Verwerkersovereenkomst

1. Onderwerp en duur

De verwerker verwerkt persoonsgegevens uitsluitend om de dienst xaf-ok.nl te leveren zoals beschreven in de algemene voorwaarden: XAF-bestanden lezen en controleren, grootboekexports omzetten naar XAF 4.0 en de resultaten aan u ter beschikking stellen.

De overeenkomst loopt zolang u de dienst gebruikt, en daarna tot alle persoonsgegevens volgens artikel 11 zijn verwijderd.

2. Aard en doel van de verwerking

Ontvangen, inlezen, structureren en controleren van grootboek- en auditfilegegevens, koppelen van grootboekrekeningen aan RGS-codes, omzetten naar XAF, tijdelijk opslaan en aan u ter beschikking stellen, en verwijderen. Het doel is uitsluitend de levering van de dienst aan u.

3. Soorten gegevens en betrokkenen

• Soorten gegevens: gegevens uit grootboeken en auditfiles, zoals namen, adressen, btw- en KVK-nummers van klanten en leveranciers, omschrijvingen van boekingen, rekeningnummers en bedragen, en namen van personen die in omschrijvingen voorkomen.
• Betrokkenen: klanten, leveranciers en andere relaties van u of van uw cliënten, en medewerkers en andere personen die in de administratie voorkomen.

Uw eigen accountgegevens, zoals uw e-mailadres, verwerken wij als verwerkingsverantwoordelijke; daarvoor geldt de privacyverklaring.

4. Instructies

De verwerker verwerkt de gegevens alleen op uw gedocumenteerde instructies. Deze overeenkomst, de algemene voorwaarden en uw gebruik van de functies van de dienst (uploaden, converteren, downloaden en verwijderen) gelden als uw instructies.

Is de verwerker wettelijk verplicht gegevens anders te verwerken, dan meldt hij u dat vooraf, tenzij de wet dat verbiedt. Vindt de verwerker dat een instructie in strijd is met de AVG, dan meldt hij u dat direct.

5. Vertrouwelijkheid

Iedereen die bij de verwerker toegang heeft tot de gegevens, is tot geheimhouding verplicht.

6. Beveiliging

De verwerker neemt passende technische en organisatorische maatregelen volgens artikel 32 AVG, waaronder:

• servers in Duitsland en versleutelde verbindingen (TLS);
• geüploade CSV-, Excel- en PDF-bestanden worden niet opgeslagen: zij staan alleen tijdens de conversie in het geheugen en in de verwerkingswachtrij; bestanden in de XAF-viewer worden alleen in het geheugen verwerkt;
• conversies zijn alleen toegankelijk voor het account of de browsersessie waarmee zij zijn gemaakt;
• beheertoegang tot de servers alleen voor bevoegde personen met persoonlijke sleutels;
• automatische verwijdering na vaste termijnen (artikel 11) en dagelijkse back-ups van de database, die na 14 dagen worden verwijderd;
• bewaking van de beschikbaarheid van de dienst.

7. Subverwerkers

U geeft de verwerker algemene toestemming om subverwerkers in te schakelen. Op dit moment zijn dat:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Duitsland: hosting van alle servers en gegevens, in Duitsland.
• Microsoft Ireland Operations Limited, Dublin, Ierland (Azure OpenAI): RGS-voorstellen voor namen en nummers van grootboekrekeningen die onze vaste regels niet zeker kunnen koppelen, en het lezen van PDF-grootboeken (volledige pagina’s). De Azure-resource staat in Sweden Central; de werkelijke verwerkingslocatie hangt af van het Azure-implementatietype en kan de EU-datazone of andere Azure-regio’s omvatten. Doorgifte buiten de EER is geregeld in de Microsoft-productvoorwaarden en het daarin opgenomen verwerkersaddendum.
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ierland (Google Workspace): alleen voor e-mail, dus alleen als u ons gegevens per e-mail stuurt.

De verwerker legt subverwerkers ten minste dezelfde verplichtingen op als in deze overeenkomst. Een nieuwe of andere subverwerker meldt de verwerker u ten minste 30 dagen vooraf per e-mail. U kunt binnen die termijn bezwaar maken; lossen wij dat niet samen op, dan kunt u de overeenkomst opzeggen.

8. Rechten van betrokkenen

De verwerker helpt u, voor zover redelijk, bij het beantwoorden van verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar). Conversies kunt u zelf op elk moment verwijderen in uw dashboard. Verzoeken die de verwerker rechtstreeks ontvangt, stuurt hij aan u door.

9. Ondersteuning

De verwerker ondersteunt u, rekening houdend met de aard van de verwerking en de informatie waarover hij beschikt, bij uw verplichtingen uit de artikelen 32 tot en met 36 AVG, zoals beveiliging, het melden van datalekken en een gegevensbeschermingseffectbeoordeling.

10. Datalekken

De verwerker meldt u een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk 48 uur nadat hij die heeft ontdekt, met de informatie die u volgens artikel 33 lid 3 AVG nodig heeft. Hij neemt direct maatregelen om de gevolgen te beperken.

11. Verwijderen en teruggeven

Conversies worden automatisch verwijderd: zonder account na 7 dagen, in een account na 90 dagen. U kunt ze eerder zelf verwijderen en de resultaten tot dan downloaden. Als u uw account verwijdert, worden uw account en conversies direct verwijderd. Uit de back-ups verdwijnen verwijderde gegevens uiterlijk 15 dagen later.

12. Informatie en audits

De verwerker stelt u alle informatie ter beschikking die nodig is om aan te tonen dat hij zich aan artikel 28 AVG houdt. U kunt, na een aankondiging van ten minste 30 dagen, een audit laten uitvoeren door uzelf of door een onafhankelijke auditor die tot geheimhouding is verplicht, ten hoogste eenmaal per jaar en tijdens kantooruren, behalve na een datalek. De kosten van de audit zijn voor u, tenzij de audit een tekortkoming van de verwerker aantoont.

13. Aansprakelijkheid en slotbepalingen

Voor de aansprakelijkheid geldt artikel 8 van de algemene voorwaarden, onverminderd artikel 82 AVG. Bij strijd tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor waar het om de bescherming van persoonsgegevens gaat. Verder geldt artikel 11 van de algemene voorwaarden (Duits recht, rechter in Frankfurt am Main).

Vragen over deze overeenkomst: support@xaf-ok.nl.