Verwerkersovereenkomst

Partijen

• Verwerkingsverantwoordelijke: [NAAM KLANTORGANISATIE], gevestigd te [VESTIGINGSPLAATS], KvK-nummer [KVK-NUMMER] (“Verantwoordelijke”).
• Verwerker: AGENTICA, gevestigd aan Langeland 18, 2548 WE 's-Gravenhage, KvK-nummer 94577056, btw-nummer NL005093484B44 (“Verwerker”).

Artikel 1: Definities

• AVG: Algemene Verordening Gegevensbescherming.
• Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon die in het kader van deze Overeenkomst wordt verwerkt.
• Verwerking: elke handeling met betrekking tot Persoonsgegevens, zoals verzamelen, opslaan, raadplegen en verwijderen.
• Subverwerker: een derde partij die door Verwerker wordt ingeschakeld om (een deel van) de Verwerking te verrichten.

Artikel 2: Onderwerp en duur

Verwerker verwerkt Persoonsgegevens uitsluitend ten behoeve van en in opdracht van Verantwoordelijke, in het kader van het gebruik van TelMaar. Deze Overeenkomst loopt gelijk met de hoofdovereenkomst en eindigt van rechtswege bij beëindiging daarvan, onverminderd de bepalingen die naar hun aard ook na beëindiging van kracht blijven (waaronder artikel 10 over teruggave en verwijdering).

Artikel 3: Aard en doel van de verwerking

De Verwerking omvat het opslaan, beheren en verwerken van Persoonsgegevens van relaties (klanten, leveranciers en hun contactpersonen) van Verantwoordelijke, ten behoeve van financiële administratie, facturatie en klantrelatiebeheer, zoals nader omschreven in de privacyverklaring van Verantwoordelijke. De categorieën betrokkenen en Persoonsgegevens zijn gelijk aan de artikelen 2 en 4 van die privacyverklaring.

Artikel 4: Verplichtingen van Verwerker

• Verwerker verwerkt Persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verantwoordelijke, tenzij een wettelijke verplichting anders vereist.
• Verwerker waarborgt dat personen die bevoegd zijn Persoonsgegevens te verwerken, zich hebben verbonden tot geheimhouding.
• Verwerker verleent redelijke medewerking aan verzoeken van betrokkenen tot inzage, rectificatie of verwijdering, binnen de grenzen van de wettelijke bewaarplicht.
• Verwerker informeert Verantwoordelijke onverwijld indien een instructie naar zijn oordeel in strijd is met toepasselijke wetgeving.
• Verwerker gebruikt Persoonsgegevens niet voor het trainen of verbeteren van eigen of andermans modellen, en bedingt dat ook bij de Subverwerkers die hij inschakelt.

Artikel 5: Beveiligingsmaatregelen

Verwerker treft passende technische en organisatorische maatregelen, waaronder:

• Versleuteling van gegevens onderweg met TLS 1.3.
• Versleuteling van gegevens in rust met AES-256, met aanvullende envelope-encryptie (per-organisatie data-encryption-key, versleuteld met een master key) voor betaalprovider-credentials en andere bijzonder gevoelige velden.
• Toegangsbeheer op basis van rollen (RBAC) en rijniveau-beveiliging (Row Level Security) in de database, zodat gegevens van de ene organisatie nooit toegankelijk zijn voor een andere.
• Verplichte tweefactorauthenticatie (2FA) voor gebruikers met schrijftoegang tot financiële gegevens.
• Een append-only auditlog van wijzigingen aan financiële gegevens, inclusief tijdstip, IP-adres en gebruiker.
• Periodieke, versleutelde back-ups met een bewaartermijn van minimaal 7 en uiterlijk 30 dagen, zodat na een verwijdering op grond van artikel 10 geen kopie achterblijft.

Artikel 6: Subverwerkers

Verantwoordelijke geeft Verwerker toestemming om de volgende Subverwerkers in te schakelen: Supabase (database, authenticatie, opslag), Vercel (hosting), Resend (e-mail), Stripe en Mollie (betalingsverwerking), Cloudflare (beveiliging en contentlevering), Anthropic (verwerking van de vragen en documenten die Verantwoordelijke via de assistent aanbiedt), Sentry (foutmeldingen uit de applicatie, ontdaan van persoonsgegevens), Expo, Google en Apple (bezorging van meldingen op de telefoon), Google ML Kit (tekstherkenning op het toestel bij het fotograferen van een bonnetje), Mapbox (kaartweergave bij een adres), overheid.io (opzoeken in het Handelsregister) en postcode.tech (adres bij postcode). De assistent is alleen beschikbaar voor gebruikers met een financiële rol en verwerkt uitsluitend wat de gebruiker zelf aanbiedt; de aangeboden gegevens worden niet gebruikt om modellen te trainen. Verwerker legt aan elke Subverwerker vergelijkbare verplichtingen op als in deze Overeenkomst zijn opgenomen en informeert Verantwoordelijke bij wijziging van deze lijst, met de mogelijkheid tot bezwaar.

Artikel 7: Doorgifte buiten de EER

Verwerking vindt in beginsel plaats binnen de Europese Economische Ruimte. Voor zover een Subverwerker Persoonsgegevens buiten de EER verwerkt, gebeurt dat uitsluitend op grond van een adequaatheidsbesluit van de Europese Commissie of van de standaardcontractbepalingen (SCC's) van de Europese Commissie, aangevuld met passende aanvullende maatregelen zoals versleuteling van gegevens onderweg en in rust. Verwerker verstrekt Verantwoordelijke op verzoek inzicht in de geldende doorgiftegrondslag per Subverwerker.

Artikel 8: Datalekken en meldtermijn

Verwerker meldt een geconstateerde inbreuk in verband met Persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan Verantwoordelijke, zodat deze tijdig aan haar eigen meldplicht (binnen 72 uur) jegens de Autoriteit Persoonsgegevens kan voldoen. De melding omvat in ieder geval de aard van de inbreuk, de getroffen categorieën en aantallen betrokkenen, en de genomen of voorgestelde maatregelen.

Artikel 9: Audits

Verantwoordelijke heeft het recht om, na voorafgaande schriftelijke kennisgeving met een redelijke termijn van ten minste vier weken, audits te laten uitvoeren op de naleving van deze Overeenkomst, of zich te laten informeren via een door Verwerker beschikbaar gestelde rapportage van een onafhankelijke derde. Kosten van een audit door Verantwoordelijke komen, behoudens geconstateerde tekortkomingen, voor rekening van Verantwoordelijke.

Artikel 10: Teruggave en verwijdering na beëindiging

Bij beëindiging van de hoofdovereenkomst stelt Verwerker, op verzoek van Verantwoordelijke, alle Persoonsgegevens beschikbaar in een gangbaar exportformaat en verwijdert Verwerker vervolgens alle Persoonsgegevens, met uitzondering van gegevens die op grond van een wettelijke bewaarplicht (waaronder de fiscale bewaarplicht van 7 jaar) bewaard moeten blijven. Verwijdering vindt plaats binnen 30 dagen na het verzoek.

Artikel 11: Aansprakelijkheid

De aansprakelijkheid van partijen onder deze Overeenkomst is geregeld in de hoofdovereenkomst tussen partijen, te weten artikel 11 van de algemene voorwaarden.

Artikel 12: Toepasselijk recht

Op deze Overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Den Haag, tenzij dwingend recht anders voorschrijft.

Artikel 13: Bijlage voor Verantwoordelijken in de Verenigde Arabische Emiraten

Dit artikel geldt uitsluitend als Verantwoordelijke is gevestigd in de Verenigde Arabische Emiraten. Waar het afwijkt van de voorgaande artikelen, gaat dit artikel voor.

Toepasselijk kader. Op de verwerking is Federal Decree-Law No. 45 of 2021 betreffende de bescherming van persoonsgegevens (PDPL) van toepassing. Waar in deze Overeenkomst naar de AVG wordt verwezen, gelden voor Verantwoordelijke de overeenkomstige bepalingen van de PDPL.

Doorgifte. Verwerker verwerkt de persoonsgegevens op servers in de Europese Unie. Verantwoordelijke geeft opdracht tot die doorgifte; zij is noodzakelijk voor de uitvoering van de Overeenkomst en het bestemmingsgebied kent een beschermingsniveau dat ten minste gelijkwaardig is aan dat van de PDPL.

Datalekken. Verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging aan Verantwoordelijke, zodat Verantwoordelijke kan voldoen aan haar meldplicht tegenover het UAE Data Office en tegenover betrokkenen.

Rechten van betrokkenen. Verwerker verleent Verantwoordelijke redelijke medewerking bij verzoeken tot inzage, correctie, verwijdering, beperking, overdracht en bezwaar op grond van de PDPL.

Bewaartermijn. In afwijking van artikel 10 worden fiscale gegevens bewaard zo lang de Emiraatse wet dat voorschrijft: voor btw vijf jaar na het einde van het belastingtijdvak en voor gegevens over onroerend goed vijftien jaar.

Toepasselijk recht. In afwijking van artikel 12 worden geschillen die voortvloeien uit deze bijlage voorgelegd aan de bevoegde rechter in Dubai, en is op die geschillen het recht van de Verenigde Arabische Emiraten van toepassing.

Ondertekening

Aldus overeengekomen en ondertekend door beide partijen: