Verwerkersovereenkomst

Versie 2026-09

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van 4D-Compass. Zij geldt zodra de klant een account aanmaakt en persoonsgegevens door ons laat verwerken.

• Verwerkingsverantwoordelijke: de klant, de onderneming die het account afsluit.
• Verwerker: 4D Finance (KvK 75857510), aanbieder van 4D-Compass.

1. Onderwerp en duur

Wij verwerken persoonsgegevens uitsluitend om het platform te leveren zoals beschreven in bijlage A. Deze overeenkomst loopt zolang de klant het platform gebruikt en eindigt met de onderliggende overeenkomst.

2. Instructies

Wij verwerken de gegevens alleen op instructie van de klant. Het gebruik van het platform en de instellingen die de klant kiest, gelden als die instructie. Buiten het leveren van de dienst gebruiken wij de gegevens alleen voor de vergelijkingscijfers uit artikel 2a. Wij verkopen de gegevens niet en wij trainen er geen AI-modellen mee. Vinden wij dat een instructie in strijd is met de wet, dan melden wij dat.

2a. Vergelijkingscijfers

De klant geeft ons opdracht om zijn gegevens mee te nemen in geanonimiseerde vergelijkingscijfers, zodat hij zijn prestaties naast die van vergelijkbare bedrijven kan leggen. Daarbij gelden deze voorwaarden:

• wij aggregeren tot totalen en gemiddelden, met minstens vijf bedrijven per cijfer;
• persoonsgegevens gaan er niet in: geen namen, geen personeelsnummers, geen bedragen per medewerker;
• van verzuim gebruiken wij alleen het percentage over een bedrijf als geheel, nooit gegevens van een individuele medewerker;
• de uitkomst is niet herleidbaar tot een klant of een persoon, en wordt niet als los product aan derden verkocht;
• de klant kan deze opdracht op elk moment intrekken via een bericht aan info@4d-compass.com; wij halen zijn gegevens dan uit de vergelijking.

Zodra een cijfer anoniem is, is het geen persoonsgegeven meer en valt het buiten deze overeenkomst. De weg ernaartoe, het aggregeren zelf, valt er wel onder.

3. Geheimhouding

Iedereen bij ons die toegang heeft tot de gegevens, is tot geheimhouding verplicht. Toegang krijgt alleen wie die nodig heeft voor ondersteuning, beheer of foutoplossing.

4. Beveiliging

Wij nemen passende technische en organisatorische maatregelen, zoals beschreven in bijlage C. Wij mogen die maatregelen aanpassen zolang het beschermingsniveau gelijk blijft of hoger wordt.

5. Subverwerkers

De klant geeft toestemming voor de subverwerkers in bijlage B. Willen wij er een toevoegen of vervangen, dan melden wij dat minstens dertig dagen vooraf. De klant kan daar binnen die termijn bezwaar tegen maken; komen wij er samen niet uit, dan kan de klant de overeenkomst opzeggen tegen de ingangsdatum. Met elke subverwerker sluiten wij dezelfde verplichtingen als in deze overeenkomst staan.

6. Rechten van betrokkenen

Krijgen wij een verzoek van een betrokkene, bijvoorbeeld om inzage of verwijdering, dan sturen wij dat door naar de klant en beantwoorden wij het niet zelf. Wij helpen de klant om zo'n verzoek af te handelen, met de mogelijkheden die het platform biedt.

7. Datalekken

Ontdekken wij een inbreuk op de beveiliging waarbij persoonsgegevens betrokken zijn, dan melden wij dat zonder onnodige vertraging, en in elk geval binnen achtenveertig uur nadat wij ervan wisten. Wij melden wat er is gebeurd, welke gegevens en welke betrokkenen het raakt, wat de gevolgen kunnen zijn en welke maatregelen wij nemen. De melding bij de Autoriteit Persoonsgegevens doet de klant.

8. Doorgifte buiten de Europese Economische Ruimte

Gegevens staan in West-Europa. Alleen voor de AI-functies gaan gegevens naar een partij in de Verenigde Staten, zie bijlage B. Daarvoor gelden de modelcontractbepalingen van de Europese Commissie. Gebruikt een klant die functies niet, dan vindt die doorgifte niet plaats.

9. Controle

Wij geven de klant op verzoek de informatie die hij nodig heeft om te controleren dat wij ons aan deze overeenkomst houden. Wil de klant een audit laten uitvoeren, dan kondigt hij dat minstens dertig dagen vooraf aan, hoogstens één keer per jaar, door een onafhankelijke deskundige die geheimhouding tekent. De kosten draagt de klant, tenzij uit de audit blijkt dat wij ons niet aan de afspraken houden.

10. Teruggave en verwijdering

Na het einde van de overeenkomst kan de klant dertig dagen lang een export opvragen. Daarna verwijderen wij de persoonsgegevens uit de actieve systemen. Back-ups verlopen volgens hun eigen cyclus en worden niet teruggezet, behalve bij een calamiteit. Wat wij wettelijk moeten bewaren, zoals facturen, bewaren wij langer.

11. Aansprakelijkheid

De beperking van aansprakelijkheid uit de algemene voorwaarden geldt ook hier, voor zover de wet dat toestaat.

Bijlage A. Wat wij verwerken

Doeleinden

• het tonen van financiële rapportages, prognoses en kengetallen;
• het bijhouden van openstaande posten en relaties;
• het tonen van personeelscijfers zoals bezetting, verzuim en verlof;
• het voorbereiden en boeken van mutaties in de boekhouding van de klant, op zijn opdracht;
• het maken van geanonimiseerde vergelijkingscijfers, zoals beschreven in artikel 2a;
• ondersteuning en foutoplossing.

Betrokkenen en gegevens

Verzuimgegevens zijn gezondheidsgegevens. Wij verwerken alleen de periode, het percentage en de soort registratie, en nemen de oorzaak of aard van de ziekte niet over. Wij verwerken geen burgerservicenummers en geen salarisbedragen per medewerker.

Bijlage B. Subverwerkers

Bijlage C. Beveiligingsmaatregelen

• versleuteld verkeer (TLS) en versleutelde opslag van sleutels en tokens, met een aparte sleutel;
• wachtwoorden gehasht, tweestapsverificatie verplicht, sessies verlopen automatisch;
• scheiding tussen klanten: elke opvraag is begrensd tot de bedrijven waar de gebruiker bij mag;
• rollen en rechten per gebruiker, per bedrijf en per module;
• logboeken van inloggen, aanmelden en fouten, met limieten tegen misbruik;
• dagelijkse back-ups van de database;
• gescheiden omgevingen voor ontwikkeling en productie; tests draaien nooit op productiegegevens;
• updates van het platform gaan via versiebeheer, met een automatische testronde vooraf.