Verwerkersovereenkomst

1. Partijen

Verwerkingsverantwoordelijke: de natuurlijke persoon of rechtspersoon die een Zaakly-account heeft en daarin persoonsgegevens verwerkt — hierna "jij".

Verwerker: Kivilime, handelend onder de naam Zaakly, KvK 42017058, Vierde Kade 59, 2806 SB Gouda — hierna "wij".

2. Onderwerp, aard en doel van de verwerking

Wij verwerken persoonsgegevens uitsluitend om Zaakly aan jou te leveren: het opslaan en tonen van je klantgegevens, het opstellen en versturen van offertes en facturen, het ontvangen van aanvragen en afspraken via je bedrijfspagina, het verwerken van je kosten en bonnen, en het beschikbaar houden en beveiligen van dat alles.

Wij verwerken deze gegevens niet voor eigen doeleinden. Wij gebruiken ze niet voor marketing, verkopen ze niet, en gebruiken ze niet om modellen te trainen.

3. Duur

Deze overeenkomst geldt zolang je een Zaakly-account hebt. Zij eindigt wanneer je account eindigt, met uitzondering van de bepalingen die naar hun aard blijven gelden — geheimhouding en de verplichtingen bij beëindiging in artikel 11.

4. Soorten gegevens en categorieën betrokkenen

Afhankelijk van wat jij invoert, kan het gaan om:

• Soorten gegevens: naam, bedrijfsnaam, adres, e-mailadres, telefoonnummer, KvK- en btw-nummer, de inhoud van offertes en facturen, de inhoud van aanvraagformulieren, gegevens op bonnen en inkoopfacturen, en gewerkte uren of ritten die je aan een persoon koppelt.
• Categorieën betrokkenen: jouw klanten en opdrachtgevers, hun contactpersonen, bezoekers die via je bedrijfspagina een offerte of afspraak aanvragen, en leveranciers die op je bonnen voorkomen.

Zaakly is niet bedoeld voor bijzondere categorieën persoonsgegevens (zoals gegevens over gezondheid) of het burgerservicenummer. Voer die niet in.

5. Verwerking uitsluitend op jouw instructie

Wij verwerken persoonsgegevens alleen op jouw gedocumenteerde instructie. Je gebruik van Zaakly — wat je invoert, welke functies je aanzet, wat je verstuurt — vormt die instructie. Deze overeenkomst, de algemene voorwaarden en het privacy statement vullen haar aan.

Zijn wij op grond van EU- of Nederlands recht verplicht verder te verwerken, dan melden wij dat vooraf, tenzij die wet dat verbiedt. Menen wij dat een instructie in strijd is met de AVG, dan laten wij je dat weten.

6. Geheimhouding

Iedereen die bij ons toegang heeft tot persoonsgegevens is tot geheimhouding verplicht, uit hoofde van een overeenkomst of van de wet. Toegang wordt alleen verleend voor zover nodig voor het leveren, beveiligen of ondersteunen van de dienst.

7. Beveiliging

Wij nemen passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Concreet betekent dat onder meer: versleuteld transport (TLS), versleutelde opslag, scheiding van gegevens per gebruiker op databaseniveau, afgeschermde opslag voor documenten met tijdelijk geldige links, authenticatie met sessiebeheer, beveiligingsheaders tegen misbruik van de applicatie, snelheidsbegrenzing en gecontroleerde verwerking van uploads.

Een uitgebreidere beschrijving staat op Veiligheid & privacy. Wij kunnen maatregelen aanpassen zolang het beschermingsniveau daarmee niet afneemt.

8. Subverwerkers

Je geeft ons algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat op subverwerkers, met per partij de taak, de verwerkte gegevens en de vestiging.

Wij leggen elke subverwerker dezelfde verplichtingen op als in deze overeenkomst en blijven jegens jou aansprakelijk voor hun handelen. Voegen wij een subverwerker toe of vervangen wij er een, dan informeren wij je vooraf. Heb je gegronde bezwaren, dan kun je die binnen 30 dagen kenbaar maken; komen wij er samen niet uit, dan mag je de overeenkomst beëindigen zonder kosten voor de resterende periode.

9. Doorgifte buiten de EER

Doorgifte buiten de Europese Economische Ruimte vindt alleen plaats op basis van een adequaatheidsbesluit, het EU-US Data Privacy Framework of standaardcontractbepalingen van de Europese Commissie. Per subverwerker staat de grondslag vermeld op de subverwerkerslijst.

10. Bijstand bij rechten van betrokkenen en aan jouw plichten

Krijg je een verzoek van een betrokkene — inzage, correctie, verwijdering, beperking, overdraagbaarheid of bezwaar — dan help wij je dat uit te voeren, voor zover je dat niet zelf in Zaakly kunt. De meeste verzoeken kun je zelf afhandelen: je kunt gegevens in Zaakly inzien, wijzigen, exporteren en verwijderen.

Richt een betrokkene zich rechtstreeks tot ons over gegevens waarvoor jij verantwoordelijk bent, dan handelen wij dat verzoek niet zelf af maar verwijzen wij door en informeren wij jou.

Wij verlenen daarnaast redelijke medewerking aan je verplichtingen uit de artikelen 32 tot en met 36 AVG, waaronder een gegevensbeschermingseffectbeoordeling, rekening houdend met de aard van de verwerking en de informatie waarover wij beschikken.

11. Datalekken

Ontdekken wij een inbreuk in verband met persoonsgegevens, dan informeren wij je zonder onredelijke vertraging en in beginsel binnen 48 uur nadat wij daarvan kennis hebben genomen. Wij melden wat er is gebeurd, welke categorieën gegevens en betrokkenen het betreft, wat de waarschijnlijke gevolgen zijn en welke maatregelen wij hebben genomen — zodat jij binnen jouw termijn van 72 uur kunt melden bij de Autoriteit Persoonsgegevens.

Wij melden een lek dat onder jouw verantwoordelijkheid valt niet zelf bij de toezichthouder: die melding is aan jou.

12. Teruggave en verwijdering na afloop

Je kunt je gegevens gedurende de looptijd op elk moment exporteren. Na beëindiging van je account verwijderen wij de persoonsgegevens binnen 90 dagen uit onze actieve systemen, en uit back-ups zodra die volgens hun normale cyclus verlopen.

Wij bewaren langer uitsluitend wat wij wettelijk moeten bewaren — bijvoorbeeld betaalgegevens voor de fiscale bewaarplicht van zeven jaar. Die gegevens blijven onder deze overeenkomst beschermd zolang wij ze bewaren.

13. Audit

Op jouw verzoek stellen wij de informatie beschikbaar die nodig is om aan te tonen dat wij deze overeenkomst nakomen. Je mag ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, tot geheimhouding gehouden auditor, na redelijke aankondiging en op zodanige wijze dat de dienstverlening aan andere gebruikers niet wordt verstoord. De kosten daarvan draag je zelf, tenzij uit de audit een wezenlijke tekortkoming van ons blijkt.

14. Rangorde en wijzigingen

Bij tegenstrijdigheid gaat deze verwerkersovereenkomst vóór de algemene voorwaarden, voor zover het de verwerking van persoonsgegevens betreft.

Wij kunnen deze overeenkomst aanpassen wanneer wet- of regelgeving of de dienst daartoe aanleiding geeft. Bij ingrijpende wijzigingen informeren wij je vooraf.

Vragen of een ondertekend exemplaar nodig? privacy@zaakly.nl