Verwerkersovereenkomst

Partijen

• De klant: de onderneming die een account voor BTW Kwartier heeft. De klant is de verwerkingsverantwoordelijke, hierna "Verantwoordelijke".
• JRK Digital Media B.V.: Johan de Wittlaan 7, 2517 JR Den Haag, KvK 98096591, info@jrkdm.com, hierna "Verwerker" of "JRK".

1. Begrippen

Begrippen uit de Algemene Verordening Gegevensbescherming (AVG), zoals persoonsgegevens, verwerking, inbreuk in verband met persoonsgegevens (datalek) en subverwerker, hebben in deze overeenkomst dezelfde betekenis. De "Dienst" is BTW Kwartier zoals beschreven in de algemene voorwaarden.

2. Onderwerp en instructie

2.1 Verwerker verwerkt persoonsgegevens uitsluitend namens Verantwoordelijke en op diens instructie, om de Dienst te leveren. De instructie staat in bijlage 1. Het gebruik van de Dienst door Verantwoordelijke, zoals uploaden, vragen beantwoorden, exporteren en verwijderen, geldt als aanvullende instructie.

2.2 Verwerker verwerkt de persoonsgegevens niet voor eigen doeleinden, behalve voor wat de wet verlangt, voor de beveiliging en het voorkomen van misbruik van de Dienst, en voor het bewijs van bevestigingen zoals in de algemene voorwaarden. Verwerker gebruikt de persoonsgegevens niet om AI-modellen te trainen en verkoopt ze niet.

2.3 Vindt Verwerker dat een instructie in strijd is met de AVG, dan meldt Verwerker dat direct aan Verantwoordelijke.

2.4 Moet Verwerker op grond van de wet persoonsgegevens verstrekken aan een overheidsinstantie, dan informeert Verwerker Verantwoordelijke vooraf, tenzij de wet dat verbiedt.

3. Duur

Deze overeenkomst geldt zolang Verwerker persoonsgegevens voor Verantwoordelijke verwerkt. Zij eindigt met het account van Verantwoordelijke, met inachtneming van artikel 12.

4. Vertrouwelijkheid

Verwerker zorgt ervoor dat alleen medewerkers toegang hebben die dat voor hun werk nodig hebben, bijvoorbeeld voor ondersteuning of het oplossen van storingen. Die medewerkers zijn tot geheimhouding verplicht. Toegang van medewerkers tot gegevens van de klant wordt in een logboek vastgelegd.

5. Beveiliging

5.1 Verwerker neemt passende technische en organisatorische maatregelen (artikel 32 AVG). Ze staan in bijlage 2 en worden periodiek geëvalueerd.

5.2 Verwerker mag de maatregelen aanpassen, zolang het beveiligingsniveau niet daalt.

6. Bijstand

Verwerker helpt Verantwoordelijke, voor zover redelijk en met de middelen van de Dienst, bij het afhandelen van verzoeken van betrokkenen (inzage, correctie, verwijdering, export), bij een gegevensbeschermingseffectbeoordeling en een voorafgaande raadpleging (artikelen 35 en 36 AVG), en bij meldingen van datalekken (artikelen 33 en 34 AVG). Verzoeken die rechtstreeks bij Verwerker binnenkomen, stuurt Verwerker door aan Verantwoordelijke. Bijstand die verder gaat dan wat de Dienst standaard biedt, kan tegen een redelijk uurtarief worden gefactureerd.

7. Subverwerkers

7.1 Verantwoordelijke geeft algemene toestemming voor het inschakelen van subverwerkers. De actuele lijst staat op de pagina subverwerkers en vormt bijlage 3.

7.2 Een nieuwe of vervangende subverwerker kondigt Verwerker ten minste 30 dagen vooraf aan, in de app of per e-mail. Verantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken. Komen partijen niet tot een oplossing, dan kan Verantwoordelijke het abonnement kosteloos opzeggen tegen de ingangsdatum van de wijziging.

7.3 Verwerker legt aan elke subverwerker ten minste dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover Verantwoordelijke verantwoordelijk voor de subverwerker.

8. Doorgifte buiten de EER

Verwerker verwerkt persoonsgegevens in de Europese Economische Ruimte. Doorgifte daarbuiten vindt alleen plaats als aan hoofdstuk V AVG is voldaan, bijvoorbeeld met een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie, en wordt op de pagina subverwerkers vermeld.

9. Datalekken

9.1 Verwerker meldt een datalek dat persoonsgegevens van Verantwoordelijke betreft zonder onredelijke vertraging en uiterlijk binnen 36 uur na ontdekking aan de eigenaar van het account, per e-mail en in de app.

9.2 De melding bevat, voor zover bekend: de aard van het lek, de categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen en een contactpersoon. Ontbrekende informatie levert Verwerker zo snel mogelijk na.

9.3 Verantwoordelijke beslist of het lek aan de Autoriteit Persoonsgegevens en aan betrokkenen wordt gemeld. Verwerker meldt niet zelf namens Verantwoordelijke, tenzij Verantwoordelijke daarom vraagt.

9.4 Verwerker documenteert elk datalek, ook als het niet gemeld hoeft te worden.

10. Controle

10.1 Verwerker stelt Verantwoordelijke de informatie ter beschikking die nodig is om naleving aan te tonen, zoals een beschrijving van de maatregelen of, als die er is, een rapport of verklaring van een onafhankelijke derde.

10.2 Is dat aantoonbaar onvoldoende, dan mag Verantwoordelijke ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht, na een aankondiging van ten minste 30 dagen, op kosten van Verantwoordelijke en zonder de bedrijfsvoering of gegevens van andere klanten te raken.

11. Aansprakelijkheid

Voor de aansprakelijkheid van partijen geldt artikel 13 van de algemene voorwaarden, behalve waar de AVG dwingend anders bepaalt (artikel 82 AVG).

12. Bewaren, teruggave en verwijdering

12.1 Zolang het account bestaat, bewaart Verwerker de gegevens voor Verantwoordelijke. Het bestand van een origineel document of bankafschrift verwijdert Verwerker automatisch 7 jaar na het einde van het kwartaal waar het bij hoort; de daaruit gehaalde gegevens blijven bewaard zolang het account bestaat.

12.2 Na het einde van het abonnement is het account alleen-lezen en kan Verantwoordelijke gedurende 90 dagen alle gegevens exporteren. Vraagt Verantwoordelijke in de app om het account te verwijderen, dan stopt het abonnement direct en begint dezelfde termijn. Het abonnement stopt dan direct en al betaalde tijd vervalt zonder terugbetaling; Verantwoordelijke kan het verzoek tot de verwijderdatum intrekken. Had Verantwoordelijke nooit een betaald abonnement, dan begint dezelfde termijn na 12 maanden zonder inloggen of activiteit; inloggen maakt dat ongedaan.

12.3 Iedereen met toegang tot het account krijgt 14 dagen voor de verwijdering een e-mail; Verwerker verwijdert nooit eerder dan 14 dagen na die e-mail. Staat er nog een betaling open, dan wacht Verwerker met verwijderen tot die is afgehandeld. Daarna verwijdert Verwerker alle persoonsgegevens van Verantwoordelijke, waaronder originele documenten, transacties, aangiften, vragen, regels en ruwe AI-uitkomsten, en maakt de gebruikers anoniem. Back-ups worden binnen 35 dagen daarna overschreven. Op verzoek bevestigt Verwerker de verwijdering schriftelijk.

12.4 Verwerker bewaart alleen wat Verwerker voor zijn eigen wettelijke plichten nodig heeft: de facturen aan Verantwoordelijke, de vastlegging van het akkoord met de voorwaarden en van bevestigingen van aangiften, een logboek met alleen verwijzingen een verslag dat de verwijdering heeft plaatsgevonden, met alleen data en aantallen, en geanonimiseerde gegevens over vergoedingen van partner-kantoren, elk 7 jaar.

12.5 De fiscale bewaarplicht van de administratie (artikel 52 Algemene wet inzake rijksbelastingen) ligt bij Verantwoordelijke. Verantwoordelijke exporteert de administratie voordat het account eindigt.

13. Slot

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Den Haag. Bij strijd tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor wat betreft de verwerking van persoonsgegevens.

Bijlage 1: instructie

• Doel: het voorbereiden van de kwartaalaangifte omzetbelasting van Verantwoordelijke: inlezen van bankafschriften en documenten, koppelen, vragen stellen, een concept berekenen, onafhankelijke controle, bevestiging vastleggen, tonen en exporteren.
• Betrokkenen: klanten, leveranciers en andere tegenpartijen van Verantwoordelijke; de eigenaar, bestuurders en medewerkers van Verantwoordelijke; bij een eenmanszaak de ondernemer zelf.
• Gegevens: namen, adressen, KvK- en btw-nummers van tegenpartijen; rekeningnummers (versleuteld opgeslagen); omschrijvingen van betalingen; bedragen en data; inhoud van facturen en bonnen; antwoorden op vragen; e-mailadressen van doorgestuurde documenten. Een BSN dat toevallig in een document staat, wordt gemaskeerd voordat het document door AI wordt gelezen.
• Bijzondere gegevens: niet beoogd. Omschrijvingen van betalingen kunnen toevallig zulke gegevens bevatten; die worden niet apart verwerkt of geanalyseerd.
• Verwerkingen: opslaan, lezen met AI, classificeren, koppelen, berekenen, tonen, exporteren, verwijderen, en de controle van btw-nummers bij VIES (alleen het nummer).
• Locatie: Europese Unie, zie de pagina subverwerkers.
• Bewaartermijn: zoals in artikel 12.

Bijlage 2: beveiligingsmaatregelen

• Tweestapsverificatie verplicht voor alle gebruikers; rollen en scheiding per bedrijf; opnieuw bevestigen met de tweestapscode bij gevoelige handelingen.
• Scheiding tussen klanten in de database met row-level security.
• Versleutelde verbindingen (TLS), versleutelde opslag en extra versleuteling van gevoelige velden zoals rekeningnummers en het geheim voor tweestapsverificatie.
• AI alleen via endpoints in de EU; BSN en rekeningnummers worden gemaskeerd vóór verzending; tekst die op instructies lijkt wordt gemarkeerd en niet gebruikt zonder bevestiging; van AI-aanroepen worden alleen technische gegevens gelogd.
• Een logboek van beslissingen, bevestigingen, exports en toegang door medewerkers.
• Toegang voor medewerkers alleen als dat nodig is, met geheimhouding.
• Dagelijkse back-ups met een herstelprocedure.
• Een vaste procedure bij datalekken, met melding aan de klant binnen 36 uur.

Bijlage 3: subverwerkers

De subverwerkers staan op de pagina subverwerkers. De versie die geldt op het moment van acceptatie van de voorwaarden maakt deel uit van deze overeenkomst; wijzigingen gaan volgens artikel 7.