Verwerkersovereenkomst (sjabloon)

Partijen

• Verwerkingsverantwoordelijke: [NAAM KLANTORGANISATIE], gevestigd te [VESTIGINGSPLAATS], KvK-nummer [KVK-NUMMER]("Verantwoordelijke").
• Verwerker: [NAAM SURAK-ENTITEIT], gevestigd te [VESTIGINGSPLAATS], KvK-nummer [KVK-NUMMER]("Verwerker").

Artikel 1 — Definities

• AVG: Algemene Verordening Gegevensbescherming.
• Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon die in het kader van deze Overeenkomst wordt verwerkt.
• Verwerking: elke handeling met betrekking tot Persoonsgegevens, zoals verzamelen, opslaan, raadplegen en verwijderen.
• Subverwerker: een derde partij die door Verwerker wordt ingeschakeld om (een deel van) de Verwerking te verrichten.

Artikel 2 — Onderwerp en duur

Verwerker verwerkt Persoonsgegevens uitsluitend ten behoeve van en in opdracht van Verantwoordelijke, in het kader van het gebruik van SURAK Finance Hub. Deze Overeenkomst loopt gelijk met de hoofdovereenkomst en eindigt van rechtswege bij beëindiging daarvan, onverminderd de bepalingen die naar hun aard ook na beëindiging van kracht blijven (waaronder artikel 9).

Artikel 3 — Aard en doel van de verwerking

De Verwerking omvat het opslaan, beheren en verwerken van Persoonsgegevens van relaties (klanten, leveranciers en hun contactpersonen) van Verantwoordelijke, ten behoeve van financiële administratie, facturatie en klantrelatiebeheer, zoals nader omschreven in de privacyverklaring van Verantwoordelijke. De categorieën betrokkenen en Persoonsgegevens zijn gelijk aan de artikelen 2 en 4 van die privacyverklaring.

Artikel 4 — Verplichtingen van Verwerker

• Verwerker verwerkt Persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verantwoordelijke, tenzij een wettelijke verplichting anders vereist.
• Verwerker waarborgt dat personen die bevoegd zijn Persoonsgegevens te verwerken, zich hebben verbonden tot geheimhouding.
• Verwerker verleent redelijke medewerking aan verzoeken van betrokkenen tot inzage, rectificatie of verwijdering, binnen de grenzen van de wettelijke bewaarplicht.
• Verwerker informeert Verantwoordelijke onverwijld indien een instructie naar zijn oordeel in strijd is met toepasselijke wetgeving.

Artikel 5 — Beveiligingsmaatregelen

Verwerker treft passende technische en organisatorische maatregelen, waaronder:

• Versleuteling van gegevens onderweg met TLS 1.3.
• Versleuteling van gegevens in rust met AES-256, met aanvullende envelope-encryptie (per-organisatie data-encryption-key, versleuteld met een master key) voor betaalprovider-credentials en andere bijzonder gevoelige velden.
• Toegangsbeheer op basis van rollen (RBAC) en rijniveau-beveiliging (Row Level Security) in de database, zodat gegevens van de ene organisatie nooit toegankelijk zijn voor een andere.
• Verplichte tweefactorauthenticatie (2FA) voor gebruikers met schrijftoegang tot financiële gegevens.
• Een append-only auditlog van wijzigingen aan financiële gegevens, inclusief tijdstip, IP-adres en gebruiker.
• Periodieke, versleutelde back-ups met een bewaartermijn van minimaal 7 dagen.

Artikel 6 — Subverwerkers

Verantwoordelijke geeft Verwerker toestemming om de volgende Subverwerkers in te schakelen: Supabase (database, authenticatie, opslag), Vercel (hosting), Resend (e-mail), Stripe en Mollie (betalingsverwerking) en Cloudflare (beveiliging en contentlevering). Verwerker legt aan elke Subverwerker vergelijkbare verplichtingen op als in deze Overeenkomst zijn opgenomen en informeert Verantwoordelijke bij wijziging van deze lijst, met de mogelijkheid tot bezwaar.

Artikel 7 — Datalekken en meldtermijn

Verwerker meldt een geconstateerde inbreuk in verband met Persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan Verantwoordelijke, zodat deze tijdig aan haar eigen meldplicht (binnen 72 uur) jegens de Autoriteit Persoonsgegevens kan voldoen. De melding omvat in ieder geval de aard van de inbreuk, de getroffen categorieën en aantallen betrokkenen, en de genomen of voorgestelde maatregelen.

Artikel 8 — Audits

Verantwoordelijke heeft het recht om, na voorafgaande schriftelijke kennisgeving met een redelijke termijn van ten minste [AANTAL] weken, audits te laten uitvoeren op de naleving van deze Overeenkomst, of zich te laten informeren via een door Verwerker beschikbaar gestelde rapportage van een onafhankelijke derde. Kosten van een audit door Verantwoordelijke komen, behoudens geconstateerde tekortkomingen, voor rekening van Verantwoordelijke.

Artikel 9 — Teruggave en verwijdering na beëindiging

Bij beëindiging van de hoofdovereenkomst stelt Verwerker, op verzoek van Verantwoordelijke, alle Persoonsgegevens beschikbaar in een gangbaar exportformaat en verwijdert Verwerker vervolgens alle Persoonsgegevens, met uitzondering van gegevens die op grond van een wettelijke bewaarplicht (waaronder de fiscale bewaarplicht van 7 jaar) bewaard moeten blijven. Verwijdering vindt plaats binnen [AANTAL] dagen na het verzoek.

Artikel 10 — Aansprakelijkheid

De aansprakelijkheid van partijen onder deze Overeenkomst is geregeld in de hoofdovereenkomst tussen partijen. Voor zover de hoofdovereenkomst geen regeling bevat, geldt [AANSPRAKELIJKHEIDSREGELING].

Artikel 11 — Toepasselijk recht

Op deze Overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter te [RECHTBANK/PLAATS], tenzij dwingend recht anders voorschrijft.

Ondertekening

Aldus overeengekomen en ondertekend door beide partijen: