Verwerkersovereenkomst

Deze verwerkersovereenkomst is een afspraak tussen jou (verwerkingsverantwoordelijke) en DigitX BV, KvK 82240264 (verwerker). Ze hoort bij de algemene voorwaarden en geldt zodra je een account aanmaakt.

Ze gaat over de persoonsgegevens die je in EenFactuurMaken.nl zet om facturen te maken en te versturen, zoals de gegevens van je klanten en hun contactpersonen.

We verwerken de gegevens alleen om de dienst te leveren: opslaan, facturen en e-facturen maken, e-mails en herinneringen versturen, exporteren en via de API beschikbaar maken. Dat doen we zolang je account bestaat, en daarna zolang nodig voor de bewaartermijnen in de voorwaarden.

• Betrokkenen: jouw klanten en hun contactpersonen, en eventueel jijzelf als eenmanszaak.
• Gegevens: naam, adres, e-mailadres, telefoonnummer, KvK- en btw-nummer, Peppol-ID, en wat je op facturen zet, zoals omschrijvingen, bedragen en notities.
• Zet geen bijzondere persoonsgegevens, zoals gezondheidsgegevens, of burgerservicenummers op facturen, tenzij dat wettelijk verplicht is.

We verwerken de gegevens alleen op jouw instructie. Hoe je de dienst gebruikt en instelt, geldt als die instructie. Vinden we dat een instructie in strijd is met de AVG, dan laten we je dat meteen weten.

Iedereen die bij ons toegang heeft tot de gegevens, heeft een geheimhoudingsplicht. Toegang krijgen alleen mensen die dat nodig hebben voor hun werk.

We nemen passende maatregelen volgens artikel 32 AVG, waaronder versleutelde verbindingen, strikte scheiding tussen gebruikers, sterke authenticatie, logging, versleutelde back-ups en hosting in de EU. De actuele maatregelen staan op onze pagina Beveiliging.

Je geeft toestemming voor de subverwerkers hieronder. Met elk hebben we afspraken die minstens zo streng zijn als deze overeenkomst.

• Hetzner Online GmbH (Duitsland): hosting, database en back-ups.
• Resend, Inc. (Verenigde Staten; verzending vanuit de EU-regio in Ierland): versturen van e-mail, zoals facturen en herinneringen aan je klanten. Resend bewaart verstuurde e-mails en hun gegevens maximaal 30 dagen, ook in de Verenigde Staten.
• Nieuwe subverwerkers melden we minstens 30 dagen van tevoren. Je kunt bezwaar maken; komen we er niet uit, dan kun je opzeggen.

Ontdekken we een datalek dat jouw gegevens raakt, dan melden we dat zonder onnodige vertraging, en uiterlijk binnen 48 uur nadat we het ontdekten. We geven je de informatie die je nodig hebt om het lek zelf te melden bij de Autoriteit Persoonsgegevens en betrokkenen te informeren.

We helpen je om verzoeken van betrokkenen te beantwoorden, bijvoorbeeld door export en verwijdering in de dienst mogelijk te maken. Ook helpen we, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling (DPIA).

Op verzoek geven we je de informatie die nodig is om aan te tonen dat we ons aan deze overeenkomst houden. Een audit door een onafhankelijke deskundige is mogelijk, maximaal één keer per jaar, op jouw kosten en na overleg over het moment.

We slaan de gegevens op in de EU. Verstuur je e-mail via EenFactuurMaken.nl, dan worden die e-mails ook door Resend in de Verenigde Staten verwerkt. Doorgifte buiten de EER doen we alleen met passende waarborgen: het EU-VS Data Privacy Framework (waar de subverwerker daarbij is aangesloten) en de standaardcontractbepalingen.

Eindigt je account, dan kun je je gegevens eerst exporteren. Daarna verwijderen we ze binnen 60 dagen, tenzij een wettelijke plicht ons dwingt ze langer te bewaren. Uit back-ups verdwijnen ze binnen 12 maanden.

Voor aansprakelijkheid geldt wat in de algemene voorwaarden staat.