Deze verwerkersovereenkomst hoort bij de gebruiksvoorwaarden van HELD en regelt hoe wij omgaan met de persoonsgegevens die jij in HELD invoert of laat inlezen. Zij is opgesteld volgens artikel 28 van de Algemene Verordening Gegevensbescherming (AVG/GDPR).
Je hoeft hier niets te tekenen. Artikel 28 lid 9 AVG vraagt een schriftelijke overeenkomst, met inbegrip van de elektronische vorm. Door bij het aanmaken van je account de gebruiksvoorwaarden te aanvaarden, komt deze overeenkomst tot stand. Wij leggen vast wanneer je dat deed en welke versie je aanvaardde. Wil je toch een ondertekend exemplaar op papier, bijvoorbeeld voor je boekhouder of je eigen klanten, mail dan naar info@bureaubattel.be.
De Verantwoordelijke: de onderneming waarvoor je in HELD een omgeving aanmaakt of waarvan je lid wordt. Bij de registratie bevestig je dat je die onderneming mag verbinden. De contactgegevens zijn die van je HELD-account en van de omgeving.
De Verwerker: Bureau Battel BV, Wilgenlaan 32, 8210 Loppem (Zedelgem), België, ondernemingsnummer BE 1003.468.760, vertegenwoordigd door zaakvoerder Mathijs Battel.
Samen “de Partijen”. Overwegende dat:
komen Partijen het volgende overeen.
1.1 Deze overeenkomst regelt de verwerking van persoonsgegevens door de Verwerker in opdracht van de Verantwoordelijke in het kader van het gebruik van HELD.
1.2 Aard en doel. De Verwerker verwerkt de gegevens uitsluitend om HELD ter beschikking te stellen: het opslaan, ordenen, categoriseren, berekenen en tonen van financiële gegevens, het beheren van gebruikersaccounts en toegangsrechten, het versturen van functionele e-mails, en het bieden van ondersteuning op vraag van de Verantwoordelijke.
1.3 Uitdrukkelijk uitgesloten. De Verwerker gebruikt de gegevens niet voor eigen doeleinden, niet voor reclame, niet voor profilering, en niet om modellen te trainen. De Verwerker verkoopt geen gegevens en geeft ze niet door aan derden buiten de subverwerkers in artikel 6.
1.4 Duur. Deze overeenkomst geldt zolang de Verantwoordelijke een omgeving in HELD heeft, en eindigt van rechtswege bij de beëindiging daarvan, onverminderd artikel 10.
1.5 Kosteloze testperiode. Neemt de Verantwoordelijke deel als tester, dan geldt deze overeenkomst onverkort. Het kosteloze karakter van de dienst doet geen afbreuk aan de verplichtingen van de Verwerker.
2.1 Categorieën betrokkenen:
2.2 Categorieën persoonsgegevens:
| Categorie | Voorbeelden | Herkomst |
|---|---|---|
| Accountgegevens | e-mailadres, versleuteld wachtwoord, rol, aanmeldmomenten | opgegeven bij registratie |
| Bedrijfsgegevens | naam, ondernemingsnummer, adres, openingsuren | ingevoerd door de gebruiker |
| Financiële gegevens | banktransacties met naam en rekeningnummer van tegenpartijen, mededelingen, bedragen | geïmporteerd of via bankkoppeling |
| Loongegevens | naam van de werknemer, brutoloon, kosten per werknemer | geüploade loonbrieven |
| Kassagegevens | verkoopregels, tijdstippen, betaalmethode | geüploade kassa-export |
| Kredietgevers | bij een winwinlening: naam, e-mailadres, adres, PMV-referentienummer | ingevoerd door de gebruiker |
| Facturen en bijlagen | wat de gebruiker zelf oplaadt | geüpload |
| Bankkoppeling | versleutelde toegangstokens, rekeningnummers, saldo | via de vergunde aanbieder |
2.3 Er worden geen bijzondere categorieën persoonsgegevens in de zin van artikel 9 AVG gevraagd, en evenmin een rijksregisternummer. Voert de Verantwoordelijke die toch in, dan gebeurt dat op zijn eigen verantwoordelijkheid en brengt hij de Verwerker daarvan vooraf op de hoogte.
2.4 De Verantwoordelijke staat ervoor in dat hij deze gegevens rechtmatig mag verwerken en dat hij de betrokkenen daarover heeft geïnformeerd.
3.1 De Verwerker verwerkt de gegevens uitsluitend op schriftelijke instructie van de Verantwoordelijke. Deze overeenkomst, de gebruiksvoorwaarden en het gebruik van de functies van HELD gelden als zulke instructie.
3.2 Verplicht een wettelijke bepaling de Verwerker tot een verwerking buiten die instructies, dan meldt hij dat vooraf, tenzij die wet dat verbiedt om gewichtige redenen van algemeen belang.
3.3 De Verwerker stelt de Verantwoordelijke onmiddellijk in kennis wanneer naar zijn oordeel een instructie in strijd is met de AVG of met andere gegevensbeschermingswetgeving.
4.1 De Verwerker verbindt zich tot geheimhouding van alle persoonsgegevens waartoe hij toegang heeft.
4.2 Iedereen die onder het gezag van de Verwerker toegang heeft, is contractueel of wettelijk tot vertrouwelijkheid gehouden. Op de datum bovenaan deze pagina heeft uitsluitend de zaakvoerder van de Verwerker die toegang. Breidt dat uit, dan verbindt de Verwerker zich ertoe elke bijkomende persoon eerst schriftelijk tot geheimhouding te binden.
4.3 De geheimhouding blijft gelden na afloop van deze overeenkomst.
5.1 De Verwerker neemt passende technische en organisatorische maatregelen in de zin van artikel 32 AVG. De maatregelen die op de datum bovenaan deze pagina gelden, staan in bijlage 2.
5.2 De Verwerker mag die maatregelen aanpassen zolang het beschermingsniveau gelijkwaardig blijft of verbetert.
5.3 De Verantwoordelijke erkent dat hij zelf verantwoordelijk is voor het zorgvuldig beheer van zijn toegangsgegevens en voor de rechten die hij aan andere gebruikers toekent binnen zijn omgeving.
6.1 De Verantwoordelijke geeft algemene toestemming voor het inschakelen van subverwerkers. De Verwerker legt hun dezelfde verplichtingen op als in deze overeenkomst, en blijft jegens de Verantwoordelijke volledig aansprakelijk voor hun handelen.
6.2 Op de datum bovenaan deze pagina zijn dat:
| Subverwerker | Rol | Vestiging gegevens |
|---|---|---|
| Supabase (Supabase Inc.) | databank, accountbeheer, back-ups | Europese Unie (Ierland) |
| Vercel (Vercel Inc.) | hosting van de toepassing | Europese Unie |
| Resend (Resend Inc.) | verzending van functionele e-mails | Europese Unie |
| Enable Banking / Ponto (Isabel Group) | vergunde toegang tot de bankrekening | Europese Unie |
| Google Ireland Ltd. | uitsluitend indien de Verantwoordelijke zelf cloudmap-synchronisatie instelt | volgens het Google-account van de Verantwoordelijke |
6.3 De Verwerker meldt een wijziging of toevoeging minstens dertig (30) kalenderdagen vooraf per e-mail. De Verantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken. Blijft het bezwaar staan, dan mag de Verantwoordelijke deze overeenkomst en zijn account kosteloos beëindigen; de Verwerker is dan geen schadevergoeding verschuldigd.
6.4 De laatste twee subverwerkers worden enkel ingeschakeld wanneer de Verantwoordelijke die functie zelf activeert. Doet hij dat niet, dan bereiken zijn gegevens die partijen niet.
7.1 De gegevens worden opgeslagen binnen de Europese Unie.
7.2 Is een doorgifte buiten de EER toch nodig, dan gebeurt die enkel op grond van een adequaatheidsbesluit of van de standaardcontractbepalingen van de Europese Commissie, en meldt de Verwerker dat vooraf.
8.1 Rechten van betrokkenen. Ontvangt de Verwerker rechtstreeks een verzoek van een betrokkene, dan beantwoordt hij dat niet zelf, maar stuurt hij het binnen vijf (5) werkdagen door naar de Verantwoordelijke. Hij verleent redelijke bijstand om het verzoek te beantwoorden.
8.2 HELD bevat functies waarmee de Verantwoordelijke die rechten grotendeels zelf uitoefent: inzage, verbetering, een volledige export van zijn gegevens, en het wissen van zijn account.
8.3 De Verwerker verleent bijstand bij een gegevensbeschermingseffectbeoordeling en bij een voorafgaande raadpleging van de toezichthouder, voor zover de aard van de verwerking dat vereist en de informatie hem redelijkerwijs ter beschikking staat.
9.1 De Verwerker stelt de Verantwoordelijke zonder onredelijke vertraging en uiterlijk binnen achtenveertig (48) uur na kennisname in kennis van een inbreuk die diens gegevens treft, per e-mail aan het adres van zijn HELD-account.
9.2 Die melding bevat minstens: de aard van de inbreuk, de betrokken categorieën en het aantal betrokkenen en gegevens bij benadering, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen, en een contactpunt.
9.3 Is niet alle informatie meteen beschikbaar, dan meldt de Verwerker wat hij weet en vult hij aan zodra hij meer weet.
9.4 De melding aan de toezichthoudende autoriteit en, in voorkomend geval, aan de betrokkenen, gebeurt door de Verantwoordelijke. De Verwerker verleent daarbij redelijke bijstand.
9.5 De Verwerker houdt een register bij van inbreuken die de Verantwoordelijke betreffen en stelt dat op verzoek ter beschikking.
10.1 De Verantwoordelijke kan op elk moment, ook vóór het einde, zelf een volledige export van zijn gegevens maken via de exportfunctie van HELD, in een gangbaar machineleesbaar formaat. Teruggave vereist dus geen tussenkomst van de Verwerker.
10.2 Naar keuze van de Verantwoordelijke worden de gegevens teruggegeven of gewist. Laat hij binnen de termijn hieronder niets weten, dan geldt dat als een keuze voor wissen. De Verwerker wist alle gegevens van de Verantwoordelijke binnen dertig (30) kalenderdagen na het einde van de overeenkomst. Die termijn stemt overeen met wat het privacybeleid van HELD publiek belooft.
10.3 Wenst de Verantwoordelijke dat de Verwerker een export voor hem aanmaakt in plaats van ze zelf te downloaden, dan vraagt hij dat vóór het verstrijken van die termijn. De Verwerker levert ze binnen vijftien (15) kalenderdagen.
10.4 Bestaande back-ups verdwijnen mee binnen dezelfde termijn van dertig (30) dagen, via de bewaarcyclus van de subverwerker. Zolang ze bestaan blijven de verplichtingen uit deze overeenkomst erop van toepassing.
10.5 De Verwerker mag gegevens langer bewaren voor zover een wettelijke bewaarplicht dat oplegt; hij bewaart dan enkel wat die plicht vereist.
11.1 De Verwerker stelt op eenvoudig verzoek alle informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen, en antwoordt binnen dertig (30) kalenderdagen.
11.2 De Verantwoordelijke kan eenmaal per kalenderjaar een audit laten uitvoeren, met een aankondiging van minstens dertig (30) kalenderdagen, tijdens de kantooruren en zonder de dienstverlening onnodig te verstoren. Een externe auditor is vooraf tot geheimhouding gehouden.
11.3 De kosten van die audit draagt de Verantwoordelijke, tenzij daaruit een wezenlijke tekortkoming van de Verwerker blijkt; dan draagt de Verwerker ze.
11.4 Bij een redelijk vermoeden van een inbreuk kan een bijkomende audit plaatsvinden zonder die jaarlijkse beperking.
12.1 Elke Partij is aansprakelijk voor de schade die voortvloeit uit haar eigen niet-naleving van de AVG, overeenkomstig artikel 82 AVG.
12.2 De aansprakelijkheid van de Verwerker is beperkt tot het bedrag dat de Verantwoordelijke in de twaalf maanden vóór het schadegeval voor de dienst betaald heeft, met een minimum van € 2.500 per schadegeval. Die ondergrens geldt uitdrukkelijk ook tijdens een kosteloze testperiode, waarin het betaalde bedrag nul is.
12.3 Deze beperking geldt niet bij opzet, bij grove schuld, bij schade aan leven of gezondheid, bij een boete van de toezichthouder die het gevolg is van een tekortkoming van de Verwerker, en evenmin in gevallen waarin de wet een beperking niet toelaat.
13.1 Deze overeenkomst maakt onlosmakelijk deel uit van de gebruiksvoorwaarden van HELD. Bij tegenstrijdigheid over gegevensbescherming heeft deze overeenkomst voorrang.
13.2 Wijzigingen gebeuren schriftelijk. Een wijziging die de verplichtingen van de Verantwoordelijke verzwaart of zijn rechten beperkt, wordt dertig (30) kalenderdagen vooraf gemeld en pas van kracht nadat de Verantwoordelijke de nieuwe versie in HELD aanvaardt. Aanvaardt hij niet, dan mag hij de overeenkomst kosteloos beëindigen. Een wijziging die enkel voortvloeit uit gewijzigde wetgeving of die uitsluitend in het voordeel van de Verantwoordelijke is, mag de Verwerker doorvoeren mits schriftelijke melding.
13.3 Is een bepaling nietig, dan blijven de overige bepalingen gelden en vervangen Partijen de nietige bepaling door een geldige met een zo gelijkaardig mogelijk gevolg.
13.4 Op deze overeenkomst is het Belgisch recht van toepassing. Geschillen behoren tot de bevoegdheid van de ondernemingsrechtbank Gent, afdeling Brugge, onverminderd dwingende bevoegdheidsregels.
13.5 Totstandkoming en bewijs. Deze overeenkomst komt tot stand door de elektronische aanvaarding bij de registratie, overeenkomstig artikel 28 lid 9 AVG. De Verwerker registreert daarbij het tijdstip en het versienummer van de aanvaarde documenten en stelt dat bewijs op verzoek ter beschikking van de Verantwoordelijke.
| Verantwoordelijke | Verwerker | |
|---|---|---|
| Contactpersoon | de eigenaar van de HELD-omgeving | Mathijs Battel |
| E-mail voor meldingen | het e-mailadres van het HELD-account van de eigenaar | info@bureaubattel.be |
Geen van beide Partijen heeft een functionaris voor gegevensbescherming aangesteld; op de datum bovenaan deze pagina is dat voor geen van beide wettelijk verplicht. Wijzigt het contactadres van de Verantwoordelijke, dan past hij dat zelf aan in HELD.
Zoals van toepassing op de datum bovenaan deze pagina.