Verwerkers-
overeenkomst

Deze verwerkersovereenkomst geldt zodra HoevenSolutions persoonsgegevens verwerkt in opdracht van een klant. Hij hoort bij de opdracht en staat er niet los van: gaat de opdracht door, dan gelden deze afspraken.

• Verwerkingsverantwoordelijke (opdrachtgever): de partij met wie wij een overeenkomst hebben gesloten en die bepaalt waarom en hoe de gegevens worden verwerkt.
• Verwerker: HoevenSolutions, Kortezoom 12, 2811 DS Reeuwijk, KvK 99283255, joel@hoevensolutions.nl.

Hierna samen "partijen". Waar hieronder "wij" staat, gaat het over HoevenSolutions als verwerker.

• AVG: de Algemene verordening gegevensbescherming, verordening (EU) 2016/679.
• Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals bedoeld in artikel 4 AVG.
• Verwerking: elke bewerking van persoonsgegevens: verzamelen, vastleggen, opslaan, wijzigen, opvragen, gebruiken, verstrekken, combineren, wissen of vernietigen.
• Datalek: een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde toegang tot persoonsgegevens.
• Subverwerker: een partij die wij inschakelen voor een deel van de verwerking.

Deze overeenkomst regelt de verwerking van persoonsgegevens die wij voor de opdrachtgever uitvoeren in het kader van de opdracht.

Hij begint op het moment dat wij voor het eerst persoonsgegevens van de opdrachtgever verwerken en eindigt zodra wij dat niet meer doen. Eindigt de opdracht, dan eindigt deze overeenkomst mee, met inachtneming van de afspraken over teruggeven en verwijderen hieronder.

Wij verwerken persoonsgegevens uitsluitend om de afgesproken diensten uit te voeren. In de praktijk gaat het om:

• de systemen die wij voor de opdrachtgever bouwen en beheren, zoals een ERP, apps en portalen voor klanten en medewerkers;
• geautomatiseerde verwerking en uitlezen van gegevens uit documenten, zoals facturen, werkbonnen en e-mail, ook met AI-modellen;
• koppelingen met de systemen van de opdrachtgever, zoals CRM, ERP, boekhouding en mail;
• automatisering van processen en workflows;
• hosting en beheer van de portalen en systemen die wij bouwen.

Soorten gegevens. Contactgegevens (naam, e-mail, telefoon, adres), zakelijke gegevens (functie, bedrijfsnaam), financiële gegevens (factuurbedragen, rekeningnummers op facturen), correspondentie en berichtinhoud, beeldmateriaal zoals foto's en opnames van woningen, en overige gegevens die in aangeleverde documenten voorkomen.

Wie het betreft. Medewerkers, klanten, leveranciers en zakenrelaties van de opdrachtgever, en verder iedereen wiens gegevens in de verwerkte documenten staan.

Bijzondere persoonsgegevens in de zin van artikel 9 AVG verwerken wij niet, tenzij dat vooraf uitdrukkelijk en schriftelijk is afgesproken.

• Alleen op instructie. Wij verwerken persoonsgegevens uitsluitend op schriftelijke instructie van de opdrachtgever, tenzij de wet ons iets anders verplicht. In dat laatste geval melden wij dat vooraf, tenzij die melding wettelijk verboden is.
• Geheimhouding. Iedereen die bij ons toegang heeft tot de gegevens is tot geheimhouding verplicht.
• Geen training. Wij gebruiken de persoonsgegevens niet om AI-modellen te trainen, en schakelen voor AI alleen leveranciers in die dat volgens hun voorwaarden ook niet doen.
• Beveiliging. Wij nemen passende technische en organisatorische maatregelen, afgestemd op het risico. Welke, staat verderop bij de beveiligingsmaatregelen.
• Subverwerkers. Wij schakelen alleen de partijen in die in de lijst hieronder staan, onder de voorwaarden die daar beschreven zijn.
• Rechten van betrokkenen. Krijgt de opdrachtgever een verzoek van iemand die inzage, correctie of verwijdering wil, dan helpen wij dat af te handelen.
• Bijstand. Wij helpen ook bij beveiliging, datalekken, DPIA's en een voorafgaande raadpleging bij de toezichthouder.
• Teruggeven of wissen. Als de dienstverlening stopt, geven wij alle persoonsgegevens terug of verwijderen wij ze, wat de opdrachtgever ook kiest, en wissen wij bestaande kopieën. Tenzij wij ze wettelijk moeten bewaren.
• Aantonen. Wij stellen alle informatie beschikbaar die nodig is om naleving aan te tonen en werken mee aan audits en inspecties.

Gaat er iets mis met de beveiliging van gegevens die wij voor de opdrachtgever verwerken, dan melden wij dat zonder onnodig uitstel en in ieder geval binnen 48 uur.

Die melding bevat minimaal:

• wat er is gebeurd;
• om welke groepen mensen het gaat en ongeveer hoeveel;
• om welke soorten en hoeveel gegevens het gaat;
• wat de waarschijnlijke gevolgen zijn;
• wat wij hebben gedaan of gaan doen om het op te lossen.

Daarna werken wij volledig mee aan het onderzoek en de afhandeling. De melding aan de Autoriteit Persoonsgegevens en aan betrokkenen doet de opdrachtgever zelf; dat is een verplichting van de verwerkingsverantwoordelijke.

Incidenten melden: joel@hoevensolutions.nl of +31 6 29 29 66 43.

De opdrachtgever geeft algemene toestemming om subverwerkers in te schakelen, op drie voorwaarden: wij melden wijzigingen vooraf, de opdrachtgever kan binnen veertien dagen bezwaar maken, en met elke subverwerker sluiten wij een overeenkomst met minimaal dezelfde verplichtingen als deze. Wij blijven zelf volledig aansprakelijk voor wat zij doen.

Dit is de actuele lijst. Hij staat hier openbaar, zodat wijzigingen na te lopen zijn.

• Vercel Inc.

  Hosting van website en applicaties, inclusief technische logs

  Verenigde StatenEU-VS Data Privacy Framework

• Supabase Inc.

  Database, authenticatie en bestandsopslag

  Europese Unie (hosting), Verenigde Staten (moederbedrijf)Standaardcontractbepalingen (SCC's)

• OpenAI, L.L.C.

  AI-verwerking en tekstextractie uit documenten

  Verenigde StatenEU-VS Data Privacy Framework, standaardcontractbepalingen

• Anthropic PBC

  AI-verwerking van documenten en gesprekken

  Verenigde StatenStandaardcontractbepalingen (SCC's)

• Resend (Plus Five Five, Inc.)

  Verzenden van transactionele e-mail

  Verenigde StatenStandaardcontractbepalingen (SCC's)

• Upstash, Inc.

  Tijdelijke opslag voor verkeersbegrenzing en misbruikpreventie

  Europese UnieVerwerking binnen de EER

• Google Ireland Ltd.

  Koppeling met Gmail, uitsluitend nadat de Opdrachtgever die zelf autoriseert

  Ierland, met ondersteuning vanuit de Verenigde StatenEU-VS Data Privacy Framework

• Fireflies.ai Inc.

  Vastleggen en samenvatten van gespreksnotulen

  Verenigde StatenStandaardcontractbepalingen (SCC's)

• Moneybird B.V.

  Koppeling met de boekhouding voor facturen en projecten

  NederlandVerwerking binnen de EER

• Formspree, Inc.

  Verwerking van het aanmeldformulier

  Verenigde StatenStandaardcontractbepalingen (SCC's)

Wij kiezen waar het kan voor opslag binnen de Europese Economische Ruimte. Een deel van onze leveranciers zit in de Verenigde Staten, waardoor doorgifte daarbuiten niet altijd is uit te sluiten.

Voor die gevallen steunen wij op een geldig adequaatheidsbesluit, zoals het EU-VS Data Privacy Framework voor gecertificeerde leveranciers, of op de standaardcontractbepalingen van de Europese Commissie, aangevuld met versleuteling. Per leverancier staat in de lijst hierboven waar die staat en waarop de doorgifte is gebaseerd.

Technisch. Versleuteling van verkeer (TLS 1.2 of hoger) en van opslag waar dat van toepassing is. Toegang achter sterke wachtwoorden en waar mogelijk tweefactorauthenticatie. Autorisatie op rijniveau in de database, zodat een account alleen ziet wat het mag zien. Software en afhankelijkheden blijven bijgewerkt. Automatische back-ups met beveiligde opslag. Logging van toegang en verwerkingen.

Organisatorisch. Geheimhouding voor iedereen die eraan werkt, inclusief ingeschakelde derden. Toegang alleen waar dat voor het werk nodig is. Een vaste procedure bij incidenten. Periodieke controle of de maatregelen nog kloppen bij het risico.

De opdrachtgever mag laten controleren of wij ons aan deze afspraken houden. Meld een audit minimaal veertien dagen van tevoren schriftelijk aan; wij plannen hem zo dat de bedrijfsvoering er zo min mogelijk last van heeft.

De kosten zijn voor de opdrachtgever, tenzij uit de audit blijkt dat wij tekortschieten. Dan zijn ze voor ons.

Onze aansprakelijkheid onder deze overeenkomst is beperkt zoals afgesproken in de algemene voorwaarden en de opdracht zelf.

Partijen vrijwaren elkaar voor claims van derden wegens schending van de AVG, voor zover die schending aan de vrijwarende partij te wijten is.

Op deze overeenkomst is Nederlands recht van toepassing.

Komen partijen er samen niet uit, dan wordt het geschil voorgelegd aan de bevoegde rechter te Den Haag.

Wijzigingen gelden alleen als ze schriftelijk zijn afgesproken. Is een bepaling ongeldig, dan blijven de overige bepalingen gewoon gelden.

Vragen over deze verwerkersovereenkomst kunnen naar joel@hoevensolutions.nl. Hoe wij met persoonsgegevens omgaan voor onze eigen doeleinden staat in de privacyverklaring.