Verwerkersovereenkomst

1. Partijen en begrippen

Verwerker: Tas & Salturk Solutions V.O.F., Beukenlaan 23-029, 1701 DA Heerhugowaard, KVK 95679863.
Verwerkingsverantwoordelijke: de klant die een account voor TasFacturatie heeft (hierna: jij).

Begrippen als persoonsgegevens, verwerking, betrokkene, inbreuk in verband met persoonsgegevens (datalek) en subverwerker hebben de betekenis uit de Algemene Verordening Gegevensbescherming (AVG).

2. Onderwerp, aard en doel van de verwerking

Wij verwerken persoonsgegevens alleen om TasFacturatie aan jou te leveren: opslaan, tonen, berekenen, rapporteren, exporteren, versturen (bijvoorbeeld facturen, herinneringen en aangiftes, op jouw opdracht), inlezen van documenten in de Scanbox en ondersteuning bij gebruik en storingen.

Categorieën betrokkenen: klanten, leveranciers en andere relaties van jou en hun contactpersonen, jouw medewerkers, gebruikers van jouw account, en jijzelf als ondernemer.

Soorten persoonsgegevens: naam- en adresgegevens, e-mailadres en telefoonnummer, bedrijfsgegevens zoals KVK- en btw-nummer, IBAN en betaalgegevens, factuur- en boekingsgegevens, gegevens op ingelezen documenten, gewerkte uren en ritten, gegevens uit het loonjournaal, en log- en gebruiksgegevens.

TasFacturatie is niet bedoeld voor bijzondere persoonsgegevens (zoals gezondheidsgegevens) of strafrechtelijke gegevens. Zet je die er toch in, of een burgerservicenummer, dan ben jij ervoor verantwoordelijk dat je daarvoor een wettelijke grondslag hebt.

3. Alleen op jouw instructie

Wij verwerken de persoonsgegevens alleen op basis van jouw schriftelijke instructies. Het gebruik van het programma en de instellingen die je daarin kiest, gelden als instructie. Wij gebruiken de gegevens niet voor eigen doeleinden, verkopen ze niet en gebruiken ze niet om AI-modellen te trainen.

Moeten wij gegevens verstrekken omdat de wet ons dat verplicht, bijvoorbeeld op last van een rechter, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt.

Vinden wij een instructie in strijd met de AVG, dan melden we dat direct.

4. Geheimhouding

Iedereen die bij ons toegang heeft tot de gegevens, heeft een geheimhoudingsplicht. Toegang is beperkt tot de mensen die dat voor hun werk nodig hebben. We kijken alleen in een administratie als dat nodig is voor ondersteuning waar jij om vraagt, voor het oplossen van een storing of omdat de wet het vereist.

5. Beveiliging

Wij nemen passende technische en organisatorische maatregelen, rekening houdend met de stand van de techniek, de kosten en de risico's. De belangrijkste staan in bijlage 2. We evalueren die maatregelen regelmatig en verbeteren ze waar nodig.

6. Subverwerkers

Je geeft ons algemene toestemming om de subverwerkers uit bijlage 1 in te schakelen. Wij leggen hun dezelfde verplichtingen op als in deze overeenkomst staan en blijven tegenover jou verantwoordelijk voor hun werk.

Willen we een subverwerker toevoegen of vervangen, dan laten we je dat minimaal een maand vooraf weten. Heb je een gegronde reden om bezwaar te maken, dan zoeken we samen een oplossing. Lukt dat niet, dan kun je de overeenkomst kosteloos beëindigen voordat de wijziging ingaat.

7. Doorgifte buiten de EU

De gegevens worden opgeslagen in de EU. Een subverwerker verwerkt alleen gegevens buiten de Europese Economische Ruimte als daarvoor een passende waarborg geldt volgens hoofdstuk V van de AVG, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie. Bijlage 1 laat zien waar dat het geval is.

8. Rechten van betrokkenen

Vraagt iemand ons om inzage, correctie of verwijdering van gegevens in jouw administratie, dan sturen we die vraag door naar jou. Wij handelen hem niet zelf af. Veel kun je zelf in het programma doen, zoals gegevens aanpassen, exporteren of verwijderen. Waar dat niet kan, helpen we je binnen redelijke termijn.

9. Datalekken

Ontdekken wij een datalek dat gevolgen kan hebben voor de gegevens in jouw administratie, dan melden we dat zonder onredelijke vertraging aan jou, uiterlijk binnen 48 uur nadat we het hebben ontdekt. We sturen de melding naar het e-mailadres van de eigenaar van het account.

In de melding staat, voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het betreft, de waarschijnlijke gevolgen, en welke maatregelen we hebben genomen of voorstellen. Ontbreekt informatie, dan sturen we die zo snel mogelijk na.

Jij beslist of het lek gemeld moet worden aan de Autoriteit Persoonsgegevens en aan de betrokkenen. Wij melden dat niet namens jou, tenzij je ons daar uitdrukkelijk om vraagt. We helpen je met de informatie die je daarvoor nodig hebt.

10. Hulp bij je eigen verplichtingen

Waar redelijk helpen we je met een gegevensbeschermingseffectbeoordeling (DPIA), een voorafgaande raadpleging van de Autoriteit Persoonsgegevens en het aantonen dat je de AVG naleeft. Kost dat meer dan een beperkte inspanning, dan mogen we de redelijke kosten in rekening brengen na overleg.

11. Controle (audit)

Wij geven je de informatie die nodig is om aan te tonen dat we ons aan deze overeenkomst houden. Is dat niet voldoende, dan mag je eenmaal per jaar, of na een datalek, een controle laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht. Je kondigt dat minimaal vier weken vooraf aan. De controle mag de dienst voor andere klanten niet verstoren en geeft geen toegang tot gegevens van andere klanten. De kosten zijn voor jou, tenzij blijkt dat wij deze overeenkomst op een wezenlijk punt niet nakomen.

12. Duur en einde

Deze overeenkomst geldt zolang wij persoonsgegevens voor jou verwerken. Na het einde van je abonnement bewaren we je administraties nog 12 maanden, zodat je kunt terugkomen of je gegevens kunt exporteren. Daarna verwijderen we ze, tenzij de wet ons verplicht ze langer te bewaren. Kies je zelf voor Account verwijderen, dan verwijderen we ze direct. In back-ups kunnen ze nog maximaal 5 dagen staan.

Je kunt je gegevens zelf op elk moment exporteren, onder andere als auditfile (XAF). Denk aan je eigen wettelijke bewaarplicht.

Afspraken die naar hun aard ook na het einde gelden, zoals geheimhouding, blijven gelden.

13. Aansprakelijkheid en overige afspraken

Voor de aansprakelijkheid onder deze overeenkomst geldt de regeling uit de algemene voorwaarden. Dat laat de rechten van betrokkenen en de bevoegdheden van de Autoriteit Persoonsgegevens onverlet.

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de bevoegde rechter van de rechtbank Noord-Holland. Vragen over deze overeenkomst kun je stellen via info@tas-salturk-solutions.nl.

14. Bijlage 1: subverwerkers

Mollie (betalingen) en de Belastingdienst via Digipoort (aangiftes) zijn geen subverwerkers: Mollie is zelf verantwoordelijk voor de betaalgegevens, en een aangifte wordt op jouw opdracht verstuurd aan de Belastingdienst als ontvanger.

15. Bijlage 2: beveiligingsmaatregelen

• Hosting: server en database in een datacenter van Amazon Web Services in Frankfurt (EU), met fysieke beveiliging en certificeringen van de hostingpartij (onder andere ISO 27001).
• Versleuteling: alle verbindingen via HTTPS met HSTS. Wachtwoorden alleen als bcrypt-hash. Gevoelige instellingen, zoals sleutels van koppelingen, versleuteld opgeslagen.
• Toegang voor gebruikers: persoonlijke accounts, rollen en rechten per gebruiker, tweestapsverificatie (verplicht voor beheerders), automatisch uitloggen na inactiviteit.
• Bescherming tegen raden van wachtwoorden en codes: beperking van inlog- en codepogingen per account en per IP-adres, ook via de app en de API.
• Scheiding tussen klanten: elke administratie is technisch gescheiden; elke databasevraag wordt automatisch gecontroleerd op de juiste administratie.
• Integriteit van de boekhouding: een audit trail van wijzigingen; correcties zijn altijd nieuwe, zichtbare boekingen.
• Beheer: toegang tot de server alleen voor een beperkt aantal beheerders; beveiligingsupdates worden regelmatig geïnstalleerd; een firewall beperkt de toegang.
• Back-ups: dagelijks, opgeslagen op een aparte locatie in Amsterdam (EU), de laatste 5 dagen bewaard, bedoeld voor herstel na een calamiteit.
• Ontwikkeling: wijzigingen worden getest voordat ze live gaan; testen gebeurt op een aparte database zonder echte klantgegevens.
• E-mail: verzonden via Amazon Simple Email Service vanaf een vast afzenderdomein met SPF en DMARC, zodat mails moeilijker te vervalsen zijn en minder snel als spam worden gezien.
• Datalekken: een vaste procedure voor melden en afhandelen, zoals beschreven in deze overeenkomst.