Verwerkersovereenkomst
Versie 2026-10, geldig vanaf 1 oktober 2026.
Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van BossBase. Met het aanmaken van een account ga je er als klant mee akkoord.
Partijen
- Verwerkingsverantwoordelijke: de klant die BossBase gebruikt ("de Klant").
- Verwerker: BossBase, handelsnaam van NG E-Commerce B.V., Sodalietdreef 6, 7828 CR Emmen, KvK 91856396 ("BossBase").
1. Onderwerp en duur
BossBase verwerkt persoonsgegevens voor de Klant om de dienst BossBase te leveren, zolang de overeenkomst voor BossBase loopt, plus de termijn in artikel 8.
2. Aard en doel
Opslaan, tonen, bewerken, versturen en synchroniseren van gegevens die de Klant in BossBase vastlegt, uitsluitend om de functies te leveren die de Klant gebruikt: klantbeheer en aanvragen, offertes en online ondertekening, werkbonnen en ondertekening, planning, urenregistratie, facturen en betalingsherinneringen, betaallinks (via het eigen Stripe-account van de Klant), en koppelingen met boekhoudpakketten of agenda's als de Klant die aanzet.
3. Categorieën betrokkenen en gegevens
| Betrokkenen | Gegevens |
|---|---|
| Klanten van de Klant | Naam, contactpersoon, e-mail, telefoon, adres, KvK, btw-nummer, IBAN, notities; offertes, facturen en werkbonnen; bij ondertekening: ingevulde naam en e-mail, handtekening (afbeelding), tijdstip, ondertekend document |
| Leveranciers van de Klant | Naam, contactpersoon, e-mail, telefoon, mobiel, adres, KvK, btw, IBAN, notities |
| Medewerkers van de Klant | Naam, e-mail, telefoon, rol, uren per week, gewerkte uren en tijden, reiskilometers, planning, toegewezen werk |
| Aanvragers via een formulier op de website van de Klant | Naam, bedrijfsnaam, e-mail, telefoon, onderwerp, bericht, pagina-adres |
Bijzondere persoonsgegevens. BossBase is niet bedoeld voor bijzondere persoonsgegevens (zoals gegevens over gezondheid, godsdienst of strafrechtelijke gegevens). De Klant zet ze er niet in. Let daarbij vooral op vrije tekstvelden, zoals notities en omschrijvingen, en op foto's.
4. Verplichtingen van BossBase
- BossBase verwerkt de gegevens alleen op gedocumenteerde instructie van de Klant. De instellingen en het gebruik van de dienst gelden als instructie.
- Iedereen die bij BossBase toegang heeft tot de gegevens, is tot geheimhouding verplicht.
- BossBase neemt passende technische en organisatorische maatregelen om de gegevens te beveiligen; zie de bijlage.
- BossBase helpt de Klant bij verzoeken van betrokkenen en bij datalekken.
- BossBase meldt een datalek aan de Klant binnen 48 uur na ontdekking.
- Audits. De Klant mag controleren of BossBase zich aan deze overeenkomst houdt: maximaal één keer per jaar, of vaker na een ernstig datalek. De Klant kondigt een audit minstens 4 weken vooraf aan. De audit wordt uitgevoerd door een onafhankelijke deskundige die tot geheimhouding verplicht is. De kosten zijn voor de Klant, tenzij uit de audit blijkt dat BossBase tekortschoot.
5. Subverwerkers
De Klant geeft algemene toestemming voor de inschakeling van de subverwerkers hieronder. BossBase kondigt een nieuwe subverwerker minstens 30 dagen van tevoren aan, per e-mail. De Klant kan binnen die termijn bezwaar maken. BossBase legt elke subverwerker dezelfde verplichtingen op als in deze overeenkomst staan. De actuele lijst staat op bossbase.nl/subverwerkers.
| Subverwerker | Waarvoor | Regio |
|---|---|---|
| Supabase | Database, inloggen, opslag, serverfuncties | Database in Frankfurt (Duitsland); serverfuncties voor verzoeken uit Nederland ook in Frankfurt. Supabase Pte. Ltd. (Singapore) |
| Vercel | Hosting van de website en de app; gebruiksstatistieken (Web Analytics): welke pagina's gebruikers van de Klant bekijken, met apparaat, browser en land, zonder namen, e-mailadressen of klantgegevens | Vercel Inc., VS; website via het netwerk van Vercel (voor Nederland Frankfurt), serverfunctie in Frankfurt |
| Resend | E-mail namens de Klant (offertes, facturen, herinneringen, afspraakherinneringen) | Plus Five Five, Inc., VS; mail wordt verstuurd vanuit de EU (Ierland); account, metadata en logs in de VS |
| Stripe | Betalen van het BossBase-abonnement | Stripe Payments Europe, Ltd. (Ierland); verwerking ook buiten de EU |
| Anthropic | Helpchat voor de gebruiker; er gaan geen gegevens van klanten van de Klant mee, tenzij de gebruiker ze zelf in de chat typt | Anthropic Ireland, Ltd.; verwerking ook in de VS; geen training op klantgegevens, na 30 dagen verwijderd |
| PDOK (Kadaster) | Adres opzoeken tijdens het typen in de app; de getypte zoektekst gaat vanuit de browser naar PDOK | Nederland |
Koppelingen die de Klant zelf aanzet zijn geen subverwerkers van BossBase: Moneybird, SnelStart, AFAS, Google Agenda en het eigen Stripe-account van de Klant via Stripe Connect (voor betaallinks). Met die partijen heeft de Klant zelf een overeenkomst. BossBase stuurt de gegevens daarheen door op instructie van de Klant, alleen als de Klant de koppeling aanzet.
6. Doorgifte buiten de EER
BossBase geeft gegevens alleen door naar een land buiten de Europese Economische Ruimte op basis van het EU-US Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie. Per subverwerker: Vercel, Resend en Stripe op basis van het EU-US Data Privacy Framework en standaardcontractbepalingen; Supabase en Anthropic op basis van standaardcontractbepalingen.
7. Bijstand en rechten van betrokkenen
De Klant beantwoordt verzoeken van zijn eigen klanten en medewerkers. BossBase helpt waar nodig. Klanten zijn te exporteren (Excel/CSV), documenten als ZIP.
8. Einde van de overeenkomst
Na het einde van het abonnement bewaart BossBase de gegevens nog 2 jaar, gelijk aan de algemene voorwaarden; in die tijd kan de Klant terugkomen of exporteren. Daarna worden de gegevens verwijderd, ook de bestanden. Wil de Klant dat eerder, dan kan dat op verzoek.
9. Aansprakelijkheid
Voor aansprakelijkheid geldt artikel 10 van de algemene voorwaarden.
Bijlage — technische en organisatorische maatregelen
- Scheiding per bedrijf met databaseregels (row level security), ook binnen een bedrijf rechten per medewerker.
- Niet-openbare opslag voor handtekeningen, ondertekende documenten, facturen en foto's; alleen bereikbaar via tijdelijke, ondertekende links.
- Ondertekenlinks met een onraadbaar token.
- Wachtwoorden niet door BossBase zelf opgeslagen (inlogdienst van Supabase); aanmeldcodes en hersteltokens alleen versleuteld opgeslagen; begrensd aantal pogingen.
- Versleutelde verbindingen (https).
- Database in de EU (Frankfurt).
- Logs van serverfuncties zonder e-mailadressen en tokens; bewaard 1 dag (Supabase) en 1 uur (Vercel).
- Twee personen met beheerderstoegang tot de productieomgeving.
- Geen automatische back-ups (Supabase Free-abonnement).