Verwerkersovereenkomst

[to confirm: concept] Concept van 23 oktober 2026, opgesteld volgens artikel 28 van de Algemene verordening gegevensbescherming (AVG). Voor publicatie worden de punten met [to confirm] ingevuld en controleert een jurist de tekst. Deze Nederlandse tekst is leidend; de vertalingen zijn een hulpmiddel.

1. Partijen en reikwijdte

1. Deze overeenkomst wordt gesloten tussen jou, de zakelijke klant van Mealbooks (verwerkingsverantwoordelijke), en Sevenhills Software, eenmanszaak van Subhashini Sivasubramani, Saturnus 16, 1188 EC Amstelveen, KVK 42162009 (verwerker, “wij”).
2. Ze maakt deel uit van de overeenkomst over Mealbooks (algemene voorwaarden). Je aanvaardt haar samen met de voorwaarden bij het aanmelden, door het vakje op het aanmeldformulier aan te vinken; we leggen vast wanneer en welke versie.
3. Ze geldt voor de persoonsgegevens die je in Mealbooks over anderen bijhoudt. Voor de gegevens over jou als onze klant zijn wij zelf verwerkingsverantwoordelijke; zie de privacyverklaring. Spreken deze overeenkomst en de algemene voorwaarden elkaar tegen over gegevensbescherming, dan gaat deze overeenkomst voor.

2. Onderwerp, aard, doel en duur

1. We verwerken persoonsgegevens namens jou alleen om Mealbooks aan je te leveren: opslaan, tonen aan je gebruikers, facturen, creditnota’s, pdf’s, e-factuurbestanden en afdrukken maken, de e-mails versturen die je Mealbooks laat versturen (zoals orderbevestigingen en betaalherinneringen), bezorgadressen opzoeken als je Route Planning gebruikt, back-ups, en support waar je om vraagt.
2. Deze overeenkomst duurt zolang je Mealbooks gebruikt en eindigt zodra alle persoonsgegevens die we voor je verwerken, zijn verwijderd (artikel 10).

3. Betrokkenen en persoonsgegevens

Mealbooks is niet bedoeld voor bijzondere persoonsgegevens (artikel 9 AVG), zoals gegevens over iemands gezondheid. Je voert die niet in; allergenen worden per gerecht vastgelegd, niet per persoon.

4. Jouw instructies

1. We verwerken de gegevens alleen op jouw gedocumenteerde instructies: deze overeenkomst, de algemene voorwaarden, het gebruik van Mealbooks zoals jij het hebt ingericht, en wat je ons schriftelijk vraagt. Dat geldt ook voor doorgifte naar een derde land (artikel 7).
2. We gebruiken de gegevens niet voor eigen doeleinden. Als een instructie naar ons oordeel in strijd is met de AVG of ander gegevensbeschermingsrecht, melden we dat direct.
3. Zonder jouw instructie verwerken we alleen als het Europese of Nederlandse recht dat verplicht; we laten je dat dan vooraf weten, tenzij dat recht het verbiedt.

5. Geheimhouding

Iedereen die voor ons toegang heeft tot de gegevens, heeft een geheimhoudingsplicht. Op dit moment is dat alleen de eigenaar van Sevenhills Software. We kijken alleen in je gegevens als dat nodig is voor support waar je om vraagt, voor de beveiliging of omdat de wet het vereist.

6. Beveiliging (artikel 32 AVG)

We nemen passende technische en organisatorische maatregelen, waaronder:

• elk bedrijf ziet alleen zijn eigen gegevens; toegang alleen na inloggen; wachtwoorden alleen als onomkeerbare hash opgeslagen;
• blokkering van een account na 5 verkeerde wachtwoorden, optioneel inloggen in twee stappen met een code per e-mail, grenzen aan het aantal verzoeken;
• versleutelde verbindingen (HTTPS) en hosting in de EU of EER;
• elke nacht een back-up, binnen 30 dagen gewist;
• geüploade foto’s verkleind en ontdaan van verborgen gegevens (zoals de locatie);
• een geketende registratie per bedrijf van elke uitgegeven factuur, creditnota, betaling en terugdraaiing en van de maand- en jaarafsluitingen: elke regel bevat een SHA-256-vingerafdruk van de vorige, zodat een latere wijziging of verwijdering opvalt bij de controle van de keten; uitgegeven facturen, creditnota’s en betalingen worden achteraf niet gewijzigd of verwijderd;
• vastlegging van beveiligingsgebeurtenissen, en wijzigingen in de software worden getest voordat ze live gaan.

We beoordelen deze maatregelen regelmatig en mogen ze aanpassen, zolang het beveiligingsniveau niet daalt.

7. Subverwerkers en doorgifte

1. Je geeft algemene schriftelijke toestemming voor deze subverwerkers:

2. Mollie verzorgt de betaling van je eigen abonnement als zelfstandig verwerkingsverantwoordelijke en ontvangt geen gegevens van je klanten.
3. We laten je ten minste 30 dagen voordat we een subverwerker toevoegen of vervangen, per e-mail weten. Je kunt binnen die termijn gemotiveerd bezwaar maken; als we het bezwaar niet kunnen wegnemen, kun je de overeenkomst vóór de wijziging kosteloos beëindigen.
4. We leggen elke subverwerker contractueel dezelfde verplichtingen op over gegevensbescherming. We blijven tegenover jou volledig aansprakelijk voor hun nakoming (artikel 28 lid 4 AVG).
5. Persoonsgegevens worden alleen buiten de Europese Economische Ruimte doorgegeven met een waarborg uit hoofdstuk V AVG (zoals een adequaatheidsbesluit of standaardcontractbepalingen).

8. Bijstand

1. Verzoeken van betrokkenen: de meeste gegevens kun je in Mealbooks zelf inzien, verbeteren, exporteren (CSV) en verwijderen. Waar dat niet kan, helpen we je binnen een redelijke termijn. Een verzoek dat we zelf ontvangen, sturen we naar je door zonder het zelf te beantwoorden. Uitgegeven facturen, creditnota’s en betalingen kunnen in Mealbooks niet worden gewijzigd of verwijderd, en de geketende registratie ervan (artikel 6) blijft bewaard zolang je account bestaat; het recht op wissing geldt niet voor gegevens die je wettelijk moet bewaren (artikel 17 lid 3 sub b AVG).
2. We helpen je, rekening houdend met de informatie waarover we beschikken, bij de beveiliging, gegevensbeschermingseffect- beoordelingen en voorafgaande raadpleging van een toezichthouder (artikelen 32 tot en met 36 AVG), en we werken mee met de toezichthouder.
3. We houden een register bij van de verwerkingen die we voor onze klanten uitvoeren (artikel 30 lid 2 AVG).

9. Inbreuken in verband met persoonsgegevens (datalekken)

1. Als we een datalek ontdekken dat jouw gegevens raakt, melden we dat zonder onredelijke vertraging en uiterlijk binnen 48 uur na de ontdekking, per e-mail aan het adres in je account.
2. We vertellen je wat we weten en vullen dat aan zodra we meer weten: wat er is gebeurd, welke soorten en ongeveer hoeveel betrokkenen en gegevens het kan raken, de waarschijnlijke gevolgen, en wat we hebben gedaan en nog doen.
3. Jij beslist of je het datalek meldt bij de toezichthouder (binnen 72 uur, artikel 33 AVG) en bij de betrokkenen; we helpen je daarbij. We documenteren elk datalek.

10. Einde van de overeenkomst: teruggeven en verwijderen

1. Als je account is uitgezet, kun je alle gegevens van je bedrijf met Mijn gegevens downloaden minimaal 30 dagen (maximaal 50) downloaden voordat ze worden verwijderd; zo geven we de gegevens aan je terug.
2. Na die termijn verwijderen we alle persoonsgegevens die we voor je verwerken, en back-ups worden binnen 30 dagen overschreven. We bewaren alleen gegevens als het Europese of Nederlandse recht dat verplicht; de gegevens over je klanten horen daar niet bij.
3. Op verzoek bevestigen we de verwijdering schriftelijk.

11. Informatie en audits

1. We geven je alle informatie die nodig is om aan te tonen dat we aan artikel 28 AVG en deze overeenkomst voldoen.
2. Je mag een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht, ten hoogste één keer per jaar, met een aankondiging van ten minste 30 dagen, tijdens kantooruren en zonder toegang tot gegevens van andere klanten. De kosten zijn voor jou, tenzij uit de audit blijkt dat we deze overeenkomst ernstig niet zijn nagekomen.

12. Aansprakelijkheid en overige bepalingen

1. De beperkingen van aansprakelijkheid in de algemene voorwaarden gelden ook voor deze overeenkomst, behalve waar artikel 82 AVG of ander dwingend recht dat niet toestaat. Ze beperken de rechten van betrokkenen niet.
2. Nederlands recht is van toepassing; geschillen gaan naar de rechter die in de algemene voorwaarden is genoemd.

Versie 2026-10-26 (concept).