Verwerkersovereenkomst

01Partijen en rollen

Jij, het bedrijf met een account bij Waterpas, bent verwerkingsverantwoordelijke voor de persoonsgegevens van je klanten, medewerkers en andere relaties die je in Waterpas zet.

Waterpas (Waterpas) is verwerker: we verwerken die gegevens alleen voor jou en volgens deze overeenkomst.

02Onderwerp en doel

Waterpas verwerkt persoonsgegevens om de dienst te leveren: offertes, facturen, klantbeheer, klussen, agenda, uren, kosten, betalingen, herinneringen en koppelingen met boekhoudpakketten, Mollie en je bank.

03Duur

Deze overeenkomst loopt zolang je account bestaat, ook in de archiefstand. Afspraken die naar hun aard doorlopen, zoals geheimhouding, blijven daarna gelden.

04Betrokkenen en persoonsgegevens

Betrokkenen zijn:

• klanten en leads van je bedrijf: particulieren en contactpersonen bij bedrijven;
• je medewerkers;
• je onderaannemers en leveranciers.

Het gaat om deze persoonsgegevens:

• naam, adres, e-mailadres, telefoonnummer en werkadres;
• KvK- en btw-nummer;
• offertes, facturen, betalingen en het IBAN van wie betaalt;
• foto’s van het werk, notities en documenten;
• naam, handtekening, tijdstip, IP-adres en browser bij akkoord op een offerte;
• een onherleidbare code van het IP-adres bij het bekijken van een offerte of factuur;
• uren en agenda van medewerkers.

Bijzondere persoonsgegevens, zoals gegevens over gezondheid, en burgerservicenummers horen niet in Waterpas. Zet ze niet in notities of documenten.

05Alleen op jouw instructies

We verwerken alleen op jouw instructies: deze overeenkomst en hoe je Waterpas gebruikt. Ook doorgifte buiten de Europese Economische Ruimte doen we alleen op jouw instructie, tenzij de wet ons iets anders verplicht. Dan laten we je dat vooraf weten, tenzij de wet dat verbiedt.

Vinden we een instructie in strijd met de AVG, dan laten we je dat direct weten.

We gebruiken de gegevens nooit voor eigen doelen: geen reclame aan jouw klanten, geen verkoop en geen training van AI-modellen. Het kleine ‘Gemaakt met Waterpas’ op een document gebruikt geen persoonsgegevens.

06Geheimhouding en meekijken

Iedereen bij Waterpas die bij de gegevens kan, heeft geheimhouding getekend.

Support kijkt alleen mee in je account als dat nodig is om je te helpen, en altijd met een reden. Meekijken stopt vanzelf na een uur, staat in het logboek en de eigenaar van het bedrijf krijgt er een melding van.

07Beveiliging

We nemen passende technische en organisatorische maatregelen, zoals artikel 32 AVG vraagt. Bijlage 2 noemt ze.

08Subverwerkers

Je geeft ons algemene toestemming om subverwerkers in te schakelen. Bijlage 1 noemt ze.

Een nieuwe of andere subverwerker melden we minstens 30 dagen van tevoren per e-mail. Ben je het er niet mee eens, dan mag je bezwaar maken en je abonnement opzeggen voordat de wijziging ingaat.

Subverwerkers krijgen dezelfde plichten als wij. We blijven tegenover jou volledig verantwoordelijk voor hun werk.

Mollie, je bank of bankkoppeling en je boekhoudpakket zijn geen subverwerkers van Waterpas. Met hen heb je een eigen overeenkomst. We sturen hun alleen gegevens als jij dat vraagt.

09Doorgifte buiten de EER

We bewaren de gegevens in de Europese Unie. Doorgifte buiten de Europese Economische Ruimte gebeurt alleen met een besluit van de Europese Commissie over passende bescherming, zoals het EU-VS Data Privacy Framework, of met standaardcontractbepalingen en een doorgiftetoets.

10Datalekken

Ontdekken we een datalek met jouw gegevens, dan melden we dat zonder onredelijke vertraging. Ons doel is binnen 24 uur.

Je krijgt van ons wat je nodig hebt voor een melding (artikel 33 lid 3 AVG): wat er gebeurde, welke gegevens en hoeveel mensen het raakt, de waarschijnlijke gevolgen en wat we eraan doen. We houden je op de hoogte tot het lek is opgelost.

Jij beslist of je het lek meldt bij de Autoriteit Persoonsgegevens, binnen 72 uur, en aan de mensen om wie het gaat. Het vaste contactpunt bij ons is support@waterpas.app.

We registreren elk incident, ook als het niet gemeld hoeft te worden.

11Rechten van betrokkenen

In Waterpas handel je verzoeken zelf af: je exporteert de gegevens van een klant met zijn pdf’s, past ze aan, archiveert een klant of verwijdert hem als er geen documenten bij horen. Met documenten anonimiseer je hem: contactgegevens, notities, afspraken en losse foto’s gaan weg. Documenten die je moet bewaren, blijven bewaard tot het einde van de bewaartermijn.

Wil een klant geen berichten meer, dan zet je dat aan bij de klant. Waterpas stuurt hem dan geen herinneringen meer.

Wat iemand op een offertepagina bekeek (een onherleidbare code van het IP-adres en de browser), bewaren we 12 maanden.

Krijgen wij een verzoek van een betrokkene, dan sturen we het binnen twee werkdagen naar je door. We beantwoorden het niet zelf inhoudelijk. Bij lastige verzoeken helpen we je, voor zover redelijk.

12Hulp bij je eigen plichten

We helpen je, voor zover redelijk, met de beveiliging, met datalekken, met een gegevensbeschermingseffectbeoordeling (DPIA) en met een voorafgaande raadpleging van de toezichthouder (artikelen 32 tot en met 36 AVG).

13Controle

Je mag nagaan of we ons aan deze overeenkomst houden. We geven alle informatie die nodig is om dat aan te tonen. Op verzoek krijg je eens per jaar een overzicht van onze beveiliging.

Een audit kan op jouw kosten, met 30 dagen aankondiging, tijdens werktijd en met geheimhouding.

14Na het einde

Zeg je op, dan kies je wat er met de gegevens gebeurt:

• Archiefstand, de standaard: alleen lezen en pdf’s downloaden, gratis, tot de laatste bewaardatum van je administratie. Eén keer per jaar krijg je een e-mail dat je archief er nog staat.
• Alles verwijderen: je downloadt eerst je gegevens en bevestigt dat je je administratie zelf bewaart. We verwijderen alles 30 dagen nadat je abonnement is afgelopen, of 30 dagen na je keuze als je later kiest. Back-ups zijn binnen 35 dagen daarna leeg. Je kiest dit bij Instellingen, Account opzeggen, en krijgt de bevestiging per e-mail.

Kies je niets binnen 30 dagen na het einde, dan geldt de archiefstand. Aan het einde van de bewaartermijn verwijderen we het archief vanzelf. Je krijgt daar 30 dagen vooraf bericht over.

Direct na het einde van je abonnement trekken we koppelingen in (Mollie, boekhoudpakket en bank) en verwijderen we pushabonnementen en passkeys. Publieke offerte- en factuurpagina’s laten dan zien dat ze niet meer beschikbaar zijn.

15Aansprakelijkheid

Voor aansprakelijkheid geldt wat in de algemene voorwaarden staat. Een boete van een toezichthouder die het gevolg is van een fout van één partij, komt voor rekening van die partij.

16Voorrang

Zijn deze overeenkomst en de algemene voorwaarden het over persoonsgegevens oneens, dan gaat deze overeenkomst voor.

17Bijlage 1: subverwerkers

18Bijlage 2: beveiligingsmaatregelen

• Elke verbinding is versleuteld (https). Opgeslagen gegevens zijn versleuteld bij onze partijen.
• Inloggen zonder wachtwoord: met een link en code die 15 minuten geldig zijn, of met een passkey.
• Sessies in beveiligde cookies; van het IP-adres van een sessie bewaren we alleen een onherleidbare code.
• Toegangsgegevens van koppelingen bewaren we extra versleuteld (AES-256-GCM).
• Elk bedrijf ziet alleen zijn eigen gegevens. Rollen: eigenaar, medewerker en boekhouder die alleen kan lezen.
• Waterpas-medewerkers krijgen alleen de toegang die ze nodig hebben. Meekijken kan alleen met een reden, duurt hooguit een uur en wordt gelogd.
• Verstuurde offertes en facturen bewaren we precies zoals ze zijn verstuurd, met een controlecode (SHA-256).
• Back-ups in de EU, hooguit 35 dagen bewaard.
• Een logboek van belangrijke acties, 7 jaar bewaard.
• Beperking van het aantal pogingen bij inloggen.
• We houden de software bij en lossen kwetsbaarheden snel op.