Verwerkersovereenkomst

1. Partijen

• Verwerkingsverantwoordelijke: jij, de gebruiker van appjeboekhouding, voor de persoonsgegevens van jouw klanten en contacten die je in de dienst vastlegt.
• Verwerker: Trapled (KvK 70406685), handelend onder de naam appjeboekhouding, bereikbaar via info@appjeboekhouding.nl.

Voor jouw eigen accountgegevens (naam, e-mail, abonnement) zijn wij zelf verwerkingsverantwoordelijke; daarvoor geldt onze privacyverklaring.

2. Onderwerp en duur

Deze overeenkomst geldt voor alle verwerking van persoonsgegevens van jouw klanten die wij namens jou uitvoeren binnen de dienst. Ze gaat in zodra je account actief is en duurt zolang je account bestaat. Bij het einde van je account geldt de verwijderregeling uit artikel 8.

3. Aard en doel van de verwerking

Wij verwerken de gegevens uitsluitend om de dienst voor jou uit te voeren:

• het voeren van je administratie (facturen, offertes, uitgaven, uren, ritten, afspraken, boekhouding);
• het opstellen en versturen van facturen en andere documenten aan jouw klanten, op jouw aanwijzing;
• verwerking door de assistent: het omzetten van jouw spraak-, chat- of WhatsApp-berichten in registraties en acties in jouw administratie;
• opslag, back-up en beveiliging van deze gegevens.

Wij verwerken de gegevens alleen op basis van jouw instructies (je gebruik van de dienst geldt als instructie) en nooit voor eigen doeleinden, advertenties of verkoop aan derden.

4. Betrokkenen en soorten persoonsgegevens

• Categorieën betrokkenen: jouw klanten en zakelijke contacten (en eventueel collega's of onderaannemers die je uitnodigt).
• Soorten persoonsgegevens: naam, adres, e-mailadres, telefoonnummer, en factuur- en transactiegegevens (factuurregels, bedragen, betaalstatus, correspondentie rond facturen en offertes).

Leg geen bijzondere persoonsgegevens (zoals medische of strafrechtelijke gegevens) van je klanten vast in de dienst; daar is de dienst niet voor bedoeld.

5. Subverwerkers

Wij schakelen subverwerkers in om de dienst te leveren. Het actuele overzicht staat in onze privacyverklaring (paragraaf "Met wie delen wij gegevens?"). De belangrijkste zijn:

• Supabase (database, auth, opslag) - EU-regio
• Anthropic Claude via AWS Bedrock (AI-verwerking) - EU-regio (Frankfurt)
• Deepgram (spraak naar tekst) - EU-endpoint
• Stripe (abonnementsbetalingen)
• Meta Platforms Ireland (WhatsApp Business Cloud API, alleen bij gebruik van de WhatsApp-assistent)

Met elke subverwerker hebben wij afspraken die minimaal hetzelfde beschermingsniveau bieden als deze overeenkomst. Bij een wijziging in de lijst werken we de privacyverklaring bij; bij een materiële wijziging informeren we je vooraf, zodat je bezwaar kunt maken of je account kunt beëindigen. Verwerking vindt primair in de EU plaats; voor zover doorgifte buiten de EER plaatsvindt, gebeurt dat onder erkende waarborgen (EU-VS Data Privacy Framework en/of SCC's).

6. Beveiliging

Wij nemen passende technische en organisatorische maatregelen, waaronder versleutelde verbindingen (HTTPS/HSTS), row-level security in de database (elke gebruiker ziet alleen eigen data), toegang op need-to-know-basis met audit-logging, en periodieke security-controles. Een actuele beschrijving staat op Beveiliging & Trust.

Medewerkers en ingeschakelde personen die toegang hebben tot de gegevens zijn gebonden aan geheimhouding.

7. Datalekken en hulp bij jouw verplichtingen

• Ontdekken wij een datalek dat jouw klantdata raakt, dan informeren wij je zonder onredelijke vertraging, met de informatie die je nodig hebt om zelf te kunnen melden bij de Autoriteit Persoonsgegevens en, waar nodig, bij je klanten.
• Wij helpen je, voor zover redelijkerwijs mogelijk, bij verzoeken van betrokkenen (inzage, correctie, verwijdering). Veel kun je zelf: klantgegevens zijn direct in de app aan te passen of te verwijderen, en via je profiel kun je een volledige export maken.
• Ontvangen wij rechtstreeks een verzoek van een klant van jou, dan verwijzen we die door naar jou, tenzij de wet ons verplicht zelf te handelen.

8. Verwijdering bij einde account

Beëindig je je account, dan geldt een bedenktermijn van 30 dagen waarin je de verwijdering kunt annuleren. Daarna verwijderen of anonimiseren wij de persoonsgegevens. Uitzondering: factuur- en financiële gegevens die onder de fiscale bewaarplicht vallen, bewaren wij 7 jaar in gepseudonimiseerde vorm, zoals wettelijk verplicht. Vóór beëindiging kun je op elk moment een volledige export van je gegevens downloaden.

9. Controle en inzage

Wil je controleren of wij ons aan deze afspraken houden, dan geven we je op verzoek de informatie die daarvoor redelijkerwijs nodig is (zoals een beschrijving van onze maatregelen of relevante rapportages). Is dat aantoonbaar onvoldoende, dan mag je, maximaal eens per jaar en op eigen kosten, een audit laten uitvoeren door een onafhankelijke deskundige, na redelijke aankondiging en zonder onze dienstverlening of de gegevens van andere gebruikers te raken.

10. Slotbepalingen

• Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Amsterdam.
• Deze overeenkomst maakt deel uit van de algemene voorwaarden; bij strijdigheid over de verwerking van persoonsgegevens gaat deze verwerkersovereenkomst voor.
• Wijzigen wij deze overeenkomst materieel, dan melden we dat vooraf per e-mail. De actuele versie staat altijd op deze pagina.