Verwerkersovereenkomst

1.Partijen

Deze verwerkersovereenkomst is gesloten tussen de partij die hierboven als Klant staat vermeld (verwerkingsverantwoordelijke, in de AVG: “controller”) en Je-Ma ICT Beheer, gevestigd te Deventer (Nederland), KvK 92479847, BTW NL866066561B01 (verwerker).

Zij geldt zolang de verwerker persoonsgegevens voor de Klant verwerkt en maakt onlosmakelijk deel uit van de overeenkomst tussen partijen. Dat geldt ook als de Klant via een reseller bij Jema One is gekomen: de overeenkomst en deze verwerkersovereenkomst zijn dan nog steeds met de verwerker.

2.Onderwerp en instructies

De verwerker verwerkt namens de Klant persoonsgegevens uitsluitend voor het uitvoeren van de Jema One-dienstverlening, en uitsluitend volgens de schriftelijke instructies van de Klant, ook wat betreft doorgifte naar een land buiten de Europese Economische Ruimte (artikel 7).

De aard van de verwerking: de verwerker host de omgeving van de Klant. Hij slaat de gegevens op die de Klant en zijn gebruikers erin zetten, toont en doorzoekt ze, voert de functies uit die zij gebruiken, zoals facturen versturen, digitaal ondertekenen en de AI-functies, maakt back-ups, en verwijdert de gegevens zoals artikel 11 en 12 zeggen.

Het gebruik van de dienst zoals beschreven in de algemene voorwaarden geldt als zo'n instructie. Dat omvat ook de functies die de Klant zelf aanzet of laat aanstaan, zoals de AI-functies (artikel 4). Meent de verwerker dat een instructie in strijd is met de AVG, dan meldt hij dat voordat hij hem uitvoert. Verplicht een wettelijke regel de verwerker tot een verwerking buiten de instructies van de Klant, dan meldt hij dat de Klant vooraf, tenzij die regel dat verbiedt.

De verwerker gebruikt de gegevens niet voor eigen doeleinden, behalve voor de beveiliging van het inloggen (artikel 3) en als bewijs bij een incident (artikel 11). Hij verkoopt ze niet, en gebruikt ze niet om modellen mee te trainen.

3.Categorieën betrokkenen en gegevens

• Klanten en contactpersonen van de Klant: naam, e-mailadres, telefoonnummer, adresgegevens, btw- en KvK-nummer, en financiële gegevens zoals facturen, betalingen en bankmutaties.
• Medewerkers van de Klant (gebruikers): naam, e-mailadres, rol, telefoonnummer, uren en ritten als de Klant die bijhoudt, en gegevens over inloggen en gebruik (sessies en het logboek).
• Leveranciers en andere tegenpartijen van de Klant: naam, adres, e-mailadres, IBAN, en wat er op inkoopfacturen en in bankmutaties over hen staat.
• Medewerkers van een administratiekantoor waaraan de Klant toegang geeft: e-mailadres en de naam van het kantoor, en in het logboek wanneer zij de administratie bekeken of downloadden.
• Relaties die het klantenportaal gebruiken: naam, e-mailadres, en wat zij zelf invullen of ondertekenen.
• Wie een document digitaal ondertekent: naam, e-mailadres, handtekening, en het tijdstip en IP-adres van ondertekenen.

Bijzondere persoonsgegevens worden niet verwerkt, tenzij de Klant die zelf in zijn omgeving invoert. Dat is zijn keuze en zijn verantwoordelijkheid; de verwerker vraagt er niet om en heeft de dienst er niet voor ingericht.

Accounts van gebruikers. De Klant bepaalt wie een account krijgt, met welke rol, en wanneer het weggaat. Voor die accounts is de Klant verwerkingsverantwoordelijke en de verwerker verwerker. Alleen voor de beveiliging van het inloggen is de verwerker zelf verantwoordelijk: de hash van het wachtwoord, tweestapsverificatie, passkeys, sms-codes, sessies, mislukte inlogpogingen en de melding bij inloggen op een nieuw apparaat. Die gegevens gebruikt de verwerker alleen om het platform te beveiligen.

4.Sub-verwerkers

De Klant geeft algemene toestemming voor het inschakelen van sub-verwerkers. De actuele lijst is openbaar en staat op je-ma.one/legal/sub-processors, met per partij de vestigingsplaats en wat er naartoe gaat. De sub-verwerkers schakelen zelf ook partijen in; die staan op hun eigen lijsten, en een volledig overzicht stuurt de verwerker op verzoek.

Resellers. Is de Klant via een reseller bij Jema One gekomen, dan is die reseller ook een sub-verwerker van de verwerker. Een reseller kan voor de omgevingen van zijn klanten: een omgeving aanmaken, schorsen en weer activeren, het pakket wijzigen, een back-up maken (niet terugzetten), de lijst van gebruikers bekijken, een herstellink sturen, tweestapsverificatie wissen, alle sessies intrekken en de omgeving bijwerken naar een nieuwe versie. Archiveren kan een reseller alleen bij een omgeving die nog wordt ingericht. Een schorsing door een reseller telt voor de termijnen van artikel 11 pas als de verwerker hem heeft bevestigd. Een reseller kan een omgeving niet verwijderen of exporteren, kan niet zoeken naar een persoon, en kan niet inloggen als een gebruiker van de Klant. Elke handeling van een reseller komt in het logboek van de verwerker, ook het bekijken van de lijst van gebruikers.

Wijzigingen worden 30 dagen vooraf aangekondigd. Binnen dat venster kan de Klant bezwaar maken; komen partijen er niet uit, dan kan de Klant de overeenkomst per direct beëindigen zonder kosten voor de resterende periode.

De verwerker legt elke sub-verwerker dezelfde verplichtingen op als hij hier zelf aangaat, en blijft jegens de Klant aansprakelijk voor wat zij doen.

AI-functies. De AI-functies lopen via Mistral AI, die op de lijst staat. Ze staan standaard aan. Een beheerder van de Klant zet ze uit onder Instellingen; dan gaat er niets meer naar Mistral, ook niet vanuit automatische taken. Weer aanzetten vraagt het wachtwoord van die beheerder.

Geen sub-verwerker, wel ontvanger. Wordt in de omgeving een btw-nummer nagegaan, met de knop daarvoor of bij een factuur met verlegde btw, dan gaat dat btw-nummer naar VIES, de dienst van de Europese Commissie, met het btw-nummer van de Klant als aanvrager. De uitslag blijft in de omgeving.

Koppelingen die de Klant zelf aanzet, zoals een eigen Mollie-account voor betalingen op zijn facturen of zijn eigen mailbox (Microsoft 365 of SMTP), zijn geen sub-verwerkers van de verwerker. Daarvoor geldt het contract van de Klant met die partij. Bij een eigen Mollie-account gaan het bedrag, het factuurnummer en de naam van de klant op de factuur mee.

5.Beveiligingsmaatregelen

De verwerker treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Concreet:

• Versleuteling tijdens transport met TLS, minimaal versie 1.2.
• De hostingpartij versleutelt de hele schijf van de databaseserver, en daarmee alle databases, ook de facturen. De opslag van geüploade bestanden is bij de aanbieder ook versleuteld.
• Daarbovenop versleutelt de verwerker een aantal velden apart, met AES-256-GCM en een eigen sleutel per omgeving: de wachtwoordkluis, sleutels voor tweestapsverificatie, sleutels en tokens van koppelingen, private keys van certificaten, de telefoonnummers van gebruikers, klanten en contactpersonen, de IBAN en de boekingsregel van bankmutaties, handtekeningen die in de app zijn gezet, en vertrekadressen van ritten. Andere gegevens, zoals namen, adressen, e-mailadressen, facturen en vrije tekst, worden niet per veld versleuteld.
• Wachtwoorden van gebruikers worden alleen als hash opgeslagen, met Argon2id.
• Verplichte tweestapsverificatie voor alle gebruikers van de Klant en voor alle beheerders, bij de verwerker en bij resellers.
• Een eigen database per omgeving, allemaal op dezelfde databaseserver. Geen gedeeld schema, dus geen query die per ongeluk over twee klanten heen kan gaan.
• Een logboek in de omgeving, voor de Klant in te zien: wie wat deed, wanneer, vanaf welk IP-adres en met welke browser. Gewone regels blijven standaard 12 maanden bewaard, regels over geld en over ondertekende stukken zeven jaar.
• Elke nacht een back-up van elke database, die ten minste zeven dagen wordt bewaard.
• Toegang voor beheerders van de verwerker alleen op verzoek of bij een storing. Beheerhandelingen aan de gegevens, de gebruikers, de back-ups of de status van de omgeving vragen opnieuw het wachtwoord en komen in het logboek van de verwerker en in dat van de omgeving. Het bekijken van de lijst met gebruikers vraagt geen wachtwoord en komt alleen in het logboek van de verwerker. Zoeken naar een persoon over omgevingen heen, voor een verzoek onder de AVG, kan alleen de platformbeheerder, alleen op een exact e-mailadres en met een reden; heeft de omgeving van de Klant een treffer, dan staat de zoekactie in het logboek van de Klant. Er is geen functie om in te loggen als een gebruiker van de Klant.

De server draait als virtuele machine met high availability: valt de hardware uit, dan start hij automatisch opnieuw op een andere host, in een ander datacenter in dezelfde regio. Bij een fout in de software of de database zelf helpt dat niet; dan herstelt de verwerker uit de back-up van de afgelopen nacht. Wat er niet is: een tweede, actief draaiende kopie van de app of de database, en een externe penetratietest. Een storing van de server raakt alle omgevingen tegelijk.

De verwerker beoordeelt deze maatregelen jaarlijks en na elk incident dat daar aanleiding toe geeft.

6.Geheimhouding

Iedereen die namens de verwerker toegang heeft tot de persoonsgegevens is tot geheimhouding verplicht, hetzij uit hoofde van zijn functie, hetzij op grond van een afzonderlijke verklaring. Die plicht blijft bestaan na afloop van het dienstverband of de opdracht. Dit geldt ook voor resellers.

7.Datalocatie en internationale doorgifte

Persoonsgegevens worden opgeslagen in Nederland: bij UpCloud (Amsterdam) voor rekenkracht en database, en bij Worldstream (Naaldwijk) voor uploads en back-ups. De andere sub-verwerkers zitten ook in de Europese Unie, zoals netcup (Duitsland) voor digitaal ondertekenen, 46elks (Zweden) voor sms-codes en Mistral AI (Frankrijk, via het EU-adres) voor de AI-functies.

8.Meldingsplicht bij datalekken

Bij een inbreuk in verband met persoonsgegevens stelt de verwerker de Klant zonder onredelijke vertraging op de hoogte, en in elk geval binnen 72 uur nadat hij ervan kennis heeft genomen.

De melding bevat in elk geval, voor zover bekend:

• de aard van de inbreuk en welke categorieën betrokkenen en gegevens het raakt;
• de waarschijnlijke gevolgen;
• de maatregelen die zijn getroffen of worden voorgesteld;
• de contactgegevens voor nadere informatie.

De Klant blijft zelf verantwoordelijk voor de melding aan de Autoriteit Persoonsgegevens en, waar nodig, aan de betrokkenen. De verwerker levert de informatie die daarvoor nodig is, en houdt zelf een register bij van inbreuken op het platform.

9.Rechten van betrokkenen

De verwerker ondersteunt de Klant bij het uitoefenen van de rechten van betrokkenen: inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar. De dienst heeft daarvoor functies waarmee de Klant de meeste verzoeken zelf afhandelt:

• een export per klant, met alles wat bij die organisatie hoort, en een export per persoon, zonder gegevens van anderen;
• een klant verwijderen, als er geen administratie bij hoort;
• een klant met administratie archiveren of anonimiseren. Bij anonimiseren blijven naam, adres, land, btw- en KvK-nummer en Peppol-id staan voor de administratie, en blijven getekende stukken bewaard; de rest over personen gaat weg.

Komt een verzoek rechtstreeks bij de verwerker binnen, dan stuurt hij het door naar de Klant en beantwoordt hij het niet zelf, ook als het over het account van een gebruiker gaat. Alleen een verzoek dat uitsluitend over de beveiliging van het inloggen gaat (artikel 3), beantwoordt de verwerker zelf. Ondersteuning bij een verzoek gebeurt binnen 30 dagen.

DPIA en voorafgaande raadpleging. Moet de Klant een gegevensbeschermingseffectbeoordeling (DPIA) maken of de Autoriteit Persoonsgegevens vooraf raadplegen (artikelen 35 en 36 AVG), dan helpt de verwerker daarbij met de informatie waarover hij beschikt: over de verwerking, de sub-verwerkers en de beveiligingsmaatregelen.

10.Controle en verantwoording

De verwerker stelt de Klant alle informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen. Dat gebeurt in de eerste plaats via de openbare documentatie: de sub-verwerkerslijst, de beveiligingspagina, de beveiligingsverklaring en het logboek in de omgeving zelf.

Volstaat dat niet, dan werkt de verwerker mee aan een audit door de Klant of een door hem aangewezen onafhankelijke auditor. Die wordt ten minste vier weken vooraf aangekondigd, vindt plaats tijdens kantooruren, en mag de dienstverlening aan andere klanten niet raken. De kosten zijn voor de Klant, tenzij uit de audit een tekortkoming van de verwerker blijkt.

11.Duur, export en verwijderen

Deze overeenkomst blijft van kracht zolang de verwerker persoonsgegevens voor de Klant verwerkt. De dienstverlening eindigt op het moment dat de verwerker de omgeving verwijdert. Deze verwerkersovereenkomst blijft daarna gelden voor wat dan nog wordt bewaard (dit artikel en artikel 12), tot dat is vernietigd.

Export. Zolang de omgeving open is, maakt een beheerder van de Klant zelf een volledige export, onder Instellingen. Na het einde of een schorsing stuurt de verwerker de export op verzoek als downloadlink per mail; die link werkt zeven dagen en één keer. De export bevat elke tabel als JSON en CSV, de geüploade bestanden, en de facturen en offertes als PDF. Telefoonnummers, IBAN en boekingsregels, handtekeningen en vertrekadressen staan er leesbaar in. Wachtwoorden, codes voor tweestapsverificatie, tokens, API-sleutels en de inhoud van de wachtwoordkluis gaan er nooit in; haal de inhoud van de kluis vóór het einde zelf op.

Verwijderen. De verwerker verwijdert de omgeving uiterlijk 90 dagen na het einde of de schorsing, en niet eerder dan na 76 dagen. Heeft hij de Klant een datum gemaild, dan niet eerder dan die datum; kwam die mail laat aan, dan kan dat iets na de 90 dagen zijn, maar nooit eerder dan 14 dagen na de mail. Vraagt de Klant zelf om eerder verwijderen, dan kan dat eerder. Een schorsing door een reseller telt voor deze termijn pas als de verwerker hem heeft bevestigd. Daarbij gaan de database en de geüploade bestanden weg, en ook de stukken bij de eigen ondertekendienst. Op verzoek krijgt de Klant een verklaring van verwijdering: wat er is verwijderd, wanneer, en door wie.

Na het verwijderen bestaat nog:

• de back-ups en de nachtelijke kopie van de bestanden, tot hun bewaartermijn om is (standaard 30 dagen, nooit minder dan zeven);
• een kopie van de database die de verwerker bij een incident als bewijs heeft gemaakt, één jaar lang;
• het logboek van de verwerker met zijn beheerhandelingen aan de omgeving, met het e-mailadres van wie ze deed, twaalf maanden;
• het bewijs van het verwijderen (wat er was, wanneer en door wie), tot het laatste fiscale archief is vernietigd;
• de domeinnaam van de omgeving in de openbare certificaatregisters (Certificate Transparency), waar elke uitgever van certificaten hem blijvend vastlegt;
• het fiscale archief uit artikel 12.

12.Wettelijke bewaartermijn

Voor facturen en de administratie daaromheen geldt een wettelijke bewaarplicht van zeven jaar, uit artikel 52 van de Algemene wet inzake rijksbelastingen. Die bewaarplicht gaat voor op een verwijderverzoek.

Tijdens de dienst: verwijdert een gebruiker een inkoop, een bankmutatie, een kilometerrit of een rit, dan blijft die met de reden bewaard. Een beheerder van de Klant ziet deze stukken onder Instellingen. Ze gaan 84 maanden na hun eigen datum definitief weg. Een verwijderverzoek over zulke stukken wordt pas dan helemaal uitgevoerd. Is een stuk per ongeluk geüpload en hoort het niet bij de administratie, dan verwijdert de verwerker het op verzoek eerder, met de hand.

Na het verwijderen van de omgeving bewaart de verwerker, in opdracht van de Klant en voor diens bewaarplicht, alleen de fiscale gegevens, in een versleuteld archief per boekjaar: facturen en de administratie daaromheen, bonnen en inkoopfacturen als bestand, van klanten alleen wat op een factuur staat, en van gebruikers alleen de naam als die op een stuk staat. Het archief gaat alleen open met een sleutel die niet op de server staat. De verwerker haalt het alleen terug op vordering van de Belastingdienst of op verzoek van de Klant. Elk archief wordt vernietigd zeven jaar na het einde van zijn boekjaar.

13.Toepasselijk recht

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter te Zwolle. Bij strijdigheid met de algemene voorwaarden gaat deze verwerkersovereenkomst voor, waar het de verwerking van persoonsgegevens betreft.

14.Wijzigingen

Wijzigingen aan deze verwerkersovereenkomst kondigt de verwerker ten minste 30 dagen vooraf per mail aan. Op de website staat dan welke versie vanaf welke datum geldt; de vorige versie blijft daar te lezen en te downloaden. Is de Klant het niet eens met een wijziging, dan kan hij in die 30 dagen bezwaar maken, en de overeenkomst per direct opzeggen zoals in artikel 14 van de algemene voorwaarden. Zegt hij niet op, dan geldt de nieuwe versie vanaf de ingangsdatum. Een beheerder van de omgeving kan de nieuwe versie daarna in de applicatie bevestigen; de verwerker legt die bevestiging vast.