Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij de overeenkomst over het gebruik van Finetime CRM tussen de klant (verwerkingsverantwoordelijke) en Sibat BV, Zutphenseweg 6, 7418 AJ Deventer, KvK 71717536(verwerker). Ze regelt hoe de verwerker persoonsgegevens verwerkt die de klant in Finetime vastlegt, zoals bedoeld in artikel 28 van de Algemene verordening gegevensbescherming (AVG).

• Doel: het leveren van Finetime CRM: opslaan, tonen, doorzoeken en exporteren van de gegevens, het versturen van de e-mails die bij de app horen, en, als de klant dat gebruikt, het versturen van e-mailcampagnes van de klant via de mailprovider die de klant kiest.
• Betrokkenen: contactpersonen van de klant (klanten, prospects, relaties) en de gebruikers van de klant.
• Gegevens: naam, e-mailadres, telefoonnummer, functie, bedrijf, adres, labels, notities, contactmomenten, opvolgacties en de toestemming voor mail (status, bron, datum en de geschiedenis daarvan); bij campagnes ook lijsten, wie een campagne kreeg, en per ontvanger of de mail niet bezorgd kon worden en of die zich afmeldde, en alleen bij ontvangers die daarvoor toestemming gaven ook of de mail werd geopend en op links werd geklikt; als de klant mail in de tijdlijn aanzet, ook mail tussen gebruikers en contactpersonen: de volledige mail met bijlagen, afzender, ontvangers en tijdstip, en van mail van een onbekend adres alleen afzender, onderwerp en datum; van gebruikers ook accountgegevens, profielfoto, inlogsessies (tijdstip, IP-adres, type browser) en aanwezigheid. Als de klant om de koppeling met assistenten vraagt: welke apps een gebruiker heeft gekoppeld, de bijbehorende sleutels (alleen gehasht) en het gebruik ervan, zonder de inhoud van wat er werd opgevraagd. Als de klant spraak aanzet: korte spraakopnames van gebruikers, die op een server van de verwerker in Nederland in tekst worden omgezet en niet worden bewaard of gelogd.
• De klant legt geen bijzondere persoonsgegevens (zoals gezondheid of godsdienst) of strafrechtelijke gegevens vast, tenzij partijen daar apart afspraken over maken. Mail en bijlagen kunnen zulke gegevens onbedoeld bevatten: zet de klant mail in de tijdlijn aan, dan beperkt hij de kopieregels tot zakelijke mail met relaties, en haalt hij een mail met zulke gegevens uit het CRM.
• Mail in de tijdlijn zet de klant zelf aan. De klant informeert zijn medewerkers en relaties daarover, beoordeelt of een gegevensbeschermingseffectbeoordeling nodig is (bijvoorbeeld omdat mail van medewerkers stelselmatig wordt gekopieerd), en regelt waar nodig de instemming van de ondernemingsraad. De mailbox waaruit Finetime de mail ophaalt en de mailserver waarmee Finetime antwoorden verstuurt, zijn van de klant; de aanbieders daarvan zijn geen subverwerker van de verwerker.

De verwerker verwerkt de gegevens alleen in opdracht van de klant en volgens deze overeenkomst, tenzij de wet hem tot iets anders verplicht; dat meldt hij dan vooraf, als dat mag. Iedereen die bij de verwerker toegang tot de gegevens heeft, is tot geheimhouding verplicht. De verwerker kijkt alleen in de omgeving van de klant als dat nodig is voor beheer, voor het oplossen van een storing of op verzoek van de klant.

De verwerker neemt passende maatregelen, waaronder:

• een eigen, afgeschermde installatie per klant, zonder gedeelde database;
• opslag op servers van de verwerker in Nederland, met dagelijkse back-ups in Nederland, waarvan de laatste 11 worden bewaard;
• versleutelde verbindingen (HTTPS); wachtwoorden alleen als hash (scrypt), het wachtwoord van de mailserver versleuteld;
• toegang alleen voor gebruikers die een beheerder van de klant toelaat; intrekken van de toegang beëindigt direct alle sessies;
• een account zonder toegang kan een beheerder van de klant anonimiseren: naam en e-mailadres worden vervangen, profielfoto, voorkeuren en inlogmethoden verwijderd;
• rechten in de app: alleen de maker of een beheerder mag records verwijderen;
• inlogsessies (met IP-adres en type browser) worden uiterlijk 30 dagen na het verlopen automatisch verwijderd;
• het wijzigingslog wordt na 12 maanden automatisch verwijderd, verlopen links om een wachtwoord opnieuw in te stellen na een dag;
• wat ontvangers met een campagne deden (geopend, geklikt, niet bezorgd, afgemeld) wordt na 12 maanden automatisch verwijderd;
• mail in de tijdlijn: de inloggegevens van de mailbox van de klant versleuteld, de mail en bijlagen alleen voor ingelogde gebruikers van de klant en altijd als download (de app voert niets uit), mail van een onbekend adres na 30 dagen automatisch verwijderd;
• van de export die de verwerker vóór een update maakt, bewaart hij alleen de laatste.

De klant geeft toestemming voor de volgende subverwerkers:

• Cloudflare, Inc. (Verenigde Staten): doorgifte en beveiliging van het verkeer (HTTPS). Cloudflare slaat de CRM-gegevens niet op, maar verwerkt wel IP-adressen en het verkeer zelf, ook buiten de Europese Economische Ruimte. Doorgifte op basis van de standaard verwerkersovereenkomst van Cloudflare met de standaardcontractbepalingen van de Europese Commissie; Cloudflare is gecertificeerd onder het EU-VS Data Privacy Framework.
• TransIP B.V. (Nederland): verzending van e-mail uit de app via de afzender van Finetime (noreply@finetime.nl), zolang de klant geen eigen mailserver instelt. Stelt de klant die wel in, dan kiest de klant die partij zelf.

Zet de klant de KVK-koppeling aan, dan gebruikt de app daarvoor het eigen abonnement van de klant bij de KVK. De KVK is dan geen subverwerker van de verwerker: bij het zoeken gaat alleen de zoekterm naar de KVK, en uit het Handelsregister worden alleen bedrijfsgegevens overgenomen, geen gegevens van eigenaren of bestuurders.

Verstuurt de klant e-mailcampagnes, dan gaat dat via een mailprovider die de klant kiest en zelf instelt, bijvoorbeeld een eigen Listmonk of Mailchimp. De klant maakt daarover zelf afspraken met die partij; zij is geen subverwerker van de verwerker. Finetime stuurt die provider alleen wat nodig is om te versturen: van de ontvangers naam, e-mailadres, bedrijf en een intern kenmerk, en de inhoud van de campagne; de provider meldt afmeldingen en onbestelbare adressen terug. Mailchimp (Intuit) zit in de Verenigde Staten; de klant beoordeelt dan zelf de doorgifte buiten de Europese Economische Ruimte.

Vraagt de klant om de koppeling met assistenten (MCP), dan kunnen gebruikers van de klant Finetime zelf koppelen aan een app die zij gebruiken, zoals Claude (Anthropic) of ChatGPT (OpenAI). Alleen na een eigen inlog en toestemming van die gebruiker gaan dan de gegevens die de app opvraagt naar die app. Die aanbieder is geen subverwerker van de verwerker: de klant en zijn gebruikers kiezen hem zelf, en de klant beoordeelt zelf of dat mag. De klant is verantwoordelijk voor de afspraken met die aanbieder (bij voorkeur een zakelijk account met een verwerkersovereenkomst en zonder gebruik van gesprekken om modellen te verbeteren), voor de instructies aan zijn gebruikers, en voor de beoordeling van de doorgifte buiten de Europese Economische Ruimte: de genoemde aanbieders zitten in de Verenigde Staten. De koppeling staat standaard uit; een beheerder van de klant kan koppelingen van gebruikers intrekken, en de verwerker zet de functie op verzoek van de klant aan of uit.

Bij inloggen met een Google-account is Google geen subverwerker: Google deelt dan, als zelfstandig verantwoordelijke voor dat account, de naam, het e-mailadres en de profielfoto met de omgeving. Een nieuwe subverwerker meldt de verwerker vooraf; de klant kan daar bezwaar tegen maken en in dat geval opzeggen.

Ontdekt de verwerker een beveiligingsincident dat de gegevens van de klant raakt, dan meldt hij dat zonder onredelijke vertraging en uiterlijk binnen 48 uur aan de klant, met wat er bekend is over de aard, de gevolgen en de genomen maatregelen. De klant beslist of het lek gemeld moet worden aan de Autoriteit Persoonsgegevens of aan betrokkenen; de verwerker helpt daarbij.

Krijgt de verwerker een verzoek van een betrokkene (bijvoorbeeld om inzage of verwijdering), dan stuurt hij dat door naar de klant. De klant kan de meeste verzoeken zelf afhandelen in de app: gegevens aanpassen, verwijderen of exporteren, ook mail in de tijdlijn (een mail uit het CRM halen; in de export staat elke mail als bestand). Waar nodig helpt de verwerker, ook bij een gegevensbeschermingseffectbeoordeling.

De verwerker geeft de klant op verzoek de informatie die nodig is om te laten zien dat hij zich aan deze overeenkomst houdt. Partijen overleggen over de vorm en de kosten van een eventuele audit.

Na het einde van de overeenkomst kan de klant alle gegevens zelf exporteren (CSV en JSON). Uiterlijk30 dagen na het einde wist de verwerker de installatie van de klant, met haar back-ups en de laatste export, tenzij de wet bewaren verplicht.

Voor aansprakelijkheid geldt wat in de algemene voorwaarden staat. Op deze overeenkomst is Nederlands recht van toepassing. Vragen: info@finetime.nl.