Verwerkersovereenkomst

Geldig vanaf 2 november 2026Opslaan of afdrukken

1. Partijen en rollen

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Netto en geldt zolang die gelden. Voor de persoonsgegevens die je in Netto zet, of laat binnenkomen, over je klanten, leveranciers, contactpersonen, teamleden en andere mensen in je administratie, ben jij verwerkingsverantwoordelijke en is GNS verwerker, in de zin van de Algemene verordening gegevensbescherming (AVG). Voor onze eigen verwerkingen, zoals je account en facturering, zijn wij verwerkingsverantwoordelijke; daarover gaat onze privacyverklaring.

2. Wat wij verwerken

• Doel en aard. Gegevens opslaan, ordenen, analyseren (ook met AI), tonen, versturen en verwijderen, om Netto te leveren zoals beschreven in de voorwaarden.
• Soorten persoonsgegevens. Namen, contact- en adresgegevens, KvK- en btw-nummers, rekeningnummers, factuur-, offerte-, betaal- en transactiegegevens, de inhoud van bonnetjes, documenten, e-mails en berichten die je toevoegt, en andere gegevens die je invoert.
• Betrokkenen. Je klanten, leveranciers en hun contactpersonen, jijzelf en je teamleden, je accountant, en andere mensen die in je administratie voorkomen.
• Duur. Zolang de voorwaarden gelden, plus de termijn in artikel 12.

3. Jouw instructies

• Wij verwerken de gegevens alleen op jouw gedocumenteerde instructies. Dat zijn deze voorwaarden en de manier waarop je Netto gebruikt en instelt. Zet je een functie aan, koppel je een bank, een betaaldienstverlener of een andere app, of geef je je accountant of een teamlid toegang, dan geef je ons de instructie om de gegevens te verwerken en te delen die daarvoor nodig zijn.
• Wij mogen gegevens zonder jouw instructie verwerken als een wet dat eist. Wij laten je dat dan eerst weten, tenzij die wet dat verbiedt.
• Vinden wij dat een instructie de privacywetgeving schendt, dan laten wij je dat weten. Wij mogen die instructie dan weigeren.

4. Jouw verantwoordelijkheid

Jij zorgt voor een wettelijke grondslag voor de gegevens die je in Netto zet, informeert de betrokkenen en zet er alleen in wat je administratie nodig heeft. Zet er geen bijzondere of strafrechtelijke persoonsgegevens in, en burgerservicenummers (BSN) alleen als een wet dat eist.

5. Geheimhouding

Iedereen die de gegevens namens ons verwerkt, heeft een geheimhoudingsplicht. Wij geven alleen toegang aan mensen die die nodig hebben voor hun werk.

6. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om de gegevens te beschermen, afgestemd op het risico. Daaronder vallen versleuteling tijdens verzending, scheiding van gegevens per account, toegangsbeheer, logging, back-ups en zorgvuldige selectie van en toezicht op onze leveranciers. Wij mogen de maatregelen wijzigen, zolang het beschermingsniveau niet daalt. Gelet op de aard van de gegevens en de stand van de techniek ga je ermee akkoord dat deze maatregelen passend zijn. Je beveiligt je eigen account en apparaten.

7. Subverwerkers

• Je geeft ons algemene toestemming om subverwerkers in te schakelen. Wij gebruiken nu subverwerkers in deze categorieën: hosting en database, AI-verwerking, e-mailverzending, berichtenverkeer, foutmonitoring en klantenservice.
• De actuele lijst met subverwerkers, met waar zij gegevens verwerken, is op verzoek beschikbaar via privacy@netto.so.
• Wij leggen elke subverwerker dezelfde verplichtingen op als deze overeenkomst ons oplegt, en blijven tegenover jou verantwoordelijk voor hen.
• Wij laten je minstens 30 dagen voordat wij een subverwerker toevoegen of vervangen weten, per e-mail of in de app. Binnen die termijn mag je de gegevens van die subverwerker opvragen en op redelijke gronden bezwaar maken. Kunnen wij aan je bezwaar niet tegemoetkomen, dan mag je de overeenkomst beëindigen voordat de wijziging ingaat, en betalen wij het ongebruikte deel van een vooruitbetaalde periode terug. Dat is je enige rechtsmiddel.
• Dienstverleners met wie je zelf een overeenkomst sluit, zoals rekeninginformatie- en betaaldienstverleners, en apps die je zelf koppelt, zijn niet onze subverwerkers. Zij verwerken gegevens onder hun eigen verantwoordelijkheid.

8. Doorgifte buiten de EER

Sommige subverwerkers, bijvoorbeeld voor AI-verwerking, kunnen gegevens buiten de Europese Economische Ruimte verwerken. Wij staan dat alleen toe met passende waarborgen, zoals een adequaatheidsbesluit van de Europese Commissie (waaronder het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Commissie. Je geeft toestemming voor deze doorgifte. Koppel je een app waarvan de aanbieder buiten de EER zit, dan is het versturen van gegevens daarheen een doorgifte op jouw instructie, en ben jij verantwoordelijk voor de rechtmatigheid ervan.

9. Hulp aan jou

• De meeste verzoeken van betrokkenen (inzage, correctie, verwijdering, export) kun je zelf in Netto afhandelen. Komt een verzoek bij ons binnen, dan sturen wij het door naar jou en beantwoorden wij het niet zelf, tenzij je ons dat vraagt.
• Waar redelijk helpen wij je met verzoeken, gegevensbeschermingseffectbeoordelingen (DPIA) en overleg met de toezichthouder. Hulp die verder gaat dan wat Netto zelf biedt, kunnen wij tegen een redelijk tarief in rekening brengen.

10. Datalekken

Ontdekken wij een inbreuk in verband met persoonsgegevens die jouw gegevens raakt, dan laten wij je dat zonder onredelijke vertraging weten, met als doel binnen 48 uur, met de informatie die wij op dat moment hebben. Wij nemen redelijke maatregelen om de gevolgen te beperken. Jij beslist of je de Autoriteit Persoonsgegevens en de betrokkenen informeert.

11. Controle

Op verzoek geven wij je de informatie die je nodig hebt om te controleren dat wij ons aan deze overeenkomst houden, zoals een beschrijving van onze maatregelen en antwoorden op redelijke vragen. Alleen als die informatie niet volstaat, mag je een audit laten doen door een onafhankelijke auditor met geheimhoudingsplicht: hooguit één keer per jaar, 30 dagen vooraf aangekondigd, op jouw kosten en zonder onze bedrijfsvoering te verstoren.

12. Na het einde van de overeenkomst

Na het einde van de voorwaarden kun je je gegevens 90 dagen lang exporteren. Daarna verwijderen wij de persoonsgegevens, tenzij een wet ons verplicht ze te bewaren. Kopieën in back-ups verdwijnen in de gewone back-upcyclus.

13. Aansprakelijkheid

Onze aansprakelijkheid onder deze overeenkomst valt onder artikel 20 van de voorwaarden; de grens daar geldt voor deze overeenkomst en de voorwaarden samen. De rechten van betrokkenen onder artikel 82 AVG blijven daarbij onaangetast. Je vrijwaart ons voor vorderingen en boetes die voortkomen uit jouw instructies of uit het schenden van de privacywetgeving door jou.

14. Rangorde

Voor de verwerking van persoonsgegevens gaat deze overeenkomst voor op de voorwaarden. Voor al het andere gelden de voorwaarden.