e-boekassistent

Controlelaag voor je boekhouding in e-Boekhouden

Dit stuk is nog niet vastgesteld. Er kunnen dus nog dingen aan veranderen.

Verwerkersovereenkomst (concept)

Concept. Laat dit toetsen door een jurist vóór de eerste externe klant. Overal waar […] staat moet iets ingevuld worden.

Tussen `Proreba B.V.`, KvK 00000000, hierna Verwerker, en de klant die het abonnement afsluit, hierna Verwantwoordelijke.

1. Waar dit over gaat

Verwerker levert e-boekassistent: een dienst die de administratie van Verantwoordelijke in e-Boekhouden leest, documenten uitleest en boekingsvoorstellen en controlebevindingen maakt. Daarbij worden persoonsgegevens verwerkt namens Verantwoordelijke.

Aard, doel, soort gegevens en categorieën betrokkenen staan in verwerkingsregister.md, dat onderdeel is van deze overeenkomst.

2. Instructies

Verwerker verwerkt uitsluitend op schriftelijke instructie van Verantwoordelijke. Het gebruik van de dienst geldt als die instructie. Verwerker gebruikt de gegevens niet voor eigen doeleinden, en in het bijzonder niet om modellen te trainen of om geaggregeerde producten te maken zonder afzonderlijke toestemming.

3. Beveiliging

Verwerker treft passende technische en organisatorische maatregelen, waaronder in ieder geval:

  • versleuteling van het e-Boekhouden-token met AES-256-GCM;
  • wachtwoorden gehasht met argon2id; tweefactorauthenticatie beschikbaar;
  • toegang tot productiegegevens beperkt tot wie het nodig heeft;
  • versleuteling tijdens transport (TLS) en rustende versleuteling bij de hostingpartij;
  • logging van elke muterende handeling;
  • back-ups met een periodiek beproefde herstelprocedure.

De volledige beschrijving staat in ../security.md.

4. Subverwerkers

Verantwoordelijke geeft algemene toestemming voor de subverwerkers in subverwerkers.md. Verwerker meldt een wijziging ten minste 30 dagen vooraf. Maakt Verantwoordelijke bezwaar, dan mag hij per direct opzeggen zonder kosten voor de resterende looptijd.

5. Datalekken

Verwerker meldt een datalek zonder onredelijke vertraging en uiterlijk binnen 36 uur na ontdekking aan Verantwoordelijke, met wat er bekend is over aard, omvang, gevolgen en genomen maatregelen. Verwerker meldt niet zelf aan de Autoriteit Persoonsgegevens namens Verantwoordelijke, tenzij daar afzonderlijk om wordt gevraagd. Zie datalek-procedure.md.

6. Rechten van betrokkenen

Krijgt Verwerker rechtstreeks een verzoek van een betrokkene, dan verwijst hij door naar Verantwoordelijke en informeert die binnen drie werkdagen. Verwerker helpt Verantwoordelijke om binnen de wettelijke termijn te kunnen antwoorden.

7. Doorgifte

Verwerking vindt plaats binnen de EER, tenzij in subverwerkers.md anders staat vermeld. Bij doorgifte daarbuiten zorgt Verwerker voor een geldige grondslag.

8. Teruggave en verwijdering

Bij het einde van de overeenkomst kan Verantwoordelijke zijn gegevens exporteren. Dertig dagen na afloop verwijdert Verwerker de gegevens, met uitzondering van wat hij wettelijk moet bewaren. Termijnen staan in bewaartermijnen.md.

9. Controle

Verantwoordelijke mag eens per jaar een audit laten uitvoeren door een onafhankelijke deskundige, aangekondigd met een redelijke termijn en op zijn kosten, tenzij de audit een tekortkoming aantoont.

10. Aansprakelijkheid

Voor aansprakelijkheid gelden de algemene voorwaarden. Boetes die voortkomen uit een tekortkoming van Verwerker komen voor rekening van Verwerker, binnen de daar genoemde grenzen.