Verwerkers­overeenkomst

1. Partijen

De verwerker: MarktAmigo, vennootschap onder firma, Bellendonkplein 4, 7411 ZT Deventer, KvK 42164429, btw-identificatienummer NL869996150B01. Hierna: wij.

De verwerkingsverantwoordelijke: de onderneming die een account op MarktAmigo heeft en daarin gegevens vastlegt. Hierna: jij.

Jij bepaalt welke persoonsgegevens er in MarktAmigo terechtkomen en waarvoor. Wij bewaren en verwerken ze uitsluitend namens jou, om je de dienst te kunnen leveren. Voor jouw eigen gegevens als eigenaar van het account — je naam, je e-mailadres, je inlog en je abonnement — zijn wij zélf verwerkingsverantwoordelijke; daarvoor geldt onze privacyverklaring en niet deze overeenkomst. Voor de medewerkers die jij toevoegt, geldt deze overeenkomst wel: jij beslist wie erbij komt.

2. Wanneer deze overeenkomst geldt

Deze overeenkomst gaat in op het moment dat je een account aanmaakt en loopt door zolang wij persoonsgegevens namens jou verwerken. Zij eindigt niet eerder dan het moment waarop de laatste gegevens zijn teruggegeven of gewist volgens artikel 13.

3. Onderwerp, aard, doel en duur

Wij leveren MarktAmigo: een kassa- en administratieprogramma voor markthandelaren. Het legt vast wat je verkoopt, aan wie je factureert, wie er namens jou mag werken en wat er in je voorraad staat.

De verwerking bestaat uit het opslaan, ordenen, raadplegen, wijzigen, doorsturen en wissen van de gegevens die jij invoert of die het gebruik van de dienst oplevert. Er wordt geen profilering toegepast en er worden geen geautomatiseerde besluiten genomen met rechtsgevolg.

De categorieën betrokkenen, de soorten gegevens en de bewaartermijnen staan in Bijlage A.

4. Instructies

Wij verwerken persoonsgegevens uitsluitend op jouw instructie. Deze overeenkomst, de algemene voorwaarden en het normale gebruik van de dienst gelden samen als die instructie.

Wij gebruiken jouw gegevens niet voor eigen doeleinden, verkopen ze niet, geven ze niet aan derden buiten Bijlage C, en gebruiken ze niet om onze eigen dienst te trainen of te verbeteren behalve in geaggregeerde vorm waarin geen persoon of onderneming te herkennen is.

Verplicht een wet ons tot een verwerking die jij niet hebt opgedragen, dan melden wij dat vooraf, tenzij die wet dat verbiedt.

Vinden wij dat een instructie van jou in strijd is met de AVG, dan zeggen wij dat en mogen wij die instructie opschorten.

5. Geheimhouding

Iedereen die bij ons toegang tot jouw gegevens heeft, is tot geheimhouding verplicht, ook na afloop van zijn betrokkenheid. Toegang wordt verleend aan wie hem voor zijn werk nodig heeft en niet ruimer.

Onze ondersteuning kan meekijken in jouw omgeving om je te helpen. Dat gebeurt onder de eigen naam van de medewerker en wordt vastgelegd in een controlelog dat wij niet kunnen aanpassen. Wij loggen daarbij nooit in als jij: er is geen functie die een medewerker van ons in jouw account plaatst.

6. Beveiliging

Wij treffen passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Welke dat zijn, staat in Bijlage B.

Wij mogen die maatregelen wijzigen zolang het beschermingsniveau daarmee gelijk blijft of stijgt.

7. Subverwerkers

Je geeft ons algemene toestemming om subverwerkers in te schakelen. De partijen die wij nu inschakelen staan in Bijlage C, met per partij wat zij ontvangen en waar zij dat verwerken.

Wij leggen elke subverwerker dezelfde verplichtingen op als wij hier aangaan, en blijven jegens jou aansprakelijk voor wat zij doen.

Willen wij een subverwerker toevoegen of vervangen, dan melden wij dat ten minste dertig dagen van tevoren per e-mail op het adres van je account. Maak je binnen die termijn schriftelijk en gemotiveerd bezwaar, dan gaan we daarover in gesprek; komen we er niet uit, dan mag je de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder kosten en met teruggave van je gegevens volgens artikel 13.

8. Doorgifte buiten de EER

De gegevens die jij in MarktAmigo zet, staan op servers in Nederland.

Sommige subverwerkers in Bijlage C zijn gevestigd buiten de EER of kunnen daar gegevens verwerken. Waar dat zo is, staat het per partij vermeld, samen met de grondslag voor de doorgifte — een adequaatheidsbesluit of de modelcontractbepalingen van de Europese Commissie.

9. Rechten van betrokkenen

Krijg jij een verzoek van iemand die inzage, correctie, verwijdering, beperking, bezwaar of overdracht wil, dan is dat jouw verzoek om te beantwoorden. Wij helpen je daarbij.

De dienst geeft je daarvoor zelf de middelen: je kunt je gegevens exporteren, gegevens van zakelijke kopers aanpassen en verwijderen, en medewerkers intrekken. Kom je er daarmee niet uit, dan doen wij het op jouw schriftelijk verzoek binnen tien werkdagen, kosteloos.

Komt een verzoek per ongeluk bij ons binnen, dan beantwoorden wij het niet zelf maar sturen wij het onverwijld naar jou door.

10. Datalekken

Ontdekken wij een inbreuk in verband met persoonsgegevens die jouw gegevens raakt, dan melden wij dat onverwijld en uiterlijk binnen 24 uur na ontdekking, per e-mail en telefonisch op de gegevens van je account.

Die melding bevat in elk geval: wat er is gebeurd en wanneer, welke categorieën gegevens en hoeveel betrokkenen het vermoedelijk betreft, de waarschijnlijke gevolgen, wat wij hebben gedaan om het te beperken, en de contactpersoon bij ons. Weten wij iets nog niet, dan melden wij vast wat we wél weten en vullen aan zodra we meer hebben.

Melden bij de Autoriteit Persoonsgegevens en het informeren van betrokkenen is jouw taak — het is jouw verwerking. Wij leveren wat je daarvoor nodig hebt en doen dat op tijd voor jouw termijn van 72 uur.

11. Bijstand bij gegevensbeschermingseffectbeoordeling

Moet jij een DPIA uitvoeren of de Autoriteit Persoonsgegevens vooraf raadplegen, dan leveren wij de informatie over onze verwerking en beveiliging die je daarvoor nodig hebt.

12. Audit en controle

Je mag één keer per jaar controleren of wij ons aan deze overeenkomst houden, en daarnaast telkens na een datalek dat jouw gegevens raakte.

In eerste instantie doen wij dat met documentatie: deze overeenkomst met haar bijlagen, ons verwerkingsregister en de gegevens over onze beveiliging. Is dat aantoonbaar niet genoeg, dan mag je een onafhankelijke auditor inschakelen die tot geheimhouding is gehouden en die geen concurrent van ons is. Zo'n audit kondig je ten minste dertig dagen van tevoren aan, hij vindt plaats tijdens kantooruren en verstoort onze dienstverlening niet, en de toegang blijft beperkt tot wat voor het onderzoek nodig is — nooit tot gegevens van andere klanten.

De kosten van de audit draag jij, tenzij daaruit een wezenlijke tekortkoming van onze kant blijkt; dan dragen wij ze.

13. Teruggave en verwijdering

Als deze overeenkomst eindigt, kies jij: teruggave van je gegevens, of verwijdering.

Je kunt je gegevens tot het einde van de overeenkomst zelf exporteren als CSV, in de vorm die Nederlandse boekhoudprogramma's verwachten. Vraag je om een volledige uitlevering, dan leveren wij die binnen dertig dagen aan.

Na afloop bewaren wij je gegevens dertig dagen, zodat een opzegging of een vergissing nog terug te draaien is. Daarna wissen wij ze. Je kunt ons ook vragen dat eerder te doen; bij een verzoek op grond van artikel 17 AVG wachten wij de dertig dagen niet af.

Wat er dan gebeurt: alle rijen die van jou zijn worden verwijderd, en de foto's die je hebt geüpload als eerste, omdat dat het enige deel is dat via een webadres te bereiken was. Van het controlelog blijft het geraamte staan — welke handeling, wanneer, welke omgeving — maar de inhoud, het IP-adres, de browser en de gebruiker worden leeggemaakt. Van de wissing maken wij een certificaat waarop staat wanneer het is gebeurd, op welke grond, hoeveel rijen per tabel er weg zijn, hoeveel bestanden, en tot wanneer je gegevens nog in reservekopieën voorkomen. Dat certificaat krijg je op verzoek.

Twee dingen blijven staan, en waarom:

• Facturen die jij hebt uitgereikt. Die vallen onder jouw eigen fiscale bewaarplicht van zeven jaar. Wij verwijderen ze niet zolang die loopt, tenzij je uitdrukkelijk anders opdraagt en de gevolgen daarvan aanvaardt.
• Reservekopieën. Die worden niet doorzocht en niet bewerkt. Ze verlopen vanzelf binnen zeven dagen na de wissing, en tot die tijd blijven ze versleuteld en ongebruikt. Zou er in die periode een herstel nodig zijn, dan wordt jouw wissing daarna opnieuw uitgevoerd.

14. Aansprakelijkheid

De aansprakelijkheidsregeling uit de algemene voorwaarden geldt ook hier, met dien verstande dat een boete of schadevergoeding op grond van de AVG wordt gedragen door de partij aan wie de tekortkoming te wijten is, naar rato van ieders aandeel.

15. Duur en beëindiging

Deze overeenkomst loopt zolang de hoofdovereenkomst loopt en kan niet los daarvan worden opgezegd, behalve in het geval van artikel 7. De artikelen over geheimhouding, teruggave en verwijdering, en aansprakelijkheid blijven na afloop gelden.

16. Toepasselijk recht

Nederlands recht. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Overijssel.

17. Wijzigingen

Wijzigt de wet, of verandert de dienst zo dat deze overeenkomst niet meer klopt, dan passen wij haar aan. Wij melden dat ten minste dertig dagen van tevoren. Ben je het er niet mee eens, dan mag je opzeggen tegen de ingangsdatum.

Bijlage A: Verwerkingen, betrokkenen, gegevens en bewaartermijnen

Van wie wij namens jou gegevens bewaren, welke, waarvoor en hoe lang.

A.1 Categorieën betrokkenen

• Je medewerkers — iedereen die jij een inlog op jouw omgeving geeft. Jouw eigen gegevens als eigenaar vallen onder onze privacyverklaring (artikel 1).
• Je zakelijke kopers — klanten aan wie je een factuur op naam uitreikt.
• Consumenten die om een bon vragen — alleen wie zijn e-mailadres invult om een kassabon toegestuurd te krijgen.

Je gewone klanten aan de kraam zijn géén betrokkenen: een contante of gepinde verkoop wordt vastgelegd als bedragen en regels, zonder iets dat naar een persoon wijst.

A.2 Soorten persoonsgegevens

Van je medewerkers

Van je zakelijke kopers

Van consumenten die om een bon vragen

Overig

Productfoto's die jij uploadt. Die zijn bedoeld voor artikelen, maar kunnen onbedoeld een persoon bevatten. Zij worden alleen uitgeleverd na een controle op wie erom vraagt en zijn niet publiek doorzoekbaar.

A.3 Bewaartermijnen

Wat je zelf invoert — artikelen, verkopen, kopers, facturen — bewaren wij zolang je klant bent, en daarna volgens artikel 13. De rest ruimt zichzelf op:

Een gratis omgeving die niet gebruikt wordt, ruimen wij op. Heeft een gratis omgeving 90 dagen na aanmelding nog niets verkocht, of 365 dagen niets verkocht en niemand die inlogde, dan krijg je eerst een mail. Doe je binnen 14 dagen niets, dan sluiten wij de omgeving. Na nog eens 30 dagen volgt de wissing uit artikel 13; tot dan is het sluiten terug te draaien. Eén keer inloggen is genoeg om het te stoppen. Dit geldt nooit voor een omgeving die betaalt of ooit heeft betaald.

Het controlelog heeft geen automatische termijn: het bestaat om verantwoording af te leggen en zou dat doel verliezen als het meeliep met de gegevens waarover het gaat. Bij een wissing wordt het geschoond zoals in artikel 13 beschreven.

De termijnen die hierboven op een aantal dagen staan, zijn instelbaar. Wijzigen wij er een, dan geldt artikel 17.

Bijlage B: Beveiligingsmaatregelen

Dit is wat er is, niet wat er zou moeten zijn.

B.1 Scheiding tussen klanten

Geen enkele klant kan bij de gegevens van een andere. Dat is niet aan de schermen overgelaten maar afgedwongen in de laag die met de database praat: die weigert een zoekopdracht of een schrijfactie zonder omgeving, en zet het filter er zelf bij. Welke omgeving dat is komt uit de serversessie en nooit uit een webadres, een formulierveld of een header.

Er is een controle die het schema hierop naloopt, en een testreeks waarin de ene klant stelselmatig naar de gegevens van de andere grijpt en met lege handen terugkomt. Die tests horen bij elk nieuw onderdeel dat gegevens aanraakt.

B.2 Toegang

• Wachtwoorden worden opgeslagen als argon2id-hash, nooit leesbaar.
• Tweestapsverificatie en passkeys zijn beschikbaar voor elk account. Voor onze eigen beheerders is een tweede factor verplicht en kan die wel vervangen maar niet uitgezet worden.
• Rollen bepalen wat iemand mag; dat wordt bij elk verzoek op de server gecontroleerd en niet alleen in het menu verborgen.
• Sessies zijn aan een apparaat gekoppeld, zichtbaar in het account, en intrekbaar. Een sessie overleeft een marktdag van veertien uur zonder bereik en niet meer dan dat.
• Bewaarde tweede-factorsleutels zijn versleuteld met AES-256-GCM.

B.3 Transport en browser

Al het verkeer gaat over TLS, met HSTS. Sessiecookies zijn niet vanuit JavaScript te lezen. Er staat een streng inhoudsbeleid (CSP) op de pagina's, en het beheerdersdeel draait op een apart domein met een eigen sessie en een eigen set headers.

B.4 Misbruik afremmen

Inlogpogingen, herstelverzoeken en registraties worden geteld en geknepen. Bij herhaald mislukken volgt een tijdelijke blokkade. Op de openbare formulieren kan een anti-misbruikcontrole staan.

B.5 Wat er naar buiten gaat

Foutmeldingen en logregels gaan eerst door één schoonmaker, die wachtwoorden, sleutels, sessie- en herstelgegevens, rekeningnummers en kaartachtige getallenreeksen weghaalt, evenals hele verzoekinhouden. Een foutmelding beantwoordt "wat ging er mis", nooit "waarmee". Een gebruiker ziet nooit een technische foutmelding, alleen een verwijzingsnummer waarmee wij het terug kunnen zoeken.

B.6 Reservekopieën

Elke nacht een dump van de database, die op onze eigen server wordt versleuteld vóórdat hij ergens heen gaat. De kopie blijft op de server van de hostingpartij en staat buiten de map van de website; de sleutel staat niet op de server die hij beschermt. Kopieën ouder dan zeven dagen worden verwijderd, en pas nadat de nieuwe aantoonbaar is aangekomen. Het terugzetten is beschreven en een keer echt uitgevoerd; een reservekopie die nooit is teruggezet is er geen.

B.7 Verantwoording

Elke handeling die ertoe doet wordt vastgelegd in een controlelog waar alleen aan toegevoegd wordt. Handelingen van onze ondersteuning staan op naam van de medewerker. Geplande taken houden hun eigen uitvoering bij en slaan alarm als ze uitblijven.

B.8 Wat er niet is

Eerlijk is eerlijk:

• Er is geen ISO 27001- of SOC 2-certificering, en er is geen externe penetratietest uitgevoerd.
• De gegevens staan op gedeelde hosting, niet op een eigen server.
• De gegevens in de database zijn niet per veld versleuteld, met uitzondering van de tweede-factorsleutels. Versleuteling zit in het transport en in de reservekopieën.
• Er is geen 24-uurs bezetting. Meldingen komen bij één persoon binnen.

Bijlage C: Subverwerkers

De laatste twee worden alleen ingeschakeld wanneer zij zijn geconfigureerd; staan ze uit, dan gaat er niets heen.

De reservekopieën staan hier niet apart bij. Zij blijven op de server van de hostingpartij, buiten de map van de website — er komt dus geen vierde partij aan te pas. Verhuist die bestemming ooit naar een andere partij, dan hoort daar een regel in deze tabel bij te komen en krijg je daarvan dertig dagen van tevoren bericht, zoals artikel 7 zegt.

SumUp staat hier bewust niet bij. Pin je via SumUp, dan is dat jouw eigen contract met hen. Wij geven een bedrag door en horen of het gelukt is; kaartgegevens komen nooit bij ons langs. Zij zijn dus geen partij die wij namens jou inschakelen.

Google Analytics staat er evenmin bij: dat meet bezoek op de website marktamigo.nl en raakt de gegevens in de applicatie niet.