Verwerkersovereenkomst (DPA)

Deze verwerkersovereenkomst (« DPA ») wordt gesloten tussen de Klant (zoals gedefinieerd in de algemene voorwaarden, waarvan zij Bijlage 1 vormt en integraal deel uitmaakt) en Saubeo SRL (Rue Rafhay 198, 4630 Soumagne, KBO 0704.742.612). Zij regelt, overeenkomstig artikel 28 van de AVG, de verwerkingen van persoonsgegevens die Saubeo voor rekening van de Klant uitvoert in het kader van de dienst Factuo.

1. Rollen

Voor de persoonsgegevens die deel uitmaken van de Klantgegevens — met name die van de eindklanten van de Klant (particulieren of professionele contacten: identiteit, adressen, contactgegevens, facturatiegegevens) — is de Klant verwerkingsverantwoordelijke en is Saubeo verwerker.

Voor de gegevens met betrekking tot het Account van de Klant zelf (gebruikers, facturatie van het abonnement, support) is Saubeo verwerkingsverantwoordelijke: deze verwerkingen worden beschreven in de privacyverklaring en vallen niet onder deze DPA.

2. Voorwerp, duur, aard en doel van de verwerking

• Voorwerp: hosting en verwerking van de Klantgegevens die nodig zijn voor de werking van de dienst Factuo.
• Duur: de duur van de overeenkomst, verlengd met de omkeerbaarheidstermijn (60 dagen).
• Aard: verzamelen, vastleggen, structureren, bewaren, raadplegen, gebruiken, doorzenden (Peppol, e-mail/sms), wissen.
• Doel: de functionaliteiten van de Dienst leveren (beheer van klanten, catalogus, offertes/facturen, aankopen, verzendingen, herinneringen, bankafstemming, AI-assistent).
• Betrokkenen: eindklanten en contacten van de Klant, gebruikers van het Account.
• Categorieën van gegevens: identiteit, contactgegevens, adressen, contractuele en facturatiegegevens, communicatie. De Dienst is niet bestemd voor de verwerking van bijzondere categorieën van gegevens (art. 9 AVG); de Klant verbindt zich ertoe er geen in te voeren.

3. Instructies van de Klant

Saubeo verwerkt de Klantgegevens uitsluitend op gedocumenteerde instructie van de Klant — waarbij de configuratie en het gebruik van de functionaliteiten van de Dienst als instructie gelden — behoudens een wettelijke verplichting, in welk geval Saubeo de Klant vóór de verwerking informeert (tenzij de wet dit verbiedt). Saubeo informeert de Klant indien een instructie haar in strijd lijkt met de AVG.

4. Vertrouwelijkheid

Saubeo waarborgt dat de personen die gemachtigd zijn om de Klantgegevens te verwerken, onderworpen zijn aan een passende vertrouwelijkheidsverplichting (contractueel of wettelijk) en er slechts toegang toe hebben voor zover dat noodzakelijk is (beginsel van minste privilege; de supporttoegangen zijn onderworpen aan een uitdrukkelijke toestemming van de Klant in de applicatie en worden gelogd).

5. Beveiliging

Saubeo treft de passende technische en organisatorische maatregelen (art. 32 AVG), met name: versleuteling van de communicatie (TLS), strikte scheiding van de gegevens per organisatie (multi-tenant-isolatie), toegangscontrole via rollen, logging van de schrijfbewerkingen, regelmatige back-ups, hosting in de Europese Unie, beveiligingsupdates. De gangbare maatregelen worden samengevat in de privacyverklaring.

6. Subverwerkers

De Klant verleent Saubeo een algemene toestemming om subverwerkers in te schakelen voor de uitvoering van de Dienst. De actuele lijst wordt gepubliceerd op het adres /legal/sous-traitants. Saubeo informeert de Klant over elke toevoeging of vervanging ten minste 14 dagen vóór de inwerkingtreding ervan (e-mail en/of bericht in de applicatie); de Klant kan zich hiertegen schriftelijk verzetten om redelijke gronden — bij gebrek aan een akkoord kan hij de overeenkomst kosteloos opzeggen vóór de inwerkingtreding.

Bij wijze van uitzondering, wanneer een vervanging dringend is om redenen van beveiliging of continuïteit van de Dienst (met name het falen of de compromittering van een subverwerker), kan Saubeo daartoe zonder voorafgaande kennisgeving overgaan; de Klant wordt daarvan zonder onredelijke vertraging op de hoogte gebracht en behoudt de hierboven vermelde rechten van verzet en opzegging.

Saubeo legt haar subverwerkers verplichtingen op die gelijkwaardig zijn aan deze DPA en staat in voor hun nakoming.

7. Doorgiften buiten de Europese Unie

De Klantgegevens worden gehost in de Europese Unie. Wanneer een subverwerker een doorgifte buiten de EU met zich meebrengt (zie de gepubliceerde lijst), wordt deze omkaderd door een adequaatheidsbesluit (met name het EU-U.S. Data Privacy Framework) of door standaardcontractbepalingen van de Europese Commissie.

8. Bijstand aan de Klant

Rekening houdend met de aard van de verwerking staat Saubeo de Klant bij met passende maatregelen:

• om gevolg te geven aan de verzoeken tot uitoefening van de rechten van de betrokkenen (de export-, rectificatie- en verwijderfuncties van de applicatie zijn daarvoor het eerste middel);
• voor zijn verplichtingen inzake beveiliging, melding van inbreuken en, in voorkomend geval, gegevensbeschermingseffectbeoordeling (art. 32 tot 36 AVG).

In geval van een inbreuk in verband met persoonsgegevens die de Klantgegevens treft, stelt Saubeo de Klant zonder onredelijke vertraging in kennis nadat zij er kennis van heeft genomen, met de informatie die nodig is voor zijn eigen meldingsverplichtingen.

9. Lot van de gegevens bij het einde van de overeenkomst

De afsluiting van het Account is de definitieve sluiting ervan, ongeacht de oorzaak. Drie situaties moeten worden onderscheiden:

• Opzegging van het betaalde abonnement: het Account schakelt over naar het gratis plan; de Klantgegevens blijven bewaard en deze DPA blijft van toepassing — er is geen afsluiting.
• Verwijdering van het Account op initiatief van de Klant: de applicatie legt een voorafgaande export van de Klantgegevens op; de verwijdering is vervolgens onmiddellijk en onomkeerbaar.
• Afsluiting op initiatief van Saubeo (met name opzegging wegens wanprestatie of stopzetting van de Dienst): de Klant beschikt over 60 dagen vanaf de kennisgeving om de Klantgegevens te exporteren.

Na de verwijdering of na afloop van de exporttermijn verwijdert of anonimiseert Saubeo alle Klantgegevens; de resterende kopieën in de back-ups worden gewist binnen de termijn vermeld in de privacyverklaring (ten hoogste dertig dagen). Het bewaren van de boekhoudkundige documenten van de Klant (facturen, offertes…) na de afsluiting valt uitsluitend onder de verantwoordelijkheid van de Klant, die erop toeziet ze vooraf te exporteren. De eigen boekhoudkundige documenten van Saubeo (facturatie van het abonnement) vallen niet onder deze DPA (art. 1) en volgen de termijnen vermeld in de privacyverklaring.

10. Audits

Saubeo stelt de Klant de informatie ter beschikking die nodig is om de naleving van deze DPA aan te tonen. De Klant kan, maximaal eenmaal per jaar en mits een redelijke voorafgaande kennisgeving van 30 dagen, een audit uitvoeren (of laten uitvoeren door een onafhankelijke auditor die geen concurrent van Saubeo is en tot vertrouwelijkheid gehouden is), beperkt tot de verwerkingen die onder deze DPA vallen, tijdens de kantooruren, zonder de Dienst te verstoren, en op zijn kosten.

11. Diversen

De aansprakelijkheid uit hoofde van deze DPA wordt geregeld door artikel 15 van de algemene voorwaarden. Bij tegenstrijdigheid tussen deze DPA en de algemene voorwaarden heeft de DPA voorrang voor wat de gegevensbescherming betreft. Het toepasselijke recht en de bevoegde rechtbank zijn die van de algemene voorwaarden.