Verwerkersovereenkomst

Begrippen die in deze VO met een hoofdletter worden geschreven en hieronder niet zijn gedefinieerd, hebben de betekenis die daaraan in de Hoofdovereenkomst, dan wel in de AVG, is gegeven.

2.1 Verwerker verwerkt Persoonsgegevens uitsluitend ten behoeve van de uitvoering van de Hoofdovereenkomst en uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke, behoudens afwijkende wettelijke verplichtingen. Het aanvaarden van deze VO en het gebruik van de Dienst, inclusief de door Verwerkingsverantwoordelijke gekozen configuratie en functies, gelden als algemene instructie.

2.2 Indien een Unierechtelijke of Nederlandse wettelijke verplichting Verwerker tot verwerking buiten de instructies verplicht, stelt Verwerker Verwerkingsverantwoordelijke daarvan voorafgaand aan die verwerking in kennis, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

2.3 Deze VO geldt voor de duur van de Hoofdovereenkomst en eindigt zodra Verwerker overeenkomstig artikel 15 alle Persoonsgegevens heeft gewist of terugbezorgd, onverminderd de bepalingen die naar hun aard ook daarna blijven gelden.

3.1 De verwerking vindt plaats met als doel: het synchroniseren van financiële, CRM- en abonnementsgegevens vanuit het Exact Online-account van Verwerkingsverantwoordelijke naar de Dienst, het beveiligd opslaan en presenteren van die gegevens, het berekenen en visualiseren van SaaS-KPI’s en andere financiële inzichten, en — uitsluitend wanneer Verwerkingsverantwoordelijke de AI-functies gebruikt — het genereren van AI-antwoorden en -suggesties op basis van die gegevens.

3.2 Verwerker gebruikt de Persoonsgegevens niet voor andere doeleinden, behoudens voor zover nodig voor het beheer en de beveiliging van de Dienst of voor zover een wettelijke verplichting daartoe verplicht.

3.3 Verwerkingsverantwoordelijke instrueert Verwerker daarnaast om Klantgegevens onomkeerbaar te anonimiseren en uitsluitend in geaggregeerde vorm — over meerdere klanten heen en niet herleidbaar tot Verwerkingsverantwoordelijke, diens klanten of enige betrokkene — te gebruiken voor het verbeteren en benchmarken van de Dienst. Na deze anonimisering zijn de gegevens geen Persoonsgegevens meer en valt het verdere gebruik buiten deze VO.

5.1 Verwerker informeert Verwerkingsverantwoordelijke onmiddellijk indien naar haar oordeel een instructie inbreuk maakt op de AVG of andere toepasselijke wetgeving.

5.2 Verwerker waarborgt dat personen die gemachtigd zijn Persoonsgegevens te verwerken zich tot geheimhouding hebben verbonden of door een passende wettelijke geheimhoudingsplicht zijn gebonden.

5.3 Verwerker verleent op verzoek medewerking aan de toezichthoudende autoriteit bij de uitvoering van haar taken.

5.4 Verwerker stelt Verwerkingsverantwoordelijke onverwijld in kennis van een juridisch bindend verzoek van een overheidsinstantie tot verstrekking van Persoonsgegevens, tenzij kennisgeving wettelijk is verboden. Verwerker toetst de rechtmatigheid van het verzoek, verstrekt niet meer gegevens dan strikt vereist en verwijst de verzoekende instantie waar mogelijk door naar Verwerkingsverantwoordelijke.

Verwerker treft passende technische en organisatorische maatregelen om Persoonsgegevens te beveiligen tegen verlies, vernietiging, beschadiging en ongeoorloofde of onrechtmatige verwerking, conform artikel 32 AVG. Hieronder vallen in elk geval:

7.1 Verwerkingsverantwoordelijke geeft hierbij algemene toestemming voor het inschakelen van sub-verwerkers voor de levering van de Dienst. Bij het aangaan van deze VO zijn dat de volgende partijen:

8.1 Verwerker verwerkt en bewaart Tenantgegevens binnen de Europese Economische Ruimte, met één uitzondering: gebruikt Verwerkingsverantwoordelijke de AI-functies van de Dienst, dan worden de daarvoor noodzakelijke Tenantgegevens verwerkt door de in artikel 7 genoemde AI-sub-verwerker (Anthropic, VS) onder de daar vermelde waarborgen. Zonder gebruik van de AI-functies vindt deze doorgifte niet plaats. Op verzoek schakelt Verwerker de AI-functies voor de omgeving van Verwerkingsverantwoordelijke uit.

8.2 Iedere andere doorgifte van Tenantgegevens buiten de EER vindt uitsluitend plaats indien Verwerkingsverantwoordelijke daarmee uitdrukkelijk schriftelijk instemt en partijen passende waarborgen treffen overeenkomstig hoofdstuk V AVG.

8.3 Servicegegevens kunnen buiten de EER worden verwerkt voor zover noodzakelijk voor de levering en het beheer van de Dienst, uitsluitend door sub-verwerkers die zijn opgenomen in de lijst van artikel 7, met passende waarborgen overeenkomstig hoofdstuk V AVG.

8.4 Voor doorgiften op basis van Standard Contractual Clauses voert Verwerker een beoordeling van het beschermingsniveau in het derde land uit (transfer impact assessment) en treft waar nodig aanvullende maatregelen. Deze beoordeling wordt op verzoek aan Verwerkingsverantwoordelijke verstrekt.

9.1 Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in elk geval binnen achtenveertig (48) uur na ontdekking, over een Inbreuk die de door haar voor Verwerkingsverantwoordelijke verwerkte Persoonsgegevens raakt.

9.2 De melding bevat ten minste, voor zover bekend: de aard van de Inbreuk, de getroffen categorieën en (bij benadering) aantallen betrokkenen en gegevens, de waarschijnlijke gevolgen, de getroffen en voorgestelde maatregelen en de contactgegevens van een aanspreekpunt bij Verwerker. Informatie die nog niet beschikbaar is, verstrekt Verwerker zo spoedig mogelijk in fasen.

9.3 Verwerker treft onverwijld redelijke maatregelen om de Inbreuk te beëindigen, de gevolgen te beperken en herhaling te voorkomen. Verwerker documenteert iedere Inbreuk, de gevolgen en de genomen maatregelen, en stelt deze documentatie op verzoek aan Verwerkingsverantwoordelijke ter beschikking.

9.4 Verwerker verleent Verwerkingsverantwoordelijke redelijke medewerking bij de nakoming van haar verplichtingen uit artikel 33 en 34 AVG. De beoordeling of een melding aan de Autoriteit Persoonsgegevens of aan betrokkenen vereist is, en die melding zelf, zijn de verantwoordelijkheid van Verwerkingsverantwoordelijke.

10.1 Verwerker verleent Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en voor zover redelijkerwijs mogelijk, de medewerking die nodig is om te voldoen aan verzoeken van betrokkenen tot inzage, rectificatie, verwijdering, beperking, dataportabiliteit of bezwaar als bedoeld in hoofdstuk III AVG.

10.2 Verzoeken van betrokkenen die rechtstreeks bij Verwerker binnenkomen en betrekking hebben op de Persoonsgegevens, stuurt Verwerker onverwijld en zonder inhoudelijke behandeling door naar Verwerkingsverantwoordelijke.

Verwerker verleent Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en de aan Verwerker beschikbare informatie, redelijke bijstand bij de nakoming van de verplichtingen uit de artikelen 32 tot en met 36 AVG, waaronder gegevensbeschermingseffectbeoordelingen (DPIA) en een eventuele voorafgaande raadpleging van de toezichthoudende autoriteit. Voor omvangrijke bijstand mag Verwerker redelijke kosten in rekening brengen tegen de dan geldende tarieven.

12.1 Verwerker stelt Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om aan te tonen dat aan de verplichtingen van artikel 28 AVG wordt voldaan.

12.2 Verwerker maakt audits en inspecties mogelijk door Verwerkingsverantwoordelijke of een door deze gemachtigde, aan geheimhouding gebonden auditor, en draagt daaraan bij. Een audit vindt ten hoogste eenmaal per twaalf (12) maanden plaats — behoudens na een Inbreuk of op aanwijzing van een toezichthouder — wordt ten minste dertig (30) dagen vooraf aangekondigd, verstoort de bedrijfsvoering zo min mogelijk en komt voor rekening van Verwerkingsverantwoordelijke.

12.3 Verwerker mag eerst beschikbare auditrapportages, certificeringen of samenvattingen van beveiligingstests verstrekken. Een audit op locatie of in de systemen vindt alleen plaats voor zover deze stukken redelijkerwijs onvoldoende uitsluitsel geven.

13.1 Verwerkingsverantwoordelijke garandeert dat de verwerking van de Persoonsgegevens, waaronder de verstrekking daarvan aan Verwerker via de koppeling met Exact Online, rechtmatig is, dat daarvoor een geldige grondslag bestaat en dat betrokkenen waar vereist zijn geïnformeerd.

13.2 Verwerkingsverantwoordelijke staat ervoor in dat zijn instructies in overeenstemming zijn met de AVG en vrijwaart Verwerker tegen aanspraken van betrokkenen en sancties van toezichthouders die voortvloeien uit het ontbreken van een geldige grondslag of uit onrechtmatige instructies van Verwerkingsverantwoordelijke.

14.1 Koppelt een Klant met een Advisory Abonnement de Exact Online-administratie van een eigen klant, dan is die eigen klant voor de betreffende gegevens verwerkingsverantwoordelijke, treedt de adviseur op als verwerker en RecurBoard als sub-verwerker. Deze VO geldt in dat geval tussen RecurBoard en de adviseur, mede ten behoeve van diens klant.

14.2 De adviseur staat ervoor in dat zijn afspraken met die klant het inschakelen van RecurBoard en de in artikel 7 genoemde sub-verwerkers toestaan, en dat hij beschikt over een toereikende machtiging. RecurBoard volgt uitsluitend instructies van haar directe contractspartij.

14.3 Verleent een klant van een adviseur die adviseur toegang tot zijn eigen omgeving, dan geldt die toegangsverlening als instructie van die klant aan RecurBoard; de klant blijft verantwoordelijk voor de toegang die hij verleent.

15.1 Na beëindiging van de Hoofdovereenkomst wist Verwerker, naar gelang de keuze van Verwerkingsverantwoordelijke, alle Persoonsgegevens of bezorgt deze terug in een gestructureerd, gangbaar en machineleesbaar elektronisch formaat (zoals CSV of JSON), en verwijdert bestaande kopieën, tenzij Unierecht of Nederlands recht opslag van de Persoonsgegevens verplicht.

15.2 Verwerkingsverantwoordelijke kan zijn keuze kenbaar maken tot dertig (30) kalenderdagen na beëindiging van de Hoofdovereenkomst — of, bij een overstap volgens de Hoofdovereenkomst, tot dertig (30) kalenderdagen na afloop van de transitieperiode. Gedurende die termijn houdt Verwerker de export beschikbaar. Maakt Verwerkingsverantwoordelijke binnen die termijn geen keuze kenbaar, dan gaat Verwerker over tot verwijdering.

15.3 Verwijdering omvat de productieomgeving direct na afloop van de termijn; uit back-ups verdwijnen de gegevens definitief via de reguliere back-uprotatie, uiterlijk twaalf (12) weken daarna. Verwerker bevestigt de verwijdering op verzoek schriftelijk.

16.1 De aansprakelijkheid van Verwerker uit hoofde van of in verband met deze VO is beperkt overeenkomstig de aansprakelijkheidsregeling in de Hoofdovereenkomst, voor zover dwingend recht zich daartegen niet verzet. In afwijking daarvan geldt de uitsluiting van schade door verlies of corruptie van gegevens niet voor schade die het gevolg is van een toerekenbare schending door Verwerker van deze VO of van de op haar rustende verplichtingen uit de AVG.

16.2 Bestuurlijke boetes die rechtstreeks aan een van partijen worden opgelegd, komen voor rekening van de partij aan wie de boete is opgelegd. Deze regeling laat de rechten van betrokkenen op grond van artikel 82 AVG onverlet.

17.1 Bij strijd tussen deze VO en de Hoofdovereenkomst prevaleert deze VO voor zover het de verwerking van Persoonsgegevens betreft.

17.2 Op deze VO is uitsluitend Nederlands recht van toepassing. Geschillen worden bij uitsluiting voorgelegd aan de bevoegde rechter overeenkomstig de Hoofdovereenkomst.