Verwerkersovereenkomst — MijnUren Standard

Versie 1.0 · 18 augustus 2026 Vangelder Solutions BV · Pastorijstraat 27, 9100 Sint-Niklaas, België · ondernemings- en btw-nummer BE 0802.046.676 · [email protected]

De bijlagen A, B, C en D maken integrerend deel uit van deze overeenkomst. Deze versie staat op een vast adres en wordt daar niet meer gewijzigd; een wijziging krijgt een nieuw versienummer en een eigen adres.

In het kort

Vijf punten die uw beoordeling kunnen beïnvloeden. Deze samenvatting is toelichtend; de artikelen en de bijlagen zijn bindend.

1. MijnUren Standard is een gedeelde omgeving. De gegevens van alle Standard-klanten staan in één databaseproject, logisch gescheiden per omgeving. Een eigen, fysiek gescheiden omgeving bestaat alleen in het enterprise-model. Zie bijlage C.1.
2. Arbeidsongeschiktheid wordt verwerkt op elk plan met kalender en verlof — dat is elk betaald plan, vanaf de eerste dag. Het is een registratietype, geen module die u aan- of uitzet. Zie artikel 4.
3. Een gefotografeerde onkostenbon verlaat uw omgeving. Hij gaat naar de tekstherkenningsdienst uit bijlage B.1 en, wanneer u die functie instelt, maandelijks met de goedgekeurde bonnen naar het boekhoudadres dat u opgeeft. Zie artikel 4.
4. Supporttoegang wordt verleend als beheerdersrol en is voor u niet zichtbaar in de toepassing. Zij loopt af na 72 uur, met een staart van maximaal ongeveer een etmaal voor wie op dat ogenblik al in uw omgeving werkte. Zie artikel 7.
5. Geüploade bestanden zitten in geen enkele back-up. Bonnen, loonbrieven, contracten en attesten vallen buiten de dagelijkse back-up van de databank. Zie bijlage C.9, punt 1.

DEEL I — DE OVEREENKOMST

1. Totstandkoming, toepassingsgebied en duur

1.1 Publicatie en aanvaarding. Wij publiceren deze tekst op een vast openbaar adres, met een versienummer en een publicatiedatum; u kunt haar vóór aanvaarding openen, opslaan en afdrukken. Bij de inschrijving voor MijnUren Standard vinkt u uitdrukkelijk aan dat u akkoord gaat met de algemene voorwaarden én met deze verwerkersovereenkomst. Daarmee komt zij tussen u en ons tot stand.

1.2 Wat wij vastleggen. Per klant leggen wij vast welke versie is aanvaard, op welk tijdstip, met welk account en voor welke omgeving. Eerdere versies bewaren wij. Op verzoek bevestigen wij welke versie voor u geldt en bezorgen wij u de tekst daarvan.

1.3 Wie de Klant is. De Klant is de onderneming die onder de bij de inschrijving vastgelegde gegevens het abonnement of het gratis plan activeert. Die gegevens identificeren de partij bij deze overeenkomst: de officiële ondernemingsnaam; het ondernemings- of btw-nummer; het adres; het land; de omgeving waarvoor is ingeschreven; het account dat aanvaardde; de datum en het tijdstip van aanvaarding; en het versienummer van deze tekst. Op het gratis plan vraagt de inschrijving alleen een bedrijfsnaam, een e-mailadres en een land uit; de overige gegevens vragen wij dan op wanneer dat voor de uitvoering van deze overeenkomst nodig is. Wijzigen die gegevens, dan meldt u dat via het adres in bijlage D.

1.4 Klanten van vóór de invoering. Bent u ingeschreven vóór de invoering van de aanvaardingsstroom hierboven, dan leggen wij u deze tekst één keer per e-mail voor, aan de beheerders van uw omgeving, met het versienummer en de datum vanaf wanneer zij voor u geldt; vanaf dat moment leggen wij de aanvaarde versie vast zoals in 1.2. Voor de periode daarvóór hebben wij met u geen afzonderlijke verwerkersovereenkomst vastgelegd. Deze tekst krijgt geen terugwerkende kracht.

1.5 Toepassingsgebied. MijnUren Standard op app.mijnuren.be, met inbegrip van de gratis plannen en van het gebruik van onze mobiele apps voor MijnUren: die werken met dezelfde omgeving en dezelfde gegevens. Voor MijnUren Begeleid (enterprise) maken wij bij de offerte een afzonderlijke overeenkomst op.

1.6 Duur. Deze overeenkomst geldt zolang wij namens u persoonsgegevens verwerken, en daarna tot de teruggave of verwijdering uit artikel 16 is afgerond. De versie die u hebt aanvaard, blijft gelden tot een nieuwe versie overeenkomstig artikel 18 in werking treedt.

2. Definities

• AVG — Verordening (EU) 2016/679, ook bekend als GDPR. EER — de Europese Economische Ruimte: de EU plus Noorwegen, IJsland en Liechtenstein. Hoofdstuk V AVG — het deel van de verordening dat regelt wanneer persoonsgegevens de EER mogen verlaten.
• Adequaatheidsbesluit — een beslissing van de Europese Commissie dat een land buiten de EER voldoende bescherming biedt. Standaardcontractbepalingen — het modelcontract van de Europese Commissie voor doorgifte buiten de EER.
• Wij, ons, Vangelder Solutions — Vangelder Solutions BV, met de gegevens bovenaan. MijnUren is een handels- en productnaam, geen afzonderlijke rechtspersoon.
• U, de Klant — zie artikel 1.3. Uw omgeving — het aan uw onderneming toegewezen, afgeschermde deel van MijnUren.
• Betrokkene — de persoon over wie de gegevens gaan, meestal uw medewerker.
• Subverwerker — een partij die wij inschakelen en die daarbij persoonsgegevens uit uw omgeving verwerkt; bijlage B.1 is de lijst. Peppol-toegangspunt — de partij die een elektronische factuur op het Europese Peppol-netwerk zet.

3. Rolverdeling

3.1 U bepaalt het doel van en de middelen voor de verwerking in uw omgeving en bent daarvoor de verwerkingsverantwoordelijke. Wij verwerken uitsluitend in uw opdracht en zijn daarvoor de verwerker.

3.2 Onze eigen bedrijfsvoering. De administratie van uw abonnement, onze facturatie en onze boekhouding voeren wij niet op uw instructie uit; zij dienen onze eigen bedrijfsvoering als contractspartij. De partijen die wij daarvoor inschakelen staan in bijlage B.2. Deze overeenkomst regelt de verwerking die wij namens u uitvoeren en strekt zich daar niet toe uit. Blijkt een van de in bijlage B.2 genoemde verwerkingen toch namens u te gebeuren, dan gelden daarvoor de verplichtingen uit deze overeenkomst, met inbegrip van artikel 9. De beveiliging van de dienst valt hier niet onder: dat is een verplichting van ons als verwerker (artikel 32 AVG) en valt wél onder deze overeenkomst.

3.3 Bezoekersmeting. In de HR-omgeving — uren, verlof, onkosten, documenten, personeelsdossier — en op de aangemelde schermen van MijnUren Solo wordt geen analytics- of marketingtechnologie geladen. Op een vaste, gesloten lijst publieke pagina's van app.mijnuren.be — de landings-, aanmeld-, inschrijf- en supportpagina en de publieke Solo-pagina's — draait een cookieloze bezoekersmeting. Een nieuwe pagina wordt pas gemeten wanneer zij uitdrukkelijk aan die lijst wordt toegevoegd. Die meting gebeurt niet in uw opdracht en valt onder ons eigen privacy- en cookiebeleid.

3.4 De module Onderaanneming. Gebruikt u deze module niet, dan is dit onderdeel niet op u van toepassing.

1. De zelfstandige heeft een eigen account en een eigen registratie (MijnUren Solo) waarin hij zelf zijn werkdagen, uren en kilometers bijhoudt. Zijn gegevens staan in een apart schema binnen dezelfde databank als de klantomgevingen, en hij meldt zich aan via dezelfde aanmeldvoorziening: het is een scheiding binnen de databank en in de toepassing, geen aparte databank.
2. Koppelen gebeurt met een koppelcode: u laat er een aanmaken of voert een bestaande in, de zelfstandige voert die code in en wijst zijn werk per werf aan u toe.
3. U ziet per maand per zelfstandige zijn ondernemingsnaam — of, bij gebrek daaraan, zijn e-mailadres — plus zijn e-mailadres, en het aantal dagen, uren en kilometers en het bedrag. U ziet geen begin- en eindtijden, geen pauzes, geen werven en geen tarieven. De optelling en de afbakening gebeuren in de databank; alleen het maandtotaal komt in uw omgeving terecht. Werkt de zelfstandige ook voor andere opdrachtgevers, dan ziet u dat werk niet.
4. U legt die maand vast als "akkoord voor facturatie" of "betwist", met het e-mailadres van de beslisser, het tijdstip en een eventuele opmerking. Een gegeven akkoord kan door toedoen van de zelfstandige vervallen: wijzigt hij nadien nog iets aan die maand, dan gaat de maand automatisch terug naar de status "heropend", met de vermelding dat er na het akkoord is gewijzigd.
5. Uw omgeving biedt geen functie om dag-, uur- of kilometerregistraties van een zelfstandige aan te maken, te wijzigen of te verwijderen; wel om de maandstatus vast te leggen en een koppeling tot stand te brengen. Die begrenzing zit in onze software, niet in de rechten op de databank.

Wat wij daarnaast verwerken en u niet ziet. In het Solo-gedeelte verwerken wij van de zelfstandige aanzienlijk meer dan wat u te zien krijgt: beroep en ondernemingsgegevens, financiële gegevens en tarieven, zijn werven, zijn tijdregistratie per dagblok inclusief een lopende timer, vrije notities, zijn facturen en zijn eigen opdrachtgevers; de volledige opsomming staat in bijlage A.2. De koppelcode is tevens een doorverwijzings- en kortingscode: voert een zelfstandige die code in bij zijn eigen inschrijving, dan koppelen wij hem aan de doorverwijzende onderneming en krijgt hij een korting.

Wat deze overeenkomst dekt. Voor zover wij persoonsgegevens van een zelfstandige verwerken uitsluitend om de aan u toegewezen prestaties beschikbaar te maken en de daaruit voortvloeiende beoordeling te ondersteunen — de punten 3 en 4 hierboven — valt die verwerking onder deze overeenkomst. De andere verwerkingen die voortvloeien uit het zelfstandige gebruik van MijnUren Solo worden niet door uw instructies bepaald; deze overeenkomst strekt zich daar niet toe uit. Verwerken wij gegevens van een zelfstandige toch op uw instructie, dan geldt zij wél.

Een beperking die bij deze module hoort. Voor de kilometerberekening stuurt de Solo-app het ingegeven adres als vrije tekst naar een publieke kaartdienst (Nominatim, OpenStreetMap Foundation), rechtstreeks vanaf het toestel van de zelfstandige. Het gebruiksbeleid van die dienst verbiedt uitdrukkelijk het insturen van persoonsgegevens, en het invoerveld verhindert niet dat er een naam in wordt getypt. Volgens het eigen beleid van die dienst worden verzoekgegevens opgeslagen in het Verenigd Koninkrijk en Nederland; of daarvoor een adequaatheidsbesluit geldt, hebben wij niet vastgesteld. Een tweede dienst (openrouteservice, HeiGIT gGmbH) ontvangt uitsluitend twee coördinatenparen — geen adrestekst en geen naam. Naar beide diensten gaan geen naam, e-mailadres of accountgegevens van de zelfstandige mee; zijn IP-adres onvermijdelijk wel. Met beide partijen bestaat geen verwerkersovereenkomst. Wij werken aan een vervanging door een eigen installatie of door een aanbieder met passende contractuele dekking. Het gaat in beginsel om gegevens van de zelfstandige; omdat het invoerveld vrije tekst is, kan er ook een naam van een derde in terechtkomen. Wij vermelden het omdat het bij deze module hoort.

4. Voorwerp, aard, doel en categorieën gegevens

Voorwerp. Het leveren van MijnUren als software-as-a-service voor tijdsregistratie, verlof en aanverwante personeelsadministratie. Aard. Opslaan, ordenen, raadplegen, wijzigen, verstrekken aan de gebruikers die u aanwijst, verstrekken aan derden waar de dienst dat doet — tekstherkenning, uitgaande e-mail, elektronische facturatie — exporteren en wissen. Doel. Uitsluitend het leveren, onderhouden en beveiligen van de dienst en het uitvoeren van wat u en uw gebruikers erin doen. Duur. Zoals bepaald in artikel 1.6.

Wij gebruiken de persoonsgegevens uit uw omgeving niet voor eigen analyses en niet voor profilering, en wij bieden ze niet aan voor het trainen van modellen. Voor de tekstherkenningsdienst uit bijlage B.1 geldt bovendien de contractuele beperking dat die leverancier onze gegevens niet mag gebruiken voor profilering, reclame of marktonderzoek gericht op nieuwe functies, diensten of producten. Een dienstspecifieke uitspraak of de aangeboden bonafbeelding voor algemene modelverbetering wordt gebruikt, geeft die leverancier niet; wij hebben dat niet vastgesteld en beweren er daarom niets over.

Categorieën betrokkenen en persoonsgegevens. Zie bijlage A. Vijf punten lichten wij hier uit.

1. Authenticatiegegevens. Het wachtwoord zelf bewaren wij niet, alleen een onomkeerbare afgeleide ervan; verder de bevestiging van het e-mailadres, tweestapsverificatiefactoren en aanmeldmomenten.
2. De uitkomst van de bonscan. Van een gefotografeerde onkostenbon bewaren wij de afbeelding én de gestructureerde uitkomst van de tekstherkenning. De afbeelding wordt daarvoor naar de dienst uit bijlage B.1 verstuurd; alleen de herkende velden komen terug in uw omgeving, en onze scanroute bewaart de afbeelding zelf niet.
3. Het bewijsrecord bij elektronisch ondertekenen. Wie een document ondertekent, laat een bewijsrecord na met IP-adres, browsergegevens, tijdstip, de tekst waarmee is ingestemd en een handtekeningafbeelding. Dat zijn gegevens van uw medewerker, niet louter technische gegevens.
4. Vrije tekstvelden zitten door de hele dienst heen — de toelichting bij een verlofaanvraag, een opmerking bij een beoordeling, een reden bij een saldocorrectie, een motivatie bij een correctieverzoek. Het product verhindert niet dat een medewerker daar gezondheidsgegevens in typt; houd daar bij uw eigen beoordeling rekening mee.
5. E-mail is een uitgangsroute. Meldingen, goedkeuringsoverzichten, de correctieflow en, wanneer u die functie instelt, de maandelijkse aanlevering aan uw boekhouder verlaten uw omgeving per e-mail. Een goedkeuringsoverzicht of een correctieverzoek kan daarbij het registratietype "ziekte" bevatten — dan verlaat het feit van arbeidsongeschiktheid uw omgeving per e-mail. Wij dragen uitgaande e-mail over aan de dienst uit bijlage B.1, die de aflevering doet. Of de verbinding met de mailserver van de ontvanger versleuteld is, bepaalt die ontvanger; wij kunnen het niet afdwingen en hebben het niet vastgesteld.

Maandelijkse aanlevering aan uw boekhouder. Stelt u een boekhoudadres in en zet u die aanlevering aan, dan sturen wij één keer per maand de goedgekeurde onkosten van de voorbije maand — met de bonafbeeldingen en een overzichtsbestand — naar dat adres. Bij veel bonnen verdelen wij dat over meerdere berichten. Wij kiezen die ontvanger niet en schakelen hem niet in: wij versturen naar het adres dat u zelf instelt. Wat hij vervolgens met die gegevens doet, gebeurt buiten onze opdracht en buiten deze overeenkomst. Zet u die functie niet aan, dan gebeurt het niet.

Bijzondere categorieën. Het feit van arbeidsongeschiktheid wordt verwerkt op elk plan waarop kalender en verlof aanstaan — elk betaald plan, vanaf de eerste dag: ziekte is een standaard registratietype en ziekte-uren verschijnen in de maandrapportage van uw beheerder. Op het gratis Onderaannemingsplan staan kalender en verlof niet aan. Gebruikt u de module Documenten, dan kunnen medische attesten daarin voorkomen onder de vaste categorie "attest". Daarnaast kan een medewerker gezondheidsgegevens in een vrij tekstveld invoeren zonder dat het product daarom vraagt.

Dit zijn bijzondere categorieën in de zin van artikel 9 AVG. De beoordeling van de uitzonderingsgrond onder artikel 9 lid 2 AVG en van wat uw nationale arbeidsrecht een werkgever toestaat te verzamelen, ligt bij u; deze overeenkomst neemt die beoordeling niet over en spreekt zich er niet over uit (artikel 6.3). Voor deze gegevens geldt bij ons: wij verwerken ze uitsluitend voor het leveren van de dienst, toegang kan alleen langs de twee wegen van artikel 7 en alleen door personen die zich tot vertrouwelijkheid hebben verbonden, en op verzoek leveren wij u het aantal en de functiecategorieën van die personen — aan een toezichthoudende autoriteit leveren wij op verzoek hun namen.

Wie er binnen úw omgeving bij kan. Een attest is zichtbaar voor de betrokkene zelf en voor iedere gebruiker aan wie u de beheerdersrol hebt gegeven. Een afzonderlijke HR-bevoegdheid bestaat niet in het product: wie beheerder is, ziet alle documenten van alle medewerkers, ook die in de categorie attest. Een rapporteur en een gewone gebruiker kunnen er niet bij. Houd daar rekening mee bij het toekennen van de beheerdersrol; die keuze is de uwe (artikel 6.5).

Modules die vandaag niet activeerbaar zijn. Wij hebben een module Afwezigheid+ en een module Personeelsdossier gebouwd, maar zij kunnen op een Standard-omgeving niet worden aangezet — niet door u, en niet door ons via de beheerfuncties in het product of ons beheerplatform. Zolang dat zo is, vinden die verwerkingen bij u niet plaats. Bijlage A beschrijft ze als toekomstig, zodat u weet wat er zou gebeuren als wij ze vrijgeven; geven wij ze vrij, dan is dat een materiële wijziging in de zin van artikel 18.

5. Instructies van de verwerkingsverantwoordelijke

Wij verwerken uitsluitend op uw gedocumenteerde instructie. Deze overeenkomst, de algemene voorwaarden en het gebruik dat u en uw gebruikers van de dienst maken, gelden als die instructie.

Een nieuwe instructie geeft u schriftelijk, via het adres in bijlage D. Wij bevestigen binnen tien werkdagen of wij haar kunnen uitvoeren; kunnen wij dat niet, dan zeggen wij dat schriftelijk, met de reden. Twee soorten instructie kunnen wij vandaag niet uitvoeren: "verwijder dit ook uit de back-ups" en "herstel dit verwijderde bestand" (bijlage C.9).

Doorgifte. Uw instructie omvat uitdrukkelijk ook doorgiften van persoonsgegevens naar een derde land of een internationale organisatie. Wij geven niet door buiten het kader van artikel 10 en bijlage B.1.

Wettelijke verplichting. Verplicht een wettelijk voorschrift ons toch tot een verwerking of een doorgifte, dan melden wij u dat vooraf, tenzij dat voorschrift de melding verbiedt om gewichtige redenen van algemeen belang.

Strijdige instructie. Menen wij dat een instructie van u in strijd is met de AVG of met andere gegevensbeschermingsregels, dan stellen wij u daarvan onmiddellijk in kennis. Wij mogen de uitvoering van die instructie opschorten totdat u haar schriftelijk bevestigt of intrekt.

6. Verplichtingen van de Klant

1. Rechtsgrond. U zorgt voor een geldige rechtsgrond onder artikel 6 AVG voor wat u via MijnUren verwerkt.
2. Informeren. U informeert uw medewerkers en andere betrokkenen overeenkomstig de artikelen 13 en 14 AVG.
3. Bijzondere categorieën. U beoordeelt de uitzonderingsgrond onder artikel 9 lid 2 AVG en wat uw arbeidsrecht toestaat. Houd er daarbij rekening mee dat het feit van arbeidsongeschiktheid op elk betaald plan hoe dan ook wordt verwerkt (artikel 4).
4. Wat u invoert. U staat in voor de juistheid en de rechtmatigheid van de gegevens, documenten en instructies die u en uw gebruikers in MijnUren plaatsen.
5. Gebruikersbeheer. U kent toegangsrechten toe, wijzigt ze en trekt ze tijdig in, en beslist wie in uw omgeving beheerder is. MijnUren kent per persoon één gebruikersaccount, dat aan meer dan één omgeving gekoppeld kan zijn: deactiveert u een gebruiker die ook bij een andere MijnUren-omgeving hoort, dan blokkeert dat zijn aanmelding overal. Het gebruikersaccount is dus niet exclusief aan uw omgeving toegewezen.
6. Bewaartermijnen. Het vaststellen en toepassen van bewaartermijnen tijdens de looptijd is uw taak; het product dwingt ze niet af (artikel 16).
7. Incidenten. U beoordeelt een incident dat wij u melden en beslist over de melding aan uw toezichthouder en aan de betrokkenen. Wij leveren de informatie waarover wij beschikken en melden nooit in uw plaats.
8. Rechtmatig gebruik. U gebruikt MijnUren niet voor verwerkingen die in strijd zijn met toepasselijke wetgeving.

Uw rechten onder deze overeenkomst, op één plaats: instructies geven (artikel 5), bijstand vragen (artikelen 12 en 13), een melding van een inbreuk ontvangen (artikel 11), bezwaar maken tegen een nieuwe subverwerker en opzeggen (artikel 9), auditeren (artikel 15), bij het einde kiezen tussen teruggave en verwijdering (artikel 16), en opschorting of beëindiging vorderen wanneer wij tekortschieten (artikel 17). Deze opsomming laat onze eigen verplichtingen onverlet: wij blijven aansprakelijk voor de nakoming van de artikelen 28, 29, 31, 32 en 33 lid 2 AVG en van deze overeenkomst, ongeacht wat u doet of nalaat, en de beperking van de omvang van onze schadevergoeding in artikel 17 verandert daar niets aan. Beschikken wij over informatie of functies die u nodig heeft om het bovenstaande na te komen, dan stellen wij die ter beschikking.

7. Vertrouwelijkheid en toegang door Vangelder Solutions

Wij zorgen ervoor dat iedereen bij ons die toegang heeft tot persoonsgegevens uit uw omgeving zich tot vertrouwelijkheid heeft verbonden, ook na afloop van zijn betrokkenheid, en uitsluitend op onze instructie verwerkt. Dat geldt voor onze medewerkers en voor de zelfstandige medewerkers die wij inschakelen; voor het personeel van subverwerkers gelden de verplichtingen uit artikel 9. Wij hebben op twee manieren toegang tot uw gegevens.

7.1 Supporttoegang tot uw omgeving. Een medewerker van ons kan zichzelf toegang tot uw omgeving geven, uitsluitend wanneer dat noodzakelijk is voor support, onderhoud, beveiliging of herstel. Daarvoor geldt:

• De toegang wordt verleend als beheerdersrol. Een beperkte supportrol bestaat niet in het product. Een supportmedewerker kan dus, zolang de toegang loopt, zien wat een beheerder van u ziet, met inbegrip van documenten in de categorie "attest".
• De toegang loopt af na 72 uur. Wie op het moment van aflopen al in uw omgeving werkte, wordt pas bij een volgende opruimronde afgesloten; tussen het aflopen en dat moment kan tot ongeveer een etmaal zitten. Wij kunnen een toegang ook eerder intrekken en doen dat zodra het werk klaar is.
• Elke verlening, verlenging en intrekking wordt vastgelegd — wie, welke omgeving, welk tijdstip — ongeacht langs welke weg die toegang wordt verleend. Vastgelegd wordt het verlenen van de toegang, niet elke afzonderlijke raadpleging. Voor de toegang uit 7.2 geldt dit niet.
• U kunt in de toepassing niet zelf zien wie van ons toegang heeft: wij filteren onze accounts uit de lijsten die u als klant te zien krijgt. Daar staat tegenover dat wij u op verzoek binnen tien werkdagen een overzicht leveren van onze accounts met actuele supporttoegang tot uw omgeving en van elke verlening, verlenging en intrekking die sinds 17 augustus 2026 is vastgelegd. Voor de periode daarvóór is ons logboek onvolledig; wat wij daarover hebben, leveren wij.

7.2 Toegang uit hoofde van infrastructuurbeheer. De toepassing werkt met volledige rechten op de databank, en onze beheerders hebben toegang tot de beheerconsoles van onze subverwerkers en tot de broncode- en uitrolomgeving. Die toegang is noodzakelijk om de dienst te laten werken en wordt niet afzonderlijk vastgelegd. Het aantal personen met die toegang is beperkt, zij hebben zich tot vertrouwelijkheid verbonden, en de toegang tot die consoles is beveiligd met tweestapsverificatie.

8. Beveiliging

Wij treffen passende technische en organisatorische maatregelen zoals artikel 32 AVG die verlangt. Bijlage C beschrijft wat er vandaag is, met inbegrip van wat die maatregelen niet dekken. Wij toetsen die maatregelen periodiek op doeltreffendheid, ten minste jaarlijks en na elke wezenlijke wijziging aan de dienst of aan de infrastructuur, en werken bijlage C bij wanneer de beschrijving niet meer klopt.

Wij mogen maatregelen vervangen of aanpassen; het beschermingsniveau mag daardoor niet dalen. Kan dat in een concreet geval niet worden vermeden — bijvoorbeeld omdat een leverancier een functie stopzet — dan werken wij bijlage C bij en brengen wij de beheerders van uw omgeving daarvan op de hoogte. Een wezenlijke verzwakking van een maatregel uit bijlage C geldt als een materiële wijziging in de zin van artikel 18, met dezelfde opzegmogelijkheid.

Een actuele technische beschrijving van de dienst bezorgen wij u op verzoek, binnen de termijn uit bijlage D. Dat document maakt geen deel uit van deze overeenkomst.

9. Subverwerkers

U geeft algemene toestemming voor het inschakelen van subverwerkers. De actuele lijst staat in bijlage B.1, met per partij de rechtspersoon, wat zij doet, waar zij verwerkt en welke waarborgen gelden. Bijlage B.1 is de bindende lijst; wijkt een publiek overzicht van ons daarvan af, dan geldt bijlage B.1.

Verplichtingen van de subverwerker. Wij komen met elke subverwerker verplichtingen overeen die niet lichter zijn dan die uit deze overeenkomst, zoals artikel 28 lid 4 AVG verlangt. In de praktijk nemen wij daarvoor de standaardvoorwaarden van de betrokken partij af; wij hebben ze niet zelf opgesteld. Wat per partij is vastgesteld en wat niet, staat in bijlage B.1; waar die bijlage vermeldt dat een verwerkersovereenkomst niet is vastgesteld, is die dekking vandaag niet aantoonbaar en werken wij eraan haar te sluiten. Komt een subverwerker zijn verplichtingen niet na, dan blijven wij jegens u volledig aansprakelijk voor zijn handelen; artikel 17 regelt de omvang van de schadevergoeding.

Wat u van ons kunt vragen. Vraagt u om de verwerkersvoorwaarden die met een subverwerker gelden, dan bezorgen wij u binnen tien werkdagen het exemplaar of de vindplaats ervan, en op een later verzoek de dan geldende versie; wat een leverancier als bedrijfsgeheim behandelt, mogen wij weglaten. Stellen wij vast dat een subverwerker zijn verplichtingen niet nakomt, dan melden wij u dat, ook wanneer er geen sprake is van een inbreuk in verband met persoonsgegevens. De Europese modelbepalingen voorzien daarnaast in een beding waarmee u bij een subverwerker rechtstreeks wissing of teruggave kunt afdwingen als wij zouden wegvallen; bij de partijen waarvan wij standaardvoorwaarden afnemen, hebben wij dat beding niet kunnen bedingen. Op verzoek bezorgen wij u in plaats daarvan de accountreferenties en contactpunten bij elke subverwerker, zodat u in dat geval zelf kunt handelen.

Wijzigingen aan de lijst. Voegen wij een subverwerker toe of vervangen wij er een, dan werken wij bijlage B.1 bij en brengen wij de beheerders van uw omgeving daarvan ten minste dertig dagen vóór de ingangsdatum op de hoogte. U kunt binnen dertig dagen na dat bericht gemotiveerd bezwaar maken; komen wij er samen niet uit, dan kunt u de betrokken dienst of het abonnement kosteloos opzeggen tegen de datum waarop de wijziging ingaat, en voor de periode daarna brengen wij u niets meer in rekening.

Noodvervanging. Valt een partij feitelijk weg, of moeten wij haar vervangen om een beveiligingsprobleem te verhelpen dat geen uitstel duldt, dan berichten wij u onverwijld en uiterlijk binnen vijf werkdagen ná de wijziging, met de reden. Buiten die twee gevallen geldt de termijn van dertig dagen vooraf onverkort. Bij een noodvervanging gaat uw bezwaartermijn van dertig dagen in op de dag van ons bericht, en werkt een opzegging op grond daarvan terug tot de datum van de wijziging: wat u voor de periode vanaf die datum heeft betaald, betalen wij terug.

10. Internationale doorgiften

Waar er wordt verwerkt. Waar elke subverwerker verwerkt, en hoe wij dat hebben vastgesteld, staat per partij in bijlage B.1. De opslag van de gegevens uit uw omgeving vindt bij de daar genoemde partijen binnen de EER plaats. Voor de databank waarborgt de leverancier opslag in de aangewezen regio en verwerking die daar hoofdzakelijk plaatsvindt; verwerking die volledig binnen de EER blijft, waarborgt hij niet. Eén partij verwerkt daarnaast account- en organisatiegegevens van ons buiten de EER, ongeacht de gekozen regio; dat staat bij die partij vermeld.

Toegang vanuit derde landen. Verschillende van onze subverwerkers hebben een moederbedrijf of ondersteunende vestigingen buiten de EER. Wij kunnen niet uitsluiten dat er vanuit een derde land toegang tot gegevens plaatsvindt, bijvoorbeeld voor ondersteuning of onderhoud; voor zover dat gebeurt, geldt het als een doorgifte in de zin van hoofdstuk V AVG. Waar dit vandaag speelt: de botbescherming op ons registratieformulier draait op een wereldwijd netwerk en verwerkt daarbij het IP-adres en technische verzoekgegevens van de bezoeker; voor doorgifte naar de vestigingsstaat van onze databankleverancier gelden standaardcontractbepalingen. Uw omgeving zelf wordt rechtstreeks door Azure bediend en loopt niet over het netwerk van Cloudflare; die partij levert daar DNS.

Mechanismen. Wij geven persoonsgegevens uit uw omgeving alleen buiten de EER door op een grondslag uit hoofdstuk V AVG: een adequaatheidsbesluit, standaardcontractbepalingen van de Europese Commissie met de aanvullende maatregelen die daarbij nodig zijn, of een andere geldige grondslag. Welk mechanisme per partij geldt, staat in bijlage B.1. Bij één partij ontbreekt een bewijsstuk van de aanvaarding: haar verwerkersovereenkomst komt volgens haar eigen voorwaarden tot stand zodra iemand de dienst gebruikt, en zij geldt dus ook voor ons, maar wij kunnen geen aanvaardingsmoment aanwijzen. Wij schrijven haar daarom wel het mechanisme uit haar eigen voorwaarden toe en vermelden die beperking erbij. Deze bepaling ziet op de verwerking die onder deze overeenkomst valt; de verwerking door de kaartdiensten uit artikel 3.4 wordt niet door uw instructies bepaald en valt daarom niet onder deze overeenkomst; zij is daar als beperking beschreven.

Uitgaande e-mail. Stuurt de dienst op uw instelling gegevens per e-mail naar een ontvanger die u zelf kiest — uw boekhouder, uw medewerkers — dan bepaalt u die ontvanger, en daarmee ook de grondslag en, waar die ontvanger zich buiten de EER bevindt, de doorgifte. Wij versturen; wij kiezen de bestemming niet.

11. Inbreuken in verband met persoonsgegevens

Wij informeren u over een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en, waar redelijkerwijs mogelijk, binnen 48 uur na kennisneming. Die 48 uur is een inspanningsverbintenis binnen de norm "zonder onredelijke vertraging" van artikel 33 lid 2 AVG; zij verkort noch verlengt de termijn waarbinnen u zelf moet melden.

Kennisneming is het moment waarop iemand bij ons redelijkerwijs kon weten dat er iets mis was — niet het moment waarop wij weten wát er gebeurd is, en niet het moment waarop het is opgelost. Krijgen wij een melding van een subverwerker, dan begint de termijn bij die melding.

De melding bevat ten minste de informatie waarover wij op dat ogenblik beschikken: de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen, en het contactpunt uit bijlage D. Zijn er gezondheidsgegevens bij betrokken, dan vermelden wij dat uitdrukkelijk. Is de informatie nog niet volledig, dan melden wij toch en leveren wij in fasen aan zodra er meer bekend is.

Hoe wij een incident opmerken. Onze detectie berust op foutmeldingen uit de toepassing, op meldingen van onze leveranciers, en op een periodieke eigen controle van die signalen, die wij onszelf hebben opgelegd. Wij bewaken niet permanent, wij hebben geen bemande wachtdienst en wij beloven geen realtime detectie. Het moment van kennisneming kan daardoor later liggen dan het moment waarop een incident ontstond, en de termijn van 48 uur loopt vanaf dat latere moment.

Wij melden nooit in uw plaats — niet aan een toezichthoudende autoriteit en niet aan uw betrokkenen. Dat is uw beslissing en uw melding.

12. Bijstand bij rechten van betrokkenen

Richt een betrokkene zich rechtstreeks tot ons, dan verwijzen wij hem naar u en brengen wij u daarvan onverwijld op de hoogte; wij beantwoorden zo'n verzoek niet zelf, tenzij u ons daartoe schriftelijk opdracht geeft. Wij verlenen u redelijke bijstand bij verzoeken om inzage, rectificatie, wissing, beperking van de verwerking, overdraagbaarheid en bezwaar, en bij een verzoek over geautomatiseerde besluitvorming (artikel 22 AVG) — rekening houdend met de aard van de verwerking en voor zover dat mogelijk is. Wij reageren op uw verzoek om bijstand binnen tien werkdagen, zodat u uw eigen termijn kunt halen. Dat is onze reactietermijn; de termijn waarbinnen u uw medewerker moet antwoorden, volgt uit de AVG en staat daar los van.

Wat u zelf kunt. De exportfuncties in de dienst leveren de urenregistratie per maand, de onkosten en het maandoverzicht onderaanneming van uw omgeving. Zij leveren geen dossier per persoon: verlofaanvragen met hun toelichting, correctieverzoeken, saldocorrecties, documentgegevens, leesbevestigingen en bewijsrecords bij ondertekening halen wij op verzoek met de hand op. Rectificatie doet u in de toepassing zelf; lukt dat niet omdat een veld niet bewerkbaar is, dan corrigeren wij het en bevestigen wij wat er is gewijzigd.

Deactiveren is geen verwijderen. Het account wordt geblokkeerd en de gebruiker kan zich niet meer aanmelden, maar er wordt niets gewist: naam, e-mailadres, urenregistraties, verlofbeslissingen, documenten en onkosten blijven staan, omdat de historiek ernaar verwijst. In lijsten, rapportages en exports verdwijnt de persoon standaard uit beeld, maar een beheerder kan hem met één keuze weer opnemen. Deactiveren is dus geen beperking van de verwerking (artikel 18 AVG): de gegevens blijven onverkort beschikbaar. Wat wij daarvoor wél kunnen doen, spreken wij per geval af — de betrokken registraties uit lopende rapportages houden of ze verwijderen.

Wissen is geen productfunctie. Het definitief wissen van de gegevens van één medewerker is geen functie in het product. Moet u een verzoek tot wissing uitvoeren, meld dat dan via het adres in bijlage D: wij reageren binnen tien werkdagen en voeren de wissing binnen dertig dagen uit, en bevestigen achteraf schriftelijk wat er is gebeurd. Twee beperkingen horen erbij. Ten eerste kunnen gewiste gegevens nog voorkomen in een back-up van de databank zolang onze hostingpartner die bewaart (bijlage C.7); zolang zij daarin aanwezig zijn, blijven zij onderworpen aan deze overeenkomst en worden zij niet meer actief verwerkt. Ten tweede geldt voor geüploade bestanden de beperking uit bijlage C.9, punt 2: na een herstel van de databank kunnen wij niet met zekerheid stellen dat er geen bestand is achtergebleven.

13. Bijstand bij de artikelen 32 tot en met 36 AVG

Wij verlenen u redelijke bijstand bij het nakomen van uw verplichtingen onder de artikelen 32 tot en met 36 AVG, rekening houdend met de aard van de verwerking en met de informatie waarover wij beschikken. Dat omvat uitdrukkelijk:

• de beveiliging van de verwerking (artikel 32);
• uw melding aan de toezichthouder en uw mededeling aan betrokkenen (artikelen 33 en 34);
• een gegevensbeschermingseffectbeoordeling (artikel 35) en een voorafgaande raadpleging van de toezichthouder (artikel 36);
• het accuraat en actueel houden van de gegevens: komen wij bij ons werk te weten dat gegevens die wij voor u verwerken onjuist of achterhaald zijn, dan lichten wij u daarover onverwijld in.

Bijlage C is opgesteld om als bouwsteen voor uw eigen effectbeoordeling te kunnen dienen; een actuele technische beschrijving bezorgen wij op verzoek (artikel 8).

14. Toezichthouder, verwerkingsregister en overheidsverzoeken

Wij werken op verzoek samen met de toezichthoudende autoriteit (artikel 31 AVG). Wij houden een register bij van de categorieën verwerkingen die wij namens u uitvoeren (artikel 30 lid 2 AVG) en stellen dat op verzoek ter beschikking aan u en aan een toezichthoudende autoriteit (artikel 30 lid 4). De informatie uit artikel 15, met inbegrip van de resultaten van een audit, stellen wij op verzoek eveneens ter beschikking van de bevoegde toezichthoudende autoriteit.

Ontvangen wij van een overheidsinstantie een verzoek om persoonsgegevens uit uw omgeving, dan melden wij u dat voor zover dat wettelijk is toegestaan, verstrekken wij niet meer dan strikt vereist, en betwisten wij het verzoek waar daarvoor redelijke gronden bestaan.

15. Audit en verantwoording

Wij stellen u alle informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG worden nagekomen.

U mag auditeren. U mag zelf een audit uitvoeren of die laten uitvoeren door een deskundige die u aanwijst en die tot geheimhouding is gehouden; wij verplichten u niet iemand in te huren. Wij dragen actief bij: wij wijzen een contactpersoon aan, leveren de gevraagde documentatie en beantwoorden vragen. Een audit kan een bezoek aan onze bedrijfsruimten omvatten; wij beschikken niet over eigen serverruimte voor MijnUren — de dienst draait volledig bij de partijen uit bijlage B.1 — dus zo'n bezoek gaat over onze werkplekken, onze toegangsmiddelen en onze documentatie.

Twee grenzen, die volgen uit hoe de dienst is gebouwd. MijnUren Standard is een gedeelde omgeving (bijlage C.1). In de databank staan ook gegevens van andere klanten; die kunnen wij u niet laten inzien. In de plaats daarvan bieden wij bij een audit: inzage in de scheidingsregels en de configuratie waarop die scheiding berust, een demonstratie op een testomgeving, en een gerichte uitvoer van de gegevens van uw eigen omgeving. En een audit bij een subverwerker loopt via de rapportages en documentatie die die partij ons ter beschikking stelt; toegang tot hun infrastructuur kunnen wij niet verschaffen.

Praktische afspraken. Ten hoogste eenmaal per kalenderjaar, na een aankondiging van ten minste dertig dagen, tijdens kantooruren en zonder de dienstverlening te verstoren. U draagt de kosten van uw eigen audit, tenzij daaruit een wezenlijke tekortkoming van ons blijkt. Die frequentie- en aankondigingsbeperking geldt niet na een inbreuk in verband met persoonsgegevens, niet wanneer een toezichthoudende autoriteit erom verzoekt, en niet wanneer u concrete aanwijzingen heeft dat wij deze overeenkomst niet naleven. Beschikbare rapportages of certificeringen van onze subverwerkers delen wij op verzoek, voor zover wij daartoe gerechtigd zijn. Wij beschikken zelf niet over een certificering of een goedgekeurde gedragscode en voeren er ook geen.

16. Teruggave en verwijdering bij het einde

Van de gegevens in uw omgeving verwijderen wij tijdens de looptijd niets automatisch. Urenregistraties, verlof, afwezigheden, documenten en onkosten blijven bewaard tot u ze verwijdert of ons vraagt dat te doen; er draait geen taak die een bewaartermijn afdwingt. Twee zaken buiten uw omgeving ruimen wij wél automatisch op: de tellers van de snelheidsbeperking op het registratieformulier na twee dagen, en niet-bevestigde registratie-accounts na veertien dagen.

De tijdlijn bij het einde. Het ankerpunt is het einde van de betaalde periode. Bestaat er geen betaalde periode — zoals op het gratis Onderaannemingsplan — dan is het ankerpunt de sluitingsdatum die wij met u afspreken en schriftelijk bevestigen.

• Tot het ankerpunt werkt uw omgeving normaal. Exporteer uw gegevens vóór die datum.
• De dag daarna wordt de omgeving gesloten. Alleen de aanmeldstappen en de abonnements- en accountpagina blijven bereikbaar; de exportfunctie in de toepassing werkt dan niet meer.
• Dag 0 tot 30 na sluiting. Uw gegevens blijven bewaard. Binnen die termijn kiest u tussen teruggave en verwijdering; wij herinneren u vóór het verstrijken van die termijn aan die keuze. Maakt u geen keuze, dan verwijderen wij. Vraagt u alsnog om een export, dan leveren wij die via het adres in bijlage D.
• Dag 31 tot 90. Uw gegevens blijven bewaard en worden niet meer actief verwerkt, behalve om een teruggave uit te voeren.
• Uiterlijk dag 90 voeren wij de verwijdering uit, en eerder wanneer u daarom vraagt. Wij bevestigen de uitvoering schriftelijk aan de beheerders van uw omgeving, zonder dat u daarom hoeft te vragen.
• Daarna kunnen de gegevens nog voorkomen in een back-up van de databank, zolang onze hostingpartner die bewaart (bijlage C.7); zolang zij daarin aanwezig zijn, blijven zij onderworpen aan deze overeenkomst en worden zij niet meer actief verwerkt. Langer bewaren wij alleen wat een wettelijke bewaarplicht vereist — met name de fiscale bewaartermijn voor facturatiegegevens — en de vastlegging van uw aanvaarding uit artikel 1.2. Die gegevens worden niet meer actief verwerkt.

Teruggave. De teruggave omvat alle persoonsgegevens die wij namens u verwerken. Een export in een gangbaar, machineleesbaar formaat geldt als teruggave; wat die export omvat, laten wij u op verzoek zien vóór u kiest. Geüploade bestanden — bonnen, loonbrieven, contracten, attesten — zitten er niet automatisch in. Zolang uw omgeving bestaat kunt u ze zelf downloaden; daarna leveren wij ze op verzoek apart aan.

Kopieën bij derden. Voor wat per e-mail naar uw boekhoudadres is gegaan hebben wij geen enkele zeggenschap; dat regelt u met die ontvanger. Voor het Peppol-toegangspunt gelden de bewaartermijnen uit bijlage B.1; wij kunnen daar om verwijdering verzoeken, maar het resultaat niet waarborgen.

Verwijderen is bij ons handwerk. Er draait geen taak die de verwijdering na afloop uitvoert of afdwingt; een medewerker voert ze uit, en de negentig dagen hierboven zijn dus een verbintenis van mensen, niet van een systeem. De dagelijkse databaseback-up omvat geen bestanden in objectopslag (bijlage C.9, punt 1): geüploade bestanden kunnen wij verwijderen maar bij verlies niet herstellen, en na een herstel van de databank kunnen wij niet met zekerheid stellen dat er geen bestanden achterblijven waarvan de toepassing de verwijzing kwijt is.

Schorsing wegens niet-betaling is geen beëindiging. Wordt uw omgeving om die reden gesloten, dan blijven uw gegevens bewaard en start de tijdlijn hierboven niet. Duurt zo'n schorsing langer dan zes maanden, dan beschouwen wij de overeenkomst als beëindigd en start de tijdlijn alsnog; wij berichten u dat ten minste dertig dagen vooraf.

17. Aansprakelijkheid en niet-nakoming

De aansprakelijkheidsregeling uit de algemene voorwaarden is van toepassing, voor zover dwingend recht dat toelaat. Die regeling beperkt de omvang van onze aansprakelijkheid; wij wijzen u daar uitdrukkelijk op. Wat een dergelijke beperking uiteindelijk standhoudt, bepaalt het toepasselijke recht en niet deze overeenkomst; wij doen daarover hier geen uitspraak. Daarbij gelden vier preciseringen die deze overeenkomst zelf vastlegt en die onafhankelijk van die beperking werken:

1. Artikel 82 AVG blijft onverkort gelden. Een contractueel plafond werkt niet tegenover een betrokkene die schadevergoeding vordert.
2. Onderling verhaal blijft mogelijk. Heeft een van ons meer betaald dan zijn deel van de verantwoordelijkheid, dan kan hij het overschot op de ander verhalen (artikel 82 lid 5 AVG).
3. De beperking geldt niet bij opzet of zware fout, noch voor schade die naar dwingend recht niet mag worden beperkt.
4. Het ontbreken van een back-up van geüploade bestanden is een eigenschap van onze dienst, beschreven in bijlage C.9, punt 1. Voor schade die daaruit voortvloeit beroepen wij ons niet op de uitsluiting van schade door dataverlies in de algemene voorwaarden.

Wanneer wij tekortschieten. Kunnen wij om welke reden dan ook niet langer voldoen aan een verplichting uit deze overeenkomst of aan een maatregel uit bijlage C, dan brengen wij u daarvan onverwijld op de hoogte, met de reden en met wat wij eraan doen. Komen wij een verplichting uit deze overeenkomst niet na, dan kunt u ons schriftelijk gelasten de verwerking geheel of gedeeltelijk op te schorten tot wij weer voldoen; wij voeren dat bevel uit, en uw betalingsverplichting wordt voor de duur van die opschorting geschorst.

U kunt deze overeenkomst en het abonnement kosteloos en met onmiddellijke ingang beëindigen wanneer (a) een opschorting als hierboven niet binnen één maand is opgeheven, (b) wij deze overeenkomst of onze verplichtingen onder de AVG wezenlijk of voortdurend niet naleven, of (c) wij een bindende beslissing van een bevoegde rechter of toezichthoudende autoriteit over die verplichtingen niet naleven. Artikel 16 blijft in dat geval onverkort gelden. Blijft u omgekeerd aandringen op een instructie waarvan wij u overeenkomstig artikel 5 hebben gemeld dat zij naar ons oordeel in strijd is met de wet, dan kunnen wij deze overeenkomst beëindigen voor zover zij die verwerking betreft.

18. Rangorde, wijziging, taal, recht en klachten

Rangorde. De bijlagen A, B, C en D maken integrerend deel uit van deze overeenkomst. Bij tegenstrijdigheid tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor, voor alles wat de verwerking van persoonsgegevens namens u betreft, met uitzondering van de aansprakelijkheidsregeling waarnaar artikel 17 verwijst. Wijkt een andere publicatie van ons — onze privacyverklaring, ons publieke verwerkingsregister, een productpagina — hiervan af, dan geldt eveneens deze overeenkomst.

Wijzigingen. Wij mogen deze tekst wijzigen wegens gewijzigde wetgeving, gewijzigde richtsnoeren of beslissingen van een toezichthoudende autoriteit, of een wijziging in de dienst waardoor de feitelijke beschrijving hier niet meer klopt; buiten die gronden wijzigen wij haar niet. Daarnaast mogen wij een wijziging doorvoeren die uitsluitend uw bescherming versterkt of een kennelijke materiële vergissing rechtzet; zo'n wijziging kondigen wij aan, maar zij geldt niet als materieel. Elke materiële wijziging kondigen wij ten minste dertig dagen vooraf aan bij de beheerders van uw omgeving, met een nieuw versienummer en een nieuwe ingangsdatum. Gaat u niet akkoord, dan kunt u kosteloos opzeggen tegen de datum waarop de wijziging ingaat; voor de periode daarna brengen wij u niets meer in rekening.

Taal. Deze overeenkomst is opgesteld in het Nederlands. Publiceren wij een andere taalversie, dan geldt bij verschil de Nederlandse tekst.

Toepasselijk recht en bevoegde rechter. Op deze overeenkomst zijn het recht en de forumkeuze van toepassing die gelden voor de algemene voorwaarden waarnaar bij uw inschrijving is verwezen. Dwingende bepalingen van het recht van het land waar u gevestigd bent, blijven onverkort gelden; die keuze kan daaraan niets afdoen. Deze overeenkomst spreekt zich er niet over uit hoe die keuze in een concreet grensoverschrijdend geschil uitpakt — dat is aan de rechter die daarover oordeelt.

Klachten. U kunt altijd bij ons terecht via het adres in bijlage D. Bent u niet tevreden, dan kunt u een klacht indienen bij de Belgische Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel. Als verwerkingsverantwoordelijke heeft u daarnaast uw eigen toezichthouder; die kan een andere zijn.

DEEL II — BIJLAGEN

Bijlage A — Betrokkenen en persoonsgegevens

A.1 Categorieën betrokkenen. Werknemers van uw onderneming; beheerders en leidinggevenden bij u; zelfstandigen die via de module Onderaanneming aan u rapporteren, voor het deel dat onder deze overeenkomst valt (artikel 3.4); en personen die voorkomen in documenten, onkostenbewijzen of vrije tekstvelden die u of uw gebruikers invullen.

A.2 Wat er per onderdeel wordt verwerkt.

Onze aanmeldvoorziening houdt daarnaast een technisch auditspoor bij van aanmeld-, afmeld- en tweestapsgebeurtenissen, waarin het IP-adres van de gebruiker kan voorkomen. Wij raadplegen dat spoor niet en hebben de precieze inhoud ervan niet vastgesteld.

Bijlage B — Subverwerkers en andere partijen

B.1 Subverwerkers die wij namens u inschakelen. Dit is de bindende lijst waarop u het bezwaarrecht uit artikel 9 uitoefent. Elke vermelding draagt een van drie markeringen: door ons vastgesteld (wij hebben het zelf gecontroleerd), volgens opgave leverancier (de partij zegt het toe of publiceert het; wij hebben het niet zelf vastgesteld) of niet vastgesteld. De markering slaat op de bewering waar zij achter staat. Dat een leverancier voorwaarden publiceert, is iets anders dan dat wij hebben vastgesteld dat die voorwaarden voor ons account gelden; waar dat laatste niet is vastgesteld, staat het erbij.

Duur. Elke subverwerker verwerkt voor de duur waarin wij van hem gebruikmaken, en voor uw gegevens niet langer dan de duur uit artikel 1.6. Beëindigen wij een inschakeling, dan laten wij de betrokken gegevens teruggeven of wissen, behoudens wat bij die partij onder een eigen bewaarplicht valt.

Twee opmerkingen bij deze lijst. (1) Cloudflare en Recommand staan in deze bindende lijst en vallen daarmee onder alles wat artikel 9 regelt: de aankondigingstermijn, uw bezwaarrecht en het kosteloze opzegrecht. Wij nemen ze op vanwege wat zij feitelijk verwerken, en niet omdat wij hun rol in de keten juridisch hebben ingedeeld; die indeling doet aan uw rechten onder dit artikel niets af. (2) De twee kaartdiensten die de Solo-app voor de kilometerberekening aanspreekt staan bewust niet in deze lijst: die verwerking wordt niet door uw instructies bepaald en valt daarom niet onder deze overeenkomst. Zij is als beperking beschreven in artikel 3.4, met inbegrip van het feit dat er met beide partijen geen verwerkersovereenkomst bestaat en dat wij aan een vervanging werken.

B.2 Partijen die wij voor onze eigen bedrijfsvoering inschakelen. De onderstaande verwerkingen voeren wij niet op uw instructie uit; het gaat om gegevens van uw onderneming en van de contactpersoon die u bij ons opgeeft. Deze overeenkomst strekt zich daar niet toe uit. Blijkt een van deze verwerkingen toch namens u te gebeuren, dan gelden daarvoor de verplichtingen uit deze overeenkomst, met inbegrip van artikel 9. Wij noemen ze zodat u het beeld compleet heeft.

• Mollie B.V. (Nederland) — abonnementsbetalingen. Voor het abonnement gaan bedrijfsnaam, e-mailadres en abonnementsgegevens mee.
• Microsoft — Business Central en de bijbehorende identiteitsdienst — het opmaken en verzenden van onze verkoopfacturen.
• Onze boekhouding — van elke factuur die wij aan u uitreiken gaat een kopie naar ons boekhoudadres.
• Bezoekersmeting — de meting uit artikel 3.3 draait op een installatie die wij zelf beheren; de onderliggende hostingpartij en het land daarvan hebben wij niet vastgesteld. Het verkeer ernaartoe loopt via Cloudflare, dat daar de beveiligde verbinding beëindigt en dus het IP-adres, de browsergegevens en de opgevraagde pagina kan zien.

Bijlage C — Technische en organisatorische maatregelen

Deze bijlage beschrijft wat er vandaag is. Zij eindigt met wat deze maatregelen niet dekken.

C.1 Architectuur. MijnUren Standard is een gedeelde omgeving. De gegevens van alle Standard-klanten staan in één databaseproject en worden logisch gescheiden per omgeving. Ook het gedeelte voor de zelfstandigen uit de module Onderaanneming zit in diezelfde databank. Een eigen, fysiek gescheiden omgeving is beschikbaar in het enterprise-model, niet in Standard.

C.2 Versleuteling en transport.

• HTTPS wordt afgedwongen op de productietoepassing; alles wat u en uw medewerkers uploaden loopt daaroverheen.
• Versleuteling van gegevens in rust gebeurt bij onze hostingpartners. Onze opslagpartner zegt die versleuteling toe in zijn verwerkersovereenkomst; wij hebben haar niet zelf technisch vastgesteld.
• Uitgaande e-mail dragen wij over aan de dienst uit bijlage B.1, die de aflevering doet. Of de verbinding met de mailserver van de ontvanger versleuteld is, bepaalt die ontvanger; wij kunnen het niet afdwingen en hebben het niet vastgesteld.

C.3 Scheiding tussen klantomgevingen. De scheiding wordt op twee plaatsen afgedwongen, en niet allebei op hetzelfde pad. Op het hoofdpad — het grootste deel van wat de webtoepassing doet — werkt de toepassing met volledige rechten op de databank; daar houdt onze eigen software de omgevingen uit elkaar. Vier onderdelen vormen daarop een uitzondering in uw voordeel: documenten, uitgebreide afwezigheidsregistratie, personeelsdossier en onkostcategorieën draaien wél onder de databankregels, zodat die daar een tweede laag vormen. In de databank zelf begrenst daarnaast een regel op de tabellen met persoonsgegevens iedere gebruiker tot zijn eigen omgeving; die regels vangen toegang op die niet via het hoofdpad loopt. Een fout in onze software wordt op het hoofdpad dus niet door de databank tegengehouden: het zijn geen twee onafhankelijke verdedigingslijnen voor hetzelfde verkeer.

C.4 Toegangsbeheer.

• Rollen per gebruiker, door u beheerd. Bij zelfregistratie en bij het wijzigen van een wachtwoord wordt een minimale wachtwoordlengte aan serverzijde afgedwongen; op de uitnodigings- en herstelroute geldt de ondergrens van onze aanmeldvoorziening, die wij niet zelf hebben vastgesteld. De sterkte-indicator in het formulier is een hulpmiddel.
• Tweestapsverificatie (TOTP) is beschikbaar voor alle gebruikers en wordt in de webtoepassing afgedwongen voor beheerders, rapporteurs en onze eigen platformbeheerders.
• Op de gedeelde omgeving eist ook de databank zelf een tweede factor voordat iemand de rechten van een beheerder of rapporteur krijgt — zowel op de tabellen met persoonsgegevens als op de bestandsopslag. Een sessie die alleen met een wachtwoord tot stand kwam, blijft beperkt tot de eigen registraties van die gebruiker. Een gelekt wachtwoord alleen levert daardoor geen toegang op tot gegevens van anderen.
• Twee grenzen aan die afdwinging. (1) In de mobiele apps wordt een bestaande tweede factor wel gevraagd, maar het aanmaken ervan niet afgedwongen, en die bepaling gebeurt op het toestel zelf in plaats van bij de server. (2) Wie zijn tweede factor verwijdert, behoudt de rechten van zijn lopende sessie tot die vervalt; de geldigheidsduur daarvan is bij onze aanmeldvoorziening standaard één uur. De webtoepassing sluit hem meteen af, de databank pas bij de volgende tokenuitgifte.
• Een gedeactiveerde gebruiker wordt door de webtoepassing bij het eerstvolgende verzoek uitgelogd en kan zich niet meer aanmelden; een reeds uitgegeven sessietoken vervalt daarna binnen de geldigheidsduur hierboven.
• Onze broncode en uitrolketen staan bij GitHub. Daar staan geen gegevens uit uw omgeving, maar wie daar toegang toe heeft kan wél code uitrollen naar de toepassing die uw gegevens verwerkt. Het aantal personen met die toegang is beperkt en beveiligd met tweestapsverificatie.

C.5 Bescherming van publieke formulieren. Snelheidsbeperking op het registratieformulier, op basis van onomkeerbare afgeleiden (bijlage A). Botbescherming op datzelfde registratieformulier, niet op de aanmeldpagina's. Is die botdienst onbereikbaar of niet ingesteld, dan valt de controle terug op alleen de snelheidsbeperking, zodat het formulier bruikbaar blijft; ook die snelheidsbeperking laat door wanneer haar teller niet bereikbaar is. Beide maatregelen kiezen bij uitval dus voor beschikbaarheid.

C.6 Vastlegging.

• Beslissingen over verlof, onkosten en prestatiestaten worden vastgelegd met de gebruiker en een tijdstempel; saldocorrecties met de oude en de nieuwe waarde, de reden en wie ze doorvoerde. Bij correctieverzoeken worden het verzoek, de gevraagde wijziging, de toelichting en het tijdstip van afhandeling vastgelegd, maar niet wie besliste.
• Het verlenen van supporttoegang wordt vastgelegd met wie, welke omgeving en welk tijdstip — niet elke afzonderlijke raadpleging (artikel 7.1).
• Wat hier staat is een goedkeuringsspoor, geen volledige wijzigingshistoriek: van een gewijzigde urenregistratie wordt niet bijgehouden wie welke waarde wanneer heeft aangepast.
• Leestoegang wordt nergens vastgelegd. Er is geen spoor van wie welk document — ook geen medisch attest — heeft geopend, niet voor uw beheerders en niet voor ons.
• Voor technische logboeken houden wij twaalf maanden aan als richttermijn; er is geen geautomatiseerde opruiming, met uitzondering van de tellers uit C.5, die na twee dagen worden verwijderd. Het logboek waarin wij supporttoegang vastleggen bewaren wij bewust langer, omdat het het bewijsstuk is achter artikel 7.

C.7 Back-up en herstel.

• Van de databank wordt elke dag een back-up gemaakt. De databank zelf staat in de regio Ierland; waar de back-ups worden bewaard, hebben wij niet vastgesteld. Onze hostingpartner bewaart die zeven dagen volgens zijn productdocumentatie, en dat stemt overeen met onze eigen waarneming; contractueel is die termijn niet toegezegd (bijlage B.1).
• Herstel naar een willekeurig tijdstip is niet ingeschakeld. Het herstelpunt is de laatste nachtelijke back-up; bij een ernstig incident kan tot ongeveer vierentwintig uur aan gegevens verloren gaan.
• Wij hebben het herstel beproefd, niet aangenomen — op een omgeving van beperkte omvang. Daaruit volgt geen toegezegde hersteltijd: wij bieden geen gewaarborgde hersteltijd aan. Herstel wordt met de hand gestart bij onze hostingpartner en is niet geautomatiseerd.

C.8 Toetsing en kwetsbaarhedenbeheer. Wij toetsen de maatregelen uit deze bijlage periodiek (artikel 8) en herhalen de hersteltest jaarlijks en na elke wezenlijke wijziging aan het databankplatform. Beveiligingsupdates aan onze software en afhankelijkheden passen wij toe wanneer wij ze zien: er is geen vaste patch-cyclus en geen geautomatiseerde bewaking van kwetsbaarheden in afhankelijkheden. Vermoedt u een kwetsbaarheid, meld ze dan via het adres in bijlage D.

C.9 Wat deze maatregelen vandaag niet dekken.

1. Geüploade bestanden zitten in geen enkele back-up. De dagelijkse databaseback-up omvat geen bestanden in objectopslag. Geüploade bestanden — foto's van onkostenbonnen, loonbrieven, contracten en medische attesten — kunnen daarom bij verlies niet uit deze back-up worden hersteld. Er bestaat geen andere voorziening die die bestanden bewaart, en wij voeren herstelbaarheid ervan nergens als beveiligingsmaatregel op. Voor u betekent dit: wat u niet elders bewaart, bestaat na een verlies niet meer, en de teruggaveverplichting uit artikel 16 kan voor die bestanden niet in volle omvang worden waargemaakt.

2. Bij een herstel van de databank kunnen bestanden en hun verwijzingen uiteenlopen. De verwijzingen naar bestanden staan in de databank en rollen bij een herstel mee terug; de bestanden zelf niet. Een bestand dat ná het herstelpunt is geüpload blijft dan opgeslagen zonder dat de toepassing het nog kent, en een verwijderd bestand kan een verwijzing zonder inhoud achterlaten. Dit volgt uit de werking van de opslag; wij hebben het niet in een test waargenomen. Na een herstel kunnen wij dus niet met zekerheid stellen dat er niets is achtergebleven.

3. Vijf beperkingen die elders in deze overeenkomst volledig staan beschreven: er is geen permanente bewaking (artikel 11); infrastructuurtoegang wordt niet vastgelegd (artikel 7.2); er is geen beperkte supportrol, want supporttoegang wordt verleend als beheerdersrol, zodat minimale rechten hier een organisatorische afspraak zijn en geen technische begrenzing (artikel 7.1); van de gegevens in uw omgeving wordt niets automatisch verwijderd en verwijderen na afloop is handwerk (artikel 16); en leestoegang wordt nergens vastgelegd (C.6).

4. Wij laten geen externe penetratietest of beveiligingsaudit uitvoeren, en wij hebben geen eigen certificering. Geen ISO 27001, geen SOC 2, geen goedgekeurde gedragscode. Wat u in bijlage B.1 aan certificeringen ziet staan, is die van de betrokken partij en niet de onze.

Bijlage D — Contactpunt en termijnen

Contactpunt voor alles wat met deze overeenkomst te maken heeft — vragen, meldingen, verzoeken, incidenten: [email protected]. Wij hebben geen functionaris voor gegevensbescherming aangesteld; dit adres is het aanspreekpunt.

Hoe u bericht van ons krijgt. Meldingen van incidenten, aankondigingen van een nieuwe subverwerker en wijzigingen aan deze tekst sturen wij naar de e-mailadressen van de beheerders van uw omgeving. Wij mogen deze berichten daarnaast of uitsluitend bezorgen via een melding in de toepassing of via een centrale wijzigingspagina waarop u zich kunt abonneren, mits die weg voor u even toegankelijk is als e-mail. U houdt de beheerdersadressen actueel; wilt u dat wij een ander adres gebruiken, laat het ons weten, dan leggen wij dat vast.

Termijnen. Een termijn in werkdagen gaat in op de werkdag na ontvangst op het adres hierboven. Waar deze overeenkomst een reactietermijn noemt, is dat de termijn waarbinnen wij antwoorden — niet de termijn waarbinnen de gevraagde handeling is uitgevoerd, tenzij dat er uitdrukkelijk staat. Waar deze overeenkomst geen andere termijn noemt, antwoorden wij onverwijld en uiterlijk binnen tien werkdagen. Elke in deze overeenkomst genoemde termijn is een uiterste termijn; kunnen wij eerder antwoorden, dan doen wij dat onverwijld.

Vragen over deze overeenkomst? [email protected]

Verwerkersovereenkomst MijnUren Standard, versie 1.0 van 18 augustus 2026. Vangelder Solutions BV, BE 0802.046.676.