Verwerkersovereenkomst

1. Partijen en rollen

Deze verwerkersovereenkomst geldt tussen jou als klant van ESEC (de "verwerkingsverantwoordelijke") en Tirolien Nayiziga, eenmanszaak handelend onder de naam ESEC, gevestigd te Winterslagstraat 174/23, 3600 Genk, België, ingeschreven in de Kruispuntbank van Ondernemingen onder nummer 1018.852.069 (de "verwerker" of "ESEC").

Ze is van toepassing op alle persoonsgegevens die je in de ESEC-app invoert, uploadt, aanmaakt of via de app ontvangt, en die ESEC voor jou verwerkt. Ze maakt integraal deel uit van onze algemene voorwaarden (/terms) en geldt zolang ESEC die gegevens voor jou verwerkt. Wil je een ondertekend exemplaar voor je eigen dossier, mail dan naar info@esec-digital.com.

2. Onderwerp, aard, doel en duur van de verwerking

• Onderwerp: het bewaren en verwerken van je gegevens om je de ESEC-dienst te leveren.
• Aard: opslaan, ordenen, raadplegen, weergeven, berekenen, omzetten naar e-facturen, versturen en ontvangen via Peppol, exporteren en wissen.
• Doel: je facturatie en administratie, Peppol e-facturatie, samenwerking met je boekhouder en andere functies die je in de app gebruikt.
• Duur: zolang je de dienst gebruikt, plus de exporttermijn van 30 dagen na het einde van de overeenkomst.

3. Betrokkenen en soorten persoonsgegevens

• Betrokkenen: je klanten, leveranciers en hun contactpersonen, en eventueel je medewerkers of andere personen over wie je gegevens invoert.
• Persoonsgegevens: identificatie- en contactgegevens (naam, adres, e-mail, telefoon), ondernemingsgegevens (ondernemingsnummer, btw-nummer, Peppol-identificatie), factuur-, betaal- en bankgegevens (zoals IBAN en transacties) en andere gegevens die je zelf invoert, zoals notities en documenten.
• Bijzondere categorieën van persoonsgegevens (zoals gezondheidsgegevens) zijn niet nodig voor de dienst. Je voert ze niet in, tenzij dat strikt noodzakelijk en wettig is.

4. Verwerken volgens jouw instructies

ESEC verwerkt de persoonsgegevens enkel op basis van jouw schriftelijke instructies. Die instructies bestaan uit de algemene voorwaarden, deze overeenkomst en je gebruik van de functies van de app. ESEC verwerkt de gegevens niet voor eigen doeleinden. Vindt ESEC dat een instructie in strijd is met de AVG of andere regels over gegevensbescherming, dan laten we je dat meteen weten.

Moet ESEC gegevens verwerken omdat de wet dat oplegt, dan verwittigen we je daar vooraf over, tenzij de wet dat verbiedt.

5. Vertrouwelijkheid

Iedereen die bij ESEC toegang heeft tot je gegevens, is tot geheimhouding verplicht en krijgt enkel toegang als dat nodig is voor zijn of haar taak.

6. Beveiliging

ESEC neemt passende technische en organisatorische maatregelen volgens artikel 32 AVG, rekening houdend met de stand van de techniek, de kosten en de risico's. Daartoe behoren onder meer:

• versleutelde verbindingen (HTTPS/TLS);
• versleutelde opslag van de database bij onze hostingpartner, in een datacenter in de Europese Unie;
• wachtwoorden die enkel in versleutelde (gehashte) vorm worden bewaard;
• toegangsregels zodat gebruikers enkel hun eigen gegevens zien, of gegevens waartoe zij toegang kregen;
• beperkte toegang voor ESEC-medewerkers, enkel wanneer dat nodig is.

ESEC kan deze maatregelen aanpassen, op voorwaarde dat het beschermingsniveau niet daalt.

7. Subverwerkers

Je geeft ESEC een algemene toestemming om subverwerkers in te schakelen. ESEC legt hen schriftelijk dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover jou verantwoordelijk voor hun naleving. Op dit moment zijn dat:

• Supabase: database, aanmelden en bestandsopslag (database in de Europese Unie, Ierland);
• Vercel: hosting van de webapp;
• B2Brouter en Peppox: Peppol-accesspoints, enkel wanneer je Peppol gebruikt;
• Enable Banking: bankkoppeling, enkel wanneer je die activeert;
• Sentry: technische foutmeldingen uit de app;
• Expo: het afleveren van pushmeldingen in de mobiele app.

Voegen we een subverwerker toe of vervangen we er een, dan verwittigen we je minstens 30 dagen vooraf. Heb je een gegronde reden om bezwaar te maken, laat het ons dan binnen die termijn weten. Vinden we samen geen oplossing, dan kun je de overeenkomst beëindigen voor de wijziging ingaat.

8. Doorgifte buiten de Europese Economische Ruimte

Worden persoonsgegevens verwerkt buiten de Europese Economische Ruimte, dan gebeurt dat enkel met de waarborgen van hoofdstuk V van de AVG, zoals een adequaatheidsbesluit van de Europese Commissie of de standaardcontractbepalingen van de Europese Commissie.

9. Hulp bij de rechten van betrokkenen

De app laat je toe gegevens in te zien, te verbeteren, te exporteren en te wissen, zodat je zelf kunt ingaan op verzoeken van betrokkenen. Lukt dat niet zelf, dan helpt ESEC je redelijkerwijs. Richt een betrokkene zich rechtstreeks tot ESEC, dan sturen we het verzoek naar jou door.

10. Inbreuken in verband met persoonsgegevens (datalekken)

Stelt ESEC een inbreuk vast die jouw persoonsgegevens treft, dan meldt ESEC je dat zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat we de inbreuk hebben vastgesteld. We geven je daarbij de informatie die je nodig hebt om je eigen meldplicht na te komen: de aard van de inbreuk, de betrokken gegevens en personen voor zover gekend, de waarschijnlijke gevolgen en de maatregelen die we genomen hebben of voorstellen. We vullen die informatie aan zodra we meer weten.

11. Overige bijstand

ESEC helpt je, voor zover redelijk en rekening houdend met de informatie waarover we beschikken, bij een gegevensbeschermingseffectbeoordeling en bij een eventuele voorafgaande raadpleging van de Gegevensbeschermingsautoriteit.

12. Einde van de verwerking

Eindigt de overeenkomst, dan kun je je gegevens nog 30 dagen exporteren. Daarna wist ESEC ze, ook in de gewone back-ups zodra die volgens hun normale cyclus vervallen, tenzij de wet ons verplicht ze langer te bewaren. Verwijder je je account zelf, dan worden je gegevens meteen gewist.

13. Informatie en audits

ESEC stelt je de informatie ter beschikking die nodig is om aan te tonen dat we deze overeenkomst naleven. Je kunt een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte auditor, maximaal één keer per jaar en met een aankondiging van minstens 30 dagen, tenzij een inbreuk een eerdere audit rechtvaardigt. De kosten van de audit zijn voor jou, tenzij die een ernstige tekortkoming van ESEC aantoont.

14. Aansprakelijkheid en rangorde

Voor de aansprakelijkheid gelden de bepalingen van de algemene voorwaarden, voor zover de AVG dat toelaat. Zijn de algemene voorwaarden en deze verwerkersovereenkomst in strijd met elkaar over de bescherming van persoonsgegevens, dan heeft deze verwerkersovereenkomst voorrang.