Verwerkersovereenkomst

1. Partijen en totstandkoming

Deze verwerkersovereenkomst geldt tussen het bedrijf dat een KompaniX-account aanmaakt (de verwerkingsverantwoordelijke, hierna „jij”) en WEBSHOT, eenmanszaak, ingeschreven bij de Kamer van Koophandel onder nummer 51317915 (de verwerker, hierna „wij”). De bedrijfsgegevens staan in het colofon.

De overeenkomst komt tot stand wanneer je bij het aanmaken van het account akkoord gaat met de gebruiksvoorwaarden, en geldt zolang het account bestaat, ook tijdens de gratis proefperiode. Een ondertekend exemplaar is niet nodig; wil je er toch een, vraag het dan via het e-mailadres in het colofon.

2. Onderwerp en duur

Wij verwerken persoonsgegevens alleen om KompaniX te leveren: het opslaan, tonen, versturen en verwerken van de gegevens die jij en je team in KompaniX zetten of die via KompaniX binnenkomen, zoals formulieren, e-mail aan het adres van je bedrijf en reacties in het klantportaal. De verwerking duurt zolang de overeenkomst loopt, plus de termijnen in artikel 10.

3. Soorten gegevens en betrokkenen

Betrokkenen: je klanten en hun contactpersonen, bezoekers die een formulier of het klantportaal gebruiken, afzenders van e-mail aan het adres van je bedrijf, en de leden van je team.

Gegevens: naam, bedrijfsnaam, adres, e-mailadres, telefoonnummer, KvK- en btw-nummer, gegevens van offertes, facturen en betalingen (zonder kaartgegevens), de inhoud van tickets, berichten en bijlagen, de elektronische akkoordverklaring bij een offerte (naam, tijdstip, IP-adres), en logboeken van inloggen en handelingen.

KompaniX is niet bedoeld voor bijzondere persoonsgegevens, zoals gegevens over gezondheid. Zet die er alleen in als je dienstverlening dat vraagt en je de risico’s zelf hebt beoordeeld.

4. Instructies

Wij verwerken de gegevens alleen op jouw gedocumenteerde instructies; deze overeenkomst en wat jij en je team in KompaniX instellen en doen, gelden als die instructies. Wij gebruiken de gegevens niet voor eigen doeleinden, verkopen ze niet en laten er geen AI-modellen mee trainen.

Vinden wij dat een instructie in strijd is met de AVG, dan laten wij je dat meteen weten. Moeten wij gegevens verstrekken op grond van een wettelijke plicht, dan melden wij dat vooraf, tenzij de wet dat verbiedt.

5. Geheimhouding

Alleen de eigenaar van WEBSHOT heeft toegang tot de gegevens, en alleen voor zover nodig voor beheer, voor ondersteuning op jouw verzoek of om een storing op te lossen. Iedereen die later namens ons toegang krijgt, is schriftelijk aan geheimhouding gebonden.

6. Beveiliging

Wij nemen passende technische en organisatorische maatregelen, waaronder: een eigen, gescheiden database per bedrijf, opgeslagen in de Europese Unie; versleutelde verbindingen (HTTPS) voor al het verkeer; wachtwoorden alleen als gesalte hash; tweestapsverificatie en passkeys voor je team; rollen per teamlid; een logboek van handelingen in de administratie; koppelingssleutels versleuteld opgeslagen; herstelpunten van de opslag tot dertig dagen terug; en het snel bijwerken van de software waarop KompaniX draait.

Meer daarover staat op de pagina Veiligheid en data.

7. Subverwerkers

Je geeft toestemming voor de inzet van de subverwerkers hieronder. Met elk van hen hebben wij een verwerkersovereenkomst met ten minste dezelfde verplichtingen. Voor doorgifte buiten de Europese Economische Ruimte gelden de standaardcontractbepalingen van de Europese Commissie of het EU-VS-gegevensprivacykader.

Een nieuwe subverwerker melden wij minstens dertig dagen vooraf, op deze pagina en per e-mail aan de eigenaar van het account. Binnen die termijn kun je bezwaar maken; vinden wij samen geen oplossing, dan kun je het abonnement kosteloos opzeggen.

Koppel je je eigen Mollie-account voor betalingen van je klanten, of een andere dienst die je zelf aanzet, dan sluit je daarvoor zelf een overeenkomst met die partij; zij is dan geen subverwerker van ons.

Cloudflare, Inc.

Hosting, databases, bestandsopslag en het ontvangen van e-mail. Opslag in de Europese Unie; bedrijf gevestigd in de Verenigde Staten.

Resend (Plus Five Five, Inc.)

Het versturen van e-mail namens je bedrijf. Verenigde Staten.

Anthropic, PBC

De AI-assistent: alleen de tekst die nodig is voor een taak die jij of je team start of aanzet; niet gebruikt voor training. Verenigde Staten.

8. Rechten van betrokkenen

De meeste verzoeken handel je zelf af: gegevens van een klant inzien, corrigeren en verwijderen in de administratie, en alle gegevens van je bedrijf exporteren als ZIP-archief (JSON, CSV en bestanden) via Instellingen. Komt een verzoek bij ons binnen, dan sturen wij het naar jou door. Lukt het niet zelf, dan helpen wij, zonder extra kosten bij redelijk gebruik.

9. Datalekken

Ontdekken wij een inbreuk op de beveiliging die jouw gegevens raakt, dan melden wij dat zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan de eigenaar van het account, met wat we op dat moment weten: wat er is gebeurd, welke gegevens en betrokkenen het raakt, de waarschijnlijke gevolgen en de genomen maatregelen. Zo kun je zelf binnen 72 uur melden bij de Autoriteit Persoonsgegevens als dat nodig is.

Wij helpen ook bij een gegevensbeschermingseffectbeoordeling (DPIA) of een voorafgaande raadpleging, als je die nodig hebt.

10. Einde en verwijdering

Eindigt de proefperiode of het abonnement, dan bewaren wij de omgeving nog dertig dagen; in die tijd kun je alle gegevens exporteren. Daarna verwijderen wij de database en de bestanden van je bedrijf definitief; de herstelpunten verlopen uiterlijk dertig dagen later. Wat wij zelf wettelijk moeten bewaren, zoals onze facturen aan jou, valt daar niet onder.

11. Informatie en audit

Wij geven je alle informatie die nodig is om aan te tonen dat wij deze overeenkomst nakomen. Een audit door een onafhankelijke deskundige is mogelijk eenmaal per jaar, na een aankondiging van dertig dagen, op jouw kosten en zonder toegang tot gegevens van andere bedrijven.

12. Aansprakelijkheid en rangorde

Voor aansprakelijkheid gelden de gebruiksvoorwaarden. Bij strijd tussen deze overeenkomst en de gebruiksvoorwaarden gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft. Op deze overeenkomst is Nederlands recht van toepassing.

13. Wijzigingen

Wij kunnen deze overeenkomst aanpassen, bijvoorbeeld bij een nieuwe subverwerker of een wetswijziging. Een wijziging die jouw rechten beperkt, melden wij minstens dertig dagen vooraf per e-mail. De datum bovenaan geeft de geldende versie aan.