Verwerkersovereenkomst

1. Partijen

Verwerkingsverantwoordelijke (Opdrachtgever): De gebruiker van KobiBoekhouden die een account heeft aangemaakt en gebruik maakt van de diensten.

Verwerker: KobiBoekhouden, gevestigd te Nederland, hierna “Verwerker”.

2. Doel van de verwerking

De Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de volgende doeleinden:

• Het aanbieden van online boekhoudkundige diensten
• Het verwerken van facturen, offertes en financiële administratie
• Het verwerken van loonstroken en werknemersgegevens (KobiLoon)
• Het opstellen van jaarrekeningen en BTW-aangiftes
• Het faciliteren van betalingsverkeer via Mollie

3. Soorten persoonsgegevens

De volgende categorieën persoonsgegevens worden verwerkt:

• Contactgegevens (naam, adres, e-mailadres, telefoonnummer)
• Bedrijfsgegevens (KVK-nummer, BTW-nummer, IBAN)
• Financiële gegevens (facturen, betalingen, bankgegevens)
• Werknemersgegevens (BSN, loongegevens, contractinformatie) - alleen bij gebruik van KobiLoon
• Inloggegevens en gebruiksgegevens

4. Beveiligingsmaatregelen

De Verwerker treft de volgende technische en organisatorische maatregelen:

• Versleutelde verbindingen (SSL/TLS) voor alle dataoverdracht
• Versleutelde opslag van gevoelige gegevens in de database
• Tweefactorauthenticatie (2FA) voor toegang tot accounts
• Regelmatige back-ups van alle gegevens
• Toegangsbeheer op basis van rollen en rechten
• Logging en monitoring van systeemactiviteiten
• Servers gehost binnen de Europese Unie

5. Sub-verwerkers

De Verwerker maakt gebruik van de volgende sub-verwerkers:

Sub-verwerker	Doel	Locatie
Mollie B.V.	Betalingsverwerking	Nederland (EU)
Cloudflare, Inc.	CDN en DDoS-bescherming	EU-servers
Serverhosting	Hosting van applicatie en database	EU

6. Bewaartermijnen

• Financiële administratie: 7 jaar (wettelijke bewaarplicht)
• Loonadministratie: 7 jaar na einde dienstverband
• Accountgegevens: Tot opzegging + 30 dagen
• Back-ups: Maximaal 90 dagen

7. Rechten van betrokkenen

De Verwerker ondersteunt de Verwerkingsverantwoordelijke bij het uitoefenen van de rechten van betrokkenen:

• Recht op inzage (art. 15 AVG)
• Recht op rectificatie (art. 16 AVG)
• Recht op gegevenswissing (art. 17 AVG)
• Recht op beperking van de verwerking (art. 18 AVG)
• Recht op overdraagbaarheid van gegevens (art. 20 AVG)

8. Meldplicht datalekken

Bij een datalek informeert de Verwerker de Verwerkingsverantwoordelijke binnen 24 uur na ontdekking, met vermelding van:

• De aard van het datalek
• De categorieën betrokkenen en persoonsgegevens
• De waarschijnlijke gevolgen
• De genomen en voorgestelde maatregelen

9. Geheimhouding

Alle personen die namens de Verwerker toegang hebben tot persoonsgegevens zijn gebonden aan geheimhouding.

10. Beëindiging

Bij beëindiging van de overeenkomst zal de Verwerker:

• Alle persoonsgegevens retourneren aan de Verwerkingsverantwoordelijke (via export)
• Alle kopieën verwijderen, tenzij wettelijke bewaarplicht van toepassing is
• Schriftelijk bevestigen dat alle gegevens zijn verwijderd

11. Toepasselijk recht

Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter te Amsterdam.