Met de AI Boekhouder verwerk je gegevens van je eigen klanten en leveranciers: namen, adressen, bedragen op facturen. De wet (artikel 28 AVG) eist dat we dan vastleggen wat wij daarmee mogen en moeten. Dat staat hieronder. Deze overeenkomst is onderdeel van de algemene voorwaarden: je gaat er bij je aanmelding mee akkoord, en we bewaren welke versie dat was. Een aparte handtekening is niet nodig.
1. Wie wat is
- Jij (de klant) bent verwerkingsverantwoordelijke: jij bepaalt waarvoor de gegevens in je administratie gebruikt worden.
- d-labs it, Bakkershaven 12, 3113 BA Schiedam, KvK 86752812, is verwerker: wij verwerken die gegevens alleen voor jou, om de dienst te leveren.
- Gegevens over jou als klant van ons (je account, je betalingen) vallen hier niet onder. Daarvoor zijn wij zelf verantwoordelijk; zie de privacyverklaring.
2. Waarvoor we de gegevens verwerken
Alleen om de dienst uit artikel 2 van de algemene voorwaarden te leveren: je bericht begrijpen, concepten opstellen, en na jouw akkoord facturen, klanten en boekingen in je boekhoudpakket zetten of cijfers voor je opvragen. We gebruiken de gegevens niet voor eigen doelen, niet voor reclame, verkopen ze niet en gebruiken ze niet om AI-modellen te trainen.
3. Welke gegevens, van wie
| Van wie | Jouw klanten, leveranciers en hun contactpersonen, en jijzelf. |
|---|---|
| Welke gegevens | Naam, bedrijfsnaam, adres, e-mailadres, telefoonnummer, KvK- en btw-nummer, IBAN, factuurregels, bedragen en omschrijvingen; de tekst van je berichten; foto's en PDF's van bonnetjes en inkoopfacturen die je stuurt. |
| Niet bedoeld voor | Bijzondere persoonsgegevens (zoals gezondheid) en burgerservicenummers. De dienst heeft ze niet nodig; stuur ze niet mee. Staan ze toch op een bonnetje, dan behandelen we ze net zo zorgvuldig als de rest. |
4. Alleen op jouw instructie
We verwerken de gegevens alleen op jouw instructie. Wat je de assistent via Signal vraagt en wat je in je account instelt, geldt als die instructie. Vind je dat een instructie in strijd is met de wet, dan zeggen we dat en voeren we hem niet uit. Moeten we gegevens afgeven omdat de wet of een rechter dat eist, dan laten we het je weten, tenzij dat verboden is.
5. Geheimhouding
Alleen mensen van d-labs it die het voor hun werk nodig hebben kunnen bij de gegevens, en zij hebben geheimhoudingsplicht. Kijken we mee in je account om je te helpen, dan wordt dat vastgelegd, stopt het vanzelf na 30 minuten en zie je het terug onder Instellingen → Activiteit. De geheimhouding blijft gelden na het einde van deze overeenkomst.
6. Beveiliging
We nemen passende technische en organisatorische maatregelen. Concreet:
- versleutelde verbindingen (HTTPS), en de API-sleutel van je boekhoudpakket versleuteld (AES-256) in onze database;
- per klant een eigen, gescheiden opslag; de AI krijgt je sleutel nooit te zien;
- de assistent krijgt een vaste lijst opdrachten mee, zonder verwijderopdrachten, en boekt of verstuurt niets zonder jouw akkoord;
- tweestapsverificatie of passkey verplicht voor onze beheerders, begrensde inlogpogingen, en een logboek van wie wat in je account deed;
- meerdere keren per dag een reservekopie, over een versleutelde verbinding naar onze eigen opslag in Nederland.
De details, en wat we nog níét hebben (geen ISO 27001, nog geen pentest), staan op de pagina Beveiliging.
7. Wie we inschakelen (subverwerkers)
Je geeft ons toestemming om deze partijen in te schakelen:
| Partij | Waarvoor | Waar |
|---|---|---|
| Strato AG (IONOS) | De server waarop de dienst draait en je gegevens staan. | Duitsland |
| Anthropic PBC | De AI die je bericht leest en het concept opstelt. Krijgt de tekst van je bericht en de bonnetjes die je stuurt, onder zijn zakelijke voorwaarden: niet voor training. | Verenigde Staten |
| Signal Messenger LLC | Het chatkanaal. Berichten zijn end-to-end versleuteld; Signal kan ze niet lezen. | Verenigde Staten |
- We leggen elke subverwerker dezelfde verplichtingen op als in deze overeenkomst, en blijven tegenover jou verantwoordelijk voor wat zij doen.
- Willen we een partij toevoegen of vervangen, dan mailen we je minstens 30 dagen vooraf. Heb je bezwaar, dan kun je kosteloos stoppen; wat je vooruit betaald hebt en niet gebruikt, krijg je terug.
- Geen subverwerker is je eigen boekhoudpakket (Jortt of e-Boekhouden): dat kies jij, en met die leverancier heb je je eigen verwerkersovereenkomst. Wij zetten er alleen neer wat jij goedkeurt.
8. Gegevens buiten de EU
Onze server staat in de EU. Anthropic en Signal zitten in de Verenigde Staten. Voor die doorgifte gelden de standaardcontractbepalingen van de Europese Commissie (Besluit (EU) 2021/914) uit de zakelijke verwerkersovereenkomst van Anthropic, en het EU-VS Data Privacy Framework waar de partij daaraan deelneemt. Signal ontvangt alleen versleutelde berichten.
9. Als het misgaat: datalekken
Ontdekken we een beveiligingsincident dat de gegevens raakt, dan melden we het je zonder onnodige vertraging en uiterlijk binnen 48 uur, per e-mail. We vertellen je wat er gebeurde, welke gegevens en hoeveel mensen het raakt, wat de gevolgen waarschijnlijk zijn en wat we eraan doen. Zo heb jij genoeg tijd om, als dat nodig is, binnen 72 uur te melden bij de Autoriteit Persoonsgegevens en je klanten te informeren. We houden je op de hoogte tot het is opgelost.
10. Hulp bij rechten en verplichtingen
Vraagt iemand van wie je gegevens verwerkt om inzage, correctie of verwijdering, dan helpen we je daarbij. Komt zo'n verzoek bij ons binnen, dan sturen we het naar jou door. We helpen je ook als je een DPIA moet doen of vragen krijgt van de toezichthouder. Dat kost je niets, tenzij het om ongebruikelijk veel werk gaat; dan spreken we dat vooraf met je af.
11. Controle
Je krijgt van ons alle informatie die je nodig hebt om te laten zien dat je aan de AVG voldoet. Wil je meer zekerheid, dan mag je eenmaal per jaar een audit laten doen door een onafhankelijke deskundige met geheimhoudingsplicht. Laat het ons minstens 30 dagen vooraf weten. De audit is voor jouw rekening; we beginnen met jouw schriftelijke vragen, en gaan pas verder als die antwoorden niet genoeg zijn.
12. Duur, einde en verwijderen
Deze overeenkomst loopt zolang je de dienst gebruikt. Stop je, dan:
- verwijderen we je gespreksgeschiedenis en bonnetjes binnen 30 dagen;
- verwijderen we de sleutel van je koppeling direct zodra je de koppeling intrekt of je account opheft;
- verdwijnen technische logs na uiterlijk 90 dagen;
- verdwijnt alles uiterlijk 30 dagen later ook uit onze reservekopieën, omdat die dan zijn overschreven.
Wil je het eerder, vraag het via support@dlabsit.nl. Terugzenden is niet nodig: je facturen, klanten en boekingen staan in je eigen boekhoudpakket en blijven daar van jou. Daar geldt ook jouw wettelijke bewaarplicht van zeven jaar; wij bewaren je administratie niet voor je.
13. Aansprakelijkheid en overige afspraken
- Voor aansprakelijkheid tussen ons geldt artikel 11 van de algemene voorwaarden.
- Spreken de algemene voorwaarden en deze overeenkomst elkaar tegen over persoonsgegevens, dan gaat deze overeenkomst voor.
- Wijzigen we deze overeenkomst, dan hoor je dat vooraf, net als bij de algemene voorwaarden.
- Nederlands recht is van toepassing; geschillen leggen we voor aan de bevoegde rechter in Rotterdam.