Verwerkersovereenkomst

Partijen

1. De Klant, de organisatie die FactuurManager gebruikt, als verwerkingsverantwoordelijke, vertegenwoordigd door de eigenaar die deze overeenkomst in FactuurManager ondertekent.
2. Onair ("FactuurManager"), [adres], [postcode] [plaats], KvK [KvK-nummer], als verwerker.

Deze overeenkomst hoort bij de algemene voorwaarden van FactuurManager en voldoet aan artikel 28 van de Algemene verordening gegevensbescherming (AVG). Begrippen als persoonsgegevens, verwerking, betrokkene en inbreuk op de beveiliging betekenen wat de AVG eronder verstaat.

Artikel 1. Onderwerp

1. FactuurManager verwerkt persoonsgegevens voor de Klant om FactuurManager en wat erbij hoort te leveren: klanten en leveranciers bijhouden, offertes en facturen maken en versturen, en ingekomen facturen verwerken.
2. Welke gegevens, van wie en waarvoor, staat in bijlage 1.
3. De Klant bepaalt het doel en de middelen. Hij staat ervoor in dat hij een grondslag heeft voor de verwerking en dat hij de betrokkenen informeert, bijvoorbeeld met een privacyverklaring op zijn website.

Artikel 2. Instructies

1. FactuurManager verwerkt de gegevens alleen in opdracht van de Klant. Die opdracht bestaat uit deze overeenkomst en de instellingen en handelingen van de Klant in FactuurManager.
2. FactuurManager verwerkt de gegevens niet voor eigen doeleinden. Statistieken over het gebruik van FactuurManager zelf, zonder herleidbare persoonsgegevens van de klanten en leveranciers van de Klant, vallen daar niet onder.
3. Vindt FactuurManager een instructie in strijd met de AVG, dan meldt zij dat direct aan de Klant.
4. Moet FactuurManager gegevens afgeven op grond van de wet, dan meldt zij dat vooraf aan de Klant, tenzij de wet dat verbiedt.

Artikel 3. Geheimhouding

Iedereen die namens FactuurManager bij de gegevens kan, is tot geheimhouding verplicht en kan er alleen bij voor zover het werk dat vraagt.

Artikel 4. Beveiliging

1. FactuurManager neemt passende technische en organisatorische maatregelen tegen verlies en onrechtmatige verwerking. Bijlage 2 beschrijft ze.
2. FactuurManager mag de maatregelen aanpassen, zolang het niveau van beveiliging niet daalt.

Artikel 5. Subverwerkers

1. De Klant geeft FactuurManager algemene toestemming om subverwerkers in te schakelen. De subverwerkers op de ingangsdatum staan in bijlage 3.
2. FactuurManager meldt een nieuwe of andere subverwerker ten minste dertig dagen vooraf. De Klant mag daar binnen die termijn met redenen bezwaar tegen maken; komen partijen er niet uit, dan mag de Klant de overeenkomst opzeggen tegen de datum van de wijziging.
3. FactuurManager legt subverwerkers ten minste dezelfde plichten op als in deze overeenkomst en blijft tegenover de Klant verantwoordelijk voor hen.

Artikel 6. Doorgifte buiten de EER

FactuurManager verwerkt de gegevens in de Europese Economische Ruimte. Gaan gegevens toch daarbuiten, zoals bij een subverwerker buiten de EU, dan alleen met passende waarborgen: een adequaatheidsbesluit, zoals het EU-VS Data Privacy Framework, of de standaardcontractbepalingen van de Europese Commissie.

Artikel 7. Rechten van betrokkenen

1. FactuurManager laat de Klant zelf gegevens inzien, wijzigen en verwijderen, voor zover wettelijke bewaarplichten dat toelaten.
2. Waar dat niet volstaat, helpt FactuurManager de Klant binnen redelijke grenzen bij verzoeken van betrokkenen. Krijgt FactuurManager zelf een verzoek, dan stuurt zij het door naar de Klant.

Artikel 8. Inbreuken op de beveiliging

1. FactuurManager meldt een inbreuk op de beveiliging die de gegevens van de Klant raakt zonder onredelijke vertraging, en zo mogelijk binnen 48 uur na ontdekking, aan de eigenaren van de Klant.
2. De melding beschrijft wat er gebeurd is, welke gegevens en hoeveel betrokkenen het naar verwachting raakt, wat de gevolgen zijn en welke maatregelen FactuurManager neemt.
3. De Klant beslist of hij de inbreuk meldt bij de Autoriteit Persoonsgegevens en de betrokkenen. FactuurManager helpt daarbij.

Artikel 9. Bijstand en controle

1. FactuurManager helpt de Klant bij een gegevensbeschermingseffectbeoordeling en een voorafgaande raadpleging, voor zover die over de Dienst gaan.
2. FactuurManager geeft de Klant de informatie die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd. Een audit door een onafhankelijke deskundige is mogelijk na overleg, ten hoogste eens per jaar en op kosten van de Klant, tenzij de audit een tekortkoming van FactuurManager aan het licht brengt.

Artikel 10. Duur en einde

1. Deze overeenkomst loopt zolang FactuurManager voor de Klant gegevens verwerkt.
2. Na het einde van de dienstverlening geeft FactuurManager op verzoek van de Klant binnen dertig dagen een export van de gegevens, en verwijdert zij daarna alle gegevens, ook uit de reservekopieën binnen dertig dagen daarna, tenzij de wet bewaren verplicht.

Artikel 11. Aansprakelijkheid

Voor de aansprakelijkheid geldt wat de algemene voorwaarden bepalen. Een boete of schade die het gevolg is van het handelen van een partij in strijd met de AVG, komt voor rekening van die partij.

Artikel 12. Slot

1. Gaat deze overeenkomst iets anders zeggen dan de algemene voorwaarden, dan gaat deze overeenkomst voor wat persoonsgegevens betreft.
2. Op deze overeenkomst is Nederlands recht van toepassing.
3. De overeenkomst wordt elektronisch ondertekend in FactuurManager. FactuurManager legt daarbij vast wie tekent, met welke functie, wanneer, vanaf welk IP-adres en welke versie van de tekst, met een vingerafdruk (SHA-256) van die tekst. Beide partijen erkennen die ondertekening als rechtsgeldig.

Bijlage 1. Gegevens, betrokkenen en doelen

Betrokkenen	Gegevens	Doel
Klanten en hun contactpersonen	Naam, adres, e-mailadres, telefoonnummer, btw- en KvK-nummer, offertes, facturen en betalingen	Offertes en facturen maken, versturen en opvolgen
Leveranciers en hun contactpersonen	Naam, adres, e-mailadres, bankrekeningnummer, btw- en KvK-nummer, ingekomen facturen en de mails waarmee ze binnenkwamen	Ingekomen facturen verwerken

Bijzondere persoonsgegevens worden niet verwerkt, tenzij de Klant ze zelf op een factuur of in een bijlage zet.

Bijlage 2. Beveiligingsmaatregelen

• Alle verbindingen gaan over TLS, met HSTS en beveiligingsheaders.
• Inloggen in FactuurManager met wachtwoord, tweestapsverificatie of passkeys.
• Wachtwoorden en tokens worden alleen als hash opgeslagen. Geheimen van de applicatie staan in een aparte kluis (OpenBao).
• Elke organisatie ziet alleen haar eigen gegevens; rechten binnen een organisatie lopen via groepen.
• De server staat achter een firewall die alleen de nodige poorten openzet.
• Elke nacht een versleutelde reservekopie van de database, de kluis en de bestanden op een tweede locatie in Nederland, dertig dagen bewaard.
• Logboeken en monitoring van de server en de applicatie, met een beperkte bewaartermijn.
• Inloggen als gebruiker door platformbeheer wordt vastgelegd en is zichtbaar.

Bijlage 3. Subverwerkers

Subverwerker	Wat	Waar
netcup GmbH	Hosting van de server	Duitsland (EU)
TransIP B.V.	Versleutelde reservekopieën (STACK) en domeinregistratie	Nederland
Grafana Labs	Monitoring en logboeken	EU