Verwerkers­overeenkomst

1Partijen en wanneer dit geldt

1. 1.1
   Deze verwerkersovereenkomst is een afspraak tussen jou, het bedrijf of de organisatie die OfficeFlow gebruikt (de verwerkings­verantwoordelijke), en OfficeFlow vof, Pootlaan 63, 4707 JB Roosendaal, ingeschreven bij de KVK onder nummer 42041799 (de verwerker).
2. 1.2
   Hij hoort bij de overeenkomst over OfficeFlow en bij onze algemene voorwaarden. Hij geldt vanaf het moment dat die overeenkomst begint, en zolang wij persoonsgegevens voor je verwerken.
3. 1.3
   Wil je een ondertekende versie, mail ons dan. We sturen je de verwerkersovereenkomst om te tekenen.
4. 1.4
   Woorden als persoonsgegevens, verwerken, betrokkene, subverwerker en datalek (in de AVG: inbreuk in verband met persoonsgegevens) betekenen hier hetzelfde als in de AVG.

2Wat we verwerken en waarom

1. 2.1
   We verwerken persoonsgegevens alleen om OfficeFlow voor je te leveren: bestellingen uitlezen, koppelen aan je klanten en artikelen, laten controleren en goedkeuren, exporteren of naar je pakket sturen, je klantgegevens en bellijst bijhouden, en de accounts van je medewerkers beheren.
2. 2.2
   Welke gegevens dat zijn, van wie, en hoe lang we ze bewaren, staat in bijlage 1.

3Alleen in jouw opdracht

1. 3.1
   We verwerken de gegevens alleen op jouw schriftelijke instructies. Dat geldt ook voor doorgifte buiten de Europese Economische Ruimte. De overeenkomst, deze verwerkersovereenkomst en de manier waarop jij OfficeFlow instelt en gebruikt, gelden als jouw instructies. Denk aan een bestelling inlezen of doorsturen, een order goedkeuren of verwijderen, of een koppeling met je pakket aanzetten.
2. 3.2
   Verplicht het recht van de EU of van een EU-land ons om gegevens op een andere manier te verwerken, dan laten we je dat vooraf weten, tenzij dat recht dat verbiedt.
3. 3.3
   Vinden we dat een instructie in strijd is met de AVG of een andere privacywet, dan laten we je dat meteen weten.
4. 3.4
   We gebruiken de gegevens niet voor eigen doelen. We verkopen ze niet, we gebruiken ze niet voor andere klanten en we trainen er geen AI-modellen mee. Wel tellen we hoeveel orders en regels je verwerkt, om te factureren en de dienst te beheren. Die tellingen bevatten geen persoonsgegevens.

4Geheimhouding

1. 4.1
   Alleen mensen die het voor hun werk aan OfficeFlow nodig hebben, krijgen toegang tot je gegevens. Ze hebben een geheimhoudingsplicht.
2. 4.2
   We kijken alleen in je gegevens als dat nodig is om OfficeFlow te leveren, een storing op te lossen of een vraag van jou te beantwoorden.

5Beveiliging

1. 5.1
   We nemen passende technische en organisatorische maatregelen om je gegevens te beveiligen, zoals artikel 32 van de AVG vraagt. Die staan in bijlage 2.
2. 5.2
   We mogen die maatregelen aanpassen, zolang de beveiliging niet minder wordt.

6Subverwerkers

1. 6.1
   Je geeft ons toestemming om de subverwerkers in bijlage 3 in te schakelen.
2. 6.2
   Willen we een subverwerker toevoegen of vervangen, dan mailen we je dat minstens 30 dagen vooraf. Je kunt binnen die tijd bezwaar maken, met redenen. Komen we er samen niet uit, dan mag je de overeenkomst opzeggen tegen de dag waarop de verandering ingaat. Wat je vooruit hebt betaald voor de tijd daarna, krijg je terug.
3. 6.3
   Met elke subverwerker hebben we een verwerkersovereenkomst die voldoet aan artikel 28 van de AVG.
4. 6.4
   Wij blijven tegenover jou verantwoordelijk voor wat onze subverwerkers met je gegevens doen.

7Gegevens buiten de Europese Economische Ruimte

1. 7.1
   Je database staat in de EU, in Frankfurt. Een deel van de verwerking gebeurt buiten de Europese Economische Ruimte (EER): het uitlezen van bestellingen door Anthropic, het ontvangen en versturen van mail door Postmark en het leveren van de app door Vercel. Ook Supabase, waar de database draait, is een bedrijf van buiten de EER.
2. 7.2
   Dat gebeurt alleen met de waarborgen die de AVG vraagt: het EU-VS Data Privacy Framework voor partijen die daarvoor zijn gecertificeerd, en de standaardcontractbepalingen van de Europese Commissie. Per partij staat het in bijlage 3.

8Rechten van betrokkenen

1. 8.1
   Vraagt iemand ons om inzage, correctie, verwijdering of een ander recht uit de AVG, dan sturen we die vraag binnen 5 werkdagen naar je door. We beantwoorden de vraag niet zelf, tenzij je ons dat vraagt.
2. 8.2
   We helpen je om zulke vragen te beantwoorden. Veel kun je zelf in OfficeFlow: bestellingen die je nog controleert verwijderen, mailadressen en debiteurnummers van klanten aanpassen, en je klanten- of artikellijst vervangen door een nieuwe. Wat je niet zelf kunt, doen we op jouw verzoek binnen 5 werkdagen.

9Datalekken

1. 9.1
   Ontdekken we een datalek dat jouw gegevens raakt, of horen we dat van een subverwerker, dan melden we dat zonder onnodige vertraging aan je, en waar mogelijk binnen 48 uur.
2. 9.2
   We vertellen je dan wat we weten: wat er is gebeurd, welke gegevens het raakt en van ongeveer hoeveel personen, wat de gevolgen kunnen zijn, wat we al hebben gedaan en wat we nog gaan doen. Weten we nog niet alles, dan vullen we het later aan.
3. 9.3
   Jij beslist of het lek gemeld moet worden aan de Autoriteit Persoonsgegevens of aan de betrokkenen, en doet die melding. Wij helpen je daarbij.
4. 9.4
   We leggen elk datalek vast, ook als het niet gemeld hoeft te worden.

10Hulp bij je verplichtingen

1. 10.1
   We helpen je, voor zover dat kan met wat wij weten en doen, bij de beveiliging, bij datalekken, bij een gegevens­beschermings­effect­beoordeling (DPIA) en bij een voorafgaande raadpleging van de Autoriteit Persoonsgegevens (artikel 32 tot en met 36 van de AVG).
2. 10.2
   Kost die hulp veel tijd, dan overleggen we vooraf over een redelijke vergoeding.

11Informatie en controle

1. 11.1
   We geven je alle informatie die nodig is om te laten zien dat we ons aan deze afspraken houden.
2. 11.2
   Je mag zelf controleren of we ons aan deze verwerkersovereenkomst houden, of dat laten doen door een onafhankelijke deskundige met een geheimhoudingsplicht. Dat kan één keer per jaar, of vaker bij een concreet vermoeden van een overtreding of na een datalek. Kondig een controle minstens 30 dagen vooraf aan, tenzij er een datalek is. De kosten zijn voor jou, tenzij de controle laat zien dat wij ons niet aan de afspraken houden.
3. 11.3
   Over de systemen van onze subverwerkers geven we de informatie die zij beschikbaar stellen, zoals hun beveiligingsverklaringen.

12Einde en verwijderen

1. 12.1
   Tot 30 dagen na het einde van de overeenkomst kun je ons om een export van je gegevens vragen.
2. 12.2
   Daarna, en uiterlijk 60 dagen na het einde, verwijderen we je gegevens uit OfficeFlow. Kopieën bij subverwerkers verdwijnen volgens de bewaartermijnen in bijlage 1.
3. 12.3
   Gegevens bewaren we alleen langer als het recht van de EU of van een EU-land ons daartoe verplicht.
4. 12.4
   Op verzoek bevestigen we per e-mail dat we je gegevens hebben verwijderd.

13Aansprakelijkheid

Voor de aansprakelijkheid tussen jou en ons geldt artikel 12 van de algemene voorwaarden. Dat laat de rechten van betrokkenen en de bevoegdheden van de Autoriteit Persoonsgegevens onverlet.

14Overige afspraken

1. 14.1
   Zegt deze verwerkersovereenkomst iets anders dan de algemene voorwaarden, dan gaat deze verwerkersovereenkomst voor, voor zover het om persoonsgegevens gaat.
2. 14.2
   We mogen deze verwerkersovereenkomst veranderen op dezelfde manier als de algemene voorwaarden (artikel 14). Voor een nieuwe subverwerker geldt artikel 6.
3. 14.3
   Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Voor geschillen geldt artikel 16 van de algemene voorwaarden.