Verwerkersovereenkomst

Deze verwerkersovereenkomst is gesloten tussen [naam van je bureau], [adres], KvK [KvK-nummer], btw [btw-nummer] — hierna "jij" — en Incipto B.V., Keizersgracht 123, 1015 CJ Amsterdam, Nederland, KvK 00000000 — hierna "wij".

Jij bepaalt wat er met de gegevens van jouw klanten gebeurt en bent daarmee verwerkingsverantwoordelijke. Wij verwerken die gegevens uitsluitend voor jou en zijn verwerker. Over je eigen accountgegevens — je naam, je adres, je facturen aan ons — zijn wij zelf verwerkingsverantwoordelijke; daarvoor geldt onze privacyverklaring en niet deze overeenkomst.

Deze overeenkomst hoort bij de gebruiksovereenkomst voor Incipto. Waar de twee elkaar tegenspreken op het punt van persoonsgegevens, geldt deze.

Wij verwerken de gegevens alleen om de dienst aan jou te leveren en alleen op jouw instructie. Deze overeenkomst, samen met wat je in het product aan- en uitzet, ís die instructie.

Wij gebruiken de gegevens niet voor onszelf: niet om iets aan jouw klanten te verkopen, niet om modellen te trainen, en niet om ze aan een derde te verkopen of te verhuren. Nooit.

• Wij nemen zelf geen contact op met jouw klanten. De mail die zij krijgen is jouw mail, vanaf jouw afzenderadres.
• Wij kijken niet in je documenten, behalve wanneer jij ons om hulp vraagt en alleen zolang dat duurt.
• Vinden wij dat een instructie van jou in strijd is met de wet, dan zeggen we dat en voeren we hem niet uit.

Wat je zelf in het product zet en wat jouw klanten in hun portaal invullen. Wij bepalen dat niet; jij bepaalt dat.

Zolang je account bestaat, tenzij jij het eerder weggooit. Verwijder je iets in het product, dan is het bij ons ook weg — niet in een prullenbak die maanden vol blijft staan.

Hef je je account op, dan gaan alle gegevens dertig dagen later weg. Die dertig dagen zijn er om je te beschermen tegen een misklik en om je de tijd te geven je administratie te downloaden. Daarna is het onherroepelijk: ook wij kunnen er dan niet meer bij.

Wat wij daarna nog houden is één regel met jouw factuurgegevens — naam, adres, KvK, btw-nummer — omdat op onze eigen facturen aan jou een bewaarplicht van zeven jaar zit. Daar staan geen gegevens van jouw klanten in.

Wij nemen passende technische en organisatorische maatregelen. Concreet is dat het volgende, en niet een verwijzing naar een beleidsstuk dat je nooit ziet.

• Versleuteld onderweg (TLS) en versleuteld waar het staat, inclusief de back-ups.
• Sleutels die jij ons geeft voor je eigen betaal- of boekhoudaccount staan apart en versleuteld met een sleutel die niet in de database staat.
• Inloggen gaat zonder wachtwoord, met een code per e-mail die één keer werkt en na korte tijd verloopt. Er is dus geen wachtwoordenbestand om te stelen.
• Toegang bij ons is beperkt tot de mensen die het nodig hebben, en wat er in het product gebeurt wordt vastgelegd met de persoon erbij.
• Gegevens van verschillende bureaus staan gescheiden en elke opvraag is gebonden aan het account dat hem doet.
• Een klantportaal is bereikbaar via een lange, niet te raden link die bij één opdracht hoort en niets van een ander dossier laat zien.

Wij schakelen andere partijen in om de dienst te kunnen leveren. Dat zijn onze subverwerkers, en dit zijn ze allemaal.

Willen we iemand aan die lijst toevoegen of vervangen, dan laten we het je dertig dagen vooraf weten op het e-mailadres van je account.

Heb je een gegronde reden om bezwaar te maken, dan kun je dat binnen die dertig dagen doen. Komen we er samen niet uit, dan mag je de overeenkomst opzeggen tegen de dag waarop de wijziging ingaat, zonder kosten en met je export in de hand.

Met elke subverwerker sluiten wij dezelfde verplichtingen als in deze overeenkomst staan. Gaat het bij hen mis, dan blijven wij jouw aanspreekpunt.

De databases, de bestanden en de back-ups staan in de Europese Unie, op servers in Frankfurt, Duitsland.

Wij zetten geen dienst in die je gegevens standaard buiten de EU brengt. Waar een leverancier een moedermaatschappij buiten de EU heeft, is de verwerking contractueel en technisch tot de EU beperkt.

Zou een doorgifte buiten de EU ooit nodig zijn, dan gebeurt dat niet zonder dat we het je vooraf melden en niet zonder een geldige grondslag daarvoor, zoals de standaardcontractbepalingen van de Europese Commissie.

Bij een inbreuk op de beveiliging die jouw gegevens raakt, laten we het je weten zonder onnodige vertraging en uiterlijk binnen 24 uur nadat wij het weten. Niet pas als het onderzoek klaar is.

Je hoort wat er is gebeurd, welke gegevens en welke betrokkenen het raakt, wat de vermoedelijke gevolgen zijn en wat wij eraan doen. Dat is precies wat jij nodig hebt om binnen jouw 72 uur je eigen melding bij de Autoriteit Persoonsgegevens te kunnen doen.

De melding bij de toezichthouder en aan jouw klanten is jouw beslissing, want jij bent verwerkingsverantwoordelijke. Wij melden niet in jouw naam, en we helpen je met alles wat je ervoor nodig hebt.

Vraagt iemand om inzage, correctie, verwijdering of overdracht, dan is dat jouw verzoek om te behandelen. Wij helpen je daarbij.

In de praktijk kun je het meeste zelf: je ziet elk dossier, je kunt het aanpassen, je kunt het verwijderen, en je kunt je hele administratie exporteren in csv en json. Daar heb je ons niet voor nodig en dus ook niet voor te wachten.

Komt een verzoek per ongeluk bij ons binnen, dan behandelen wij het niet zelf. We sturen het naar je door op het e-mailadres van je account en laten de betrokkene weten dat hij bij jou moet zijn.

Wij houden bij wat wij verwerken en kunnen dat aan je laten zien. Vraag je om de informatie die je nodig hebt om aan te tonen dat je dit deel van de AVG op orde hebt, dan krijg je die.

Wil je een audit laten uitvoeren, dan kan dat één keer per jaar, aangekondigd, door een onafhankelijke deskundige die een geheimhoudingsplicht aangaat. De kosten zijn voor jou, tenzij er iets uitkomt wat wij hadden moeten oplossen — dan zijn ze voor ons.

Iedereen bij ons die bij de gegevens kan, is tot geheimhouding verplicht, ook nadat het contract of het dienstverband is geëindigd.

Wij geven niets aan een overheid of derde partij, tenzij de wet ons daartoe verplicht. Mogen we je daarover informeren, dan doen we dat vooraf.

Eindigt de dienst, dan krijg je je gegevens in een gangbaar formaat mee. Dat kun je op elk moment zelf doen, ook nu al.

Daarna verwijderen wij ze volgens de termijn hierboven, inclusief de kopieën in de back-ups zodra die volgens hun eigen cyclus verlopen. Alleen wat wij wettelijk moeten bewaren blijft, en dat is beschreven bij 'Hoe lang het blijft staan'.

Deze overeenkomst geldt zolang wij gegevens voor jou verwerken en eindigt daarmee automatisch. De verplichtingen die naar hun aard doorlopen — geheimhouding, verwijdering — blijven daarna staan.

Voor aansprakelijkheid geldt wat er in de gebruiksovereenkomst staat. Een boete die een toezichthouder oplegt vanwege iets wat aan ons te wijten is, valt niet onder die beperking.

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de bevoegde rechter in Amsterdam.

Over deze overeenkomst en over privacy in het algemeen: privacy@incipto.com. Er zit een mens aan deze kant, en je krijgt antwoord van iemand die het product kent.