Verwerkersovereenkomst UwFactuur

Versie 1.0

Ziva IT B.V.

Artikel 1 – Partijen en toepasselijkheid

1. Deze verwerkersovereenkomst is van toepassing op de verwerking van persoonsgegevens in het kader van de online SaaS-dienst UwFactuur.
2. Ziva IT B.V., gevestigd te Hoogeveen en ingeschreven bij de Kamer van Koophandel onder nummer 90476018, wordt in deze verwerkersovereenkomst aangeduid als verwerker.
3. De zakelijke gebruiker van UwFactuur wordt in deze verwerkersovereenkomst aangeduid als verwerkingsverantwoordelijke.
4. Deze verwerkersovereenkomst maakt onderdeel uit van de overeenkomst tussen verwerkingsverantwoordelijke en verwerker met betrekking tot UwFactuur.
5. Deze verwerkersovereenkomst is van toepassing voor zover verwerker persoonsgegevens verwerkt ten behoeve van verwerkingsverantwoordelijke in het kader van UwFactuur.
6. Voor persoonsgegevens die Ziva IT verwerkt voor eigen doeleinden, zoals klantbeheer, facturatie, administratie, beveiliging, logging, communicatie, marketing voor zover toegestaan en verbetering van haar dienstverlening, treedt Ziva IT op als zelfstandig verwerkingsverantwoordelijke. Die verwerking valt niet onder deze verwerkersovereenkomst, maar onder de Privacyverklaring UwFactuur.

Artikel 2 – Definities

1. AVG: de Algemene Verordening Gegevensbescherming.
2. UwFactuur: de door Ziva IT aangeboden online SaaS-dienst waarmee gebruikers onder meer facturen, klantgegevens, producten, diensten, betaalstatussen en administratieve gegevens kunnen aanmaken, beheren, verzenden, opslaan en exporteren.
3. Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon die door verwerker ten behoeve van verwerkingsverantwoordelijke wordt verwerkt via UwFactuur.
4. Verwerking: iedere handeling of geheel van handelingen met betrekking tot persoonsgegevens, waaronder verzamelen, vastleggen, ordenen, structureren, opslaan, wijzigen, raadplegen, gebruiken, verstrekken, verspreiden, afschermen, wissen of vernietigen.
5. Betrokkene: de natuurlijke persoon op wie persoonsgegevens betrekking hebben.
6. Subverwerker: een derde partij die door verwerker wordt ingeschakeld om ten behoeve van verwerkingsverantwoordelijke persoonsgegevens te verwerken.
7. Datalek: een inbreuk in verband met persoonsgegevens zoals bedoeld in artikel 4 sub 12 AVG.
8. Overeenkomst: de overeenkomst tussen verwerkingsverantwoordelijke en verwerker met betrekking tot het gebruik van UwFactuur.

Artikel 3 – Rollen van partijen

1. Verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking van persoonsgegevens die hij via UwFactuur invoert, uploadt, genereert, verzendt, opslaat of anderszins verwerkt.
2. Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van verwerkingsverantwoordelijke en uitsluitend in het kader van het leveren, beveiligen, onderhouden, ondersteunen en verbeteren van UwFactuur, tenzij verwerker op grond van wet- of regelgeving tot verwerking verplicht is.
3. Verwerkingsverantwoordelijke staat ervoor in dat de verwerking van persoonsgegevens via UwFactuur rechtmatig is en dat hij beschikt over een geldige grondslag voor de verwerking.
4. Verwerkingsverantwoordelijke is verantwoordelijk voor de juistheid, volledigheid, rechtmatigheid en actualiteit van de persoonsgegevens die via UwFactuur worden verwerkt.
5. Verwerker is niet verantwoordelijk voor de inhoud van persoonsgegevens of klantdata die verwerkingsverantwoordelijke via UwFactuur verwerkt.

Artikel 4 – Onderwerp, aard en doel van de verwerking

1. Het onderwerp van de verwerking is het beschikbaar stellen en functioneren van UwFactuur als online facturatie- en administratiedienst.
2. De aard van de verwerking bestaat onder meer uit het opslaan, tonen, structureren, wijzigen, verzenden, exporteren, beveiligen, back-uppen en verwijderen van persoonsgegevens binnen UwFactuur.
3. Het doel van de verwerking is het mogelijk maken dat verwerkingsverantwoordelijke UwFactuur kan gebruiken voor onder meer het aanmaken, beheren, verzenden, opslaan en exporteren van facturen en daarmee samenhangende administratieve gegevens.
4. Verwerker verwerkt persoonsgegevens niet voor eigen commerciële doeleinden en verkoopt persoonsgegevens van verwerkingsverantwoordelijke niet aan derden.

Artikel 5 – Categorieën persoonsgegevens

1. Via UwFactuur kunnen onder meer de volgende categorieën persoonsgegevens worden verwerkt:
   1. naam en contactgegevens van klanten of contactpersonen;
   2. adresgegevens;
   3. e-mailadres en telefoonnummer;
   4. bedrijfsnaam, KvK-nummer en btw-identificatienummer indien gekoppeld aan een natuurlijke persoon of eenmanszaak;
   5. factuurgegevens, waaronder factuurnummer, factuurdatum, omschrijvingen, bedragen, btw-percentages en betaalstatussen;
   6. betaalgegevens, voor zover deze via UwFactuur worden verwerkt;
   7. communicatiegegevens met betrekking tot facturen, herinneringen of accountgebruik;
   8. technische gegevens zoals IP-adres, loggegevens en gebruiksgegevens voor zover deze ten behoeve van verwerkingsverantwoordelijke worden verwerkt.
2. Verwerkingsverantwoordelijke bepaalt zelf welke persoonsgegevens hij via UwFactuur invoert of verwerkt.
3. Het is verwerkingsverantwoordelijke niet toegestaan bijzondere categorieën persoonsgegevens of strafrechtelijke persoonsgegevens via UwFactuur te verwerken, tenzij partijen dit uitdrukkelijk schriftelijk zijn overeengekomen en passende aanvullende maatregelen zijn getroffen.

Artikel 6 – Categorieën betrokkenen

1. Via UwFactuur kunnen persoonsgegevens worden verwerkt van onder meer:
   1. klanten van verwerkingsverantwoordelijke;
   2. contactpersonen van klanten van verwerkingsverantwoordelijke;
   3. leveranciers of zakelijke relaties van verwerkingsverantwoordelijke;
   4. medewerkers, vertegenwoordigers of gemachtigden van verwerkingsverantwoordelijke;
   5. andere personen van wie gegevens door verwerkingsverantwoordelijke in UwFactuur worden ingevoerd.

Artikel 7 – Instructies van verwerkingsverantwoordelijke

1. Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van verwerkingsverantwoordelijke.
2. Het gebruik van UwFactuur, de instellingen binnen UwFactuur en deze verwerkersovereenkomst gelden als schriftelijke instructies van verwerkingsverantwoordelijke.
3. Verwerker zal verwerkingsverantwoordelijke informeren indien een instructie naar het oordeel van verwerker in strijd is met de AVG of andere toepasselijke privacywetgeving.
4. Verwerker is niet verplicht instructies uit te voeren die onrechtmatig zijn, technisch onmogelijk zijn, de beveiliging of werking van UwFactuur aantasten of buiten de overeengekomen dienstverlening vallen.

Artikel 8 – Geheimhouding

1. Verwerker waarborgt dat personen die onder zijn verantwoordelijkheid persoonsgegevens verwerken, gebonden zijn aan geheimhouding of een passende wettelijke geheimhoudingsplicht hebben.
2. Verwerker zorgt ervoor dat persoonsgegevens alleen toegankelijk zijn voor personen voor wie toegang noodzakelijk is voor de uitvoering van hun werkzaamheden.
3. De geheimhoudingsplicht blijft ook na beëindiging van de overeenkomst bestaan.

Artikel 9 – Beveiligingsmaatregelen

1. Verwerker neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies, vernietiging, wijziging, ongeoorloofde toegang en onrechtmatige verwerking.
2. Bij het bepalen van de beveiligingsmaatregelen houdt verwerker rekening met de stand van de techniek, de uitvoeringskosten, de aard, omvang, context en doelen van de verwerking en de risico’s voor betrokkenen.
3. De beveiligingsmaatregelen kunnen onder meer bestaan uit:
   1. toegangsbeveiliging en autorisatiebeheer;
   2. gebruik van versleutelde verbindingen waar passend;
   3. logging van relevante systeemactiviteiten;
   4. periodieke updates en beveiligingspatches;
   5. back-upmaatregelen;
   6. beperking van toegang tot productiegegevens;
   7. maatregelen tegen onbevoegde toegang, misbruik en verstoring;
   8. beveiliging van hosting- en infrastructuuromgevingen via subverwerkers.
4. Verwerkingsverantwoordelijke erkent dat volledige beveiliging niet kan worden gegarandeerd.
5. Verwerkingsverantwoordelijke is zelf verantwoordelijk voor het veilig gebruik van UwFactuur, waaronder het beheer van gebruikersaccounts, wachtwoorden, toegangsrechten, eigen apparatuur, netwerkverbindingen en e-mailaccounts.

Artikel 10 – Subverwerkers

1. Verwerkingsverantwoordelijke geeft verwerker algemene toestemming om subverwerkers in te schakelen voor de uitvoering van UwFactuur.
2. Verwerker blijft verantwoordelijk voor de nakoming van de verplichtingen uit deze verwerkersovereenkomst door ingeschakelde subverwerkers.
3. Verwerker sluit met subverwerkers een overeenkomst waarin passende privacy- en beveiligingsverplichtingen zijn opgenomen.
4. Verwerker zal een actueel overzicht van categorieën of namen van subverwerkers beschikbaar stellen via de website van UwFactuur, de website van Ziva IT of op verzoek van verwerkingsverantwoordelijke.
5. Verwerker informeert verwerkingsverantwoordelijke over voorgenomen wijzigingen met betrekking tot subverwerkers indien dit redelijkerwijs mogelijk is.
6. Indien verwerkingsverantwoordelijke bezwaar heeft tegen een nieuwe subverwerker, dient hij dit binnen 14 dagen na bekendmaking schriftelijk en gemotiveerd aan verwerker te melden.
7. Indien partijen geen redelijke oplossing kunnen bereiken, mag verwerkingsverantwoordelijke de overeenkomst beëindigen tegen de datum waarop de nieuwe subverwerker wordt ingezet. Beëindiging ontslaat verwerkingsverantwoordelijke niet van betalingsverplichtingen voor reeds geleverde diensten.

Artikel 11 – Doorgifte buiten de Europese Economische Ruimte

1. Verwerker verwerkt persoonsgegevens bij voorkeur binnen de Europese Economische Ruimte.
2. Indien persoonsgegevens buiten de Europese Economische Ruimte worden verwerkt, zorgt verwerker voor een passend doorgiftemechanisme voor zover dit op grond van de AVG vereist is.
3. Een passend doorgiftemechanisme kan onder meer bestaan uit een adequaatheidsbesluit, standaardcontractbepalingen of een ander door de AVG toegestaan mechanisme.

Artikel 12 – Datalekken

1. Verwerker informeert verwerkingsverantwoordelijke zonder onredelijke vertraging nadat verwerker kennis heeft genomen van een datalek dat betrekking heeft op persoonsgegevens die namens verwerkingsverantwoordelijke worden verwerkt.
2. De melding bevat, voor zover bekend en redelijkerwijs mogelijk:
   1. een omschrijving van de aard van het datalek;
   2. de vermoedelijke categorieën en aantallen betrokkenen;
   3. de vermoedelijke categorieën en aantallen persoonsgegevens;
   4. de waarschijnlijke gevolgen van het datalek;
   5. de getroffen of voorgestelde maatregelen om het datalek aan te pakken of gevolgen te beperken;
   6. een contactpunt voor verdere informatie.
3. Verwerker zal verwerkingsverantwoordelijke redelijkerwijs ondersteunen bij het beoordelen en afhandelen van het datalek.
4. Verwerkingsverantwoordelijke blijft verantwoordelijk voor eventuele meldingen aan de Autoriteit Persoonsgegevens en/of betrokkenen, tenzij wettelijk anders bepaald.
5. Verwerker zal geen melding doen aan betrokkenen of toezichthouders namens verwerkingsverantwoordelijke, tenzij partijen dit schriftelijk afspreken of verwerker daartoe wettelijk verplicht is.

Artikel 13 – Rechten van betrokkenen

1. Verwerkingsverantwoordelijke is verantwoordelijk voor de afhandeling van verzoeken van betrokkenen, waaronder verzoeken tot inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar en andere privacyrechten.
2. Voor zover verwerkingsverantwoordelijke deze verzoeken niet zelfstandig via UwFactuur kan afhandelen, zal verwerker hierbij redelijke medewerking verlenen.
3. Verwerker mag redelijke kosten in rekening brengen voor ondersteuning die buiten de normale functionaliteit van UwFactuur valt.
4. Indien een betrokkene rechtstreeks een verzoek indient bij verwerker met betrekking tot persoonsgegevens die namens verwerkingsverantwoordelijke worden verwerkt, zal verwerker dit verzoek doorsturen aan verwerkingsverantwoordelijke, tenzij dit wettelijk niet is toegestaan.

Artikel 14 – Audits en controle

1. Verwerker stelt verwerkingsverantwoordelijke op verzoek informatie ter beschikking die redelijkerwijs nodig is om naleving van deze verwerkersovereenkomst aan te tonen.
2. Verwerkingsverantwoordelijke mag maximaal één keer per kalenderjaar een audit laten uitvoeren, tenzij sprake is van een concreet en aantoonbaar beveiligingsincident dat een aanvullende audit rechtvaardigt.
3. Een audit dient ten minste 30 dagen vooraf schriftelijk te worden aangekondigd.
4. Een audit mag alleen worden uitgevoerd door een onafhankelijke deskundige die gebonden is aan geheimhouding.
5. De audit mag de bedrijfsvoering, beveiliging, systemen en dienstverlening van verwerker en andere klanten van verwerker niet onredelijk verstoren.
6. Verwerkingsverantwoordelijke draagt de kosten van de audit en de redelijke kosten die verwerker moet maken om aan de audit mee te werken.
7. Indien verwerker beschikt over relevante certificeringen, rapportages of verklaringen van derden, kan verwerker deze verstrekken als alternatief voor een audit.

Artikel 15 – Back-ups, bewaartermijnen en verwijdering

1. Verwerker kan back-ups maken van persoonsgegevens en klantdata voor continuïteit, herstel en beveiliging van UwFactuur.
2. Back-ups worden niet langer bewaard dan noodzakelijk voor continuïteit, herstel en beveiliging, tenzij een langere bewaartermijn wettelijk verplicht is.
3. Na beëindiging van de overeenkomst zal verwerker persoonsgegevens verwijderen of teruggeven, tenzij wettelijke verplichtingen zich daartegen verzetten.
4. Verwerkingsverantwoordelijke is zelf verantwoordelijk voor het tijdig exporteren van gegevens vóór beëindiging van de overeenkomst.
5. Verwerker is niet verplicht persoonsgegevens of klantdata onbeperkt te bewaren na beëindiging van de overeenkomst.
6. Gegevens kunnen na verwijdering nog tijdelijk aanwezig zijn in back-ups totdat deze volgens het reguliere back-upbeleid worden overschreven of verwijderd.

Artikel 16 – Medewerking en kosten

1. Verwerker verleent redelijke medewerking aan verwerkingsverantwoordelijke bij het nakomen van diens verplichtingen onder de AVG, voor zover dit redelijkerwijs binnen de macht van verwerker ligt en verband houdt met de verwerking via UwFactuur.
2. Deze medewerking kan betrekking hebben op beveiliging, datalekken, rechten van betrokkenen, gegevensbeschermingseffectbeoordelingen en overleg met toezichthouders.
3. Verwerker mag redelijke kosten in rekening brengen voor werkzaamheden die buiten de standaardfunctionaliteit, standaardondersteuning of overeengekomen dienstverlening vallen.

Artikel 17 – Aansprakelijkheid

1. De aansprakelijkheid van verwerker onder deze verwerkersovereenkomst is beperkt zoals bepaald in de Algemene Voorwaarden UwFactuur.
2. Verwerker is niet aansprakelijk voor schade die ontstaat door onrechtmatige of onjuiste instructies van verwerkingsverantwoordelijke, onjuiste of onvolledige persoonsgegevens, onrechtmatige verwerking door verwerkingsverantwoordelijke, onbevoegd gebruik van accounts of tekortkomingen in de eigen systemen, apparatuur, beveiliging of processen van verwerkingsverantwoordelijke.

Artikel 18 – Duur en beëindiging

1. Deze verwerkersovereenkomst treedt in werking op het moment dat de overeenkomst met betrekking tot UwFactuur tot stand komt.
2. Deze verwerkersovereenkomst geldt zolang verwerker persoonsgegevens verwerkt ten behoeve van verwerkingsverantwoordelijke in het kader van UwFactuur.
3. Beëindiging van de overeenkomst met betrekking tot UwFactuur leidt automatisch tot beëindiging van deze verwerkersovereenkomst, met dien verstande dat bepalingen die naar hun aard bestemd zijn om voort te duren van kracht blijven.

Artikel 19 – Rangorde

1. Bij strijdigheid tussen deze verwerkersovereenkomst en de Algemene Voorwaarden UwFactuur geldt voor de verwerking van persoonsgegevens namens verwerkingsverantwoordelijke deze verwerkersovereenkomst.
2. Voor overige onderwerpen blijven de Algemene Voorwaarden UwFactuur onverkort van toepassing.

Artikel 20 – Toepasselijk recht en geschillen

1. Op deze verwerkersovereenkomst is Nederlands recht van toepassing.
2. Geschillen over deze verwerkersovereenkomst worden behandeld conform de geschillenregeling in de Algemene Voorwaarden UwFactuur.

Bijlage 1 – Specificatie van de verwerking

1. Onderwerp van de verwerking

Het leveren van UwFactuur als online SaaS-dienst voor facturatie en administratieve ondersteuning.

2. Doel van de verwerking

Het mogelijk maken dat verwerkingsverantwoordelijke via UwFactuur facturen, klantgegevens, producten, diensten, betaalstatussen en administratieve gegevens kan aanmaken, beheren, verzenden, opslaan en exporteren.

3. Aard van de verwerking

Opslaan, raadplegen, tonen, wijzigen, structureren, verzenden, exporteren, beveiligen, back-uppen, herstellen en verwijderen van persoonsgegevens binnen UwFactuur.

4. Categorieën persoonsgegevens

1. Naam en contactgegevens.
2. Adresgegevens.
3. E-mailadres en telefoonnummer.
4. Bedrijfsnaam, KvK-nummer en btw-identificatienummer indien gekoppeld aan een natuurlijke persoon of eenmanszaak.
5. Factuurgegevens, waaronder factuurnummer, factuurdatum, omschrijvingen, bedragen, btw-percentages en betaalstatussen.
6. Betaalgegevens, voor zover deze via UwFactuur worden verwerkt.
7. Communicatiegegevens met betrekking tot facturen, herinneringen of accountgebruik.
8. Technische gegevens zoals IP-adres, loggegevens en gebruiksgegevens voor zover deze namens verwerkingsverantwoordelijke worden verwerkt.

5. Categorieën betrokkenen

1. Klanten van verwerkingsverantwoordelijke.
2. Contactpersonen van klanten van verwerkingsverantwoordelijke.
3. Leveranciers of zakelijke relaties van verwerkingsverantwoordelijke.
4. Medewerkers, vertegenwoordigers of gemachtigden van verwerkingsverantwoordelijke.
5. Andere personen van wie gegevens door verwerkingsverantwoordelijke in UwFactuur worden ingevoerd.

6. Duur van de verwerking

De verwerking duurt zolang de overeenkomst tussen verwerkingsverantwoordelijke en verwerker met betrekking tot UwFactuur loopt en voor zover verwerking daarna nog noodzakelijk is voor beëindiging, export, verwijdering, back-up, wettelijke verplichtingen of geschilafhandeling.