Verwerkersovereenkomst (AVG art. 28)

Dreilex verwerkt persoonsgegevens voor jouw rekening met als enig doel Kwintio te leveren: facturen, creditnota's en offertes opmaken, versturen en ontvangen via Peppol, archiveren, exporteren en back-ups maken. De overeenkomst loopt zolang de Gebruiksvoorwaarden lopen en daarna zolang Dreilex gegevens voor jou bewaart (artikel 10).

• Verwerking: opslag, weergave, aanmaak van PDF/UBL-documenten, verzending en ontvangst via Peppol, export, back-up, verwijdering.
• Betrokkenen: je klanten, leveranciers en hun contactpersonen; je gebruikers (medewerkers, boekhouder).
• Gegevens: namen, adressen, e-mailadressen, telefoonnummers, ondernemings-/btw-nummers, IBAN, inhoud en bedragen van facturen, Peppol-identificaties. Bijzondere categorieën van gegevens (artikel 9 AVG) en gegevens over strafrechtelijke veroordelingen zijn niet bedoeld; voer ze niet in.

• Jij bepaalt het doel van de verwerking en bent verantwoordelijk voor de rechtmatigheid ervan (o.a. de informatie aan je klanten).
• Dreilex verwerkt de gegevens enkel volgens je gedocumenteerde instructies – deze overeenkomst, de Gebruiksvoorwaarden en je handelingen in de applicatie – ook wat doorgiften naar derde landen betreft, tenzij het EU- of Belgisch recht anders oplegt; dan verwittigt Dreilex je vooraf, tenzij de wet dat verbiedt. Dreilex meldt het je onmiddellijk als een instructie volgens haar inbreuk maakt op de AVG.
• Dreilex gebruikt je klantgegevens niet voor eigen doeleinden. Enkel het aantal verzonden Peppol-documenten gebruikt Dreilex als verwerkingsverantwoordelijke voor de facturatie (zie het Privacybeleid).

Personen die Dreilex machtigt om de gegevens te verwerken, zijn tot vertrouwelijkheid gehouden.

Dreilex neemt de technische en organisatorische maatregelen van Bijlage 1 (artikel 32 AVG) en past ze aan de stand van de techniek aan.

• Je geeft een algemene toestemming voor de subverwerkers in Bijlage 2.
• Dreilex verwittigt je minstens 30 dagen vóór een subverwerker wordt toegevoegd of vervangen. Je kan binnen die termijn om redelijke gronden bezwaar maken; vinden we geen oplossing, dan kan je de overeenkomst kosteloos beëindigen met terugbetaling pro rata van het reeds betaalde, niet-gebruikte deel.
• Dreilex legt haar subverwerkers bij overeenkomst in wezen dezelfde verplichtingen inzake gegevensbescherming op en blijft tegenover jou volledig aansprakelijk voor hen.

De databank en de documenten zijn opgeslagen in de EU. Kan een subverwerker gegevens van buiten de EER raadplegen of verwerken, dan gebeurt dat enkel op grond van een adequaatheidsbesluit (bv. het EU-VS Data Privacy Framework, voor gecertificeerde ontvangers) of van EU-standaardcontractbepalingen (uitvoeringsbesluit (EU) 2021/914).

Dreilex helpt je, rekening houdend met de aard van de verwerking, bij verzoeken van betrokkenen (de applicatie biedt al inzage, verbetering en export), bij de beveiliging, de melding van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen (artikelen 32 tot 36 AVG). Een verzoek dat Dreilex rechtstreeks van een betrokkene ontvangt, stuurt ze onverwijld aan je door.

Dreilex meldt je een inbreuk die jouw gegevens treft zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat ze er kennis van kreeg, met de informatie van artikel 33, lid 3 AVG die op dat moment beschikbaar is, en vult die aan zodra meer bekend is.

• Bij het einde van de overeenkomst kan je al je gegevens exporteren (zie artikel 10 van de Gebruiksvoorwaarden).
• Jouw keuze (bij de afsluiting van het account in de app, of per e-mail): tenzij je Dreilex de instructie geeft alles te wissen, bewaart Dreilex de uitgereikte, ontvangen en geïmporteerde facturen en creditnota's (met het originele UBL-bestand) in alleen-lezen voor jouw rekening, tot het einde van de wettelijke bewaartermijn van 7 jaar vanaf 1 januari van het jaar na de datum van uitreiking (artikel 60, § 3 Btw-Wetboek) van het jongste document, zonder bijkomende kosten, en wist ze daarna. Jij blijft verantwoordelijk voor je eigen bewaarplicht.
• Alle andere gegevens (en bij de keuze "alles wissen" ook de facturen) worden 90 dagen na de afsluiting gewist; tot dan kan je alles exporteren. Back-ups worden binnen de termijnen van Bijlage 1 overschreven. Dreilex bevestigt de wissing op verzoek schriftelijk.
• Stopt Dreilex met Kwintio, dan verwittigt ze je minstens 3 maanden vooraf zodat je alles kan exporteren.

Dreilex stelt de informatie ter beschikking die nodig is om naleving aan te tonen (deze overeenkomst, Bijlage 1 en 2, certificeringen en verwerkersovereenkomsten van subverwerkers). Een audit door jou of een onafhankelijke, tot geheimhouding verplichte auditor is één keer per jaar mogelijk (en bijkomend na een inbreuk of op verzoek van een toezichthoudende autoriteit), op jouw kosten, met 30 dagen voorafgaande kennisgeving.

Artikel 12 (aansprakelijkheid) van de Gebruiksvoorwaarden is van toepassing, onverminderd artikel 82 AVG. Het Belgisch recht is van toepassing; artikel 14 van de Gebruiksvoorwaarden (bevoegde rechtbank) geldt.

• Hosting bij Cloudflare; databank en documentopslag met EU-jurisdictie; versleuteling tijdens transport (TLS) en in rust.
• Wachtwoorden: gezouten hash PBKDF2-SHA256; sessies in een __Host--cookie (HttpOnly, Secure, SameSite=Lax); CSRF-token bij elke schrijfaanvraag; bevestiging van het e-mailadres.
• Scheiding per bedrijf: elke aanvraag wordt gecontroleerd tegen het actieve bedrijf en de rol van de gebruiker (eigenaar, lid, boekhouder alleen-lezen).
• Rate limiting op inloggen en registratie; beveiligingslogs maximaal 30 dagen bewaard.
• Back-ups: point-in-time herstel van de databank 30 dagen; maandelijkse versleutelde exports van de databank in EU-objectopslag, verwijderd na 90 dagen; documenten in EU-objectopslag; originele UBL-bestanden ongewijzigd bewaard.
• Geheimen (API-sleutels) enkel in de geheime opslag van de hostingaanbieder, nooit in de broncode.
• Administratieve toegang beperkt tot de uitbater van Dreilex, beschermd met sterke authenticatie. Geen toegang tot productiegegevens voor tools of dienstverleners die niet in Bijlage 2 staan. Ontwikkelingstools (ook AI-tools) werken enkel in een afzonderlijke testomgeving met fictieve gegevens en hebben geen toegang tot productiegegevens; het zijn geen subverwerkers.
• Geautomatiseerde tests bij elke wijziging; wijzigingen in een wijzigingsregister.

Bij verschillen tussen de taalversies heeft de Nederlandse versie voorrang.