Verwerkersovereenkomst

1. Twee rollen, niet één

Als verwerker (deze overeenkomst): Optima verwerkt persoonsgegevens in úw administratie (uw relaties, eventueel uw personeel, wat op facturen en bankafschriften staat) in opdracht van u.

Als verwerkingsverantwoordelijke (niet deze overeenkomst, wél de privacyverklaring): Optima verwerkt uw eigen contact- en bedrijfsgegevens om u te spreken, te factureren, Exact in te stellen, het portaal te laten werken, en te voldoen aan de wet (onder meer fiscale bewaarplicht en, voor zover van toepassing, Wwft).

U bent verwerkingsverantwoordelijke voor de gegevens in uw administratie. U staat ervoor in dat u die gegevens aan ons mag geven en dat uw instructie rechtmatig is.

2. Begrippen

AVG-begrippen hebben hier dezelfde betekenis. Schriftelijk is: e-mail, WhatsApp of papier, gelijk aan de AV.

3. Onderwerp, aard, doel, duur

Onderwerp: verwerking die nodig is om de boekhouding en de aangiften uit het gekozen pakket te voeren.

Aard: vastleggen, ordenen, bewaren, raadplegen, gebruiken, verstrekken aan de Belastingdienst of Exact waar de dienst dat vraagt, wissen of exporteren bij einde.

Doel: administratie, btw/ICP/OSS, het zakelijke deel van de inkomstenbelasting zoals in het pakket, klantportaal. Geen marketing met gegevens van uw relaties. Geen controleopdracht.

Duur: vanaf ja-instellen tot het einde van de AV-overeenkomst, plus wat de wet ons daarna verplicht te bewaren (in de regel 7 jaar fiscale stukken).

Instructie is: deze overeenkomst, de AV, het gekozen pakket, en wat u via het afgesproken kanaal aanlevert. Geen aparte brief per boeking. Een wettelijke plicht (fiscus, Wwft, rechter) mag Optima uitvoeren zonder extra instructie. Dat is geen wanprestatie.

Ziet Optima een instructie die naar haar oordeel tegen de wet ingaat, dan zegt zij dat. Zij hoeft die instructie niet uit te voeren.

4. Gegevens en betrokkenen

Geen bijzondere categorieën (gezondheid, religie, enz.), tenzij die onvermijdelijk in een door u aangeleverd stuk staan. Lever die stukken niet aan als het niet moet.

5. Plichten van Optima als verwerker

Optima:

• verwerkt alleen op uw instructie, plus wat de wet eist;
• houdt de gegevens geheim, ook na afloop, behalve als de wet openbaarmaking eist;
• zorgt dat wie voor haar werkt dezelfde plicht heeft;
• helpt redelijk bij verzoeken van betrokkenen, een DPIA en overleg met de AP, voor zover dat binnen haar macht ligt;
• stuurt een verzoek van een betrokkene over úw administratie door naar u. U blijft verantwoordelijk voor het antwoord en voor de melding aan de AP bij een lek in uw hoedanigheid van verantwoordelijke.

Extra werk (grote inzage-actie, DPIA, auditbegeleiding) is meerwerk volgens de AV, tenzij het volgt uit een tekortkoming van Optima.

6. Subverwerkers

U geeft hierbij algemene toestemming voor de partijen in de bijlage. Optima legt hun schriftelijk minstens dezelfde plichten op. Voor hun fout jegens de AVG blijft Optima aanspreekbaar zoals de wet dat zet. Dat is geen ruimere schadeplicht dan de AV.

Wijziging van subverwerker zegt Optima vooraf. U mag binnen 14 dagen op redelijke, schriftelijke gronden bezwaar maken. Blijft het bezwaar staan, dan mag elke partij de overeenkomst beëindigen volgens de AV. Geen aparte schadeplicht voor die wijziging zelf.

Exact Online zit in het pakket.

WhatsApp gebruiken wij als kanaal met ú. Dat maakt Meta geen subverwerker van de administratie van uw relaties, zolang u daar geen dossiers van hen in zet. Zet die stukken in het portaal of de mail, niet in de app.

7. Doorgifte buiten de EER

Uitgangspunt: binnen de EER. Gaat er iets buiten de EER (bijvoorbeeld Google Workspace), dan alleen met een geldige grond: adequaatheidsbesluit of de modelcontracten van de Commissie. EER waar het kan, daarbuiten met waarborg.

8. Beveiliging

Passende maatregelen, afgestemd op stand van de techniek, aard van de gegevens en kosten. Wat wij nu doen, staat in de bijlage.

Een lek bij Exact, Snel.com of Google is hun incident. Optima meldt u wat zij daarvan weet en wat de wet haar verplicht te doen. Geen automatische aansprakelijkheid voor hun lek.

9. Datalek

Optima zegt het u zonder onredelijke vertraging, en streeft naar 24 uur nadat het lek bij haar bekend is. In de melding: aard, categorieën en aantallen voor zover bekend, waarschijnlijke gevolgen, wat wij doen of voorstellen.

U blijft verantwoordelijk voor uw melding aan de AP en aan betrokkenen. Optima meldt niet namens u, tenzij de wet haar een eigen meldplicht geeft.

10. Audit

U mag de naleving laten toetsen door een onafhankelijke, tot geheimhouding gehouden derde:

• hooguit één keer per twaalf maanden, met tien werkdagen vooraankondiging; of
• eerder, bij een concreet en schriftelijk onderbouwd vermoeden van een inbreuk.

Kosten van de audit zijn van u, tenzij de audit een toerekenbare tekortkoming van Optima op dit stuk aantoont. Wij geven redelijke informatie. Geen inzage in gegevens van andere klanten, geen kopie van beveiliging die het risico vergroot.

11. Einde

Deze tekst start en stopt met de AV-overeenkomst.

Na afloop: export volgens artikel 11 van de AV, daarna wissen of vernietigen van de werkomgeving, behalve wat de wet ons verplicht te bewaren (fiscale bewaarplicht, Wwft-dossier als dat speelt). Bewaren na afloop doen wij als verantwoordelijke voor die wettelijke plicht, niet meer als uw verwerker voor de dagelijkse boekhouding.

Retentierecht uit de AV blijft: export van ons dossier pas als opeisbare bedragen binnen zijn. Uw eigen bronstukken gijzelen wij niet.

12. Aansprakelijkheid

Aansprakelijkheid volgt artikel 15 van de AV. Deze overeenkomst maakt het plafond niet ruimer. Geen aparte AVG-boete-overname, behalve bij opzet of bewuste roekeloosheid van Optima.

U vrijwaart Optima voor claims van betrokkenen of de AP die volgen uit uw stukken, uw instructie of het ontbreken van uw grondslag, behalve voor zover de schade het rechtstreekse gevolg is van onze opzet of bewuste roekeloosheid.

13. Slot

Nederlands recht. Geschillen: dezelfde rechter als in de AV.

Als een zin hier botst met de AVG, wijkt die zin. Als een zin hier botst met de AV over iets dat de AVG niet dwingt, wint de AV.

Wijziging van deze tekst: artikel 17 van de AV.

Bijlage

Subverwerkers (algemene toestemming)

Beveiliging

• HTTPS op site en portaal
• Portaal alleen na persoonlijk login
• Wachtwoorden als hash
• Documenten gescheiden van het openbare deel
• Updates, back-ups, toegang beperkt tot wie het nodig heeft