Verwerkersovereenkomst

Hierna gezamenlijk "Partijen" en ieder afzonderlijk "Partij".

• A. Klant maakt gebruik van de dienst "Praat met je Boekhouding" van Chef Data (de "Dienst").
• B. Bij het leveren van de Dienst verwerkt Chef Data persoonsgegevens ten behoeve van Klant.
• C. Partijen wensen hun afspraken over de verwerking van persoonsgegevens vast te leggen conform artikel 28 van de Algemene Verordening Gegevensbescherming (AVG).

• 1.1 Begrippen in deze Verwerkersovereenkomst die in de AVG zijn gedefinieerd, hebben de betekenis zoals in de AVG bepaald.
• 1.2 Persoonsgegevens: alle persoonsgegevens die Chef Data verwerkt ten behoeve van Klant in het kader van de Dienst.
• 1.3 Sub-verwerker: een derde partij die Chef Data inschakelt voor de verwerking van Persoonsgegevens.
• 1.4 Datalek: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot Persoonsgegevens.

• 2.1 Onderwerp: Deze Verwerkersovereenkomst heeft betrekking op de verwerking van Persoonsgegevens door Chef Data ten behoeve van Klant in het kader van de Dienst.
• 2.2 Duur: Deze Verwerkersovereenkomst is van kracht zolang Chef Data Persoonsgegevens verwerkt ten behoeve van Klant.
• 2.3 Beëindiging: Bij beëindiging van de Hoofdovereenkomst eindigt deze Verwerkersovereenkomst van rechtswege.

• 3.1 Chef Data verwerkt Persoonsgegevens uitsluitend voor de volgende doeleinden:
  • het ophalen van boekhouddata uit Exact Online via API;
  • het doorsturen van boekhouddata naar de AI-assistent die Klant gebruikt;
  • het aanmaken, wijzigen of verwijderen van data in Exact Online op instructie van Klant via AI-tools (schrijfoperaties);
  • het bijhouden van een audittrail van schrijfoperaties (tool_name, API-endpoint, request/response, tijdstempel);
  • het vastleggen van het gebruik van de koppeling, herleidbaar tot de gebruiker die de actie deed, om storingen te onderzoeken, misbruik te herkennen, het verbruik af te zetten tegen de limieten van het abonnement en Klant inzicht te geven in het gebruik binnen zijn eigen organisatie (uitgewerkt in 3.3 tot en met 3.6);
  • het beveiligen en onderhouden van de Dienst.
• 3.2 De aard van de verwerking betreft:
  • het tijdelijk in het geheugen laden van gegevens;
  • het transformeren van data naar AI-compatibel formaat;
  • het via beveiligde verbinding doorsturen naar AI-provider;
  • het op instructie van Klant via AI-tools aanmaken, wijzigen of verwijderen van data in Exact Online;
  • het opslaan van de audittrail van schrijfoperaties, met een bewaartermijn van 7 jaar voor financiële schrijfoperaties (fiscale bewaarplicht) en 1 jaar voor overige schrijfoperaties;
  • het opslaan van de gebruiksgegevens uit 3.3, met een bewaartermijn van 12 maanden. Voor organisaties op Enterprise die alles laten vastleggen is die termijn 24 maanden, zodat een jaarverantwoording over het vorige jaar nog compleet is. Schakelt zo'n organisatie terug naar een lager niveau, dan valt zij vanaf dat moment onder de termijn van 12 maanden en ruimt de eerstvolgende opschoonronde het verschil op. Het IP-adres en de user-agent worden al na 30 dagen verwijderd; daarna is uit een gebruiksregel niet meer af te leiden met welke assistent de actie is gedaan;
  • expliciet NIET: het permanent opslaan van de opgehaalde boekhouddata zelf (read-only verzoeken). Wat bij zo'n verzoek wél wordt vastgelegd, is dát er een opvraging was en door wie, niet wat zij opleverde.
• 3.3 Gebruiksgegevens zijn herleidbaar tot een persoon. Chef Data legt per actie de volgende gegevens vast:
  • de actie: welke tool is aangeroepen, bijvoorbeeld het opvragen van een winst-en-verliesrekening. Niet de vraag die de gebruiker stelde en niet het antwoord dat hij kreeg;
  • de administratie waarin de actie plaatsvond;
  • het tijdstip waarop de actie plaatsvond, en hoe lang zij duurde;
  • de assistent waarmee de actie is gedaan, bijvoorbeeld Claude of ChatGPT, afgeleid uit de user-agent van de verbinding;
  • de uitkomst: of de actie slaagde of mislukte;
  • technische kenmerken van het verzoek: het IP-adres, de user-agent en een verzoek-identificatie.

  Elke regel is gekoppeld aan het account van de gebruiker die de actie deed en daarmee aan een natuurlijke persoon. Deze gegevens zijn dus niet geanonimiseerd en zijn Persoonsgegevens in de zin van deze Verwerkersovereenkomst.

• 3.4 Wat de beheerder van Klant kan inzien. Werkt Klant met meerdere gebruikers, dan ziet de eigenaar of beheerder van die organisatie het gebruik van de andere leden per persoon, herkenbaar aan naam en e-mailadres: het aantal acties, in welke administraties die plaatsvonden, welk deel daarvan misging, wanneer het lid voor het laatst actief was en hoeveel boekingen en andere wijzigingen het lid maakte. Welke tools het meest zijn gebruikt is alleen voor de organisatie als geheel zichtbaar en wordt nooit naast de naam van een afzonderlijk lid getoond. Voor deze inzage binnen zijn eigen organisatie is Klant zelf verwerkingsverantwoordelijke: hij bepaalt wie hij als beheerder aanwijst en waarvoor hij het overzicht gebruikt, en het informeren van zijn medewerkers daarover valt onder artikel 9.1 sub b.
• 3.5 Klant kan minder laten vastleggen. Op een abonnement zonder maandelijks maximum aantal acties (Enterprise) kan de eigenaar van de organisatie instellen dat gewone opvragingen niet meer worden vastgelegd, of dat er van het gebruik helemaal niets meer wordt vastgelegd, en daarbij desgewenst de bestaande historie van zijn eigen organisatie laten wissen. Die keuze staat alleen bij zo'n abonnement open omdat het maandelijkse maximum uit diezelfde gegevens wordt geteld; bij een plan met een maximum zou de instelling niet de vastlegging maar de meting uitzetten. Ook op het laagste niveau bewaart Chef Data bij een mislukte actie nog een foutmelding waarin staat wie de actie probeerde en welke actie het was, omdat een storing bij die Klant anders niet te onderzoeken is.
• 3.6 Tot en met versie 1.6 van deze Verwerkersovereenkomst stond op de plaats van 3.1 sub e: "het bijhouden van gebruiksstatistieken (geanonimiseerd)". Die kwalificatie was onjuist en wordt hierbij ingetrokken. De gebruiksgegevens zijn altijd aan een gebruikersaccount gekoppeld geweest en zijn dus nooit geanonimiseerd geweest; de bepaling beschreef niet minder dan er gebeurde maar iets anders. Sinds 13 augustus 2026 komt daar de inzage uit 3.4 bij, waarmee de tekst ook feitelijk achterliep. Chef Data schrijft dat liever op dan dat zij 3.1 sub e stilzwijgend vervangt.

5.1 Chef Data zal:

• a. Instructies naleven: Persoonsgegevens uitsluitend verwerken op basis van schriftelijke instructies van Klant, inclusief de instructies in deze Verwerkersovereenkomst, tenzij verwerking vereist is op grond van Unierecht of lidstaatrecht;
• b. Vertrouwelijkheid: ervoor zorgen dat personen die Persoonsgegevens verwerken zich hebben verbonden aan geheimhouding;
• c. Beveiligingsmaatregelen: passende technische en organisatorische maatregelen nemen om een beveiligingsniveau te waarborgen dat past bij het risico (zie Bijlage 1);
• d. Sub-verwerkers: alleen Sub-verwerkers inschakelen met voorafgaande schriftelijke toestemming van Klant en onder dezelfde verplichtingen (zie Bijlage 2);
• e. Bijstand rechten betrokkenen: Klant bijstaan bij het beantwoorden van verzoeken van betrokkenen tot uitoefening van hun rechten onder de AVG;
• f. Bijstand verplichtingen: Klant bijstaan bij het nakomen van verplichtingen uit artikelen 32-36 AVG;
• g. Verwijdering/retournering: na beëindiging alle Persoonsgegevens verwijderen of retourneren, naar keuze van Klant;
• h. Audits: Klant in staat stellen audits uit te voeren of te laten uitvoeren, en daaraan medewerking verlenen;
• i. Melding van een strijdige instructie: Klant onmiddellijk in kennis stellen indien naar de mening van Chef Data een instructie inbreuk oplevert op de AVG of op andere Unierechtelijke of lidstaatrechtelijke bepalingen inzake gegevensbescherming (artikel 28 lid 3, slotzin AVG).

5.2 De melding onder 5.1 sub i is een informatieplicht. Zij verplicht Chef Data niet de instructie te weigeren en geeft Chef Data geen recht de instructie eigenmachtig te wijzigen. Klant blijft verwerkingsverantwoordelijke en beslist wat er na de melding gebeurt.

5.3 Chef Data geeft hierbij een melding als bedoeld in 5.1 sub i voor het volgende geval. Naar de mening van Chef Data kan een instructie strijdig zijn met de AVG wanneer Klant de Dienst gebruikt met een AI-account waarvoor geen verwerkersovereenkomst met de AI-provider geldt, terwijl de administratie persoonsgegevens van derden bevat (relaties, contactpersonen, medewerkers). Chef Data kan niet waarnemen welk account of welk abonnement Klant bij zijn AI-provider gebruikt en kan dit geval dus niet per verzoek signaleren; deze melding wordt daarom vooraf en in algemene vorm gegeven. Ziet Chef Data alsnog een concrete aanleiding, dan meldt zij dat onmiddellijk.

• 6.1 Chef Data informeert Klant zonder onredelijke vertraging, en in elk geval binnen 24 uur, nadat Chef Data kennis heeft gekregen van een Datalek.
• 6.2 De melding bevat tenminste:
  • een beschrijving van het Datalek;
  • de categorieën betrokkenen en geschat aantal;
  • de waarschijnlijke gevolgen;
  • de genomen of voorgestelde maatregelen.
• 6.3 Chef Data ondersteunt Klant bij het doen van meldingen aan de Autoriteit Persoonsgegevens en/of betrokkenen indien vereist.

• 7.1 Klant geeft Chef Data algemene schriftelijke toestemming voor het inschakelen van Sub-verwerkers.
• 7.2 De actuele lijst van Sub-verwerkers is opgenomen in Bijlage 2.
• 7.3 Chef Data informeert Klant voorafgaand aan het inschakelen van een nieuwe Sub-verwerker of het vervangen van een bestaande. Zij doet dat door middel van een melding in het platform die bij het eerstvolgende bezoek actief aan Klant wordt getoond en die Klant zelf wegklikt. Chef Data legt per Klant vast welke wijziging is getoond en op welk moment. Daarna verdwijnt de melding; de wijziging blijft daarna na te lezen in het overzicht van juridische wijzigingen in het platform. De termijn van tien dagen uit 7.4 gaat voor iedere Klant afzonderlijk lopen op het moment dat de melding aan die Klant is getoond, en dus niet op het moment waarop een nieuwe versie van deze pagina verschijnt. Het publiceren van een nieuwe versie van deze pagina is op zichzelf geen kennisgeving en Chef Data presenteert het ook niet als zodanig; datzelfde geldt voor het enkel beschikbaar zijn van dat overzicht. Wat als kennisgeving telt, is het moment waarop de melding Klant actief onder ogen is gekomen. Chef Data schakelt de nieuwe Sub-verwerker niet in voor de Persoonsgegevens van een Klant zolang die termijn voor die Klant nog loopt.
• 7.4 Klant kan binnen tien dagen na de kennisgeving uit 7.3 gemotiveerd bezwaar maken. Partijen treden in dat geval in overleg. Leidt dit niet tot overeenstemming, dan kan Klant de Overeenkomst opzeggen. Deze termijn bedroeg in eerdere versies veertien dagen. Hij is bekort omdat hij niet langer loopt vanaf een publicatiedatum die Klant kan ontgaan, maar vanaf het moment dat de kennisgeving Klant daadwerkelijk heeft bereikt: tien dagen vanaf dat moment geven Klant meer werkelijke bezwaartijd dan veertien dagen vanaf een datum die hij nooit heeft gezien. De termijn is bewust langer dan een werkweek, zodat een gebruikelijke afwezigheid hem niet opeet.
• 7.5 Chef Data legt aan Sub-verwerkers dezelfde verplichtingen op als in deze Verwerkersovereenkomst.
• 7.6 Bij AI-providers spelen twee verschillende rollen. Die rollen lopen niet door elkaar en de ene zegt niets over de andere:
  • a. De AI-provider die Klant kiest, is geen Sub-verwerker van Chef Data. Klant kiest die partij zelf, sluit zelf de overeenkomst en betaalt haar zelf. Chef Data schakelt haar niet in. In deze rol staat de provider niet in Bijlage 2, en de kennisgevingstermijn in 7.3 geldt niet voor de keuze of wisseling van AI-provider door Klant. Zie de sectie "De AI-provider die jij kiest" onder Bijlage 2.
  • b. Een AI-provider die Chef Data zelf inschakelt, is wél een Sub-verwerker. Schakelt Chef Data op eigen initiatief een AI-dienst in voor haar eigen bedrijfsvoering en raakt die dienst daarbij Persoonsgegevens van Klant, dan geldt daarvoor het gewone regime van dit artikel: vermelding in Bijlage 2, dezelfde verplichtingen als in 7.5, en de kennisgeving en het bezwaarrecht uit 7.3 en 7.4. Anthropic PBC is in deze rol Sub-verwerker van Chef Data; wat zij daarbij verwerkt en waarvoor, staat in Bijlage 2.
  • c. De ene rol maakt de andere niet. Dat Anthropic PBC onder b Sub-verwerker van Chef Data is, maakt haar niet ook Sub-verwerker in de situatie onder a. Gebruikt Klant zelf Claude als AI-assistent bij de Dienst, dan blijft dat een relatie tussen Klant en Anthropic waarbij Chef Data geen partij is en die zij niet kan waarnemen.
• 7.7 Chef Data merkt op dat Functional Software, Inc. (Sentry) per 10 augustus 2026 aan Bijlage 2 is toegevoegd terwijl die partij al in gebruik was. De kennisgeving vooraf uit 7.3 is voor deze toevoeging dus niet gegeven; dat kon ook niet meer. Het gaat hier niet om het inschakelen van een nieuwe partij, maar om het alsnog vermelden van een bestaande. Chef Data schrijft dat liever op dan dat zij de toevoeging als een gewone nieuwe aanmelding presenteert. Het bezwaarrecht uit 7.4 staat Klant vanaf de datum van deze versie onverkort open.
• 7.8 Anthropic PBC is per versie 1.4 van 12 augustus 2026 aan Bijlage 2 toegevoegd, in de rol beschreven in 7.6 sub b. Net als bij Sentry in 7.7 ging het om het alsnog vermelden van een partij die Chef Data al gebruikte, en niet om de aanmelding van een nieuwe; de kennisgeving vooraf uit 7.3 kon dus niet meer worden gegeven. Chef Data merkt daarbij op dat bij die toevoeging geen afzonderlijk bericht aan bestaande Klanten is uitgegaan. Zij stelt vast dat het publiceren van een nieuwe versie van deze pagina de Klant niet uit zichzelf bereikt en dus geen kennisgeving is. Chef Data geeft de kennisgeving daarom alsnog, langs de weg van 7.3: een melding in het platform, per Klant vastgelegd. De termijn van tien dagen uit 7.4 en het daaraan gekoppelde bezwaarrecht gaan voor iedere Klant lopen op het moment dat die melding aan hem is getoond. Chef Data legt Persoonsgegevens van een Klant niet aan Anthropic PBC voor zolang die termijn voor die Klant nog loopt, en evenmin wanneer die Klant binnen die termijn gemotiveerd bezwaar heeft gemaakt en dat bezwaar niet is weggenomen.

• 8.1 Chef Data zal Persoonsgegevens niet doorgeven naar landen buiten de Europese Economische Ruimte (EER) zonder passende waarborgen.
• 8.2 De waarborg waarop Chef Data zich in de eerste plaats baseert, zijn de Standaardcontractbepalingen van de Europese Commissie (SCC's, uitvoeringsbesluit 2021/914), aangevuld met versleuteling tijdens transport. Chef Data beroept zich niet op het EU-VS Data Privacy Framework (DPF), behalve waar dat in 8.3 uitdrukkelijk staat.
• 8.3 Wat Chef Data per Sub-verwerker heeft nagelopen (stand 10 augustus 2026, gecontroleerd op de deelnemerslijst op dataprivacyframework.gov):
  • Exact Holding B.V. - verwerking in Nederland; geen doorgifte buiten de EER.
  • Cloudflare, Inc. - staat actief op de DPF-lijst, voor zowel HR- als niet-HR-gegevens. Daarnaast gelden SCC's. De verwerking loopt via de EU-regio.
  • Resend, Inc. - staat op de DPF-lijst met de status "Active - Re-certification under Review" en uitsluitend voor niet-HR-gegevens. Daarnaast gelden SCC's. De opslag loopt via de EU-regio (Ierland).
  • Functional Software, Inc. (handelend als Sentry) - Chef Data heeft deze partij niet in de DPF-deelnemerslijst kunnen bevestigen. Sentry verklaart zelf DPF-gecertificeerd te zijn, maar dat is haar eigen verklaring en geen bevestiging uit de lijst. Chef Data leunt hier daarom uitsluitend op de SCC's, die in het DPA van Sentry zijn opgenomen en bij het aangaan daarvan geacht worden te zijn ondertekend. De foutmeldingen gaan naar de EU-regio van Sentry (Frankfurt, Duitsland). Sentry geeft aan dat een deel van de accountgegevens van Chef Data zelf - niet de gemelde fouten - hoe dan ook in de Verenigde Staten staat.
  • Anthropic PBC - in de rol van Sub-verwerker van Chef Data (7.6 sub b en Bijlage 2). Deze partij staat niet op de DPF-deelnemerslijst; zie 8.4. De verwerking vindt plaats in de Verenigde Staten. Chef Data baseert deze doorgifte daarom uitsluitend op de SCC's uit 8.2, aangevuld met versleuteling tijdens transport, en niet op het DPF.
• 8.4 Chef Data heeft Anthropic PBC noch OpenAI LP op de DPF-deelnemerslijst aangetroffen (stand 10 augustus 2026), niet als actieve en niet als inactieve deelnemer. Elke eerdere vermelding in dit document dat Anthropic DPF-gecertificeerd zou zijn, is onjuist en hierbij ingetrokken. Voor beide partijen geldt dus dat Chef Data zich niet op het DPF beroept, maar op de SCC's uit 8.2. Over de rol van beide partijen, in aanvulling op 7.6:
  • Kiest Klant zelf Anthropic of OpenAI als AI-assistent bij de Dienst, dan is die partij in die rol geen Sub-verwerker van Chef Data (7.6 sub a). Wat Chef Data in die situatie wél voor haar rekening neemt, staat in de sectie "De AI-provider die jij kiest" onder Bijlage 2.
  • Daarnaast schakelt Chef Data Anthropic PBC zelf in voor de in Bijlage 2 omschreven verwerking. In die rol is Anthropic PBC wél Sub-verwerker van Chef Data (7.6 sub b), met de doorgiftewaarborg uit 8.3.
  • OpenAI LP schakelt Chef Data niet in en is in geen enkele rol Sub-verwerker van Chef Data.
• 8.5 Het DPF is geen afgeronde kwestie en Chef Data presenteert het niet als zodanig. De European Data Protection Board heeft de Europese Commissie op 31 juli 2026 gevraagd te beoordelen of de uitspraak van het Amerikaanse Supreme Court in Trump v. Slaughter (29 juni 2026) gevolgen heeft voor de werking van uitvoeringsbesluit 2023/1795. Daarnaast loopt het hoger beroep in zaak C-703/25 P (Latombe) nog. Dat is de reden dat 8.2 de SCC's vooropstelt.

• 9.1 Klant garandeert dat:
  • een geldige rechtsgrondslag bestaat voor de verwerking;
  • betrokkenen zijn geïnformeerd conform artikelen 13/14 AVG;
  • Klant bevoegd is de Persoonsgegevens aan Chef Data te verstrekken;
  • de instructies aan Chef Data in overeenstemming zijn met de AVG.
• 9.2 Klant vrijwaart Chef Data voor claims van betrokkenen of derden die voortvloeien uit schending van de garanties in lid 1.

• 10.1 De aansprakelijkheid van Chef Data onder deze Verwerkersovereenkomst wordt beheerst door de aansprakelijkheidsbepalingen in de Algemene Voorwaarden.
• 10.2 Partijen zijn ieder aansprakelijk voor hun eigen AVG-boetes.
• 11.1 Bij strijdigheid tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden prevaleert deze Verwerkersovereenkomst.
• 11.2 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.
• 11.3 Geschillen worden voorgelegd aan de bevoegde rechter te Amsterdam.

Technische maatregelen

Specifieke maatregel: geen opslag van opgehaalde boekhouddata