Verwerkersovereenkomst (VWO)

§ 1 Voorwerp en duur van de verwerking

(1) Voorwerp: de verwerking van persoonsgegevens vindt plaats in het kader van het gebruik van de cloudsoftware "BISpicy Warenwirtschaft".

(2) Duur: de verwerking wordt uitgevoerd gedurende de looptijd van de hoofdovereenkomst. Na beëindiging worden alle persoonsgegevens binnen 30 dagen verwijderd, tenzij wettelijke bewaarplichten van toepassing zijn.

(3) Aard van de verwerking:

• Verzamelen, opslaan en gebruiken van stamgegevens van klanten
• Verwerking van ordergegevens en transacties
• Aanmaken van facturen en pakbonnen
• Doorgifte aan vervoerders voor de afhandeling van orders
• Automatische e-mailverzending van kassarapporten (kasjournaal, DATEV-boekingsbatches voor kassaomzet en kasbewegingen, optioneel DSFinV-K-export) aan door de verwerkingsverantwoordelijke aangewezen ontvangers die de ontvangst zelf via een link hebben bevestigd (alleen bij actieve BIS Insights); verzending via de SMTP-toegang van de verwerkingsverantwoordelijke, anders via de mailserver van de verwerker. De doorgifte gebeurt op instructie van de verwerkingsverantwoordelijke; de ontvangers zijn geen subverwerkers.
• Verzending van bonnen aan eindklanten op hun verzoek (indien aan de kassa gebruikt): verzending van een link naar de digitale bon naar het door de eindklant aan de kassa ingevoerde e-mailadres via de mailserver van de verwerker. Het adres wordt niet opgeslagen; ter bescherming tegen misbruik van de verzending (art. 32 AVG) vormt de verwerker een gepseudonimiseerde controlewaarde (HMAC-SHA256) van het adres, die hij na 48 uur verwijdert, en registreert hij tijdstip, apparaat, bon en verzendstatus gedurende 90 dagen. Een per e-mail verzonden digitale bon blijft vanaf de verzending minstens 90 dagen opvraagbaar, ook als de verwerkingsverantwoordelijke een kortere geldigheid heeft ingesteld. De verzending vindt plaats op instructie van de verwerkingsverantwoordelijke; de ontvangers zijn geen subverwerkers van de verwerker.
• Archiefopslag ‘Oude gegevens uit vorig systeem’ (alleen indien gebruikt): ontvangst, ongewijzigde opslag en terbeschikkingstelling van de door de verwerkingsverantwoordelijke geüploade originele exports van zijn vorige kassa- of registratiesysteem (bijv. DSFinV-K-export, TSE-export, journaals, Z-rapporten, programmeerprotocollen, procedurebeschrijving). Dit omvat een controlegetal (SHA-256), een automatische technische controle van opbouw, volledigheid en periode, een softwarematige verwijderblokkade, logging van upload, opvraging en controles, een ontvangstbevestiging per e-mail en opname in back-ups en in het exportpakket. De inhoud van de bestanden wordt niet geanalyseerd.
• E-mailarchief (BIS Archiv, alleen indien gebruikt): ophalen van de e-mails uit de door de verwerkingsverantwoordelijke gekoppelde postvakken – bij IMAP uit de opgegeven map (standaard inbox), bij de Google-interface uit het volledige postvak zonder spam en prullenbak –, ongewijzigde opslag van de gearchiveerde berichten inclusief bijlagen met een controlegetal (SHA-256) en terbeschikkingstelling om ze te vinden en op te vragen. Een automatische voorselectie sluit berichten van opslag uit wanneer mapnaam, adressen of onderwerp bepaalde trefwoorden bevatten (bijv. "privat", "betriebsrat", "newsletter"). Zij is een technische standaardinstelling, momenteel niet door de verwerkingsverantwoordelijke instelbaar en geen toezegging dat privéberichten of andere berichten zonder bewaarplicht niet worden opgeslagen. De verwerkingsverantwoordelijke koppelt alleen postvakken waarvan hij de inhoud mag archiveren en beoordeelt zelf de toelaatbaarheid (bijv. bescherming van werknemersgegevens, overeenkomst met de ondernemingsraad). Het wachtwoord of de toegangstoken voor het postvak wordt versleuteld opgeslagen.

§ 2 Categorieën van betrokkenen en gegevens

2.1 Categorieën van betrokkenen

• Klanten / eindklanten van de verwerkingsverantwoordelijke
• Leveranciers van de verwerkingsverantwoordelijke
• Medewerkers van de verwerkingsverantwoordelijke
• Contactpersonen bij zakelijke partners
• Door de verwerkingsverantwoordelijke aangewezen rapportontvangers (bijv. belastingadviseur, boekhouding)
• Medewerkers (ook voormalige), klanten en zakelijke partners van de verwerkingsverantwoordelijke die in de gegevens van zijn vorige kassa- of registratiesysteem zijn vastgelegd (archiefopslag, alleen indien gebruikt)
• Correspondentiepartners van de verwerkingsverantwoordelijke (afzenders en ontvangers van gearchiveerde e-mails) en in berichten en bijlagen genoemde derden, bijv. sollicitanten, werknemers en klanten (e-mailarchief, alleen indien gebruikt)

2.2 Categorieën van persoonsgegevens

Gegevenscategorie	Voorbeelden
Contactgegevens	Naam, adres, e-mail, telefoonnummer
Contractgegevens	Orders, facturen, klantnummers
Betaalgegevens	Bankgegevens, betalingsgeschiedenis (versleuteld)
Metagegevens van kaartbetalingen (bij actieve kassakoppeling)	Kaarttype, gemaskeerd kaartnummer (alleen de laatste vier cijfers), autorisatiecode, terminalresultaat; op uitdrukkelijk initiatief van de kassamedewerker aanvullend de terminalbon met ingekort kaartnummer (alleen de laatste vier cijfers), terminal-ID, tijdstip, bedrag en andere op de bon vermelde gegevens (bijv. geldigheidsdatum, autorisatie-, trace- en bonnummer, VU-nummer, EMV-gegevens) (incidentmelding ter opheldering van onzekere betalingen; de bontekst wordt 18 maanden na afsluiting van de zaak verwijderd, uiterlijk bij verwijdering van de klantomgeving)
Verzendgegevens	Bezorgadressen, trackingnummers
Afspraakgegevens	Afspraakboekingen, koppeling aan klanten en medewerkers (indien de afsprakenmodule wordt gebruikt)
Rapportontvangers	e-mailadres, tijdstip van akkoord/weigering/afmelding, aanmakende gebruiker, verzendbewijs per ontvanger, wijzigingslog; rapporten bevatten kassagegevens incl. namen van kassamedewerkers en vrij ingevoerde redenen van kasbewegingen
Verzending van bonnen aan eindklanten	e-mailadres (alleen voor de verzending, niet opgeslagen), gepseudonimiseerde controlewaarde van het adres (48 uur), verzendlogboek zonder adres: tijdstip, apparaat, bon, status (90 dagen)
Kassagegevens uit vorige systemen (archiefopslag, alleen indien gebruikt)	inhoud van de geüploade originele bestanden zoals vastgelegd in het vorige systeem: afzonderlijke verkoopregistraties met bedienerscode en namen van kassamedewerkers, klantgegevens op bonnen (bijv. naam, adres, btw-nummer), betaalwijzen, gemaskeerde kaartgegevens (voor zover aanwezig), vrije notities, TSE-logs met serienummers; gegevens over de opslag: uploadende gebruiker, tijdstip, bestandsnaam, grootte, controlegetal, controleresultaat, ontvangers van de ontvangstbevestiging, toegangslog
E-mailarchief (BIS Archiv, alleen indien gebruikt)	afzender, ontvanger, cc- en bcc-ontvangers (voor zover in het originele bestand aanwezig), datum, onderwerp, berichtinhoud en bijlagen van de gearchiveerde e-mails (als ongewijzigd origineel bestand inclusief de technische headers met transmissieroute en IP-adressen), bericht-ID; inhoud en bijlagen kunnen gegevens van elke soort bevatten, ook bijzondere categorieën van persoonsgegevens op grond van art. 9 AVG (bijv. ziekmeldingen, sollicitatiestukken, gezondheidsgegevens) en gegevens over in de berichten genoemde derden; postvakadres, gebruikersnaam en toegangsgegevens voor het postvak (wachtwoord of toegangstoken versleuteld); toegangslog

§ 3 Verplichtingen van de verwerker

De verwerker verbindt zich ertoe:

1. Binding aan instructies: persoonsgegevens uitsluitend te verwerken op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke (art. 28, lid 3, onder a) AVG)
2. Vertrouwelijkheid: te waarborgen dat alle personen die gemachtigd zijn gegevens te verwerken, zich tot vertrouwelijkheid hebben verbonden (art. 28, lid 3, onder b) AVG)
3. Beveiligingsmaatregelen: alle technische en organisatorische maatregelen te treffen die vereist zijn op grond van art. 32 AVG
4. Subverwerkers: alleen andere verwerkers in te schakelen met voorafgaande toestemming van de verwerkingsverantwoordelijke (art. 28, lid 2 AVG)
5. Bijstand: de verwerkingsverantwoordelijke bij te staan bij het nakomen van de verplichtingen uit hoofde van de art. 32 tot en met 36 AVG
6. Verwijdering: alle persoonsgegevens na afloop van de overeenkomst te verwijderen of terug te geven
7. Verantwoordingsplicht: de verwerkingsverantwoordelijke alle informatie ter beschikking te stellen die nodig is om de naleving aan te tonen

§ 4 Technische en organisatorische maatregelen (TOM)

De verwerker heeft de volgende maatregelen getroffen conform art. 32 AVG:

4.1 Vertrouwelijkheid

• Fysieke toegangscontrole: datacenters met fysieke toegangscontroles (DigitalOcean EU)
• Logische toegangscontrole: met een wachtwoord beveiligde gebruikersaccounts, optionele tweefactorauthenticatie
• Autorisatiecontrole: op rollen gebaseerd rechtensysteem
• Scheidingscontrole: scheiding van tenants door individuele databases

4.2 Integriteit

• Overdrachtscontrole: TLS 1.3-versleuteling voor alle gegevensoverdrachten
• Invoercontrole: logging van alle gegevensinvoer en -wijzigingen
• Archiefopslag: SHA-256-controlegetal per bestand bij ontvangst, softwarematige verwijderblokkade en onveranderlijkheid (geen bewerk- of overschrijffunctie, versiebeheer met hashketen), log van upload, opvraging en controles; geen schrijfbeveiliging op hardwareniveau (WORM-opslag) en geen extern tijdstempel

4.3 Beschikbaarheid en veerkracht

• Beschikbaarheidscontrole: 99,9 % uptimegarantie, redundante systemen
• Herstelbaarheid: dagelijkse automatische back-ups, geteste herstelprocedures

4.4 Procedures voor regelmatige toetsing

• Regelmatige beveiligingsaudits
• Penetratietests door externe dienstverleners
• 24/7 systeemmonitoring

§ 5 Subverwerkers

(1) De verwerkingsverantwoordelijke stemt in met de inschakeling van de volgende subverwerkers:

Subverwerker	Locatie	Verwerkingsdoel
DigitalOcean LLC	Frankfurt (EU)	Backend-hosting, database, bestandsopslag en cloudback-ups (Spaces, S3-compatibel, Frankfurt)
Cloudflare, Inc. (ingeschakeld door DigitalOcean)	EU/VS (modelcontractbepalingen)	Reverse proxy en content delivery network (levering van de webpagina's, verbindingsgegevens/IP) — door DigitalOcean ingeschakeld als eigen subverwerker van het App Platform; geen afzonderlijke contractuele relatie met de verwerker
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen	Duitsland (EU)	E-mailverzending en -ontvangst (systeemmailserver, indien geen eigen SMTP-toegang is ingesteld; postvakken van de domeinen bispicy.com en bispos.app)
Stripe Payments Europe Ltd.	Dublin (EU)	Betalingsverwerking softwarelicentie
Google LLC (Firebase Cloud Messaging)	EU/VS (modelcontractbepalingen)	Pushmeldingen naar gekoppelde kassa-apparaten (geen persoonsgegevens)
Anthropic PBC (alleen bij gebruik van de AI-functies)	VS (modelcontractbepalingen, art. 46 AVG)	AI-ondersteunde herkenning van inkoopfacturen, AI-artikelaanmaak en AI-repricing. Verzonden gegevens worden niet gebruikt voor modeltraining (Anthropic Commercial Terms / DPA).
Fiskaly GmbH (bij actieve kassakoppeling)	Duitsland / Oostenrijk (EU)	Cloud-TSE (KassenSichV) en RKSV-cloudondertekening
Vervoerders (DHL, DPD, GLS, Hermes, UPS, FedEx) — indien geactiveerd	EU	Aanmaken van verzendlabels, track & trace (op instructie)
Marktplaatsen, shops en ERP-systemen (Amazon, eBay, Etsy, Shopify, Magento, WooCommerce, Shopware, Gambio, Shopee, Whatnot, Odoo) — indien geactiveerd	EU / wereldwijd (afhankelijk van aanbieder)	Bestel- en artikelsynchronisatie op instructie van de verwerkingsverantwoordelijke

(2) De verwerker informeert de verwerkingsverantwoordelijke voordat hij andere subverwerkers inschakelt. De verwerkingsverantwoordelijke kan binnen 14 dagen bezwaar maken.

(3) Opmerking met betrekking tot vervoerders: de doorgifte van ontvangersgegevens aan vervoerders vindt uitsluitend plaats op uitdrukkelijke instructie van de verwerkingsverantwoordelijke (door het aanmaken van een verzendlabel in de software) ten behoeve van de uitvoering van de verzendopdracht.

§ 6 Rechten van betrokkenen

(1) De verwerker staat de verwerkingsverantwoordelijke bij in het nakomen van de rechten van betrokkenen (art. 12 tot en met 22 AVG):

• Recht op inzage (art. 15 AVG)
• Recht op rectificatie (art. 16 AVG)
• Recht op gegevenswissing (art. 17 AVG)
• Recht op beperking van de verwerking (art. 18 AVG)
• Recht op gegevensoverdraagbaarheid (art. 20 AVG)

(2) De verwerker biedt een exportfunctie die alle persoonsgegevens exporteert in een machineleesbaar formaat (CSV/JSON).

§ 7 Meldingsplichten bij gegevensinbreuken

(1) De verwerker stelt de verwerkingsverantwoordelijke zonder onnodige vertraging, en uiterlijk 24 uur nadat hij hiervan kennis heeft genomen, in kennis van iedere inbreuk in verband met persoonsgegevens.

(2) De melding bevat ten minste:

• Een beschrijving van de aard van de inbreuk
• De betrokken gegevenscategorieën en het bij benadering aantal records
• De waarschijnlijke gevolgen
• De getroffen of voorgestelde maatregelen om de inbreuk aan te pakken

§ 8 Verwijdering en teruggave van gegevens

(1) Na beëindiging van de hoofdovereenkomst worden alle persoonsgegevens:

• Op verzoek geëxporteerd en in een gangbaar formaat aan de verwerkingsverantwoordelijke overhandigd
• Na een periode van 30 dagen onherroepelijk verwijderd

(2) Er gelden uitzonderingen voor gegevens die op grond van wettelijke bewaarplichten langer moeten worden bewaard (bijv. facturen: 10 jaar).

(3) Archiefopslag ‘Oude gegevens uit vorig systeem’: Door te uploaden geeft de verwerkingsverantwoordelijke de verwerker de instructie de bestanden ongewijzigd te bewaren. In afwijking van lid 1 en § 1 lid 2 worden deze bestanden na beëindiging van de hoofdovereenkomst niet automatisch verwijderd; in zoverre blijft deze overeenkomst van kracht totdat de bestanden zijn teruggegeven of op instructie van de verwerkingsverantwoordelijke zijn verwijderd. De verwerkingsverantwoordelijke kan de bestanden op elk moment downloaden; ze zijn opgenomen in het exportpakket. Op uitdrukkelijke instructie in tekstvorm verwijdert de verwerker afzonderlijke bestanden of het volledige archief ook eerder; de verwijdering wordt gelogd. De verwerkingsverantwoordelijke kan afzonderlijke bestanden ook zelf verwijderen in het klantencentrum; de verwijdering wordt gelogd. Een verwijdering zonder instructie kondigt de verwerker ten minste 30 dagen vooraf in tekstvorm aan. De bewaarplichten (met name § 147 van het Duitse belastingwetboek, AO) rusten op de verwerkingsverantwoordelijke; de getoonde termijn wordt berekend op basis van diens gegevens, en of die in een individueel geval wordt verlengd (§ 147 lid 3 zin 5 AO), beoordeelt de verwerkingsverantwoordelijke. Deelt de verwerkingsverantwoordelijke de belastingdienst mee dat de gegevens zich bij de verwerker bevinden (§ 147 lid 6 AO), dan stelt de verwerker ze overeenkomstig die bepaling beschikbaar.

§ 9 Controlerechten

(1) De verwerkingsverantwoordelijke heeft het recht om de naleving van deze overeenkomst te controleren.

(2) De verwerker stelt hiertoe het volgende ter beschikking:

• Bewijzen van de technische en organisatorische maatregelen
• Actuele certificeringen en auditrapporten
• Op verzoek: inspecties ter plaatse (op afspraak)

§ 10 Slotbepalingen

(1) Toepasselijk recht: het Duitse recht is van toepassing, met inachtneming van de AVG.

(2) Wijzigingen: wijzigingen van deze overeenkomst vereisen de tekstvorm.

(3) Salvatorische clausule: mochten afzonderlijke bepalingen ongeldig zijn, dan blijft de geldigheid van de overige bepalingen onaangetast.