POSIFY Verwerkersovereenkomst

Verwerkersovereenkomst (Data Processing Agreement)

Versie: 1.0 · Ingangsdatum: 22 juli 2026 · Publicatie-URL: posify.nl/pages/verwerkersovereenkomst

Deze verwerkersovereenkomst ("Verwerkersovereenkomst") maakt integraal onderdeel uit van de POSIFY Algemene Voorwaarden (versie 21-7-2026) en de POSIFY Abonnementsovereenkomst (samen de "Hoofdovereenkomst") en geeft uitvoering aan artikel 30 van de Algemene Voorwaarden en artikel 7 van de Abonnementsovereenkomst.

Partijen:

Verwerkingsverantwoordelijke: de klant die via het POSIFY-kassasysteem persoonsgegevens verwerkt ("Klant").
Verwerker: POSIFY B.V., statutair gevestigd te Rijswijk en kantoorhoudend aan de Laan van

Oversteen 20 te Rijswijk, KVK 42013295 ("POSIFY").

Rolverdeling: POSIFY is verwerker voor de gegevens die de Klant via het kassasysteem verwerkt. Voor gegevens die POSIFY voor eigen doeleinden verwerkt (facturatie, accountbeheer, productverbetering op basis van geanonimiseerde telemetrie conform artikel 31 AV) is POSIFY zelfstandig verwerkingsverantwoordelijke; die verwerkingen vallen buiten deze Verwerkersovereenkomst en staan in de privacyverklaring van POSIFY. POSIFY treedt voor kassasysteem-data niet op als gezamenlijke verwerkingsverantwoordelijke.

1. Definities

Begrippen als "persoonsgegevens", "verwerking", "betrokkene", "inbreuk in verband met persoonsgegevens" (datalek) en "subverwerker" hebben de betekenis uit de AVG. Overige begrippen: zie Hoofdovereenkomst.

2. Voorwerp, aard en doel van de verwerking (art. 28 lid 3, aanhef)

2.1 POSIFY verwerkt persoonsgegevens uitsluitend ten behoeve van het leveren van het kassasysteem en de daarmee samenhangende diensten aan de Klant, zoals gespecificeerd in Bijlage 1.

3. Instructies van de Klant (art. 28 lid 3 sub a)

3.1 POSIFY verwerkt uitsluitend op basis van schriftelijke, gedocumenteerde instructies van de Klant, waaronder deze Verwerkersovereenkomst, de Hoofdovereenkomst en het gebruik van de standaardfunctionaliteit van het kassasysteem, behalve wanneer Unierecht of Nederlands recht POSIFY tot verwerking verplicht; in dat geval stelt POSIFY de Klant vooraf op de hoogte, tenzij die wetgeving dit verbiedt. 3.2 POSIFY informeert de Klant onverwijld indien een instructie naar haar oordeel in strijd is met de AVG.

4. Vertrouwelijkheid (art. 28 lid 3 sub b)

POSIFY waarborgt dat personen die gemachtigd zijn persoonsgegevens te verwerken zich tot vertrouwelijkheid hebben verbonden of onder een passende wettelijke geheimhoudingsplicht vallen.

5. Beveiliging (art. 28 lid 3 sub c, art. 32)

5.1 POSIFY neemt passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG; de actuele maatregelen staan in Bijlage 3. 5.2 Maatregelen kunnen worden geactualiseerd mits het beschermingsniveau niet verlaagt.

6. Subverwerkers (art. 28 lid 2 en 4)

6.1 De Klant verleent POSIFY algemene schriftelijke toestemming om subverwerkers in te schakelen; de actuele lijst staat in Bijlage 4. 6.2 POSIFY kondigt nieuwe of vervangende subverwerkers ten minste dertig (30) dagen vooraf aan, zodat de Klant bezwaar kan maken. (Termijn gelijkgetrokken met de 30-dagentermijnen in de AV.) 6.3 Bij een redelijk bezwaar treden partijen in overleg; komen zij er niet uit, dan mag de Klant de betrokken dienst opzeggen conform artikel 6 van de Abonnementsovereenkomst (opzegtermijn één maand). 6.4 POSIFY legt subverwerkers dezelfde verplichtingen op als in deze Verwerkersovereenkomst en blijft jegens de Klant volledig aansprakelijk voor hun nakoming.

7. Bijstand bij rechten van betrokkenen (art. 28 lid 3 sub e)

POSIFY verleent de Klant, rekening houdend met de aard van de verwerking, redelijke bijstand bij verzoeken van betrokkenen (inzage, rectificatie, wissing, beperking, bezwaar, dataportabiliteit). Verzoeken die rechtstreeks bij POSIFY binnenkomen worden onverwijld doorgestuurd naar de Klant.

8. Bijstand bij beveiliging, datalekken en DPIA's (art. 28 lid 3 sub f, art. 32-36)

8.1 POSIFY verleent redelijke bijstand bij de naleving van art. 32-36 AVG. 8.2 Datalekken: POSIFY meldt een inbreuk zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan de Klant, met de informatie die de Klant nodig heeft voor zijn eigen meldplicht (art. 33/34 AVG). POSIFY meldt niet zelf aan de Autoriteit Persoonsgegevens of betrokkenen, tenzij schriftelijk anders overeengekomen. Contactpunt: info@posify.nl.

9. Audits (art. 28 lid 3 sub h)

9.1 POSIFY stelt de Klant alle informatie ter beschikking die nodig is om naleving van artikel 28 aan te tonen en maakt audits, waaronder inspecties, mogelijk. 9.2 POSIFY mag naleving primair aantonen met schriftelijke informatie en rapportages. Audits ter plaatse: maximaal eenmaal per jaar, met een aankondigingstermijn van dertig (30) dagen, tijdens kantooruren; ieder draagt de eigen kosten.

10. Internationale doorgiften (art. 44-49)

10.1 POSIFY geeft persoonsgegevens niet door buiten de EER zonder passende grondslag (adequaatheidsbesluit, standaardcontractbepalingen met zo nodig aanvullende maatregelen, of een andere waarborg uit hoofdstuk V AVG). 10.2 Doorgiften vinden alleen plaats via de in Bijlage 4 genoemde subverwerkers.

11. Einde dienstverlening (art. 28 lid 3 sub g)

11.1 Na afloop van de dienstverlening zal POSIFY, naar keuze van de Klant, alle persoonsgegevens wissen of terugbezorgen en bestaande kopieën verwijderen, tenzij Unie- of Nederlands recht opslag voorschrijft. 11.2 Uitvoering binnen zestig (60) dagen na het einde van de overeenkomst. Dit sluit aan op artikel 32 van de Algemene Voorwaarden: de Klant exporteert zijn data vóór de einddatum; wettelijke bewaarplichten (waaronder de fiscale bewaarplicht van zeven jaar, art. 52 AWR) blijven van kracht, zie Bijlage 2.

12. Aansprakelijkheid (art. 82 AVG)

Aansprakelijkheid tussen partijen wordt beheerst door de artikelen 26 en 27 van de Algemene Voorwaarden (beperking tot 12 maanden vergoedingen; uitsluiting indirecte schade; uitzondering bij opzet of bewuste roekeloosheid), onverminderd de dwingendrechtelijke aansprakelijkheid uit artikel 82 AVG jegens betrokkenen en de toezichthouder.

13. Duur, wijziging en rangorde

13.1 Deze Verwerkersovereenkomst geldt zolang POSIFY voor de Klant persoonsgegevens verwerkt. 13.2 POSIFY mag deze Verwerkersovereenkomst wijzigen wanneer wet- of regelgeving, een toezichthouder of de dienstverlening dat vereist; materiële wijzigingen worden dertig (30) dagen vooraf aangekondigd. 13.3 Bij strijd met de Hoofdovereenkomst prevaleert, uitsluitend voor de verwerking van persoonsgegevens, deze Verwerkersovereenkomst. 13.4 Nederlands recht; bevoegde rechter conform artikel 38 van de Algemene Voorwaarden.

Bijlage 1 — Verwerkingsdetails

Onderwerp	Invulling
Aard van de verwerking	opslag, raadpleging, transactieverwerking en rapportage via het kassasysteem
Doel	leveren en onderhouden van het POSIFY-kassasysteem en aanverwante diensten
Duur	duur van de Hoofdovereenkomst
Soorten persoonsgegevens	transactie- en aankoopgegevens, klant- en loyaltygegevens (zoals naam, e-mail en telefoon), medewerker- en kassiersgegevens (zoals naam, inlog en transacties per medewerker) en betaalreferenties; POSIFY slaat geen volledige kaartnummers op
Categorieën betrokkenen	klanten en medewerkers van de Klant
Bijzondere categorieën	geen; de Klant garandeert deze niet via het systeem te verwerken

Bijlage 2 — Bewaartermijnen

Administratieve en fiscale gegevens worden bewaard zolang dit wettelijk verplicht is, waaronder de fiscale bewaarplicht van zeven jaar. Account-, configuratie- en operationele kassadata worden bewaard gedurende de looptijd van de overeenkomst en na beëindiging binnen zestig (60) dagen gewist of terugbezorgd, tenzij een wettelijke bewaarplicht langere opslag vereist. Back-ups worden volgens de normale back-upcyclus overschreven en uitsluitend gebruikt voor hersteldoeleinden.

Bijlage 3 — Beveiligingsmaatregelen (art. 32)

Versleutelde verbindingen (TLS/HTTPS) voor beheer- en klanttoegang waar van toepassing.
Toegangsbeheer op basis van rollen en alleen toegang voor bevoegde medewerkers.
MFA voor beheeraccounts waar het gebruikte platform dit ondersteunt.
API-sleutels en secrets worden in afgeschermde omgevingsvariabelen of een beperkte wachtwoordkluis bewaard.
Logging en auditsporen voor beheerhandelingen waar het gebruikte platform dit ondersteunt.
Back-ups en herstelprocedures via de gebruikte hosting- en SaaS-platformen.
Logische scheiding tussen klantomgevingen en beheeromgevingen.
POSIFY slaat geen volledige betaalkaartgegevens op; betaaltransacties lopen via de aangewezen betaaldienstverleners.
Bij incidenten wordt intern beoordeeld of sprake is van een datalek en wordt de Klant geïnformeerd via het contactpunt info@posify.nl.

Bijlage 4 — Subverwerkers

Per subverwerker: naam, rol, verwerkte gegevens, locatie (EER of daarbuiten), doorgiftegrondslag. (Partijen bevestigd door Noah 21-7-2026; hostinglocaties/regio's ter bevestiging bij Codex.)

Partij	Rol	Status
Odoo	CRM, offerte-, abonnementen-, support- en klantadministratie	Subverwerker; hosting en doorgiften volgens de actuele Odoo-contractvoorwaarden en subverwerkerslijst
Hostingpartij kassasoftware	hosting en technisch beheer van de POSIFY-kassaomgeving	Subverwerker; technische partij en regio worden door POSIFY intern vastgelegd en op verzoek bevestigd
Shopify	webshopplatform posify.nl	Verwerkt bestel-/klantgegevens van POSIFY's eigen webshop; daarvoor is POSIFY zelf verantwoordelijke (privacyverklaring). Géén subverwerker voor kassasysteem-data; de kassasoftware verwerkt geen kassasysteem-data via Shopify
Mollie	betaaldienstverlener webshop	Zelfstandig verwerkingsverantwoordelijke voor betaaltransacties; geen subverwerker
MultiSafepay	betaaldienstverlener pinautomaten	Zelfstandig verwerkingsverantwoordelijke voor betaaltransacties; geen subverwerker (zie ook art. 4 Abonnementsovereenkomst)
Microsoft 365/Outlook en Odoo	e-mailcommunicatie, CRM-notities en supportopvolging	Kunnen klant-, contact- en supportgegevens bevatten voor zover nodig voor dienstverlening

Elektronische acceptatie

Deze Verwerkersovereenkomst wordt elektronisch aangegaan (toegestaan, art. 28 lid 9 AVG). De aanvaarde versie en het tijdstip worden vastgelegd in de administratie van POSIFY.