VERWERKERSOVEREENKOMST CONSTO
Versie 2026-1 · bijlage bij de gebruiksvoorwaarden
Partijen
Klant, de gebruiker van de Dienst Consto zoals omschreven in de gebruiksvoorwaarden (hierna: "Verwerkingsverantwoordelijke"), en Luchadores Management BV, KvK 62724789, gevestigd te Hooge Zwaluwe (hierna: "Verwerker"), komen het volgende overeen. Deze overeenkomst geeft uitvoering aan artikel 28 van de Algemene verordening gegevensbescherming (AVG).
Artikel 1. Onderwerp en duur
1.1 Verwerker verwerkt persoonsgegevens namens Verwerkingsverantwoordelijke uitsluitend voor het leveren van de Dienst: het voeren van de administratie van Verwerkingsverantwoordelijke, het maken en verzenden van facturen, het verwerken van bankmutaties en inkoopfacturen, het bewaren van documenten, het opstellen van BTW- en VPB-overzichten en het tonen van fiscale signalen.
1.2 Deze overeenkomst duurt zolang de gebruiksvoorwaarden van toepassing zijn, en zolang Verwerker daarna nog persoonsgegevens van Verwerkingsverantwoordelijke bewaart.
Artikel 2. Aard van de gegevens en betrokkenen
2.1 Categorieën betrokkenen: Gebruikers van Verwerkingsverantwoordelijke, contactpersonen van debiteuren en leveranciers, tegenpartijen van bankmutaties, de bestuurder(s) van Verwerkingsverantwoordelijke.
2.2 Categorieën persoonsgegevens: naam, functie, e-mailadres, telefoonnummer, adres, bankrekeningnummer, factuur- en betaalgegevens, en, voor zover Verwerkingsverantwoordelijke die invoert, fiscale gegevens van de bestuurder (salaris, rekening-courant, gegevens uit de aangifte inkomstenbelasting) en de inhoud van geüploade documenten.
2.3 Verwerkingsverantwoordelijke voert geen bijzondere persoonsgegevens (zoals gezondheidsgegevens) in de Dienst in, tenzij dit voor de administratie onvermijdelijk is; in dat geval is Verwerkingsverantwoordelijke verantwoordelijk voor de rechtmatigheid daarvan.
Artikel 3. Verplichtingen van Verwerker
3.1 Verwerker verwerkt de persoonsgegevens alleen op schriftelijke instructie van Verwerkingsverantwoordelijke; het gebruik van de Dienst geldt als die instructie. Verwerker gebruikt de gegevens niet voor eigen doeleinden.
3.2 Verwerker zorgt dat personen die toegang hebben tot de gegevens tot geheimhouding zijn verplicht.
3.3 Verwerker helpt Verwerkingsverantwoordelijke, voor zover redelijkerwijs mogelijk, bij het nakomen van de rechten van betrokkenen (inzage, rectificatie, verwijdering, overdraagbaarheid); de exportfunctie en de verwijderfunctie in de Dienst zijn daarvoor de eerste middelen.
3.4 Verwerker informeert Verwerkingsverantwoordelijke als een instructie naar zijn oordeel in strijd is met de AVG.
Artikel 4. Beveiliging
4.1 Verwerker treft passende technische en organisatorische maatregelen, waaronder in elk geval: versleuteld transport (TLS), logische scheiding van gegevens per Administratie, tweestapsverificatie voor gebruikers, versleutelde opslag van geheimen, een logboek van handelingen per Administratie, dagelijkse momentopnamen (90 dagen bewaard), en beveiligingsupdates van de onderliggende systemen.
4.2 De Dienst wordt gehost op servers in de Europese Unie. Betalingen verlopen via Stripe; uitgaande e-mail via Microsoft 365. Met deze partijen bestaan verwerkersafspraken.
Artikel 5. Subverwerkers
5.1 Verwerkingsverantwoordelijke geeft algemene toestemming voor het inschakelen van subverwerkers. Bij het aangaan van deze overeenkomst zijn dat: de hostingleverancier van de servers (EU), Stripe Payments Europe Ltd (betalingen), Microsoft Ireland Operations Ltd (e-mail) en, indien ingeschakeld, een leverancier van foutmonitoring.
5.2 Verwerker informeert Verwerkingsverantwoordelijke ten minste 30 dagen vooraf over een nieuwe subverwerker. Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken; leidt dat niet tot een oplossing, dan mag hij de gebruiksvoorwaarden opzeggen.
5.3 Verwerker legt aan subverwerkers dezelfde verplichtingen op als in deze overeenkomst en blijft jegens Verwerkingsverantwoordelijke verantwoordelijk voor hun werk.
Artikel 6. Datalekken
6.1 Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, over een inbreuk in verband met persoonsgegevens, met de informatie die Verwerkingsverantwoordelijke nodig heeft voor een melding aan de Autoriteit Persoonsgegevens en aan betrokkenen.
6.2 De beoordeling of een melding nodig is, en de melding zelf, zijn de verantwoordelijkheid van Verwerkingsverantwoordelijke.
Artikel 7. Controle
7.1 Verwerker stelt Verwerkingsverantwoordelijke op verzoek de informatie ter beschikking die nodig is om aan te tonen dat aan artikel 28 AVG wordt voldaan, en werkt mee aan audits door of namens Verwerkingsverantwoordelijke, ten hoogste eenmaal per jaar, na overleg over tijdstip en omvang, op kosten van Verwerkingsverantwoordelijke.
Artikel 8. Bewaartermijnen en teruggave
8.1 Verwerker bewaart de persoonsgegevens zolang de gebruiksvoorwaarden van toepassing zijn.
8.2 Na het einde van de gebruiksvoorwaarden of na een verwijderingsaanvraag verwijdert Verwerker alle persoonsgegevens volgens artikel 9 van de gebruiksvoorwaarden (30 dagen bedenktijd, daarna definitieve verwijdering; één laatste momentopname nog 90 dagen), tenzij een wettelijke bewaarplicht van Verwerker zich daartegen verzet. Verwerkingsverantwoordelijke kan de gegevens tot dat moment exporteren.
Artikel 9. Aansprakelijkheid en overige bepalingen
9.1 De aansprakelijkheidsregeling van de gebruiksvoorwaarden is op deze overeenkomst van toepassing.
9.2 Bij strijd tussen deze overeenkomst en de gebruiksvoorwaarden gaat deze overeenkomst voor wat betreft de verwerking van persoonsgegevens.
9.3 Op deze overeenkomst is Nederlands recht van toepassing.