VERWERKERSOVEREENKOMST

1. Definities

In deze overeenkomst wordt verstaan onder:

• AVG: Algemene Verordening Gegevensbescherming (EU) 2016/679
• Persoonsgegevens: Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon
• Verwerking: Een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens
• Verwerkingsverantwoordelijke: De partij die het doel en de middelen van de verwerking bepaalt
• Verwerker: De partij die persoonsgegevens verwerkt ten behoeve van de verwerkingsverantwoordelijke
• Datalek: Een inbreuk op de beveiliging die leidt tot destructie, verlies, wijziging, of ongeautoriseerde verstrekking van persoonsgegevens

2. Onderwerp en Duur

2.1. Deze overeenkomst heeft betrekking op de verwerking van persoonsgegevens door BSCPro ten behoeve van [Naam bedrijf] in het kader van het gebruik van de BSCPro dienst voor het converteren van bankafschriften.

2.2. Deze overeenkomst loopt voor de duur van de overeenkomst tussen partijen en eindigt automatisch bij beëindiging daarvan.

3. Beschrijving van de Verwerking

3.1. Onderwerp: Conversie van PDF bankafschriften naar gestructureerde formaten (Excel, CSV, MT940, CAMT.053)

3.2. Categorieën betrokkenen:

• Medewerkers van de verwerkingsverantwoordelijke
• Klanten van de verwerkingsverantwoordelijke

3.3. Categorieën persoonsgegevens:

• Naam en rekeningnummer van rekeninghouder
• Transactiegegevens (bedragen, datums, omschrijvingen)
• Tegenpartij gegevens (namen, rekeningnummers)

3.4. Doel van verwerking: Automatiseren van boekhoudprocessen door conversie van bankafschriften

3.5. Duur van verwerking: Tijdens de looptijd van de overeenkomst. PDF bestanden worden binnen 24 uur na verwerking verwijderd.

4. Rechten en Verplichtingen van de Verwerker (BSCPro)

4.1. BSCPro verwerkt persoonsgegevens uitsluitend op instructie van de verwerkingsverantwoordelijke, tenzij dit wettelijk verplicht is.

4.2. BSCPro staat er voor in dat personen die gemachtigd zijn de persoonsgegevens te verwerken, zich hebben verbonden tot geheimhouding.

4.3. BSCPro neemt passende technische en organisatorische maatregelen om de beveiliging van persoonsgegevens te waarborgen, waaronder:

• Encryptie van data in transit (TLS/SSL)
• Encryptie van data at rest (AES-256)
• Toegangscontrole op basis van authenticatie
• Geen permanente opslag van PDF bestanden
• Regelmatige beveiligingsupdates

4.4. BSCPro respecteert de voorwaarden voor het inschakelen van subverwerkers. Huidige subverwerkers:

• Supabase (database hosting) - Standard Contractual Clauses
• Vercel (hosting) - Standard Contractual Clauses
• Groq (AI verwerking) - Standard Contractual Clauses

4.5. BSCPro draagt op verzoek mede aan het voldoen aan verzoeken van betrokkenen om hun AVG-rechten uit te oefenen.

4.6. BSCPro assisteert de verwerkingsverantwoordelijke bij het waarborgen van de naleving van de verplichtingen uit hoofde van artikelen 32 tot en met 36 AVG (beveiliging, datalekken, DPIA).

4.7. BSCPro verwijdert alle persoonsgegevens na beëindiging van de overeenkomst, of geeft deze terug aan de verwerkingsverantwoordelijke, tenzij wettelijke verplichtingen dit voorkomen.

4.8. BSCPro stelt de verwerkingsverantwoordelijke onmiddellijk op de hoogte van een datalek.

4.9. BSCPro stelt de verwerkingsverantwoordelijke in staat om te voldoen aan verplichtingen op grond van artikelen 33 en 34 AVG (meldplicht datalekken).

5. Melding van Datalekken

5.1. BSCPro meldt een datalek onverwijld en uiterlijk binnen 24 uur na ontdekking aan de verwerkingsverantwoordelijke.

5.2. De melding bevat ten minste:

• Beschrijving van de aard van het datalek
• Categorieën en geschat aantal betrokkenen
• Geschat aantal persoonsgegevensrecords
• Gewenste of genomen maatregelen
• Contactgegevens voor meer informatie

6. Audit en Inspectie

6.1. BSCPro documenteert alle verwerkingen van persoonsgegevens en maakt deze documentatie beschikbaar voor de verwerkingsverantwoordelijke.

6.2. De verwerkingsverantwoordelijke heeft het recht om audits uit te voeren bij BSCPro, na schriftelijke kennisgeving van ten minste 14 dagen.

6.3. BSCPro draagt bij aan dergelijke audits door informatie te verstrekken en medewerking te verlenen.

7. Doorgeven van Persoonsgegevens

7.1. Persoonsgegevens worden opgeslagen binnen de Europese Economische Ruimte (EER).

7.2. Doorgifte naar derde landen (buiten EER) vindt uitsluitend plaats op basis van Standard Contractual Clauses (SCC) zoals goedgekeurd door de Europese Commissie.

8. Beëindiging

8.1. Bij beëindiging van de overeenkomst:

• BSCPro verwijdert alle persoonsgegevens binnen 30 dagen
• Of: BSCPro geeft de persoonsgegevens terug aan de verwerkingsverantwoordelijke
• Bewijs van verwijdering wordt op verzoek verstrekt

8.2. Dit geldt niet voor persoonsgegevens die wettelijk moeten worden bewaard.

9. Aansprakelijkheid

9.1. BSCPro is aansprakelijk voor schade die wordt veroorzaakt door verwerkingen die niet voldoen aan deze overeenkomst of de AVG, voor zover BSCPro de verwerking heeft verricht buiten de wettelijke instructies van de verwerkingsverantwoordelijke om.

9.2. De aansprakelijkheid is beperkt tot het bedrag dat overeenkomt met de vergoeding die de verwerkingsverantwoordelijke heeft betaald voor de diensten gedurende de 12 maanden voorafgaand aan het schadeveroorzakende feit.

10. Slotbepalingen

10.1. Deze overeenkomst vormt een aanvulling op de algemene voorwaarden en is niet bedoeld om deze te vervangen.

10.2. Wijzigingen in deze overeenkomst zijn slechts geldig indien schriftelijk vastgelegd.

10.3. Indien een bepaling van deze overeenkomst ongeldig blijkt te zijn, blijven de overige bepalingen van kracht.

10.4. Op deze overeenkomst is Nederlands recht van toepassing.

10.5. Geschillen worden voorgelegd aan de bevoegde rechter in Nederland.