat jij verantwoordelijk bent voor de wettelijke verplichtingen in dit kader.
4. Als de Autoriteit Persoonsgegevens een onderzoek naar het datalek start, laten wij dit meteen aan jou weten en werken we mee aan dat onderzoek.

11. Wat doen wij om de persoonsgegevens geheim te houden?

Wij zijn verplicht om alle persoonsgegevens die we voor jou verwerken geheim te houden voor anderen. Daarbij gaat het om de gegevens die we van jou ontvangen en die we verwerken zoals we in onze overeenkomst hebben afgesproken. Hierover spreken we het volgende af:

1. Wij staan ervoor in dat iedereen die namens ons werkt zich houdt aan deze geheimhoudingsplicht. Daarbij gaat het om medewerkers in de ruimste zin van het woord, dus ook stagiairs en freelancers.
2. Deze geheimhoudingsplicht is niet van toepassing als jij uitdrukkelijk toestemming hebt gegeven om bepaalde persoonsgegevens met anderen te delen; als de betrokkene uitdrukkelijk toestemming heeft gegeven om deze gegevens met anderen te delen; of als er een wettelijke verplichting is om bepaalde persoonsgegevens aan een andere instantie of persoon te verstrekken, bijvoorbeeld aan het Openbaar Ministerie.
3. Als wij gebruikmaken van de diensten van een andere partij, zorgen wij ervoor dat deze partij schriftelijk akkoord gaat met dezelfde geheimhoudingsplicht als die we met jou hebben afgesproken.

12. Hoe gaan wij om met de rechten van de betrokkenen?

De personen op wie de persoonsgegevens betrekking hebben, bijvoorbeeld jouw klanten en leveranciers, noemen we de betrokkenen. Deze betrokkenen hebben op basis van de AVG een aantal rechten. Jij bent verplicht om aan die rechten tegemoet te komen. Waar mogelijk helpen we jou daarbij. Daarbij gaat het onder meer om de volgende rechten:

1. De betrokkenen mogen vragen welke persoonsgegevens jij van hen verwerkt en opslaat (artikel 15 AVG). Als wij een dergelijk verzoek ontvangen, sturen we dat aan jou door. Jij bent dan verplicht om deze informatie te verstrekken, binnen het kader van de wet.
2. De betrokkenen mogen vragen om de persoonsgegevens die jij van hen hebt opgeslagen te corrigeren of aan te vullen (artikel 16 AVG). Als wij een dergelijk verzoek ontvangen, sturen we het aan jou door. Je kunt dit zelf doen door de gegevens in Factivo te wijzigen of te verwijderen.
3. De betrokkenen mogen in bepaalde gevallen vragen om verwijdering van hun gegevens (artikel 17 AVG) of om overdracht van hun gegevens (artikel 20 AVG). Ook hierbij helpen we je waar dat redelijkerwijs van ons gevraagd kan worden. Houd er rekening mee dat de fiscale bewaarplicht kan betekenen dat je bepaalde gegevens niet mag verwijderen.

13. Wat zijn jouw verantwoordelijkheden en wie is er aansprakelijk bij schade?

Als verwerkingsverantwoordelijke moet je aan een aantal eisen voldoen:

1. Je moet voldoen aan de wettelijke eisen die voor de verwerking van persoonsgegevens gelden. Dat betekent dat je moet nagaan of je volgens de wet het recht hebt om bepaalde persoonsgegevens vast te leggen. Dit is niet voor alle persoonsgegevens toegestaan. Zo mag je bijvoorbeeld niet zomaar een kopie van iemands paspoort of andere bijzondere persoonsgegevens opslaan.
2. Je moet nagaan of de persoonsgegevens die je wilt vastleggen voldoende beschermd worden door onze beveiligingsmaatregelen. Wij hebben ons beveiligingsbeleid afgestemd op het soort gegevens dat we in artikel 4 hebben omschreven. Wil je een ander soort gegevens vastleggen, dan kunnen wij niet garanderen dat onze maatregelen daarvoor voldoende zijn.
3. Je moet je account zo goed mogelijk beveiligen. Kies een sterk en uniek wachtwoord en deel je inloggegevens niet met anderen.

Voldoe je niet aan deze eisen en worden wij door anderen aansprakelijk gesteld voor schade die hierdoor is ontstaan? Dan stel je ons schadeloos en vrijwaar je ons voor die aansprakelijkheid.

Wij zijn alleen aansprakelijk voor schade die aan ons toegerekend kan worden. Gaat het om schade die verband houdt met de beveiliging van persoonsgegevens? Dan zijn we hiervoor niet aansprakelijk als we kunnen aantonen dat we voldoende technische en organisatorische beveiligingsmaatregelen hebben genomen, zoals omschreven in artikel 8.

Zijn we wel aansprakelijk, dan is deze aansprakelijkheid beperkt. Daarvoor gelden de afspraken die staan in onze algemene voorwaarden voor het gebruik van Factivo.

14. Hoe gaan we om met geschillen?

Als we een geschil hebben, doen we ons best om samen met jou tot een oplossing te komen. Lukt dat niet, dan leggen we het geschil voor aan de bevoegde rechter te Den Haag, of — als op basis van de wet een andere rechter bevoegd is — aan die bevoegde rechter. Voor deze verwerkersovereenkomst geldt het Nederlandse recht. Dit geldt ook voor alle overeenkomsten en andere rechtshandelingen die uit deze overeenkomst voortvloeien of hiermee samenhangen.

15. Wat doen we als onze overeenkomsten elkaar tegenspreken?

Zit er een tegenstrijdigheid tussen deze verwerkersovereenkomst en de overeenkomst die we met je hebben gesloten voor het gebruik van Factivo? Dan gaat deze verwerkersovereenkomst voor en geldt wat hierin staat.