Verwerkersovereenkomst

Jij, als gebruiker van Faktr voor je onderneming (verwerkingsverantwoordelijke), en [naam van de onderneming achter Faktr], [adres, postcode en plaats], KvK [KvK-nummer] (verwerker).

• Faktr verwerkt de persoonsgegevens alleen om de dienst te leveren die in de algemene voorwaarden staat: je administratie bijhouden, facturen en mails versturen, betalingen en bankgegevens verwerken, bonnetjes opslaan en uitlezen, overzichten en exports maken, en back-ups.
• De overeenkomst duurt zolang Faktr gegevens voor je bewaart, ook na het opheffen van een administratie tot die is verwijderd (artikel 10).

• Betrokkenen: je klanten en leveranciers (en hun contactpersonen), wie je facturen betaalt, de tegenpartijen in je banktransacties, en de mensen die je toegang geeft tot je administratie.
• Gegevens: namen, adressen, e-mailadressen, KvK- en btw-nummers, IBANs, factuur- en betaalgegevens, omschrijvingen van banktransacties, bonnetjes, uren en ritten met hun omschrijving, en de e-mailadressen en rollen van gebruikers.
• Bijzondere persoonsgegevens (zoals gezondheid) en burgerservicenummers horen niet in Faktr. Zet je ze er toch in, dan is dat jouw verantwoordelijkheid.

• Faktr verwerkt de gegevens alleen zoals de dienst dat vraagt, of op jouw aanwijzing. Wat je in de app doet, geldt als die aanwijzing.
• Faktr gebruikt de gegevens niet voor zichzelf, verkoopt ze niet en geeft ze niet aan anderen, behalve aan de subverwerkers hieronder of als de wet dat verplicht. In dat laatste geval laten we het je weten, tenzij de wet dat verbiedt.
• Wie bij Faktr met de gegevens werkt, heeft geheimhouding afgesproken.

Faktr neemt in ieder geval deze maatregelen:

• Inloggen met wachtwoord en verplichte tweestapsverificatie; grenzen aan het aantal pogingen.
• Elke administratie is in de database afgeschermd van alle andere (row-level security), niet alleen in de app.
• Rollen per administratie (eigenaar, medewerker, boekhouder); alleen eigenaren beheren gebruikers, bedrijfsgegevens en het IBAN, en een IBAN wijzigen vraagt het wachtwoord.
• Versleutelde verbindingen; bonnetjes en back-ups versleuteld opgeslagen.
• Boekingen kunnen niet worden gewijzigd of gewist, alleen gecorrigeerd met een nieuwe boeking.
• Dagelijkse back-ups, die bij het maken worden teruggezet en gecontroleerd.
• Geen namen, bedragen of IBANs in technische logs.
• Updates van gebruikte software met bekende beveiligingslekken worden zo snel mogelijk doorgevoerd.

Je geeft Faktr toestemming om deze partijen in te schakelen. Met elk gelden afspraken die minstens even streng zijn als deze overeenkomst.

Een nieuwe of andere subverwerker laten we je minstens 30 dagen vooraf weten. Heb je er een gegronde reden tegen, dan zoeken we samen een oplossing; lukt dat niet, dan kun je stoppen zoals in de algemene voorwaarden staat.

De gegevens blijven in de Europese Unie, met één uitzondering: als je een bonnetje laat uitlezen, gaat de foto of pdf van dat bonnetje naar Anthropic in de Verenigde Staten, zonder andere gegevens. Daarvoor gelden de standaardcontractbepalingen van de Europese Commissie. Wil je dit niet, laat dan geen bonnetjes uitlezen en vul de bedragen zelf in.

Vraagt iemand jou om inzage, correctie of verwijdering van zijn gegevens, dan kun je dat meestal zelf in Faktr: gegevens aanpassen of de administratie downloaden. Lukt dat niet, dan helpen we je. Komt zo’n verzoek bij ons binnen, dan sturen we het door naar jou. Ook bij een gegevensbeschermingseffectbeoordeling (DPIA) of een vraag van de toezichthouder geven we je de informatie die we hebben.

Ontdekken we een beveiligingsincident waarbij persoonsgegevens uit je administratie betrokken (kunnen) zijn, dan laten we je dat zonder onredelijke vertraging weten, en uiterlijk binnen 48 uur na ontdekking. We vertellen wat er is gebeurd, welke gegevens het betreft, wat de gevolgen kunnen zijn en wat we eraan doen, zodat jij kunt beoordelen of je het moet melden bij de Autoriteit Persoonsgegevens of aan betrokkenen. We houden je op de hoogte en nemen maatregelen om de schade te beperken.

• Je kunt je administratie altijd downloaden, ook na het opheffen.
• Na het opheffen bewaren we de administratie voor jou tot 1 januari van het achtste jaar na het laatste boekjaar, zodat je aan je fiscale bewaarplicht voldoet. Daarna verwijderen we alle gegevens, met de bonnetjes; uit de back-ups verdwijnen ze binnen 35 dagen.
• Wil je eerder dat alles weg is, en weet je dat je de gegevens niet meer hoeft te bewaren, mail dan naar [e-mailadres voor vragen en privacyverzoeken].

• Je mag controleren of Faktr zich aan deze overeenkomst houdt. We geven je de informatie die daarvoor nodig is. Een audit door een onafhankelijke deskundige kan eens per jaar, op jouw kosten, na overleg over tijd en omvang.
• Voor aansprakelijkheid gelden de algemene voorwaarden. Bij strijd tussen beide gaat deze overeenkomst voor, voor wat persoonsgegevens betreft.