Verwerkersovereenkomst

1. Onderwerp en toepasselijkheid

1. 1.1Deze verwerkersovereenkomst geldt voor iedere verwerking van persoonsgegevens die wij namens jou uitvoeren bij onze dienstverlening en de uitvoering van onze overeenkomst.
2. 1.2Begrippen die in de Algemene verordening gegevensbescherming (AVG) zijn gedefinieerd, hebben in deze verwerkersovereenkomst dezelfde betekenis.
3. 1.3Bij strijdigheid met de hoofdovereenkomst of de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover de betreffende bepalingen gaan over de verwerking van persoonsgegevens namens jou.

2. Rollen van partijen

1. 2.1Jij bepaalt het doel van en de middelen voor de verwerking van persoonsgegevens die je via het Platform verwerkt.
2. 2.2Wij verwerken deze persoonsgegevens uitsluitend namens jou en op basis van je gedocumenteerde instructies, tenzij toepasselijke wet- of regelgeving ons tot verwerking verplicht.
3. 2.3Je staat ervoor in dat de verwerking van persoonsgegevens, waaronder het verzamelen en verstrekken daarvan aan ons, rechtmatig is en voldoet aan de toepasselijke privacywetgeving.
4. 2.4Voor persoonsgegevens die wij voor eigen doeleinden en als zelfstandig verwerkingsverantwoordelijke verwerken, waaronder bepaalde account-, facturatie-, beveiligings- en administratieve gegevens, geldt onze privacyverklaring.

3. Aard en doeleinden van de verwerking

1. 3.1Wij verwerken persoonsgegevens uitsluitend voor zover dat noodzakelijk is om het Platform aan te bieden en te laten functioneren en om onze overeenkomst met jou uit te voeren.
2. 3.2De verwerking kan onder meer plaatsvinden voor: het aanmaken, verwerken, beheren en opslaan van werkbonnen; het beheren van taken, afspraken en planning; urenregistratie; het registreren van materialen en diensten; het verwerken en opslaan van foto’s, documenten, bijlagen en notities; het verwerken van audio en spraak voor transcriptie of AI-functionaliteiten; het herkennen, structureren en verwerken van informatie met AI; het genereren van werkbonnen, rapportages en andere administratieve gegevens; het beschikbaar stellen van koppelingen met boekhoudprogramma’s en andere diensten van derden; het beheren van gebruikersaccounts, rollen en toegangsrechten; beveiliging, back-up, herstel en technische ondersteuning van het Platform; en overige verwerkingen die noodzakelijk zijn om de functionaliteiten die je afneemt te leveren.

4. Categorieën persoonsgegevens

1. 4.1Afhankelijk van je gebruik van het Platform kunnen wij onder meer deze categorieën persoonsgegevens verwerken: naam- en contactgegevens; adresgegevens; bedrijfs- en klantgegevens; gegevens van medewerkers en andere gebruikers; gegevens over werkbonnen, werkzaamheden en opdrachten; afspraken-, planning- en taakgegevens; urenregistraties; gegevens over materialen en diensten; foto’s, afbeeldingen, documenten en andere bijlagen; notities en vrije tekstvelden; audio-opnamen en spraakgegevens; transcripties van gesproken of geschreven informatie; door AI gegenereerde, herkende of gestructureerde informatie; factuur-, administratie- en boekhoudgegevens; gegevens die via boekhoudkoppelingen of andere integraties worden geïmporteerd; gebruikersrollen en toegangsrechten; apparaat-, login-, IP- en beveiligingsgegevens; en overige persoonsgegevens die jij of je gebruikers via het Platform invoeren of genereren.

5. Categorieën betrokkenen

1. 5.1De persoonsgegevens kunnen onder meer betrekking hebben op: je klanten en opdrachtgevers; je medewerkers, werknemers, zzp’ers en andere hulppersonen; contactpersonen van klanten of leveranciers; gebruikers van het Platform; en overige personen van wie je persoonsgegevens via het Platform verwerkt.

6. Jouw instructies

1. 6.1Wij verwerken persoonsgegevens uitsluitend volgens je gedocumenteerde instructies.
2. 6.2Je gebruik van het Platform volgens de overeenkomst, de algemene voorwaarden en de instellingen die je binnen het Platform selecteert, geldt als gedocumenteerde instructie.
3. 6.3Als wij van oordeel zijn dat een instructie in strijd is met de AVG of andere toepasselijke privacywetgeving, laten we je dat zonder onredelijke vertraging weten.

7. Geheimhouding

1. 7.1Wij waarborgen dat personen die bevoegd zijn om persoonsgegevens te verwerken zich tot geheimhouding hebben verbonden of aan een passende wettelijke geheimhoudingsplicht zijn gebonden.
2. 7.2Persoonsgegevens zijn uitsluitend toegankelijk voor personen voor zover dat noodzakelijk is voor hun werkzaamheden.

8. Beveiliging

1. 8.1Wij treffen passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies, vernietiging, wijziging, ongeoorloofde verstrekking, ongeoorloofde toegang of andere onrechtmatige verwerking.
2. 8.2Bij het bepalen van passende beveiligingsmaatregelen houden wij rekening met de stand van de techniek, uitvoeringskosten, aard, omvang, context en doeleinden van de verwerking en de risico’s voor betrokkenen.
3. 8.3De beveiligingsmaatregelen kunnen, voor zover passend, onder meer bestaan uit: toegangs- en autorisatiebeheer; beveiliging van verbindingen en gegevensoverdracht; passende authenticatiemaatregelen; logging en monitoring; back-up- en herstelvoorzieningen; procedures voor incident- en kwetsbaarheidsbeheer; en organisatorische maatregelen om ongeautoriseerde toegang te beperken.

9. Datalekken en beveiligingsincidenten

1. 9.1Wij informeren je zonder onredelijke vertraging zodra wij kennis hebben genomen van een inbreuk in verband met persoonsgegevens die wij namens jou verwerken.
2. 9.2Voor zover de informatie beschikbaar is, verstrekken wij daarbij informatie over: de aard van de inbreuk; de categorieën van betrokkenen en persoonsgegevens; de vermoedelijke gevolgen van de inbreuk; de genomen of voorgenomen maatregelen; en de contactgegevens van het aanspreekpunt voor het incident.
3. 9.3Wij ondersteunen je, voor zover redelijkerwijs mogelijk, bij eventuele meldverplichtingen aan de Autoriteit Persoonsgegevens en betrokkenen.
4. 9.4Een melding door ons houdt geen erkenning van aansprakelijkheid in.

10. Rechten van betrokkenen

1. 10.1Rekening houdend met de aard van de verwerking bieden wij je redelijke ondersteuning bij verzoeken van betrokkenen om hun rechten onder de AVG uit te oefenen.
2. 10.2Als een betrokkene ons rechtstreeks benadert met een verzoek over persoonsgegevens die wij namens jou verwerken, verwijzen wij het verzoek in beginsel naar jou door.
3. 10.3Wij handelen niet zelfstandig op zo’n verzoek, tenzij jij ons daartoe opdracht geeft of wij daartoe wettelijk verplicht zijn.

11. Subverwerkers

1. 11.1Je geeft ons algemene toestemming om bij de verwerking van persoonsgegevens subverwerkers in te schakelen.
2. 11.2Wij kunnen onder meer subverwerkers inschakelen voor: hosting en cloudinfrastructuur; opslag en back-up; e-mail- en communicatiediensten; pushnotificaties; technische monitoring en diagnostiek; betaal- en administratieve dienstverlening; AI-, transcriptie- en taalverwerkingsdiensten; en technische koppelingen en integraties.
3. 11.3Wij leggen subverwerkers schriftelijk ten minste gelijkwaardige verplichtingen inzake gegevensbescherming op als in deze verwerkersovereenkomst, voor zover die verplichtingen op de betreffende verwerking van toepassing zijn.
4. 11.4Wij blijven tegenover jou verantwoordelijk voor de naleving van de gegevensbeschermingsverplichtingen die wij aan subverwerkers opleggen, overeenkomstig de AVG.
5. 11.5Wij houden een actuele lijst van gebruikte subverwerkers beschikbaar in onze privacyverklaring: https://www.werkbonnen.ai/privacy#subprocessors. Een kopie van de lijst bij publicatie van deze versie staat in Bijlage 2.
6. 11.6Als wij een nieuwe subverwerker inschakelen of een bestaande vervangen en dit wezenlijke gevolgen heeft voor de verwerking van persoonsgegevens, informeren wij je daarover vooraf binnen een redelijke termijn.

12. AI-dienstverleners

1. 12.1Wij kunnen voor bepaalde functionaliteiten externe AI-, spraakherkennings-, transcriptie- of taalverwerkingsdiensten gebruiken.
2. 12.2Persoonsgegevens die noodzakelijk zijn voor de betreffende functionaliteit kunnen daarvoor aan zo’n subverwerker worden verstrekt.
3. 12.3Wij zorgen ervoor dat het gebruik van deze dienstverleners voldoet aan de AVG en de afspraken in deze verwerkersovereenkomst.
4. 12.4Voor zover technisch en contractueel van toepassing maken wij passende afspraken over het gebruik en de opslag van gegevens door deze dienstverleners.

13. Doorgifte buiten de Europese Economische Ruimte

1. 13.1Wij verwerken persoonsgegevens in beginsel binnen de Europese Economische Ruimte (EER) of in landen waarvoor een passend adequaatheidsbesluit geldt.
2. 13.2Als persoonsgegevens worden doorgegeven aan een land buiten de EER waarvoor geen adequaatheidsbesluit geldt, zorgen wij voor een geldige doorgiftegrondslag volgens hoofdstuk V van de AVG.
3. 13.3Waar noodzakelijk kunnen wij daarvoor door de Europese Commissie vastgestelde Standard Contractual Clauses of een andere wettelijk toegestane doorgiftegrondslag gebruiken.

14. Privacy by design en gegevensbeschermingseffectbeoordeling

1. 14.1Voor zover van toepassing op onze rol houden wij rekening met de beginselen van gegevensbescherming door ontwerp en door standaardinstellingen.
2. 14.2Wij bieden je redelijke bijstand als voor een verwerking een gegevensbeschermingseffectbeoordeling of voorafgaande raadpleging van een toezichthoudende autoriteit noodzakelijk is.
3. 14.3Als de gevraagde bijstand werkzaamheden omvat die redelijkerwijs buiten de reguliere dienstverlening vallen, kunnen wij daarvoor een redelijke vergoeding in rekening brengen, mits we je dat vooraf laten weten.

15. Audit en informatievoorziening

1. 15.1Wij verstrekken je de informatie die redelijkerwijs noodzakelijk is om aan te tonen dat wij voldoen aan de verplichtingen uit artikel 28 AVG.
2. 15.2Als daar een redelijke aanleiding voor bestaat, kun je eenmaal per jaar een audit laten uitvoeren naar de naleving van deze verwerkersovereenkomst.
3. 15.3Een audit wordt ten minste dertig (30) dagen vooraf aangekondigd; vindt plaats tijdens normale kantooruren; mag onze bedrijfsvoering, beveiliging en vertrouwelijkheid of die van andere klanten niet onnodig verstoren; en wordt uitgevoerd door een onafhankelijke deskundige die aan een geheimhoudingsplicht is gebonden.
4. 15.4De auditkosten zijn in beginsel voor jouw rekening, tenzij uit de audit blijkt dat wij wezenlijk tekortschieten in de naleving van deze verwerkersovereenkomst.

16. Bewaartermijnen, retournering en verwijdering

1. 16.1Wij bewaren persoonsgegevens niet langer dan noodzakelijk voor de uitvoering van de overeenkomst, tenzij een langere bewaartermijn wettelijk vereist is.
2. 16.2Na het einde van je abonnement bewaren wij je werkruimte nog dertig (30) dagen. In die periode kun je je gegevens exporteren, voor zover die functie beschikbaar is. Als je je abonnement niet hervat, komt je werkruimte na die termijn in aanmerking voor verwijdering uit actief gebruik. Heb je nooit een abonnement geactiveerd, dan begint deze termijn bij het einde van je proefperiode. Een abonnement activeren vóór de opschoning voorkomt deze automatische verwijdering.
3. 16.3Na verwijdering uit actief gebruik bewaren wij de werkruimtegegevens nog dertig (30) dagen. Daarna komen ze in aanmerking voor definitieve verwijdering. De dagelijkse opschoning verwerkt een beperkt aantal werkruimtes per keer. Door die limiet, een nog lopende opzegging bij Stripe of afzonderlijke bestandsopschoning kan de afronding langer duren. De uitzonderingen voor wettelijke bewaarplichten en reguliere back-ups in artikelen 16.4 en 16.5 blijven gelden.
4. 16.4Gegevens waarvoor een wettelijke bewaarplicht geldt, bewaren wij uitsluitend gedurende de toepasselijke wettelijke bewaartermijn. Daarna verwijderen of anonimiseren wij ze, tenzij verdere bewaring rechtmatig is toegestaan.
5. 16.5Persoonsgegevens kunnen na verwijdering nog beperkte tijd in reguliere back-ups aanwezig zijn, mits ze niet opnieuw voor operationele doeleinden worden gebruikt en volgens het reguliere back-upbeleid worden overschreven of verwijderd.

17. Vertrouwelijkheid en eigendom van gegevens

1. 17.1Alle gegevens die jij of je gebruikers via het Platform invoeren, blijven jouw gegevens.
2. 17.2Deze verwerkersovereenkomst draagt geen eigendom of andere rechten op de gegevens aan ons over.
3. 17.3Wij gebruiken persoonsgegevens niet voor andere doeleinden dan noodzakelijk voor de overeengekomen dienstverlening, tenzij je daarvoor een aanvullende instructie hebt gegeven of er een andere geldige juridische grondslag bestaat.

18. Aansprakelijkheid

1. 18.1Voor zover wettelijk toegestaan gelden de aansprakelijkheidsbepalingen uit de hoofdovereenkomst en de algemene voorwaarden voor onze en jouw aansprakelijkheid in verband met deze verwerkersovereenkomst.
2. 18.2Deze verwerkersovereenkomst beperkt geen aansprakelijkheid voor zover toepasselijke wetgeving zo’n beperking niet toestaat.

19. Duur en beëindiging

1. 19.1Deze verwerkersovereenkomst treedt in werking zodra de hoofdovereenkomst tussen ons tot stand komt en blijft van kracht zolang wij namens jou persoonsgegevens verwerken.
2. 19.2Bepalingen die naar hun aard voortduren na beëindiging blijven van kracht. Dat geldt onder meer voor geheimhouding, verwijdering, aansprakelijkheid en, voor zover relevant, audits.

20. Wijzigingen

1. 20.1Wij kunnen deze verwerkersovereenkomst wijzigen als dat noodzakelijk is door gewijzigde wetgeving, wijzigingen in de dienstverlening, beveiligingseisen of het gebruik van subverwerkers.
2. 20.2Wij maken wezenlijke wijzigingen vooraf aan je bekend binnen een redelijke termijn.

21. Elektronische totstandkoming

1. 21.1Deze verwerkersovereenkomst kan elektronisch worden aangegaan als onderdeel van het registratie- of bestelproces van het Platform.
2. 21.2Door tijdens het registratie- of bestelproces uitdrukkelijk akkoord te gaan met deze verwerkersovereenkomst, verklaar je de inhoud ervan te aanvaarden.
3. 21.3Een afzonderlijke fysieke of elektronische handtekening is niet vereist als je instemming op een andere manier voldoende kan worden aangetoond.
4. 21.4Wij kunnen gegevens over de datum, het tijdstip, de gebruiker en de toepasselijke versie van deze verwerkersovereenkomst bewaren om de totstandkoming ervan aan te tonen.

22. Toepasselijk recht

1. 22.1Op deze verwerkersovereenkomst is Nederlands recht van toepassing.
2. 22.2Geschillen worden behandeld volgens de geschillenregeling uit de hoofdovereenkomst en de algemene voorwaarden.

Bijlage 1 - Overzicht verwerking

Onderwerp van verwerking

Het verwerken van persoonsgegevens voor de dienstverlening via werkbonnen.ai.

Duur

Gedurende de looptijd van de hoofdovereenkomst en eventuele toepasselijke verwijder- en bewaartermijnen.

Aard van verwerking

Verzamelen, vastleggen, opslaan, ordenen, structureren, raadplegen, wijzigen, verzenden, koppelen, analyseren, transcriberen, verwerken met AI, verwijderen en overige handelingen die noodzakelijk zijn voor de dienstverlening.

Doeleinden

Het leveren van werkbonnen.ai en de functionaliteiten die je selecteert.

Categorieën betrokkenen

Klanten, medewerkers, opdrachtgevers, leveranciers, contactpersonen, gebruikers en overige personen van wie gegevens via het Platform worden verwerkt.

Categorieën persoonsgegevens

Zoals beschreven in artikel 4 van deze verwerkersovereenkomst.

Bewaartermijn na beëindiging

Dertig (30) dagen na het einde van je abonnement of, als je nooit een abonnement hebt geactiveerd, je proefperiode komt je werkruimte in aanmerking voor verwijdering uit actief gebruik. Een abonnement activeren vóór de opschoning voorkomt deze automatische verwijdering. Na verwijdering uit actief gebruik volgt nog dertig (30) dagen bewaring vóór de werkruimte in aanmerking komt voor definitieve verwijdering. Dagelijkse opschoning in beperkte aantallen, een nog lopende opzegging bij Stripe en afzonderlijke bestandsopschoning kunnen de afronding vertragen. Wettelijke bewaarplichten en tijdelijke opslag in reguliere back-ups blijven uitgezonderd.

Bijlage 2 - Subverwerkers

Wij houden een actueel overzicht van de gebruikte subverwerkers bij. Hieronder staat de volledige lijst uit onze privacyverklaring bij publicatie van deze versie.

• Supabase — Frankfurt, Duitsland (EU)Database, bestandsopslag en inloggen
• Railway — Amsterdam, Nederland (EU)Hosting van onze server (API)
• Vercel — Wereldwijd netwerk, Vercel Inc. (VS)Hosting van de website en web-app
• OpenRouter — VSDoorsturen van AI-verzoeken, zoals spraak naar tekst en het invullen van werkbonnen
• OpenAI — VSAI-modellen voor spraakherkenning en tekstverwerking
• Resend — Dublin, Ierland (EU)Versturen van e-mails, zoals inlogcodes en uitnodigingen
• PostHog — Frankfurt, Duitsland (EU)Website-analyse na toestemming, gebruiksstatistieken in de app, feature flags en technische logs
• Stripe — Ierland (EU) en VSVerwerking van betalingen voor abonnementen
• Apple — VSDistributie van de iOS-app en pushmeldingen op iPhone
• Google — VSDistributie van de Android-app en pushmeldingen op Android
• PDOK (Kadaster) — Nederland (EU)Opzoeken van adressen tijdens het invullen
• e-Boekhouden, Moneybird, Jortt en Exact Online — Nederland (EU)Boekhoudkoppelingen, alleen als je die zelf aanzet