Verwerkersovereenkomst

1. Begrippen

Begrippen als persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, subverwerker, betrokkene en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis uit de Algemene Verordening Gegevensbescherming (AVG). Overige begrippen hebben de betekenis uit de algemene voorwaarden van FiscalDesk.

2. Onderwerp, aard en doel van de verwerking

FiscalDesk verwerkt persoonsgegevens om het platform aan het kantoor te leveren: het ontvangen, uitlezen, opslaan en boeken van documenten, het voeren van administraties, het koppelen van bankrekeningen en boekhoudpakketten, het opstellen en versturen van verkoopfacturen, en het geven van toegang aan het kantoorteam en aan klanten via de app. De specificatie staat in bijlage 1.

FiscalDesk verwerkt de persoonsgegevens niet voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet om AI-modellen te trainen.

3. Duur

Deze overeenkomst loopt zolang FiscalDesk in opdracht van het kantoor persoonsgegevens verwerkt. Bepalingen die naar hun aard ook na afloop gelden, zoals geheimhouding en verwijdering, blijven daarna van kracht.

4. Instructies van het kantoor

• FiscalDesk verwerkt persoonsgegevens alleen op basis van schriftelijke instructies van het kantoor. Het gebruik van de functies van het platform en de instellingen die het kantoor kiest, gelden als instructie.
• Is FiscalDesk wettelijk verplicht gegevens anders te verwerken, dan meldt het dat vooraf aan het kantoor, tenzij de wet dat verbiedt.
• Vindt FiscalDesk een instructie in strijd met de AVG, dan laat het dat het kantoor direct weten.
• Het kantoor staat ervoor in dat het de persoonsgegevens rechtmatig mag verwerken en laten verwerken, en dat het zijn klanten waar nodig informeert over het gebruik van FiscalDesk.

5. Geheimhouding

Iedereen die namens FiscalDesk toegang heeft tot persoonsgegevens, is tot geheimhouding verplicht. Die toegang is beperkt tot wat nodig is voor beheer, beveiliging of het afhandelen van een supportvraag van het kantoor.

6. Beveiliging

FiscalDesk neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beschermen tegen verlies en tegen onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten en de risico's (artikel 32 AVG). De maatregelen staan in bijlage 3.

FiscalDesk mag de maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.

7. Subverwerkers

• Het kantoor geeft FiscalDesk algemene toestemming om de subverwerkers uit bijlage 2 in te schakelen.
• FiscalDesk meldt een nieuwe of vervangende subverwerker ten minste dertig dagen vooraf per e-mail of in het dashboard. Het kantoor kan binnen die termijn met redenen bezwaar maken. Komen partijen er niet uit, dan kan het kantoor de overeenkomst kosteloos opzeggen.
• FiscalDesk legt aan iedere subverwerker ten minste dezelfde verplichtingen op als in deze overeenkomst, en blijft tegenover het kantoor verantwoordelijk voor de nakoming daarvan.
• Koppelingen die het kantoor zelf aanzet met een eigen account bij een derde, zoals een boekhoudpakket of een betaaldienst, zijn geen subverwerkers van FiscalDesk. Het kantoor heeft met die partij een eigen overeenkomst.

8. Doorgifte buiten de EER

FiscalDesk verwerkt de gegevens op servers in Nederland. Subverwerkers buiten de Europese Economische Ruimte (zie bijlage 2) schakelt FiscalDesk alleen in met passende waarborgen uit hoofdstuk V van de AVG, zoals de standaardcontractbepalingen van de Europese Commissie of een certificering onder het EU-VS Data Privacy Framework.

9. Rechten van betrokkenen

Het kantoor handelt verzoeken van betrokkenen af, zoals een verzoek om inzage, correctie of verwijdering. FiscalDesk helpt daarbij, voor zover redelijk, met de functies van het platform zoals exporteren en verwijderen. Krijgt FiscalDesk zelf een verzoek dat over een administratie van het kantoor gaat, dan stuurt het dat zonder onnodige vertraging door naar het kantoor.

10. Datalekken

• FiscalDesk meldt een datalek dat de persoonsgegevens van het kantoor betreft zonder onredelijke vertraging aan het kantoor, en in ieder geval binnen 48 uur nadat FiscalDesk ervan op de hoogte is.
• De melding bevat, voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het ongeveer betreft, de waarschijnlijke gevolgen, en de maatregelen die zijn of worden genomen. Informatie die later bekend wordt, vult FiscalDesk aan.
• Het kantoor beslist of het datalek wordt gemeld bij de Autoriteit Persoonsgegevens en aan betrokkenen. FiscalDesk helpt het kantoor daarbij.
• FiscalDesk houdt een overzicht bij van alle datalekken, met de feiten, de gevolgen en de genomen maatregelen.

11. Ondersteuning bij verplichtingen van het kantoor

FiscalDesk helpt het kantoor, voor zover redelijk en met de informatie die FiscalDesk heeft, bij het nakomen van zijn verplichtingen uit de artikelen 32 tot en met 36 AVG, zoals een gegevensbeschermingseffectbeoordeling (DPIA) of een voorafgaande raadpleging van de toezichthouder.

12. Informatie en audit

• FiscalDesk stelt het kantoor op verzoek alle informatie ter beschikking die nodig is om aan te tonen dat het zich aan deze overeenkomst houdt.
• Het kantoor mag de naleving eenmaal per jaar, of na een datalek, laten controleren door een onafhankelijke deskundige die tot geheimhouding is verplicht. Het kantoor kondigt een audit ten minste dertig dagen vooraf aan en draagt de kosten ervan, tenzij uit de audit blijkt dat FiscalDesk deze overeenkomst wezenlijk niet nakomt.
• Een audit verstoort de dienstverlening aan andere kantoren niet, en geeft geen toegang tot gegevens van andere kantoren.

13. Beëindiging, teruggave en verwijdering

• Het kantoor kan tijdens de looptijd en tot zestig dagen na het einde van de overeenkomst de gegevens exporteren en de documenten downloaden.
• Daarna verwijdert FiscalDesk de persoonsgegevens van het kantoor, tenzij een wettelijke plicht FiscalDesk verplicht ze langer te bewaren. Kopieën in versleutelde back-ups verdwijnen bij het gewone vervangen van die back-ups.
• De fiscale bewaarplicht voor de administraties rust op het kantoor en zijn klanten. Het kantoor zorgt ervoor dat het voor het einde van de overeenkomst een export maakt van wat het moet bewaren.
• Op verzoek bevestigt FiscalDesk schriftelijk dat de gegevens zijn verwijderd.

14. Aansprakelijkheid en rangorde

Voor de aansprakelijkheid onder deze overeenkomst geldt de regeling uit de algemene voorwaarden, voor zover de AVG dat toestaat. Zijn deze overeenkomst en de algemene voorwaarden met elkaar in strijd over de verwerking van persoonsgegevens, dan gaat deze overeenkomst voor.

Op deze overeenkomst is Nederlands recht van toepassing.

15. Bijlage 1: Specificatie van de verwerking

16. Bijlage 2: Subverwerkers

17. Bijlage 3: Beveiligingsmaatregelen

• Scheiding per kantoor met row-level security in PostgreSQL; de applicatie verbindt met een databaserol zonder beheerrechten, zodat die scheiding niet kan worden omzeild.
• Toegang op basis van rollen binnen het kantoorteam; klanten in de app zien alleen de administraties waarvoor ze zijn uitgenodigd.
• Versleutelde verbindingen (HTTPS/TLS) voor de website, het platform en de app.
• Wachtwoorden opgeslagen als hash; sleutels en tokens van gekoppelde diensten versleuteld opgeslagen; het toegangstoken van de app in de iOS-sleutelhanger.
• Virusscan met ClamAV op ieder bestand vóór verwerking; bestanden worden op hun inhoud gecontroleerd en niet op de bestandsnaam.
• Mail naar de factuurinbox: HTML wordt niet uitgevoerd en links worden niet opgehaald.
• Auditlogboek van belangrijke handelingen, dat niet kan worden gewijzigd.
• Iedere nacht een versleutelde back-up, en automatische bewaking van database, wachtrij, planner, schijfruimte, back-up en AI-herkenning, met een melding bij problemen.
• Beperking van het aantal verzoeken (rate limiting) op inloggen en openbare onderdelen.
• Live boekingen naar externe boekhoudpakketten alleen na uitdrukkelijke bevestiging per koppeling.