Deze verwerkersovereenkomst (Data Processing Agreement, hierna: "DPA") maakt onderdeel uit van de dienstverlening van FactuurBaas.nl, een dienst van 2xGen LLC.
Deze DPA regelt de verwerking van persoonsgegevens die gebruikers via FactuurBaas opslaan of beheren en waarvoor FactuurBaas optreedt als verwerker namens de gebruiker.
Door bij het aanmaken van een account of het inloggen akkoord te gaan met de Algemene voorwaarden en de bijbehorende Verwerkersovereenkomst, aanvaarden zakelijke gebruikers deze DPA als onderdeel van de overeenkomst met FactuurBaas.
Een afzonderlijk ondertekend exemplaar kan worden aangevraagd via mail@factuurbaas.nl.
1. Partijen en rollen
1.1 Verwerker
2xGen LLC, handelend onder de naam FactuurBaas.nl
1209 Mountain Road Pl NE, STE R
Albuquerque, NM 87110
Verenigde Staten
Registratienummer: 0008045445
Europees contactpunt:
Matthijs van Reek
Praag, Tsjechië
E-mail: mail@factuurbaas.nl
Het dagelijkse beheer en de zakelijke besluitvorming vinden plaats vanuit Praag, Tsjechië.
1.2 Verwerkingsverantwoordelijke
De ondernemer, natuurlijke persoon of rechtspersoon die een FactuurBaas-account gebruikt om persoonsgegevens van klanten, contactpersonen of andere zakelijke relaties te verwerken.
Hierna aangeduid als "Gebruiker" of "Verwerkingsverantwoordelijke".
1.3 Verdeling van verantwoordelijkheden
Wanneer de Gebruiker persoonsgegevens van eigen klanten of relaties invoert, verwerkt FactuurBaas deze gegevens namens de Gebruiker en overeenkomstig deze DPA.
De Gebruiker bepaalt de doeleinden waarvoor de gegevens worden vastgelegd en blijft verantwoordelijk voor de rechtmatigheid van deze verwerking.
FactuurBaas bepaalt zelfstandig de doeleinden en middelen van bepaalde eigen verwerkingen, zoals accountbeheer, beveiliging, gebruikerscommunicatie en het functioneren van het platform.
Voor deze eigen verwerkingen treedt FactuurBaas op als zelfstandig verwerkingsverantwoordelijke. Hierop is het Privacybeleid van toepassing.
2. Onderwerp en aard van de verwerking
FactuurBaas biedt een online platform waarmee ondernemers hun administratie kunnen organiseren.
De verwerking in opdracht van de Gebruiker omvat, voor zover persoonsgegevens worden ingevoerd of opgeslagen, de volgende onderdelen.
2.1 Facturen
- Factuurnummers en datums
- Klant- en contactgegevens
- Omschrijvingen van producten en diensten
- Bedragen en btw
- Betalingsvoorwaarden
- Vervaldatums en betalingsstatussen
- Overige ingevoerde factuurgegevens
2.2 Offertes
- Offertenummers en datums
- Klantgegevens
- Producten, diensten en werkzaamheden
- Bedragen en btw
- Geldigheidsdatums
- Offertestatussen
- Eventuele opmerkingen en aanvullende informatie
2.3 Klantenbeheer
- Namen van klanten en contactpersonen
- Bedrijfsnamen
- Adressen
- E-mailadressen
- Telefoonnummers
- KvK- en btw-gegevens
- Overige door de Gebruiker ingevoerde klantinformatie
2.4 Urenregistratie
- Datums en geregistreerde uren
- Omschrijvingen van werkzaamheden
- Gekoppelde klanten of opdrachten
- Uurtarieven
- Berekende bedragen
2.5 Inkomsten
- Omschrijvingen van inkomsten
- Datums
- Bedragen
- Btw-tarieven en btw-bedragen
- Betaalmethoden
- Eventuele gekoppelde klantgegevens
2.6 Uitgaven
- Omschrijvingen van uitgaven
- Datums
- Bedragen
- Btw-gegevens
- Leveranciersgegevens
- Categorieën
- Overige ingevoerde informatie
2.7 Bedrijfsprofiel en instellingen
Voor zover deze gegevens onderdeel zijn van de administratie die FactuurBaas namens de Gebruiker verwerkt:
- Bedrijfsnaam en contactgegevens
- Bedrijfslogo
- Bankrekeninggegevens
- Standaard betaaltermijnen
- Uurtarieven
- Ingestelde werkuren en werkdagen
- Omzetdoelen
- Overige administratieve instellingen
2.8 Dashboard en financiële overzichten
FactuurBaas verwerkt de opgeslagen gegevens om financiële overzichten en berekeningen voor de Gebruiker samen te stellen.
Dit omvat onder andere:
- Inkomsten- en uitgaventotalen
- Openstaande facturen
- Indicatieve btw-reserveringen
- Maandelijkse vergelijkingen
- Omzetdoelen en voortgang
- Financiële samenvattingen
Deze berekeningen worden uitgevoerd om de functionaliteiten van de Dienst aan de Gebruiker beschikbaar te stellen.
2.9 Aard van de verwerkingshandelingen
De verwerking kan bestaan uit:
- Ontvangen
- Vastleggen
- Opslaan
- Structureren
- Berekenen
- Raadplegen voor technische uitvoering
- Weergeven
- Bijwerken
- Exporteren
- Verwijderen
3. Categorieën van betrokkenen en persoonsgegevens
3.1 Betrokkenen
De verwerking kan betrekking hebben op:
- Klanten van de Gebruiker
- Zakelijke relaties
- Contactpersonen bij bedrijven
- Opdrachtgevers
- Leveranciers
- Andere personen die door de Gebruiker in administratieve gegevens worden vermeld
3.2 Persoonsgegevens
Afhankelijk van de ingevoerde gegevens kan het gaan om:
- Namen
- Contactgegevens
- Adresgegevens
- Bedrijfsgegevens
- Bankrekeningnummers
- Financiële gegevens
- Factuur- en offertegegevens
- Informatie over werkzaamheden en zakelijke transacties
- Overige persoonsgegevens die de Gebruiker zelf invoert
De Dienst is niet specifiek bedoeld voor het verwerken van bijzondere categorieën persoonsgegevens zoals gezondheidsgegevens, religieuze overtuigingen of andere bijzondere persoonsgegevens in de zin van artikel 9 AVG.
De Gebruiker dient dergelijke gegevens niet in te voeren, tenzij daarvoor een geldige rechtsgrond bestaat en de verwerking binnen de mogelijkheden en afspraken van de Dienst past.
4. Doeleinden en instructies
FactuurBaas verwerkt persoonsgegevens uitsluitend voor de doeleinden die noodzakelijk zijn om de overeengekomen Dienst namens de Gebruiker uit te voeren.
De Gebruiker geeft instructies via de functionaliteiten van FactuurBaas, waaronder:
- Het aanmaken en beheren van administratieve gegevens.
- Het opslaan van facturen en offertes.
- Het bijhouden van klanten en uren.
- Het registreren van inkomsten en uitgaven.
- Het genereren van financiële overzichten.
- Het exporteren en verwijderen van gegevens.
Deze DPA en de instructies die via de Dienst worden gegeven, vormen de gedocumenteerde instructies van de Gebruiker.
FactuurBaas verwerkt de gegevens niet voor andere doeleinden, tenzij een toepasselijke wettelijke verplichting dit vereist. Wanneer wettelijk toegestaan, informeren wij de Gebruiker vooraf over een dergelijke verplichting.
Wanneer FactuurBaas van mening is dat een instructie in strijd is met toepasselijke privacywetgeving, informeren wij de Gebruiker hierover.
5. Duur van de verwerking
Deze DPA geldt zolang de Gebruiker de Dienst gebruikt en FactuurBaas namens de Gebruiker persoonsgegevens verwerkt.
De verwerking eindigt wanneer:
- De Gebruiker de betreffende gegevens verwijdert.
- De Gebruiker het account verwijdert.
- De dienstverlening wordt beëindigd.
- Een andere toepasselijke beëindigingsgrond geldt.
Na beëindiging worden de gegevens verwijderd of, op verzoek en voor zover technisch beschikbaar, teruggegeven overeenkomstig artikel 10 van deze DPA.
6. Verplichtingen van FactuurBaas
FactuurBaas verplicht zich om:
- Persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Gebruiker te verwerken, tenzij toepasselijke wetgeving anders vereist.
- Ervoor te zorgen dat personen die toegang hebben tot persoonsgegevens gebonden zijn aan passende geheimhoudingsverplichtingen.
- Passende technische en organisatorische beveiligingsmaatregelen te treffen.
- Alleen subverwerkers in te schakelen overeenkomstig de afspraken in deze DPA.
- De Gebruiker, rekening houdend met de aard van de verwerking, redelijkerwijs te ondersteunen bij verzoeken van betrokkenen.
- De Gebruiker redelijkerwijs te ondersteunen bij verplichtingen met betrekking tot gegevensbeveiliging, datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van toezichthouders, voor zover van toepassing en voor zover de benodigde informatie beschikbaar is.
- De Gebruiker zonder onredelijke vertraging te informeren nadat FactuurBaas kennis heeft genomen van een inbreuk in verband met persoonsgegevens die namens de Gebruiker worden verwerkt.
- Na beëindiging van de dienstverlening de gegevens te verwijderen of terug te geven overeenkomstig de toepasselijke afspraken.
- De informatie beschikbaar te stellen die redelijkerwijs noodzakelijk is om naleving van de verplichtingen uit artikel 28 AVG aan te tonen.
7. Geheimhouding en toegang tot gegevens
Persoonsgegevens die via FactuurBaas worden opgeslagen, zijn in de eerste plaats bedoeld voor gebruik door de betreffende Gebruiker.
Voor het uitvoeren, onderhouden en beveiligen van de Dienst kunnen bevoegde beheerders technisch toegang hebben tot opgeslagen gegevens.
Toegang is beperkt tot de eigenaar van FactuurBaas en andere personen die uitdrukkelijk zijn gemachtigd en voor hun werkzaamheden toegang nodig hebben.
Personen die namens FactuurBaas toegang krijgen tot persoonsgegevens, moeten gebonden zijn aan passende geheimhoudingsverplichtingen, waaronder waar van toepassing een geheimhoudingsovereenkomst (NDA).
FactuurBaas bekijkt de inhoud van individuele administraties niet routinematig.
Toegang tot gegevens kan noodzakelijk zijn voor technische ondersteuning, beveiliging, foutopsporing, onderhoud of het voldoen aan wettelijke verplichtingen.
8. Technische en organisatorische beveiliging
FactuurBaas treft passende maatregelen om persoonsgegevens te beschermen tegen ongeautoriseerde toegang, verlies, vernietiging en onrechtmatige verwerking.
Deze maatregelen omvatten, voor zover van toepassing op de betreffende systemen:
- Beveiligde verbindingen via HTTPS.
- Authenticatie voor gebruikers en beheerders.
- Row Level Security voor relevante databasegegevens.
- Toegangsbeperkingen tot beheersystemen.
- Privé-opslag voor bestanden waarvoor openbare toegang niet nodig is.
- Geheimhoudingsverplichtingen voor bevoegde personen.
- Beveiligingsvoorzieningen van onze hosting- en databaseproviders.
- Technische controles en onderhoud.
- Maatregelen voor het beperken van ongeautoriseerde toegang.
De beveiligingsmaatregelen worden afgestemd op de aard van de gegevens, de risico's van de verwerking en de beschikbare technische mogelijkheden.
Meer informatie is beschikbaar op onze pagina Veiligheid.
9. Subverwerkers
De Gebruiker verleent FactuurBaas algemene toestemming voor het inschakelen van subverwerkers die noodzakelijk zijn voor het leveren van de Dienst, onder de voorwaarden van dit artikel.
9.1 Huidige subverwerkers
Supabase
Doel: database, authenticatie-infrastructuur en bestandsopslag.
Primaire databaseregio: eu-north-1, Stockholm, Zweden.
Vercel
Doel: hosting van de website, technische infrastructuur en content delivery.
Afhankelijk van de configuratie kunnen technische verwerkingen via verschillende infrastructuurlocaties plaatsvinden.
9.2 Andere technische dienstverleners
Google OAuth
Voor authenticatie van gebruikers die ervoor kiezen met Google in te loggen.
FactuurBaas vraagt via deze functionaliteit geen toegang tot Gmail of Google-contacten.
Resend
Voor transactionele e-mails aan accountgebruikers, zoals accountgerelateerde meldingen.
Voor e-mailverzending is een Europese regio in Ierland ingesteld.
De precieze rol van een dienstverlener als subverwerker of zelfstandig verwerkingsverantwoordelijke hangt af van de gegevens en de betreffende verwerking.
9.3 Voorwaarden voor subverwerkers
Wanneer FactuurBaas een subverwerker inschakelt voor persoonsgegevens die namens de Gebruiker worden verwerkt, zorgt FactuurBaas voor passende contractuele afspraken die voldoen aan de toepasselijke eisen van artikel 28 AVG.
FactuurBaas blijft tegenover de Gebruiker verantwoordelijk voor de nakoming van de verplichtingen van ingeschakelde subverwerkers zoals bepaald in de AVG.
9.4 Wijzigingen in subverwerkers
Bij voorgenomen toevoeging of vervanging van subverwerkers die persoonsgegevens namens de Gebruiker verwerken, informeert FactuurBaas de Gebruiker vooraf op een geschikte wijze.
De Gebruiker krijgt de mogelijkheid om op redelijke, gemotiveerde privacygronden bezwaar te maken.
Wanneer partijen geen passende oplossing kunnen bereiken, kan de Gebruiker de verwerking beëindigen door de Dienst niet langer te gebruiken en het account te verwijderen.
10. Export, verwijdering en back-ups
10.1 Export
Gebruikers kunnen de beschikbare exportfunctionaliteiten gebruiken om opgeslagen gegevens te downloaden.
Dit omvat onder andere een JSON-export via het gebruikersprofiel en, waar beschikbaar, aanvullende exportmogelijkheden voor facturen en offertes.
10.2 Verwijdering
Gebruikers kunnen afzonderlijke administratieve gegevens verwijderen of het volledige account beëindigen.
Bij accountverwijdering worden de bijbehorende opgeslagen gegevens verwijderd volgens de toepasselijke verwijderprocedure, tenzij verdere bewaring wettelijk verplicht is.
10.3 Back-ups
Het kan voorkomen dat verwijderde gegevens gedurende een beperkte periode aanwezig blijven in technische back-ups van onze dienstverleners.
Dergelijke back-ups worden niet gebruikt voor de reguliere dienstverlening en verlopen volgens de toepasselijke back-up- en retentieprocedures.
10.4 Beëindiging
Na beëindiging van de dienstverlening verwijdert FactuurBaas de namens de Gebruiker verwerkte persoonsgegevens of stelt deze, naar keuze van de Gebruiker en voor zover technisch beschikbaar, beschikbaar voor export, tenzij toepasselijke wetgeving verdere bewaring vereist.
11. Internationale doorgifte
FactuurBaas wordt geëxploiteerd door 2xGen LLC, een in de Verenigde Staten geregistreerde onderneming.
Het dagelijkse beheer van de Dienst vindt plaats vanuit Praag, Tsjechië.
Onze primaire database wordt gehost in Zweden.
Het gebruik van externe technische dienstverleners kan ertoe leiden dat bepaalde persoonsgegevens buiten de Europese Economische Ruimte worden verwerkt of toegankelijk zijn.
Wanneer persoonsgegevens die onder deze DPA vallen internationaal worden doorgegeven en daarvoor aanvullende AVG-voorwaarden gelden, zorgt FactuurBaas voor een toepasselijk doorgiftemechanisme en passende waarborgen, zoals standaardcontractbepalingen of een toepasselijk adequaatheidsbesluit.
12. Datalekken en beveiligingsincidenten
Wanneer FactuurBaas kennis krijgt van een inbreuk in verband met persoonsgegevens die namens de Gebruiker worden verwerkt, informeren wij de Gebruiker zonder onredelijke vertraging.
Voor zover de informatie beschikbaar is, bevat deze melding:
- De aard van het incident.
- De betrokken categorieën gegevens.
- De mogelijke gevolgen.
- De reeds genomen of voorgenomen maatregelen.
- Eventuele aanvullende informatie die noodzakelijk is voor de beoordeling van het incident.
FactuurBaas ondersteunt de Gebruiker redelijkerwijs bij het beoordelen van de gevolgen en het nakomen van toepasselijke meldverplichtingen.
De Gebruiker blijft als verwerkingsverantwoordelijke verantwoordelijk voor de beoordeling of een melding aan een toezichthouder of betrokkenen noodzakelijk is.
13. Rechten van betrokkenen
De Gebruiker is als verwerkingsverantwoordelijke in beginsel verantwoordelijk voor het behandelen van verzoeken van betrokkenen.
Dit kan onder andere gaan om verzoeken tot inzage, correctie, verwijdering, beperking of overdracht van persoonsgegevens.
FactuurBaas ondersteunt de Gebruiker hierbij, rekening houdend met de aard van de verwerking en de beschikbare technische mogelijkheden.
Wanneer FactuurBaas rechtstreeks een verzoek ontvangt dat betrekking heeft op gegevens die namens een Gebruiker worden verwerkt, kan FactuurBaas de verzoeker doorverwijzen naar de betreffende Gebruiker of het verzoek aan de Gebruiker doorgeven, voor zover passend en wettelijk toegestaan.
14. Informatie, controle en audits
FactuurBaas stelt de informatie beschikbaar die redelijkerwijs noodzakelijk is om aan te tonen dat wordt voldaan aan de verplichtingen die op FactuurBaas rusten als verwerker.
De Gebruiker kan gemotiveerd verzoeken om aanvullende informatie over de beveiliging en verwerking van persoonsgegevens.
Voor zover vereist op grond van artikel 28 AVG, maakt FactuurBaas audits en inspecties door de Gebruiker of een door deze gemachtigde auditor mogelijk en levert daaraan medewerking.
Bij het uitvoeren van controles houden partijen rekening met:
- De bescherming van gegevens van andere gebruikers.
- De beveiliging en continuïteit van de Dienst.
- De vertrouwelijkheid van bedrijfsinformatie.
- De redelijke omvang en het doel van de controle.
Partijen stemmen de praktische uitvoering van een audit vooraf af, zonder afbreuk te doen aan wettelijke auditrechten.
15. Verplichtingen van de Gebruiker
De Gebruiker is verantwoordelijk voor:
- Het rechtmatig verzamelen van persoonsgegevens.
- Het hebben van een geldige rechtsgrond voor de verwerking.
- Het informeren van klanten en andere betrokkenen waar nodig.
- Het invoeren van juiste en relevante gegevens.
- Het beperken van de ingevoerde gegevens tot wat noodzakelijk is.
- Het veilig beheren van het eigen account.
- Het naleven van toepasselijke administratieve en fiscale verplichtingen.
- Het behandelen van privacyverzoeken van eigen klanten en relaties.
De Gebruiker dient FactuurBaas niet te gebruiken voor verwerkingen die in strijd zijn met toepasselijke wetgeving of buiten de overeengekomen dienstverlening vallen.
16. Aansprakelijkheid
Op de aansprakelijkheid van partijen zijn de bepalingen uit de Algemene voorwaarden van toepassing, voor zover wettelijk toegestaan.
Deze DPA beperkt geen rechten of verplichtingen die op grond van toepasselijk dwingend privacyrecht niet mogen worden uitgesloten of beperkt.
17. Rangorde en wijzigingen
Deze DPA vormt onderdeel van de contractuele afspraken tussen FactuurBaas en de Gebruiker.
Wanneer bepalingen uit deze DPA en de Algemene voorwaarden met elkaar in strijd zijn voor zover het de verwerking van persoonsgegevens namens de Gebruiker betreft, heeft deze DPA voor dat onderwerp voorrang.
FactuurBaas kan deze DPA aanpassen wanneer wijzigingen in de Dienst, technische infrastructuur of wet- en regelgeving dit noodzakelijk maken.
Bij wezenlijke wijzigingen informeren wij Gebruikers waar dit wettelijk vereist is.
18. Contact
Voor vragen over deze DPA, de verwerking van persoonsgegevens of het aanvragen van een afzonderlijk ondertekend exemplaar kun je contact opnemen via:
FactuurBaas — 2xGen LLC
1209 Mountain Road Pl NE, STE R
Albuquerque, NM 87110
Verenigde Staten
Registratienummer: 0008045445
Europees contactpunt:
Matthijs van Reek
Praag, Tsjechië
E-mail: mail@factuurbaas.nl
Website: https://factuurbaas.nl