Verwerkersovereenkomst COBIQO (DPA)

Versie 1.0 · Van kracht vanaf 26 oktober 2026

1. Partijen

Deze Verwerkersovereenkomst ("DPA") wordt gesloten tussen:

• de Klant, handelend als verwerkingsverantwoordelijke ("Verwerkingsverantwoordelijke"); en
• Cobofam South SL ("Cobiqo"), handelend als verwerker ("Verwerker"),

(samen de "Partijen"). Deze DPA maakt integraal deel uit van de Algemene Voorwaarden. Begrippen met een hoofdletter die hier niet worden gedefinieerd, hebben de betekenis uit de Algemene Voorwaarden.

2. Voorwerp en toepassingsgebied

Deze DPA regelt de verwerking van persoonsgegevens door Verwerker namens Verwerkingsverantwoordelijke bij de levering van de Dienst, overeenkomstig artikel 28 AVG. De verwerkingen staan in bijlage 1.

3. Aard en doel van de verwerking

Verwerker verwerkt persoonsgegevens uitsluitend om:

• de Dienst te leveren, waaronder facturatie, boekhouding, personeels- en loonadministratie, CRM en het uitlezen van documenten;
• Wettelijke Verzendingen uit te voeren in opdracht van Verwerkingsverantwoordelijke (Peppol, VeriFactu);
• integraties mogelijk te maken die Verwerkingsverantwoordelijke activeert;
• back-ups te maken en terug te zetten;
• ondersteuning en onderhoud te bieden, waaronder Meekijken (artikel 7);
• de veiligheid en prestaties van de Dienst te waarborgen.

4. Categorieën van gegevens en betrokkenen

De categorieën staan in bijlage 1. Verwerkingsverantwoordelijke bepaalt zelf welke gegevens hij in de Dienst opneemt. Bijzondere categorieën van persoonsgegevens (zoals gezondheidsgegevens in afwezigheden) neemt hij enkel op als daarvoor een rechtsgrond bestaat en het voor de administratie nodig is.

5. Verplichtingen van Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke zal:

• zorgen voor een geldige rechtsgrond voor de verwerking;
• de vereiste informatie aan betrokkenen verstrekken, waaronder zijn personeel;
• ervoor zorgen dat de persoonsgegevens juist en rechtmatig zijn;
• gebruikers en rechten in het Account beheren en tijdig intrekken.

6. Verplichtingen van Verwerker

Verwerker zal:

• persoonsgegevens uitsluitend verwerken op gedocumenteerde instructies van Verwerkingsverantwoordelijke. Die instructies liggen vast in de Algemene Voorwaarden, deze DPA en de configuratie van de Dienst door Verwerkingsverantwoordelijke. Verwerker meldt het onverwijld als een instructie volgens hem inbreuk maakt op de AVG;
• waarborgen dat personen die persoonsgegevens verwerken, gebonden zijn door geheimhouding;
• de maatregelen van artikel 8 treffen;
• persoonsgegevens niet voor eigen doeleinden gebruiken, behoudens geaggregeerde en geanonimiseerde gegevens zoals toegestaan in de Algemene Voorwaarden;
• Verwerkingsverantwoordelijke bijstaan bij een gegevensbeschermingseffectbeoordeling en een voorafgaande raadpleging, voor zover die de Dienst betreft.

7. Toegang voor ondersteuning (Meekijken)

Verwerkingsverantwoordelijke geeft Verwerker de instructie om, voor de doeleinden omschreven in artikel 16 van de Algemene Voorwaarden, toegang te nemen tot de persoonsgegevens in het Account door middel van Meekijken. Verwerker beperkt deze toegang tot wat voor het doel noodzakelijk is, logt elke toegang, en stelt de logs op verzoek ter beschikking. De Beheerder kan de logs ook zelf raadplegen in het Account. Meekijken gebeurt standaard in alleen-lezen. Deze toegang geldt niet als een verwerking buiten de instructies van Verwerkingsverantwoordelijke.

8. Beveiligingsmaatregelen

Verwerker treft passende technische en organisatorische maatregelen, waaronder:

• een aparte database per Account en scheiding per Dossier;
• tweestapsverificatie, verplicht voor Beheerders en platformmedewerkers;
• rollen en rechten volgens het principe van minimale rechten;
• versleuteling tijdens overdracht en van back-ups buiten de server;
• dagelijkse back-ups met regelmatige hersteltests;
• logging van aanmeldingen, beheerhandelingen en Meekijken; het platformlogboek kan niet worden gewijzigd;
• maatregelen tegen ongeoorloofde toegang en datalekken.

9. Subverwerkers

Verwerkingsverantwoordelijke machtigt Verwerker om de subverwerkers uit bijlage 2 in te schakelen. Verwerker meldt een nieuwe of vervangende subverwerker minstens dertig (30) dagen vooraf per e-mail of in de Dienst. Verwerkingsverantwoordelijke kan binnen die termijn om gegronde redenen bezwaar maken. Kunnen Partijen geen oplossing vinden, dan kan Verwerkingsverantwoordelijke het Abonnement opzeggen tegen de datum waarop de subverwerker wordt ingezet. Verwerker legt subverwerkers dezelfde gegevensbeschermingsverplichtingen op en blijft aansprakelijk voor hun nakoming.

10. Internationale doorgiften

Verwerker bewaart de gegevens van de Dienst in de Europese Economische Ruimte. Doorgiften buiten de EER (bijvoorbeeld aan een AI-provider) gebeuren enkel met passende waarborgen, zoals standaardcontractbepalingen of een adequaatheidsbesluit.

11. Rechten van betrokkenen

Verwerker staat Verwerkingsverantwoordelijke bij bij het beantwoorden van verzoeken van betrokkenen, onder meer via de export- en zoekfuncties van de Dienst. Een verzoek dat Verwerker rechtstreeks ontvangt, stuurt hij onverwijld door.

12. Inbreuken in verband met persoonsgegevens

Verwerker meldt een inbreuk in verband met persoonsgegevens die Klantdata treft zonder onredelijke vertraging, en uiterlijk binnen achtenveertig (48) uur nadat hij er kennis van heeft genomen. De melding bevat de informatie die op dat ogenblik beschikbaar is: de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. Verwerker vult de melding aan zodra er meer bekend is.

13. Bewaring, teruggave en verwijdering

Verwerkingsverantwoordelijke kan op elk ogenblik een volledige export van het Account krijgen (artikel 6.6 van de Algemene Voorwaarden). Bij beëindiging verwijdert Verwerker het Account na een gemelde wachttijd. Vóór de verwijdering maakt Verwerker automatisch een volledige export. Die bewaart hij versleuteld en ontoegankelijk voor gebruik, uitsluitend om Verwerkingsverantwoordelijke of een bevoegde overheid toegang te kunnen geven zolang de wettelijke bewaarplicht voor facturen en boekhouding loopt, en ten hoogste tien (10) jaar. Kopieën in back-ups verdwijnen volgens de back-upcyclus, uiterlijk twaalf (12) maanden na de verwijdering.

14. Audits

Op redelijk verzoek verstrekt Verwerker de informatie die nodig is om naleving van deze DPA aan te tonen. Formele audits zijn beperkt tot één per jaar, behalve na een inbreuk. Ze vereisen een redelijke voorafgaande kennisgeving, worden uitgevoerd door een tot geheimhouding verplichte auditor, verstoren de bedrijfsvoering niet en geven geen toegang tot gegevens van andere klanten.

15. Aansprakelijkheid

Aansprakelijkheid onder deze DPA is onderworpen aan de beperkingen van de Algemene Voorwaarden, voor zover de AVG dat toelaat.

16. Duur en rangorde

Deze DPA geldt zolang Verwerker persoonsgegevens namens Verwerkingsverantwoordelijke verwerkt, met inbegrip van de bewaring na beëindiging (artikel 13). Bij tegenstrijdigheid tussen deze DPA en de Algemene Voorwaarden prevaleert deze DPA voor gegevensbescherming.

Bijlage 1: Verwerkingsactiviteiten

Bijlage 2: Subverwerkers

Een bank, betaaldienst of webshop die de Klant zelf koppelt, is geen subverwerker van Verwerker maar een Derdendienst van de Klant.