Verwerkersovereenkomst

1. Partijen en rollen

Deze verwerkersovereenkomst geldt tussen de Klant zoals bedoeld in de algemene voorwaarden en PEPS Media, Prinseneiland 12a, 1013 LR Amsterdam (KvK 56369751). Voor de persoonsgegevens in de documenten die de Klant in Ai Invoices verwerkt, is de Klant verwerkingsverantwoordelijke en PEPS Media verwerker in de zin van de Algemene verordening gegevensbescherming (AVG).

2. Onderwerp en instructies

1. PEPS Media verwerkt de persoonsgegevens alleen om de Dienst te leveren: facturen en betaalgegevens uitlezen, tonen, exporteren, opslaan als de Klant dat kiest, naar Moneybird sturen als de Klant dat kiest, en betaalbestanden maken.
2. De Klant geeft zijn instructies door de Dienst te gebruiken: door documenten te uploaden en door functies en instellingen te kiezen, zoals Opslaan in account, de Moneybird-koppeling en het betaalbestand.
3. PEPS Media verwerkt de gegevens niet voor eigen doeleinden en gebruikt ze niet om Ai-modellen te trainen.
4. Vindt PEPS Media dat een instructie in strijd is met de AVG, dan meldt zij dat aan de Klant. PEPS Media mag gegevens verwerken als de wet haar daartoe verplicht; zij meldt dat de Klant vooraf, tenzij de wet dat verbiedt.

3. Gegevens en betrokkenen

Bijlage 1 beschrijft welke gegevens van welke betrokkenen PEPS Media verwerkt. De Klant zorgt dat hij een grondslag heeft voor de verwerking en dat de gegevens die hij uploadt rechtmatig zijn verkregen.

4. Geheimhouding

PEPS Media houdt de gegevens geheim. Alleen personen die de gegevens nodig hebben voor de Dienst of voor beheer en support, hebben toegang, en zij zijn tot geheimhouding verplicht.

5. Beveiliging

PEPS Media neemt passende technische en organisatorische maatregelen om de gegevens te beveiligen. Bijlage 2 beschrijft de belangrijkste maatregelen. PEPS Media mag maatregelen aanpassen, zolang het beveiligingsniveau niet daalt.

6. Subverwerkers

1. De Klant geeft PEPS Media algemene toestemming om de subverwerkers uit bijlage 3 in te schakelen.
2. Nieuwe of andere subverwerkers kondigt PEPS Media minimaal 14 dagen vooraf aan op deze pagina. De Klant kan binnen die termijn gemotiveerd bezwaar maken. Komen partijen er niet uit, dan kan de Klant de overeenkomst beëindigen; dat is dan zijn enige remedie.
3. PEPS Media legt subverwerkers vergelijkbare verplichtingen op als in deze overeenkomst.
4. Moneybird is geen subverwerker van PEPS Media. Gebruikt de Klant de Moneybird-koppeling, dan stuurt PEPS Media de gegevens in opdracht van de Klant naar diens eigen Moneybird-administratie.

7. Doorgifte buiten de EER

PEPS Media geeft gegevens alleen door naar landen buiten de Europese Economische Ruimte als daarvoor passende waarborgen gelden, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie. Dat geldt voor de Ai-diensten en Cloudflare uit bijlage 3.

8. Rechten van betrokkenen

Ontvangt PEPS Media een verzoek van een betrokkene over gegevens van de Klant, dan stuurt zij dat door naar de Klant. PEPS Media helpt de Klant waar redelijk om aan zulke verzoeken te voldoen. De Klant kan opgeslagen facturen ook zelf inzien en verwijderen in de Dienst.

9. Datalekken

1. Ontdekt PEPS Media een inbreuk op de beveiliging die gevolgen heeft voor de gegevens van de Klant, dan meldt zij dat zonder onredelijke vertraging en waar mogelijk binnen 48 uur na ontdekking aan de Klant, via het emailadres van zijn account.
2. PEPS Media geeft daarbij de informatie die zij heeft over de aard van de inbreuk, de betrokken gegevens, de waarschijnlijke gevolgen en de genomen maatregelen, en vult die aan zodra er meer bekend is.
3. De Klant beslist zelf of hij de inbreuk meldt bij de Autoriteit Persoonsgegevens of bij betrokkenen.

10. Hulp bij verplichtingen van de Klant

PEPS Media helpt de Klant waar redelijk bij een gegevensbeschermingseffectbeoordeling (DPIA) of een voorafgaande raadpleging van de toezichthouder. PEPS Media mag daarvoor redelijke kosten in rekening brengen.

11. Bewaren en verwijderen

1. Zonder Opslaan in account verwijdert PEPS Media een factuurbestand direct na verwerking en de uitgelezen gegevens na 2 uur. Per verwerking blijven alleen de bestandsnaam, het tijdstip en een controlegetal bewaard, om dubbele afschrijving van credits te voorkomen.
2. Met Opslaan in account bewaart PEPS Media de factuurregels tot de Klant ze verwijdert, en de factuurbestanden versleuteld voor het huidige en het vorige kwartaal. Oudere bestanden worden automatisch verwijderd.
3. Bij een Moneybird-push legt PEPS Media in de credithistorie van de Klant de leverancier en het factuurnummer vast. Voor het betaalbestand onthoudt PEPS Media per leverancier het IBAN uit geëxporteerde betaalbestanden, om de Klant te waarschuwen voor gewijzigde rekeningnummers. Kiest de Klant in de factuurtabel zelf het land van een leverancier, dan onthoudt PEPS Media dat per administratie (naam van de leverancier en landcode), alleen om het land in te vullen bij latere facturen van die leverancier waarop geen land staat. De Klant wist dit door het land terug te zetten op onbekend; het verdwijnt ook met de administratie of het account.
4. Laat de Klant zijn account verwijderen, dan verwijdert PEPS Media alle gegevens van de Klant in Ai Invoices, inclusief bestanden. Gegevens in eventuele back-ups verdwijnen zodra die back-ups volgens de normale cyclus worden overschreven.

12. Informatie en audit

PEPS Media geeft de Klant op verzoek de informatie die nodig is om aan te tonen dat zij deze overeenkomst naleeft. Is dat niet voldoende, dan mag de Klant maximaal één keer per jaar, na 30 dagen aankondiging en op eigen kosten, een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht.

13. Aansprakelijkheid

Voor de aansprakelijkheid van PEPS Media onder deze overeenkomst geldt de beperking uit artikel 13 van de algemene voorwaarden.

14. Duur, wijzigingen en recht

1. Deze overeenkomst geldt zolang PEPS Media gegevens van de Klant verwerkt. Verplichtingen die naar hun aard doorlopen, zoals geheimhouding, blijven daarna gelden.
2. PEPS Media mag deze overeenkomst wijzigen op dezelfde manier als de algemene voorwaarden.
3. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Amsterdam.

Bijlage 1: Gegevens en betrokkenen

Bijlage 2: Beveiligingsmaatregelen

• Alle verbindingen zijn versleuteld (HTTPS).
• Uploads worden tijdens de verwerking versleuteld opgeslagen en daarna direct verwijderd.
• Opgeslagen factuurbestanden en Moneybird API-sleutels worden versleuteld bewaard.
• Servers staan in Nederland en Duitsland en zijn alleen toegankelijk voor beheerders van PEPS Media.
• Gegevens zijn gescheiden per gebruiker en per administratie; elk verzoek wordt gecontroleerd op de juiste gebruiker.
• Formulieren zijn beschermd tegen misbruik vanaf andere websites (CSRF-bescherming); verwijderde accounts worden direct geblokkeerd.
• Elke factuur wordt verwerkt in een afgeschermd proces met beperkte rekentijd en geheugen.
• Ai-diensten krijgen de opdracht antwoorden niet op te slaan en gebruiken API-gegevens niet om te trainen.
• Betaalbestanden worden niet op de server bewaard.

Bijlage 3: Subverwerkers