Verwerkersovereenkomst (AVG artikel 28)

Artikel 1

Article 1

Definities en toepasselijkheid

Definitions and applicability

In deze verwerkersovereenkomst wordt verstaan onder:

In this data processing agreement, the following definitions apply:

• AVG: de Algemene Verordening Gegevensbescherming (EU) 2016/679.
• Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.
• Verwerking: elke bewerking van persoonsgegevens, zoals verzamelen, opslaan, raadplegen en verstrekken.
• Verwerkingsverantwoordelijke: de cliënt, die het doel en de middelen van de verwerking bepaalt.
• Verwerker: Solveo Administraties, die persoonsgegevens verwerkt in opdracht van de cliënt.
• Betrokkene: de natuurlijke persoon op wie de persoonsgegevens betrekking hebben.
• Datalek: een inbreuk in verband met persoonsgegevens als bedoeld in artikel 4 lid 12 AVG.

• GDPR: the General Data Protection Regulation (EU) 2016/679.
• Personal data: any information relating to an identified or identifiable natural person.
• Processing: any operation performed on personal data, such as collecting, storing, consulting and disclosing.
• Data controller: the client, who determines the purpose and means of the processing.
• Processor: Solveo Administraties, which processes personal data on behalf of the client.
• Data subject: the natural person to whom the personal data relates.
• Data breach: a breach of personal data as referred to in article 4(12) GDPR.

Deze verwerkersovereenkomst is van toepassing op alle verwerkingen van persoonsgegevens die Solveo Administraties uitvoert in het kader van de dienstverlening aan de cliënt, zoals omschreven in de opdrachtbevestiging of offerte. Bij aanvang van iedere opdracht wordt deze overeenkomst door beide partijen ondertekend, waarbij de gegevens van de cliënt als verwerkingsverantwoordelijke worden vastgelegd.

This data processing agreement applies to all processing of personal data carried out by Solveo Administraties in the context of its services to the client, as described in the engagement letter or quotation. At the start of each assignment, this agreement is signed by both parties, recording the client's details as data controller.

Artikel 2

Article 2

Onderwerp, doel en duur van de verwerking

Subject matter, purpose and duration of processing

Solveo Administraties verwerkt persoonsgegevens uitsluitend ten behoeve van de volgende doeleinden, in opdracht van de cliënt:

Solveo Administraties processes personal data solely for the following purposes, on behalf of the client:

• Het voeren van de financiële administratie, boekhouding en jaarrekening;
• Het verzorgen van belastingaangiften (BTW, IB, VPB) bij de Belastingdienst;
• Het verwerken van loonadministratie en salarisstroken (indien van toepassing);
• Het opstellen van financiële rapportages en managementinformatie;
• Overige werkzaamheden zoals overeengekomen in de opdrachtbevestiging.

• Maintaining the financial administration, bookkeeping and annual accounts;
• Filing tax returns (VAT, income tax, corporate tax) with the Dutch Tax Authority;
• Processing payroll administration and payslips (where applicable);
• Preparing financial reports and management information;
• Other activities as agreed in the engagement letter.

De verwerking vindt uitsluitend plaats gedurende de looptijd van de overeenkomst tussen partijen. Na beëindiging worden persoonsgegevens bewaard conform de wettelijke bewaarplichten (fiscaal: 7 jaar; Wwft: 5 jaar) en daarna vernietigd.

Processing takes place solely for the duration of the agreement between the parties. After termination, personal data is retained in accordance with statutory retention obligations (tax: 7 years; Wwft: 5 years) and subsequently destroyed.

Artikel 3

Article 3

Categorieën persoonsgegevens en betrokkenen

Categories of personal data and data subjects

In het kader van de dienstverlening worden de volgende categorieën persoonsgegevens verwerkt:

In the context of the services, the following categories of personal data are processed:

Artikel 4

Article 4

Verplichtingen van de verwerker

Obligations of the processor

Solveo Administraties verplicht zich tot het volgende:

Solveo Administraties undertakes the following:

• Verwerking uitsluitend op basis van gedocumenteerde instructies van de cliënt, tenzij wettelijk anders vereist;
• Geheimhouding van alle persoonsgegevens door alle personen die toegang hebben tot de gegevens;
• Passende technische en organisatorische beveiligingsmaatregelen conform artikel 32 AVG;
• Geen inschakeling van subverwerkers zonder voorafgaande schriftelijke toestemming van de cliënt;
• Bijstand aan de cliënt bij het nakomen van verplichtingen jegens betrokkenen (inzage, rectificatie, verwijdering);
• Melding van een datalek aan de cliënt binnen 48 uur na ontdekking;
• Na afloop van de verwerkingsdiensten: persoonsgegevens retourneren of vernietigen conform instructie van de cliënt;
• Medewerking aan audits en inspecties door de cliënt of een door de cliënt aangewezen auditor.

• Processing solely based on documented instructions from the client, unless otherwise required by law;
• Confidentiality of all personal data by all persons with access to the data;
• Appropriate technical and organisational security measures in accordance with article 32 GDPR;
• No engagement of sub-processors without the client's prior written consent;
• Assistance to the client in fulfilling obligations towards data subjects (access, rectification, erasure);
• Notification of a data breach to the client within 48 hours of discovery;
• After the end of the processing services: returning or destroying personal data as instructed by the client;
• Cooperation with audits and inspections by the client or an auditor appointed by the client.

Artikel 5

Article 5

Beveiliging

Security

Solveo Administraties neemt de volgende beveiligingsmaatregelen (conform artikel 32 AVG):

Solveo Administraties takes the following security measures (in accordance with article 32 GDPR):

• Versleutelde opslag van digitale persoonsgegevens;
• Toegangsbeveiliging met sterke wachtwoorden en waar mogelijk twee-factor-authenticatie;
• Regelmatige back-ups op beveiligde locaties binnen de EU;
• Toegangsbeperking: alleen geautoriseerde personen hebben toegang tot persoonsgegevens;
• Bewustwordingstraining over privacy en gegevensbescherming.

• Encrypted storage of digital personal data;
• Access security with strong passwords and, where possible, two-factor authentication;
• Regular backups stored at secure locations within the EU;
• Restricted access: only authorised persons have access to personal data;
• Awareness training on privacy and data protection.

Artikel 6

Article 6

Subverwerkers

Sub-processors

Solveo Administraties maakt voor de uitvoering van haar diensten gebruik van de volgende subverwerkers:

Solveo Administraties uses the following sub-processors for the performance of its services:

Met alle subverwerkers is een verwerkersovereenkomst gesloten. Alle verwerking vindt plaats binnen de EU/EER.

A data processing agreement has been concluded with all sub-processors. All processing takes place within the EU/EEA.

Artikel 7

Article 7

Rechten van betrokkenen

Rights of data subjects

Indien een betrokkene een verzoek indient (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid of bezwaar), informeert Solveo Administraties de cliënt hierover onmiddellijk. Solveo Administraties verleent op verzoek bijstand aan de cliënt bij de afhandeling, voor zover dit binnen de verwerkingsopdracht valt.

If a data subject submits a request (access, rectification, erasure, restriction, portability or objection), Solveo Administraties will immediately inform the client. Upon request, Solveo Administraties will assist the client with handling the request, to the extent this falls within the processing assignment.

Artikel 8

Article 8

Datalekken

Data breaches

Bij een (vermoeden van een) datalek handelt Solveo Administraties als volgt:

In the event of a (suspected) data breach, Solveo Administraties will act as follows:

• Melding aan de cliënt binnen 48 uur na ontdekking, met beschrijving van de aard van het lek, de betrokken gegevens en de genomen maatregelen;
• Zo nodig assistentie bij de melding aan de Autoriteit Persoonsgegevens (meldplicht bij de cliënt indien risico voor betrokkenen);
• Documentatie van het datalek en de genomen maatregelen in het interne datalekregister.

• Notification to the client within 48 hours of discovery, describing the nature of the breach, the data involved and the measures taken;
• If necessary, assistance with the notification to the Dutch Data Protection Authority (the notification obligation rests with the client if there is a risk to data subjects);
• Documentation of the data breach and the measures taken in the internal data breach register.

Artikel 9

Article 9

Aansprakelijkheid

Liability

Solveo Administraties is aansprakelijk voor schade die het gevolg is van verwerking in strijd met deze verwerkersovereenkomst of de AVG, voor zover die schade aan Solveo Administraties is toe te rekenen. De aansprakelijkheid is beperkt conform de Algemene Voorwaarden van Solveo Administraties.

Solveo Administraties is liable for damages resulting from processing in violation of this data processing agreement or the GDPR, to the extent that such damage is attributable to Solveo Administraties. Liability is limited in accordance with the General Terms and Conditions of Solveo Administraties.

Artikel 10

Article 10

Duur en beëindiging

Duration and termination

Deze verwerkersovereenkomst is onlosmakelijk verbonden aan de hoofdovereenkomst en eindigt automatisch bij beëindiging daarvan. Na beëindiging vernietigt Solveo Administraties alle persoonsgegevens, tenzij wettelijke bewaarplichten van toepassing zijn. Op verzoek van de cliënt wordt een schriftelijke bevestiging van de vernietiging verstrekt.

This data processing agreement is inextricably linked to the main agreement and ends automatically upon its termination. After termination, Solveo Administraties destroys all personal data, unless statutory retention obligations apply. A written confirmation of destruction will be provided at the client's request.

Artikel 11

Article 11

Toepasselijk recht en geschillen

Applicable law and disputes

Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden bij voorkeur in onderling overleg opgelost. Indien dat niet lukt, is de bevoegde rechter in het arrondissement Noord-Holland bij uitsluiting bevoegd.

This data processing agreement is governed by Dutch law. Disputes are preferably resolved through mutual consultation. If this is unsuccessful, the competent court in the district of North Holland has exclusive jurisdiction.

Artikel 12

Article 12

Ondertekening

Signature

Deze verwerkersovereenkomst maakt onderdeel uit van de opdrachtbevestiging die bij aanvang van iedere nieuwe opdracht door beide partijen wordt ondertekend. Hierin worden de specifieke gegevens van de cliënt als verwerkingsverantwoordelijke vastgelegd.

This data processing agreement forms part of the engagement letter, which is signed by both parties at the start of each new assignment. This records the specific details of the client as data controller.