Verwerkersovereenkomst SamenstelFlow

Versie 0.1 — 15 mei 2026

Partijen

Verwerkingsverantwoordelijke (hierna: "Verantwoordelijke" of "Klant"):

Het accountantskantoor dat zich heeft geregistreerd in het SamenstelFlow‑portaal, zoals nader gespecificeerd in de Hoofdovereenkomst.

Verwerker (hierna: "Verwerker" of "SamenstelFlow"):

SamenstelFlow
Anna Maria van Cappellenpark 41
Capelle aan den IJssel
KvK 91903505
info@samenstelflow.nl
06 22 47 15 46

Overwegingen

Overwegende dat:

A. Verantwoordelijke een overeenkomst heeft gesloten met Verwerker voor het gebruik van het SamenstelFlow‑portaal voor het genereren van werkstukken voor samensteldossiers (hierna: "Hoofdovereenkomst");

B. Verwerker bij het leveren van deze dienst persoonsgegevens verwerkt namens Verantwoordelijke, in de zin van artikel 4 lid 8 AVG;

C. Partijen in lijn met artikel 28 AVG de verplichtingen en verantwoordelijkheden rondom deze verwerking schriftelijk wensen vast te leggen;

verklaren Partijen als volgt te zijn overeengekomen.

Artikel 1 — Definities

Term	Definitie
AVG	Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming)
Persoonsgegevens	Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, in de zin van artikel 4 lid 1 AVG
Verwerking	Elke bewerking met betrekking tot persoonsgegevens, in de zin van artikel 4 lid 2 AVG
Cliënten	De cliënten van Verantwoordelijke (accountantskantoor), wier boekhouddata via SamenstelFlow worden verwerkt
Sub‑verwerker	Een derde partij die door Verwerker wordt ingeschakeld om (delen van) de Verwerking uit te voeren
Betrokkene	De persoon op wie persoonsgegevens betrekking hebben
Datalek	Een inbreuk op de beveiliging in de zin van artikel 4 lid 12 AVG

Artikel 2 — Voorwerp en aard van de Verwerking

Verwerker verwerkt persoonsgegevens uitsluitend in opdracht en op basis van schriftelijke instructies van Verantwoordelijke, namelijk: het opvragen van boekhouddata uit het gekoppelde boekhoudpakket (in MVP: Yuki) en het genereren van werkstukken voor het samensteldossier van Verantwoordelijke.
De Verwerking betreft de volgende handelingen:
- Opvragen, ontvangen en tijdelijk opslaan van boekhouddata via de API van het boekhoudpakket;
- Transformeren van deze data naar werkstukken (Excel‑bestanden);
- Opslaan van de gegenereerde werkstukken in versleutelde object‑storage gedurende maximaal 30 dagen;
- Beschikbaar stellen van de werkstukken via beveiligde download‑URL's.
De Verwerking vindt uitsluitend plaats voor de in lid 2 genoemde doeleinden en voor zover noodzakelijk voor de uitvoering van de Hoofdovereenkomst.

Artikel 3 — Categorieën persoonsgegevens en betrokkenen

Categorieën Betrokkenen:
- Cliënten van Verantwoordelijke (natuurlijke personen, eenmanszaken, vof's of dga's wier gegevens in de boekhouding voorkomen);
- Werknemers van Cliënten (voor zover gegevens uit de loonadministratie worden verwerkt);
- Crediteuren en debiteuren van Cliënten (voor zover dit natuurlijke personen betreft);
- Medewerkers van Verantwoordelijke (gebruikers van het portaal).
Categorieën Persoonsgegevens:
- Naam, adres, woonplaats;
- KvK‑nummer, BTW‑nummer;
- Bank‑ en betalingsgegevens uit grootboekboekingen;
- Salarisinformatie van werknemers (voor zover dit uit loonjournaal‑boekingen blijkt);
- Contactgegevens uit debiteuren‑/crediteurenlijsten.
Verwerker verwerkt geen bijzondere categorieën van persoonsgegevens (artikel 9 AVG) en evenmin strafrechtelijke gegevens (artikel 10 AVG), tenzij deze incidenteel in de boekhoudboekingen voorkomen buiten de invloedssfeer van Verwerker.

Artikel 4 — Verplichtingen van de Verwerker

Verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van Verantwoordelijke, tenzij wet‑ of regelgeving dit anders voorschrijft.
Verwerker verleent Verantwoordelijke desgevraagd alle medewerking om aan diens verplichtingen onder de AVG te voldoen, waaronder:
- Het beantwoorden van verzoeken van Betrokkenen (artikel 7);
- Het uitvoeren van een Data Protection Impact Assessment (DPIA);
- Het melden en afhandelen van Datalekken (artikel 9);
- Het verwijderen of teruggeven van persoonsgegevens bij einde Overeenkomst.
Verwerker waarborgt dat personen die toegang hebben tot de persoonsgegevens onder een geheimhoudingsplicht staan, hetzij contractueel hetzij wettelijk.
Verwerker verleent Verantwoordelijke op verzoek inzage in de wijze waarop de Verwerking plaatsvindt, voor zover redelijkerwijs nodig om aan AVG‑verplichtingen te voldoen.

Artikel 5 — Beveiligingsmaatregelen

Verwerker treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies, vernietiging, ongeoorloofde toegang of openbaarmaking. Deze maatregelen zijn nader uitgewerkt in Bijlage 1 (Beveiligingsmaatregelen) bij deze overeenkomst.
Verwerker evalueert deze maatregelen periodiek en past ze waar nodig aan. Verantwoordelijke kan op verzoek inzage krijgen in een actueel overzicht van de getroffen maatregelen.
Het beveiligingsniveau wordt afgestemd op de stand der techniek, de risico's van de Verwerking en de aard van de persoonsgegevens.

Artikel 6 — Sub‑verwerkers

Verantwoordelijke geeft hierbij algemene schriftelijke toestemming aan Verwerker om Sub‑verwerkers in te schakelen voor de Verwerking. De op het moment van ondertekening ingeschakelde Sub‑verwerkers staan opgesomd in Bijlage 2 (Sub‑verwerkers).
Indien Verwerker een nieuwe Sub‑verwerker wil inschakelen of een bestaande wil vervangen, informeert Verwerker Verantwoordelijke hierover ten minste 30 dagen vooraf, per e‑mail of via het portaal.
Verantwoordelijke kan binnen die termijn schriftelijk bezwaar maken. Indien Verantwoordelijke bezwaar maakt en partijen niet tot een oplossing komen, heeft Verantwoordelijke het recht de Hoofdovereenkomst op te zeggen per de beoogde ingangsdatum van de nieuwe Sub‑verwerker.
Verwerker legt aan iedere Sub‑verwerker dezelfde verplichtingen op als in deze overeenkomst zijn vastgelegd, door middel van een schriftelijke (sub‑)verwerkersovereenkomst.
Verwerker blijft volledig aansprakelijk jegens Verantwoordelijke voor het handelen van iedere Sub‑verwerker, alsof het diens eigen handelen betrof.

Artikel 7 — Rechten van Betrokkenen

Verwerker stelt Verantwoordelijke onverwijld in kennis van een verzoek van een Betrokkene tot uitoefening van diens rechten onder de AVG (inzage, rectificatie, vergetelheid, beperking, overdraagbaarheid, bezwaar). Verwerker beantwoordt zo'n verzoek niet zelfstandig, tenzij Verantwoordelijke schriftelijk anders aangeeft.
Verwerker biedt redelijke medewerking aan Verantwoordelijke om aan diens verplichtingen rondom Betrokkenenverzoeken te voldoen, waaronder het ter beschikking stellen van gegevens in een gestructureerd, gangbaar en machineleesbaar formaat (artikel 20 AVG).
Aan deze medewerking zijn voor Verantwoordelijke geen kosten verbonden, behoudens onevenredig grote of complexe verzoeken die buiten de gewone bedrijfsvoering van Verwerker vallen — Verwerker informeert Verantwoordelijke dan vooraf over de te verwachten kosten.

Artikel 8 — Doorgifte buiten de EER

De Verwerking vindt primair plaats binnen de Europese Economische Ruimte (EER), specifiek in Frankfurt (Duitsland) op de servers van onze hosting‑partner.
Voor een beperkt aantal Sub‑verwerkers (zie Bijlage 2) vindt doorgifte plaats naar landen buiten de EER (onder andere Verenigde Staten). Voor deze doorgifte baseert Verwerker zich op:
- EU‑US Data Privacy Framework voor Sub‑verwerkers die hierbij zijn aangesloten;
- Standaard Contractbepalingen (SCC's) zoals vastgesteld door de Europese Commissie, voor overige doorgiften;
- Aanvullende technische maatregelen waar nodig (zoals encryption in transit en at rest).
Verantwoordelijke gaat hiermee akkoord. Verwerker maakt op verzoek de relevante doorgifte‑instrumenten en aanvullende maatregelen inzichtelijk.

Artikel 9 — Datalekken

Verwerker informeert Verantwoordelijke onverwijld, en in elk geval binnen 24 uur nadat de inbreuk bij Verwerker bekend is, over een mogelijk Datalek dat de persoonsgegevens van Verantwoordelijke of diens Cliënten raakt.
De melding bevat ten minste:
- De aard van het Datalek (wat is er gebeurd);
- De categorieën en bij benadering het aantal Betrokkenen en datasets;
- De waarschijnlijke gevolgen;
- De maatregelen die zijn of worden genomen om de gevolgen te beperken.
Verwerker biedt Verantwoordelijke redelijke medewerking bij het doen van een melding bij de Autoriteit Persoonsgegevens en/of bij de communicatie naar Betrokkenen, indien Verantwoordelijke daartoe besluit.
Het is de exclusieve verantwoordelijkheid van Verantwoordelijke om te beoordelen of een Datalek gemeld moet worden bij de AP (artikel 33 AVG) of bij Betrokkenen (artikel 34 AVG).

Artikel 10 — Audits

Verantwoordelijke heeft het recht om eens per kalenderjaar, op eigen kosten, een audit te (laten) verrichten op de naleving van deze overeenkomst door Verwerker. De audit wordt schriftelijk en met redelijke termijn vooraf aangekondigd.
In afwijking van lid 1 mag Verwerker de audit afdoen door het verstrekken van een geldige derde‑partij audit‑verklaring (bijvoorbeeld ISAE 3000, ISAE 3402, SOC 2 of vergelijkbaar), mits deze betrekking heeft op de relevante Verwerking.
Bij gerede twijfel over de naleving of na een Datalek heeft Verantwoordelijke het recht een aanvullende audit te verrichten, eveneens op eigen kosten.
Bevindingen uit de audit worden vertrouwelijk behandeld. Geconstateerde tekortkomingen lost Verwerker binnen redelijke termijn op.

Artikel 11 — Aansprakelijkheid

De aansprakelijkheid voor schade als gevolg van een toerekenbare tekortkoming in de nakoming van deze verwerkersovereenkomst is onderworpen aan de aansprakelijkheidsbepalingen in de Hoofdovereenkomst (Algemene Voorwaarden van SamenstelFlow, artikel 8).
Bij een door de Autoriteit Persoonsgegevens opgelegde boete vergoedt de partij die de inbreuk heeft veroorzaakt de boete aan de andere partij, met inachtneming van de aansprakelijkheidslimiet uit de Hoofdovereenkomst.

Artikel 12 — Duur en beëindiging

Deze verwerkersovereenkomst gaat in op de datum van registratie van Verantwoordelijke in het SamenstelFlow‑portaal en eindigt gelijktijdig met de beëindiging van de Hoofdovereenkomst.
Verplichtingen die naar hun aard ook na het einde van deze overeenkomst van kracht moeten blijven (zoals geheimhouding, aansprakelijkheid voor reeds plaatsgevonden Verwerkingen), blijven van kracht.

Artikel 13 — Verwijdering of teruggave van gegevens

Bij beëindiging van de Hoofdovereenkomst verwijdert Verwerker alle in haar bezit zijnde persoonsgegevens van Verantwoordelijke binnen 30 dagen, behoudens:
- Gegevens die Verwerker op grond van wet‑ of regelgeving moet bewaren (facturen, audit log gedurende 7 jaar);
- Backups, die binnen de normale backup‑rotatie (30 dagen) automatisch worden verwijderd.
Indien Verantwoordelijke uitdrukkelijk wenst dat de gegevens worden teruggegeven (in plaats van verwijderd), levert Verwerker deze in een gestructureerd, gangbaar en machineleesbaar formaat. De Excel‑bestanden in object‑storage zijn reeds in dit formaat.
Verwerker bevestigt schriftelijk dat de verwijdering of teruggave heeft plaatsgevonden.

Artikel 14 — Slotbepalingen

Bij strijdigheid tussen deze verwerkersovereenkomst en de Hoofdovereenkomst, prevaleert deze verwerkersovereenkomst voor wat betreft de Verwerking van persoonsgegevens.
Wijzigingen van deze overeenkomst zijn slechts geldig indien schriftelijk overeengekomen tussen partijen, of indien doorgevoerd door Verwerker met inachtneming van een aankondigingstermijn van 30 dagen waarbij Verantwoordelijke het recht heeft de Hoofdovereenkomst op te zeggen.
Op deze overeenkomst is uitsluitend Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter te Rotterdam.

Bijlage 1 — Beveiligingsmaatregelen

Verwerker treft de volgende technische en organisatorische maatregelen:

Technische maatregelen

Maatregel	Implementatie
Versleuteling at‑rest	API‑sleutels van het boekhoudpakket worden versleuteld met AES‑256‑GCM. De encryptie‑sleutel wordt apart bewaard in een beveiligde sleutel‑kluis (Render Secrets), niet in de database.
Versleuteling in transit	Alle verbindingen via HTTPS met TLS 1.2 of hoger, met HSTS afgedwongen.
Wachtwoordhashing	Argon2id voor wachtwoorden van gebruikers, met breach‑check tegen HaveIBeenPwned.
Sessiebeveiliging	HttpOnly + Secure + SameSite=Lax cookies. Sessie‑timeout 12 uur.
Multi‑factor authenticatie	TOTP optioneel voor alle gebruikers, verplicht voor beheerders van Verwerker.
Audit log	Append‑only logging van alle relevante mutaties (wie, wat, wanneer, vanaf welk IP). Bewaard 7 jaar.
Toegangsbeheer	Need‑to‑know principe; één persoon binnen Verwerker heeft toegang tot productie‑secrets, beveiligd met hardware‑MFA.
Backup	Dagelijkse snapshots van de database, 30 dagen retentie, gescheiden van productie.
Object‑storage	Excel‑output versleuteld in EU‑gehoste storage (Cloudflare R2), presigned URL's met 30 dagen geldigheid.
Logfilter	Loguru‑filter strip API‑sleutels en wachtwoorden uit alle logberichten vóór deze verlaten het systeem.
Update‑management	Wekelijkse dependency‑updates via Renovate/Dependabot; security‑patches binnen 7 dagen.

Organisatorische maatregelen

Maatregel	Implementatie
Geheimhouding	Alle medewerkers van Verwerker zijn contractueel verplicht tot geheimhouding.
Periodieke security‑testen	Geautomatiseerde security‑scans bij elke deploy; jaarlijkse externe penetratietest.
Datalek‑procedure	Gedocumenteerde procedure voor detectie, escalatie en melding binnen 24 uur.
Onboarding/offboarding	Toegang wordt direct bij uitdiensttreding ingetrokken.
Awareness	Periodieke security‑training voor het team.
Hosting	Productie‑servers in Frankfurt (Duitsland), binnen de EER.
Documentatie	Architectuur, datamodel en beveiligingsmaatregelen zijn schriftelijk vastgelegd en bij Verwerker opvraagbaar.

Bijlage 2 — Sub‑verwerkers

Op datum van versie 0.1 (15 mei 2026) zijn onderstaande Sub‑verwerkers door Verwerker ingeschakeld:

Sub‑verwerker	Functie	Locatie verwerking	Doorgifte‑basis
Render Services Inc.	Hosting van applicatie‑servers en database	Frankfurt, Duitsland (EER)	n.v.t. — binnen EER
Cloudflare, Inc.	Object‑storage van Excel‑output (R2)	EU‑regio (Frankfurt)	n.v.t. — binnen EER
Clerk, Inc.	Authenticatie (login, 2FA, magic links)	Verenigde Staten	EU‑US Data Privacy Framework
Mollie B.V.	Betaalverwerking (SEPA, iDEAL)	Nederland	n.v.t. — binnen EER
Resend, Inc.	Versturen van transactionele e‑mails	Verenigde Staten	EU‑US Data Privacy Framework
Sentry / Functional Software, Inc.	Error monitoring	EU‑regio bij configuratie	n.v.t. — binnen EER
Better Stack	Centrale logging	EU‑regio bij configuratie	n.v.t. — binnen EER
GitHub, Inc. (Microsoft)	Versiebeheer broncode (geen klantgegevens)	Verenigde Staten	EU‑US Data Privacy Framework

Wijzigingen in deze lijst worden 30 dagen vooraf aangekondigd conform artikel 6 lid 2.

Ondertekening

Door registratie in het SamenstelFlow‑portaal verklaart Verantwoordelijke akkoord te gaan met deze verwerkersovereenkomst. Een schriftelijke ondertekening is mogelijk op verzoek; mail naar info@samenstelflow.nl.

Namens Verwerker:

SamenstelFlow — H. van Vliet
Anna Maria van Cappellenpark 41, Capelle aan den IJssel
KvK 91903505

Versie 0.1 — 15 mei 2026 — Concept, juridische review vereist vóór go‑live.