Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Konnekta en maakt daar onderdeel van uit. Ga je akkoord met de algemene voorwaarden, dan ga je ook akkoord met deze verwerkersovereenkomst. Een aparte ondertekening is niet nodig. Wil je toch een ondertekend exemplaar, stuur dan een bericht naar info@konnekta.nl.

De maatregelen in Bijlage B lichten we uitgebreider toe op onze pagina over beveiliging en privacy.

1. Partijen en definities

1.1 Konnekta, gevestigd te Havixhorst 17 in Meppel, ingeschreven bij de Kamer van Koophandel onder nummer 04080311, hierna "Konnekta".

1.2 De natuurlijke of rechtspersoon die gebruikmaakt van de Dienst, hierna "Klant". In de tekst hieronder spreken we de Klant aan met "je".

1.3 Dienst: het Konnekta platform en de koppelingen die Konnekta voor je bouwt, beheert en uitvoert.

1.4 AVG: Verordening (EU) 2016/679.

1.5 De begrippen persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene en inbreuk in verband met persoonsgegevens hebben de betekenis die de AVG eraan geeft.

1.6 Bij tegenstrijdigheid gaat deze verwerkersovereenkomst voor op de algemene voorwaarden, voor zover het de verwerking van persoonsgegevens betreft.

2. Rollen

2.1 Je bent verwerkingsverantwoordelijke voor de persoonsgegevens die via de Dienst worden verwerkt. Konnekta is verwerker.

2.2 Ben je zelf verwerker voor een eindklant die verwerkingsverantwoordelijke is, dan treedt Konnekta op als subverwerker. De verplichtingen van Konnekta in deze overeenkomst gelden dan ongewijzigd, en jij neemt richting je eindklant de rol van verwerker op je. Je staat ervoor in dat je de toestemming hebt om Konnekta als subverwerker in te schakelen.

2.3 Konnekta verwerkt persoonsgegevens uitsluitend voor het uitvoeren van de Dienst en niet voor eigen doeleinden.

3. Instructies

3.1 Konnekta verwerkt persoonsgegevens alleen in opdracht van jou. Je instructies liggen vast in deze overeenkomst, in de algemene voorwaarden en in de configuratie van je koppelingen.

3.2 Geef je een aanvullende instructie, dan doe je dat schriftelijk of per e-mail.

3.3 Konnekta meldt het je als een instructie naar zijn oordeel in strijd is met de AVG of andere privacywetgeving, en mag de uitvoering daarvan opschorten.

3.4 Je staat ervoor in dat je een geldige grondslag hebt voor de verwerkingen die je via de Dienst uitvoert, en dat je betrokkenen hebt geïnformeerd zoals de AVG voorschrijft.

4. Aard van de verwerking: doorgeven, niet bewaren

4.1 De Dienst geeft gegevens door tussen de pakketten die je koppelt. Konnekta bewaart de inhoud van die gegevens niet. Ze worden verwerkt zolang dat nodig is om ze bij het ontvangende pakket af te leveren en daarna niet opgeslagen.

4.2 Hierop gelden twee uitzonderingen:

• Foutgegevens. Gaat een verwerking mis, dan bewaren we de gegevens van dat verzoek om het probleem op te kunnen lossen. Deze gegevens worden na 30 dagen verwijderd.
• Logging. We loggen toegang tot het platform, API-verzoeken en fouten. Deze logs worden na 30 dagen verwijderd.

4.3 Daarnaast slaat Konnekta wel op, omdat de Dienst zonder deze gegevens niet werkt:

• De toegangssleutels van je gekoppelde pakketten: API-sleutels, OAuth-tokens en webhook-geheimen, versleuteld opgeslagen.
• De gegevens van je eigen account en de gebruikers die je toegang geeft: naam, e-mailadres en bedrijfsgegevens.
• De instellingen van je koppelingen.

4.4 Bijlage A beschrijft het onderwerp, de aard, het doel en de duur van de verwerking, en de categorieën persoonsgegevens en betrokkenen.

5. Geheimhouding

5.1 Konnekta houdt de persoonsgegevens geheim en verstrekt ze niet aan derden, behalve aan de subverwerkers in Bijlage C, op jouw instructie, of als een wettelijke verplichting daartoe dwingt.

5.2 Moet Konnekta op grond van een wettelijke verplichting gegevens verstrekken, dan informeert Konnekta je daarover vooraf, tenzij de wet dat verbiedt.

5.3 Iedereen die namens Konnekta toegang heeft tot persoonsgegevens is gebonden aan geheimhouding.

6. Beveiliging

6.1 Konnekta neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beschermen. Deze maatregelen staan in Bijlage B.

6.2 Konnekta mag de maatregelen aanpassen zolang het beschermingsniveau daardoor niet lager wordt.

6.3 Je bent zelf verantwoordelijk voor het veilig omgaan met de toegang tot je account en voor de keuze welke gegevens je via de Dienst laat verwerken.

7. Subverwerkers

7.1 Je geeft Konnekta algemene toestemming om subverwerkers in te schakelen. De subverwerkers die Konnekta op dit moment gebruikt staan in Bijlage C.

7.2 Wil Konnekta een subverwerker toevoegen of vervangen, dan meldt Konnekta dat minimaal 20 werkdagen van tevoren per e-mail op het adres dat bij je account bekend is.

7.3 Heb je een gegrond bezwaar tegen een nieuwe subverwerker, dan laat je dat binnen die 20 werkdagen weten. Komen we er samen niet uit, dan mag je de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder kosten en met terugbetaling van vooruitbetaalde bedragen over de resterende looptijd.

7.4 Konnekta legt aan elke subverwerker dezelfde verplichtingen op als in deze overeenkomst staan en blijft tegenover jou verantwoordelijk voor wat de subverwerker doet.

8. Doorgifte buiten de EER

8.1 Konnekta verwerkt persoonsgegevens binnen de Europese Economische Ruimte.

8.2 Is doorgifte naar een land buiten de EER toch nodig, dan gebeurt dat alleen op basis van een adequaatheidsbesluit van de Europese Commissie of van de standaardcontractbepalingen uit Uitvoeringsbesluit (EU) 2021/914.

9. Rechten van betrokkenen

9.1 Krijgt Konnekta rechtstreeks een verzoek van een betrokkene, dan verwijst Konnekta die door naar jou en meldt het je binnen vijf werkdagen. Konnekta handelt zo'n verzoek niet zelf af.

9.2 Konnekta helpt je binnen redelijke grenzen om aan verzoeken van betrokkenen te voldoen, voor zover je dat niet zelf via de Dienst kunt.

9.3 Omdat Konnekta de doorgegeven gegevens niet bewaart, zullen inzage, correctie en verwijdering in de regel plaatsvinden in de pakketten die je gekoppeld hebt, niet bij Konnekta.

10. Inbreuken in verband met persoonsgegevens

10.1 Stelt Konnekta een inbreuk vast die jouw gegevens raakt, dan meldt Konnekta je dat per e-mail binnen 48 uur na constatering.

10.2 Die melding bevat in elk geval:

• wat er is gebeurd en wanneer;
• welke gegevens en welke categorieën betrokkenen het betreft, voor zover bekend;
• de waarschijnlijke gevolgen;
• de maatregelen die zijn genomen en nog worden genomen;
• bij wie je terechtkunt met vragen.

10.3 Het melden bij de Autoriteit Persoonsgegevens en, waar nodig, bij betrokkenen doe je zelf. Konnekta levert daarvoor de informatie aan waarover Konnekta beschikt.

10.4 Konnekta informeert geen derden over een inbreuk zonder jouw toestemming, tenzij de wet daartoe verplicht.

11. Bijstand

11.1 Konnekta helpt je binnen redelijke grenzen bij een gegevensbeschermingseffectbeoordeling en bij overleg met de toezichthouder, voor zover dat de verwerkingen betreft die Konnekta voor je uitvoert.

11.2 Konnekta stelt je de informatie ter beschikking die je nodig hebt om aan te tonen dat de verplichtingen uit artikel 28 AVG worden nagekomen.

12. Controle en audit

12.1 Konnekta toont de naleving van deze overeenkomst in de eerste plaats aan met de openbaar beschikbare documentatie: de pagina over beveiliging en privacy, deze overeenkomst en de certificeringen van de hostingpartij (ISO 27001, SOC 1 Type 2 en NEN 7510 voor Leaseweb Netherlands B.V.).

12.2 Heb je daarnaast vragen, bijvoorbeeld in de vorm van een vragenlijst van je eigen organisatie of van je accountant, dan beantwoordt Konnekta die schriftelijk binnen tien werkdagen.

12.3 Kun je onderbouwen dat het voorgaande onvoldoende is om je verplichtingen als verwerkingsverantwoordelijke na te komen, dan mag je eens per twaalf maanden een audit op afstand laten uitvoeren. Daarbij geldt:

• je kondigt de audit minimaal 60 dagen van tevoren schriftelijk aan;
• de audit wordt uitgevoerd door een onafhankelijke deskundige die een geheimhoudingsverklaring tekent;
• we spreken vooraf samen de reikwijdte, de duur en het moment af;
• de auditor maakt geen kopieën van documenten, gegevens of systemen en wijzigt niets;
• de kosten van de audit zijn voor jou, inclusief de uren die Konnekta eraan besteedt, tegen het dan geldende uurtarief.

12.4 Konnekta mag gemotiveerd bezwaar maken tegen een voorgestelde auditor bij gebrek aan deskundigheid of onafhankelijkheid, bij een belangenconflict of wanneer de auditor een concurrent is. Je wijst dan een andere auditor aan.

12.5 Audits op locatie vinden niet plaats.

13. Duur en einde

13.1 Deze overeenkomst loopt zolang de algemene voorwaarden van kracht zijn en Konnekta persoonsgegevens voor je verwerkt.

13.2 Bepalingen die naar hun aard bedoeld zijn om na afloop door te lopen, blijven van kracht.

13.3 Bij het einde van de overeenkomst verwijdert Konnekta de gegevens die op grond van artikel 4.3 zijn opgeslagen, binnen 30 dagen. Daaronder vallen de toegangssleutels van je gekoppelde pakketten, je accountgegevens en de instellingen van je koppelingen.

13.4 Omdat Konnekta de doorgegeven gegevens niet bewaart, is er geen dataset om terug te geven. Je administratiegegevens staan in de pakketten die je zelf gekoppeld hebt en blijven daar onaangetast.

13.5 Gegevens die Konnekta wettelijk moet bewaren, zoals facturen, blijven bewaard zolang de fiscale bewaarplicht geldt.

14. Aansprakelijkheid

14.1 Op de aansprakelijkheid van partijen onder deze overeenkomst is de aansprakelijkheidsregeling uit de algemene voorwaarden van toepassing.

15. Wijzigingen

15.1 Konnekta mag deze overeenkomst wijzigen als wetgeving, rechtspraak of de werking van de Dienst daartoe aanleiding geeft.

15.2 Een wijziging wordt minimaal 30 dagen van tevoren aangekondigd per e-mail. Ben je het er niet mee eens, dan mag je de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat.

16. Toepasselijk recht

16.1 Op deze overeenkomst is Nederlands recht van toepassing.

16.2 Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar Konnekta gevestigd is.

Bijlage A: verwerkingsactiviteiten

Onderdeel	Beschrijving
Onderwerp	Het uitvoeren van koppelingen tussen de softwarepakketten die de Klant kiest.
Aard van de verwerking	Ophalen, omzetten en afleveren van gegevens tussen gekoppelde pakketten. De doorgegeven gegevens worden niet opgeslagen. Daarnaast het opslaan van toegangssleutels, accountgegevens en koppelinstellingen, en tijdelijke opslag van foutgegevens en logs.
Doel	Het leveren van de Dienst zoals overeengekomen.
Categorieën betrokkenen	Afhankelijk van de gekoppelde pakketten. In de praktijk: klanten, leveranciers, medewerkers en contactpersonen van de Klant, en de gebruikers van het account van de Klant.
Categorieën persoonsgegevens	Afhankelijk van de gekoppelde pakketten. In de praktijk: naam, bedrijfsnaam, adresgegevens, e-mailadres, telefoonnummer, factuur- en ordergegevens, betaalgegevens voor zover die in de gekoppelde pakketten voorkomen, en de account- en inloggegevens van de gebruikers van de Klant.
Bijzondere persoonsgegevens	De Dienst is niet bedoeld voor het verwerken van bijzondere categorieën persoonsgegevens als bedoeld in artikel 9 AVG.
Duur	Doorgegeven gegevens: alleen gedurende de doorgifte. Foutgegevens en logs: 30 dagen. Toegangssleutels, accountgegevens en instellingen: gedurende de looptijd van de overeenkomst, daarna verwijderd binnen 30 dagen.

Bijlage B: technische en organisatorische maatregelen

Maatregel	Beschrijving
Locatie	Het platform draait bij Leaseweb Netherlands B.V. in datacenter AMS-01 in Amsterdam. Klantdata wordt daar uitsluitend in Nederland opgeslagen en verwerkt.
Scheiding per klant	De gegevens van elke klant staan gescheiden van die van andere klanten.
Versleuteling onderweg	Alle verbindingen met het platform lopen via HTTPS (TLS).
Versleuteling bij opslag	API-sleutels, OAuth-tokens en webhook-geheimen worden versleuteld opgeslagen met AES-256-GCM, met een nieuwe willekeurige IV bij elke opslag. Wordt er met zo'n waarde geknoeid, dan valt dat op bij het ontsleutelen. De API geeft deze waarden nooit terug. De schijven van de server zijn volledig versleuteld.
Inlog- en toegangstokens	Van inloglinks en van de tokens voor AI-koppelingen wordt alleen een hash (SHA-256) bewaard, nooit het token zelf.
Inloggen	Zonder wachtwoord, met een eenmalige link naar het e-mailadres van de gebruiker.
Toegang	Alleen Konnekta en de hostingpartij hebben toegang tot de productieomgeving, beide met tweestapsverificatie.
Logging	Toegang, API-verzoeken en fouten worden gelogd. Logs worden na 30 dagen verwijderd.
Back-ups	Elke nacht een image van de volledige server, veertien dagen bewaard, versleuteld met een sleutel die alleen Konnekta heeft, opgeslagen in immutable storage zodat een verwijderde back-up veertien dagen onaantastbaar terug te halen blijft. Op de server draait anti-ransomwarebescherming. Back-ups staan in Frankfurt, Duitsland.
Controle	De werking van de koppelingen wordt dagelijks gecontroleerd. De actuele status is zichtbaar op status.konnekta.nl.

Bijlage C: subverwerkers

Partij	Doel	Vestiging	Datalocatie
Leaseweb Netherlands B.V.	Hosting van het platform en opslag	Nederland	Nederland (AMS-01, Amsterdam)
Leaseweb Netherlands B.V. (Acronis Cyber Backup)	Back-ups van het platform	Nederland	Duitsland (Frankfurt, EU)
Resend	Versturen van e-mail, zoals inloglinks	Verenigde Staten	Ierland (EU)
Moneybird B.V.	Abonnementen en facturen	Nederland	Duitsland en Nederland (EER)

De AI-aanbieder die je zelf koppelt is geen subverwerker van Konnekta. Je gebruikt daar je eigen account en bepaalt zelf welke gegevens je deelt. Zie de pagina over beveiliging en privacy.

Bijlage D: versiebeheer

Versie	Datum	Wijziging
1.0	28 september 2026	Eerste versie

Vragen over deze overeenkomst? Stuur een bericht naar info@konnekta.nl.