Status: Gepubliceerd
Versie: 2026-09-29
Laatst bijgewerkt: 29 september 2026
Deze Verwerkersovereenkomst (DPA) maakt deel uit van de overeenkomst voor de FinBaze-dienst tussen de klant die in het toepasselijke abonnement of orderformulier staat vermeld (Klant) en:
- FinBaze B.V., KvK 94934169, wanneer FinBaze B.V. de contractpartij van de Klant is; of
- FinBaze Limited, registratienummer 16303685, wanneer FinBaze Limited de contractpartij van de Klant is,
in beide gevallen aangeduid als FinBaze.
De Klant is verwerkingsverantwoordelijke en FinBaze is verwerker van persoonsgegevens in Klantgegevens. Wanneer de Klant zelf verwerker is, handelt FinBaze als subverwerker en omvatten instructies van de verwerkingsverantwoordelijke ook de rechtmatige instructies van de achterliggende verwerkingsverantwoordelijke.
1. Reikwijdte en rangorde
- Deze DPA geldt wanneer FinBaze namens de Klant persoonsgegevens in Klantgegevens verwerkt.
- Zij is bedoeld om te voldoen aan artikel 28 AVG en artikel 28 UK GDPR.
- Bij tegenstrijdigheid met de Gebruiksvoorwaarden over verwerking van persoonsgegevens prevaleert deze DPA.
- Definities uit de AVG of UK GDPR zijn van toepassing. Gebruiksvoorwaarden betekent de toepasselijke voorwaarden van FinBaze op /terms.
2. Gegevens van de verwerking
| Onderwerp | Omschrijving |
|---|---|
| Onderwerp | Levering van FinBaze's SaaS-boekhouding, financiële bedrijfsvoering, documenten, integraties, berichten, automatisering en AI-functionaliteit |
| Duur | De duur van de Overeenkomst plus de hieronder beschreven verwijderings- en wettelijke bewaartermijnen |
| Aard en doel | Hosten, ordenen, opvragen, verzenden, analyseren, uitlezen, genereren, beveiligen, back-uppen, ondersteunen, verwijderen en anders verwerken voor levering van de Dienst en uitvoering van Klantinstructies |
| Betrokkenen | Personeel en bevoegde gebruikers van de Klant, cliënten, leveranciers, debiteuren, crediteuren, medewerkers, opdrachtnemers, adviseurs, betalingspartijen, afzenders van berichten en andere personen in Klantgegevens |
| Persoonsgegevens | Identiteits- en contactgegevens; bedrijfs- en arbeidsgegevens; facturen en administratie; bank- en betaalgegevens; belasting- en registratiegegevens; documenten, correspondentie en berichten; authenticatie- en toegangsgegevens; integratiegegevens; technische en auditinformatie |
| Bijzondere gegevens | Niet bewust vereist. Zij kunnen worden verwerkt indien Klantgegevens deze bevatten en de Klant heeft vastgesteld dat dit noodzakelijk en rechtmatig is |
| Frequentie | Doorlopend of op initiatief van de Klant tijdens het gebruik van de Dienst |
3. Instructies en verplichtingen van de Klant
- FinBaze verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructies van de Klant, waaronder instructies door gebruik en configuratie van de Dienst, tenzij de wet anders verplicht.
- De Klant instrueert FinBaze om:
- de Dienst te leveren, beveiligen, ondersteunen en onderhouden;
- de subverwerkers en integraties uit het Privacybeleid te gebruiken;
- gegevens over te dragen zoals toegestaan onder deze DPA; en
- Klantgegevens te verwerken om eigen modellen en productfuncties van FinBaze te evalueren, verbeteren en trainen, binnen toepasselijk recht en de waarborgen uit het Privacybeleid.
- FinBaze informeert de Klant wanneer FinBaze meent dat een instructie inbreuk maakt op toepasselijk privacyrecht.
- De Klant is verantwoordelijk voor:
- een geldige rechtsgrond;
- vereiste privacy-informatie;
- vereiste toestemmingen;
- rechtmatige, relevante en juiste instructies en Klantgegevens;
- de relatie met betrokkenen en eventuele achterliggende verwerkingsverantwoordelijken; en
- het niet aanleveren van kindergegevens of onnodige bijzondere persoonsgegevens.
4. Vertrouwelijkheid
FinBaze zorgt dat personen met toegang tot Klantgegevens aan geheimhouding zijn gebonden en alleen toegang krijgen voor zover nodig voor hun werkzaamheden.
5. Beveiliging
FinBaze handhaaft maatregelen die passen bij het risico, waaronder:
- versleuteling tijdens transport en in opslag;
- hosting in Frankrijk binnen de Europese Unie;
- logische scheiding van klantomgevingen;
- rolgebaseerde toegangscontrole en beperkte beheerderstoegang;
- toegangs-, infrastructuur- en administratieve logging;
- back-up-, herstel- en beschikbaarheidsmaatregelen;
- beheer van kwetsbaarheden, afhankelijkheden en incidenten;
- geheimhoudings- en toegangsprocedures voor personeel; en
- periodieke beoordeling van relevante waarborgen.
Back-ups kunnen maximaal drie jaar worden bewaard en zijn beperkt tot continuïteit, herstel, beveiliging en wettelijke doeleinden.
6. Subverwerkers
- De Klant geeft algemene toestemming voor het gebruik van subverwerkers.
- De actuele lijst staat in het Privacybeleid en maakt deel uit van deze DPA.
- FinBaze legt subverwerkers materieel gelijkwaardige privacyverplichtingen op.
- FinBaze blijft voor subverwerkers verantwoordelijk voor zover toepasselijk recht dit vereist.
- FinBaze kondigt een materiële nieuwe subverwerker redelijk vooraf aan, waaronder door actualisering van het Privacybeleid of kennisgeving aan de Klant.
- De Klant kan binnen 15 dagen bezwaar maken op redelijke privacygronden. Partijen zoeken te goeder trouw een redelijke oplossing. Indien die niet beschikbaar is, kan iedere partij de betrokken functie of Dienst beëindigen zonder boete voor toekomstige, ongebruikte dienstverlening.
- Providers die rechtstreeks door de Klant worden gekozen, waaronder externe AI-hosts, e-mailproviders, betaaldienstverleners en webshops, worden op instructie van de Klant gebruikt. De Klant is verantwoordelijk voor zijn afzonderlijke overeenkomst met die providers.
7. Internationale doorgiften
FinBaze mag persoonsgegevens internationaal doorgeven wanneer dit nodig is voor de Dienst. Waar een doorgiftemechanisme vereist is, gebruiken partijen:
- een adequaatheidsbesluit of -regeling;
- de modelcontractbepalingen van de Europese Commissie;
- de Britse International Data Transfer Agreement of UK Addendum; of
- een ander rechtmatig mechanisme.
De toepasselijke controller-to-processor- of processor-to-processor-module geldt. Deze DPA vormt de instructie en toestemming om het toepasselijke mechanisme en aanvullende maatregelen te implementeren.
8. Verzoeken van betrokkenen
- Rekening houdend met de aard van de verwerking biedt FinBaze redelijke ondersteuning bij verzoeken om inzage, correctie, verwijdering, beperking, overdraagbaarheid of bezwaar.
- Ontvangt FinBaze een verzoek over Klantgegevens, dan verwijst FinBaze de verzoeker naar de Klant of stelt FinBaze de Klant op de hoogte, tenzij de wet dit verbiedt.
- FinBaze hoeft niet inhoudelijk namens de Klant te antwoorden, tenzij anders overeengekomen. Voor uitzonderlijke of onevenredige ondersteuning kunnen redelijke kosten worden berekend.
9. Ondersteuning bij naleving
Rekening houdend met de aard van de verwerking en beschikbare informatie ondersteunt FinBaze de Klant redelijk bij:
- beveiligingsverplichtingen;
- beoordeling en melding van datalekken;
- gegevensbeschermingseffectbeoordelingen; en
- voorafgaande raadpleging van een toezichthouder.
10. Datalekken
FinBaze informeert de Klant zonder onredelijke vertraging nadat FinBaze bekend is geworden met een inbreuk in verband met Klantgegevens.
De melding bevat beschikbare informatie over de aard van het incident, getroffen gegevens en personen, waarschijnlijke gevolgen, beperkende maatregelen en een contactpunt. Informatie mag gefaseerd worden verstrekt zodra zij beschikbaar komt.
Een melding is geen erkenning van schuld of aansprakelijkheid.
11. Verwijdering en teruggave
- Tijdens de Overeenkomst kan de Klant beschikbare exportfuncties gebruiken of redelijke hulp bij teruggave aanvragen.
- Na beëindiging verwijdert of retourneert FinBaze Klantgegevens naar keuze van de Klant, tenzij de wet bewaring verplicht.
- Gegevens kunnen eerst ontoegankelijk of als verwijderd worden gemarkeerd. Soft-deleted operationele gegevens die niet nodig zijn voor boekhouding, belasting of vergelijkbare wettelijke archieven, kunnen na ongeveer één maand uit actieve systemen worden verwijderd. Overige Klantgegevens worden uiterlijk één jaar na beëindiging uit actieve systemen verwijderd, tenzij de wet of instructies van de Klant langere bewaring vereisen.
- Beperkt toegankelijke back-ups kunnen gedurende de back-upcyclus van maximaal drie jaar aanwezig blijven en worden niet voor normale verwerking gebruikt.
- Indien voor de Klant of diens cliënt wettelijke boekhoud-, fiscale of loonadministratieplichten gelden, kan de bewaring op instructie van de Klant langer duren. Nederlandse administraties moeten bijvoorbeeld veelal zeven jaar worden bewaard. Soft-deleted boekhoud- en fiscale gegevens worden niet volgens het één-maandschema voor operationele gegevens gewist.
- FinBaze mag als zelfstandig verwerkingsverantwoordelijke gegevens bewaren voor eigen juridische vorderingen, beveiligingsregistraties en wettelijke administratie.
12. Informatie en audits
- FinBaze stelt informatie beschikbaar die redelijkerwijs nodig is om naleving van deze DPA aan te tonen.
- De Klant gebruikt eerst documentatie, vragenlijsten en beoordeling op afstand.
- Een aanvullende audit mag maximaal eenmaal per jaar plaatsvinden, met ten minste 30 dagen voorafgaande kennisgeving, tijdens normale werktijden en zonder onredelijke verstoring.
- Aanvullende audits zijn toegestaan wanneer een toezichthouder dit verlangt of geloofwaardig bewijs wijst op een materiële tekortkoming.
- Auditors moeten onafhankelijk, deskundig, niet-concurrerend en aan geheimhouding gebonden zijn.
- De Klant draagt de auditkosten en FinBaze mag redelijke ondersteuningskosten berekenen, tenzij een materiële tekortkoming van FinBaze wordt vastgesteld.
13. Aansprakelijkheid
Aansprakelijkheid onder deze DPA valt onder de uitsluitingen en beperkingen in de Gebruiksvoorwaarden. Zonder aansprakelijkheid uit te breiden, is het toepasselijke totale maximum gelijk aan de vergoedingen die zijn betaald of verschuldigd over de twee maanden vóór de gebeurtenis die tot aansprakelijkheid leidt. Indien de Klant een gratis proefperiode gebruikt en geen vergoeding heeft betaald, ontstaat geen financiële aansprakelijkheid, behalve waar uitsluiting wettelijk niet is toegestaan.
Niets sluit aansprakelijkheid uit die volgens toepasselijk recht niet kan worden uitgesloten.
14. Looptijd en beëindiging
Deze DPA begint bij aanvang van de Overeenkomst of wanneer FinBaze voor het eerst als verwerker Klantgegevens verwerkt, indien dat eerder is. Zij blijft gelden totdat FinBaze de verwerking volgens deze DPA heeft afgerond.
15. Toepasselijk recht
- Is FinBaze B.V. de contractpartij, dan geldt Nederlands recht en zijn de gerechten te Amsterdam exclusief bevoegd.
- Is FinBaze Limited de contractpartij, dan geldt het recht van Engeland en Wales en zijn de gerechten van Engeland en Wales exclusief bevoegd.
16. Contact
Privacy- en DPA-vragen: info@finbaze.com