Verwerkersovereenkomst

Partijen en instructies

Deze overeenkomst hoort bij de zakelijke overeenkomst tussen de klant en Freeliq B.V. voor Boekhouding, Accountancy en gekozen modules. De klant is verwerkingsverantwoordelijke voor de hier beschreven klantinhoud, of handelt als verwerker namens een verantwoordelijke die hem daartoe bevoegd heeft gemaakt. In dat laatste geval wordt Freeliq voor die verwerking subverwerker. Die rol wordt per klantrelatie vastgelegd; een kantoor is niet automatisch verantwoordelijke voor alle cliëntgegevens.

Freeliq verwerkt klantinhoud uitsluitend op gedocumenteerde instructies van de klant, waaronder bevoegde handelingen in de dienst. De instructies bepalen ook een eventuele doorgifte. Verlangt het recht een andere verwerking, dan informeert Freeliq de klant vooraf, tenzij dat wettelijk verboden is. Freeliq meldt het als een instructie volgens hem in strijd is met toepasselijk gegevensbeschermingsrecht.

Bijlage A Verwerking en duur

Onderwerp is de hosting en uitvoering van de gekozen boekhoud-, kantoor-, uren-, goedkeurings- en jaarrekeningfuncties. Handelingen zijn ontvangen, ordenen, opslaan, uitlezen, berekenen, tonen, verzenden op instructie, exporteren, archiveren en wissen. De duur volgt de dienstverlening en de overeengekomen afwikkeling na afloop, niet automatisch het moment van opzeggen.

Betrokkenen kunnen zijn: de klant als natuurlijk persoon, medewerkers en opdrachtnemers, cliëntondernemers, contactpersonen van leveranciers en afnemers, adviseurs, goedkeurders en personen die in stukken worden genoemd. Gegevens kunnen identificatie- en contactgegevens, bedrijfs-/belastinggegevens, financiële en bankgegevens, boekingen, documenten, uren, ritten, laadgegevens, correspondentie en aftekeningen omvatten. De klant bepaalt de rechtmatige inhoud. Het bestaan van vrije tekst en bijlagen betekent dat gevoelige gegevens kunnen voorkomen; partijen spreken de noodzakelijke beperkingen en maatregelen daarvoor af.

Vertrouwelijkheid en beveiliging

Freeliq beperkt toegang tot personen en leveranciers die die voor de uitvoering nodig hebben en bindt bevoegde personen aan vertrouwelijkheid. Bijlage B hieronder beschrijft de maatregelen en verantwoordelijkheden; het passende niveau wordt beoordeeld naar risico, aard en omvang van de verwerking.

De huidige technische basis omvat rollen en administratie-isolatie in Boekhouding, aanvullende databasebeveiliging, tweestapsverificatie voor daarvoor aangewezen handelingen, een auditspoor, controle van uploads en back-up/herstelprocedures. De database-isolatie die hier voor Boekhouding wordt beschreven geldt niet zonder meer op dezelfde wijze voor Uren en Identity. Alle producten gebruiken passende toegangsbeperking; producten hoeven niet identieke maatregelen te gebruiken.

De klant beheert bevoegdheden, controleert wijzigingen en houdt zijn gebruikersomgeving veilig. Deze verantwoordelijkheden nemen de zelfstandige beveiligingsverplichtingen van Freeliq niet weg.

Subverwerkers en doorgiften

Door aanvaarding van deze overeenkomst geeft de klant algemene schriftelijke toestemming voor de in Bijlage C omschreven subverwerkers voor zover zij de door de klant gekozen dienst uitvoeren. De bij aanvaarding geldende versie van de subverwerkerslijst maakt deel uit van deze overeenkomst. Voor een voorgenomen nieuwe of vervangende subverwerker informeert Freeliq de klant tijdig vooraf en geeft hij een reële mogelijkheid tot gemotiveerd bezwaar vóór inschakeling.

Partijen onderzoeken bij bezwaar een passend alternatief of het beëindigen van de betrokken verwerking. Freeliq legt de relevante verplichtingen contractueel door en blijft tegenover de klant verantwoordelijk voor de uitvoering door zijn subverwerkers volgens het toepasselijke recht.

Bijstand, incidenten en controle

Freeliq helpt, rekening houdend met de aard van de verwerking en de beschikbare informatie, bij rechtenverzoeken en de verplichtingen rond beveiliging, datalekken, DPIA's en voorafgaande raadpleging. Een aan Freeliq gericht verzoek over klantinhoud wordt zonder onnodige vertraging aan de bevoegde klant doorgegeven.

Een inbreuk op de beveiliging van persoonsgegevens wordt zonder onredelijke vertraging na kennisname aan de klant gemeld. De melding bevat de op dat moment bekende aard, gegevens/betrokkenen, gevolgen, maatregelen en een contactpunt; aanvullende informatie volgt zodra die beschikbaar is. De klant beslist over meldingen waarvoor hij verantwoordelijk is. De wettelijke 72-uurstermijn voor een melding door een verantwoordelijke is geen uitsteltermijn voor Freeliqs melding aan de klant.

Freeliq verstrekt informatie om naleving aan te tonen en werkt mee aan redelijke audits en inspecties door of namens de klant. Afspraken over planning, vertrouwelijkheid en bescherming van andere klanten mogen wettelijke controlemogelijkheden niet feitelijk uitsluiten. Kostenverdeling wordt vooraf naar aanleiding van de concrete controle afgestemd en vormt geen blokkade voor noodzakelijke wettelijke bijstand.

Afloop en wissen

Na afloop kiest de bevoegde klant voor teruggave of verwijdering, met verwijdering van bestaande kopieën voor zover geen toepasselijke wettelijke opslag vereist is. Een archiveerfunctie wordt niet zonder opdracht gelijkgesteld aan een verwijderopdracht. Freeliq helpt de klant bij de praktische export- en verwijderstappen, inclusief de bevoegdheids- en exportcontroles voor een administratie.

Na een bevestigde definitieve wisopdracht verwijdert Freeliq de betrokken klantinhoud uiterlijk binnen dertig dagen, inclusief documentback-ups, kopieën en snapshots. Tot verwijdering zijn de kopieën afgeschermd en alleen beschikbaar voor noodzakelijk herstel. Bij herstel past Freeliq eerdere wisopdrachten opnieuw toe voordat gegevens normaal worden vrijgegeven. De wettelijke opslaguitzondering wordt beperkt tot de daarvoor noodzakelijke gegevens en duur; Freeliq informeert de klant over die grondslag. Een onbeperkte bewaartoestemming of een automatische eigen fiscale bewaarplicht van Freeliq wordt hier niet aangenomen. Einde dienstverlening, noodzakelijke bewijsgegevens en verwerking voor Freeliqs eigen verplichtingen worden van elkaar onderscheiden.

Bijlage B — technische en organisatorische maatregelen

Freeliq past de maatregelen aan de risico's en de aard van de gekozen verwerking aan. Deze beschrijving is geen toezegging van een certificering, identieke inrichting van alle producten of een absolute uitsluiting van incidenten.

• Toegang: centrale authenticatie, persoonlijke accounts, rollen en controle van toegang tot administraties. Tweestapsverificatie geldt voor de aangewezen rollen en gevoelige handelingen. De klant beheert zijn gebruikers en bevoegdheden.
• Scheiding: Boekhouding controleert administratie-lidmaatschap en combineert applicatiefilters met PostgreSQL row-level security. Uren gebruikt eigen tenant- en toegangscontroles; daarvoor wordt niet dezelfde database-inrichting toegezegd.
• Verbindingen en beheer: beveiligde publieke verbindingen, beperkte servertoegang en beheerde inlogmiddelen. Geheimen worden buiten publieke broncode en klantdocumenten gehouden.
• Documenten: gecontroleerde upload- en downloadtoegang, virusscanning voor boekhouduploads en een eigen OCR-dienst binnen het interne netwerk. Door de klant gekozen e-mailroutes lopen daarnaast via de e-mailleverancier.
• Integriteit: een auditspoor voor wijzigingen in Boekhouding, onveranderlijke geboekte posten en bevoegdheidscontroles voor export en definitief wissen. De klant controleert invoer en voorgestelde resultaten.
• Continuïteit: database- en documentback-ups bij Hetzner. Databaseback-ups rouleren normaal binnen veertien dagen. De grens na een bevestigde definitieve wisopdracht is voor de betrokken klantinhoud maximaal dertig dagen, inclusief kopieën en snapshots. Bij herstel worden uitgevoerde wisopdrachten opnieuw toegepast vóór vrijgave.
• Incidenten en bijstand: meldingen via support@freeliq.com worden onderzocht; bij een persoonsgegevensincident informeert Freeliq de bevoegde klant zonder onredelijke vertraging volgens deze overeenkomst. De klant houdt zijn incidentcontact actueel en levert benodigde informatie voor onderzoek en rechtenverzoeken.

Bijlage C — subverwerkers en doorgiften

De bij deze overeenkomst behorende lijst staat op https://freeliq.com/subverwerkers/. Hetzner levert hosting en back-ups; Resend verwerkt inkomende en uitgaande e-mail. Voor gekozen AI-functies kan Anthropic worden ingeschakeld en voor externe technische monitoring Grafana Labs. De lijst specificeert taak, mogelijke gegevens en de grensoverschrijdende verwerking. Website-meting en Stripe-verwerking voor Freeliqs eigen doeleinden worden apart in de privacyverklaring beschreven.

Voor doorgiften buiten de EER moet een toepasselijk doorgifte-instrument bestaan, zoals een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie met waar nodig aanvullende maatregelen. Een gewone verwerkersovereenkomst is op zichzelf geen doorgifte-instrument. Freeliq verstrekt op verzoek informatie over de toepasselijke waarborgen.

Rangorde

Bij strijd over persoonsgegevensverwerking gaat deze overeenkomst voor de algemene voorwaarden. Wettelijke rechten en aanspraken van betrokkenen worden door afspraken tussen partijen niet beperkt. De publicatie van deze tekst wijzigt op zichzelf geen eerder gesloten overeenkomst; daarvoor gelden de toepasselijke afspraken over aanvaarding en wijzigingen.