Verwerkersovereenkomst

Deze verwerkersovereenkomst geldt tussen CryptoBox3 (KvK 97935476), hierna "Verwerker", en iedere organisatie die CryptoBox3 gebruikt om rapporten te maken voor haar cliënten, zoals een accountants- of administratiekantoor, hierna "Opdrachtgever".

Voor de gegevens van haar cliënten is de Opdrachtgever verwerkingsverantwoordelijke in de zin van de AVG en is CryptoBox3 verwerker. Deze overeenkomst geldt als de afspraken bedoeld in artikel 28, lid 3 AVG. Ze is van toepassing zodra de Opdrachtgever cliënten aanmaakt, een rapport-bundel afneemt of een beta-code voor accountants inwisselt, en vormt een aanvulling op de algemene voorwaarden. Bij strijd gaat deze overeenkomst voor wat betreft de verwerking van persoonsgegevens.

Wil je een ondertekend exemplaar voor je dossier? Mail thomas@cryptobox3.nl.

Verwerker verwerkt persoonsgegevens uitsluitend om de dienst te leveren: het uitlezen van wallets en exchange-gegevens van cliënten van de Opdrachtgever, het berekenen van het werkelijk rendement voor de Box 3-aangifte en het maken, opslaan en beschikbaar stellen van rapporten. De soorten gegevens, betrokkenen en bewaartermijnen staan in bijlage 1.

De overeenkomst loopt zolang Verwerker persoonsgegevens voor de Opdrachtgever verwerkt.

Verwerker verwerkt de gegevens alleen in opdracht van de Opdrachtgever. Het gebruik van de dienst (cliënten aanmaken, wallets en exports toevoegen, scans starten, rapporten downloaden of verwijderen) geldt als schriftelijke instructie. Verwerker gebruikt de gegevens niet voor eigen doeleinden, niet voor marketing en verkoopt ze niet door. Vindt Verwerker dat een instructie in strijd is met de AVG, dan meldt hij dat direct.

De Opdrachtgever zorgt dat zij een grondslag heeft om de gegevens aan Verwerker te verstrekken en voert geen gegevens in die voor de dienst niet nodig zijn, zoals burgerservicenummers of bijzondere persoonsgegevens. Gebruik bij voorkeur een cliëntnummer als cliëntreferentie.

Iedereen die namens Verwerker toegang heeft tot de gegevens, is tot geheimhouding verplicht. Toegang is beperkt tot wat nodig is voor beheer, support en het oplossen van storingen.

Verwerker neemt passende technische en organisatorische maatregelen om de gegevens te beveiligen tegen verlies en onrechtmatige verwerking (artikel 32 AVG). De belangrijkste maatregelen staan in bijlage 2. Verwerker mag maatregelen aanpassen, zolang het beveiligingsniveau niet omlaag gaat.

De Opdrachtgever geeft toestemming voor het inschakelen van de subverwerkers in bijlage 3. Verwerker legt hun minimaal dezelfde verplichtingen op als in deze overeenkomst. Bij een nieuwe of andere subverwerker informeert Verwerker de Opdrachtgever vooraf per e-mail. De Opdrachtgever kan binnen 30 dagen gemotiveerd bezwaar maken; komen partijen er niet uit, dan kan de Opdrachtgever de dienst beëindigen.

De gegevens worden opgeslagen op servers in Nederland. Om transacties op te halen stuurt Verwerker alleen publieke wallet-adressen naar blockchain-dataproviders, waarvan sommige buiten de Europese Economische Ruimte zijn gevestigd. Daarbij gaan geen namen, cliëntreferenties of andere identificerende gegevens mee. Andere doorgifte buiten de EER vindt alleen plaats met passende waarborgen volgens hoofdstuk V van de AVG.

Verwerker helpt de Opdrachtgever bij verzoeken van cliënten om inzage, correctie of verwijdering. De Opdrachtgever kan cliënten en hun gegevens zelf inzien en verwijderen in het cliëntdashboard. Komt een verzoek rechtstreeks bij Verwerker binnen, dan stuurt hij het door naar de Opdrachtgever.

Verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 36 uur na ontdekking aan de Opdrachtgever, zodat deze binnen 72 uur kan melden bij de Autoriteit Persoonsgegevens. De melding bevat wat er is gebeurd, welke gegevens en betrokkenen het raakt, de waarschijnlijke gevolgen en de genomen maatregelen. Het melden aan de toezichthouder en aan betrokkenen blijft de verantwoordelijkheid van de Opdrachtgever.

Verwerker geeft de Opdrachtgever de informatie die nodig is om aan te tonen dat de AVG wordt nageleefd, en helpt waar redelijk bij een gegevensbeschermingseffectbeoordeling (DPIA). De Opdrachtgever kan maximaal één keer per jaar, met redelijke aankondiging en op eigen kosten, een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht.

Verwijdert de Opdrachtgever een cliënt of haar account, dan worden de bijbehorende gegevens en rapporten verwijderd. Na het einde van de dienst verwijdert Verwerker de resterende gegevens binnen 30 dagen, tenzij een wettelijke bewaarplicht geldt. Rapporten kan de Opdrachtgever vooraf zelf downloaden.

Voor aansprakelijkheid geldt wat in de algemene voorwaarden staat, behalve voor zover de AVG of andere dwingende wetgeving anders bepaalt. Op deze overeenkomst is Nederlands recht van toepassing. Verwerker kan deze overeenkomst aanpassen; inhoudelijke wijzigingen worden vooraf per e-mail gemeld. De actuele versie staat altijd op deze pagina.