Verwerkersovereenkomst
Laatst bijgewerkt: 10 november 2026
Deze overeenkomst maakt deel uit van de algemene voorwaarden tussen jouw organisatie ("verwerkingsverantwoordelijke") en MVdW-Software, Maxim Van de Wynckel, Draaiersstraat 33, 9300 Aalst, Belgium, btw BE 0729.544.225 ("verwerker"). Ze geldt voor persoonsgegevens die de apps van het app-platform van MVdW-Software dat verbinding maakt met Exact Online voor de verwerkingsverantwoordelijke verwerken, in diens Exact Online-administraties en in andere systemen die hij koppelt, en voldoet aan artikel 28 AVG.
1. Onderwerp, aard en duur
De verwerker haalt de gegevens van de verwerkingsverantwoordelijke op, zet ze om, synchroniseert ze en levert ze af aan de systemen en apps die de verwerkingsverantwoordelijke autoriseert, zodat de apps hun gedocumenteerde functies kunnen uitvoeren. De verwerking duurt zolang de verwerkingsverantwoordelijke een app gebruikt en eindigt zoals bepaald in artikel 11.
2. Categorieën van gegevens en betrokkenen
- Betrokkenen: contactpersonen, klanten, leveranciers, werknemers en gebruikers van de verwerkingsverantwoordelijke.
- Gegevens: namen, contactgegevens, btw-nummers, facturen en boekhoudgegevens en, afhankelijk van de app, project-, tijds- en gebruikersgegevens. De documentatie van elke app vermeldt wat ze gebruikt. De verwerkingsverantwoordelijke beslist welke categorieën hij koppelt en koppelt geen bijzondere categorieën van gegevens tenzij nodig en rechtmatig.
3. Instructies
De verwerker verwerkt persoonsgegevens enkel op gedocumenteerde instructies van de verwerkingsverantwoordelijke: deze voorwaarden, de configuratie van apps, rechten, API-sleutels en geautoriseerde assistenten, en de verzoeken die ermee worden gedaan. De verwerker verwittigt de verwerkingsverantwoordelijke als hij van mening is dat een instructie de gegevensbeschermingswetgeving schendt.
4. Vertrouwelijkheid
Iedereen met toegang is gebonden aan vertrouwelijkheid, en toegang is beperkt tot wat nodig is om de dienst te laten draaien, te ondersteunen en te beveiligen.
5. Beveiliging
De verwerker neemt passende technische en organisatorische maatregelen, beschreven op de beveiligingspagina en in de bijlage: minimale rechten en rechten per app, beveiligde aanmelding met tweestapsverificatie voor organisatie-eigenaars, versleuteling van opgeslagen toegangsgegevens en caches en van gegevens onderweg, een auditlogboek en regelmatige kwetsbaarheidsscans.
6. Opslag
De verwerker slaat de bedrijfsgegevens van de verwerkingsverantwoordelijke niet op, behalve wat een app nodig heeft om te werken zoals gedocumenteerd en optionele, versleutelde caches van beperkte duur die de verwerkingsverantwoordelijke beheert en die bij uitschakelen worden gewist.
7. Subverwerkers
De verwerkingsverantwoordelijke geeft algemene toestemming voor de subverwerkers die worden ingezet om het platform te laten draaien: een hostingpartij in de EU en een dienst voor e-mailverzending. De actuele lijst is op aanvraag beschikbaar. De verwerker legt hen dezelfde gegevensbeschermingsverplichtingen op, blijft voor hen verantwoordelijk en kondigt toevoegingen of vervangingen minstens 30 dagen vooraf aan; de verwerkingsverantwoordelijke kan om redelijke redenen bezwaar maken, waarna de partijen een oplossing zoeken of de verwerkingsverantwoordelijke kan opzeggen.
8. Doorgiften
De verwerking vindt plaats in de Europese Economische Ruimte. Een doorgifte elders gebeurt enkel met de waarborgen van hoofdstuk V AVG.
9. Bijstand
De verwerker staat de verwerkingsverantwoordelijke met redelijke inspanning bij, rekening houdend met de aard van de verwerking, bij verzoeken van betrokkenen, beveiliging, gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen. Verzoeken die rechtstreeks van betrokkenen binnenkomen, worden doorgegeven aan de verwerkingsverantwoordelijke.
10. Datalekken
De verwerker meldt een inbreuk op persoonsgegevens die de gegevens van de verwerkingsverantwoordelijke raakt zonder onredelijke vertraging nadat hij ervan op de hoogte is, met de informatie die nodig is om de meldingsplichten na te komen.
11. Einde van de verwerking
Wanneer de verwerkingsverantwoordelijke zijn organisatie verwijdert of de overeenkomst eindigt, wist de verwerker de koppelingen, tokens, sleutels en caches. Het auditlogboek wordt daarna nog 30 dagen bewaard voor de beveiliging en dan gewist. Facturen en boekhoudgegevens worden bewaard zoals de wet vereist. Op verzoek vóór de verwijdering kan de verwerkingsverantwoordelijke zijn gegevens via de eigen interfaces van de apps verkrijgen.
12. Audits
De verwerker verstrekt de informatie die nodig is om de naleving aan te tonen en laat redelijke audits toe door de verwerkingsverantwoordelijke of een door hem aangestelde auditor, vooraf aangekondigd, tijdens de kantooruren, zonder de werking te verstoren en onder geheimhouding.
13. Verdere ontvangers
Systemen en AI-diensten die de verwerkingsverantwoordelijke aan een app koppelt, zijn zijn ontvangers en geen subverwerkers van de verwerker; de verwerkingsverantwoordelijke is voor hen verantwoordelijk.
14. Maatwerkdiensten
Vereist een project andere of ruimere verwerking, dan leggen de partijen dat schriftelijk vast.
15. Aansprakelijkheid, voorrang en recht
De aansprakelijkheid wordt beheerst door de algemene voorwaarden. Bij strijd tussen deze overeenkomst en de voorwaarden over persoonsgegevens, primeert deze overeenkomst. Belgisch recht is van toepassing.
Bijlage: beveiligingsmaatregelen
- Toegangscontrole: rechten per app en per administratie, standaard geen toegang, afzonderlijke rechten voor wijzigen en verwijderen.
- Authenticatie: beveiligde wachtwoorden, vertraging bij mislukte pogingen, tweestapsverificatie voor organisatie-eigenaars.
- Versleuteling: opgeslagen toegangsgegevens, tokens en caches zijn versleuteld; al het verkeer is onderweg versleuteld.
- Minimalisatie: gegevens worden doorgegeven; kortlevende toegang voor apps; toegangssleutels worden één keer getoond.
- Logging: auditlogboek van aanmeldingen, rechtenwijzigingen, koppelingen en geweigerde verzoeken.
- Werking: hosting in de EU, afgeschermde en geïsoleerde diensten, regelmatige kwetsbaarheidsscans en updates.