Verwerkersovereenkomst Finnibook
Bijlage 1 bij de Algemene Voorwaarden van Finnibook
Waarom dit document bestaat (leesbaar voor iedereen)
Als je Finnibook gebruikt, sla je gegevens op van jóuw klanten: namen, e-mailadressen, adressen op facturen. Volgens de privacywet (AVG) ben jij voor die gegevens de "verwerkingsverantwoordelijke" en zijn wij jouw "verwerker": wij bewaren en verwerken die gegevens alleen in jouw opdracht, om de Dienst te leveren. De wet verplicht ons om daar schriftelijke afspraken over te maken. Dat zijn de afspraken hieronder. Door de Algemene Voorwaarden te accepteren, accepteer je ook deze verwerkersovereenkomst. Er hoeft niets ondertekend te worden. Wil je (of je accountant) toch een exemplaar voor je eigen administratie, download dan deze pagina als PDF.
1. Partijen en rol
1.1. Deze verwerkersovereenkomst geldt tussen Finnibook Limited, gevestigd te Suite C, Level 7, World Trust Tower, 50 Stanley Street, Central, Hong Kong, geregistreerd onder nummer 80882878 (Companies Registry Hong Kong) ("Finnibook", de verwerker) en de gebruiker van de Dienst ("Gebruiker", de verwerkingsverantwoordelijke).
1.2. Zij vormt een onlosmakelijk onderdeel van de Algemene Voorwaarden en geldt zolang de overeenkomst tussen Gebruiker en Finnibook loopt.
1.3. Deze verwerkersovereenkomst ziet op de persoonsgegevens van derden die Gebruiker in de Dienst opslaat (met name gegevens van klanten van Gebruiker). Voor de persoonsgegevens van Gebruiker zelf (zoals accountgegevens) is Finnibook zelfstandig verwerkingsverantwoordelijke; daarop is het privacybeleid van toepassing.
2. Wat wij verwerken, en waarvoor
2.1. Onderwerp en doel van de verwerking: het leveren van de boekhoudfunctionaliteit van Finnibook: het opslaan, tonen, verwerken en op verzoek exporteren of verzenden van de administratie van Gebruiker.
2.2. Categorieën betrokkenen: klanten en zakelijke relaties van Gebruiker.
2.3. Categorieën persoonsgegevens: naam, e-mailadres, telefoonnummer, adres, KvK- en BTW-nummer, factuur- en betaalgegevens (bedragen, IBAN voor zover vermeld op documenten), en eventuele notities die Gebruiker zelf vastlegt.
2.4. Duur: de looptijd van de overeenkomst, plus de bewaarperiode na beëindiging zoals beschreven in artikel 9 van de Algemene Voorwaarden.
3. Onze verplichtingen als verwerker
3.1. Wij verwerken deze persoonsgegevens uitsluitend in opdracht van Gebruiker en alleen voor zover nodig om de Dienst te leveren. Wij gebruiken ze nooit voor eigen doeleinden en verkopen ze nooit.
3.2. De opdracht van Gebruiker bestaat uit het gebruik van de functies van de Dienst: een factuur versturen, een klant opslaan of een export maken: dat zijn de instructies. Aanvullende instructies kunnen per e-mail worden gegeven; als een instructie naar ons oordeel in strijd is met de AVG, melden wij dat.
3.3. Iedereen die bij Finnibook toegang heeft tot persoonsgegevens is gebonden aan geheimhouding.
3.4. Wij zijn niet verplicht een kopie van de gegevens als afzonderlijk archief aan te houden buiten de normale werking en back-ups van de Dienst.
4. Beveiliging
4.1. Wij nemen passende technische en organisatorische maatregelen om de gegevens te beschermen, waaronder:
- toegangscontrole op rijniveau in de database, zodat iedere Gebruiker uitsluitend zijn eigen gegevens kan benaderen;
- authenticatie met versleutelde wachtwoorden en beveiligde sessies;
- versleutelde verbindingen (HTTPS/TLS) voor al het dataverkeer;
- privéopslag van documenten (zoals bonnetjes), uitsluitend toegankelijk via tijdelijke, persoonlijke links;
- beperking van verzoeken (rate limiting) en beveiliging van de server-API;
- back-ups van de database bij onze EU-hostingpartij.
4.2. Wij ontwikkelen de beveiliging voortdurend door en mogen maatregelen aanpassen, mits het beschermingsniveau niet verslechtert.
5. Sub-verwerkers
5.1. Gebruiker geeft toestemming voor het inschakelen van sub-verwerkers. De actuele lijst staat op finnibook.com/subverwerkers en maakt deel uit van deze overeenkomst.
5.2. Bij het toevoegen of vervangen van een sub-verwerker werken wij die pagina bij en informeren wij Gebruiker per e-mail of via een melding in de Dienst, minimaal 14 dagen voordat de wijziging ingaat. Heeft Gebruiker redelijke bezwaren, dan treden we in overleg; biedt dat geen oplossing, dan kan Gebruiker de overeenkomst opzeggen conform de Algemene Voorwaarden.
5.3. Wij leggen aan iedere sub-verwerker verplichtingen op die gelijkwaardig zijn aan die in deze verwerkersovereenkomst en blijven jegens Gebruiker verantwoordelijk voor hun werk.
6. Doorgifte buiten de EU
6.1. De kerngegevens (database en documentopslag) worden binnen de Europese Unie opgeslagen.
6.2. Enkele sub-verwerkers verwerken gegevens in de Verenigde Staten. Voor die doorgifte steunen wij op het EU-US Data Privacy Framework voor zover de betreffende sub-verwerker daaronder gecertificeerd is, en aanvullend op de modelcontractbepalingen van de Europese Commissie (Standard Contractual Clauses). Details per partij staan op finnibook.com/subverwerkers.
7. Hulp bij rechten van betrokkenen
7.1. Als een klant van Gebruiker zich op zijn AVG-rechten beroept (inzage, correctie, verwijdering, enzovoort), is Gebruiker daarvoor het aanspreekpunt. De Dienst zelf biedt de belangrijkste middelen: Gebruiker kan gegevens inzien, corrigeren, exporteren en verwijderen.
7.2. Ontvangen wij zo'n verzoek rechtstreeks, dan sturen wij het door naar Gebruiker en handelen het niet zelfstandig af.
7.3. Waar redelijkerwijs nodig verlenen wij aanvullende bijstand, rekening houdend met de aard van de verwerking.
8. Datalekken
8.1. Ontdekken wij een inbreuk in verband met persoonsgegevens (datalek) die de gegevens van Gebruiker raakt, dan informeren wij Gebruiker zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, via het e-mailadres van het account.
8.2. Wij verstrekken daarbij de informatie die Gebruiker nodig heeft om zijn eigen wettelijke plichten na te komen (zoals melding bij de Autoriteit Persoonsgegevens): aard van de inbreuk, betrokken gegevens, waarschijnlijke gevolgen en genomen maatregelen, voor zover bekend.
8.3. De beoordeling of een melding aan de toezichthouder of betrokkenen nodig is, ligt bij Gebruiker als verwerkingsverantwoordelijke.
9. Controle
9.1. Op verzoek verstrekken wij Gebruiker de informatie die redelijkerwijs nodig is om aan te tonen dat wij deze verwerkersovereenkomst naleven, zoals een beschrijving van onze maatregelen en de sub-verwerkerslijst.
9.2. Volstaat dat aantoonbaar niet, dan mag Gebruiker maximaal eenmaal per jaar, na redelijke aankondiging en op eigen kosten, een audit laten uitvoeren door een onafhankelijke deskundige onder geheimhouding, zonder onnodige verstoring van onze bedrijfsvoering.
10. Einde van de overeenkomst
10.1. Na het einde van de overeenkomst geldt de regeling van artikel 9 van de Algemene Voorwaarden: Gebruiker kan zijn volledige administratie exporteren tot twee maanden na de opzegdatum, waarna de gegevens worden verwijderd, tenzij een wettelijke plicht langer bewaren vereist.
10.2. Het exporteren van de gegevens (teruggave) verloopt via de exportfunctie in de Dienst en is kosteloos.
11. Aansprakelijkheid
Op deze verwerkersovereenkomst is de aansprakelijkheidsregeling van artikel 14 van de Algemene Voorwaarden van toepassing.
12. Slotbepalingen
12.1. Bij strijdigheid tussen deze verwerkersovereenkomst en de Algemene Voorwaarden gaat, waar het de verwerking van persoonsgegevens van derden betreft, deze verwerkersovereenkomst voor.
12.2. Op deze verwerkersovereenkomst is hetzelfde recht van toepassing als op de Algemene Voorwaarden.