Verwerkersovereenkomst

Verwerkingsverantwoordelijke: de Klant van de Kontevia-dienst, een bedrijf of zelfstandige die persoonsgegevens verwerkt die zijn opgenomen in zijn boekhoudkundige documenten en andere aan de Dienst verstrekte gegevens.

Verwerker: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, Tsjechië, bedrijfsnummer 22103741, ingeschreven in het handelsregister bijgehouden door de gemeentelijke rechtbank in Praag, dossiernr. C 410771. Contact voor gegevensbescherming: hello@kontevia.com.

1.1. Deze Overeenkomst regelt de rechten en verplichtingen van de partijen wanneer de Verwerker persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke bij de levering van de Kontevia-dienst (de "Dienst").

1.2. Deze Overeenkomst maakt integraal deel uit van de Algemene Voorwaarden en treedt in werking zodra de Verwerkingsverantwoordelijke zich voor de Dienst registreert. Zij geldt zolang de Verwerker persoonsgegevens verwerkt voor de Verwerkingsverantwoordelijke.

2.1. De Verwerker verwerkt persoonsgegevens uitsluitend met het oog op de levering van de Dienst, namelijk:

• ontvangst en digitalisering van boekhoudkundige documenten die via chat, e-mail of upload worden ingediend;
• extractie van gegevens uit documenten met behulp van optische tekenherkenning en geautomatiseerde extractiemodellen;
• categorisering, dubbelledetectie en voorstellen voor btw-behandeling;
• opstellen van facturen en andere documenten op instructie van de Verwerkingsverantwoordelijke;
• import van banktransacties die de Verwerkingsverantwoordelijke koppelt en het matchen daarvan met documenten;
• opstellen van overzichten, rapporten en exports naar het boekhoudsysteem of de adviseur van de Verwerkingsverantwoordelijke;
• opslag van documenten en gegevens binnen de Dienst voor de duur van de overeenkomst en de exportperiode.

2.2. De Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijk vastgelegde instructies van de Verwerkingsverantwoordelijke, met inbegrip van instructies inzake doorgiften aan derde landen, tenzij hij daartoe verplicht is op grond van Unierecht of het recht van een lidstaat; in dat geval informeert de Verwerker de Verwerkingsverantwoordelijke voorafgaand aan de verwerking, tenzij dit bij wet is verboden.

3.1. Betrokkenen: de zakelijke partners van de Verwerkingsverantwoordelijke (leveranciers, klanten, contactpersonen), de werknemers en contractanten van de Verwerkingsverantwoordelijke wanneer loon- of onkostendocumenten worden verwerkt, en de eigen gebruikers van de Dienst van de Verwerkingsverantwoordelijke.

3.2. Categorieën van persoonsgegevens: identificatiegegevens (naam, bedrijf, ondernemings- en btw-identificatienummers); contactgegevens (adres, e-mail, telefoon); financiële gegevens (gefactureerde bedragen, bankrekeningnummers, betalingsreferenties); arbeidsgegevens wanneer looncomponenten worden ingediend (functietitel, salaris, verzekeringsidentificatie); gebruiksgegevens van de gebruikers van de Verwerkingsverantwoordelijke.

3.3. De Verwerker heeft geen bijzondere categorieën van gegevens in de zin van Artikel 9 AVG nodig. De Verwerkingsverantwoordelijke verbindt zich ertoe dergelijke gegevens niet via de Dienst in te dienen, tenzij deze zijn opgenomen in een document dat de Verwerkingsverantwoordelijke wettelijk verplicht is te bewaren; in dat geval is de Verwerkingsverantwoordelijke verantwoordelijk voor de rechtsgrond.

De Verwerker verbindt zich ertoe:

• persoonsgegevens uitsluitend op basis van schriftelijk vastgelegde instructies van de Verwerkingsverantwoordelijke en alleen voor zover noodzakelijk voor de Dienst te verwerken;
• ervoor te zorgen dat personen die gemachtigd zijn persoonsgegevens te verwerken, zich tot vertrouwelijkheid hebben verbonden of aan een passende wettelijke geheimhoudingsplicht zijn onderworpen;
• de technische en organisatorische maatregelen te implementeren die vereist zijn op grond van Artikel 32 AVG, in het bijzonder de maatregelen genoemd in de bijlage bij deze Overeenkomst;
• geen andere verwerker in te schakelen zonder voorafgaande algemene schriftelijke toestemming van de Verwerkingsverantwoordelijke, welke de Verwerkingsverantwoordelijke verleent op grond van Artikel 6 van deze Overeenkomst;
• rekening houdend met de aard van de verwerking, de Verwerkingsverantwoordelijke door passende technische en organisatorische maatregelen bij te staan bij het beantwoorden van verzoeken van betrokkenen die hun rechten uitoefenen;
• de Verwerkingsverantwoordelijke bij te staan om naleving van Artikelen 32 tot en met 36 AVG te waarborgen (beveiliging, meldingsplicht bij inbreuken, gegevensbeschermingseffectbeoordeling, voorafgaande raadpleging), rekening houdend met de aard van de verwerking en de informatie waarover de Verwerker beschikt;
• naar keuze van de Verwerkingsverantwoordelijke, alle persoonsgegevens na afloop van de levering van de Dienst te wissen of terug te bezorgen en bestaande kopieën te verwijderen, tenzij Unierecht of het recht van een lidstaat opslag vereist;
• alle informatie die nodig is om naleving van Artikel 28 AVG aan te tonen aan de Verwerkingsverantwoordelijke ter beschikking te stellen en audits, met inbegrip van inspecties, die door de Verwerkingsverantwoordelijke of een door de Verwerkingsverantwoordelijke gemachtigde auditor worden uitgevoerd, mogelijk te maken en eraan bij te dragen;
• de Verwerkingsverantwoordelijke onmiddellijk te informeren indien, naar zijn mening, een instructie in strijd is met de AVG of andere bepalingen inzake gegevensbescherming van de Unie of van een lidstaat.

5.1. De Verwerker meldt elke inbreuk in verband met persoonsgegevens aan de Verwerkingsverantwoordelijke zonder onnodige vertraging en uiterlijk 48 uur nadat hij daarvan kennis heeft genomen.

5.2. De melding bevat ten minste: een beschrijving van de aard van de inbreuk, met inbegrip van, indien mogelijk, de categorieën en het geschatte aantal betrokkenen en gegevens die het betreft; de naam en contactgegevens van de verantwoordelijke persoon; een beschrijving van de te verwachten gevolgen; en een beschrijving van de genomen of voorgestelde maatregelen om de inbreuk aan te pakken en de gevolgen ervan te beperken.

5.3. De Verwerker werkt met de Verwerkingsverantwoordelijke samen om diens meldingsplichten jegens de bevoegde toezichthoudende autoriteit en de betrokkenen na te komen.

6.1. De Verwerkingsverantwoordelijke verleent een algemene toestemming aan de Verwerker om subverwerkers in te schakelen voor de verwerking van persoonsgegevens.

6.2. De actuele lijst van subverwerkers, met het doel en de locatie van elk, wordt gepubliceerd op de pagina Subverwerkers van de website van de Verwerker en vormt een bijlage bij deze Overeenkomst.

6.3. De Verwerker informeert de Verwerkingsverantwoordelijke ten minste 14 dagen voordat een subverwerker wordt toegevoegd of vervangen, per e-mail naar het contactadres van de Verwerkingsverantwoordelijke of via een melding in de Dienst, zodat de Verwerkingsverantwoordelijke de gelegenheid krijgt bezwaar te maken.

6.4. Indien de Verwerkingsverantwoordelijke binnen 14 dagen na de melding een gegrond bezwaar maakt, ziet de Verwerker af van de voorgenomen wijziging of biedt hij de Verwerkingsverantwoordelijke de mogelijkheid om de overeenkomst zonder boete te beëindigen, met terugbetaling van vooruitbetaalde kosten voor de niet-gebruikte periode.

6.5. De Verwerker legt aan elke subverwerker, contractueel, dezelfde verplichtingen inzake gegevensbescherming op als vastgelegd in deze Overeenkomst, in het bijzonder voldoende garanties voor de implementatie van passende technische en organisatorische maatregelen. Indien een subverwerker zijn verplichtingen niet nakomt, blijft de Verwerker volledig aansprakelijk jegens de Verwerkingsverantwoordelijke voor de naleving van de verplichtingen van die subverwerker.

7.1. Persoonsgegevens worden opgeslagen op servers die zich in de Europese Unie bevinden. De Verwerker geeft persoonsgegevens niet door buiten de Europese Economische Ruimte, behalve aan subverwerkers die op de pagina Subverwerkers worden vermeld en uitsluitend met passende waarborgen onder Hoofdstuk V AVG.

7.2. Dergelijke doorgiften zijn gebaseerd op een adequaatheidsbesluit van de Europese Commissie (met inbegrip van het EU-VS Data Privacy Framework voor gecertificeerde ontvangers), de door de Commissie vastgestelde standaardcontractbepalingen op grond van Artikel 46, lid 2, onder c, AVG, of andere passende waarborgen, aangevuld met bijkomende maatregelen indien een transfer impact assessment deze vereist.

8.1. De Verwerker biedt de Verwerkingsverantwoordelijke redelijke bijstand bij het afhandelen van verzoeken van betrokkenen die hun rechten uitoefenen op grond van Artikelen 15 tot en met 22 AVG (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar). De Dienst bevat zoek-, export- en verwijderingsfuncties waarmee de Verwerkingsverantwoordelijke de meeste verzoeken rechtstreeks kan afhandelen.

8.2. Indien een betrokkene rechtstreeks contact opneemt met de Verwerker, verwijst de Verwerker de betrokkene zonder onnodige vertraging door naar de Verwerkingsverantwoordelijke en informeert hij de Verwerkingsverantwoordelijke, tenzij het verzoek betrekking heeft op gegevens waarvoor de Verwerker zelf de verwerkingsverantwoordelijke is.

9.1. De Verwerker staat de Verwerkingsverantwoordelijke of een door de Verwerkingsverantwoordelijke gemachtigde auditor toe audits en inspecties uit te voeren om naleving van deze Overeenkomst en van de AVG te controleren.

9.2. Audits worden uitgevoerd op kosten van de Verwerkingsverantwoordelijke, met een redelijke voorafgaande kennisgeving van ten minste 14 werkdagen, tijdens kantooruren en op een wijze die de bedrijfsvoering van de Verwerker niet verstoort en de beveiliging van gegevens van andere klanten niet in gevaar brengt. De auditor moet gebonden zijn aan geheimhouding.

9.3. In plaats van een audit ter plaatse kan de Verwerker actuele certificaten, rapporten van onafhankelijke auditors of andere documentatie verstrekken waaruit naleving van de beveiligingsmaatregelen blijkt, indien deze voldoende zijn om de vragen van de Verwerkingsverantwoordelijke te beantwoorden.

10.1. Deze Overeenkomst geldt voor de duur van de contractuele relatie tussen de Verwerkingsverantwoordelijke en de Verwerker, dat wil zeggen zolang de Verwerkingsverantwoordelijke de Dienst gebruikt.

10.2. Na afloop van de contractuele relatie: staat de Verwerker de Verwerkingsverantwoordelijke toe zijn gegevens gedurende 90 dagen te exporteren; wist hij na afloop van deze periode van 90 dagen onherroepelijk alle persoonsgegevens van de Verwerkingsverantwoordelijke; verwijdert hij back-upkopieën uiterlijk 45 dagen na verwijdering van de primaire gegevens; en bevestigt hij de verwijdering op verzoek van de Verwerkingsverantwoordelijke. Gegevens die de Verwerker op grond van Unierecht of het recht van een lidstaat moet bewaren (in het bijzonder factureringsgegevens) zijn hiervan uitgesloten.

10.3. De verplichtingen van deze Overeenkomst, in het bijzonder inzake vertrouwelijkheid en beveiliging, blijven na afloop van de contractuele relatie van kracht zolang de Verwerker nog persoonsgegevens van de Verwerkingsverantwoordelijke bewaart.

11.1. De Verwerker is aansprakelijk voor schade veroorzaakt door verwerking in strijd met deze Overeenkomst of de AVG overeenkomstig Artikel 82 AVG, in het bijzonder indien hij niet heeft voldaan aan de verplichtingen van de AVG die specifiek voor verwerkers gelden of heeft gehandeld buiten of in strijd met rechtmatige instructies van de Verwerkingsverantwoordelijke.

11.2. De aansprakelijkheidsbeperkingen in de Algemene Voorwaarden zijn, voor zover wettelijk toegestaan, van toepassing op deze Overeenkomst; zij beperken de rechten van betrokkenen niet.

12.1. Deze Overeenkomst wordt beheerst door het recht van Tsjechië en het rechtstreeks toepasselijke recht van de Europese Unie, in het bijzonder de AVG.

12.2. In geval van tegenstrijdigheid tussen deze Overeenkomst en de Algemene Voorwaarden, prevaleert deze Overeenkomst op het gebied van bescherming van persoonsgegevens.

12.3. Wijzigingen van deze Overeenkomst vereisen een schriftelijke vorm, waaronder een bijgewerkte versie die op de website wordt gepubliceerd en aan de Verwerkingsverantwoordelijke wordt meegedeeld conform de Algemene Voorwaarden.

12.4. Geschillen die voortvloeien uit deze Overeenkomst worden beslecht door de rechtbanken van Tsjechië die bevoegd zijn op basis van de zetel van de Verwerker, onverminderd de rechten van betrokkenen en toezichthoudende autoriteiten.

Encryptie

• AES-256-versleuteling van gegevens in rust, inclusief back-ups.
• TLS 1.2 of hoger voor alle gegevens onderweg, inclusief verbindingen met subverwerkers.

Toegangscontrole

• Toegang volgens het principe van minimale rechten; elke medewerker en elk systeem heeft alleen de rechten die nodig zijn voor zijn rol.
• Multifactorauthenticatie voor administratieve en infrastructuurtoegang.
• Scheiding van werkruimtes van klanten op applicatie- en databaseniveau.
• Regelmatige controle en snelle intrekking van toegangsrechten.

Beschikbaarheid en veerkracht

• Regelmatige geautomatiseerde back-ups met geteste herstelprocedures.
• Redundante hostinginfrastructuur binnen de Europese Unie.
• Monitoring van beschikbaarheid en prestaties met alarmering.

Integriteit en logging

• Registratie van toegang tot persoonsgegevens en van administratieve handelingen.
• Audittrail voor documenten: wie ze heeft ingediend, gewijzigd, goedgekeurd of geëxporteerd en wanneer.
• Detectie van afwijkingen en beveiligingsincidenten.

Organisatorische maatregelen

• Geheimhoudingsverplichtingen voor alle medewerkers en contractanten met toegang tot persoonsgegevens.
• Training van medewerkers op het gebied van gegevensbescherming en beveiliging.
• Gedocumenteerde interne procedures voor de verwerking van persoonsgegevens en de afhandeling van verzoeken van betrokkenen.
• Incidentresponsplan met vastgestelde rollen en meldingstermijnen.
• Toetsing van nieuwe subverwerkers op het gebied van gegevensbescherming voorafgaand aan de inzet.