Verwerkersovereenkomst

Partijen en overwegingen

Deze verwerkersovereenkomst is gesloten tussen:

1. de organisatie die zich voor Curbo registreert of een abonnement afsluit, hierna de klant (verwerkingsverantwoordelijke); en
2. Boutr IT (eenmanszaak), gevestigd aan Mariendaal 211, 6715CB Ede, ingeschreven bij de Kamer van Koophandel onder nummer 42114724, btw-identificatienummer NL005506070B27, handelend onder de naam Curbo, hierna Curbo (verwerker).

Overwegende dat:

• de klant Curbo gebruikt voor zijn personeels- en HR-administratie, en Curbo daarbij persoonsgegevens verwerkt in opdracht van de klant;
• de klant het doel en de middelen van die verwerking bepaalt, en Curbo daarom verwerker is in de zin van artikel 4 lid 8 AVG;
• partijen hun afspraken willen vastleggen zoals artikel 28 lid 3 AVG voorschrijft.

Deze overeenkomst komt tot stand doordat de klant er bij registratie elektronisch mee akkoord gaat. Curbo legt de datum, de versie en het account van dat akkoord vast. Wil de klant een door Curbo ondertekend exemplaar (pdf), dan stuurt Curbo dat op verzoek via [email protected]. Deze overeenkomst hoort bij de algemene voorwaarden.

1. Definities

Begrippen als persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene, inbreuk in verband met persoonsgegevens (datalek) en bijzondere categorieën van persoonsgegevens hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG). Verder betekent:

• Dienst: de HR-software Curbo zoals omschreven in de algemene voorwaarden.
• Klantgegevens: de persoonsgegevens die Curbo voor de klant verwerkt, zoals omschreven in bijlage 1.
• Subverwerker: een derde die Curbo inschakelt en die daarbij klantgegevens verwerkt.
• Hoofdovereenkomst: de overeenkomst over het gebruik van de dienst, inclusief de algemene voorwaarden.

2. Onderwerp en duur

1. Curbo verwerkt klantgegevens uitsluitend om de dienst aan de klant te leveren. Aard en doel van de verwerking, de soorten gegevens en de categorieën betrokkenen staan in bijlage 1.
2. Deze overeenkomst geldt zolang de hoofdovereenkomst loopt, inclusief een proefperiode, en daarna zolang Curbo nog klantgegevens verwerkt. Ze eindigt niet eerder dan de hoofdovereenkomst.

3. Verwerking op instructie

1. Curbo verwerkt klantgegevens alleen op basis van schriftelijke instructies van de klant. De hoofdovereenkomst, deze overeenkomst en het gebruik en de instellingen van de dienst door de klant (bijvoorbeeld het aanzetten van een koppeling) gelden als instructie.
2. Curbo verwerkt klantgegevens niet voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet voor advertenties of voor het trainen van modellen. Curbo mag wel geanonimiseerde, niet tot personen of de klant herleidbare gegevens gebruiken voor het beheer en de beveiliging van de dienst.
3. Moet Curbo op grond van een wettelijke plicht anders verwerken, dan informeert Curbo de klant daar vooraf over, tenzij de wet dat verbiedt.
4. Is een instructie naar het oordeel van Curbo in strijd met de AVG of andere privacywetgeving, dan meldt Curbo dat direct aan de klant. Curbo hoeft zo'n instructie niet uit te voeren.
5. De klant staat ervoor in dat hij een geldige grondslag heeft voor de verwerking, dat hij betrokkenen (zijn medewerkers en sollicitanten) goed informeert, en dat hij geen gegevens in de dienst vastlegt die hij niet mag verwerken. In het bijzonder legt de klant geen gezondheidsgegevens (zoals een diagnose of de aard van een ziekte) vast, en het burgerservicenummer alleen voor zover dat nodig is voor de loonadministratie.
6. Curbo houdt een register bij van de verwerkingen die het als verwerker uitvoert (artikel 30 lid 2 AVG).

4. Geheimhouding

1. Curbo houdt klantgegevens geheim. Alleen personen die voor de levering, het onderhoud of de support van de dienst toegang nodig hebben, krijgen toegang, en niet meer dan nodig.
2. Iedereen die namens Curbo toegang heeft tot klantgegevens, is schriftelijk of op grond van de wet tot geheimhouding verplicht.
3. Meekijken door support in de omgeving van de klant gebeurt alleen nadat de klant daar in Curbo toestemming voor heeft gegeven (per vraag of voor een venster dat de klant kiest en altijd kan intrekken), standaard alleen-lezen en zonder toegang tot gevoelige gegevens (salaris, BSN, IBAN, verzuim). Alleen bij een spoedeisende storing kan Curbo zonder toestemming alleen-lezend meekijken, met een vastgelegde reden en een directe e-mail aan de beheerders van de klant. Elk meekijken staat in het beveiligingslogboek van de klant.

5. Beveiliging

1. Curbo neemt passende technische en organisatorische maatregelen om klantgegevens te beveiligen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten, de aard van de gegevens en de risico's (artikel 32 AVG). De maatregelen staan in bijlage 3.
2. Curbo mag de maatregelen aanpassen, zolang het niveau van beveiliging niet daalt.
3. De klant is zelf verantwoordelijk voor de beveiliging van zijn kant: het beheer van gebruikers en rechten, het tijdig intrekken van toegang, de apparaten van zijn gebruikers, en het geheimhouden van inloggegevens.
4. Geen beveiliging is perfect. Curbo garandeert niet dat de beveiliging onder alle omstandigheden doeltreffend is, maar spant zich in om het niveau uit bijlage 3 te handhaven.

6. Subverwerkers

1. De klant geeft Curbo algemene toestemming om subverwerkers in te schakelen. De subverwerkers die bij het sluiten van deze overeenkomst worden gebruikt, staan in bijlage 2 en op de pagina Subverwerkers.
2. Curbo informeert de klant minstens 30 dagen vooraf over het toevoegen of vervangen van een subverwerker, per e-mail aan de beheerders of in de dienst. De klant kan binnen die termijn met redenen bezwaar maken. Partijen overleggen dan over een oplossing. Komen zij er niet uit, dan mag de klant de hoofdovereenkomst opzeggen tegen de datum van de wijziging; een vooruitbetaald bedrag voor de periode daarna betaalt Curbo naar verhouding terug. In een spoedgeval (bijvoorbeeld als een subverwerker onverwacht stopt) kan de termijn korter zijn; Curbo informeert de klant dan zo snel mogelijk.
3. Curbo legt subverwerkers in een overeenkomst ten minste dezelfde gegevensbeschermingsverplichtingen op als in deze overeenkomst. Curbo blijft tegenover de klant verantwoordelijk voor de nakoming door zijn subverwerkers.
4. Partijen die gegevens ontvangen omdat de klant zelf een koppeling aanzet (zoals zijn salarispakket, arbodienst, agenda- of inlogdienst of eigen mailserver), zijn geen subverwerkers van Curbo. Curbo stuurt de gegevens dan door op instructie van de klant; de klant regelt zelf de afspraken met die partij.

7. Doorgifte buiten de EER

1. Curbo slaat klantgegevens op in Nederland. Curbo geeft klantgegevens alleen door naar een land buiten de Europese Economische Ruimte als dat in overeenstemming is met hoofdstuk V van de AVG, bijvoorbeeld op basis van een adequaatheidsbesluit (zoals het EU-US Data Privacy Framework) of standaardcontractbepalingen.
2. De doorgiften die nu plaatsvinden, en de waarborgen daarbij, staan in bijlage 2.

8. Bijstand aan de klant

1. De dienst bevat functies waarmee de klant zelf gegevens kan inzien, verbeteren, exporteren en verwijderen. Daarmee kan de klant voldoen aan verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar).
2. Ontvangt Curbo zelf een verzoek van een betrokkene over klantgegevens, dan stuurt Curbo het zonder onnodige vertraging door naar de klant en handelt Curbo het niet zelf af, tenzij de klant daartoe opdracht geeft.
3. Curbo helpt de klant, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling (DPIA), een voorafgaande raadpleging van de Autoriteit Persoonsgegevens, en het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG. Curbo stelt daarvoor de beschikbare informatie over de dienst en de beveiliging ter beschikking.
4. Bijstand die verder gaat dan de standaardfuncties en redelijke informatie, mag Curbo tegen de gebruikelijke tarieven in rekening brengen, na een vooraf gegeven opgave.

9. Datalekken

1. Curbo meldt een datalek dat klantgegevens betreft zonder onredelijke vertraging aan de klant, en uiterlijk binnen 48 uur nadat Curbo het heeft ontdekt. De melding gaat per e-mail naar de beheerders van de klant.
2. De melding bevat, voor zover bekend: (a) de aard van het lek, (b) de categorieën en het geschatte aantal betrokkenen en gegevens, (c) de waarschijnlijke gevolgen, (d) de maatregelen die Curbo heeft genomen of voorstelt om het lek te dichten en de gevolgen te beperken, en (e) een contactpersoon. Wat nog niet bekend is, vult Curbo zo snel mogelijk aan.
3. De klant beslist of hij het lek meldt aan de Autoriteit Persoonsgegevens en aan betrokkenen. Curbo helpt daarbij en meldt het lek niet zelf namens de klant, tenzij de wet dat vereist of de klant dat vraagt.
4. Curbo houdt alle datalekken bij in een intern register, met de feiten, de gevolgen en de genomen maatregelen.

10. Controle en audits

1. Curbo stelt de klant op verzoek alle informatie ter beschikking die nodig is om aan te tonen dat Curbo deze overeenkomst nakomt, bijvoorbeeld door een ingevulde beveiligingsvragenlijst of een toelichting op de maatregelen.
2. Is die informatie aantoonbaar onvoldoende, dan mag de klant maximaal één keer per jaar een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte deskundige. De klant kondigt de audit minstens 30 dagen vooraf schriftelijk aan, met de reikwijdte. De audit vindt plaats tijdens kantooruren, verstoort de dienst niet en geeft geen toegang tot gegevens van andere klanten. Bij een datalek of een concreet vermoeden van een overtreding kan de klant ook tussentijds een audit laten doen.
3. De kosten van een audit, inclusief redelijke kosten van Curbo, zijn voor de klant. Blijkt uit de audit dat Curbo deze overeenkomst op een wezenlijk punt niet nakomt, dan draagt Curbo zijn eigen kosten en herstelt Curbo de tekortkoming zo snel mogelijk.
4. De klant deelt de uitkomsten van de audit met Curbo en houdt ze vertrouwelijk.

11. Einde: teruggave en verwijdering

1. Tijdens de overeenkomst kan de klant zijn gegevens zelf exporteren. Na het einde van de hoofdovereenkomst helpt Curbo de klant op verzoek, binnen 30 dagen, om de gegevens in een gangbaar, machineleesbaar formaat te ontvangen.
2. Uiterlijk 90 dagen na het einde van de hoofdovereenkomst verwijdert Curbo de klantgegevens, tenzij een wettelijke plicht Curbo verplicht ze langer te bewaren. Kopieën in back-ups worden niet apart verwijderd, maar verdwijnen vanzelf binnen 35 dagen daarna doordat de back-ups worden overschreven. Tot die tijd blijven ze beveiligd en worden ze niet gebruikt.
3. Op verzoek bevestigt Curbo schriftelijk dat de gegevens zijn verwijderd.

12. Aansprakelijkheid

1. Voor de aansprakelijkheid van partijen onder deze overeenkomst geldt de regeling in de algemene voorwaarden (artikel 15), voor zover de wet dat toelaat. Artikel 82 AVG blijft onverlet.
2. De klant vrijwaart Curbo voor aanspraken van betrokkenen en boetes van een toezichthouder die het gevolg zijn van een verwerking die de klant heeft opgedragen in strijd met de AVG, of van gegevens die de klant onrechtmatig in de dienst heeft vastgelegd.

13. Slotbepalingen

1. Bij tegenstrijdigheid tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor, voor zover het om de verwerking van persoonsgegevens gaat.
2. Curbo mag deze overeenkomst wijzigen op de manier die in de algemene voorwaarden staat (aankondiging 30 dagen vooraf, met recht op opzegging). Wijzigingen die nodig zijn door een wetswijziging of een uitspraak van een toezichthouder kunnen eerder ingaan.
3. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechter die in de algemene voorwaarden is aangewezen.

Contact over deze overeenkomst, datalekken en verzoeken:

Bijlage 1: Specificatie van de verwerking

Aard en doel

Opslaan, ordenen, raadplegen, wijzigen, berekenen, doorsturen (op instructie) en verwijderen van gegevens, om de klant de dienst te leveren: personeelsadministratie, roosters en urenregistratie, in- en uitklokken, verlof en verzuim (inclusief de stappen van de Wet verbetering poortwachter), documenten en digitaal ondertekenen, loonstroken en declaraties, onboarding en leren, gesprekken en doelen, werving en selectie, interne communicatie, en de export naar salarisadministratie. Daarbij horen ook het beveiligen, het maken van back-ups, support en het versturen van e-mail en pushberichten.

Categorieën betrokkenen

• medewerkers van de klant (ook oud-medewerkers, uitzendkrachten en stagiairs die de klant vastlegt);
• sollicitanten;
• gebruikers bij de klant (beheerders, HR, leidinggevenden, boekhouder);
• noodcontacten van medewerkers en contactpersonen die de klant vastlegt.

Categorieën persoonsgegevens

• identificatie- en contactgegevens: naam, e-mail, telefoon, adres, geboortedatum en -plaats, nationaliteit, profielfoto, noodcontact;
• dienstverband: personeelsnummer, functie, team, vestiging, contract, startdatum, uren;
• financieel: salaris of uurloon, toeslagen, declaraties, IBAN, loonstroken en jaaropgaven;
• burgerservicenummer, uitsluitend voor de loonadministratie;
• tijd en aanwezigheid: rooster, beschikbaarheid, gewerkte uren, kloktijden en, als de klant dat aanzet, de locatie op het moment van klokken;
• verlof en verzuim: verlofaanvragen en -saldi; ziek- en betermeldingen met datum, verwachte duur en bereikbaarheid, en de poortwachtertijdlijn. Geen diagnose, klachten of andere medische gegevens;
• ontwikkeling: onboarding, cursussen, toetsresultaten, certificaten, gesprekken en doelen;
• werving: sollicitatiegegevens, cv en motivatie, en het verloop van de procedure;
• gebruik en beveiliging: accountgegevens, sessies, apparaat, IP-adres, pushtokens en het logboek van acties;
• documenten en berichten die de klant of zijn gebruikers in de dienst zetten.

Bijzondere persoonsgegevens

De dienst is niet bedoeld voor bijzondere categorieën van persoonsgegevens. Gegevens over gezondheid legt de klant niet vast; vrije tekstvelden vult de klant zonder medische informatie. Strafrechtelijke gegevens worden niet verwerkt.

Bewaartermijnen

De klant bepaalt de bewaartermijnen en verwijdert gegevens zelf als ze niet meer nodig zijn. Sollicitanten worden automatisch verwijderd na de bewaartermijn die de klant instelt (standaard 4 weken na de procedure, of een jaar met toestemming). Na het einde van de overeenkomst geldt artikel 11.

Bijlage 2: Subverwerkers

Subverwerkers die voor elke klant worden gebruikt:

Ontvangers die alleen gegevens krijgen als de klant de koppeling zelf aanzet (geen subverwerkers van Curbo, zie artikel 6.4):

De actuele lijst staat altijd op curbo.nl/subverwerkers.

Bijlage 3: Beveiligingsmaatregelen

Hosting en infrastructuur

• Servers bij TransIP in Nederland; de database is niet vanaf internet bereikbaar.
• Verkeer loopt via Cloudflare met bescherming tegen overbelasting en aanvallen.
• Besturingssysteem en software krijgen maandelijks automatisch beveiligingsupdates; dringende updates eerder.
• Dagelijkse back-up van de database en bestanden, met een extra back-up vóór elke update, en een dagelijkse versleutelde kopie van de database (AES-256) op een tweede server in Nederland. Back-ups worden maximaal 35 dagen bewaard.

Verbindingen en opslag

• Alle verbindingen zijn versleuteld met TLS (https), afgedwongen met HSTS.
• Beveiligingsheaders tegen clickjacking, MIME-sniffing en het lekken van adressen naar derden.
• BSN, IBAN, tweestapsgeheimen, API-sleutels en koppeltokens zijn versleuteld opgeslagen (AES-256-GCM), met sleutels die niet in de database staan en die kunnen worden vervangen. In schermen en lijsten staan BSN en IBAN gemaskeerd; het volledige nummer tonen vraagt opnieuw wachtwoord of code en wordt gelogd.
• Alle geuploade bestanden (zoals loonstroken en ID-bewijzen) zijn per bestand versleuteld opgeslagen (AES-256-GCM, met een eigen sleutel per bestand).
• Een strikte Content-Security-Policy beperkt welke scripts in de browser mogen draaien.
• Bestanden staan per organisatie gescheiden buiten de publieke webmap en worden alleen na een rechtencontrole geleverd.
• Uploads worden beperkt tot vaste bestandssoorten, gecontroleerd op hun werkelijke inhoud (geen HTML, scripts of SVG), en een maximale grootte.
• Gegevens van organisaties zijn logisch van elkaar gescheiden; elke opvraging wordt beperkt tot de eigen organisatie.

Toegang

• Wachtwoorden worden alleen opgeslagen als gezouten scrypt-hash; minimaal 12 tekens, en wachtwoorden uit bekende datalekken worden geweigerd.
• Tweestapsverificatie (TOTP) is verplicht voor beheerders, HR, medewerkers van Curbo en iedereen met toegang tot gevoelige gegevens, behalve bij inloggen via het werkaccount (Google of Microsoft) van de organisatie, waar die partij de aanmelding controleert.
• Sessietokens zijn willekeurig en alleen als hash opgeslagen; de sessiecookie is httpOnly, alleen via https en gebonden aan het domein. Sessies verlopen bij inactiviteit (beheer en HR na 2 uur) en na een vaste maximale duur, worden vernieuwd na inloggen en bij wachtwoord- of 2FA-wijzigingen op alle apparaten beëindigd. Voor gevoelige handelingen (zoals een volledige export) wordt opnieuw om wachtwoord of code gevraagd.
• Grenzen op het aantal pogingen bij inloggen, tweestapscodes, wachtwoordherstel, registratie en openbare formulieren, met oplopende blokkades; een tweestapscode werkt maar één keer.
• Rechten per rol en per team of vestiging. Gevoelige gegevens (salaris, BSN, IBAN, notities bij verzuim) zijn alleen zichtbaar met een apart recht.
• Meekijken door support: alleen met toestemming van de klant (of in een noodgeval met reden en directe melding), standaard alleen-lezen, zonder gevoelige gegevens, vastgelegd in het logboek. Het herstellen van tweestapsverificatie kan alleen een beheerder van Curbo, na verificatie, met melding aan de beheerders van de klant.

Logboek en controle

• Belangrijke acties (inloggen, mislukte pogingen, rechten, wijzigingen in dossiers, inzage van BSN/IBAN en gevoelige documenten, exports, meekijken) komen in een beveiligingslogboek dat de klant zelf kan inzien. Verdachte patronen leiden automatisch tot een melding aan Curbo.
• Bij wijzigingen van wachtwoord of tweestapsverificatie, inloggen op een nieuw apparaat en een volledige export krijgt de gebruiker of beheerder een e-mail.
• Fouten worden centraal verzameld zonder inhoud van formulieren en met een gebruiker alleen als hash; ze worden na 90 dagen verwijderd.
• Verzoeken naar adressen die een klant opgeeft (zoals een eigen salariskoppeling) worden gecontroleerd zodat ze geen interne systemen kunnen bereiken.

Privacy by design

• Geen medische velden bij verzuim; leidinggevenden zien geen notities bij een ziekmelding.
• Locatie alleen op het moment van klokken en alleen als de klant dat aanzet; leidinggevenden zien alleen een label, geen coördinaten.
• Geen foto's bij het klokken.
• Sollicitanten worden automatisch verwijderd na de bewaartermijn.
• Geen analytics, geen advertentienetwerken, geen externe AI-dienst.

Organisatie

• Toegang tot de productieomgeving is beperkt tot de personen die de dienst beheren, met persoonlijke accounts en sleutels.
• Wie toegang heeft tot klantgegevens is tot geheimhouding verplicht.
• Een vaste werkwijze voor het melden en afhandelen van datalekken, en een openbaar beleid voor het melden van kwetsbaarheden (Beveiliging).