Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van BossBase. Met het aanmaken van een account ga je er als klant mee akkoord.
Partijen
- Verwerkingsverantwoordelijke: de klant die BossBase gebruikt ("de Klant").
- Verwerker: BossBase, handelsnaam van NG E-Commerce B.V., Sodalietdreef 6, 7828 CR Emmen, KvK 91856396 ("BossBase").
1. Onderwerp en duur
BossBase verwerkt persoonsgegevens voor de Klant om de dienst BossBase te leveren, zolang de overeenkomst voor BossBase loopt, plus de termijn in artikel 8.
2. Aard en doel
Opslaan, tonen, bewerken, versturen en synchroniseren van gegevens die de Klant in BossBase vastlegt, uitsluitend om de functies te leveren die de Klant gebruikt: klantbeheer en aanvragen, offertes en online ondertekening, werkbonnen en ondertekening, metingen bij projecten, materialen en projectkosten, planning en voertuigen, urenregistratie, facturen en betalingsherinneringen, betaallinks (via het eigen Stripe-account van de Klant), en koppelingen met boekhoudpakketten of agenda's als de Klant die aanzet.
Daarnaast de assistent Boss: vragen van gebruikers over BossBase beantwoorden en helpen bij facturen (regels voorstellen uit een werkbon of offerte, de factuurmail schrijven), en het uitlezen van metingen uit een document dat een gebruiker uploadt, zoals de export van een meetapp of een foto van een opnameformulier. Boss doet alleen een voorstel; de gebruiker controleert het en beslist wat er wordt opgeslagen of verstuurd.
3. Categorieën betrokkenen en gegevens
| Betrokkenen | Gegevens |
|---|---|
| Klanten van de Klant | Naam, contactpersoon, e-mail, telefoon, adres, KvK, btw-nummer, IBAN, notities; offertes, facturen en werkbonnen; metingen, foto's en documenten van de opname (waarop ook naam, adres of handtekening kunnen staan); bij ondertekening: ingevulde naam en e-mail, handtekening (afbeelding), tijdstip, ondertekend document |
| Leveranciers van de Klant | Naam, contactpersoon, e-mail, telefoon, mobiel, adres, KvK, btw, IBAN, notities |
| Medewerkers van de Klant | Naam, e-mail, telefoon, rol, uren per week, gewerkte uren en tijden, reiskilometers, planning, toegewezen werk |
| Aanvragers via een formulier op de website van de Klant | Naam, bedrijfsnaam, e-mail, telefoon, onderwerp, bericht, pagina-adres, velden die de Klant zelf aan het formulier toevoegt, meegestuurde foto's |
Bijzondere persoonsgegevens. BossBase is niet bedoeld voor bijzondere persoonsgegevens (zoals gegevens over gezondheid, godsdienst of strafrechtelijke gegevens). De Klant zet ze er niet in. Let daarbij vooral op vrije tekstvelden, zoals notities en omschrijvingen, en op foto's.
4. Verplichtingen van BossBase
- BossBase verwerkt de gegevens alleen op gedocumenteerde instructie van de Klant. De instellingen en het gebruik van de dienst gelden als instructie.
- Iedereen die bij BossBase toegang heeft tot de gegevens, is tot geheimhouding verplicht.
- BossBase neemt passende technische en organisatorische maatregelen om de gegevens te beveiligen; zie de bijlage.
- BossBase helpt de Klant bij verzoeken van betrokkenen en bij datalekken.
- BossBase meldt een datalek aan de Klant binnen 48 uur na ontdekking.
- Audits. De Klant mag controleren of BossBase zich aan deze overeenkomst houdt: maximaal één keer per jaar, of vaker na een ernstig datalek. De Klant kondigt een audit minstens 4 weken vooraf aan. De audit wordt uitgevoerd door een onafhankelijke deskundige die tot geheimhouding verplicht is. De kosten zijn voor de Klant, tenzij uit de audit blijkt dat BossBase tekortschoot.
5. Subverwerkers
De Klant geeft algemene toestemming voor de inschakeling van de subverwerkers hieronder. BossBase kondigt een nieuwe subverwerker minstens 30 dagen van tevoren aan, per e-mail. De Klant kan binnen die termijn bezwaar maken. BossBase legt elke subverwerker dezelfde verplichtingen op als in deze overeenkomst staan. De actuele lijst staat op bossbase.nl/subverwerkers.
| Subverwerker | Waarvoor | Regio |
|---|---|---|
| Supabase | Database, inloggen, opslag, serverfuncties | Database in Frankfurt (Duitsland); serverfuncties voor verzoeken uit Nederland ook in Frankfurt. Supabase Pte. Ltd. (Singapore) |
| Vercel | Hosting van de website en de app | Vercel Inc., VS; website via het netwerk van Vercel (voor Nederland Frankfurt), serverfunctie in Frankfurt |
| Resend | E-mail namens de Klant (offertes, facturen, werkbonnen, herinneringen, afspraakherinneringen) en uitnodigingen voor medewerkers | Plus Five Five, Inc., VS; mail wordt verstuurd vanuit de EU (Ierland); account, metadata en logs in de VS |
| Stripe | Betalen van het BossBase-abonnement | Stripe Payments Europe, Ltd. (Ierland); verwerking ook buiten de EU |
| Anthropic | De assistent Boss: de chat, hulp bij facturen (met de gegevens van de gekozen werkbon, offerte of factuur, waaronder naam en adres van de klant van de Klant) en het uitlezen van documenten met metingen, die namen en adressen van klanten van de Klant kunnen bevatten. Alleen op het moment dat een gebruiker Boss iets vraagt of een document laat uitlezen | Anthropic Ireland, Ltd.; verwerking ook in de VS; geen training op klantgegevens, na 30 dagen verwijderd |
| PDOK (Kadaster) | Adres opzoeken tijdens het typen in de app; de getypte zoektekst gaat vanuit de browser naar PDOK | Nederland |
Koppelingen die de Klant zelf aanzet zijn geen subverwerkers van BossBase: Moneybird, SnelStart, AFAS, Google Agenda en het eigen Stripe-account van de Klant via Stripe Connect (voor betaallinks). Met die partijen heeft de Klant zelf een overeenkomst. BossBase stuurt de gegevens daarheen door op instructie van de Klant, alleen als de Klant de koppeling aanzet.
6. Doorgifte buiten de EER
BossBase geeft gegevens alleen door naar een land buiten de Europese Economische Ruimte op basis van het EU-US Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie. Per subverwerker: Vercel, Resend en Stripe op basis van het EU-US Data Privacy Framework en standaardcontractbepalingen; Supabase en Anthropic op basis van standaardcontractbepalingen.
7. Bijstand en rechten van betrokkenen
De Klant beantwoordt verzoeken van zijn eigen klanten en medewerkers. BossBase helpt waar nodig. Klanten zijn te exporteren (Excel/CSV), documenten als ZIP.
8. Einde van de overeenkomst
Na het einde van het abonnement bewaart BossBase de gegevens nog 2 jaar, gelijk aan de algemene voorwaarden; in die tijd kan de Klant terugkomen of exporteren. Daarna worden de gegevens verwijderd, ook de bestanden. Wil de Klant dat eerder, dan verwijdert de eigenaar het bedrijf zelf in BossBase (direct, of na 30 dagen bedenktijd waarin alles nog te bekijken en te exporteren is), of vraagt hij het ons. BossBase bewaart daarna alleen zijn eigen facturen aan de Klant (wettelijke bewaarplicht) en een kort bewijs van het verwijderverzoek.
9. Aansprakelijkheid
Voor aansprakelijkheid geldt artikel 10 van de algemene voorwaarden.
Bijlage — technische en organisatorische maatregelen
- Scheiding per bedrijf met databaseregels (row level security), ook binnen een bedrijf rechten per medewerker.
- Niet-openbare opslag voor handtekeningen, ondertekende documenten, facturen en foto's; alleen bereikbaar via tijdelijke, ondertekende links.
- Ondertekenlinks met een onraadbaar token.
- Wachtwoorden niet door BossBase zelf opgeslagen (inlogdienst van Supabase); aanmeldcodes en hersteltokens alleen versleuteld opgeslagen; begrensd aantal pogingen.
- Versleutelde verbindingen (https).
- Database in de EU (Frankfurt).
- Logs van serverfuncties zonder e-mailadressen en tokens; bewaard 7 dagen (Supabase) en 1 uur (Vercel).
- Twee personen met beheerderstoegang tot de productieomgeving. Meekijken in een account voor ondersteuning loopt via een beheeromgeving die elke inzage vastlegt in een logboek.
- Dagelijkse automatische back-ups van de database bij Supabase, 7 dagen bewaard, in dezelfde regio.