Bijlage 1: Verwerkersovereenkomst

Jij bent verwerkingsverantwoordelijke voor de persoonsgegevens in je administratie. Wij zijn verwerker: we verwerken die gegevens alleen voor jou, om Snabbo te leveren.

Voor de gegevens van je eigen account zijn wij zelf verantwoordelijk. Dat staat in de privacyverklaring, niet in deze overeenkomst.

Onderwerp

Het leveren van Snabbo, een online boekhoudprogramma, zoals de algemene voorwaarden het beschrijven.

Aard

Opslaan, ordenen, raadplegen, wijzigen en wissen; het lezen van bonnen en facturen met AI, als de AI aan staat; het ophalen van banktransacties als je je bank koppelt; het versturen van mail die jij laat versturen, zoals een factuur aan je klant; en het maken van downloads en back-ups.

Doel

Alleen om Snabbo aan jou te leveren, te beveiligen en te laten werken. We gebruiken de gegevens niet voor eigen doelen: niet voor reclame, niet om te verkopen en niet om AI-modellen te trainen.

Deze overeenkomst loopt zolang wij persoonsgegevens voor je verwerken: zolang je account bestaat, ook als je administratie in het archief staat. Ze eindigt als alles is gewist (artikel 12).

Van wie

Je klanten en leveranciers en hun contactpersonen; mensen die in je bankposten staan, zoals wie jij betaalt of wie jou betaalt; mensen die op je bonnen, facturen en andere documenten staan; afzenders van mail aan je mailadres voor facturen; en jijzelf, voor zover je privézaken in je administratie staan.

Welke gegevens

Namen, adressen, e-mailadressen en telefoonnummers; KvK- en btw-nummers; rekeningnummers (IBAN); bedragen, datums en omschrijvingen van betalingen en facturen; de inhoud van documenten (pdf's en foto's) en van mail aan je mailadres voor facturen.

Bijzondere gegevens

Neem niet meer persoonsgegevens op dan nodig is voor je administratie. Snabbo is niet ingericht als patiëntendossier of voor strafrechtelijke dossiers. Bevat je administratie toch bijzondere of strafrechtelijke persoonsgegevens, bijvoorbeeld gezondheidsgegevens op een factuur, dan is "nodig voor de boekhouding" niet genoeg: daarvoor moet ook een specifieke wettelijke uitzondering of bevoegdheid gelden. Bespreek dit vooraf met ons. Totdat we passende afspraken en maatregelen hebben bevestigd, laat je zulke gegevens niet door de AI verwerken: zet de AI dan uit in Instellingen.

We verwerken de gegevens alleen op jouw instructies. Die instructies zijn de algemene voorwaarden, deze overeenkomst, en wat je in Snabbo doet en instelt, bijvoorbeeld een factuur versturen, je bank koppelen of de AI uitzetten.

Moeten we op grond van de wet iets anders doen, bijvoorbeeld door een bevel van een rechter, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt. Vinden we dat een instructie in strijd is met de privacywet (AVG), dan zeggen we dat.

We houden de gegevens geheim. Alleen wie voor ons werkt en de gegevens echt nodig heeft, kan erbij, en die heeft een geheimhoudingsplicht.

Voor support en beheer zien beheerders van Snabbo een beperkt overzicht over gebruikers heen: je naam, bedrijfsnaam, e-mailadres en btw-nummer; wanneer je je aanmeldde, voor het laatst inlogde en voor het laatst iets boekte; aantallen, zoals boekjaren, boekingen, facturen, inkoopfacturen, open bankposten en onbetaalde facturen; per boekjaar of de balans sluit en hoeveel bonnen ontbreken; de stand van je btw-aangiftes (open, ingediend of betaald, met de deadline, zonder bedragen); en hoeveel je de AI gebruikt en wat dat kost. De inhoud van je administratie, zoals je boekingen, bankposten, facturen, relaties en documenten, zien ze daar niet.

De helpdesk kan niet in je schermen meekijken en kan niet als jou inloggen. Wel kan de helpdesk je een mail laten sturen om een nieuw wachtwoord in te stellen. Die mail gaat alleen naar het e-mailadres van je account, de helpdesk ziet de link niet, en we leggen vast wie hem liet sturen.

We beperken de toegang van beheerders tot wat nodig is voor beheer en support: het overzicht en de herstelmail hierboven. Alleen wie bij ons als beheerder is aangewezen, heeft die toegang. We gebruiken de inhoud van je administratie niet voor eigen marketing of voor productanalyse.

We nemen passende technische en organisatorische maatregelen om de gegevens te beveiligen. Op dit moment onder meer:

• Snabbo draait op een server in Nederland die we zelf beheren. De verbinding is altijd versleuteld (HTTPS).
• De database zorgt ervoor dat elke gebruiker alleen zijn eigen gegevens ziet.
• Wachtwoorden slaan we alleen op als onomkeerbare hash (Argon2id). Tweestapsverificatie kun je aanzetten.
• Gevoelige gegevens, zoals je omzetbelastingnummer, de geheimen van tweestapsverificatie en de toegang tot je bank, slaan we versleuteld op.
• Elke nacht gaat er een versleutelde kopie naar een tweede plek in de EU. Het terugzetten van de database uit die kopie hebben we getest.
• Logbestanden bevatten standaard geen e-mailadressen of rekeningnummers, en er zijn grenzen tegen misbruik, zoals het raden van wachtwoorden.
• Naar OpenAI lakken we rekeningnummers en reeksen van 8 of 9 cijfers, zoals een BSN, in tekst weg. Bij foto's past Snabbo op dit moment geen automatische afscherming toe: de hele afbeelding gaat naar de AI-dienst.

We bekijken de maatregelen geregeld en verbeteren ze waar dat nodig is.

Je geeft ons algemene toestemming om subverwerkers in te schakelen. De partijen die we nu gebruiken, staan in de lijst met subverwerkers en andere dienstverleners (bijlage 2), met wat ze doen en waar.

Willen we een subverwerker toevoegen of vervangen, dan melden we dat minstens 30 dagen vooraf per e-mail: welke partij, waarvoor, en in welke landen die de gegevens verwerkt. Binnen die termijn kun je bezwaar maken, om redenen die met de bescherming van persoonsgegevens te maken hebben. Mail ons dan op info@bureauopdrift.nl.

We zoeken dan samen een oplossing. Zolang een gegrond bezwaar niet is opgelost, laten we de nieuwe partij jouw gegevens niet verwerken. Is er geen oplossing, dan bespreken we het beëindigen van het betrokken onderdeel of van de dienst, met een veilige manier om je gegevens terug te krijgen. Stoppen kost je niets.

Staat je administratie in het archief, dan blijven Leaseweb, Backblaze en Resend nodig: de server, de back-up en de mail vóór het einde van het archief. Ook dan kun je bezwaar maken; stoppen met actief gebruik neemt je bezwaar niet weg.

We leggen elke subverwerker dezelfde plichten op als in deze overeenkomst staan, en we blijven tegenover jou verantwoordelijk voor wat zij doen.

Koppel je je bank via Ponto, dan sluit je zelf een overeenkomst met Isabel, de aanbieder van Ponto; Isabel is voor die dienst zelf verantwoordelijk. Koppel je een eigen AI-agent (API en MCP), dan kies je die partij zelf; dat is geen subverwerker van ons.

Sommige subverwerkers zitten buiten de Europese Economische Ruimte (EER), of kunnen van daaruit bij gegevens, zoals OpenAI en Resend in de Verenigde Staten. Dat gebeurt alleen met de waarborgen die de AVG eist: een besluit van de Europese Commissie dat het land passend beschermt (zoals het EU-VS Data Privacy Framework), of de standaardcontractbepalingen van de Europese Commissie. In bijlage 2 staat per partij wat er speelt.

Wil je meer weten over deze doorgifte, of een kopie van de waarborgen die voor een partij gelden, vraag het dan via info@bureauopdrift.nl.

Wil iemand zijn gegevens inzien, laten verbeteren of laten wissen, dan kun je dat meestal zelf in Snabbo: een relatie aanpassen of verwijderen, of gegevens downloaden. Komt zo'n verzoek bij ons binnen, dan sturen we het zonder vertraging naar je door. We beantwoorden het niet zelf, tenzij je ons dat vraagt.

We helpen je bij verzoeken van mensen over hun persoonsgegevens, en bij je verplichtingen rond beveiliging, datalekken, gegevensbeschermingseffectbeoordelingen (DPIA's) en voorafgaand overleg met de Autoriteit Persoonsgegevens. We houden daarbij rekening met de aard van de verwerking en met de informatie waarover we beschikken.

Hoe we die hulp praktisch regelen, spreken we met je af. Afspraken over kosten mogen noodzakelijke hulp of wettelijke termijnen niet in de weg staan.

Vragen en verzoeken over persoonsgegevens stuur je naar info@bureauopdrift.nl.

Worden we ons bewust van een datalek dat persoonsgegevens raakt die we voor je verwerken, dan informeren we je zonder onnodige vertraging en uiterlijk binnen 48 uur nadat we het hebben ontdekt. Dat doen we via het e-mailadres van je account.

We wachten niet tot alles is uitgezocht. Je krijgt de feiten die we kennen, de mogelijke gevolgen, de maatregelen die we nemen en een contactpunt. Wat nog ontbreekt, vullen we zo snel mogelijk aan. Zo kun je zelf beoordelen of je het binnen 72 uur moet melden bij de Autoriteit Persoonsgegevens, en aan de mensen om wie het gaat; we helpen je daarbij. We leggen elk datalek en onze opvolging vast.

Merk jij iets wat op een datalek in Snabbo lijkt, meld het ons dan direct via info@bureauopdrift.nl.

Bij het einde kies je of je eerst een kopie van je gegevens wilt, of dat je ze laat verwijderen. We wijzen je op je eigen bewaarplicht en bieden een volledige download aan (artikel 9 van de algemene voorwaarden). Heb je al een kopie, of zie je af van een download, dan is een nieuwe download geen voorwaarde voor je verzoek. Lukt de download niet, dan helpen we je via een andere veilige route.

Laat je alles verwijderen, dan wissen we je gegevens en documenten 30 dagen na je verzoek definitief, en uit de back-ups binnen 13 maanden. Binnen die 30 dagen kun je je verzoek nog intrekken. Een bewaarplicht die alleen voor jouw onderneming geldt, is voor ons geen reden om je verzoek te weigeren. Staat je administratie in het archief, dan wissen we alles aan het einde van de bewaartermijn. Stopt Snabbo zelf, dan wissen we na de exportperiode die we in de aankondiging noemen (artikel 12 van de algemene voorwaarden).

Daarna bewaren we alleen een regel in ons verwijderregister, zonder naam, e-mailadres of administratie, zodat we kunnen aantonen dat we hebben gewist.

Eist de wet dat we gegevens langer bewaren, dan bewaren we alleen die gegevens, en niet langer dan nodig.

We geven je de informatie die je nodig hebt om te controleren dat we ons aan deze overeenkomst houden. Vraag het via info@bureauopdrift.nl. Is die informatie niet genoeg, dan werken we mee aan een passende controle (audit) door jou, of door een onafhankelijke deskundige met een geheimhoudingsplicht die je aanwijst.

Een gewone controle plannen we in beginsel hooguit één keer per jaar, en minstens 30 dagen vooraf. Bij een datalek, bij concrete aanwijzingen dat we ons niet aan deze overeenkomst houden, of op verzoek van een toezichthouder maken we zo nodig sneller of vaker een controle mogelijk.

We beschermen daarbij de gegevens van andere gebruikers en onze beveiliging. Kosten spreken we vooraf af; ze mogen je wettelijke recht op controle niet feitelijk onmogelijk maken. Blijkt dat we tekortschoten, dan dragen wij de redelijke kosten van de controle die daarover gaat.

Voor deze overeenkomst geldt de aansprakelijkheid uit artikel 11 van de algemene voorwaarden, voor zover de wet dat toestaat.

Die beperking verandert niets aan de wettelijke rechten van de mensen van wie we persoonsgegevens verwerken. Ze beperkt ook niet de bevoegdheden van toezichthouders. Voor aanspraken tussen jou en ons geldt ze alleen voor zover het toepasselijke recht dat toestaat, met behoud van dwingende regels over aansprakelijkheid en onderling verhaal.

Spreken de algemene voorwaarden en deze overeenkomst elkaar tegen over persoonsgegevens, dan geldt deze overeenkomst.