Bijlage bij de algemene voorwaarden · Laatst bijgewerkt: 13 juli 2026
Deze verwerkersovereenkomst is een bijlage bij de algemene voorwaarden van facturano en maakt daar onlosmakelijk deel van uit. Door een account aan te maken of facturano te (blijven) gebruiken, ga je als klant akkoord met de algemene voorwaarden inclusief deze verwerkersovereenkomst. Er is geen aparte ondertekening nodig; dit is de gebruikelijke werkwijze bij SaaS-diensten.
1. facturano, aangeboden door facturano, Burgemeester Fockstraat 38H, 1063 CT Amsterdam, hierna: “Verwerker” of “facturano”;
2. de natuurlijke persoon of rechtspersoon die een facturano-account heeft en de algemene voorwaarden heeft geaccepteerd, hierna: “Klant” of “Verwerkingsverantwoordelijke”.
1.1 Begrippen als “persoonsgegevens”, “verwerken”, “betrokkene”, “verwerkingsverantwoordelijke”, “verwerker”, “subverwerker” en “inbreuk in verband met persoonsgegevens” (datalek) hebben de betekenis die de AVG eraan geeft.
1.2 “Klantdata”: alle persoonsgegevens die de Klant (of gebruikers onder het account van de Klant) in facturano invoert, uploadt of via een koppeling laat inlezen, en waarvoor de Klant verwerkingsverantwoordelijke is.
1.3 Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat, voor zover het de verwerking van Klantdata betreft, deze verwerkersovereenkomst voor.
2.1 Onderwerp.facturano verwerkt Klantdata uitsluitend om de Klant de facturano-dienst te leveren: een online facturatie- en administratiesysteem voor zzp’ers en klein mkb.
2.2 Aard van de verwerking. Opslaan, structureren, weergeven, wijzigen, exporteren, per e-mail verzenden (facturen, offertes en betalingsherinneringen aan klanten van de Klant), back-uppen en verwijderen van Klantdata — steeds in opdracht van de Klant en binnen de functies van de dienst.
2.3 Doel. Het doel van de verwerking wordt bepaald door de Klant en bestaat in de praktijk uit: klantadministratie, het opstellen en versturen van facturen en offertes, contractfacturatie, urenregistratie, ritten- en werkbonadministratie, uitgavenregistratie en btw-overzichten.
2.4 Duur. Deze verwerkersovereenkomst geldt zolang de Klant een facturano-account heeft en eindigt automatisch wanneer de overeenkomst tussen facturano en de Klant eindigt, onverminderd artikel 12 (teruggave en verwijdering).
2.5 facturano verwerkt Klantdata niet voor eigen doeleinden, verkoopt Klantdata niet en gebruikt Klantdata niet voor advertenties of het trainen van AI-modellen.
3.1 De categorieën betrokkenen en persoonsgegevens zijn beschreven in Bijlage 1. De Klant bepaalt zelf welke gegevens hij daadwerkelijk invoert.
3.2 facturano is niet bedoeld voor bijzondere categorieën persoonsgegevens (art. 9 AVG, zoals gezondheids- of medische gegevens) of gegevens over strafrechtelijke veroordelingen (art. 10 AVG). De Klant zal zulke gegevens niet in facturano opslaan; doet hij dat toch, dan is dat voor eigen risico en verantwoordelijkheid van de Klant.
4.1 facturano verwerkt Klantdata uitsluitend op schriftelijke instructie van de Klant. De instructies bestaan uit: (a) deze verwerkersovereenkomst, (b) de algemene voorwaarden, en (c) het gebruik dat de Klant en zijn gebruikers van de functies van de dienst maken (bijvoorbeeld: het klikken op “factuur versturen” is de instructie om die factuur per e-mail te verzenden).
4.2 In afwijking van 4.1 mag facturano Klantdata verwerken als een Unierechtelijke of Nederlandse wettelijke bepaling dat vereist. In dat geval informeert facturano de Klant vooraf over dat wettelijke voorschrift, tenzij die wetgeving dit om gewichtige redenen van algemeen belang verbiedt.
4.3 facturano informeert de Klant onmiddellijk als een instructie naar zijn mening in strijd is met de AVG of andere privacywetgeving.
5.1 facturano houdt Klantdata geheim en verstrekt deze niet aan derden, behalve aan de subverwerkers van Bijlage 3 (voor zover nodig voor de dienst) of wanneer een wettelijke plicht tot verstrekking bestaat.
5.2 facturano zorgt ervoor dat iedere persoon die onder zijn gezag toegang heeft tot Klantdata zich tot geheimhouding heeft verplicht, contractueel of uit hoofde van een wettelijke plicht.
5.3 Toegang tot Klantdata door facturano zelf is beperkt tot wat nodig is voor support, foutoplossing en beheer van het platform.
6.1 facturano treft passende technische en organisatorische maatregelen als bedoeld in art. 32 AVG, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard van de verwerking. De actuele maatregelen staan in Bijlage 2.
6.2 facturano mag de maatregelen aanpassen en verbeteren, mits het beveiligingsniveau per saldo niet verslechtert.
6.3 De Klant is zelf verantwoordelijk voor het veilig gebruik aan zijn kant: sterke wachtwoorden, geheimhouding van inloggegevens, beheer van eigen gebruikers en het beveiligen van geëxporteerde bestanden.
7.1 De Klant geeft facturano algemene toestemming (art. 28 lid 2 AVG) om subverwerkers in te schakelen. De actuele lijst staat in Bijlage 3 op deze pagina.
7.2 Wijzigingsprocedure. Bij een voorgenomen toevoeging of vervanging van een subverwerker informeert facturano de Klant ten minste 30 dagen vooraf via e-mail aan het accountadres en/of een melding in de app. De Klant kan binnen die termijn schriftelijk en gemotiveerd bezwaar maken op redelijke, privacygerelateerde gronden. Komen partijen er niet uit, dan mag de Klant de overeenkomst opzeggen tegen de datum waarop de nieuwe subverwerker actief wordt; reeds vooruitbetaalde bedragen over de periode ná beëindiging worden terugbetaald.
7.3 facturano legt aan iedere subverwerker die Klantdata verwerkt in wezen dezelfde verplichtingen op als in deze verwerkersovereenkomst, via een verwerkersovereenkomst of gelijkwaardige (standaard)voorwaarden van die subverwerker. facturano blijft jegens de Klant volledig aansprakelijk voor de nakoming door subverwerkers.
8.1 facturano host en verwerkt Klantdata primair binnen de EU (hosting in Frankfurt, Duitsland; database in een EU-regio; e-mailverzending via de EU-regio van de e-mailleverancier).
8.2 Voor zover een subverwerker Klantdata buiten de Europese Economische Ruimte verwerkt (zie Bijlage 3), gebeurt dat uitsluitend op basis van een geldig doorgiftemechanisme uit hoofdstuk V AVG, zoals een adequaatheidsbesluit (waaronder het EU-US Data Privacy Framework) of de standaardcontractbepalingen (SCC’s) van de Europese Commissie.
9.1 facturano informeert de Klant zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, over een inbreuk in verband met persoonsgegevens die Klantdata raakt. De melding gaat naar het e-mailadres van het account en bevat, voor zover op dat moment bekend: de aard van de inbreuk, de (vermoedelijk) getroffen gegevens en betrokkenen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. Informatie mag in stappen worden verstrekt naarmate het onderzoek vordert.
9.2 De melding aan de Autoriteit Persoonsgegevens en aan betrokkenen is de verantwoordelijkheid van de Klant (als verwerkingsverantwoordelijke). facturano verleent daarbij redelijke medewerking en meldt een datalek niet zelf bij de toezichthouder namens de Klant, tenzij een wettelijke plicht daartoe bestaat.
9.3 facturano documenteert datalekken die Klantdata raken en houdt de Klant op de hoogte van relevante ontwikkelingen.
10.1 Als een betrokkene (bijvoorbeeld een klant van de Klant) een verzoek doet op grond van de AVG — inzage, rectificatie, verwijdering, gegevensoverdraagbaarheid, beperking of bezwaar — dan is de Klant degene die dat verzoek beantwoordt. De dienst zelf biedt de Klant daarvoor de middelen: Klantdata is in de app in te zien, te corrigeren, te verwijderen en te exporteren.
10.2 Ontvangt facturano zo’n verzoek rechtstreeks, dan stuurt facturano het zonder onredelijke vertraging door aan de Klant en beantwoordt het niet zelfstandig inhoudelijk.
10.3 Voor zover de Klant een verzoek niet zelf via de dienst kan afhandelen, verleent facturano redelijke bijstand. Bij verzoeken die een onevenredige inspanning vragen mag facturano daarvoor redelijke kosten in rekening brengen, na voorafgaande opgave.
10.4 facturano verleent de Klant, rekening houdend met de aard van de verwerking en de beschikbare informatie, redelijke bijstand bij de naleving van art. 32 t/m 36 AVG (beveiliging, datalekmeldingen, DPIA’s en voorafgaande raadpleging).
11.1 facturano stelt de Klant alle informatie ter beschikking die redelijkerwijs nodig is om aan te tonen dat aan art. 28 AVG wordt voldaan. Dat gebeurt in deze volgorde (passend bij de schaal van facturano als kleine SaaS-aanbieder):
11.2 Pas als de informatie onder 11.1 aantoonbaar onvoldoende is én de Klant een wettelijke plicht of een concrete aanwijzing van een toezichthouder heeft, mag de Klant (of een door hem aangewezen, tot geheimhouding verplichte onafhankelijke auditor die geen concurrent van facturano is) een audit uitvoeren, onder deze voorwaarden: minimaal 30 dagen vooraf schriftelijk aangekondigd; maximaal eenmaal per twaalf maanden; tijdens kantooruren, met zo min mogelijk verstoring van de dienst; geen rechtstreekse toegang tot systemen, productiedatabases of data van andere klanten van facturano (multi-tenant omgeving); en de kosten van de audit, inclusief de redelijke interne kosten van facturano, zijn voor de Klant, tenzij uit de audit een wezenlijke tekortkoming van facturano blijkt.
12.1 Vóór beëindiging: zelf exporteren. De Klant kan op elk moment, ook tijdens de opzegprocedure, al zijn gegevens zelf downloaden via de exportfunctie in de app (Instellingen), als machineleesbaar JSON-bestand; factuur- en offerte-PDF’s zijn per document te downloaden.
12.2 Bij beëindiging. Na het eindigen van de overeenkomst (opzegging of verwijdering van het account) verwijdert facturano alle Klantdata van de betreffende organisatie definitief uit de productiedatabase. De verwijdering in de app werkt onmiddellijk en volledig (cascade: klanten, facturen, offertes, contracten, uitgaven, documenten, uren, ritten, werkbonnen, machtigingen, incassobatches, berichten en gekoppelde bestanden).
12.3 Back-ups. Klantdata kan na verwijdering nog tijdelijk voorkomen in back-ups van de databaseleverancier. Deze back-ups worden niet gebruikt om verwijderde Klantdata te herstellen (behalve bij calamiteiten die het hele platform raken) en verlopen automatisch binnen de retentietermijn van de databaseleverancier.
12.4 Wettelijke bewaarplicht van de Klant. De Klant is er zelf verantwoordelijk voor dat hij vóór verwijdering een export maakt van gegevens die hij op grond van wettelijke bewaarplichten (zoals de fiscale bewaarplicht van 7 jaar) moet bewaren. facturano bewaart na verwijdering niets voor de Klant.
12.5 Op schriftelijk verzoek bevestigt facturano de verwijdering.
13.1 Voor aansprakelijkheid onder deze verwerkersovereenkomst geldt de aansprakelijkheidsregeling (inclusief beperkingen en uitsluitingen) uit de algemene voorwaarden, behoudens voor zover dwingend recht (waaronder art. 82 AVG) zich daartegen verzet.
14.1 Deze verwerkersovereenkomst treedt in werking op het moment dat de Klant de algemene voorwaarden accepteert en geldt voor de duur van de overeenkomst.
14.2 facturano mag deze verwerkersovereenkomst wijzigen. Wezenlijke wijzigingen worden ten minste 30 dagen vooraf aangekondigd via e-mail en/of in de app. Is de Klant het met een wezenlijke wijziging niet eens, dan kan hij de overeenkomst opzeggen vóór de ingangsdatum van de wijziging.
14.3 Op deze verwerkersovereenkomst is Nederlands recht van toepassing.
14.4 Blijkt een bepaling ongeldig, dan blijft de rest van de overeenkomst in stand en vervangen partijen de ongeldige bepaling door een geldige die de bedoeling zo dicht mogelijk benadert.
Categorieën betrokkenen (bepaald door wat de Klant invoert):
Categorieën persoonsgegevens:
Geen bijzondere categorieën. De dienst is niet bestemd voor bijzondere of strafrechtelijke persoonsgegevens (zie artikel 3.2).
Toegang en authenticatie. Alle schermen en functies zitten achter een login; er is geen anonieme toegang tot Klantdata. Wachtwoorden worden nooit leesbaar opgeslagen, maar gehasht met scrypt. Sessies worden server-side bijgehouden en aan de browser gekoppeld via een httpOnly-cookie (in productie alleen via HTTPS). Wachtwoord-herstel verloopt via tijdgebonden, eenmalige tokens per e-mail.
Scheiding van klantomgevingen. Elke databaserij is gekoppeld aan een organisatie-ID; iedere query wordt server-side afgedwongen gefilterd op de organisatie van de ingelogde gebruiker. Een klant kan technisch geen data van een andere klant opvragen.
Versleuteling. Al het verkeer tussen browser en server loopt via HTTPS/TLS. Door klanten opgegeven SMTP-wachtwoorden worden in de database versleuteld met AES-256-GCM, met een sleutel die buiten de database wordt bewaard. De databaseverbinding tussen applicatie en database is versleuteld.
Hosting en infrastructuur. De applicatie wordt gehost in de EU (Frankfurt); de database staat in een EU-regio. Geheimen (API-sleutels, encryptiesleutel, databasewachtwoord) staan niet in de broncode maar in het beveiligde omgevingsbeheer van de host. Interne beheer-/cron-endpoints zijn afgeschermd met een geheim token.
Organisatorisch. Toegang tot productie is beperkt tot de eigenaar/ontwikkelaar van facturano. Betaalgegevens voor het abonnement raakt facturano niet aan: betalingen lopen volledig via Mollie. De Klant kan al zijn gegevens zelf exporteren (JSON) en zijn volledige omgeving zelf definitief verwijderen via Instellingen.
Actuele lijst. Wijzigingen volgens artikel 7.2.
Wel leverancier, geen subverwerker voor Klantdata: