Verwerkers­overeenkomst

Concept – toetsing door een advocaat vereist. Deze overeenkomst is nog niet juridisch getoetst. Zij beschrijft hoe wij uw gegevens in FUBEXA ONE verwerken. De ondertekende verwerkersovereenkomst ontvangt u samen met uw overeenkomst voor FUBEXA ONE.

Deze vertaling dient uitsluitend ter informatie; bij verschillen is de Duitse versie leidend.

Partijen

Verwerkingsverantwoordelijke (‘klant’): de onderneming die met ons een overeenkomst voor FUBEXA ONE sluit (‘hoofdovereenkomst’, met onze algemene voorwaarden), ook tijdens de gratis proefperiode.

Verwerker (‘FUBEXA’, ‘wij’): FUBER LTD, 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Verenigd Koninkrijk; ingeschreven bij Companies House (England and Wales) 14783209.
Contact voor gegevensbescherming: hello@fubexa.com

§ 1 Onderwerp en duur

1. Deze overeenkomst regelt de verplichtingen van de partijen voor zover wij in het kader van de hoofdovereenkomst persoonsgegevens in opdracht van de klant verwerken (art. 28 AVG). Zij geldt voor het platform FUBEXA ONE (web en app), de koppelingen met systemen van de klant, de gratis proefperiode, de foutenscan en de support.
2. De overeenkomst begint met de hoofdovereenkomst – bij een gratis proef met het begin daarvan – en eindigt daarmee. Verplichtingen die daarna doorlopen, in het bijzonder over teruggave, verwijdering en vertrouwelijkheid, blijven gelden totdat zij zijn nagekomen.
3. Zijn deze overeenkomst en de hoofdovereenkomst met elkaar in strijd, dan gaat deze overeenkomst voor in kwesties van gegevensbescherming.

§ 2 Aard en doel van de verwerking

1. Wij stellen FUBEXA ONE als software via internet ter beschikking van de klant (software as a service). De verwerking omvat het vastleggen via de interface, de app en de koppelingen; het opslaan, ordenen, vergelijken, analyseren en weergeven; het doorgeven aan ontvangers die de klant bepaalt (bijvoorbeeld per e-mail of als export); het back-uppen en het verwijderen.
2. Het enige doel is het leveren van de overeengekomen diensten: de modules van het gekozen pakket (bijvoorbeeld Verkoop, Magazijn, Financiën, Personeel en Cockpit), de koppeling met systemen van de klant, support, gegevensback-up en de bescherming van het platform tegen misbruik.
3. JTL-Wawi en DATEV koppelen wij uitsluitend met leestoegang. Wij wijzigen daar geen gegevens.
4. Wij gebruiken de gegevens van de klant niet voor eigen doeleinden, in het bijzonder niet voor reclame, en geven ze alleen door aan de subverwerkers volgens § 8.

§ 3 Soorten persoonsgegevens

Afhankelijk van de modules die de klant gebruikt:

• Klantgegevens: naam, adres, contactgegevens, koopovereenkomsten, handtekeningen, leveringen, reclamaties;
• Medewerkersgegevens: naam, rol, filiaal en contactgegevens van de medewerkers van de klant;
• Personeelsgegevens: personeelsdossier inclusief fiscaal identificatienummer, socialeverzekeringsnummer en bankrekening (IBAN), verlof en dienstrooster;
• Tijd- en loongegevens: werktijden (in- en uitklokken), correcties en de redenen daarvoor, gegevens voor de loonvoorbereiding;
• Leveranciersgegevens: contactpersonen bij leveranciers en fabrikanten, bestellingen, orderbevestigingen;
• Betalingsgegevens: betalingen, aanbetalingen, openstaande posten, kasboek en de uit DATEV gelezen boekingen;
• Gebruikersaccounts: naam, login-e-mailadres, wachtwoord (alleen als hash), instellingen voor tweestapsverificatie, sessies, IP-adressen, apparaatgegevens en activiteitenlogs;
• Inhoud: bestanden en teksten die de klant zelf uploadt of invoert, bijvoorbeeld foto’s, pdf-documenten en berichten aan de support.

Of de klant bijzondere categorieën van persoonsgegevens (art. 9 AVG) vastlegt, bijvoorbeeld gegevens over ziektedagen, beslist hij zelf. Voor zulke gegevens gelden de maatregelen uit bijlage 1 evenzeer.

§ 4 Categorieën betrokkenen

• klanten en potentiële klanten van de klant;
• medewerkers van de klant, ook voormalige;
• gebruikers van FUBEXA ONE bij de klant;
• contactpersonen bij leveranciers, fabrikanten, dienstverleners en andere zakenpartners van de klant.

§ 5 Instructies

1. Wij verwerken de gegevens uitsluitend op basis van gedocumenteerde instructies van de klant, ook bij doorgifte naar een derde land, tenzij een op ons van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling ons daartoe verplicht. In dat geval stellen wij de klant vooraf in kennis van dat wettelijke voorschrift, tenzij die wetgeving dat om gewichtige redenen van algemeen belang verbiedt (art. 28 lid 3 onder a AVG).
2. Instructies zijn deze overeenkomst, de hoofdovereenkomst en de instellingen die de klant in FUBEXA ONE maakt, bijvoorbeeld over gebruikers, rollen, modules, koppelingen, verwijderingen en exports. Verdere instructies geeft de klant in tekstvorm, bijvoorbeeld per e-mail aan hello@fubexa.com.
3. Bevoegd om instructies te geven zijn de eigenaar van het klantaccount en de personen die hij daarvoor aanwijst.
4. Is een instructie naar ons oordeel in strijd met het gegevensbeschermingsrecht, dan wijzen wij de klant daar onverwijld op. Totdat hij de instructie bevestigt of wijzigt, mogen wij de uitvoering ervan opschorten.

§ 6 Vertrouwelijkheid

1. Alle personen die bij ons toegang hebben tot gegevens van de klant, hebben zich tot vertrouwelijkheid verplicht of zijn gebonden door een wettelijke geheimhoudingsplicht (art. 28 lid 3 onder b AVG). Deze plicht blijft gelden na het einde van hun werkzaamheden.
2. Alleen personen die toegang nodig hebben voor hun taak, krijgen die. Medewerkers van FUBEXA zien gegevens van de klant alleen in gelogde supportsessies en alleen met leestoegang (bijlage 1).

§ 7 Technische en organisatorische maatregelen

1. Wij nemen de maatregelen volgens art. 32 AVG die in bijlage 1 zijn beschreven.
2. Wij ontwikkelen de maatregelen verder in lijn met de stand van de techniek. Wij mogen ze wijzigen als het beschermingsniveau daardoor niet daalt. Wezenlijke wijzigingen documenteren wij en delen wij de klant mee.

§ 8 Subverwerkers

1. De klant geeft toestemming voor de subverwerkers die in bijlage 2 zijn genoemd.
2. Willen wij extra subverwerkers inschakelen of bestaande vervangen, dan informeren wij de klant ten minste 30 dagen vooraf in tekstvorm. De klant kan om een gewichtige reden op het gebied van gegevensbescherming bezwaar maken tegen de wijziging. Vinden wij geen oplossing, dan kan hij de hoofdovereenkomst opzeggen tegen het tijdstip van de wijziging.
3. Wij verplichten elke subverwerker contractueel tot gegevensbeschermingsverplichtingen die overeenkomen met die van deze overeenkomst (art. 28 lid 4 AVG). Wij zijn tegenover de klant aansprakelijk voor de naleving daarvan.
4. De aanbieders van de systemen van de klant, zoals JTL-Wawi, DATEV of leveranciersportalen, zijn geen subverwerkers van ons. De overeenkomsten met hen sluit de klant zelf.

§ 9 Plaats van verwerking en derde landen

1. Wij zijn gevestigd in het Verenigd Koninkrijk. De gegevens van de klant slaan wij op en verwerken wij in een datacenter van Oracle Cloud Infrastructure in Londen. Daarnaast bewaren wij een met AES-256 versleutelde back-upkopie op een door ons gehuurde server in Istanbul (Turkije); de sleutel staat daar niet en de kopie wordt na 30 dagen verwijderd (bijlagen 1 en 2).
2. De Europese Commissie heeft voor het Verenigd Koninkrijk een adequaatheidsbesluit op grond van art. 45 AVG vastgesteld; het geldt tot 27 december 2031. Vervalt het, dan spreken de partijen onverwijld passende waarborgen af op grond van art. 46 AVG, bijvoorbeeld de standaardcontractbepalingen van de Europese Commissie.
3. Naar andere derde landen geven wij gegevens alleen door als aan de voorwaarden van art. 44 tot en met 49 AVG is voldaan. Bijlage 2 vermeldt de grondslag.

§ 10 Bijstand aan de klant

1. Wij helpen de klant met passende technische en organisatorische maatregelen bij het beantwoorden van verzoeken van betrokkenen (art. 12 tot en met 22 AVG). Veel daarvan kan de klant zelf in FUBEXA ONE doen, bijvoorbeeld inzage, rectificatie, verwijdering en export.
2. Wendt een betrokkene zich rechtstreeks tot ons, dan sturen wij het verzoek onverwijld door naar de klant. Wij antwoorden de betrokkene alleen op instructie van de klant.
3. Wij helpen de klant bij zijn verplichtingen op grond van art. 32 tot en met 36 AVG (beveiliging van de verwerking, meldingen, gegevensbeschermingseffectbeoordeling, voorafgaande raadpleging), rekening houdend met de informatie waarover wij beschikken.

§ 11 Melding van datalekken

1. Een inbreuk in verband met persoonsgegevens melden wij de klant onverwijld, uiterlijk 48 uur nadat wij er kennis van hebben gekregen, in tekstvorm aan het e-mailadres van de accounteigenaar.
2. De melding bevat, voor zover bekend, de informatie volgens art. 33 lid 3 AVG. Ontbrekende informatie vullen wij aan zodra die beschikbaar is.
3. Wij nemen onverwijld maatregelen om de inbreuk te verhelpen en de gevolgen ervan te beperken, in overleg met de klant. Meldingen aan de toezichthoudende autoriteit en aan betrokkenen doet de klant; wij helpen hem daarbij.

§ 12 Gegevensexport, teruggave en verwijdering

1. De eigenaar van het klantaccount kan in FUBEXA ONE op elk moment een volledige export van de gegevens van zijn onderneming aanvragen: elke tabel als csv-bestand en elk opgeslagen bestand in het origineel. Toegangsgegevens zoals wachtwoordhashes zitten er niet in. Wij stellen de export binnen 24 uur na de aanvraag beschikbaar.
2. Eindigt de hoofdovereenkomst, dan geven wij de klant op verzoek zijn gegevens terug als export volgens lid 1. 30 dagen na het einde van de overeenkomst verwijderen wij de gegevens van de klant, tenzij opslag verplicht is op grond van Unierecht of lidstatelijk recht. Kopieën in back-ups worden verwijderd wanneer de back-ups volgens planning verlopen (bijlage 1).
3. Stoppen wij met FUBEXA ONE, dan stellen wij de volledige export volgens lid 1 ten minste 90 dagen vooraf ter beschikking van de klant.
4. Op verzoek bevestigen wij de klant de verwijdering in tekstvorm.

§ 13 Bewijs en controlerechten

1. Op verzoek stellen wij de klant alle informatie ter beschikking die nodig is om de nakoming van de verplichtingen van art. 28 AVG aan te tonen.
2. De klant, of een door hem aangewezen controleur die tot geheimhouding is verplicht, kan de naleving van deze overeenkomst na tijdige aankondiging tijdens de gebruikelijke kantooruren controleren, zonder de bedrijfsvoering onevenredig te verstoren.
3. Controles bij onze subverwerkers vallen onder hun voorwaarden. Voor zover beschikbaar leggen wij daarvoor hun certificaten en auditrapporten over.

§ 14 Aansprakelijkheid

1. Tegenover betrokkenen zijn de partijen aansprakelijk volgens art. 82 AVG.
2. In hun onderlinge verhouding draagt elke partij het deel van de schade dat overeenkomt met haar aandeel in de verantwoordelijkheid (art. 82 lid 5 AVG).
3. Voor het overige gelden de aansprakelijkheidsregels van de hoofdovereenkomst (§ 11 van de algemene voorwaarden), voor zover art. 82 AVG zich daar niet tegen verzet.

§ 15 Slotbepalingen

1. Wijzigingen en aanvullingen van deze overeenkomst moeten in tekstvorm plaatsvinden. Dat geldt ook voor het afzien van dit vormvereiste.
2. Het recht van de Bondsrepubliek Duitsland is van toepassing. Voor zover wettelijk toegestaan, is de bevoegde rechter die van de vestigingsplaats van de klant.
3. Is een bepaling van deze overeenkomst ongeldig, dan blijft de overeenkomst voor het overige geldig.

Bijlage 1: Technische en organisatorische maatregelen (art. 32 AVG)

Scheiding van klanten

• Elke onderneming heeft een eigen database met een eigen databaserol. Gegevens van verschillende klanten staan nooit in dezelfde database.
• Gedeelde tabellen van het platform, bijvoorbeeld voor accounts en facturering, zijn daarnaast per onderneming gescheiden door beveiliging op rijniveau (row level security).

Versleuteling

• Alle verbindingen met het platform zijn versleuteld (TLS).
• Gevoelige personeelsgegevens, zoals fiscaal identificatienummer, socialeverzekeringsnummer en IBAN, en toegangsgegevens voor gekoppelde systemen worden daarnaast verzegeld opgeslagen met AES-256-GCM.
• Wachtwoorden slaan wij alleen als hash op.

Toegang

• Rollen en rechten: elke gebruiker ziet en bewerkt alleen wat zijn rol toestaat. De klant kent de rollen toe.
• Tweestapsverificatie: verplicht voor medewerkers van FUBEXA, optioneel voor gebruikers van de klant.
• Bescherming tegen het raden van wachtwoorden: na 5 mislukte pogingen wordt het account 15 minuten geblokkeerd.
• Medewerkers van FUBEXA hebben alleen toegang tot gegevens van de klant in gelogde supportsessies, uitsluitend met leestoegang.

Logging en integriteit

• Aanmeldingen, mislukte pogingen, wijzigingen, exports en supporttoegang worden vastgelegd in een auditlog dat achteraf niet kan worden gewijzigd.
• Tijdregistraties kunnen niet worden gewijzigd; correcties zijn alleen met een reden mogelijk en blijven herleidbaar.

Bescherming tegen aanvallen

• Een firewall in de applicatie (WAF) herkent verdachte verzoeken, bijvoorbeeld massale inlogpogingen of aanvragen van onbekende pagina’s, en blokkeert de bron automatisch: steeds langer, en bij herhaling permanent.
• Cloudflare beschermt het platform daarnaast tegen DDoS-aanvallen.

Koppelingen

• JTL-Wawi en DATEV worden uitsluitend met leestoegang gekoppeld; wij wijzigen daar geen gegevens.

Beschikbaarheid en back-up

• Elke nacht maken wij een back-up van alle databases en opgeslagen bestanden. De nieuwste back-up wordt op de platformserver met AES-256 versleuteld en als kopie bewaard op een tweede, door ons gehuurde server in Istanbul (Turkije). De sleutel voor ontsleuteling staat alleen aan de kant van het platform, niet op die server. De kopieën in Istanbul worden na 30 dagen verwijderd.
• Is de laatste back-up ouder dan 26 uur, dan worden wij automatisch gewaarschuwd.
• Het platform draait in een datacenter van Oracle Cloud Infrastructure in Londen. De fysieke beveiliging van het datacenter verzorgt Oracle.

Verwijdering en bewaring

• Gegevens van de klant: 30 dagen na het einde van de overeenkomst verwijderd (§ 12).
• Back-ups op de platformserver: na 14 dagen verwijderd.
• Versleutelde back-upkopieën in Istanbul: na 30 dagen verwijderd.
• Exportbestanden: 7 dagen na beschikbaarstelling verwijderd.
• Logs van verzoeken aan het platform met IP-adres: na 30 dagen verwijderd.

Organisatie en evaluatie

• Medewerkers zijn tot vertrouwelijkheid verplicht (§ 6) en krijgen alleen de rechten die zij voor hun taak nodig hebben.
• Wij evalueren de maatregelen regelmatig, in het bijzonder na wijzigingen aan het platform. Geautomatiseerde tests controleren onder meer de scheiding van ondernemingen en de rechten van rollen.

Bijlage 2: Subverwerkers

De AI-assistent gebruikt standaard ons eigen taalmodel op onze servers; daarbij worden geen gegevens aan derden doorgegeven. Een externe AI-aanbieder wordt alleen na afspraak met de klant ingeschakeld en vooraf volgens § 8 aan deze bijlage toegevoegd.

Versie: concept van 18 oktober 2026