Verwerkersovereenkomst
Bij de gegevens die u invoert in Factuurdesk zitten ook persoonsgegevens. Wettelijk gezien wordt u aangemerkt als verantwoordelijke voor de verwerking van die persoonsgegevens. Factuurdesk is de verwerker. Dat houdt kortgezegd in dat u verantwoordelijk bent voor de persoonsgegevens en wij slechts in uw opdracht werken. In onderstaande verwerkersovereenkomst leggen we onze afspraken hieromtrent vast.
1. Definities
Persoonsgegeven: alle informatie over een natuurlijke persoon (de betrokkene) waarmee direct of indirect de identiteit van deze persoon valt vast te stellen. Voorbeelden: naam, (mail)adres of telefoonnummer.
Betrokkene: degene op wie de persoonsgegevens die worden verwerkt betrekking hebben. Bijvoorbeeld uw klanten of medewerkers.
Verantwoordelijke: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. In dit geval bent u dat.
Verwerker: de persoon of de organisatie die voor de verantwoordelijke de persoonsgegevens verwerkt. In dit geval zijn wij dat.
Verwerkersovereenkomst: een overeenkomst waarin de verantwoordelijke en de verwerker afspraken maken over de verwerking van persoonsgegevens, als bedoeld in artikel 28, derde lid, van de Algemene Verordening Gegevensbescherming (hierna: AVG). Deze overeenkomst dus.
2. Partijen
Verantwoordelijke:
U als klant van Factuurdesk (PZN B.V.), die met ons een overeenkomst heeft gesloten tot het gebruik van ons facturatie, urenregistratie en offerte pakket, hierna te noemen "u".
Verwerker:
PZN B.V. handelend onder de naam Factuurdesk. Kievitlaan 5, 2224JN Katwijk, ingeschreven in de Kvk onder nummer: 34217868
Hierna te noemen "wij".
3. Duur verwerkersovereenkomst
Deze verwerkersovereenkomst geldt vanaf de datum waarop deze door partijen wordt afgesloten. Door online akkoord te geven, komt de verwerkersovereenkomst tot stand. Deze verwerkersovereenkomst is onderdeel van de overeenkomst die wij met u hebben gesloten voor het gebruik van Factuurdesk en eindigt derhalve op het moment dat de overeenkomst met Factuurdesk door u of ons wordt beëindigd.
4. Doel en inhoud verwerking persoonsgegevens
U beschikt over en bent verantwoordelijk voor de persoonsgegevens. Het onderwerp van de verwerking is de dienst genaamd "Factuurdesk". Het doel van de verwerking is het gebruiken van de online software en apps van Factuurdesk voor het bijhouden van de urenregistratie, het maken van facturen en offertes en alle bijbehorende functionaliteiten zoals te vinden is op https://www.factuurdesk.nl/rondleiding/. Wij doen er alles aan om de, in het kader van dit doel, ter beschikking gestelde persoonsgegevens zorgvuldig te verwerken.
De categorie betrokkenen betreft: klanten en (indien van toepassing) medewerkers. Met deze verwerkersovereenkomst geeft u ons de opdracht om de volgende persoonsgegevens te verwerken:
Bedrijfsnaam, voornaam + achternaam, geslacht, t.a.v. gegevens, adres, postcode, plaats en land, e-mailadressen, KvK-nummer, IBAN en tnv gegevens, Btw-nummer, bsn-nummer (bijzonder persoonsgegeven), geboortedatum, telefoonnummers (vast + mobiel en fax), website, foto of logo, klantnummer, ip-adres, open en click tracking van emails en inloggegevens.
Binnen Factuurdesk is het mogelijk om notities in de vorm van open tekst in te voeren. Wij hebben geen invloed op het soort persoonsgegevens dat u daar in voert. U gaat ermee akkoord geen verdere bijzondere persoonsgegevens in die invoervelden in te voeren.
Het kan zijn dat we op een later moment extra functionaliteiten aanbieden. Die extra functionaliteiten vallen dan binnen de opdracht die u ons heeft gegeven en zodoende hoeven we daarvoor niet apart toestemming te vragen voor het gebruik.
5. Overeengekomen afspraken
Beide partijen zijn op de hoogte van de Algemene Verordening Gegevensbescherming (AVG / GDPR) en zullen zich gezamenlijk inspannen om aan alle wettelijke eisen te voldoen. Wij houden ons in ieder geval aan de volgende punten:
1. De verwerking van de persoonsgegevens vindt uitsluitend plaats op basis van uw schriftelijke instructies. Wij zijn alleen verantwoordelijk voor de verwerking van de persoonsgegevens onder deze Verwerkersovereenkomst, overeenkomstig uw instructies en onder uw uitdrukkelijke (eind)verantwoordelijkheid.
2. Wij handelen in overeenstemming met de toepasselijke wet- en regelgeving betreffende de verwerking van persoonsgegevens.
3. Wij zullen de persoonsgegevens niet voor eigen doeleinden gebruiken en gebruiken ze alleen voor het doel zoals beschreven in artikel 4.
4. De persoonsgegevens die u invoert blijven uw eigendom en u kunt die terugkrijgen door ze te exporteren. Wij zullen ze na afloop van de overeenkomst verwijderen, tenzij wij wettelijk verplicht zijn deze te bewaren. Het verwijderen gebeurt zo snel mogelijk maar in ieder geval binnen vier weken na afloop van de overeenkomst.
5. Personen in dienst van of werkzaam bij ons die in aanraking komen met de persoonsgegevens hebben een geheimhoudingsplicht. Deze geheimhoudingsplicht is niet van toepassing indien u uitdrukkelijk toestemming heeft gegeven om bepaalde persoonsgegevens met anderen te delen; of indien de betrokkene (bijvoorbeeld een klant) uitdrukkelijk toestemming heeft gegeven om deze gegevens met anderen te delen; of als er een wettelijke verplichting is om bepaalde persoonsgegevens aan een andere instantie of persoon, bijvoorbeeld aan het openbaar ministerie, te verstrekken.
6. Wij geven zonder uw toestemming geen persoonsgegevens, die wij in uw opdracht verwerken, door aan andere organisaties. Wel maken we gebruik van de diensten van subverwerkers. Zij verwerken ten behoeve van u en in opdracht van ons persoonsgegevens, zoals bij het versturen van uw facturen en offertes per post of per email. Door deze verwerkersovereenkomst te ondertekenen geeft u ons toestemming om subverwerkers in te schakelen. De subverwerkers vindt u op onze partner pagina op https://www.factuurdesk.nl/partners/.
7. Als we een andere subverwerker gaan gebruiken, informeren we u altijd vooraf. Blijft u na de aankondiging gebruik maken van Factuurdesk, dan heeft u hierbij het akkoord gegeven voor die subverwerkers.
8. Wij leggen met een subverwerker in een subverwerkersovereenkomst dezelfde verplichtingen vast als in deze overeenkomst met u.
9. Bij het niet nakomen van de verplichtingen van een subverwerker zijn wij nog steeds aansprakelijk voor het nakomen van verplichtingen aan u.
10. Wij hebben passende technische en organisatorische maatregelen genomen zodat de verwerking van de persoonsgegevens aan de vereisten van de AVG voldoet en de bescherming van de rechten van de betrokkenen zijn gewaarborgd. We streven er na dat deze maatregelen voldoen aan de eisen in artikel 32 van de AVG. Wij hebben onder andere de volgende beveiligingsmaatregelen genomen:
- logische toegangscontrole, gebruik makend van sterke wachtwoorden;
- IP-restricties voor toegangsbeveiliging van onze servers, database en bestanden;
- encryptie van de wachtwoorden die staan opgeslagen in de database;
- organisatorische maatregelen voor toegangsbeveiliging;
- beveiliging van netwerkverbindingen via Transport Layer Security (TLS) technologie;
- geheimhoudingsplicht medewerkers en ingeschakelde derden;
- Beveiligde verbinding tot de applicatie en apps met een SSL certificaat.
Daarnaast bieden wij extra beveiligingsmogelijkheden zoals tweestapsverificatie, toegangsrechten voor uw medewerkers en het het deactiveren van logincookies. Het gebruiken van deze mogelijkheden is uw eigen verantwoordelijkheid.
11. Wij helpen mee om te voldoen aan uw plichten als verantwoordelijke als betrokkenen hun privacyrechten uitoefenen. Wij hebben ervoor gezorgd dat u de gegevens van de betrokkenen kunt wijzigen, verwijderen of exporteren. Indien wij een verzoek ontvangen van een betrokkene, waarvan u de verantwoordelijke bent, op het gebied van het recht op inzage, correctie, vergetelheid en dataportabiliteit, sturen wij dit verzoek naar u door. U bent dan verplicht dit verzoek verder op te pakken en aan de rechten uit de AVG tegemoet te komen.
12. Wij helpen mee om te voldoen aan de verplichtingen rond de meldplicht datalekken. Dit betekent dat wij mogelijke datalekken direct (maar uiterlijk binnen 48 uur) melden aan u en dat wij meewerken aan onderzoek en analyse. Na overleg over de aard en ernst van het datalek beoordeelt u zelf of u het lek meldt aan de Autoriteit Persoonsgegevens en de betrokkenen. Wij melden een datalek niet aan de AP, omdat u verantwoordelijk bent voor de wettelijke verplichtingen in dit kader. Wij brengen voor afhandeling van mogelijke datalekken die bij ons zijn ontstaan geen kosten in rekening.
13. Wij helpen mee om te voldoen aan de verplichtingen rond Data Protection Impact Assessment. Wij brengen hier niet meer dan redelijke kosten voor in rekening.
14. Wij werken mee aan audits die u wilt (laten) uitvoeren. Indien we echter al een auditrapport ter inzage hebben, zult u eerst met goede inhoudelijke argumenten moeten komen waarom de reeds bestaande audit geen uitsluitsel geeft over het naleven van deze verwerkersovereenkomt en u een nieuwe audit wilt uitvoeren. Indien u een audit wilt inzien of wilt laten plaatsvinden doen we dat onder de voorwaarde dat u dat 14 dagen van te voren schriftelijk aankondigt en gebruik maakt. Verder vereisen wij dat u gebruik maakt van een externe auditor die lid is van de Norea (of voldoet aan dezelfde kwaliteitsstandaarden die de Norea stelt). De uitslag van de audit wordt door u en de auditor geheim gehouden en niet met derden gecommuniceerd. Wij stellen alle redelijkerwijs relevante informatie voor de audit zo snel mogelijk beschikbaar. De kosten van de audit zijn voor uw rekening, waaronder ook de (interne) kosten die wij maken.
15. We hosten en verwerken de persoonsgegevens binnen de Europese Economische Ruimte (EER). We maken gebruik van Nederlandse servers van True in Amsterdam en van Amazon in Ierland. Enkele van de subverwerkers kunnen gegevens opslaan buiten de EER. Op de partner pagina kunt u lezen welke dat zijn. Deze subverwerkers voldoen aan de beveiligingseisen die door de Europese Commissie als adequaat worden beschouwd. U geeft ons hierbij toestemming om de persoonsgegevens buiten de EER op te slaan.
6 aansprakelijkheid
Als verantwoordelijke voor de verwerking van persoonsgegevens, moet u aan een aantal eisen voldoen:
1. U moet voldoen aan de wettelijke eisen die voor de verwerking van persoonsgegevens gelden en bepalen of u volgens de wet het recht (grondslag) heeft om bepaalde gegevens vast te leggen.
2. U moet nagaan of de persoonsgegevens die u bij ons invoert, voldoende beschermd zijn door de beveiligingsmaatregelen. Wij hebben aan de hand van de privacyrisico's van het soort persoonsgegevens dat we verwerken (als omschreven in artikel 4) onze beveiliging afgestemd. Indien u een ander soort gegevens vastlegt kunnen wij niet garanderen dat onze veiligheidsmaatregelen daarvoor voldoende zijn.
3. U moet uw account zo goed mogelijk beveiligen. U draagt de verantwoordelijkheid om de extra beveiligingsmaatregelen die wij aanbieden in te stellen. Voorbeelden daarvan zijn : tweestapsverificatie, toegangsrechten voor uw medewerkers, het deactiveren van logincookies en een sterk wachtwoord.
Indien u aan deze eisen niet voldoet en anderen stellen ons aansprakelijk voor hierdoor ontstane, dan stelt u ons schadeloos en vrijwaart u ons voor die aansprakelijkheid.
Volgens de wet zijn wij niet aansprakelijk voor schade als we kunnen bewijzen dat we voldoende technische en organisatorische beveiligingsmaatregelen hebben genomen.
Zijn we wel aansprakelijk, dan is deze aansprakelijkheid beperkt. Daarvoor gelden de afspraken die staan in onze algemene voorwaarden voor het gebruik van Factuurdesk.
7 Toepasselijk recht
Op deze verwerkersovereenkomst en op alle geschillen die daaruit mogen voortvloeien of daarmee mogen samenhangen, is het Nederlands recht van toepassing.
Alle geschillen, die tussen u en ons mochten ontstaan in verband met de Verwerkersovereenkomst, zullen worden voorgelegd aan de bevoegde rechter in het arrondissement waarin wij zijn gevestigd.
Verwerkersovereenkomst 1.0
