Verwerkersovereenkomst

ProFaktura · versie 1.3, geldig vanaf 2 oktober 2026 (artikel 6: Google en Apple - pushmeldingen in gebruik sinds 24 september 2026 en versleutelde back-ups, ontvangers in jouw opdracht: Exact Online, mailboxen van boekhoudprogramma's, VIES; artikel 7: doorgifte buiten de EER; artikel 2 en 10 - sinds versie 1.2: bewaartermijn en verwijdering zoals het programma werkt; Mollie als subverwerker - sinds versie 1.1) · Poolse versie

1. Partijen

Verwerkingsverantwoordelijke: de gebruiker van ProFaktura - de ondernemer die in het programma zijn eigen administratie voert (hierna „Verantwoordelijke", „jij").

Verwerker: Look Arts Vision, handelend onder de handelsnaam ProFaktura.nl, Culemborg, Nederland, KVK 81661851 (volledige gegevens: algemene voorwaarden) (hierna „Verwerker", „wij").

2. Onderwerp en duur

1. Wij verwerken persoonsgegevens uitsluitend om de Dienst te leveren zoals beschreven in de algemene voorwaarden: het voeren van jouw administratie, het opstellen en bewaren van documenten, het verzenden daarvan aan de door jou aangewezen ontvangers en het beschikbaar stellen van exports.
2. De verwerking duurt zolang je een account in de Dienst hebt en eindigt wanneer je dat account verwijdert (artikel 10).
3. Wij verwerken de toevertrouwde gegevens niet voor eigen doeleinden, profileren ze niet en gebruiken ze niet om modellen te trainen.

3. Soorten gegevens en betrokkenen

Wij verwachten geen bijzondere categorieën persoonsgegevens (art. 9 AVG) en geen BSN. Neem die niet op in documenten; doe je dat toch, dan ben jij verantwoordelijk voor de grondslag van die verwerking.

4. Onze verplichtingen

1. Wij verwerken uitsluitend op jouw gedocumenteerde instructie. Die instructie bestaat uit: de algemene voorwaarden, deze overeenkomst en jouw handelingen in het programma (bijvoorbeeld een document uitgeven, per e-mail verzenden, de bonscanner starten).
2. Wij waarborgen vertrouwelijkheid - toegang hebben uitsluitend personen voor wie dat noodzakelijk is en die tot geheimhouding zijn gehouden.
3. Wij nemen passende technische en organisatorische maatregelen (artikel 5, art. 32 AVG).
4. Wij helpen je te voldoen aan je verplichtingen tegenover betrokkenen en - waar nodig - bij een gegevensbeschermingseffectbeoordeling en contacten met de toezichthouder.
5. Wij melden het je als een instructie naar onze mening in strijd is met de privacyregels.

5. Beveiligingsmaatregelen (art. 32 AVG)

1. Versleutelde transmissie (HTTPS/TLS); servers in Nederland (EU).
2. Scheiding van gegevens op account- en administratieniveau - documenten en klanten van de ene onderneming zijn niet toegankelijk vanuit een andere.
3. Authenticatie: wachtwoorden als cryptografische hash (scrypt), sessies als tokenhash, beperking van inlogpogingen, optioneel inloggen met Google/Apple.
4. Onveranderlijkheid: een uitgegeven factuur wordt vastgelegd als onveranderlijke PDF met SHA-256-controlesom, die bij elke uitgifte van het bestand wordt gecontroleerd; correcties uitsluitend via creditnota.
5. Auditlog: uitgifte, statuswijziging, verzending, correctie en verwijdering van documenten worden vastgelegd (wie, wanneer, IP-adres).
6. Dagelijkse back-ups buiten de productieserver, met geteste restore.
7. Dataminimalisatie: wij verzamelen niets wat voor het document niet nodig is; kaartgegevens bewaren wij in het geheel niet.

6. Subverwerkers

Je geeft algemene toestemming voor de inzet van onderstaande subverwerkers. Met elk van hen hebben wij de vereiste verwerkersovereenkomst gesloten:

Ontvangers in jouw opdracht (geen subverwerkers van ons - gegevens gaan erheen omdat jij dat zo beslist): Exact Online (Exact Group B.V., Nederland) - als je je administratie aan Exact koppelt, sturen we factuurgegevens (afnemer, regels, bedragen, pdf) naar de gekozen administratie, waar je boekhouder of jijzelf ze verder verwerkt op basis van de overeenkomst met Exact; mailboxen van boekhoudprogramma's (zoals Exact, e-Boekhouden, Moneybird) - als je hun adres opgeeft; het VIES-systeem van de Europese Commissie - bij een intracommunautaire factuur (ICP) kunnen we daarin het btw-nummer van de afnemer controleren.

Een voorgenomen wijziging of toevoeging van een subverwerker melden wij ten minste 30 dagen vooraf (in het programma of per e-mail). Je mag gemotiveerd bezwaar maken; vinden wij geen oplossing, dan mag je de overeenkomst kosteloos beëindigen vóór de wijziging ingaat.

7. Doorgifte buiten de EER

Toevertrouwde gegevens verwerken wij binnen de Europese Unie. Uitzonderingen: (1) de optionele functies voor het uitlezen van bonnen en ritten, die je bewust start - dan gaan gegevens naar OpenAI op basis van de standaardcontractbepalingen (SCC) van de Europese Commissie, met bijbehorende risicobeoordeling; (2) pushmeldingen, als je die aanzet - Google of Apple kunnen de inhoud van de melding in de VS verwerken op basis van het EU-US Data Privacy Framework of SCC; (3) back-ups op Google Drive - die verlaten onze server alleen versleuteld (AES-256) met een sleutel die Google niet heeft. Gebruik je de functies (1) en (2) niet, dan verlaten toevertrouwde gegevens de EER niet in leesbare vorm.

8. Datalekken

1. Een datalek met betrekking tot toevertrouwde gegevens melden wij zonder onnodige vertraging, uiterlijk binnen 24 uur na ontdekking - per e-mail aan het adres van jouw account.
2. Wij verstrekken de ons bekende informatie: aard van het lek, categorieën en geschatte aantallen betrokkenen en records, waarschijnlijke gevolgen en getroffen maatregelen - zodat jij de meldplicht bij de Autoriteit Persoonsgegevens kunt beoordelen (art. 33 AVG).
3. De melding aan de toezichthouder en het eventueel informeren van betrokkenen blijft de verplichting van de Verantwoordelijke; wij ondersteunen je daarbij.

9. Rechten van betrokkenen

Wendt een betrokkene (bijvoorbeeld jouw klant) zich direct tot ons met een verzoek om inzage, rectificatie of verwijdering, dan sturen wij dat naar jou door en beantwoorden het - tenzij de wet anders bepaalt - niet zelf inhoudelijk. De functies in het programma (klant bewerken, exporteren, verwijderen) stellen je in staat zulke verzoeken zelf uit te voeren; op verzoek bieden wij aanvullende technische hulp.

10. Einde en verwijdering

1. Zolang je account bestaat, bewaren wij je administratie zonder tijdslimiet - ook na afloop van je abonnement - en kun je die op elk moment exporteren: losse bestanden (PDF, CSV, UBL/XML) of alles in één ZIP-archief. Daarvoor rekenen wij niets.
2. De fiscale bewaarplicht (in beginsel 7 jaar) rust op jou als verwerkingsverantwoordelijke. Het verwijderen van je account geldt als jouw instructie om de toevertrouwde gegevens te verwijderen: wij verwijderen ze dan volledig en houden daarvan geen kopie in het programma - download daarom eerst je archief.
3. Back-ups roteren volgens het privacybeleid; gegevens van een verwijderd account worden daaruit niet terug in productie gezet.

11. Audit en aantoonbaarheid

Op gemotiveerd verzoek verstrekken wij de informatie die nodig is om naleving van deze overeenkomst aan te tonen (beschrijving van beveiligingsmaatregelen, lijst van subverwerkers, procedure bij datalekken). Een audit op locatie is mogelijk na afspraak, maximaal eenmaal per jaar, op kosten van de Verantwoordelijke, tenzij de audit wezenlijke tekortkomingen aantoont.

12. Aansprakelijkheid en slotbepalingen

1. Voor aansprakelijkheid gelden de beperkingen uit artikel 10 van de algemene voorwaarden, tenzij de privacyregels anders bepalen.
2. Bij tegenstrijdigheid tussen de algemene voorwaarden en deze overeenkomst prevaleert voor de verwerking van persoonsgegevens deze overeenkomst.
3. Op deze overeenkomst is Nederlands recht van toepassing. Bij verschil in taalversies is deze Nederlandse versie bindend.
4. Contact over deze overeenkomst: info@profaktura.nl.