Verwerkersovereenkomst (DPA)

Verwerkersovereenkomst FenoFin

Wanneer u (hierna: "Verwerkingsverantwoordelijke") gebruik maakt van de software en diensten van FenoFin (hierna: "Verwerker"), legt u diverse persoonsgegevens van uw klanten, leveranciers en andere relaties vast. In de Algemene Verordening Gegevensbescherming (AVG) wordt u aangemerkt als Verwerkingsverantwoordelijke voor deze gegevens.

FenoFin treedt op als Verwerker, omdat wij deze persoonsgegevens namens u verwerken binnen ons platform. Deze Verwerkersovereenkomst (hierna: "Overeenkomst") is onderdeel van de Gebruikersvoorwaarden tussen u en FenoFin en beschrijft de rechten en plichten met betrekking tot de verwerking van persoonsgegevens.

Artikel 1: Definities

De termen in deze Overeenkomst hebben de betekenis zoals vastgelegd in de AVG.

• Administratie: De boekhouding die door Verwerkingsverantwoordelijke met behulp van de FenoFin-software wordt gevoerd en waarin Persoonsgegevens worden opgeslagen.
• Betrokkene: De persoon op wie de Persoonsgegevens betrekking hebben (bijv. uw klanten, leveranciers of relaties).
• Persoonsgegevens: Alle gegevens in de Administratie die informatie geven over een geïdentificeerde of identificeerbare natuurlijke persoon.
• Verwerkingsverantwoordelijke: U, de klant van FenoFin, die het doel en de middelen voor de verwerking van de Persoonsgegevens in de Administratie vaststelt.
• Verwerker: FenoFin (Stationsweg 22, 9471 GR Zuidlaren; KVK: 98143948; BTW-id: NL868374362B01; e-mail: [email protected]), die de Persoonsgegevens namens de Verwerkingsverantwoordelijke verwerkt.
• Sub-verwerker: Een derde partij die door Verwerker wordt ingeschakeld om (een deel van) de Persoonsgegevens te verwerken.
• Administratief dienstverlener: De houder van een FenoFin-kantooromgeving die met de FenoFin-software de administraties van zijn eigen klanten voert — in de basis een zelfstandige boekhouder of administratiekantoor. Een kantooromgeving waarmee uitsluitend de eigen administratie of die van de eigen groep wordt gevoerd, is géén administratief dienstverlener in de zin van deze Overeenkomst.

Artikel 2: Partijen

Als in deze Overeenkomst 'u' of 'uw' wordt gebruikt, bedoelen we de Verwerkingsverantwoordelijke (de FenoFin-klant). Als 'wij', 'we' of 'ons' wordt gebruikt, bedoelen we FenoFin (de Verwerker).

2.1 Bent u administratief dienstverlener?

Voert u met FenoFin de administraties van uw eigen klanten, dan ontstaat een keten van drie partijen. Uw klant is dan de Verwerkingsverantwoordelijke voor de Persoonsgegevens in zijn administratie, bent u ten opzichte van die klant de Verwerker, en treedt FenoFin op als Sub-verwerker. Deze Overeenkomst geldt in dat geval als de afspraak tussen u en FenoFin over die sub-verwerking: alle verplichtingen die wij hierna als Verwerker op ons nemen, gelden onverkort in onze rol als Sub-verwerker.

U bent er zelf verantwoordelijk voor dat u met uw klanten een verwerkersovereenkomst heeft gesloten die het inschakelen van sub-verwerkers toestaat, en dat u hen informeert over het gebruik van FenoFin. Verzoeken van uw klanten of van Betrokkenen handelt u zelf af; wij verlenen daarbij de medewerking die in Artikel 9 is beschreven.

Voert u met een kantooromgeving uitsluitend uw eigen administratie of die van uw groep, dan ontstaat deze keten niet. In dat geval geldt de hoofdregel van dit artikel onverkort: u bent Verwerkingsverantwoordelijke en FenoFin is uw Verwerker.

Artikel 3: Toepasselijkheid en duur

Deze Overeenkomst treedt in werking zodra u de Gebruikersvoorwaarden van FenoFin accepteert en gebruikmaakt van onze diensten. De Overeenkomst blijft van kracht zolang de hoofdovereenkomst (uw abonnement) loopt en eindigt automatisch bij beëindiging daarvan.

Artikel 4: Aard en doel van de verwerking

Wij verwerken de Persoonsgegevens uitsluitend in uw opdracht en voor de doeleinden die zijn vastgelegd in de hoofdovereenkomst.

• Doel: Het primaire doel is het leveren van de FenoFin boekhoud- en strategiesoftware, inclusief opslag, bewerking en analyse van de door u ingevoerde administratieve gegevens.
• Afgeleide doelen:
  1. Het bieden van technische en inhoudelijke ondersteuning (support).
  2. Het beveiligen, monitoren en optimaliseren van het FenoFin-platform.
  3. Het waarborgen van continuïteit (o.a. het maken van back-ups).
  4. Het leveren van (AI-gedreven) analyses en inzichten, zoals boekingsvoorstellen of strategische analyses (indien onderdeel van uw abonnement). Hiervoor zet FenoFin uitsluitend Google Gemini via Vertex AI in; zie Artikel 6.
  5. Het op verzoek beschikbaar stellen van gegevens uit uw Administratie aan een AI-omgeving die u of uw dienstverlener via de FenoFin Connector heeft gekoppeld. FenoFin draait daarbij zelf geen AI-model en is geen partij bij uw overeenkomst met die AI-aanbieder (zie Artikel 6).
  6. Het (geanonimiseerd) analyseren van data ter verbetering van het platform en het ontwikkelen van nieuwe functionaliteiten.
• Categorieën Betrokkenen: Debiteuren (klanten), crediteuren (leveranciers) en overige relaties van de Verwerkingsverantwoordelijke.
• Soorten Persoonsgegevens: Contactgegevens (naam, adres, e-mail), bankgegevens (rekeningnummers), factuurgegevens, en overige financiële en administratieve gegevens die u in het platform invoert.

Artikel 5: Onze verplichtingen als Verwerker

Wij houden ons aan de wet- en regelgeving, waaronder de AVG.

• Wij verwerken de Persoonsgegevens alleen op basis van uw schriftelijke instructies (vastgelegd in deze Overeenkomst).
• Wij zullen u onmiddellijk informeren als een instructie van u naar onze mening inbreuk maakt op de AVG.
• Wij gebruiken de Persoonsgegevens niet voor eigen doeleinden, met uitzondering van geanonimiseerde data voor platformverbetering (zoals beschreven in Artikel 4).
• Wij waarborgen de geheimhouding van de Persoonsgegevens. Al onze medewerkers en ingeschakelde derden zijn contractueel verplicht tot geheimhouding.

Artikel 6: Inschakelen van Sub-verwerkers

U geeft ons hierbij algemene toestemming om Sub-verwerkers in te schakelen voor het leveren van de dienst. Wij zorgen ervoor dat wij met deze Sub-verwerkers (minimaal) dezelfde contractuele verplichtingen overeenkomen als in deze Overeenkomst.

FenoFin maakt momenteel gebruik van de volgende categorieën Sub-verwerkers:

• Hosting- en Cloudinfrastructuur: Voor de opslag van data en het draaien van de applicatie.
• AI-dienstverlener (Google LLC via Vertex AI): Voor de AI-functies binnen de applicatie, waaronder inkoopfactuurclassificatie, banktransactiematching, tekstherkenning van aangeleverde documenten en de Strategiemodule (zie Artikel 7). Dit is de enige AI-technologie die FenoFin zelf inzet voor Persoonsgegevens uit uw Administratie. Google gebruikt deze gegevens niet voor het trainen van modellen.
• Communicatiedienstverleners (Meta Platforms Inc.): Voor klantenservice en documentverwerking via de WhatsApp Business API.
• Bankintegratiedienstverleners (Isabel Group NV): Voor het ophalen van banktransacties via Ponto Connect (OAuth2-geautoriseerde bankdata).
• Betalingsdienstverleners: Voor het verwerken van uw abonnementsbetalingen (deze verwerken uw data, niet die van uw klanten).
• E-maildienstverleners: Voor het versturen van support- en serviceberichten.
• Monitoring- en Beveiligingsdienstverleners (Sentry / Functional Software Inc., Cloudflare Inc.): Voor error monitoring, CDN-diensten en DDoS-bescherming.

6.1 Wat géén Sub-verwerker van FenoFin is

Twee gegevensstromen worden vaak door elkaar gehaald. Voor de duidelijkheid maken wij het onderscheid hier expliciet.

Koppelt u — of een administratief dienstverlener die met uw Administratie werkt — een AI-omgeving via de FenoFin Connector, dan draait die AI buiten FenoFin, op een eigen abonnement of API-sleutel. FenoFin roept dat model niet aan, heeft geen zeggenschap over die verwerking en is geen partij bij de overeenkomst met die aanbieder. Die aanbieder is daarom geen Sub-verwerker van FenoFin en staat niet in de bijlage bij deze Overeenkomst. Welke waarborgen FenoFin aan de poort wél biedt, staat in Artikel 8.

Beeldgeneratie voor onze eigen content. Voor illustraties op onze website en in de kennisbank gebruikt FenoFin daarnaast beeldgeneratiediensten van Google en van OpenAI, L.L.C. Daarbij worden geen Persoonsgegevens uit uw Administratie verwerkt; deze partijen zijn dan ook geen Sub-verwerker in de zin van deze Overeenkomst.

Wij zullen u informeren over wijzigingen (toevoeging of vervanging) in onze Sub-verwerkers. U heeft het recht om binnen 14 dagen na kennisgeving bezwaar te maken. Indien wij geen gehoor kunnen geven aan uw bezwaar, heeft u het recht de hoofdovereenkomst te beëindigen.

Artikel 7: Locatie van gegevens (Doorgifte)

Wij streven ernaar alle Persoonsgegevens binnen de Europese Economische Ruimte (EER) te verwerken en op te slaan. De Administratie zelf — de applicatie, de database en de bestandsopslag — draait in het datacenter Amsterdam (EU).

Voor specifieke diensten — waaronder de AI-analyses binnen de applicatie (inkoopfactuurclassificatie, banktransactiematching, tekstherkenning, de Strategiemodule), WhatsApp-communicatie en monitoring — maken wij gebruik van diensten van Google LLC, Meta Platforms Inc., Sentry (Functional Software Inc.) en Cloudflare Inc. Dit kan een doorgifte van Persoonsgegevens naar de Verenigde Staten (buiten de EER) inhouden. De AI-verwerking door Google vindt plaats op de wereldwijde Vertex AI-infrastructuur en is niet aan een EU-regio gebonden. Isabel Group NV verwerkt gegevens binnen de EU/EER. Wij zorgen ervoor dat doorgifte buiten de EER alleen plaatsvindt onder passende waarborgen, zoals vereist door de AVG (bijvoorbeeld op basis van het EU-VS Data Privacy Framework of Standaard Contractuele Clausules).

Let op bij gebruik van de FenoFin Connector. Koppelt u of uw administratief dienstverlener een eigen AI-omgeving, dan verlaten de opgevraagde gegevens FenoFin richting die omgeving. Waar die aanbieder de gegevens opslaat en onder welke waarborgen, wordt bepaald door uw eigen overeenkomst met hem (zie Artikel 6.1). Wij raden u aan dit vóór ingebruikname te controleren, zeker wanneer de betreffende aanbieder buiten de EER opslaat.

Artikel 8: Beveiliging (TOMs)

Wij nemen passende technische en organisatorische maatregelen (TOMs) om de Persoonsgegevens in uw Administratie te beveiligen tegen verlies, misbruik, en onbevoegde toegang, conform Artikel 32 van de AVG. Deze maatregelen omvatten, maar zijn niet beperkt tot:

• Versleuteling (encryptie) van data, zowel tijdens verzending (in transit) als bij opslag (at rest).
• Strikt toegangsbeheer (rolgebaseerde toegang).
• Periodieke back-ups en procedures voor tijdig herstel bij een incident.
• Beveiligingsmonitoring en logging.
• Toegang via de FenoFin Connector uitsluitend met een persoonsgebonden sleutel, met gescheiden lees- en schrijfrechten, een vaste lijst van toegestane tools en een audit-trail per handeling; de sleutel is per direct intrekbaar, waarmee lopende sessies onmiddellijk hun toegang verliezen.
• Wijzigingen via de Connector die buiten een beperkte set routinehandelingen vallen, worden pas uitgevoerd na een expliciete bevestigingsstap.
• Documenten worden via de Connector uitsluitend beschikbaar gesteld met een tijdelijke, kortlopende downloadlink.

Voor vragen over ons beveiligingsbeleid kunt u contact opnemen via [email protected].

Artikel 9: Rechten van Betrokkenen

U, als Verwerkingsverantwoordelijke, bent primair verantwoordelijk voor het afhandelen van verzoeken van uw Betrokkenen (uw klanten) die hun AVG-rechten uitoefenen (zoals inzage, rectificatie of verwijdering).

Wij zullen, voor zover mogelijk, redelijke medewerking verlenen om u in staat te stellen aan uw verplichtingen te voldoen. Wij zullen verzoeken die wij rechtstreeks van uw Betrokkenen ontvangen, direct naar u doorsturen.

Artikel 10: Audits en inspecties

U heeft het recht om periodiek te controleren (auditen) of wij onze verplichtingen onder deze Overeenkomst naleven. Wij zullen alle redelijkerwijs benodigde informatie ter beschikking stellen om dit aan te tonen.

Indien u een inspectie of audit ter plaatse wilt uitvoeren, dient u dit minimaal vier (4) weken van tevoren schriftelijk aan te vragen. Dergelijke audits vinden plaats onder geheimhouding. Alle redelijke kosten die wij maken voor onze medewerking aan een dergelijke audit worden aan u doorbelast.

Artikel 11: Verzoeken van derden

Wij zullen de Persoonsgegevens niet aan derden (zoals overheidsinstanties) verstrekken, tenzij wij hiertoe wettelijk verplicht zijn. Indien wij een dergelijk verzoek ontvangen, zullen wij u hiervan onmiddellijk op de hoogte stellen, tenzij de wet ons dit verbiedt.

Artikel 12: Uw verplichtingen als Verantwoordelijke

U garandeert dat de verwerking van de Persoonsgegevens binnen de FenoFin-applicatie, inclusief de invoer van data, rechtmatig is en geen inbreuk maakt op de rechten van derden. U vrijwaart FenoFin voor alle aanspraken van derden (inclusief Betrokkenen of toezichthouders) die voortvloeien uit het niet naleven van deze garantie.

Artikel 13: Melding van datalekken

Indien wij kennis nemen van een inbreuk in verband met persoonsgegevens (een datalek) die betrekking heeft op uw Administratie, informeren wij u hierover zonder onredelijke vertraging en in ieder geval binnen 48 uur na kennisname.

Deze melding omvat ten minste:

• De aard van het datalek.
• De categorieën Betrokkenen en, indien mogelijk, het aantal.
• De contactgegevens voor meer informatie.
• De waarschijnlijke gevolgen van het datalek.
• De maatregelen die wij hebben genomen of voorstellen om de gevolgen te beperken.

U bent zelf verantwoordelijk voor de eventuele meldplicht aan de Autoriteit Persoonsgegevens en/of het informeren van de Betrokkenen.

Artikel 14: Teruggave en vernietiging van gegevens

U kunt gedurende de looptijd van de hoofdovereenkomst uw gegevens exporteren via de daartoe bestemde functies in de software.

Tot drie (3) maanden na beëindiging van de hoofdovereenkomst (uw abonnement) stellen wij u in staat uw gegevens te downloaden. Na afloop van deze periode zullen wij alle Persoonsgegevens in uw Administratie permanent vernietigen, tenzij op ons een wettelijke plicht tot langere opslag rust.

Artikel 15: Aansprakelijkheid

Partijen erkennen dat de verwerking van persoonsgegevens risico's met zich meebrengt. Onze aansprakelijkheid voor schade die voortvloeit uit het niet-naleven van deze Verwerkersovereenkomst, of uit enige andere onrechtmatige daad of tekortkoming die aan ons toerekenbaar is, is beperkt.

De beperking van de aansprakelijkheid zoals overeengekomen in de Gebruikersvoorwaarden (hoofdovereenkomst) is van overeenkomstige toepassing op deze Verwerkersovereenkomst. Dit betekent dat onze totale aansprakelijkheid te allen tijde beperkt is tot het maximale bedrag zoals omschreven in de Gebruikersvoorwaarden (doorgaans het bedrag dat u in de 12 maanden voorafgaand aan de gebeurtenis aan FenoFin heeft betaald).

Deze beperking geldt niet in geval van opzet of grove schuld aan de zijde van FenoFin.

Artikel 16: Conflicterende bepalingen

Indien bepalingen uit deze Verwerkersovereenkomst conflicteren met bepalingen uit de Gebruikersvoorwaarden of andere overeenkomsten, prevaleren de bepalingen van deze Verwerkersovereenkomst als het gaat om de verwerking van persoonsgegevens.

Artikel 17: Beëindiging

Deze Overeenkomst wordt beëindigd zodra de hoofdovereenkomst (uw abonnement) wordt beëindigd. Bepalingen die naar hun aard bedoeld zijn om na beëindiging van kracht te blijven (zoals geheimhouding, aansprakelijkheid, en vernietiging van gegevens) blijven van kracht.

Bijlage: Overzicht Sub-verwerkers

Onderstaande tabel bevat een overzicht van de Sub-verwerkers die FenoFin inschakelt voor de verwerking van Persoonsgegevens uit uw Administratie. Dit overzicht wordt bijgewerkt bij wijzigingen.

Niet in dit overzicht — en bewust niet:

• De AI-aanbieder achter de FenoFin Connector. Die wordt gekozen door u of uw administratief dienstverlener en werkt onder uw eigen overeenkomst met die partij. FenoFin roept dat model niet aan en is er geen partij bij (zie Artikel 6.1).
• Beeldgeneratiediensten van Google en OpenAI, L.L.C. Deze gebruikt FenoFin uitsluitend voor illustraties op onze eigen website en in de kennisbank. Er worden daarbij geen Persoonsgegevens uit uw Administratie verwerkt.