Verwerkersovereenkomst

ProFaktura · versie 1.0, geldig vanaf 10 augustus 2026 · Poolse versie

1. Partijen

Verwerkingsverantwoordelijke: de gebruiker van ProFaktura - de ondernemer die in het programma zijn eigen administratie voert (hierna „Verantwoordelijke", „jij").

Verwerker: Look Arts Vision, handelend onder de handelsnaam ProFaktura.nl, Akelei 76, 4102 JM Culemborg, Nederland, KVK 81661851 (hierna „Verwerker", „wij").

2. Onderwerp en duur

1. Wij verwerken persoonsgegevens uitsluitend om de Dienst te leveren zoals beschreven in de algemene voorwaarden: het voeren van jouw administratie, het opstellen en bewaren van documenten, het verzenden daarvan aan de door jou aangewezen ontvangers en het beschikbaar stellen van exports.
2. De verwerking duurt zolang je de Dienst gebruikt en daarna uitsluitend voor zover en zolang de bewaarplicht dat vereist (artikel 10).
3. Wij verwerken de toevertrouwde gegevens niet voor eigen doeleinden, profileren ze niet en gebruiken ze niet om modellen te trainen.

3. Soorten gegevens en betrokkenen

Wij verwachten geen bijzondere categorieën persoonsgegevens (art. 9 AVG) en geen BSN. Neem die niet op in documenten; doe je dat toch, dan ben jij verantwoordelijk voor de grondslag van die verwerking.

4. Onze verplichtingen

1. Wij verwerken uitsluitend op jouw gedocumenteerde instructie. Die instructie bestaat uit: de algemene voorwaarden, deze overeenkomst en jouw handelingen in het programma (bijvoorbeeld een document uitgeven, per e-mail verzenden, de bonscanner starten).
2. Wij waarborgen vertrouwelijkheid - toegang hebben uitsluitend personen voor wie dat noodzakelijk is en die tot geheimhouding zijn gehouden.
3. Wij nemen passende technische en organisatorische maatregelen (artikel 5, art. 32 AVG).
4. Wij helpen je te voldoen aan je verplichtingen tegenover betrokkenen en - waar nodig - bij een gegevensbeschermingseffectbeoordeling en contacten met de toezichthouder.
5. Wij melden het je als een instructie naar onze mening in strijd is met de privacyregels.

5. Beveiligingsmaatregelen (art. 32 AVG)

1. Versleutelde transmissie (HTTPS/TLS); servers in Nederland (EU).
2. Scheiding van gegevens op account- en administratieniveau - documenten en klanten van de ene onderneming zijn niet toegankelijk vanuit een andere.
3. Authenticatie: wachtwoorden als cryptografische hash (scrypt), sessies als tokenhash, beperking van inlogpogingen, optioneel inloggen met Google/Apple.
4. Onveranderlijkheid: een uitgegeven factuur wordt vastgelegd als onveranderlijke PDF met SHA-256-controlesom, die bij elke uitgifte van het bestand wordt gecontroleerd; correcties uitsluitend via creditnota.
5. Auditlog: uitgifte, statuswijziging, verzending, correctie en verwijdering van documenten worden vastgelegd (wie, wanneer, IP-adres).
6. Dagelijkse back-ups buiten de productieserver, met geteste restore.
7. Dataminimalisatie: wij verzamelen niets wat voor het document niet nodig is; kaartgegevens bewaren wij in het geheel niet.

6. Subverwerkers

Je geeft algemene toestemming voor de inzet van onderstaande subverwerkers. Met elk van hen hebben wij de vereiste verwerkersovereenkomst gesloten:

Een voorgenomen wijziging of toevoeging van een subverwerker melden wij ten minste 30 dagen vooraf (in het programma of per e-mail). Je mag gemotiveerd bezwaar maken; vinden wij geen oplossing, dan mag je de overeenkomst kosteloos beëindigen vóór de wijziging ingaat.

7. Doorgifte buiten de EER

Toevertrouwde gegevens verwerken wij binnen de Europese Unie. Uitzondering zijn uitsluitend de optionele functies uit artikel 6 (uitlezen van bonnen en ritten), die je bewust start - dan gaan gegevens naar OpenAI op basis van de standaardcontractbepalingen (SCC) van de Europese Commissie, met bijbehorende risicobeoordeling. Gebruik je deze functies niet, dan verlaten de toevertrouwde gegevens de EER niet.

8. Datalekken

1. Een datalek met betrekking tot toevertrouwde gegevens melden wij zonder onnodige vertraging, uiterlijk binnen 24 uur na ontdekking - per e-mail aan het adres van jouw account.
2. Wij verstrekken de ons bekende informatie: aard van het lek, categorieën en geschatte aantallen betrokkenen en records, waarschijnlijke gevolgen en getroffen maatregelen - zodat jij de meldplicht bij de Autoriteit Persoonsgegevens kunt beoordelen (art. 33 AVG).
3. De melding aan de toezichthouder en het eventueel informeren van betrokkenen blijft de verplichting van de Verantwoordelijke; wij ondersteunen je daarbij.

9. Rechten van betrokkenen

Wendt een betrokkene (bijvoorbeeld jouw klant) zich direct tot ons met een verzoek om inzage, rectificatie of verwijdering, dan sturen wij dat naar jou door en beantwoorden het - tenzij de wet anders bepaalt - niet zelf inhoudelijk. De functies in het programma (klant bewerken, exporteren, verwijderen) stellen je in staat zulke verzoeken zelf uit te voeren; op verzoek bieden wij aanvullende technische hulp.

10. Einde en verwijdering

1. Na beëindiging van het gebruik kun je op elk moment je volledige administratie exporteren (PDF, CSV, UBL/XML). Daarvoor rekenen wij niets.
2. Op jouw verzoek verwijderen wij de toevertrouwde gegevens - met uitzondering van documenten die wij of jij op grond van fiscale wetgeving moeten bewaren (in beginsel 7 jaar). In dat geval blijven de gegevens beveiligd en verwerken wij ze niet voor een ander doel dan die plicht.
3. Back-ups roteren volgens het privacybeleid; gegevens van een verwijderd account worden daaruit niet terug in productie gezet.

11. Audit en aantoonbaarheid

Op gemotiveerd verzoek verstrekken wij de informatie die nodig is om naleving van deze overeenkomst aan te tonen (beschrijving van beveiligingsmaatregelen, lijst van subverwerkers, procedure bij datalekken). Een audit op locatie is mogelijk na afspraak, maximaal eenmaal per jaar, op kosten van de Verantwoordelijke, tenzij de audit wezenlijke tekortkomingen aantoont.

12. Aansprakelijkheid en slotbepalingen

1. Voor aansprakelijkheid gelden de beperkingen uit artikel 10 van de algemene voorwaarden, tenzij de privacyregels anders bepalen.
2. Bij tegenstrijdigheid tussen de algemene voorwaarden en deze overeenkomst prevaleert voor de verwerking van persoonsgegevens deze overeenkomst.
3. Op deze overeenkomst is Nederlands recht van toepassing. Bij verschil in taalversies is deze Nederlandse versie bindend.
4. Contact over deze overeenkomst: info@profaktura.nl.