Gegevensverwerkingsovereenkomst
Deze gegevensverwerkingsovereenkomst (DPA) wordt gesloten op grond van artikel 28 van de Algemene verordening gegevensbescherming (AVG) en maakt deel uit van de Servicevoorwaarden. Zij regelt de verwerking van persoonsgegevens door ClientFlow namens onze klanten.
Versie 2.2 | Laatst bijgewerkt: 5 oktober 2026
1. Partijen
Gegevensbeheerder
U, de klant (de entiteit die de doeleinden van en de middelen voor de verwerking bepaalt)
Gegevensverwerker
ClientFlow (verwerkt persoonsgegevens namens u)
1.1 Verwerkingsomvang
Deze GVO is van toepassing op de verwerking van persoonsgegevens waarbij:
- ClientFlow persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke als onderdeel van de dienstverlening
- De verwerking betrekking heeft op het beheer van klantrelaties van de Verwerkingsverantwoordelijke
- De betrokkenen klanten en zakelijke contacten van de Verwerkingsverantwoordelijke zijn
- ClientFlow is bedrijfsbeheersoftware, geen medisch-dossier- of klinisch systeem. Wanneer de Verwerkingsverantwoordelijke gezondheidsgegevens of andere bijzondere categorieën van gegevens over zijn klanten vastlegt, bepaalt de Verwerkingsverantwoordelijke de rechtsgrond en verkrijgt hij de vereiste uitdrukkelijke toestemming, en verwerkt ClientFlow die gegevens uitsluitend op de gedocumenteerde instructies van de Verwerkingsverantwoordelijke
Verwerkingsactiviteiten
- Opslag en organisatie van klantcontactgegevens
- Registratie en tracking van betalingstransacties
- Verzending van geautoriseerde communicatie (herinneringen, meldingen)
- Generatie van analyses en rapporten op basis van geaggregeerde gegevens
2. Gegevenscategorieën
| Categorie | Voorbeelden | Doel |
|---|---|---|
| Accountgegevens | E-mail, naam, profielfoto | Servicetoegang |
| Klantgegevens | Klantnamen, telefoons, e-mails | CRM-functionaliteit |
| Betalingsgegevens | Bedragen, datums, statussen | Betalingstracking |
| Gebruiksgegevens | Inlogtijden, functiegebruik | Beveiliging, verbetering |
3. Verplichtingen van de verwerker
Wij zullen:
- Gegevens alleen verwerken volgens uw gedocumenteerde instructies
- Ervoor zorgen dat personeel gebonden is aan vertrouwelijkheid
- Passende beveiligingsmaatregelen implementeren
- Helpen bij verzoeken van betrokkenen
- U binnen 72 uur op de hoogte stellen van datalekken
- Gegevens verwijderen na beëindiging (na bewaartermijn)
4. Beveiligingsmaatregelen
Technisch
- TLS (transport)
- AES-256-GCM in rust (sessienotities, resultaatdossiers, inloggegevens van integraties, betalingstokens, tweefactorgeheimen)
- OAuth 2.0-authenticatie
- Op rollen gebaseerde toegangscontrole
- Geautomatiseerde monitoring en alarmering
Organisatorisch
- Schriftelijke beveiligings- en gegevensverwerkingsrichtlijnen
- Incidentresponsprocedure
- Beoordelingen van leveranciers en subverwerkers
- Geheimhoudingsplicht voor iedereen met toegang tot gegevens
- Wijzigingsbeheer voor productiesystemen
5. Sub-verwerkers
We gebruiken de volgende geautoriseerde sub-verwerkers:
| Aanbieder | Dienst | Locatie | Doorgiftemechanisme |
|---|---|---|---|
| Hetzner Cloud | Cloudinfrastructuur en hosting | Germany | Verwerkt binnen de EU/EER |
| Vercel | Frontendhosting en -levering | Frankfurt, Germany (FRA1) | Modelcontractbepalingen + EU–VS-kader voor gegevensbescherming |
| Cloudflare | Contentlevering en bestandsopslag | Global edge network (EU primary storage) | Modelcontractbepalingen + EU–VS-kader voor gegevensbescherming |
| iyzico | Betalingsverwerking | Istanbul, Turkey | Modelcontractbepalingen (nog niet van kracht) |
| Resend | Bezorging van transactionele e-mail | United States | Modelcontractbepalingen |
| Sentry | Foutbewaking en diagnostiek | United States | Modelcontractbepalingen |
| Google (OAuth, Analytics) | Aanmelding en authenticatie | United States | Modelcontractbepalingen + EU–VS-kader voor gegevensbescherming |
| Firebase Cloud Messaging | Pushmeldingen | United States | Modelcontractbepalingen + EU–VS-kader voor gegevensbescherming |
| Expo (push relay, OTA updates) | Pushmeldingen | United States | Modelcontractbepalingen |
| WhatsApp Business API | WhatsApp-berichten | Ireland (contracting) + global (Meta infrastructure) | Modelcontractbepalingen |
| Apple (Sign in with Apple) | Aanmelding en authenticatie | United States | Modelcontractbepalingen |
| Anthropic (Claude) | Verwerking door AI-assistent en chatbot | United States | Modelcontractbepalingen + EU–VS-kader voor gegevensbescherming |
| OpenAI | Verwerking door AI-assistent en chatbot | United States | Modelcontractbepalingen + EU–VS-kader voor gegevensbescherming |
| Groq | Verwerking door AI-assistent en chatbot | United States | Modelcontractbepalingen (nog niet van kracht) |
| Meta (Facebook Login) | Aanmelding en authenticatie | Ireland (EEA controller) + global (Meta infrastructure) | Modelcontractbepalingen (nog niet van kracht) |
| Google (reCAPTCHA) | Bot- en misbruikbescherming | United States | Modelcontractbepalingen (nog niet van kracht) |
| Google (Gmail, customer-connected) | Bezorging van transactionele e-mail | United States | Modelcontractbepalingen (nog niet van kracht) |
| Google (Calendar sync, customer-connected) | Agendasynchronisatie | United States | Modelcontractbepalingen (nog niet van kracht) |
| Microsoft (Outlook mail, customer-connected) | Bezorging van transactionele e-mail | United States | Modelcontractbepalingen (nog niet van kracht) |
| Apple (iCloud Mail, customer-connected) | Bezorging van transactionele e-mail | United States | Modelcontractbepalingen (nog niet van kracht) |
| Apple (iCloud Calendar, customer-connected) | Agendasynchronisatie | United States | Modelcontractbepalingen (nog niet van kracht) |
| Yahoo (Yahoo Mail, customer-connected) | Bezorging van transactionele e-mail | United States | Modelcontractbepalingen (nog niet van kracht) |
| OpenStreetMap (map tiles, address search) | Kaartweergave en adres zoeken | United Kingdom and Netherlands (tile requests: global CDN) | Modelcontractbepalingen (nog niet van kracht) |
| CARTO (dark-theme map tiles) | Kaartweergave en adres zoeken | United States | Modelcontractbepalingen (nog niet van kracht) |
Wijzigingsmeldingen Sub-verwerkers
Wij zullen u op de hoogte stellen van voorgenomen wijzigingen in subverwerkers:
- Minstens 14 dagen van tevoren voordat subverwerkers worden toegevoegd of vervangen
- Melding via e-mail naar het e-mailadres van uw geregistreerde account
- U kunt binnen 14 dagen bezwaar maken tegen wijzigingen door contact met ons op te nemen
- Als uw bezwaar niet kan worden opgelost, kunt u de betreffende services beëindigen
7. Auditrechten
U heeft het recht om audits uit te voeren of een onafhankelijke auditor te benoemen om onze naleving van deze GVO te verifiëren.
- Relevante documentatie en certificeringen opvragen
- Audits uitvoeren met een schriftelijke kennisgeving van ten minste 30 dagen
- Audits worden uitgevoerd tijdens normale kantooruren
- De auditor moet een geheimhoudingsovereenkomst ondertekenen
Auditomvang
- Beveiligingsmaatregelen en technische waarborgen
- Naleving door subverwerkers
- Procedures voor gegevensverwerking
- Mogelijkheden voor incidentrespons
De kosten voor audits komen voor rekening van de Verwerkingsverantwoordelijke, tenzij de audit materiële niet-naleving aan het licht brengt.
6. Gegevensbewaring en verwijdering
We bewaren persoonsgegevens alleen zo lang als nodig is voor de beschreven doeleinden, of zo lang als de toepasselijke belasting- en handelswetgeving vereist.
| Tijdlijn | Actie |
|---|---|
| Op verzoek tot accountverwijdering | Klantgegevens worden samen met je account definitief gewist: uiterlijk een dag na afloop van de bedenktermijn van 30 dagen die volgt op een verwijderingsverzoek op onze website (dat je tot het einde van die termijn kunt annuleren), of binnen 3 dagen wanneer het account in de iOS-app wordt verwijderd. De facturen, bonnen en offertes die je aan je eigen klanten uitgeeft zijn jouw gegevens — ze worden binnen dezelfde termijn samen met je account verwijderd. |
| Na verwijdering van het account | ClientFlows eigen boekhoudkundige gegevens over je abonnement (onze facturen aan jou) worden geanonimiseerd (zonder persoonsgegevens) bewaard, ten minste zolang belasting- en handelsrecht dat vereisen. |
| Bij beëindiging | Wanneer u uw account verwijdert, worden persoonsgegevens binnen 31 dagen gewist (binnen 3 dagen in de iOS-app), behalve de gegevens die we moeten bewaren (zoals auditlogs en geanonimiseerde factuurgegevens); versleutelde back-ups roteren binnen 90 dagen. Het opzeggen van een abonnement verwijdert geen gegevens |
7. CCPA-bepalingen
Onder de CCPA treden we op als een "Dienstverlener" en:
- Verwerken gegevens alleen voor gespecificeerde zakelijke doeleinden
- Verkopen geen persoonlijke informatie
- Helpen bij verzoeken van consumentenrechten
- Implementeren redelijke beveiligingsmaatregelen
8. Procedure bij datalekken
In geval van een inbreuk op persoonsgegevens (datalek) verbinden wij ons tot het volgende:
Meldingstijdlijn
- U binnen 72 uur nadat wij kennis hebben genomen van een datalek op de hoogte stellen
- Een eerste beoordeling geven van de omvang en de gevolgen van het datalek
- Binnen 5 werkdagen een gedetailleerde schriftelijke melding verstrekken
Meldingsinhoud
- Aard van het datalek, inclusief categorieën en geschat aantal betrokkenen
- Contactgegevens van het privacycontact voor vervolgvragen
- Beschrijving van de waarschijnlijke gevolgen van het datalek
- Genomen of voorgestelde maatregelen om het datalek aan te pakken
- Maatregelen om mogelijke nadelige gevolgen te beperken
Wij werken volledig mee aan uw onderzoek en aan eventuele vragen van toezichthouders, en helpen bij meldingen van datalekken aan toezichthoudende autoriteiten en getroffen personen, zoals vereist door het toepasselijke recht.
9. Internationale gegevensoverdrachten
Wanneer persoonsgegevens buiten de Europese Economische Ruimte (EER) worden overgedragen, vertrouwen wij op de waarborg die voor elke ontvanger op onze subverwerkerspagina wordt getoond; die pagina laat ook zien waar een waarborg nog niet van kracht is:
Overdrachtmechanismen
Adequaatheidsbesluiten
Voor landen erkend door de Europese Commissie
Data Privacy Framework
Voor subverwerkers in de VS gecertificeerd onder het DPF
Standaard Contractbepalingen
Door de Europese Commissie goedgekeurde clausules (versie 2021) voor overige overdrachten
Wij voeren waar vereist overdrachtseffectbeoordelingen uit en nemen waar nodig aanvullende maatregelen (technisch, organisatorisch en contractueel) om een in wezen gelijkwaardig beschermingsniveau te waarborgen.
U kunt een kopie van de overdrachtswaarborgen opvragen door contact met ons op te nemen.
10. Aansprakelijkheid en Vrijwaring
Aansprakelijkheid Verwerker
ClientFlow is aansprakelijk voor schade veroorzaakt door verwerking die niet in overeenstemming is met deze GVO of waarbij wij buiten of in strijd met de rechtmatige instructies van de Verantwoordelijke hebben gehandeld.
Aansprakelijkheid Verantwoordelijke
De Verantwoordelijke is aansprakelijk voor schade veroorzaakt door verwerking die in strijd is met de toepasselijke wetgeving inzake gegevensbescherming of die niet voldoet aan de verplichtingen van de Verantwoordelijke uit hoofde van deze GVO.
Aansprakelijkheidsbeperkingen
- Geen van beide partijen is aansprakelijk voor indirecte, incidentele of gevolgschade
- De totale gezamenlijke aansprakelijkheid onder deze GVO is beperkt tot de vergoedingen die in de 12 maanden voorafgaand aan de vordering zijn betaald
- Deze beperkingen zijn niet van toepassing op schendingen van de vertrouwelijkheid, opzettelijk wangedrag of grove nalatigheid
Elke partij stemt ermee in de andere partij te vrijwaren tegen claims van derden die voortvloeien uit een schending van deze GVO of van de toepasselijke wetgeving inzake gegevensbescherming door de vrijwarende partij.
11. Beëindiging en Gegevensretournering
GVO Duur
Deze GVO blijft van kracht gedurende de looptijd van de Servicevoorwaarden en totdat alle persoonsgegevens zijn verwijderd.
Bij beëindiging
- Naar uw keuze retourneren of verwijderen we uw persoonsgegevens binnen 31 dagen, behalve de gegevens die we moeten bewaren (zoals auditlogs en geanonimiseerde factuurgegevens)
- U kunt verzoeken om export van uw gegevens in een gangbaar, machineleesbaar formaat
- Wij zullen de verwijdering op verzoek certificeren
- Gegevens kunnen worden bewaard waar dit door toepasselijk recht is vereist
Bepalingen over vertrouwelijkheid, aansprakelijkheid en rechten inzake gegevensbescherming blijven van kracht na beëindiging van deze GVO.