Flowtly – Verwerkersovereenkomst

Dit is een Nederlandse vertaling van de Engelse versie, ter informatie verstrekt. De Engelstalige versie is bindend (zie artikel 1). Engelse versie · Poolse versie

1. Algemene bepalingen en onderwerp

Deze verwerkersovereenkomst (“Verwerkersovereenkomst”) wordt gesloten tussen de Organisatie die het Flowtly-platform gebruikt, handelend als verwerkingsverantwoordelijke in de zin van artikel 4, punt 7, van Verordening (EU) 2016/679 van 27 april 2016 (“AVG”) (“Verwerkingsverantwoordelijke”), en Flowtly Prosta Spółka Akcyjna, met statutaire zetel te Warschau (01-194), ul. Młynarska 8/12, Polen, ingeschreven in het ondernemersregister van het Nationaal Gerechtelijk Register onder KRS 0001188143, NIP 5273180297, REGON 542625051 (“Flowtly” of “Verwerker”), handelend als verwerker in de zin van artikel 4, punt 8, AVG.

De Verwerkersovereenkomst werkt de verplichtingen van de Partijen uit met betrekking tot de verwerking van persoonsgegevens als bedoeld in § 11 van de gebruiksvoorwaarden van het Flowtly-platform (“Gegevensbeveiliging”), en is van toepassing op elke verwerking van persoonsgegevens die Flowtly namens en volgens de gedocumenteerde instructies van de Verwerkingsverantwoordelijke uitvoert in verband met het verlenen van toegang tot het platform. De Verwerkersovereenkomst laat de aansprakelijkheidsregels en -beperkingen van § 12 van de gebruiksvoorwaarden onverlet — zie artikel 13.

De Verwerkersovereenkomst geeft uitvoering aan de vereisten van artikel 28 AVG en is op deze pagina beschikbaar in de versie die in de revisiegeschiedenis is aangeduid (artikel 13). De Verwerkersovereenkomst is op een Organisatie die het platform gebruikt van toepassing op dezelfde basis als waarop de gebruiksvoorwaarden — zoals die voor die Organisatie van kracht zijn — naar dit document verwijzen. De Engelstalige versie van dit document is bindend; deze Nederlandse vertaling wordt, net als elke andere vertaling, inclusief de Poolse, ter informatie verstrekt.

2. Definities

Met een hoofdletter geschreven termen die niet in deze Verwerkersovereenkomst zijn gedefinieerd, hebben de betekenis die daaraan in de gebruiksvoorwaarden van het Flowtly-platform wordt gegeven. Voor de toepassing van deze Verwerkersovereenkomst wordt verstaan onder:

• AVG — Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens;
• Verwerkingsverantwoordelijke — de Organisatie als verwerkingsverantwoordelijke in de zin van artikel 4, punt 7, AVG, handelend via de personen die bevoegd zijn haar te vertegenwoordigen; dit is te onderscheiden van de rol van “Beheerder” op grond van de gebruiksvoorwaarden, die een gebruikersrol binnen het platform aanduidt en niet de status van verwerkingsverantwoordelijke;
• TOM’s (technische en organisatorische maatregelen) — de maatregelen beschreven in het document “Technische en organisatorische maatregelen” van Flowtly, dat bijlage 1 bij deze Verwerkersovereenkomst vormt;
• Subverwerker — een andere verwerker aan wie Flowtly de verwerking van persoonsgegevens verder toevertrouwt ter uitvoering van deze Verwerkersovereenkomst;
• Inbreuk in verband met persoonsgegevens — een inbreuk in de zin van artikel 4, punt 12, AVG.

3. Duur van de verwerking

Deze Verwerkersovereenkomst is van toepassing gedurende de looptijd van de overeenkomst voor de verlening van platformtoegang tussen de Verwerkingsverantwoordelijke en Flowtly op grond van de gebruiksvoorwaarden, en eindigt wanneer die overeenkomst wordt beëindigd of afloopt, onverminderd de bepalingen die naar hun aard na beëindiging van toepassing blijven, waaronder de verplichting tot verwijdering of teruggave van gegevens als beschreven in artikel 11.

4. Aard, doel en omvang van de verwerking; categorieën van gegevens en betrokkenen

Aard en doel van de verwerking. Flowtly verwerkt persoonsgegevens uitsluitend om de Verwerkingsverantwoordelijke toegang tot het platform te verlenen, overeenkomstig de gebruiksvoorwaarden en de gedocumenteerde instructies van de Verwerkingsverantwoordelijke. De verwerkingen omvatten in het bijzonder: het verzamelen, opslaan, opvragen, wijzigen, exporteren en verwijderen van gegevens binnen het Organisatieaccount, uitgevoerd in verband met de functionaliteit van het platform op het gebied van HR en salarisadministratie, projecten, facturering en het uitreiken van facturen — dit zijn hulpmiddelen ter ondersteuning van het beheer van die gebieden door de Organisatie en geen boekhoudkundig hulpmiddel, overeenkomstig § 12, lid 2, van de gebruiksvoorwaarden — alsmede het opslaan van gegevens op servers die door Flowtly worden beheerd, technische ondersteuning en het waarborgen van de beveiliging en continuïteit van het platform.

Categorieën van betrokkenen omvatten in het bijzonder: werknemers en medewerkers van de Verwerkingsverantwoordelijke, Gebruikers en Beheerders, opdrachtnemers en hun vertegenwoordigers, sollicitanten — voor zover de Verwerkingsverantwoordelijke de betreffende functionaliteit van het platform gebruikt — en andere natuurlijke personen van wie de Verwerkingsverantwoordelijke of haar Gebruikers gegevens in het platform invoeren in verband met het gebruik ervan.

Categorieën van persoonsgegevens omvatten in het bijzonder: identificatie- en contactgegevens, HR- en arbeidsgegevens (waaronder beloning, werktijd, verlofregistratie), facturerings- en factuurgegevens, gegevens van opdrachtnemers, en — voor zover de Verwerkingsverantwoordelijke deze rechtmatig in het platform invoert, wanneer dat noodzakelijk is voor verplichtingen op grond van het arbeidsrecht of het socialezekerheidsrecht — bijzondere categorieën van persoonsgegevens als bedoeld in artikel 9 AVG (bijv. gezondheidsgegevens in verband met ziekteverlof, lidmaatschap van een vakbond). De verantwoordelijkheid voor de rechtsgrond voor het invoeren van dergelijke gegevens in het platform berust bij de Verwerkingsverantwoordelijke. De gedetailleerde omvang van de gegevenscategorieën komt overeen met de omvang die in het Privacybeleid is beschreven.

5. Verplichtingen van de Verwerker

Flowtly verbindt zich ertoe:

1. persoonsgegevens uitsluitend te verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke — ook met betrekking tot doorgiften van persoonsgegevens aan een derde land of een internationale organisatie — tenzij een op Flowtly toepasselijke bepaling van het Unierecht of het lidstatelijke recht Flowtly tot verwerking verplicht; in dat geval stelt Flowtly de Verwerkingsverantwoordelijke vóór de verwerking in kennis van dat wettelijke voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt;
2. te waarborgen dat de tot het verwerken van persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting tot vertrouwelijkheid zijn gebonden (zie artikel 7);
3. de in de TOM’s beschreven technische en organisatorische maatregelen te treffen en in stand te houden, overeenkomstig artikel 32 AVG (zie artikel 8);
4. te voldoen aan de voorwaarden voor het inschakelen van Subverwerkers als beschreven in artikel 9;
5. de Verwerkingsverantwoordelijke de in artikel 10 beschreven bijstand te verlenen;
6. na afloop van de verwerkingsdiensten alle persoonsgegevens te verwijderen of aan de Verwerkingsverantwoordelijke terug te bezorgen en bestaande kopieën te verwijderen, overeenkomstig artikel 11, tenzij het Unierecht of het lidstatelijke recht opslag van de persoonsgegevens voorschrijft;
7. de Verwerkingsverantwoordelijke alle informatie ter beschikking te stellen die nodig is om de nakoming van de in artikel 28 AVG neergelegde verplichtingen aan te tonen, en audits, waaronder inspecties, mogelijk te maken en daaraan bij te dragen, overeenkomstig artikel 11.

6. Instructies van de Verwerkingsverantwoordelijke

De gebruiksvoorwaarden, de configuratie van het platform en de wijze waarop de Verwerkingsverantwoordelijke en de door haar gemachtigde Gebruikers het platform gebruiken, gelden als gedocumenteerde instructies van de Verwerkingsverantwoordelijke, evenals afzonderlijke instructies die in documentvorm (waaronder per e-mail) worden toegezonden aan business.support@flowtly.eu. De Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van de instructies die zij geeft. Indien een instructie van de Verwerkingsverantwoordelijke naar het oordeel van Flowtly inbreuk maakt op de AVG of op andere wetgeving inzake gegevensbescherming, stelt Flowtly de Verwerkingsverantwoordelijke daarvan onverwijld in kennis.

7. Vertrouwelijkheid

Flowtly waarborgt dat uitsluitend door Flowtly gemachtigde personen toegang hebben tot persoonsgegevens, voor zover dat noodzakelijk is voor de uitoefening van hun taken, en dat die personen gebonden zijn aan een verplichting tot vertrouwelijkheid met betrekking tot persoonsgegevens, ook na beëindiging van hun dienstverband of opdracht bij Flowtly.

8. Beveiliging van de verwerking (artikel 32 AVG)

Flowtly treft passende technische en organisatorische maatregelen om een op het risico van de verwerking afgestemd beveiligingsniveau te waarborgen, rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, de omvang, de context en de verwerkingsdoeleinden, alsook met het risico voor de rechten en vrijheden van natuurlijke personen. De actuele beschrijving van deze maatregelen is het document “Technische en organisatorische maatregelen” van Flowtly, dat bijlage 1 bij deze Verwerkersovereenkomst vormt.

Flowtly zal het algemene beveiligingsniveau van de verwerking zoals beschreven in de TOM’s gedurende de looptijd van deze Verwerkersovereenkomst niet verlagen (de “toezegging tot niet-verlaging”); het vervangen van een bepaalde maatregel door een andere die een gelijkwaardig of hoger beschermingsniveau biedt, geldt niet als verlaging. Elke wijziging van de TOM’s — met inbegrip van een dergelijke vervanging — wordt vastgelegd als een nieuwe, gedateerde versie in de revisiegeschiedenis die op de pagina van dat document beschikbaar is, zodat de versie van de TOM’s die op een bepaalde verwerkingsdatum van kracht was, altijd aan de hand van die geschiedenis kan worden vastgesteld.

9. Subverwerking (Subverwerkers)

De Verwerkingsverantwoordelijke verleent Flowtly een algemene schriftelijke toestemming om Subverwerkers in te schakelen ter uitvoering van deze Verwerkersovereenkomst (artikel 28, lid 2, AVG). Flowtly sluit met elke Subverwerker een overeenkomst die deze dezelfde verplichtingen inzake gegevensbescherming oplegt als die welke op grond van deze Verwerkersovereenkomst op Flowtly rusten, ook wat betreft technische en organisatorische maatregelen. Flowtly blijft overeenkomstig artikel 28, lid 4, AVG volledig aansprakelijk jegens de Verwerkingsverantwoordelijke voor het nakomen van de verplichtingen inzake gegevensbescherming door een Subverwerker.

Flowtly stelt de Verwerkingsverantwoordelijke ten minste 30 dagen van tevoren in kennis van elke voorgenomen toevoeging of vervanging van Subverwerkers, met vermelding van de nieuwe Subverwerker en de omvang van diens werkzaamheden, en biedt de Verwerkingsverantwoordelijke de gelegenheid tegen die wijziging bezwaar te maken. Bezwaren, met redenen die zijn gebaseerd op gerechtvaardigde gronden op het gebied van gegevensbescherming, worden binnen 30 dagen na de kennisgeving gezonden aan business.support@flowtly.eu; het uitblijven van bezwaar binnen die termijn geldt als aanvaarding van de wijziging. Flowtly begint niet met de verwerking van persoonsgegevens van de Verwerkingsverantwoordelijke via een nieuwe Subverwerker voordat de bezwaartermijn is verstreken of, indien tijdig bezwaar is gemaakt, voordat dat bezwaar is afgehandeld. In geval van een gegrond bezwaar waaraan niet op andere wijze tegemoet kan worden gekomen, komen de Partijen te goeder trouw overeen hoe te handelen, met inbegrip van, indien nodig, de beëindiging van de dienstenovereenkomst voor zover deze het gebruik van die Subverwerker zou vereisen.

Momenteel ingeschakelde Subverwerkers, in overeenstemming met het Privacybeleid van het platform:

Subverwerker	Omvang van de verwerking	Locatie van de verwerking
Google Cloud (Google Ireland Limited)	Hosting van het platform en cloudinfrastructuur	EU (europe-west1, België)
Stripe	Betalingsverwerking	EU / buiten de EER, afhankelijk van de verrichting
Kontomatik	Integratie van bankgegevens	Polen (EU)
Functional Software, Inc. (Sentry)	Monitoring van systeemfouten	Verenigde Staten
Anthropic, PBC	Verwerking van de inhoud van documenten voor op AI gebaseerde functies (documentanalyse, assistent)	Verenigde Staten
Postmark (ActiveCampaign, Inc.)	Verzending van transactionele e-mail (facturen, herinneringen, meldingen)	Verenigde Staten

De bovenstaande lijst geeft de stand van zaken weer op de publicatiedatum van de betreffende versie van deze Verwerkersovereenkomst en wordt bijgewerkt volgens de hierboven beschreven procedure. De actuele lijst van Subverwerkers is ook op verzoek verkrijgbaar, te richten aan het bovenstaande adres.

10. Bijstand aan de Verwerkingsverantwoordelijke; inbreuken in verband met persoonsgegevens

Uitoefening van de rechten van betrokkenen. Rekening houdend met de aard van de verwerking verleent Flowtly de Verwerkingsverantwoordelijke, voor zover mogelijk — door middel van passende technische en organisatorische maatregelen die op het platform beschikbaar zijn en door ondersteuning die wordt aangevraagd via het adres in artikel 6 — bijstand bij het vervullen van haar plicht om verzoeken te beantwoorden van betrokkenen die hun rechten op grond van hoofdstuk III AVG uitoefenen.

Naleving van de artikelen 32–36 AVG. Flowtly verleent de Verwerkingsverantwoordelijke bijstand bij het doen nakomen van de verplichtingen uit hoofde van de artikelen 32–36 AVG, waaronder de verplichting om een inbreuk in verband met persoonsgegevens te melden aan de toezichthoudende autoriteit en de afzonderlijke verplichting om betrokkenen in kennis te stellen wanneer een inbreuk waarschijnlijk een hoog risico inhoudt voor hun rechten en vrijheden, alsook bij gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthoudende autoriteit, rekening houdend met de aard van de verwerking en de informatie waarover Flowtly beschikt.

Inbreuken in verband met persoonsgegevens. Flowtly meldt een door haar vastgestelde inbreuk in verband met persoonsgegevens zonder onredelijke vertraging aan de Verwerkingsverantwoordelijke, en in ieder geval uiterlijk 48 uur nadat Flowtly er kennis van heeft genomen, zonder af te wachten tot alle omstandigheden van het incident zijn vastgesteld. De eerste melding bevat de in artikel 33, lid 3, AVG genoemde informatie voor zover die op dat moment beschikbaar is, en wordt stapsgewijs aangevuld naarmate verdere omstandigheden worden vastgesteld. De termijn van 48 uur is de maximale contractuele termijn van Flowtly voor deze eerste melding en ontslaat Flowtly niet van de verplichting om zonder onredelijke vertraging te handelen wanneer dat eerder mogelijk is; deze termijn staat los van de termijn van 72 uur waarbinnen de Verwerkingsverantwoordelijke, als verwerkingsverantwoordelijke, de inbreuk op grond van artikel 33, lid 1, AVG aan de toezichthoudende autoriteit moet melden, indien melding vereist is.

11. Einde van de verwerking; audits en inspecties

Einde van de verwerking. Na afloop van de verwerkingsdiensten deelt de Verwerkingsverantwoordelijke Flowtly binnen 30 dagen na die gebeurtenis in documentvorm mee of Flowtly de persoonsgegevens moet verwijderen of terugbezorgen; indien binnen die termijn geen mededeling wordt gedaan, is Flowtly gerechtigd de gegevens te verwijderen. Flowtly voert de gekozen handeling uit — verwijdering uit de productiesystemen, of teruggave in een gangbaar elektronisch formaat gevolgd door verwijdering — binnen een redelijke termijn van ten hoogste 30 dagen na ontvangst van de instructie van de Verwerkingsverantwoordelijke, tenzij het Unierecht of het Poolse recht Flowtly verplicht de gegevens langer te bewaren op grond van een wettelijke verplichting die rechtstreeks op Flowtly rust (bijv. fiscale of boekhoudkundige voorschriften met betrekking tot de eigen boekhouding van Flowtly) — wat zich niet uitstrekt tot de eigen boekhouding van de Verwerkingsverantwoordelijke die op het platform wordt verwerkt. Back-ups die verwijderde gegevens bevatten, blijven beschermd overeenkomstig de TOM’s en worden overschreven in de daarin beschreven reguliere rotatiecyclus van back-ups, zonder dat verwijderde gegevens in het productiesysteem worden teruggezet.

Audits en inspecties. Flowtly stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de nakoming van de verplichtingen uit hoofde van artikel 28 AVG aan te tonen, stelt de Verwerkingsverantwoordelijke of een door haar gemachtigde auditor in staat audits, waaronder inspecties, uit te voeren naar de naleving van deze Verwerkersovereenkomst bij de verwerking, en werkt mee aan de uitvoering daarvan. Een audit wordt uitgevoerd na een voorafgaande schriftelijke aankondiging van ten minste 30 dagen, tijdens de normale kantooruren van Flowtly, op een wijze die de bedrijfsvoering van Flowtly zo weinig verstoort als redelijkerwijs mogelijk is en die de vertrouwelijkheid van informatie over andere klanten van Flowtly respecteert, ten hoogste eenmaal per kalenderjaar — deze beperkingen gelden niet wanneer de audit wordt uitgevoerd in verband met een redelijk vermoeden van een inbreuk in verband met persoonsgegevens of een andere wezenlijke niet-naleving van deze Verwerkersovereenkomst, of op verzoek van een bevoegde toezichthoudende autoriteit. Het ter beschikking stellen van informatie op grond van de eerste zin is niet beperkt tot eenmaal per jaar.

12. Internationale doorgiften van gegevens

Het grootste deel van de verwerking van persoonsgegevens vindt plaats binnen de Europese Economische Ruimte (EER) — de infrastructuur van het platform en de OCR-verwerking van documenten worden onderhouden in de EU-regio van de in artikel 9 genoemde aanbieder. Drie van de in artikel 9 genoemde Subverwerkers — Functional Software, Inc. (handelend onder de naam Sentry), Anthropic, PBC en Postmark (ActiveCampaign, Inc.) — zijn gevestigd in de Verenigde Staten, buiten de EER. Flowtly waarborgt dat doorgiften van persoonsgegevens aan deze Subverwerkers — en elke andere doorgifte van persoonsgegevens buiten de EER die kan plaatsvinden in verband met de andere Subverwerkers of hun eigen subverwerkers — plaatsvinden op basis van een passend mechanisme op grond van hoofdstuk V AVG: in het bijzonder de standaardcontractbepalingen die zijn goedgekeurd bij Uitvoeringsbesluit (EU) 2021/914 van de Europese Commissie (volgens de module die past bij de verhouding tussen Flowtly en de Subverwerker), of — voor zover een bepaalde Subverwerker zich daarop beroept — het EU-VS-kader inzake gegevensbescherming, aangevuld met extra waarborgen wanneer een beoordeling van de gevolgen van de doorgifte uitwijst dat dit noodzakelijk is. Informatie over het op een bepaalde Subverwerker toegepaste mechanisme wordt de Verwerkingsverantwoordelijke ter beschikking gesteld op verzoek, te richten aan het adres in artikel 6.

13. Aansprakelijkheid en slotbepalingen

De beperking van de aansprakelijkheid van Flowtly zoals neergelegd in § 12 van de gebruiksvoorwaarden (“Aansprakelijkheid”) is van overeenkomstige toepassing op de verwerking van persoonsgegevens op grond van deze Verwerkersovereenkomst, voor zover wettelijk toegestaan. Dit laat dwingend recht onverlet, waaronder: artikel 82 AVG met betrekking tot vorderingen van betrokkenen jegens Flowtly, de bevoegdheden van toezichthoudende autoriteiten op grond van de AVG, en de regels van het Poolse Burgerlijk Wetboek inzake aansprakelijkheid voor opzettelijk veroorzaakte schade.

Op aangelegenheden die niet in deze Verwerkersovereenkomst zijn geregeld, zijn, naargelang het geval, de gebruiksvoorwaarden van toepassing, met inbegrip van de bepalingen daarvan inzake het toepasselijke recht en de beslechting van geschillen. Op deze Verwerkersovereenkomst is Pools recht van toepassing.

Dit document is de versie die is gepubliceerd op 28 oktober 2026. De geschiedenis van eerdere versies, indien aanwezig, is hieronder beschikbaar.