Stel je verwerkersovereenkomst samen

Verwerkersovereenkomst

in de zin van artikel 28 lid 3 van de Algemene verordening gegevensbescherming (AVG)

De partijen

De verwerkingsverantwoordelijke:
[organisatie], gevestigd te [adres], [postcode en plaats], hierna "de verantwoordelijke", rechtsgeldig vertegenwoordigd door [naam ondertekenaar].

De verwerker:
Productivity Advisors B.V., handelend onder de naam Finance MCP, gevestigd in Nederland, hierna "de verwerker".

De verantwoordelijke en de verwerker, hierna gezamenlijk "de partijen", komen het volgende overeen in aanvulling op de algemene voorwaarden bij de dienst Finance MCP.

1. Onderwerp en duur

1.1 Deze verwerkersovereenkomst regelt de verwerking van persoonsgegevens door de verwerker in het kader van de dienst Finance MCP, waarmee de verantwoordelijke zijn boekhoudpakket read-only ontsluit naar AI-assistenten.

1.2 De overeenkomst gaat in op [ingangsdatum] en geldt zolang de verwerker op grond van de onderliggende dienst persoonsgegevens voor de verantwoordelijke verwerkt.

2. Aard en doel van de verwerking

2.1 De verwerker stelt namens de verantwoordelijke financiële gegevens uit het boekhoudpakket beschikbaar aan de door de verantwoordelijke gekozen AI-assistent. De verwerking is uitsluitend lezend; de verwerker kan geen gegevens wijzigen in het boekhoudpakket.

2.2 De verwerker is een doorgeefluik en slaat geen financiële gegevens op. Elk antwoord komt live uit het pakket van de verantwoordelijke en wordt direct doorgegeven. De verwerker bewaart uitsluitend versleutelde koppelingstokens en accountgegevens die nodig zijn om de dienst te leveren.

3. Soorten persoonsgegevens en categorieën betrokkenen

3.1 De verwerking betreft accountgegevens van medewerkers van de verantwoordelijke (zoals naam en e-mailadres) en de persoonsgegevens die voorkomen in de opgevraagde financiële gegevens, zoals namen en contactgegevens van relaties.

3.2 De betrokkenen zijn medewerkers van de verantwoordelijke en de relaties in zijn administratie. Er worden geen bijzondere categorieën van persoonsgegevens verwerkt.

4. Verplichtingen van de verwerker

4.1 De verwerker verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van de verantwoordelijke, waaronder het gebruik van de dienst, tenzij een wettelijke verplichting anders bepaalt.

4.2 De verwerker waarborgt dat personen die toegang hebben tot de persoonsgegevens tot vertrouwelijkheid zijn gehouden.

4.3 De verwerker neemt passende technische en organisatorische maatregelen zoals beschreven in artikel 6, en helpt de verantwoordelijke om te voldoen aan diens verplichtingen rond beveiliging, meldingen van inbreuken en verzoeken van betrokkenen.

4.4 De verwerker stelt de verantwoordelijke desgevraagd de informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen, en maakt audits mogelijk.

5. Subverwerkers

5.1 De verantwoordelijke geeft de verwerker algemene toestemming om subverwerkers in te schakelen. De verwerker maakt op dit moment gebruik van de volgende subverwerkers:

• Microsoft (Azure), voor de hosting en infrastructuur, uitsluitend in de regio West-Europa;
• Microsoft (Azure Communication Services), voor het versturen van inlog- en notificatiemails;
• Stripe, voor de facturatie en betaalverwerking.

5.2 De verwerker legt elke subverwerker dezelfde verplichtingen op als in deze overeenkomst, en informeert de verantwoordelijke over voorgenomen wijzigingen, zodat deze daartegen bezwaar kan maken.

6. Beveiliging

6.1 De verwerker treft passende maatregelen als bedoeld in artikel 32 AVG, waaronder: verwerking uitsluitend in de Azure-regio West-Europa, uitsluitend leesrechten op het boekhoudpakket, versleutelde opslag van koppelingstokens in een aparte sleutelkluis, inloggen met eenmalige inloglinks zonder wachtwoorden, toegang per medewerker volgens het principe van minimale rechten, en een audit trail die per vraag vastlegt wie welke administratie wanneer heeft bevraagd zonder de inhoud van het antwoord te bewaren.

7. Inbreuken in verband met persoonsgegevens

7.1 De verwerker informeert de verantwoordelijke zonder onredelijke vertraging nadat hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens, en verstrekt daarbij de informatie die de verantwoordelijke nodig heeft om aan zijn eigen meldplichten te voldoen.

8. Teruggave en verwijdering

8.1 Na beëindiging van de dienst verwijdert de verwerker de koppelingstokens en de bij hem aanwezige persoonsgegevens, tenzij een wettelijke verplichting tot bewaring noopt. Omdat de verwerker geen financiële gegevens opslaat, blijft de hoeveelheid te verwijderen gegevens beperkt.

9. Toepasselijk recht

9.1 Op deze verwerkersovereenkomst is Nederlands recht van toepassing.

10. Acceptatie

10.1 Door de dienst Finance MCP te gebruiken aanvaardt de verantwoordelijke deze verwerkersovereenkomst; een afzonderlijke ondertekening is niet vereist. De verantwoordelijke kan dit document downloaden en bewaren voor zijn eigen administratie.

Dit document is gegenereerd via het Finance MCP-portal en is gebaseerd op artikel 28 AVG. Laat het bij twijfel toetsen door je eigen juridisch adviseur.