Verwerkersovereenkomst

Versie van 10 november 2026

Deze overeenkomst regelt hoe Cifer de persoonsgegevens in de boekhouddata van je bedrijf verwerkt, volgens artikel 28 van de Algemene Verordening Gegevensbescherming (AVG). Ze hoort bij de algemene voorwaarden. Je aanvaardt ze in de app van Cifer, samen met die voorwaarden.

1. Partijen

Het bedrijf dat de koppeling met Cifer maakt (hierna "je" of "de klant") is verwerkingsverantwoordelijke. De verwerker is:

2. Onderwerp, duur, aard en doel

• Onderwerp: de gegevens die Cifer via de koppeling leest uit het boekhoudpakket van de klant, zoals Exact Online of Odoo, en de gegevens van de gebruikers van de klant in de app van Cifer.
• Duur: zolang de koppeling loopt, en daarna tot Cifer de gegevens gewist heeft (artikel 10).
• Aard: lezen, opslaan, controleren, berekenen en tonen in de app. Tijdens de proef, en als de klant Rapportering neemt, zet Cifer het model van de klant klaar in Power BI bij Microsoft en toont het rapport in de app (artikel 7). Als de klant dat vraagt, ook beschikbaar maken voor de eigen rapportering, zoals Power BI, en met toestemming van de klant doorsturen naar een AI-dienst (artikel 7). Cifer leest alleen: Cifer maakt, wijzigt of verwijdert niets in de boekhouding van de klant.
• Doel: de onderdelen leveren die de klant kiest (Controles, Rapportering, Overzicht, Kasprognose en Vragen), de koppeling laten werken en problemen ermee oplossen.

3. Welke gegevens en welke betrokkenen

Welke gegevens de koppeling leest, staat in het privacybeleid, onder "Welke gegevens Cifer leest". Daarin staan persoonsgegevens van:

• relaties van de klant die een natuurlijke persoon zijn, zoals een eenmanszaak, of van wie het e-mailadres of telefoonnummer persoonlijk is: naam, adres, telefoonnummer, e-mailadres, website, btw- en ondernemingsnummer, rekeningnummer en naam van de rekeninghouder, en de boekingen, facturen en openstaande posten op hun naam;
• gebruikers van het boekhoudpakket: de naam van wie een boeking of een bankrekening aanmaakte of wijzigde;
• wie in een vrije omschrijving genoemd wordt: wat iemand daar typte;
• gebruikers van de app van Cifer: hun Microsoft-gebruikersnaam, hun rol, en de vragen die ze in Vragen stellen.

Cifer vraagt geen bijzondere categorieën van persoonsgegevens, zoals gegevens over gezondheid. Zulke gegevens verwerkt Cifer alleen als iemand ze in een vrije omschrijving typte.

4. Alleen op instructie van de klant

Cifer verwerkt de gegevens alleen op schriftelijke instructie van de klant: de onderdelen die de klant in de app kiest, de toestemming voor AI, en wat de klant per mail vraagt. Voor eigen doeleinden gebruiken we de gegevens niet. We verkopen ze niet, gebruiken ze niet voor marketing en trainen er geen AI-modellen mee.

Zet een controller van de klant Cifer in je AI aan, voor Claude of voor ChatGPT, dan is dat een instructie van de klant om gegevens die een gebruiker van de klant opvraagt, door te geven aan de AI-dienst die die gebruiker daarvoor koppelt. Die AI-dienst werkt voor de klant of de gebruiker, niet voor Cifer.

Legt de wet ons een andere verwerking op, dan melden we dat vooraf aan de klant, tenzij de wet die melding verbiedt. Gaat een instructie volgens ons in tegen de AVG, dan melden we dat meteen.

5. Vertrouwelijkheid

Alleen de zaakvoerder van RLC CommV heeft toegang tot de gegevens. Krijgt later iemand anders toegang, dan tekent die vooraf een geheimhoudingsplicht.

6. Beveiliging

Cifer neemt de maatregelen uit het privacybeleid, sectie 6:

• alle verbindingen, met het boekhoudpakket en met de server, zijn versleuteld;
• toegangssleutels worden versleuteld opgeslagen;
• elk bedrijf ziet alleen de eigen gegevens;
• alleen de zaakvoerder van RLC CommV heeft beheerstoegang tot de server.

Cifer past die maatregelen aan als de techniek of de risico's veranderen, zonder het niveau van de beveiliging te verlagen.

7. Subverwerkers

De klant geeft toestemming voor deze subverwerkers:

• Hostinger International Ltd. (Cyprus): de server waarop de gegevens staan, in een datacenter in de EU.
• Google Cloud EMEA Limited (Ierland): Vertex AI met het model Gemini, in de EU, voor de module Vragen en de indeling van Rapportering. Alleen als de klant daar toestemming voor gaf, en alleen de gegevens die het privacybeleid noemt onder "AI: de module Vragen en de indeling van Rapportering".
• Microsoft Ireland Operations Limited (Ierland): Power BI in Microsoft Fabric, in de regio West-Europa, voor het rapport in de app. Alleen tijdens de proef en bij een klant die Rapportering neemt. Microsoft krijgt het model van de klant: de boekingen, de grootboekrekeningen met hun indeling en de lijnen van het rapport, met de beginbalans en de openstaande posten die het rapport gebruikt.
• Sendinblue SAS, handelend als Brevo (Frankrijk): de mails van Cifer. Een mail bevat de naam van het bedrijf en het mailadres van wie koppelde, geen boekhouddata.

Elke subverwerker krijgt van Cifer dezelfde plichten als in deze overeenkomst. De gegevens gaan niet buiten de Europese Unie.

Een AI-dienst die de klant of een gebruiker zelf koppelt via Cifer in je AI (Claude van Anthropic of ChatGPT van OpenAI) is geen subverwerker van Cifer. De klant is verantwoordelijk voor de afspraken met die dienst.

Wil Cifer een subverwerker toevoegen of vervangen, dan meldt Cifer dat vooraf per mail. De klant kan daartegen bezwaar maken. Vinden we samen geen oplossing, dan kan de klant het abonnement opzeggen (artikel 7 van de algemene voorwaarden).

8. Bijstand bij de rechten van betrokkenen

Vraagt een betrokkene aan Cifer om inzage, verbetering, wissing of een ander recht uit de AVG, dan stuurt Cifer die vraag door naar de klant, die ze beantwoordt. We helpen de klant daarbij zoveel als we kunnen, ook bij een gegevensbeschermingseffectbeoordeling of bij een vraag van de Gegevensbeschermingsautoriteit, voor wat Cifer zelf verwerkt.

9. Datalek

Raakt een datalek de gegevens van de klant, dan meldt Cifer dat aan de klant zonder onnodige vertraging, en uiterlijk 48 uur nadat Cifer het vaststelt. De melding zegt wat er gebeurde, welke gegevens het raakt, ongeveer hoeveel betrokkenen, en wat Cifer deed om het te stoppen. Zo kan de klant het binnen 72 uur bij de Gegevensbeschermingsautoriteit melden als dat moet. Cifer houdt elk datalek bij in een register.

10. Teruggeven en wissen

De boekhouddata komt uit het boekhoudpakket van de klant en blijft daar staan. Stopt de koppeling, dan haalt Cifer geen nieuwe gegevens meer op. 14 dagen na het stoppen wist Cifer de boekhouddata, de toegangssleutels en de logins van de klant. Neemt de klant Rapportering, dan verwijdert het wissen ook de werkruimte van de klant bij Microsoft, met het model en het rapport. Lukt dat niet meteen, dan probeert Cifer het elk uur opnieuw tot de werkruimte weg is. Uiterlijk 30 dagen na het stoppen is alles ook uit de back-ups. Vraagt de klant binnen 7 dagen na het stoppen ook wat Cifer zelf maakte, zoals de meldingen van Controles of de indeling van Rapportering, dan bezorgen we die als CSV.

11. Audit

Cifer geeft de klant de informatie die nodig is om aan te tonen dat Cifer deze overeenkomst naleeft. De klant kan een audit vragen, zelf of via een onafhankelijke auditor met een geheimhoudingsplicht. De klant meldt de audit minstens 30 dagen vooraf.

12. Aansprakelijkheid en voorrang

Voor de aansprakelijkheid geldt artikel 11 van de algemene voorwaarden. Spreken de algemene voorwaarden en deze overeenkomst elkaar tegen over persoonsgegevens, dan geldt deze overeenkomst. Een vraag over deze overeenkomst? Mail naar ruben@cifer.be.