DPA

Verwerkers­overeenkomst

Laatst gewijzigd: 3 oktober 2026

Deze verwerkers­overeenkomst (DPA) is van toepassing tussen jou (de verwerkings­verantwoordelijke) en Bizzcounter (de verwerker) voor de gegevens die jij in het platform invoert. De DPA vormt één geheel met de Algemene Voorwaarden — bij strijdigheid prevaleert deze DPA voor het deel persoonsgegevens.

1. Onderwerp en duur

Wij verwerken persoonsgegevens uitsluitend ten behoeve van de levering van de dienst. De duur van de verwerking is gelijk aan de duur van het abonnement, plus de bewaartermijnen genoemd in de privacyverklaring.

2. Aard, doel en categorieën

Categorieën betrokkenen

  • Gebruikers van de tenant (admin, medewerkers)
  • Klanten en leveranciers van de tenant
  • Contactpersonen op facturen, offertes en bonnetjes

Soorten gegevens

  • NAW-gegevens, e-mail, telefoon, KVK/BTW-nummer
  • IBAN en bank­transacties (uit geïmporteerde bankafschriften)
  • Geüploade documenten: bonnetjes, inkoopfacturen en bijlagen
  • Factuur- en offerte-inhoud
  • Eventueel bijzondere categorieën als jij die invoert

3. Instructie

Wij verwerken persoonsgegevens uitsluitend op jouw schriftelijke instructie en op basis van deze DPA. Het gebruik van het platform door een gemachtigde gebruiker geldt als instructie­handeling.

4. Sub-verwerkers

Je geeft algemene toestemming voor het inschakelen van de volgende sub-verwerkers:

  • TransIP (NL) — hosting: server, databases, geüploade bestanden en back-ups
  • Mollie (NL) — betalings­verwerking
  • Resend (VS) — aflevering van uitgaande e-mail: e-mailadressen van ontvangers, inhoud en bijlagen
  • Anthropic (VS) — alleen als de AI-functies worden gebruikt: het geüploade bonnetje of de inkoopfactuur bij het uitlezen, en bij de AI-assistent de vraag plus de gegevens die de assistent daarvoor opzoekt (zoals klant- en factuurgegevens)

Bij wijziging informeren we minstens 30 dagen vooraf. Je kunt binnen die termijn bezwaar maken; in dat geval krijg je het recht om op te zeggen zonder kosten.

5. Beveiligings­maatregelen

  • Per-klant gescheiden databases
  • bcrypt voor wachtwoorden
  • HTTPS verplicht; HSTS
  • Optionele 2FA
  • Audit-log van security-relevante acties
  • Toegang voor support op need-to-know basis

6. Datalek-procedure

Wij melden incidenten met een redelijk risico voor betrokkenen binnen 48 uur via e-mail aan de bij ons bekende account-eigenaar. We verstrekken alle informatie die nodig is voor jouw eigen meldplicht aan de Autoriteit Persoonsgegevens.

7. Rechten van betrokkenen

Wij faciliteren jouw nakoming van AVG-rechten via de zelfservice in het platform (JSON-export via Instellingen → Account, correctie, verwijdering). Voor verzoeken die het platform niet dekt, helpen we op redelijke termijn — kosten zijn beperkt tot administratieve last.

8. Audit-rechten

Eens per kalenderjaar mag jij (of een door jou ingehuurde onafhankelijke auditor) onze beveiligings­documentatie inzien en/of een audit-vragenlijst laten invullen. Audits ter plaatse zijn mogelijk bij gegrond vermoeden van non-compliance, op jouw kosten en in onderling overleg.

9. Teruggave en wissen

Zolang het abonnement loopt, kan de beheerder de data zelf exporteren (JSON-bestand via Instellingen → Account). Bij beëindiging sluit de omgeving direct en bewaren we de data nog 30 dagen. In die periode kan de beheerder nog inloggen om de export te downloaden (of de beëindiging in te trekken), en leveren we de data op verzoek via support. Daarna verwijderen we de database van de administratie. Back-ups vervallen na 7 dagen. Gegevens die wij zelf wettelijk moeten bewaren (onze facturen aan jou en de betalingen daarvan) blijven bewaard.

10. Aansprakelijkheid

De aansprakelijkheid uit hoofde van deze DPA volgt de beperkingen uit de Algemene Voorwaarden, behalve voor AVG-boetes die rechtstreeks aan ons zijn opgelegd wegens toerekenbare tekortkoming.