Verwerkersovereenkomst

1. Partijen, definities en rolverdeling

Deze verwerkersovereenkomst is onderdeel van de Algemene voorwaarden van Boekup en geldt automatisch zodra een klant Boekup gebruikt.

Partijen

• Verwerker: Mezan Capital Limited, Venture Hub, 136 Capel Street, Dublin, D01 T2C9, Ierland (CRO 814192), handelend onder de naam Boekup.
• Verwerkingsverantwoordelijke: de klant die Boekup gebruikt voor de administratie van zijn onderneming (hierna “de Klant”).

Definities: begrippen als persoonsgegevens, verwerking, betrokkene, inbreuk in verband met persoonsgegevens (datalek), subverwerker en toezichthouder hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG).

Rolverdeling

Kantoren. Gebruikt een kantoor Boekup voor zijn klanten, dan geldt deze overeenkomst tussen Boekup en het kantoor, en sluit het kantoor zelf een verwerkersovereenkomst met zijn klant. Het kantoor staat ervoor in dat die overeenkomst het inschakelen van Boekup toestaat. Heeft de klant van het kantoor ook een eigen Boekup-account, dan geldt deze overeenkomst ook rechtstreeks tussen Boekup en die klant.

Voor gegevens die Boekup voor eigen doelen verwerkt (accountgegevens, facturatie, beveiliging, verbetering van de dienst) is Boekup zelf verwerkingsverantwoordelijke; zie de Privacyverklaring.

2. Onderwerp, instructies en eigen doeleinden

2.1 Boekup verwerkt persoonsgegevens alleen om de dienst te leveren zoals beschreven in de Algemene voorwaarden en bijlage 1, en alleen op basis van schriftelijke instructies van de Klant.

2.2 De Klant geeft die instructies door Boekup te gebruiken: het aanmaken van een administratie, het uploaden van documenten, het koppelen van een bank of andere dienst, en het geven van opdrachten aan de AI-assistent gelden als instructies. Aanvullende instructies geeft de Klant schriftelijk.

2.3 Is Boekup van mening dat een instructie in strijd is met de AVG, dan meldt Boekup dat direct aan de Klant.

2.4 Wettelijk verplichte verwerkingen voert Boekup ook zonder instructie uit; Boekup informeert de Klant daarover vooraf, tenzij de wet dat verbiedt.

2.5 Kwaliteit en verbetering. De Klant geeft Boekup de instructie om gesprekken met de AI-assistent en gebruiksgegevens te gebruiken voor het oplossen van fouten, kwaliteitscontrole en het verbeteren van de dienst, zoals beschreven in de Privacyverklaring. In de startfase gebeurt dat met volledige gesprekken door medewerkers van Boekup, later geanonimiseerd. De Klant kan hier bezwaar tegen maken via privacy@boekup.nl; Boekup sluit dan de gesprekken van die Klant uit.

2.6 Geanonimiseerde gegevens zijn geen persoonsgegevens; Boekup mag die gebruiken om de dienst te verbeteren.

3. Vertrouwelijkheid en beveiliging

3.1 Boekup zorgt dat iedereen die namens Boekup toegang heeft tot persoonsgegevens tot geheimhouding is verplicht, en alleen toegang heeft voor zover dat voor zijn werk nodig is.

3.2 Medewerkers van Boekup krijgen alleen toegang tot de administratie van de Klant na toestemming van de Klant (support-toegang, maximaal 7 dagen, of tijdens een door de Klant gevraagde overstap, maximaal 14 dagen), met uitzondering van de kwaliteitscontrole in artikel 2.5. Elke toegang wordt vastgelegd.

3.3 Boekup neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen, rekening houdend met de stand van de techniek, de kosten en de risico's. Die maatregelen staan in bijlage 2. Boekup mag ze aanpassen, zolang het beschermingsniveau niet daalt.

4. Subverwerkers en doorgifte

4.1 De Klant geeft Boekup algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat in bijlage 3 en op boekup.nl/subverwerkers.

4.2 Boekup kondigt een nieuwe of vervangende subverwerker ten minste 30 dagen vooraf aan per e-mail of in de app. De Klant kan binnen die termijn met redenen bezwaar maken. Kunnen partijen geen oplossing vinden, dan kan de Klant de overeenkomst kosteloos opzeggen per de ingangsdatum van de wijziging.

4.3 Boekup legt subverwerkers dezelfde plichten op als in deze overeenkomst en blijft tegenover de Klant verantwoordelijk voor hun nakoming.

4.4 Koppelingen die de Klant zelf aanzet (zoals Mollie, Stripe, Lightspeed, Employes of Shopify) zijn geen subverwerkers van Boekup: de Klant heeft daarmee een eigen relatie, en Boekup wisselt alleen gegevens uit in opdracht van de Klant.

4.5 Boekup slaat persoonsgegevens op in de Europese Economische Ruimte. Doorgifte naar een land buiten de EER gebeurt alleen bij de subverwerkers in bijlage 3 en alleen met een passende waarborg: een adequaatheidsbesluit (zoals het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie, met aanvullende maatregelen waar nodig. Er vindt geen doorgifte naar China plaats.

5. Rechten van betrokkenen en bijstand

5.1 De Klant kan de meeste verzoeken van betrokkenen (inzage, correctie, verwijdering, overdraagbaarheid) zelf uitvoeren in Boekup, onder meer via de exportfuncties.

5.2 Waar dat niet kan, helpt Boekup de Klant binnen redelijke termijn. Ontvangt Boekup een verzoek rechtstreeks van een betrokkene over gegevens in de administratie van de Klant, dan stuurt Boekup dat door naar de Klant en handelt Boekup het niet zelf af.

5.3 Boekup helpt de Klant, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de toezichthouder, door de nodige informatie over de dienst te verstrekken.

5.4 Bijstand die buiten het normale gebruik van de dienst valt, mag Boekup in redelijkheid in rekening brengen na vooraf overleg.

6. Datalekken

6.1 Boekup meldt een datalek dat persoonsgegevens van de Klant raakt zonder onredelijke vertraging aan de Klant, en uiterlijk binnen 48 uur nadat Boekup het heeft ontdekt.

6.2 De melding bevat, voor zover bekend: wat er is gebeurd, welke soorten gegevens en hoeveel betrokkenen het ongeveer betreft, de waarschijnlijke gevolgen, en de maatregelen die Boekup heeft genomen of voorstelt. Informatie die nog niet bekend is, volgt zo snel mogelijk.

6.3 De Klant beslist zelf over een melding aan de toezichthouder en aan betrokkenen voor zijn eigen administratie. Boekup helpt daarbij met de informatie die nodig is.

6.4 Boekup houdt een register bij van alle datalekken, ook die niet gemeld hoefden te worden.

7. Audits

7.1 Boekup stelt de Klant op verzoek de informatie ter beschikking die nodig is om aan te tonen dat Boekup deze overeenkomst nakomt, zoals een beschrijving van de beveiligingsmaatregelen en, zodra beschikbaar, rapportages van externe toetsen (bijvoorbeeld een pentest).

7.2 Is die informatie aantoonbaar onvoldoende, dan mag de Klant maximaal één keer per jaar een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht. De Klant kondigt de audit ten minste 30 dagen vooraf aan; de audit mag de dienst voor andere klanten niet verstoren en geeft geen toegang tot gegevens van andere klanten.

7.3 De kosten van een audit zijn voor de Klant, tenzij de audit een wezenlijke tekortkoming van Boekup aantoont.

7.4 Een audit of inspectie door een toezichthouder staat Boekup altijd toe.

8. Einde: teruggave en verwijdering

8.1 Na het einde van de dienst kan de Klant gedurende 14 dagen al zijn gegevens exporteren (onder meer als XAF-auditfile, documenten en rapportages). Daarna verwijdert Boekup de persoonsgegevens uit de administratie van de Klant.

8.2 Gegevens in back-ups worden verwijderd zodra die back-ups vervallen (maximaal 30 dagen). Een herstelde back-up brengt verwijderde gegevens niet terug.

8.3 Boekup bewaart alleen wat het wettelijk moet bewaren of nodig heeft als bewijs, zoals de audit trail (7 jaar) en het afgeschermde archief van chatgesprekken (12 maanden), en verwerkt die gegevens voor geen ander doel.

8.4 Bij een overdracht van een administratie van een kantoor naar de klant (Algemene voorwaarden, hoofdstuk 8) blijven de gegevens behouden en gaat de rol van verwerkingsverantwoordelijke tegenover Boekup over naar de klant.

9. Aansprakelijkheid, duur en toepasselijk recht

9.1 Voor de aansprakelijkheid van partijen onder deze overeenkomst geldt de regeling in de Algemene voorwaarden (hoofdstuk 11), voor zover de wet dat toestaat. Aansprakelijkheid tegenover betrokkenen volgt artikel 82 AVG.

9.2 Deze overeenkomst loopt zolang Boekup persoonsgegevens voor de Klant verwerkt, en eindigt automatisch daarna. Bepalingen die naar hun aard doorlopen (geheimhouding, verwijdering, aansprakelijkheid) blijven gelden.

9.3 Boekup mag deze overeenkomst aanpassen als de wet of de dienst daarom vraagt. Wezenlijke wijzigingen kondigt Boekup ten minste 30 dagen vooraf aan; de Klant kan dan kosteloos opzeggen.

9.4 Bij strijd gaat deze verwerkersovereenkomst voor op de Algemene voorwaarden, voor zover het de verwerking van persoonsgegevens betreft.

9.5 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Nederland, arrondissement Amsterdam.

Bijlage 1: Verwerkingen, betrokkenen en gegevens

Aard en doel: het bijhouden van de financiële administratie van de Klant: boeken, factureren, offreren, bank- en kasbeheer, documentverwerking (OCR), btw- en andere aangiftes voorbereiden en (zodra beschikbaar) indienen, rapportages, uren en ritten, declaraties, en de AI-assistent die hierbij helpt.

Bijzondere persoonsgegevens: niet beoogd. Komen ze voor in geüploade documenten, dan worden ze behandeld als onderdeel van de administratie.

Duur: zolang de Klant Boekup gebruikt, plus de termijnen in artikel 8.

Bijlage 2: Beveiligingsmaatregelen

Bijlage 3: Subverwerkers

Brieven print en verstuurt Boekup zelf via PostNL (postbezorging, geen verwerker).

Boekup werkt aan een eigen AI-model in Ierland; die wijziging wordt volgens artikel 4.2 vooraf aangekondigd.

Stripe verwerkt de betaling van het Boekup-abonnement; daarvoor is Boekup zelf verwerkingsverantwoordelijke, dus Stripe staat niet in deze lijst.