Verwerkersovereenkomst

De klant is verwerkingsverantwoordelijke voor de persoonsgegevens die hij in de dienst vastlegt, zoals gegevens van zijn klanten, leveranciers en contactpersonen. BD Finance & Control, Rotterdam, KvK-nummer 42013390 is verwerker in de zin van artikel 28 AVG.

Wij verwerken persoonsgegevens uitsluitend om de dienst te leveren: opslaan, weergeven, berekenen, versturen van facturen en herinneringen op verzoek van de klant, en het uitlezen van bonnetjes. De overeenkomst loopt zolang de klant een account heeft.

• Betrokkenen: klanten, leveranciers en contactpersonen van de klant.
• Gegevens: namen, adressen, e-mailadressen, telefoonnummers, KvK- en btw-nummers, IBAN's en factuur- en transactiegegevens.
• Wij verwerken geen bijzondere persoonsgegevens, tenzij de klant die zelf invoert.

• Wij verwerken gegevens alleen op basis van de schriftelijke instructies van de klant, waaronder het gebruik van de dienst.
• Onze medewerkers zijn tot geheimhouding verplicht.
• Wij gebruiken de gegevens nooit voor eigen doeleinden en trainen er geen AI-modellen mee.
• Wij helpen de klant bij verzoeken van betrokkenen, bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij meldingen van datalekken.

• Versleuteling van alle verbindingen (TLS) en van gevoelige gegevens, zoals authenticator-geheimen.
• Gehashte wachtwoorden en sessietokens, tweestapsverificatie en accountvergrendeling.
• Strikte scheiding van gegevens per klant; iedere databasevraag is beperkt tot de ingelogde gebruiker.
• Beveiligingsheaders, snelheidsbeperking en een beveiligingslogboek.
• Regelmatige back-ups bij onze databaseleverancier.

De klant geeft algemene toestemming voor het inschakelen van de onderstaande subverwerkers. Wij leggen hun dezelfde verplichtingen op en informeren de klant ten minste 30 dagen van tevoren over een nieuwe subverwerker, zodat hij bezwaar kan maken.

• Vercel Inc. — Hosting van de applicatie en AI-verwerking (AI Gateway). EU-regio; doorgifte naar de VS op basis van het EU-US Data Privacy Framework en standaardcontractbepalingen.
• Neon Inc. (Databricks) — Opslag van de database. Versleuteld opgeslagen; doorgifte op basis van standaardcontractbepalingen.
• Mollie B.V. — Verwerking van abonnementsbetalingen (iDEAL, SEPA-incasso en creditcard). Nederland (EU).
• Google (Gemini, via Vercel AI Gateway) — Uitlezen van bonnetjes als u de scanfunctie gebruikt; afbeeldingen worden niet gebruikt om modellen te trainen. Verwerking via de AI Gateway van Vercel; doorgifte op basis van standaardcontractbepalingen.
• Resend Inc. — Versturen van transactionele e-mails (alleen als e-mail is ingeschakeld). Doorgifte op basis van standaardcontractbepalingen.

Wij melden een inbreuk in verband met persoonsgegevens zonder onredelmatige vertraging, en uiterlijk binnen 48 uur na ontdekking, aan de klant. Wij geven daarbij alle informatie die de klant nodig heeft om zelf binnen 72 uur een melding te doen bij de Autoriteit Persoonsgegevens.

De klant mag eenmaal per jaar, of na een datalek, op eigen kosten laten controleren of wij deze overeenkomst naleven. Wij werken daaraan redelijk mee.

Na afloop kan de klant zijn gegevens exporteren. Daarna verwijderen wij alle persoonsgegevens, tenzij de wet ons verplicht ze langer te bewaren.

Vragen over deze verwerkersovereenkomst? Neem contact op via privacy@easy-boekhouden.nl.