Verwerkersovereenkomst MyCompanyDesk

Artikel 1. Partijen en rangorde

Verwerker: MyCompanyDesk, handelsnaam van de eenmanszaak van Sil van Rijnberk, Naxosdreef 161, 3562 JG Utrecht, Nederland, KvK 42058784. Contact: [email protected]. Hierna: "wij".

Verwerkingsverantwoordelijke: het bedrijf dat in het account van MyCompanyDesk staat, met naam, KvK-nummer en adres. Hierna: "jij". Jij bepaalt waarvoor en hoe de persoonsgegevens die je in MyCompanyDesk zet, worden verwerkt.

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden. Je gaat met beide akkoord bij het aanmelden ("Ik ga akkoord met de algemene voorwaarden en de verwerkersovereenkomst"). Spreken ze elkaar tegen over persoonsgegevens, dan gaat deze verwerkersovereenkomst voor.

Begrippen als "persoonsgegevens", "verwerken", "betrokkene" en "inbreuk in verband met persoonsgegevens" hebben de betekenis uit de Algemene Verordening Gegevensbescherming (AVG).

Artikel 2. Onderwerp, doel, gegevens en duur

Wat wij voor je doen

Wij verwerken persoonsgegevens alleen om de dienst te leveren die in de algemene voorwaarden staat:

• facturen, offertes, werkbonnen, creditnota's en betalingsherinneringen;
• klanten, projecten, uren, uitgaven, contracten en documenten;
• de inbox: mail versturen en ontvangen op je eigen domein;
• je website, met formulieren, afspraken en bezoekcijfers;
• nieuwsbrieven;
• de bankkoppeling en betaallinks;
• AI-functies, zoals de assistent, bonnen lezen en conceptteksten;
• digitaal ondertekenen en offertes online accepteren;
• rapporten, btw-overzichten en exports.

Van wie (betrokkenen)

• je klanten, leveranciers en andere zakelijke relaties, en hun contactpersonen;
• je teamleden en mensen die je toegang geeft, zoals je boekhouder;
• bezoekers van je website en mensen die een aanvraag doen of een afspraak boeken;
• mensen die een document ondertekenen of een offerte accepteren;
• abonnees van je nieuwsbrief;
• mensen met wie je mailt via de inbox.

Welke gegevens

Contactgegevens (naam, e-mailadres, telefoonnummer, adres), bedrijfsgegevens (KvK- en btw-nummer), financiële gegevens (IBAN, bedragen, betaalstatus, banktransacties), de inhoud van facturen, offertes, contracten, documenten en mail, handtekeningen met tijdstip en IP-adres, gegevens van websitebezoek en technische gegevens zoals IP-adressen en browsers.

Bijzondere persoonsgegevens

MyCompanyDesk is niet speciaal gemaakt voor bijzondere persoonsgegevens (artikel 9 AVG), zoals gegevens over gezondheid. Toch kan het gebeuren dat je ze verwerkt, bijvoorbeeld als zorgverlener, coach of therapeut, in een notitie, afspraak of factuur. Daarvoor gelden dezelfde maatregelen als voor alle gegevens (artikel 5). Jij beoordeelt of die passend zijn voor jouw verwerking en zet niet meer van zulke gegevens in MyCompanyDesk dan nodig. Een medisch dossier hoort in een systeem dat daarvoor gemaakt is.

Duur

De verwerking loopt zolang je een account hebt. Daarna geldt artikel 11.

Artikel 3. Verplichtingen van de verwerker

• Alleen op jouw instructie. Wij verwerken de gegevens alleen volgens jouw instructies, zoals vastgelegd in deze overeenkomst, de algemene voorwaarden en wat je in de app instelt. Dat geldt ook voor doorgifte buiten de EER.
• Als de wet iets anders vraagt. Verplicht de wet ons om gegevens te verwerken of door te geven, bijvoorbeeld aan een overheidsinstantie, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt.
• Waarschuwen. Vinden wij dat een instructie in strijd is met de AVG of een andere wet, dan laten we het je meteen weten.
• Geheimhouding. Iedereen die namens ons bij de gegevens kan, is tot geheimhouding verplicht, ook na de samenwerking.
• Medewerkers. Een medewerker van MyCompanyDesk kijkt alleen in je werkruimte met een opgegeven reden, bijvoorbeeld om je te helpen of misbruik te onderzoeken. Dat wordt vastgelegd en 400 dagen bewaard.

Waar wij zelf verantwoordelijk zijn

Voor een paar dingen gebruiken wij gegevens voor een eigen doel. Daarvoor zijn wij zelf verantwoordelijk (artikel 28 lid 10 AVG):

• Wij mogen de inhoud van uitgaande berichten verwerken voor de beveiliging van het platform en om misbruik te voorkomen, zoals phishing, spam en fraude. Bij een hoog risico versturen we het bericht niet en beoordeelt een mens het.
• Statistieken over het gebruik van de app (zie de privacyverklaring): zonder toestemming alleen anoniem, met toestemming gekoppeld aan het account van de gebruiker, nooit met de inhoud van je administratie. Paginatitels en zoektermen sturen we niet mee.
• Meldingen van illegale inhoud op websites die wij hosten.

Verder gebruiken wij je gegevens niet voor eigen doelen. We verkopen ze niet, maken er geen profielen van en trainen er geen AI-modellen mee.

Artikel 4. Subverwerkers

Je geeft ons algemene toestemming om de subverwerkers hieronder in te schakelen.

• Komt er een subverwerker bij of wordt er een vervangen, dan mailen we elke eigenaar van een werkruimte minstens 14 dagen vooraf.
• Ben je het er niet mee eens, dan kun je binnen die termijn bezwaar maken per mail aan [email protected]. Komen we er niet uit, dan kun je je abonnement kosteloos opzeggen.
• Met elke subverwerker hebben we afspraken die minstens dezelfde bescherming bieden als deze verwerkersovereenkomst (artikel 28 lid 4 AVG).
• Een paar partijen in de lijst verwerken gegevens voor ons eigen deel van de dienst, zoals Stripe voor je abonnement, of zijn zelf verantwoordelijk voor hun register, zoals de KVK en SIDN. We noemen ze voor de volledigheid.
• Wij blijven tegenover jou verantwoordelijk voor wat onze subverwerkers doen.

Altijd actief

Alleen als je de functie gebruikt of iets koppelt

Artikel 5. Beveiliging

Wij nemen passende technische en organisatorische maatregelen (artikel 32 AVG). Onder meer:

• alle verbindingen versleuteld met TLS;
• wachtwoorden alleen als onleesbare hash (bcrypt); toegangssleutels van koppelingen en geheimen voor tweestapsverificatie versleuteld opgeslagen;
• inloggen met tweestapsverificatie of een passkey mogelijk;
• elke werkruimte ziet alleen haar eigen gegevens;
• beheerderstoegang beperkt en vastgelegd;
• elke nacht een volledige databaseback-up, versleuteld met AES-256-GCM, in afgeschermde opslag (Cloudflare R2); we houden 30 dagelijkse back-ups en 6 maandelijkse;
• persoonsgegevens automatisch verwijderd uit foutmeldingen;
• regelmatige controles op de beveiliging.

Artikel 6. Datalekken

Merken wij een inbreuk in verband met persoonsgegevens die jij in MyCompanyDesk verwerkt, dan laten we je dat zonder onnodige vertraging weten, uiterlijk binnen 48 uur, via het e-mailadres in je account. We vertellen wat er gebeurd is, welke betrokkenen en gegevens het raakt, wat de gevolgen waarschijnlijk zijn en welke maatregelen we nemen of voorstellen. Weten we nog niet alles, dan sturen we de rest zodra we het weten.

Wij helpen je bij een melding aan de Autoriteit Persoonsgegevens en aan betrokkenen. Die meldplicht ligt bij jou als verwerkingsverantwoordelijke.

Artikel 7. Hulp bij verzoeken van betrokkenen

Vraagt iemand je om inzage, correctie, verwijdering of een kopie van zijn gegevens, dan kun je dat meestal zelf in de app:

• gegevens aanpassen of verwijderen bij een klant, factuur of ander onderdeel;
• alles downloaden via Instellingen > Gegevens downloaden > Alles downloaden (ZIP met PDF's, CSV-bestanden en een XAF-auditfile).

Lukt het niet zelf, dan helpen wij je. Komt een verzoek bij ons binnen, dan sturen we het naar jou door en beantwoorden we het niet zelf, tenzij je ons dat vraagt.

Artikel 8. Hulp bij beveiliging, DPIA en raadpleging

Wij helpen je te voldoen aan je plichten uit de artikelen 32 tot en met 36 AVG, voor zover dat redelijk is gezien wat wij doen en wat wij weten. Dat betekent:

• informatie geven over onze beveiliging (artikel 32);
• helpen bij een datalek (artikelen 33 en 34, zie artikel 6);
• informatie geven die je nodig hebt voor een gegevensbeschermingseffectbeoordeling (DPIA, artikel 35);
• helpen als je de Autoriteit Persoonsgegevens vooraf moet raadplegen (artikel 36).

Artikel 9. Informatie en audits

Wij geven je alle informatie die nodig is om aan te tonen dat we ons aan deze overeenkomst en artikel 28 AVG houden. Vraag erom via [email protected].

Is die informatie niet genoeg, dan mag je één keer per kalenderjaar een audit laten doen, na een schriftelijk verzoek met 30 dagen voorbereidingstijd, en vaker als er een concrete aanleiding is, zoals een datalek of een vraag van de toezichthouder. De auditor is tot geheimhouding verplicht en de audit mag ons werk niet onnodig verstoren. Jij betaalt de audit, tenzij blijkt dat wij ons op een belangrijk punt niet aan deze overeenkomst hielden.

Artikel 10. Doorgifte buiten de EER

Gegevens gaan alleen naar een land buiten de Europese Economische Ruimte als daar een waarborg uit hoofdstuk V van de AVG voor is: het EU-VS Data Privacy Framework als de partij daaronder valt, en anders de standaardcontractbepalingen (SCC) van de Europese Commissie. De waarborg per subverwerker staat in artikel 4. Of een Amerikaanse partij onder het DPF valt, controleer je op dataprivacyframework.gov/list.

De AI van Google (Vertex AI) gebruiken we alleen in EU-regio's. Cloudflare werkt met een wereldwijd netwerk; bij Cloudflare Workers AI kan tekst buiten de EER verwerkt worden.

Artikel 11. Einde: teruggeven en wissen

Teruggeven

Je kunt op elk moment al je gegevens downloaden via Instellingen > Gegevens downloaden > Alles downloaden, ook na opzeggen en tijdens de bedenktijd na een verzoek tot verwijderen. Het bestand staat 7 dagen klaar en wordt daarna automatisch verwijderd. Je kunt één export per werkruimte per 24 uur maken.

Wissen

• Vraag je je account te verwijderen, dan heb je 30 dagen bedenktijd. 7 dagen voor het einde krijg je een herinnering. Daarna wissen we alle gegevens: database, bestanden, de opslag van de inbox en de archieven van ondertekende documenten. Je krijgt een bevestiging per mail.
• Beëindigen wij de overeenkomst, dan wissen we de werkruimte op zijn vroegst 90 dagen na het einde van de overeenkomst. 7 dagen vooraf krijg je een herinnering.
• Een gratis Desk-account wissen we nooit automatisch.

Bewaarplicht

De fiscale bewaarplicht van 7 jaar (artikel 52 AWR) voor jouw administratie ligt bij jou, niet bij ons. Download je administratie dus voordat je je account verwijdert. Wij bewaren na het wissen alleen wat we voor onszelf moeten of mogen bewaren: onze eigen facturen en creditnota's aan jou en het register van terugbetalingen (bedragen en nummers bij Stripe, 7 jaar), de lijst tegen misbruik van het gratis domein (5 jaar na het wissen) en meldingen van illegale inhoud (2 jaar na afhandeling). Zie de privacyverklaring.

Back-ups

Gewiste gegevens kunnen nog tot ongeveer 7 maanden in een versleutelde back-up staan (30 dagelijkse en 6 maandelijkse back-ups). We zetten ze niet terug, behalve bij herstel na een calamiteit. Dan wissen we ze direct opnieuw.

Artikel 12. Bewaartermijnen

Binnen een actief account bewaren we gegevens zo lang als in de tabel staat. Je eigen administratie bewaren we zolang jij dat wilt.

Artikel 13. Aansprakelijkheid

Voor aansprakelijkheid onder deze verwerkersovereenkomst geldt dezelfde regeling als in artikel 18 van de algemene voorwaarden. Boetes van een toezichthouder draagt de partij aan wie de overtreding te wijten is.

Artikel 14. Duur, wijzigingen en geschillen

• Deze overeenkomst loopt zolang wij gegevens voor je verwerken.
• Een wijziging laten we je minstens 30 dagen vooraf per mail weten. De nieuwe versie staat met datum op deze pagina. Ben je het er niet mee eens, dan kun je kosteloos opzeggen.
• Op deze overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de bevoegde rechter in het arrondissement Midden-Nederland.