Verwerkersovereenkomst

In het kort. U bepaalt wat er met de gegevens uit uw administratie gebeurt; wij verwerken ze alleen om Afletter voor u te laten werken. Wij houden ze geheim, beveiligen ze, gebruiken ze nooit om AI-modellen te trainen, melden een datalek binnen 48 uur en verwijderen alles na het einde. Hieronder staat het precies, zoals artikel 28 van de Algemene verordening gegevensbescherming (AVG) vraagt.

Artikel 1. Partijen

1.1 Partijen zijn de klant van Afletter ("u", verwerkingsverantwoordelijke) en Maximilius B.V., KvK 61880493, gevestigd aan de Enschedelaan 4, 2541 CJ 's-Gravenhage, postadres Postbus 8090, 3301 CB Dordrecht, hallo@afletter.nl ("wij", verwerker).

1.2 Deze overeenkomst hoort bij de algemene voorwaarden van Afletter. Spreken die elkaar tegen over persoonsgegevens, dan gaat deze overeenkomst voor. Bent u een administratiekantoor, dan bent u verwerker voor uw klanten en zijn wij uw subverwerker; u zorgt dan voor de toestemming die uw klanten daarvoor moeten geven.

1.3 Begrippen als persoonsgegevens, verwerken, betrokkene, inbreuk in verband met persoonsgegevens (datalek) en subverwerker hebben de betekenis uit de AVG.

Artikel 2. Hoe deze overeenkomst tot stand komt

2.1 Deze overeenkomst komt tot stand op een van twee manieren:

• door uw akkoord in het portaal. Wij leggen dan vast welke versie u aanvaardde (versie-id vwo-2026-11), de datum en tijd van uw akkoord en het e-mailadres waarmee u was ingelogd;
• door ondertekening op verzoek. Mail hallo@afletter.nl; u krijgt deze tekst met dezelfde versie-id om te tekenen.

2.2 Zonder akkoord of ondertekening koppelen wij uw administratie niet en verwerken wij geen gegevens daaruit.

2.3 Wijzigt deze tekst inhoudelijk, dan krijgt hij een nieuwe versie-id en vragen wij u in het portaal opnieuw om akkoord. Tot dat akkoord blijft de versie gelden die u eerder aanvaardde, behalve voor een nieuwe subverwerker volgens artikel 8.2.

Artikel 3. Onderwerp, aard en doel

3.1 Wij verwerken persoonsgegevens alleen om Afletter te leveren: gegevens uit uw administratie in Yuki of Exact Online lezen, betalingen op bewijs aan facturen koppelen, voorstellen en vragen maken, na uw akkoord afletteren of documenten in Yuki zetten, aangeleverde en doorgestuurde documenten bewaren, opnames verwerken tot uw kennisbank, vragen in de chat van het portaal beantwoorden, een logboek en dagrapport bijhouden, en u ondersteunen.

3.2 Welke gegevens en van wie, staat in bijlage 1. Bijzondere persoonsgegevens (zoals over gezondheid) en strafrechtelijke gegevens zijn niet nodig voor Afletter. Ze kunnen hooguit toevallig in een omschrijving van een bankregel of op een factuur staan. Laat ze niet bewust in een opname zien.

3.3 Wij gebruiken de gegevens niet voor eigen doelen, verkopen ze niet en gebruiken ze nooit om AI-modellen te trainen, ook niet die van onze subverwerkers.

Artikel 4. Duur

4.1 Deze overeenkomst loopt zolang u Afletter gebruikt en daarna zolang wij nog gegevens van u hebben (artikel 13).

Artikel 5. Uw instructies

5.1 Wij verwerken de gegevens alleen op uw schriftelijke instructies. Deze overeenkomst, de algemene voorwaarden, uw akkoord op een voorstel, uw huisregels en wat u in het portaal of de chat vraagt, gelden als instructies.

5.2 Verplicht de wet ons tot een andere verwerking, dan laten wij u dat vooraf weten, tenzij de wet dat verbiedt.

5.3 Vinden wij dat een instructie in strijd is met de AVG, dan zeggen wij dat direct en hoeven wij die niet uit te voeren.

5.4 U staat ervoor in dat u de gegevens aan ons mag geven en dat u de betrokkenen hebt geïnformeerd waar dat moet.

Artikel 6. Geheimhouding

6.1 Wij houden de gegevens geheim. Alleen medewerkers die het voor hun werk aan Afletter nodig hebben, kunnen erbij, en zij zijn tot geheimhouding verplicht. Wij kijken alleen in uw gegevens als dat nodig is om u te helpen, een fout te herstellen of de beveiliging te bewaken.

Artikel 7. Beveiliging

7.1 Wij nemen passende technische en organisatorische maatregelen tegen verlies en onrechtmatige verwerking, zoals artikel 32 AVG vraagt. Welke dat nu zijn, staat in bijlage 3. Wij mogen maatregelen vervangen door maatregelen die minstens even goed beschermen.

7.2 Geen beveiliging is volmaakt. Wij beloven daarom geen volledige zekerheid, wel dat wij de maatregelen uit bijlage 3 nemen en bijhouden.

Artikel 8. Subverwerkers

8.1 U geeft ons algemene toestemming om de subverwerkers uit bijlage 2 in te schakelen. Met elke subverwerker hebben wij afspraken die minstens even streng zijn als deze overeenkomst, in de vorm van hun eigen verwerkersvoorwaarden.

8.2 Willen wij een subverwerker toevoegen of vervangen, dan zetten wij dat minstens dertig dagen vooraf op deze pagina en melden het u per mail. U mag binnen die dertig dagen met redenen bezwaar maken. Komen wij er niet uit, dan mag u Afletter opzeggen per de dag dat de wijziging ingaat.

8.3 Wij blijven tegenover u verantwoordelijk voor onze subverwerkers.

8.4 Geen subverwerkers van ons zijn: Yuki (Nmbrs) en Exact, Anthropic (Claude) en OpenAI (ChatGPT), en uw eigen mailprovider. Die schakelt u zelf in, met uw eigen account en hun eigen voorwaarden. Mollie verwerkt betalingen als eigen verantwoordelijke; daarvoor zie de privacyverklaring.

Artikel 9. Doorgifte buiten de EER

9.1 De database en de opslag van Afletter staan bij Supabase, Parijs (Frankrijk, EU). De serverfuncties die uw gegevens verwerken (ook het ontsleutelen van uw toegangssleutel) draaien bij Netlify, Frankfurt (Duitsland, EU). Wat de website snel doorgeeft (het CDN), loopt via Netlify-CDN en Cloudflare: wereldwijd. Een aantal subverwerkers is een bedrijf uit de Verenigde Staten; daardoor is toegang vanuit de VS mogelijk, of verwerken zij gegevens buiten de Europese Economische Ruimte (EER). Dat staat per subverwerker in bijlage 2.

9.2 Doorgifte buiten de EER gebeurt alleen met een geldige grondslag uit hoofdstuk V van de AVG, zoals het EU-VS Data Privacy Framework voor bedrijven die daaronder vallen, of de standaardcontractbepalingen van de Europese Commissie in de verwerkersvoorwaarden van de subverwerker.

Artikel 10. Datalekken

10.1 Ontdekken wij een datalek dat uw gegevens raakt, dan melden wij dat zonder onredelijke vertraging, en uiterlijk 48 uur na de ontdekking, per mail aan het e-mailadres van uw aanmelding.

10.2 Wij geven daarbij wat wij weten: wat er gebeurde, welke gegevens en hoeveel betrokkenen het ongeveer raakt, de waarschijnlijke gevolgen en wat wij doen om het te stoppen en de gevolgen te beperken. Wat wij later te weten komen, sturen wij na.

10.3 U beslist of u het lek meldt bij de Autoriteit Persoonsgegevens en aan de betrokkenen. Wij helpen u daarbij. Wij melden het niet zelf namens u, tenzij u daarom vraagt of de wet ons dat verplicht.

10.4 Wij houden een overzicht bij van alle datalekken bij Afletter.

Artikel 11. Hulp bij rechten en verplichtingen

11.1 Vraagt een betrokkene u om inzage, verbetering, verwijdering of een ander recht uit de AVG, dan helpen wij u daarbij binnen redelijke tijd. Krijgen wij zo'n verzoek zelf, dan sturen wij het door naar u.

11.2 Wij helpen u ook bij een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging van de Autoriteit Persoonsgegevens, met de informatie die wij hebben.

11.3 Kost die hulp meer dan een paar uur, dan mogen wij de redelijke kosten in rekening brengen, nadat wij die vooraf met u hebben afgesproken.

Artikel 12. Controle (audit)

12.1 Wij geven u op verzoek alle informatie die nodig is om te laten zien dat wij ons aan deze overeenkomst houden, zoals een beschrijving van de maatregelen en de verwerkersvoorwaarden van onze subverwerkers.

12.2 Is dat niet genoeg, dan mag u eens per jaar, of na een datalek, een controle laten doen door een onafhankelijke deskundige die tot geheimhouding verplicht is. U meldt dat minstens dertig dagen vooraf en de controle mag ons werk en de gegevens van andere klanten niet raken.

12.3 De kosten van de controle zijn voor u, tenzij blijkt dat wij ons op een wezenlijk punt niet aan deze overeenkomst hielden. Dan zijn de kosten voor ons en herstellen wij het punt.

Artikel 13. Einde: teruggeven en verwijderen

13.1 Na het einde van Afletter kunt u tot dertig dagen uw kennisbank en aangeleverde bestanden downloaden of bij ons opvragen.

13.2 Daarna verwijderen wij de persoonsgegevens die wij voor u verwerkten, uiterlijk 60 dagen na het einde. Uw toegangssleutel voor Yuki of Exact Online verwijderen wij direct bij het einde. Het logboek bewaren wij tot drie maanden na het einde, voor u en uw boekhouder, en verwijderen wij daarna. Wat de wet ons verplicht te bewaren, zoals onze eigen facturen aan u, bewaren wij zo lang als dat moet.

13.3 Ook tijdens de overeenkomst verwijderen wij een opname van scherm en stem direct na de verwerking, en uiterlijk na 7 dagen als hij niet verwerkt wordt. Een opname, het verslag ervan en uw kennis kunt u in het portaal zelf van onze server verwijderen; u kunt ook kiezen om uw kennisbank alleen in uw eigen Obsidian-kluis te bewaren.

13.4 Op uw verzoek bevestigen wij per mail dat de gegevens verwijderd zijn.

Artikel 14. Aansprakelijkheid

14.1 Voor de aansprakelijkheid onder deze overeenkomst geldt artikel 17 van de algemene voorwaarden van Afletter, voor zover de wet dat toelaat. Artikel 82 AVG over de aansprakelijkheid tegenover betrokkenen blijft gelden.

Artikel 15. Recht en geschillen

15.1 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de Rechtbank Rotterdam.

Bijlage 1. Gegevens en betrokkenen

Bijlage 2. Subverwerkers

Geen subverwerker van ons: Mollie (betalingen, Nederland) is voor de betaling zelf eigen verwerkingsverantwoordelijke. Anthropic (Claude) en OpenAI (ChatGPT) komen alleen in beeld als u Afletter zelf in Claude of ChatGPT koppelt; dat gaat via uw eigen account bij hen.

Bijlage 3. Beveiligingsmaatregelen

• Versleutelde sleutels. Uw toegangssleutel voor Yuki en de toegang tot Exact Online slaan wij versleuteld op (AES-256-GCM), met een eigen sleutel die niet in de database staat. Ze komen nooit in de chat.
• Afgeschermde database. Op elke tabel van Afletter staat beveiliging per rij aan zonder uitzonderingen; alleen onze eigen serverfuncties kunnen erbij, met een geheime sleutel die niet in de browser komt.
• Privé opslag. Bestanden en opnames staan in afgeschermde opslag, niet openbaar. Uploaden en downloaden gaat alleen met een tijdelijke, ondertekende link.
• Inloggen zonder wachtwoord. U logt in met een code per mail die tien minuten geldig is en na vijf foute pogingen vervalt. Codes, sessies en tokens bewaren wij alleen als hash, en ze worden na het verlopen opgeruimd.
• Minimale rechten. Afletter vraagt alleen de rechten die nodig zijn en kan geen betalingen doen. U kunt de toegang altijd zelf in Yuki of Exact Online intrekken.
• Logboek. Elke actie in uw administratie komt in een logboek, met tijd, bewijs en akkoord, en in het dagrapport.
• Doorstuuradres. Het adres voor facturen is niet te raden; in de database staat alleen een hash. Wij controleren de echtheid van de afzender en bewaren de mailtekst niet.
• Beveiligde verbindingen. Alle verkeer gaat versleuteld (https). Pogingen worden per gebruiker begrensd.
• Opnames. Verwerkt via een betaalde verbinding; Google gebruikt het bestand niet voor training en het wordt bij Google direct na de analyse verwijderd. De video bij ons verwijderen wij direct na de verwerking, en uiterlijk na 7 dagen als hij niet verwerkt wordt.
• Mensen. Alleen wie aan Afletter werkt, kan bij de beheeromgeving van database en hosting. Wie dat kan, is tot geheimhouding verplicht.