Verwerkersovereenkomst (AVG).

Deze verwerkersovereenkomst (hierna: VWO) is van toepassing op alle zakelijke afnemers van Stipto. Bij het gebruiken van Stipto verwerkt Stipto persoonsgegevens (zoals gegevens van je opdrachtgevers, contactpersonen en banktransacties) namens jou. De AVG eist dat de afspraken hierover schriftelijk vastgelegd zijn — deze VWO doet dat.

1. Definities

• Verwerkingsverantwoordelijke: jij, als zakelijke afnemer van Stipto.
• Verwerker: Stipto B.V. i.o., Amsterdam.
• Persoonsgegevens: gegevens die binnen Stipto worden verwerkt en betrekking hebben op je opdrachtgevers, hun contactpersonen of natuurlijke personen die je factureert.
• Subverwerker: derde partij die door Stipto wordt ingeschakeld voor een specifieke verwerkingstaak (zie artikel 6).

2. Onderwerp en duur

Deze VWO regelt de verwerking van persoonsgegevens door Stipto in het kader van de hoofddienstverlening (zie Algemene Voorwaarden). De VWO geldt zolang je gebruik maakt van Stipto.

3. Aard en doel van de verwerking

Stipto verwerkt persoonsgegevens uitsluitend om:

• Facturen, kosten en banktransacties te registreren en weer te geven.
• Wet DBA-risicoscores per opdrachtgever te berekenen op basis van de door jou ingevoerde antwoorden en facturatiepatronen.
• BTW-rubrieken en IB-schattingen te aggregeren.
• XAF/Auditfile-exports en PDF-facturen te genereren.
• De dienst te beveiligen en supportverzoeken af te handelen.

Stipto gebruikt persoonsgegevens niet voor eigen marketing, niet voor verkoop aan derden, en niet voor profilering buiten de bovengenoemde doeleinden.

4. Soorten persoonsgegevens en betrokkenen

Verwerkt worden onder andere:

• Opdrachtgevers: bedrijfsnaam, KvK-nummer, BTW-nummer, vestigingsadres, contactpersoon (naam, e-mail, telefoon).
• Banktransacties: tegenpartij (kan natuurlijk persoon zijn), IBAN, bedrag, omschrijving — afkomstig uit door jou geüploade bankafschriften.
• Bonnen: leverancier-gegevens uit OCR-extractie.

5. Verplichtingen van Stipto als verwerker

• Stipto verwerkt persoonsgegevens uitsluitend op basis van jouw schriftelijke instructies (waaronder begrepen het gebruik van de dienst zelf).
• Stipto garandeert dat medewerkers met toegang tot persoonsgegevens een geheimhoudingsverplichting hebben.
• Stipto past passende technische en organisatorische beveiligingsmaatregelen toe, waaronder: versleuteling at rest en in transit, toegangslogs, two-factor authentication voor beheerders, scheiding van klantdata via userId-filtering.
• Stipto helpt jou bij verzoeken van betrokkenen (inzage, correctie, verwijdering, dataportabiliteit).
• Bij beëindiging van de hoofdovereenkomst verwijdert of retourneert Stipto alle persoonsgegevens, met uitzondering van wat wettelijk bewaard moet blijven.

6. Subverwerkers

Stipto schakelt de volgende subverwerkers in:

• Neon Database, Inc. (Postgres-hosting, EU Frankfurt) — voor opslag van administratie.
• Vercel Inc.(hosting + Blob storage, EU/Frankfurt) — voor de applicatie en bonfoto's.
• Resend, Inc. (e-mail) — voor magic-link inlog en factuurverzending. Inhoud passeert tijdens verzending; geen permanente opslag van inhoud.
• Mindee SAS(Frankrijk, EU) — voor OCR-extractie uit bonfoto's.
• Amazon Web Services (Bedrock) (EU Ierland) — voor AI-samenvattingen van publieke nieuwsfeeds. Geen persoonsgegevens verzonden.
• Stripe Payments Europe Ltd. (Ierland; betalingsverwerking en EU-BTW-berekening) — verwerkt naam, e-mailadres, factuuradres, BTW-nummer en betaalmethode bij abonnement, automatische verlenging en facturatie. Voor doorgifte naar Stripe-entiteiten buiten de EU geldt SCC-basis.

Stipto kondigt nieuwe of vervangende subverwerkers minimaal 30 dagen vooraf aan; je kunt op redelijke grond bezwaar maken.

7. Datalekken

Stipto meldt een datalek dat invloed kan hebben op jouw persoonsgegevens binnen 24 uur na ontdekking, met (voor zover bekend): aard, betrokken categorieën gegevens, vermoedelijk aantal betrokkenen en genomen of voorgenomen maatregelen.

8. Doorgifte buiten de EER

Stipto verwerkt persoonsgegevens binnen de EER. Voor zover een subverwerker (bv. Resend, AWS) operationele activiteiten buiten de EER uitvoert, baseert Stipto die doorgifte op EU Standard Contractual Clauses (SCC's).

9. Audit

Jij hebt het recht maximaal eens per kalenderjaar een audit uit te (laten) voeren naar de naleving van deze VWO door Stipto, op eigen kosten. Auditrapporten of relevante certificeringen (indien beschikbaar) zijn op verzoek beschikbaar.

10. Aansprakelijkheid

De aansprakelijkheidsregeling uit de Algemene Voorwaarden is van overeenkomstige toepassing op deze VWO.

11. Contact

Voor vragen over deze verwerkersovereenkomst: jeffrey@stipto.nl.