Verwerkersovereenkomst

Deze verwerkersovereenkomst is van toepassing wanneer Fenlio persoonsgegevens verwerkt namens de zakelijke klant in het kader van het gebruik van Fenlio.

De klant is in dat geval verwerkingsverantwoordelijke en Fenlio is verwerker.

Deze verwerkersovereenkomst vormt een aanvulling op de algemene voorwaarden, privacyverklaring en de overeenkomst tussen Fenlio en de klant.

Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden geldt deze verwerkersovereenkomst voor zover het gaat om de verwerking van persoonsgegevens namens de klant.

Deze verwerkersovereenkomst wordt elektronisch gesloten wanneer een bevoegde owner namens de klant expliciet akkoord geeft in Fenlio.

De accepterende persoon verklaart bevoegd te zijn de klant te vertegenwoordigen. Fenlio registreert de geaccepteerde versies, het kantoor, de ingelogde gebruiker en het tijdstip van acceptatie.

De elektronische registratie vormt bewijs van de totstandkoming van deze verwerkersovereenkomst. De klant kan de actuele tekst via Fenlio raadplegen, opslaan en afdrukken.

De klant bepaalt het doel van en de middelen voor de verwerking van persoonsgegevens die via Fenlio worden ingevoerd, geïmporteerd, geüpload, gesynchroniseerd of verwerkt.

Fenlio verwerkt deze persoonsgegevens uitsluitend ten behoeve van de klant en volgens de afspraken in deze verwerkersovereenkomst.

Voor verwerkingen die Fenlio voor eigen bedrijfsdoeleinden uitvoert, zoals facturatie, accountbeheer, support, beveiliging en administratie, is Fenlio zelf verwerkingsverantwoordelijke. Die verwerkingen vallen onder de privacyverklaring van Fenlio.

Fenlio verwerkt persoonsgegevens alleen op basis van schriftelijke instructies van de klant, waaronder deze verwerkersovereenkomst, de algemene voorwaarden, instellingen binnen de applicatie en redelijke instructies die de klant schriftelijk of elektronisch aan Fenlio geeft.

Fenlio hoeft geen instructies uit te voeren die in strijd zijn met de AVG, andere privacywetgeving, beveiligingsvereisten of toepasselijke wetgeving.

Als Fenlio van mening is dat een instructie in strijd is met privacywetgeving, zal Fenlio de klant daarover informeren, tenzij dit wettelijk niet is toegestaan.

Fenlio kan onder meer de volgende persoonsgegevens namens de klant verwerken: namen, e-mailadressen, klant- en contactgegevens, administratienamen, offerte- en onboardinggegevens, taken en workflowinformatie, vraagposten, documenten, bijlagen, chat- en notitiegegevens, financiële en boekhoudgegevens, rapportage- en controleresultaten, gebruikersrollen, logging, technische gegevens en AI-resultaten.

Wanneer de Wwft-functionaliteit wordt gebruikt, kan Fenlio daarnaast bedrijfs-, UBO-, aandeelhouders-, vertegenwoordigings-, identificatie-, verificatie-, PEP-, sanctie-, adverse-media- en andere AML-screeningsgegevens verwerken, inclusief verificatiesignalen die door de verificatieprovider worden verwerkt.

De precieze persoonsgegevens hangen af van de functionaliteiten die de klant inschakelt, de gegevens die de klant en diens gebruikers invoeren en de beschikbare gegevens uit gekoppelde externe systemen.

De persoonsgegevens kunnen betrekking hebben op medewerkers van de klant, klanten van boekhoudkantoren, medewerkers van die klanten, contactpersonen, leveranciers of andere personen van wie gegevens voorkomen in vraagposten, documenten, notities of bijlagen.

De klant is verantwoordelijk voor het informeren van betrokkenen over de verwerking van hun persoonsgegevens via Fenlio.

Fenlio neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies, misbruik, onbevoegde toegang, openbaarmaking en ongeoorloofde wijziging.

Deze maatregelen kunnen onder meer bestaan uit toegangsbeveiliging, authenticatie, rollen en rechten, logging, versleutelde verbindingen, beveiligde cloudinfrastructuur, beperkte toegang voor bevoegde personen en organisatorische maatregelen rond vertrouwelijkheid.

De klant is verantwoordelijk voor het correct beheren van gebruikers, rollen, rechten, wachtwoorden, toegang tot gekoppelde systemen en het verwijderen van gebruikers die geen toegang meer mogen hebben.

Geen enkel digitaal systeem is volledig veilig. Fenlio kan daarom niet garanderen dat beveiligingsincidenten nooit zullen plaatsvinden.

Fenlio zorgt ervoor dat personen die toegang hebben tot persoonsgegevens zich hebben verbonden tot vertrouwelijkheid of op grond van hun functie of overeenkomst tot vertrouwelijkheid verplicht zijn.

Fenlio beperkt toegang tot persoonsgegevens zoveel mogelijk tot personen en partijen die deze toegang nodig hebben voor het leveren, beveiligen, ondersteunen of verbeteren van de dienst.

De verplichting tot vertrouwelijkheid blijft ook gelden na beëindiging van de overeenkomst.

De klant geeft Fenlio algemene toestemming om subverwerkers in te schakelen voor het leveren, beveiligen, ondersteunen en verbeteren van de dienst.

Fenlio zorgt ervoor dat met subverwerkers passende afspraken worden gemaakt over bescherming van persoonsgegevens.

Fenlio blijft richting de klant verantwoordelijk voor de verwerking door subverwerkers voor zover dit onder de verantwoordelijkheid van Fenlio valt.

Als Fenlio een nieuwe subverwerker toevoegt of een bestaande subverwerker vervangt en dit een wezenlijke wijziging oplevert, zal Fenlio dit op redelijke wijze bekendmaken.

De klant kan bezwaar maken tegen een nieuwe subverwerker als de klant daarvoor een redelijke privacy- of beveiligingsgrond heeft. Als partijen geen oplossing vinden, kan de klant het gebruik van de dienst beëindigen volgens de geldende voorwaarden.

Fenlio streeft ernaar persoonsgegevens zoveel mogelijk binnen europe-west1 te verwerken waar dit technisch en contractueel mogelijk is.

Voor sommige subverwerkers of externe diensten kan verwerking buiten Nederland of buiten de Europese Economische Ruimte plaatsvinden.

Wanneer persoonsgegevens buiten de EER worden verwerkt, zorgt Fenlio voor passende waarborgen waar dat wettelijk vereist is, zoals standaardcontractbepalingen of andere goedgekeurde doorgiftemechanismen.

Wanneer de klant een AI-functie gebruikt, kunnen documenten, tekst, workflowinformatie, financiële gegevens en relevante context worden verwerkt door externe AI-diensten, waaronder OpenAI.

Fenlio kan AI inzetten voor onder meer documentcontrole, workflowondersteuning en rapportagereview. Welke persoonsgegevens worden aangeboden hangt af van de gekozen functie en de benodigde context.

AI-resultaten kunnen worden opgeslagen binnen Fenlio zodat gebruikers deze kunnen beoordelen en gebruiken binnen het werkproces.

AI-resultaten zijn ondersteunend en kunnen fouten bevatten. De klant en diens gebruikers blijven verantwoordelijk voor controle, interpretatie en professioneel gebruik van de resultaten.

De klant is verantwoordelijk voor het bepalen of persoonsgegevens en vertrouwelijke informatie geschikt zijn om via de betreffende AI-functie te laten verwerken.

Fenlio verleent, voor zover redelijk en technisch mogelijk, medewerking aan de klant bij het nakomen van verplichtingen onder de AVG.

Dit kan betrekking hebben op verzoeken van betrokkenen, beveiligingsmaatregelen, datalekken, gegevensbeschermingseffectbeoordelingen en overleg met toezichthouders.

Als een betrokkene rechtstreeks contact opneemt met Fenlio over persoonsgegevens die namens de klant worden verwerkt, mag Fenlio deze betrokkene doorverwijzen naar de klant.

Fenlio mag redelijke kosten in rekening brengen voor verzoeken die verder gaan dan normale ondersteuning, tenzij wettelijk anders vereist.

De klant is verantwoordelijk voor het afhandelen van verzoeken van betrokkenen, zoals verzoeken om inzage, correctie, verwijdering, beperking, bezwaar of overdraagbaarheid.

Fenlio zal de klant, voor zover redelijk en technisch mogelijk, ondersteunen bij het uitvoeren van dergelijke verzoeken.

Fenlio voert verzoeken tot verwijdering of wijziging van gegevens uit op instructie van de klant, tenzij Fenlio wettelijk verplicht is bepaalde gegevens te bewaren.

Fenlio informeert de klant zonder onredelijke vertraging zodra Fenlio kennis heeft genomen van een beveiligingsincident dat betrekking heeft op persoonsgegevens die Fenlio namens de klant verwerkt.

Fenlio verstrekt de klant, voor zover beschikbaar en redelijkerwijs mogelijk, informatie die nodig is om het incident te beoordelen en eventuele meldplichten na te komen.

De klant blijft verantwoordelijk voor het beoordelen en melden van datalekken aan de Autoriteit Persoonsgegevens en betrokkenen, tenzij anders wettelijk bepaald.

Fenlio neemt redelijke maatregelen om de gevolgen van een beveiligingsincident te beperken en herhaling te voorkomen.

Fenlio stelt op verzoek redelijke informatie beschikbaar waarmee de klant kan beoordelen of Fenlio deze verwerkersovereenkomst naleeft.

Een audit of inspectie mag alleen plaatsvinden na voorafgaand schriftelijk overleg, op een manier die de veiligheid, vertrouwelijkheid, bedrijfsvoering en rechten van andere klanten van Fenlio niet schaadt.

De klant draagt de eigen kosten van een audit. Als een audit ondersteuning van Fenlio vraagt die verder gaat dan normale informatieverstrekking, mag Fenlio redelijke kosten in rekening brengen.

Fenlio mag een audit weigeren of beperken als deze onredelijk is, een beveiligingsrisico oplevert of vertrouwelijke informatie van andere klanten of leveranciers kan raken.

Fenlio bewaart persoonsgegevens die namens de klant worden verwerkt niet langer dan nodig is voor het leveren van de dienst en de uitvoering van gedocumenteerde instructies van de klant.

Dienstgegevens, waaronder relatie- en administratiedossiers, workflows, taken, vraagposten, communicatie en documenten, blijven tijdens de overeenkomst in beginsel beschikbaar zolang het account bestaat, tenzij de klant gegevens verwijdert of een verwijderinstructie geeft en geen afwijkende bewaarplicht geldt.

Fenlio synchroniseert vraagposten tot maximaal 18 maanden terug. Oudere vraagposten en bijlagen kunnen zichtbaar blijven, maar worden mogelijk niet langer actief bijgewerkt via synchronisaties.

Na beëindiging van de diensten kiest de klant, voor zover technisch mogelijk, voor teruggave of verwijdering van de persoonsgegevens. Fenlio voert die keuze uit, tenzij toepasselijke wetgeving bewaring verplicht.

Tijdens een noodzakelijke technische verwijder- of back-upcyclus blijven gegevens afgeschermd en worden zij niet voor andere doelen verwerkt dan beveiliging, herstel of uitvoering van de verwijderinstructie.

Administratieve gegevens waarvoor Fenlio zelf verwerkingsverantwoordelijke is, zoals facturen en bewijs van contractuele acceptatie, vallen niet onder deze verwijderinstructie en worden verwerkt volgens de privacyverklaring.

Voor zover technisch beschikbaar kan de klant gegevens uit Fenlio exporteren of opvragen.

Fenlio kan redelijke voorwaarden stellen aan de vorm, omvang en timing van een export of teruggave van gegevens.

Fenlio is niet verplicht om gegevens langer beschikbaar te houden dan de afgesproken of wettelijk toegestane bewaartermijnen.

De aansprakelijkheid van Fenlio onder deze verwerkersovereenkomst volgt de aansprakelijkheidsregeling uit de algemene voorwaarden, tenzij dwingend recht anders bepaalt.

Fenlio is niet aansprakelijk voor schade die ontstaat door onjuiste instructies van de klant, onrechtmatige verwerking door de klant, foutieve invoer, onjuist gebruik van de dienst, onvoldoende beheer van gebruikersrechten of het gebruik van AI-resultaten zonder menselijke controle.

De klant vrijwaart Fenlio voor aanspraken van betrokkenen, toezichthouders of derden voor zover deze voortkomen uit verwerking op basis van instructies, gegevens of keuzes van de klant.

Deze verwerkersovereenkomst geldt zolang Fenlio persoonsgegevens verwerkt namens de klant.

De verwerkersovereenkomst eindigt automatisch wanneer de overeenkomst tussen Fenlio en de klant eindigt en Fenlio geen persoonsgegevens meer namens de klant verwerkt.

Bepalingen die naar hun aard moeten blijven gelden, zoals vertrouwelijkheid, beveiliging, aansprakelijkheid en bewaartermijnen, blijven ook na beëindiging van kracht.

Fenlio mag deze verwerkersovereenkomst wijzigen wanneer de dienst, wetgeving, beveiligingsmaatregelen, verwerkingen of subverwerkers wijzigen.

Belangrijke wijzigingen worden waar mogelijk minimaal 30 dagen vooraf bekendgemaakt.

Als de klant niet akkoord gaat met een belangrijke wijziging, kan de klant het gebruik van Fenlio beëindigen volgens de geldende voorwaarden.

Als een wijziging de verwerking wezenlijk verandert, kan Fenlio verlangen dat een bevoegde owner de nieuwe versie opnieuw elektronisch accepteert.

Op deze verwerkersovereenkomst is Nederlands recht van toepassing.

Geschillen worden eerst zoveel mogelijk onderling opgelost.

Als dat niet lukt, wordt het geschil voorgelegd aan de bevoegde Nederlandse rechter volgens de wettelijke regels.