Verwerkersovereenkomst jortt

Inleiding

Deze Verwerkersovereenkomst is onderdeel van de Hoofdovereenkomst die is gesloten tussen jortt B.V. (Hierna: “jortt”) en een natuurlijke persoon of juridische entiteit (Hierna: “Afnemer”). Samen worden Afnemer en jortt de “Partijen” genoemd.

Jortt wordt op basis van de Toepasselijke Wetgeving gekwalificeerd als verwerker en Afnemer als verwerkingsverantwoordelijke.

In deze Verwerkersovereenkomst zijn de afspraken vastgelegd met betrekking tot de verwerking van Persoonsgegevens in het kader van de Hoofdovereenkomst. Heeft Afnemer vragen over deze Verwerkersovereenkomst, neem dan contact met ons op via ons contactformulier.

De Verwerkersovereenkomst van jortt conform de AVG.

1. Definities

In deze Verwerkersovereenkomst worden een aantal begrippen gebruikt die met een hoofdletter worden aangeduid. Die begrippen krijgen de betekenis zoals hieronder vermeld:

1.1 Betrokkene: de geïdentificeerde of identificeerbare natuurlijke persoon wiens Persoonsgegevens verwerkt worden.

1.2 Datalek: een inbreuk op de beveiliging van Persoonsgegevens die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens.

1.3 Hoofdovereenkomst: De overeenkomst tussen Afnemer en jortt, op basis waarvan Afnemer gebruik maakt van de jortt applicatie en waar tevens de algemene voorwaarden van jortt op van toepassing zijn.

1.4 Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, die jortt in het kader van de Hoofdovereenkomst ten behoeve van Afnemer als Verwerkingsverantwoordelijke verwerkt.

1.5 Medewerker(s): de personen die door de Partijen worden gemachtigd voor de uitvoering van deze Verwerkersovereenkomst en die onder hun verantwoordelijkheid werken.

1.6 Subverwerker: iedere derde partij die door jortt wordt ingeschakeld om ten behoeve van jortt Persoonsgegevens te verwerken, zonder aan het rechtstreeks gezag van jortt te zijn onderworpen.

1.7 Toepasselijke Wetgeving: wetten of andere (lokale) voorschriften, verordeningen, richtlijnen of beleidslijnen, instructies of aanbevelingen van overheidsinstanties die van toepassing zijn op de verwerking van de persoonlijke gegevens, inclusief eventuele wijzigingen, vervangingen, updates of andere latere versies daarvan.

1.8 Verwerking: iedere bewerking of geheel van bewerkingen met betrekking tot Persoonsgegevens of een geheel van Persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.

1.9 Verwerkersovereenkomst: deze overeenkomst inclusief overwegingen, wijzigingen en updates.

1.10 Verwerkingsverantwoordelijke: de partij die het doel van en de middelen voor de Verwerking van Persoonsgegevens bepaalt. In deze Verwerkersovereenkomst is dat Afnemer.

1.11 Gebruiker: de natuurlijke persoon die voor zichzelf of namens Afnemer een account aanmaakt en gebruikt in de jortt applicatie. Dit kan Afnemer zelf zijn, een medewerker, of een andere persoon die Afnemer daartoe machtigt.

2. Onderwerp van deze Verwerkersovereenkomst

2.1 Deze Verwerkersovereenkomst heeft als doel uiteen te zetten onder welke voorwaarden jortt Persoonsgegevens in opdracht van Afnemer mag verwerken.

2.2 De Verwerkersovereenkomst maakt integraal deel uit van de Hoofdovereenkomst tussen Afnemer en jortt. De Hoofdovereenkomst en de Verwerkersovereenkomst bepalen gezamenlijk het onderwerp en de duur van de Verwerking.

2.3 Partijen garanderen te voldoen aan de vereisten van de Toepasselijke Wetgeving betreffende de Verwerking van Persoonsgegevens.

3. Verplichtingen van Afnemer als Verwerkingsverantwoordelijke

3.1 Afnemer stelt de Persoonsgegevens ter beschikking aan jortt en bepaalt het doel van en de middelen voor de Verwerking. Afnemer garandeert dat de Verwerking van de Persoonsgegevens, waaronder de verzameling, gebeurt overeenkomstig de relevante Toepasselijke Wetgeving.

3.2 Indien Medewerkers van Afnemer Persoonsgegevens verwerken, valt de verantwoordelijkheid voor de naleving van de Toepasselijke Wetgeving onder de verantwoordelijkheid van Afnemer.

4. Toegestane Verwerkingen

4.1 Jortt verbindt zich ertoe enkel Persoonsgegevens te verwerken voor rekening van Afnemer, met als doel het aanbieden van een online boekhoud applicatie voor Afnemer en de ondersteuning bij het gebruik daarvan, zoals tevens omschreven in de Hoofdovereenkomst. Verwerking vindt enkel plaats op instructie van Afnemer.

4.2 Jortt verwerkt de volgende soorten Persoonsgegevens:

• Naam
• Adres
• E-mail
• Telefoonnummer
• Financiële gegevens en bankgegevens, waaronder de transactiegegevens uit een gekoppelde bankrekening
• KvK-nummer en btw-identificatienummer, voor zover die tot een natuurlijke persoon herleidbaar zijn, bijvoorbeeld bij een eenmanszaak
• Documenten en bijlagen die Afnemer of een Gebruiker uploadt, zoals bonnen, contracten en correspondentie, en de Persoonsgegevens die daarin voorkomen
• Loggegevens over handelingen in de administratie, waaronder het tijdstip en het IP-adres van de Gebruiker die de handeling verrichtte

Salarisadministratie

Voor zover Afnemer gebruikmaakt van de salarisadministratie-module van jortt, verwerkt jortt daarnaast de volgende Persoonsgegevens van werknemers van Afnemer:

• Geboortedatum
• Burgerservicenummer (BSN)
• Bankrekeningnummer (IBAN)
• Privé e-mailadres en telefoonnummer
• Kopie identiteitsbewijs
• Dienstverband- en arbeidscontractgegevens, waaronder functie, startdatum, contracturen en type arbeidsovereenkomst
• Loonheffingskorting
• Salaris- en looncomponentgegevens, waaronder loon, reiskostenvergoeding, bijtelling auto van de zaak, vakantiegeld en pensioenopbouw
• Loonstrookgegevens, waaronder bruto- en nettoloon
• Verzuim- en ziekteregistratie
• Indicatie loonkostenvoordeel
• Declaratiegegevens
• Kilometerdeclaraties, waaronder het begin- en eindadres van een rit, de datum en het aantal gereden kilometers

Onder deze gegevens vallen categorieën waarvoor de Toepasselijke Wetgeving aanvullende eisen stelt: de verzuim- en ziekteregistratie kan gegevens over de gezondheid van een werknemer bevatten, en voor het Burgerservicenummer en een kopie van het identiteitsbewijs gelden eigen wettelijke regels. Afnemer bepaalt als Verwerkingsverantwoordelijke welke van deze gegevens worden vastgelegd en of daarvoor een grondslag bestaat. Jortt verwerkt ze uitsluitend voor de uitvoering van de salarisadministratie.

4.3 Deze Persoonsgegevens hebben betrekking op de volgende categorieën van Betrokkenen:

• Klanten van Afnemer;
• Voormalig klanten van Afnemer;
• Leveranciers van Afnemer;
• Voormalig leveranciers van Afnemer;
• Debiteuren en crediteuren van Afnemer;
• Betrokkenen in dienst of werkzaam bij/voor Afnemer;
• Tegenrekeninghouders van transacties op een aan de jortt applicatie gekoppelde bankrekening.

4.4 Voor de uitvoering van de Hoofdovereenkomst kan jortt de Persoonsgegevens aan de volgende Verwerkingen onderwerpen: Verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, combineren, afschermen, wissen of vernietigen.

4.5 Is jortt van oordeel dat een instructie van Afnemer in strijd is met de Toepasselijke Wetgeving, dan stelt jortt Afnemer daarvan onverwijld op de hoogte. Jortt mag de uitvoering van die instructie opschorten totdat Afnemer deze heeft bevestigd of aangepast.

5. Gegevensverwerking

5.1 Jortt mag enkel de Persoonsgegevens verwerken die strikt noodzakelijk zijn voor de uitvoering van de Hoofdovereenkomst. Jortt heeft geen zeggenschap over het doel van de Verwerking van Persoonsgegevens.

5.2 Jortt zal de Persoonsgegevens uitsluitend bekendmaken aan Medewerkers en/of Subverwerkers die (noodzakelijkerwijs) toegang hebben tot de Persoonsgegevens voor de uitvoering van de verplichtingen onder de Hoofdovereenkomst, tenzij anders vereist door de Toepasselijke Wetgeving. Jortt informeert zijn Medewerkers over de verplichtingen van deze Verwerkersovereenkomst.

5.3 Indien noodzakelijk voor de uitvoering van Hoofdovereenkomst, kan jortt overgaan tot het maken van back-ups. De Persoonsgegevens op back-ups genieten dezelfde bescherming als de originele Persoonsgegevens.

5.4 De dienst draait bij Amazon Web Services (AWS) in de regio Europa (Frankfurt), met een tweede locatie in Nederland voor redundantie en back-ups. Daar staat de administratie van Afnemer opgeslagen. Jortt streeft ernaar alle Verwerkingen zoveel mogelijk binnen Europa te laten plaatsvinden, met de voorkeur voor de Europese Economische Ruimte (EER), en kiest bij AWS daarom steeds voor regio’s in Europa. Europa is daarbij ruimer dan de EER: het Verenigd Koninkrijk en Zwitserland vallen buiten de EER, maar de Europese Commissie heeft vastgesteld dat de bescherming van Persoonsgegevens daar passend is. Dit is een inspanning en geen garantie. Jortt kan niet uitsluiten dat bij AWS of een andere Subverwerker Persoonsgegevens buiten Europa worden verwerkt, of dat er van buiten Europa toegang toe is. Voor de AI-chat in de jortt applicatie geldt dat in ieder geval: die werkt met wereldwijde routering, zie artikel 6.4. Wordt een Persoonsgegeven buiten de EER verwerkt, dan gebeurt dat uitsluitend op basis van een geldig doorgiftemechanisme onder de Toepasselijke Wetgeving, zoals een adequaatheidsbesluit of de modelcontractbepalingen van de Europese Commissie.

5.5 Koppelt Afnemer een bankrekening aan de jortt applicatie, dan ontvangt jortt de transactiegegevens van die rekening rechtstreeks van de bank, op grond van een eigen vergunning als rekeninginformatiedienst van De Nederlandsche Bank en zonder tussenkomst van een derde partij. Die transactiegegevens bevatten ook Persoonsgegevens van tegenrekeninghouders. Op deze dienst is naast deze Verwerkersovereenkomst de wetgeving van toepassing die voor rekeninginformatiediensten geldt.

6. Subverwerkers

6.1 Afnemer geeft jortt algemene toestemming om bij de uitvoering van de Hoofdovereenkomst gebruik te maken van Subverwerkers. De Subverwerkers die jortt op dit moment inschakelt, staan in artikel 6.4.

6.2 Jortt waarborgt dat met ingeschakelde Subverwerkers dezelfde waarborgen inzake gegevensbescherming worden overeengekomen, als uiteengezet in deze Verwerkersovereenkomst.

6.3 Jortt blijft volledig verantwoordelijk ten aanzien van Afnemer voor de naleving door de Subverwerker van haar verplichtingen. Jortt blijft voor Afnemer te allen tijde het aanspreekpunt.

6.4 De partijen die jortt op dit moment inschakelt, en waarvoor. Deze partijen verwerken Persoonsgegevens uit de administratie die Afnemer in jortt bijhoudt en zijn Subverwerkers in de zin van deze Verwerkersovereenkomst:

Deze partijen zien alleen het bezoek aan de website, of wat Afnemer zelf aan jortt doorgeeft. Zij kunnen niet bij de administratie van Afnemer en zijn geen Subverwerker in de zin van deze Verwerkersovereenkomst:

Jortt vervangt Mailchimp door Customer.io. Zolang die overgang loopt staan beide partijen in de lijst; zodra Mailchimp niet meer wordt ingeschakeld, vervalt die regel.

Verwerkt een van deze partijen Persoonsgegevens buiten de Europese Economische Ruimte, of kan zij daar toegang toe krijgen, dan gebeurt dat uitsluitend op de manier die in artikel 5.4 staat. Welke cookies de partijen uit de tweede tabel plaatsen, en met welke bewaartermijn, staat in de cookieverklaring; die wordt automatisch bijgewerkt en is daarmee altijd de meest actuele lijst.

6.5 Voegt jortt een Subverwerker toe of vervangt jortt er een, dan informeert jortt Afnemer daarover ten minste 30 dagen voordat de wijziging ingaat. Afnemer kan binnen die termijn op redelijke gronden bezwaar maken tegen de nieuwe Subverwerker. Komen Partijen er samen niet uit, dan kan Afnemer de Hoofdovereenkomst opzeggen, in afwijking van artikel 12.2. Op die opzegging is artikel 3 van de algemene voorwaarden van toepassing: een Maandabonnement eindigt per de eerstvolgende kalendermaand, en een Jaarabonnement loopt door tot het einde van de betaalde periode, waarbij vooruitbetaalde Vergoeding niet wordt terugbetaald.

7. Vertrouwelijkheid

7.1 Jortt is gehouden tot een vertrouwelijkheidsplicht ten aanzien van de Persoonsgegevens die in opdracht van Afnemer worden verwerkt. Deze geheimhoudingsplicht geldt onverkort voor de Medewerkers van jortt en voor eventuele Subverwerkers. Ook na het beëindigen van de Verwerkersovereenkomst blijft de vertrouwelijkheidsplicht voortduren.

7.2 Deze vertrouwelijkheidsplicht geldt niet wanneer jortt door de toezichthoudende autoriteit, een wettelijke bepaling of een rechterlijk bevel verplicht wordt deze Persoonsgegevens mede te delen, wanneer de informatie openbaar bekend is en wanneer de gegevensverstrekking plaatsvindt in opdracht van Afnemer.

8. Veiligheidsmaatregelen

8.1 Jortt neemt de vereiste passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen zodat de Verwerking aan de Toepasselijke Wetgeving voldoet en de rechten van Betrokkenen zijn gewaarborgd.

8.2 Het beschermingsniveau wordt op de risico’s afgestemd, rekening houdend met de stand van de techniek, de kosten van implementatie en de aard, omvang, context en doeleinden van de verwerking.

8.3 Jortt is verantwoordelijk voor het aanbrengen en/of wijzigen van het beschermingsniveau als dit noodzakelijk wordt geacht of vereist door de wet.

8.4 Indien en voor zover Afnemer daarom uitdrukkelijk verzoekt, kan jortt aanvullende maatregelen treffen met het oog op de beveiliging van de Persoonsgegevens. Eventuele extra kosten komen voor rekening van Afnemer, tenzij anders is overeengekomen.

8.5 Welke maatregelen jortt op dit moment treft, staat beschreven op beveiliging en betrouwbaarheid: onder meer versleuteling van de Persoonsgegevens in opslag en tijdens transport, authenticatie en autorisatie op elk systeem, logging en monitoring, back-ups met beproefde herstelprocedures, een redundant opgestelde infrastructuur, en de fysieke en netwerkbeveiliging van het datacenter met de certificeringen van de datacenterleverancier. Die beschrijving volgt de maatregelen zoals jortt die op grond van artikel 8.3 aanpast.

8.6 Voor de Persoonsgegevens uit artikel 4.2 waarvoor de Toepasselijke Wetgeving aanvullende eisen stelt, waaronder het Burgerservicenummer, een kopie van het identiteitsbewijs en gegevens die betrekking kunnen hebben op de gezondheid van een werknemer, stemt jortt het beschermingsniveau af op het hogere risico dat aan die gegevens verbonden is.

9. Melding van een Datalek

9.1 Stelt jortt een Datalek vast, dan meldt jortt dat onverwijld aan Afnemer, en in elk geval binnen 48 uur na de vaststelling. In die melding wordt ten minste het volgende omschreven of meegedeeld:

• De aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van de categorieën van Betrokkenen en de Persoonsgegevens in kwestie;
• De waarschijnlijke gevolgen van het Datalek in verband met Persoonsgegevens;
• De maatregelen die jortt neemt om het Datalek aan te pakken, waaronder, in voorkomend geval, de maatregelen om de eventuele nadelige gevolgen daarvan te beperken.

9.2 Jortt informeert Afnemer ook na een melding op basis van het vorige artikel over de ontwikkelingen betreffende het vastgestelde Datalek.

9.3 Afnemer beoordeelt zelf of de toezichthoudende autoriteit en de Betrokkenen over een Datalek worden geïnformeerd.

9.4 Partijen dragen beide de door henzelf gemaakte kosten in verband met een melding aan de toezichthoudende autoriteit en/of Betrokkene.

9.5 Meldingen op grond van dit hoofdstuk en andere vragen over de Verwerking van Persoonsgegevens lopen via de Functionaris voor de Gegevensbescherming van jortt, bereikbaar op fg@jortt.nl. Afnemer kan een vermoed Datalek langs dezelfde weg bij jortt melden.

10. Verzoeken van Betrokkenen of overheidsinstanties

10.1 Jortt verleent Afnemer zoveel mogelijk bijstand bij verzoeken van Betrokkenen. In het geval dat een Betrokkene een dergelijk verzoek richt aan jortt, wordt het verzoek doorgestuurd aan Afnemer. Afnemer handelt verzoeken af, tenzij expliciet anders overeengekomen.

10.2 Jortt verleent Afnemer zoveel mogelijk bijstand bij het beantwoorden van verzoeken van overheidsinstanties.

10.3 Voor de uitvoering van artikel 10.1 en 10.2 worden de door jortt gemaakte kosten door Afnemer vergoed, tenzij anders is overeengekomen.

11. Informatieverplichting en Audit

11.1 Jortt stelt alle informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit deze Verwerkersovereenkomst zijn en worden nagekomen.

11.2 Afnemer kan eenmaal per jaar op eigen kosten een audit of gegevensbeschermingseffectbeoordeling uit (laten) voeren, en daarnaast na een Datalek dat de Persoonsgegevens van Afnemer raakt of wanneer de toezichthoudende autoriteit daarom vraagt. Jortt verleent daaraan alle benodigde medewerking. Afnemer kondigt een audit ten minste 30 dagen van tevoren aan en voert die zo uit dat de dienstverlening zo min mogelijk wordt verstoord. De kosten die jortt zelf voor een audit maakt, worden door Afnemer vergoed; jortt begroot die kosten vooraf en brengt niet meer in rekening dan die begroting, tenzij Afnemer met een hoger bedrag instemt.

11.3 Jortt verleent Afnemer, rekening houdend met de aard van de Verwerking en de informatie waarover jortt beschikt, de bijstand die redelijkerwijs nodig is bij een voorafgaande raadpleging van de toezichthoudende autoriteit naar aanleiding van een gegevensbeschermingseffectbeoordeling.

12. Duur en einde van de overeenkomst

12.1 De Verwerkersovereenkomst treedt in werking op het moment waarop deze door Afnemer is aanvaard en wordt aangegaan voor de duur van de Hoofdovereenkomst.

12.2 Partijen kunnen de Verwerkersovereenkomst niet tussentijds opzeggen. Artikel 6.5 kent hierop één uitzondering.

12.3 De Verwerkersovereenkomst eindigt nadat en voor zover jortt alle Persoonsgegevens overeenkomstig artikel 12.4 heeft gewist.

12.4 Na beëindiging van de Hoofdovereenkomst blijven de Persoonsgegevens beschikbaar gedurende de wettelijke bewaartermijn voor administraties, op dit moment zeven jaar, zodat Afnemer aan de eigen bewaarplicht kan voldoen en ook na beëindiging bij de administratie kan. Jortt bewaart de Persoonsgegevens niet langer dan voor dat doel nodig is. Wil Afnemer de Persoonsgegevens eerder laten wissen, dan kan Afnemer het account verwijderen; jortt wist de Persoonsgegevens dan direct, behoudens de gegevens die jortt op grond van een eigen wettelijke verplichting moet bewaren. Back-ups en kopieën volgen de bewaartermijn van de Persoonsgegevens waarop zij betrekking hebben en worden uiterlijk 90 dagen na het wissen daarvan permanent verwijderd.

12.5 In de terugbezorging van de Persoonsgegevens wordt voorzien, doordat Afnemer tot het moment van beëindiging van de Hoofdovereenkomst de mogelijkheid behoudt om Persoonsgegevens te exporteren uit de jortt applicatie door middel van een financiële auditfile.

13. Algemene bepalingen

13.1 Deze Verwerkersovereenkomst is onderdeel van de Hoofdovereenkomst. De rechten en verplichtingen die voortvloeien uit de Hoofdovereenkomst en de algemene voorwaarden van jortt zijn daarom ook van toepassing op de Verwerkersovereenkomst.

13.2 Bij eventuele tegenstrijdigheden tussen de bepalingen in de Verwerkersovereenkomst en de Hoofdovereenkomst, gelden de bepalingen uit deze Verwerkersovereenkomst voor zover de bepalingen specifiek betrekking hebben op de Verwerking van Persoonsgegevens.

13.3 Deze overeenkomst vervangt alle voorgaande of bestaande afspraken tussen de partijen met betrekking tot de verwerking van Persoonsgegevens. Deze overeenkomst kan enkel schriftelijk gewijzigd worden.

13.4 Overeenkomstig de algemene voorwaarden van jortt is ook op de Verwerkersovereenkomst het Nederlandse recht van toepassing en geschillen worden aanhangig gemaakt bij de rechtbank Midden-Nederland.