Verwerkersovereenkomst Boekfiks

1. Partijen en opdracht

De verwerkingsverantwoordelijke is de onderneming bij het Boekfiks-account, herkenbaar aan haar bedrijfsnaam en KvK-nummer. De verwerker is Ait Rian Consultancy, Zeisvoorde 10, 3204 EN Spijkenisse, KvK 88190064, bereikbaar via info@boekfiks.nl. Aanvaarding namens de onderneming vindt plaats door de bevoegde accounthouder.

De opdracht is het opslaan, organiseren, uitlezen op verzoek, verwerken, tonen, exporteren en op instructie verwijderen of teruggeven van de persoonsgegevens in de administratie. Het doel is jouw zakelijke administratie met de beschikbare Boekfiks-functies. De opdracht omvat de proefperiode, betaalde perioden en de door jou gewenste bewaarfase waarin alleen bekijken en exporteren mogelijk zijn.

2. Gegevens en betrokken personen

De verwerking kan namen, contact- en adresgegevens, factuur- en klantnummers, zakelijke identificatiegegevens, bankrekeninggegevens, transactiegegevens, omschrijvingen, bonnen, facturen en daarop voorkomende persoonsgegevens omvatten. Betrokkenen kunnen klanten, leveranciers, hun contactpersonen, ondernemers en medewerkers zijn van wie gegevens noodzakelijk in de administratie staan.

Boekfiks is niet ingericht voor dossiers met bijzondere persoonsgegevens, strafrechtelijke gegevens of onnodige BSN's. Jij beperkt de invoer tot wat nodig en rechtmatig is en informeert betrokkenen waar nodig. Voor account-, facturatie- en contactgegevens die Ait Rian Consultancy voor eigen doeleinden verwerkt, is zij zelf verwerkingsverantwoordelijke; daarvoor geldt de privacyinformatie.

3. Instructies en vertrouwelijkheid

Je instellingen, boekingen, uploads, scanverzoeken, exports en bevestigde schriftelijke opdrachten gelden als gedocumenteerde instructies. Wij verwerken de administratie alleen voor deze opdracht, tenzij een toepasselijke wettelijke verplichting anders vereist. Waar toegestaan informeren wij je vooraf over zo'n verplichting.

Wij gebruiken je administratie niet voor eigen reclame, verkoop van gegevens of het trainen van eigen AI-modellen. Alleen bevoegde personen die de gegevens voor uitvoering of noodzakelijk onderzoek nodig hebben, mogen toegang krijgen. Zij zijn aan vertrouwelijkheid gebonden. Lijkt een instructie in strijd met de AVG, dan melden wij dat en stemmen we een rechtmatige uitvoering af.

4. Beveiligingsafspraken

Wij treffen passende technische en organisatorische maatregelen, rekening houdend met de aard van de gegevens en de risico's. De dienst gebruikt HTTPS, controleert op de server welk bedrijf bij de sessie hoort en scheidt de toegang tot administraties per bedrijf. Wachtwoordaccounts gebruiken beveiligde sessiecookies, wachtwoordhashes, begrensde inlogpogingen en optionele tweestapsverificatie. Authenticatorgeheimen en herstelcodes worden versleuteld opgeslagen.

De beheeromgeving toont bedrijfs-, abonnements- en gebruiksgegevens; zij biedt geen functie om de boekingen of documenten van andere bedrijven te openen. Technisch beheer en onderzoek worden beperkt tot wat noodzakelijk is. Wij toetsen de toegangscontrole en belangrijke account- en boekhoudflows bij relevante wijzigingen.

Je eigen veilige accountgebruik en regelmatige exports blijven nodig. Met deze overeenkomst wordt geen certificering, exclusieve opslag in Nederland of afzonderlijke beschikbaarheids- of herstelgarantie toegezegd. Wij beoordelen beveiligingsmaatregelen bij wijzigingen en incidenten en stellen ze bij waar nodig.

5. Leveranciers en subverwerkers

Je geeft toestemming voor de leveranciers die nodig zijn voor de hier beschreven dienstverlening: de Sites-hosting van OpenAI met Cloudflare als onderliggende infrastructuur voor uitvoering, database en documentopslag, en OpenAI voor het uitlezen van geselecteerde documenten wanneer je zelf een AI-scan start. Resend verwerkt account- en contactmails via de bestaande e-maildienst van Ait Rian Consultancy; de inhoud van je volledige administratie wordt niet via die mailroute verstuurd.

Wij leggen aan ingeschakelde subverwerkers de verplichtingen voor de opdracht en gegevensbescherming op en blijven tegenover jou verantwoordelijk voor hun uitvoering binnen deze overeenkomst. Voor de feitelijke leveranciersketen gelden daarnaast de beschikbare leveranciersvoorwaarden en gegevensafspraken; deze overeenkomst vervangt die niet.

Een voorgenomen toevoeging of vervanging van een subverwerker wordt vooraf meegedeeld, met informatie over de taak en relevante gegevensverwerking. Je krijgt een redelijke gelegenheid om een gemotiveerd bezwaar op privacygronden te melden. We bespreken een oplossing voordat de gewijzigde verwerking voor jou start; is er geen passende oplossing, dan bespreken we beëindiging en teruggave voor het betrokken deel van de dienst.

6. AI en internationale verwerking

Een AI-scan stuurt alleen het geselecteerde document, relevante grootboekrekeningen en benodigde instructies naar de OpenAI API. Jij beslist of je scant; handmatig boeken blijft mogelijk. Het scanvoorstel wordt door jou gecontroleerd en bevestigd. API-antwoorden worden niet met de optie voor opgeslagen responses opgevraagd. Eventuele beveiligings- of misbruiklogs bij de leverancier hebben hun eigen bewaarbeleid, beschreven in de privacyinformatie.

Leveranciers kunnen buiten de Europese Economische Ruimte verwerken. Doorgifte mag alleen plaatsvinden met een geldige AVG-grondslag en de vereiste waarborgen, zoals een geldig adequaatheidsbesluit of passende standaardcontractbepalingen met noodzakelijke aanvullende maatregelen. Wij verstrekken op verzoek informatie over de relevante leveranciers en doorgifteafspraken. Deze tekst is geen verklaring dat alle gegevens uitsluitend in de EER worden verwerkt.

7. Datalekken en incidenten

Zodra wij kennis krijgen van een inbreuk op persoonsgegevens in jouw administratie, informeren wij je zonder onnodige vertraging. De melding bevat wat op dat moment bekend is over de aard van het incident, betrokken gegevens en personen, mogelijke gevolgen, maatregelen en het contactpunt. Ontbrekende informatie geven wij in vervolgmeldingen door.

Wij beperken de gevolgen, onderzoeken de oorzaak, leggen relevante informatie vast en helpen je bij de beoordeling van meldingen aan betrokkenen of de toezichthouder. Jij beoordeelt als verwerkingsverantwoordelijke je meldplichten; ons bericht vervangt die beoordeling niet. Meld een vermoedelijk lek of ongeoorloofde toegang direct aan info@boekfiks.nl en deel geen wachtwoorden of herstelcodes.

8. Privacyrechten en medewerking

Wij helpen, voor zover dit binnen onze opdracht mogelijk is, bij inzage, correctie, beperking, overdraagbaarheid of verwijdering van persoonsgegevens, en bij je noodzakelijke beoordeling van risico's en beveiligingsincidenten. Verzoeken van betrokkenen die jouw administratie raken, sturen wij naar jou door; wij handelen niet zelfstandig tegen jouw rechtmatige instructies in.

Wij stellen informatie beschikbaar waarmee je onze naleving kunt beoordelen en werken mee aan een proportionele controle of audit door jou of een onafhankelijke deskundige. We stemmen de uitvoering af zodat andere klanten, vertrouwelijke informatie en de beveiliging beschermd blijven. Voor uitzonderlijk aanvullend werk worden eventuele kosten vooraf afgesproken; wettelijke medewerkingsplichten worden niet hierdoor uitgesloten.

9. Bewaarfase en volledige beëindiging

Het aflopen of opzeggen van een betaald pakket beëindigt niet automatisch jouw opdracht om de bestaande administratie voor bekijken en exporteren te bewaren. Die bewaarfase duurt zolang jij die wenst en het account en de dienst bestaan. Er is geen automatische verwijdertermijn voor volledige administraties ingericht. Jij bepaalt de noodzakelijke bewaartermijn en bewaart zelf een controleerbare export voor jouw wettelijke administratieplicht.

Bij volledige beëindiging van de verwerkingsopdracht kies jij voor teruggave of verwijdering. Teruggave kan met de volledige exportfunctie. Na teruggave of een gecontroleerde verwijderinstructie verwijderen wij de gegevens en kopieën die onder onze opdracht vallen, tenzij een toepasselijke wettelijke plicht bewaring vereist. Wij bevestigen de uitvoering en informeren je over een eventueel noodzakelijke technische afwikkeling bij leveranciers of resterende wettelijk verplichte bewaring. Tijdens zo'n afwikkeling vindt geen ander gebruik plaats.

Accountmails, beveiligingsgegevens en onze eigen facturen of overeenkomsten kunnen een afzonderlijk gerechtvaardigd of wettelijk bewaardoel hebben. Wij scheiden die van jouw administratie en beperken bewaring en toegang tot dat doel. Het behoud van een fiscaal dossier van de klant wordt niet zonder opdracht gebruikt als reden om diens gehele administratie onbeperkt te bewaren.

10. Versie, voorrang en contact

Deze verwerkersovereenkomst wordt samen met de aangeboden voorwaarden geaccepteerd; versie, moment en de betrokken bedrijfsomgeving worden vastgelegd. Zij geldt zolang wij onder jouw opdracht persoonsgegevens verwerken. Wijzigingen worden vooraf kenbaar gemaakt en niet stilzwijgend met terugwerkende kracht geaccepteerd.

Bij een verschil over persoonsgegevens gaan de AVG en deze verwerkersovereenkomst voor op de algemene voorwaarden. Zij beperkt geen dwingende wettelijke rechten of aansprakelijkheid onder de AVG. Vragen, instructies en verzoeken verlopen via info@boekfiks.nl; wij controleren dat degene die opdracht geeft daartoe bevoegd is.