Verwerkersovereenkomst Avsaro by Assist2go

Versie 1.1 (definitief) · 21 oktober 2026

Hoort bij de Algemene Voorwaarden Assist2go versie 1.2 (artikel 24) en bij je Bestelling van Avsaro op avsaro.com of bij de Offerte die deze Verwerkersovereenkomst als Bijlage noemt. Voor Avsaro geldt deze Verwerkersovereenkomst in plaats van het algemene model Verwerkersovereenkomst Assist2go versie 1.0.

Uitgegeven door Assist2go, eenmanszaak van F. Korkmaz · Lindenlaan 27, 3931 ZK Woudenberg · KvK 42071129 · btw NL005472396B65 · info@assist2go.nl

In het kort

Deze samenvatting helpt je bij het lezen. De artikelen hieronder gelden, niet deze samenvatting.

Deel A · Artikelen

Artikel 1 · Partijen, onderwerp en begrippen

1.1 Deze Verwerkersovereenkomst is gesloten tussen:

• Assist2go, eenmanszaak van F. Korkmaz, Lindenlaan 27, 3931 ZK Woudenberg, KvK-nummer 42071129, btw-nummer NL005472396B65, e-mail info@assist2go.nl. In dit document zijn dat "wij", "ons" en "de Verwerker";
• de Klant, zoals genoemd in je Bestelling of in de Offerte voor Avsaro (naam, vestigingsadres, KvK-nummer en vertegenwoordiger staan daar). In dit document ben je "je", "jij" en "de Verantwoordelijke".

1.2 Wij leveren je het product Avsaro by Assist2go (Avsaro): een eigen installatie van het portaal voor offertes, handtekeningen, facturen en betalingen, met hosting, beheer, onderhoud en support door ons. Bij die dienstverlening verwerken wij Persoonsgegevens namens jou. Deze Verwerkersovereenkomst legt de afspraken vast die artikel 28 lid 3 van de AVG vraagt.

1.3 De AVG is Verordening (EU) 2016/679. Persoonsgegevens, verwerken, betrokkene, verwerkingsverantwoordelijke en verwerker hebben de betekenis uit de AVG. Een Datalek is een inbreuk in verband met persoonsgegevens in de zin van artikel 4 onder 12 van de AVG. Woorden met een hoofdletter die hier niet staan hebben de betekenis uit de Algemene Voorwaarden Assist2go (de Algemene Voorwaarden). Daarnaast betekent:

• Installatie: jouw eigen installatie van Avsaro, met een eigen dienst, een eigen database en eigen mappen op onze server;
• Gebruiker: iemand die jij toegang geeft tot de Installatie;
• Klantgegevens: de Persoonsgegevens die jij in de Installatie zet of via een koppeling of een Persoonlijke Link laat binnenkomen, en die wij daar namens jou verwerken;
• Beheerportaal: ons eigen centrale portaal (portal.assist2go.nl) waarmee wij alle Installaties beheren;
• Subverwerker: een partij die wij inschakelen en die daarbij Klantgegevens verwerkt;
• Einddatum: de dag waarop de Overeenkomst voor Avsaro eindigt.

1.4 Deze Verwerkersovereenkomst is een Bijlage bij de Overeenkomst. Bestel je Avsaro via de Bestelpagina, dan aanvaard je haar met je Bestelling, met een vinkje dat de versie noemt (artikel 5.14 en 24.3 Algemene Voorwaarden). Wij bewaren het tijdstip, de versie en een afdruk van de getoonde tekst. Bij een Offerte aanvaard je haar met de Offerte. Een aparte handtekening is niet nodig.

Artikel 2 · Rollen

2.1 Jij bent verantwoordelijke voor de Klantgegevens. Jij bepaalt waarvoor je ze gebruikt en op welke manier: welke gegevens je invoert, aan wie je offertes, facturen en mails stuurt, welke koppelingen je instelt en welke bewaartermijnen je kiest, binnen de grenzen die het portaal stelt (bijlage 1, onderdeel D).

2.2 Wij zijn verwerker. Wij bepalen alleen de technische middelen die nodig zijn om Avsaro te leveren: hoe de Installatie wordt gehost, beveiligd, bijgewerkt en teruggezet, hoe back-ups werken en welke Subverwerkers wij daarvoor inschakelen (bijlage 3).

2.3 Wij zijn zelf verantwoordelijke voor onze eigen verwerkingen. Die vallen niet onder deze Verwerkersovereenkomst:

• onze administratie van de Overeenkomst met jou: je bestelling, de controle van je KvK-nummer, facturen en betalingen, incasso, het bewijs van je akkoord en de contactgegevens van jouw contactpersonen en Gebruikers voor die administratie (artikel 24.11 Algemene Voorwaarden);
• het beveiligen van het Beheerportaal en het beheerlogboek (wie deed welke beheerhandeling, wanneer);
• onze supportadministratie: het nummer, de status en de tijd van een ticket, de gewerkte uren en het contactadres van wie het ticket indiende;
• het inlogregister, waarmee Gebruikers via avsaro.com hun eigen portaal vinden (bijlage 1, onderdeel E);
• onze websites, de demo en aanvragen voor een gesprek.

Wat wij daarbij doen en hoe lang wij gegevens bewaren, staat in onze privacyverklaring op assist2go.nl en avsaro.com.

2.4 De rolverdeling volgt wat feitelijk gebeurt. Bepalen wij in strijd met deze Verwerkersovereenkomst zelf het doel of de middelen van een verwerking van Klantgegevens, dan zijn wij voor die verwerking verantwoordelijke (artikel 28 lid 10 AVG). Dat doen wij niet.

Artikel 3 · Omschrijving van de verwerking

3.1 Doel. Wij verwerken Klantgegevens uitsluitend om Avsaro aan jou te leveren: de Installatie hosten, beheren, bijwerken en beveiligen, back-ups maken en terugzetten, support verlenen, en de Installatie aan het einde van de Overeenkomst teruggeven of verwijderen.

3.2 Aard. Opslaan, ontsluiten, kopiëren (back-up), terugzetten, inzien bij storing of support, bijwerken van de software waarin de gegevens staan, exporteren en verwijderen.

3.3 Soorten Persoonsgegevens en betrokkenen. Bijlage 1 beschrijft ze in detail. Kort gezegd: contactgegevens, offerte-, factuur- en betaalgegevens, het bewijs van een elektronisch akkoord, mailverkeer van het portaal en de accountgegevens van Gebruikers. Het gaat om klanten, prospects en contactpersonen van jou, ondertekenaars van offertes, bezoekers van de pagina's voor jouw klanten en Gebruikers van de Installatie.

3.4 Geen bijzondere gegevens. Avsaro is niet bedoeld voor bijzondere categorieën van Persoonsgegevens (zoals gezondheid), voor Persoonsgegevens van strafrechtelijke aard of voor een burgerservicenummer (artikel 46 Uitvoeringswet AVG). Je zet die gegevens niet in de Installatie, ook niet in notities, bijlagen of tickets, tenzij de Offerte dat uitdrukkelijk noemt (artikel 24.10 Algemene Voorwaarden). Wij beoordelen niet of je daarvoor een grondslag hebt.

3.5 Duur. Deze Verwerkersovereenkomst gaat in op het moment dat de Overeenkomst voor Avsaro tot stand komt. Zij loopt zolang wij Klantgegevens namens jou verwerken, dus ook na de Einddatum tot de Installatie en de back-ups zijn verwijderd (artikel 11).

Artikel 4 · Instructies en toegang

4.1 Wij verwerken Klantgegevens alleen op jouw gedocumenteerde instructie, ook voor doorgifte naar een derde land of een internationale organisatie, tenzij een bepaling uit het recht van de Europese Unie of van een lidstaat ons tot een andere verwerking verplicht. In dat geval melden wij die bepaling vooraf aan jou, tenzij de wet dat verbiedt.

4.2 Jouw instructies zijn de Overeenkomst, deze Verwerkersovereenkomst, de instellingen die je in de Installatie kiest en de verzoeken die je via een ticket of Schriftelijk doet. Een instructie die extra werk kost, behandelen wij als Meerwerk (artikel 14 Algemene Voorwaarden).

4.3 Vinden wij een instructie in strijd met de AVG of met andere regels over gegevensbescherming, dan melden wij dat direct aan jou. Wij hoeven de instructie dan niet uit te voeren tot jij haar hebt aangepast of bevestigd.

4.4 Toegang door ons. Als beheerder hebben wij technisch toegang tot de server, de database en de bestanden van de Installatie. Wij gebruiken die toegang voor onderhoud, updates, back-ups, herstel, beveiliging en het oplossen van storingen, en voor support op jouw verzoek. De inhoud van de Installatie, zoals klanten, offertes, facturen, mails en bestanden, bekijken wij alleen als dat nodig is voor een verzoek van jou of voor het herstel van een storing. Wij beginnen daar niet mee zonder dat je er via een ticket of Schriftelijk om hebt gevraagd. Kan een acuut beveiligingsprobleem of een storing niet wachten en bereiken wij jou niet op tijd, dan melden wij achteraf wat wij hebben gezien en waarom. Wij leggen vast wanneer en waarom wij inhoud hebben bekeken, in het ticket of in ons eigen logboek, en geven je dat op verzoek.

4.5 Geen ander gebruik. Wij gebruiken Klantgegevens niet voor eigen doelen, niet voor marketing en niet om onze producten te verbeteren. De demo en onze test- en ontwikkelomgevingen bevatten verzonnen gegevens en nooit Klantgegevens. Wij zetten Klantgegevens ook niet in Hulpmiddelen van een Derde (artikel 26 Algemene Voorwaarden), zoals programma's die tekst of code schrijven of analyseren, en wij laten zulke Hulpmiddelen geen logbestanden of schermen met Klantgegevens zien, tenzij je daar voor dat geval vooraf Schriftelijk mee instemt.

4.6 Beperking van je toegang bij niet betalen. Wij mogen je toegang tot de Installatie beperken volgens artikel 9A van de Algemene Voorwaarden (de Betaalmodus en de Pauze). Daar geef je met de Overeenkomst toestemming voor. Zo'n beperking is geen verwerking in strijd met je instructies. Tijdens een beperking:

• blijven de Klantgegevens bewaard, beveiligd en voor jou beschikbaar voor export (artikel 9A.6 Algemene Voorwaarden);
• installeren wij beveiligingsupdates en melden wij Datalekken, op dezelfde manier als anders. In de Betaalmodus maken wij back-ups zoals anders. In de Pauze maken wij geen nieuwe back-up, omdat er dan geen gegevens bijkomen, en bewaren wij de bestaande (artikel 9A.8 Algemene Voorwaarden);
• helpen wij je met verzoeken van betrokkenen en met je wettelijke plichten (artikel 9), ook als je een factuur nog niet hebt betaald, binnen 5 Werkdagen (artikel 9A.13 Algemene Voorwaarden).

Een beperking houdt jou niet tegen om je wettelijke plichten na te komen. Heb je daarvoor een handeling in de Installatie nodig die tijdens de beperking niet kan, dan voeren wij die uit op jouw verzoek, binnen 5 Werkdagen en zonder voorwaarde van betaling.

Artikel 5 · Geheimhouding

5.1 Wij houden de Klantgegevens geheim (artikel 25 Algemene Voorwaarden). Alleen wijzelf en personen die wij voor de dienstverlening nodig hebben, krijgen toegang, en alleen voor zover dat nodig is.

5.2 Wij leggen geheimhouding op aan iedereen die onder ons gezag Klantgegevens kan inzien, waaronder een vervanger bij ziekte of afwezigheid (artikel 26.7 Algemene Voorwaarden). Zij verwerken Klantgegevens alleen volgens jouw instructies. De plicht blijft gelden na het einde van de Overeenkomst.

Artikel 6 · Beveiliging

6.1 Wij nemen passende technische en organisatorische maatregelen, afgestemd op het risico en op de stand van de techniek (artikel 32 AVG). Bijlage 2 beschrijft ze. Wij mogen maatregelen vervangen of verbeteren, zolang het beschermingsniveau niet daalt.

6.2 Wij toetsen de maatregelen van bijlage 2 minstens eens per jaar en na een ernstig incident, en passen ze aan waar dat nodig is.

6.3 Wij leveren een inspanning en geen garantie dat de systemen vrij zijn van kwetsbaarheden of aanvallen (artikel 23.14 Algemene Voorwaarden).

6.4 Jij zorgt voor een redelijke beveiliging van je eigen apparaten, accounts, wachtwoorden en netwerk, voor een zorgvuldige omgang met de Gebruikers en hun toegang (artikel 23.1 en 23.8 Algemene Voorwaarden) en voor de beveiliging van de koppelingen die jij zelf instelt. De tweestapsverificatie van Avsaro staat altijd aan. Heeft een Gebruiker de Installatie niet meer nodig, bijvoorbeeld omdat hij vertrekt, dan trek je zijn toegang zelf in.

6.5 Op verzoek beschrijven wij de maatregelen nader, voor zover dat veilig kan.

Artikel 7 · Subverwerkers

7.1 Je geeft ons algemene Schriftelijke toestemming om de Subverwerkers in te schakelen die in bijlage 3, deel A staan.

7.2 Wij sluiten met elke Subverwerker afspraken die dezelfde verplichtingen inzake gegevensbescherming opleggen als deze Verwerkersovereenkomst, waaronder de plicht om een Datalek zo snel te melden dat wij onze termijn van artikel 10 halen. Gelden voor een grote aanbieder standaardvoorwaarden die wij niet kunnen aanpassen, dan beoordelen wij dat die voldoen aan artikel 28 AVG. Wij blijven jegens jou verantwoordelijk voor de nakoming door de Subverwerker (artikel 26.2 Algemene Voorwaarden). Op verzoek geven wij je inzage in de afspraken met een Subverwerker, voor zover de aanbieder of de wet dat toestaat.

7.3 Een nieuwe of vervangende Subverwerker melden wij minstens 14 dagen voordat die begint, per e-mail aan het adres dat je voor meldingen hebt opgegeven, met een aangepaste bijlage 3. In die periode kun je Schriftelijk en gemotiveerd bezwaar maken. Komen wij er samen niet uit, dan mag je Avsaro opzeggen per de datum waarop de wijziging ingaat (artikel 24.6 Algemene Voorwaarden), zonder dat je het restant van de looptijd moet betalen. Kan een wijziging niet wachten, bijvoorbeeld bij een storing of een beveiligingsrisico bij een Subverwerker, dan melden wij haar zo snel mogelijk en geldt dezelfde bezwaarmogelijkheid daarna.

7.4 Een Derde die jij zelf aanwijst of met wie jij zelf een overeenkomst hebt, is geen Subverwerker van ons. Bijlage 3, deel B noemt welke dat bij Avsaro zijn. Bijlage 3, deel C noemt partijen die wij gebruiken en die geen Klantgegevens verwerken.

Artikel 8 · Doorgifte buiten de Europese Economische Ruimte

8.1 Wij verwerken de Klantgegevens in de Installatie op een server in Duitsland (Berlijn), binnen de Europese Economische Ruimte (EER). Wij geven Klantgegevens niet bewust door naar een land buiten de EER.

8.2 Microsoft, een Subverwerker uit bijlage 3, is onderdeel van een concern buiten de EER. Microsoft slaat de gegevens op in de EU, maar medewerkers van Microsoft kunnen voor ondersteuning vanuit een derde land bij gegevens komen. Daarvoor gelden de afspraken in de verwerkersvoorwaarden van Microsoft: standaardcontractbepalingen van de Europese Commissie of, voor Microsoft Corporation, het EU-VS Data Privacy Framework (hoofdstuk V AVG, artikel 44 tot en met 46).

8.3 Willen wij een Subverwerker inschakelen die Klantgegevens buiten de EER verwerkt, dan doen wij dat alleen met een geldige waarborg onder hoofdstuk V AVG: een adequaatheidsbesluit van de Europese Commissie of standaardcontractbepalingen, met zo nodig aanvullende maatregelen. Wij melden dat volgens artikel 7.3.

8.4 Op verzoek vertellen wij je in welke landen en bij welke organisaties de Klantgegevens worden verwerkt (artikel 24.12 Algemene Voorwaarden).

8.5 Vraagt een toezichthouder of een andere bevoegde instantie ons om Klantgegevens, dan melden wij dat aan jou, tenzij de wet dat verbiedt, en wij verstrekken niet meer dan wettelijk verplicht is.

Artikel 9 · Bijstand

9.1 Verzoeken van betrokkenen. Ontvangen wij rechtstreeks een verzoek van een betrokkene over Klantgegevens (inzage, correctie, verwijdering, beperking, overdracht of bezwaar), dan beantwoorden wij het niet inhoudelijk. Wij sturen het binnen 5 Werkdagen naar jou door en laten de betrokkene weten dat wij dat doen.

9.2 Hulp bij die verzoeken. Wij helpen je met passende technische en organisatorische maatregelen, voor zover redelijk mogelijk, bij het beantwoorden van verzoeken van betrokkenen. In de Installatie kun je zelf gegevens inzien en wijzigen, rapporten (facturen, omzet, btw, debiteuren, offertes, terugkerende facturen en betaalgedrag) als CSV exporteren, pdf's van je offertes en facturen downloaden, contactpersonen verwijderen en klanten archiveren. Een volledige export van al je gegevens, met ook de klanten en de bestanden, leveren wij op verzoek binnen 10 Werkdagen. Facturen, creditnota's, betalingen, genummerde offertes, het bewijs van een akkoord, documenten en bestanden verwijdert de Installatie zelf niet, en een klant verwijdert zij ook niet definitief, zodat de wettelijke bewaarplicht (zoals de fiscale bewaarplicht van 7 jaar) en het bewijs intact blijven. Gaat het om gegevens waarvan de bewaartermijn is verstreken, of heeft een betrokkene recht op verwijdering of anonimisering, dan doen wij dat op jouw verzoek, met een beheerhandeling, binnen 10 Werkdagen. Gegevens die op deze manier zijn verwijderd, blijven tot het verstrijken van de bewaartermijn in de back-ups staan. Wij gebruiken die back-ups alleen om een storing of vergissing te herstellen en voeren de verwijdering opnieuw uit als wij een back-up terugzetten. Wij zeggen je daarbij welke gegevens wij niet kunnen of mogen verwijderen en waarom. Tijdens de Betaalmodus of de Pauze doen wij dit binnen 5 Werkdagen (artikel 4.6). Je blijft zelf verantwoordelijk voor het antwoord aan de betrokkene binnen de termijn van de AVG (artikel 12 lid 3: in beginsel een maand).

9.3 Hulp bij je eigen plichten. Wij helpen je op verzoek bij je plichten rond beveiliging, het melden van Datalekken, een gegevensbeschermingseffectbeoordeling (DPIA) en voorafgaande raadpleging van de toezichthouder (artikel 32 tot en met 36 AVG). Wij geven daarvoor de informatie die wij over de Installatie hebben, waaronder de bijlagen bij deze Verwerkersovereenkomst. Avsaro is niet bedoeld voor verwerkingen met een hoog risico; een DPIA voert zo nodig jijzelf uit.

9.4 Kosten. Hulp die nodig is door een tekortkoming van ons, is gratis. Overige hulp is gratis tot 2 uur per kalenderjaar. Kost zij meer, dan mogen wij daarvoor een redelijk bedrag vragen dat wij vooraf noemen (artikel 24.4 onder f Algemene Voorwaarden).

9.5 Je eigen register. Voor het verwerkingsregister dat jij als verantwoordelijke bijhoudt (artikel 30 lid 1 AVG) geven bijlage 1 en bijlage 3 de informatie die wij hebben. Wij houden zelf een register bij van de verwerkingen die wij voor jou uitvoeren (artikel 30 lid 2 AVG).

Artikel 10 · Datalekken

10.1 Stellen wij met redelijke zekerheid een Datalek vast bij Klantgegevens, ook als het zich bij een Subverwerker voordoet, dan melden wij dat aan jou zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat wij het hebben vastgesteld (artikel 24.7 Algemene Voorwaarden). Wij hebben iets vastgesteld zodra wij met redelijke zekerheid weten dat Klantgegevens zijn geraakt. Signalen die op een Datalek wijzen onderzoeken wij zonder uitstel en wij wachten met melden niet tot alles bekend is. De 48 uur lopen ook in het weekend en op feestdagen door.

10.2 De melding gaat per e-mail naar het adres dat je voor meldingen hebt opgegeven en, als je dat hebt opgegeven, ook telefonisch. Zij bevat, voor zover bekend: de aard van het Datalek, de betrokken soorten Persoonsgegevens en een schatting van het aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de maatregelen die wij hebben genomen of voorstellen en een contactpunt. Wij vullen de melding aan zodra wij meer weten.

10.3 Wij leggen elk Datalek vast, met de feiten, de gevolgen en de maatregelen, en helpen je met het onderzoek en met het herstel.

10.4 Jij beoordeelt of je het Datalek meldt bij de Autoriteit Persoonsgegevens of aan betrokkenen, en jij doet die melding, in overleg met ons. De termijn van 72 uur voor je melding aan de Autoriteit Persoonsgegevens loopt vanaf het moment dat jij kennis hebt van het Datalek (artikel 33 lid 1 AVG). Dat is meestal het moment waarop wij je hebben gemeld. Jij noemt ons niet in een openbare mededeling zonder overleg met ons, tenzij de wet iets anders vereist.

10.5 De redelijke kosten van onderzoek en herstel die aan een tekortkoming van ons zijn toe te rekenen, vergoeden wij volgens artikel 24.8 en artikel 28 van de Algemene Voorwaarden. De kosten van je eigen meldingen en mededelingen zijn voor jou, tenzij het Datalek aan een tekortkoming van ons is toe te rekenen.

Artikel 11 · Einde: teruggeven en verwijderen

11.1 Na de Einddatum eindigt je toegang tot Avsaro (artikel 31.1 Algemene Voorwaarden). Jij kiest wat er met de Klantgegevens gebeurt: wij geven ze aan jou terug, wij verwijderen ze, of allebei. Kies je niet, dan geven wij ze terug als je erom vraagt en verwijderen wij ze daarna.

11.2 Teruggeven. Exporteer je gegevens vóór de Einddatum met de exportfuncties van de Installatie, of vraag ons dat te doen. Vraag je ons Schriftelijk om de gegevens, zolang wij ze nog bewaren (artikel 11.3: tot uiterlijk 12 maanden na de Einddatum), dan leveren wij ze binnen 10 Werkdagen in een gangbaar en leesbaar formaat, zoals CSV-bestanden en pdf's, via een beveiligde download (artikel 9A.12 en 31.2 Algemene Voorwaarden). Geldt voor jou het overstapproces van de Dataverordening, dan volgen de termijnen van artikel 6.11 van de Algemene Voorwaarden. Wij herinneren je voordat wij verwijderen (artikel 11.3).

11.3 Verwijderen. Na de Einddatum bewaren wij de Klantgegevens tot uiterlijk 12 maanden, zodat je ze kunt laten exporteren en een vergissing of een geschil kan worden opgelost. Met deze Verwerkersovereenkomst geef je ons daarvoor de instructie. Wij mogen de draaiende Installatie in die periode uitschakelen of verwijderen; de Klantgegevens blijven dan bewaard in de back-ups (artikel 11.4) en wij kunnen ze daaruit voor je exporteren. Daarna verwijderen wij de Installatie, voor zover die er nog is, en wissen wij de back-ups (artikel 31.3 Algemene Voorwaarden), op een wisdatum die uiterlijk 12 maanden na de Einddatum ligt. Wij kondigen die datum minstens 14 dagen vooraf Schriftelijk aan (artikel 9A.12 Algemene Voorwaarden). Wij wissen met de hand en niet eerder dan op die datum; er is geen automatisch wissen. De Einddatum is de dag waarop de Overeenkomst eindigt, en wij leggen haar vast wanneer wij de Installatie verwijderen. Vraag je ons Schriftelijk om eerder te wissen, dan verwijderen wij de Installatie en wissen wij de back-ups binnen 30 dagen na je verzoek. Bij het verwijderen van de Installatie maakt het beheersysteem eerst een veiligheidskopie van de database, de bestanden en de sleutels van de Installatie. Die kopie blijft 30 dagen op de server staan, om een vergissing te kunnen herstellen, en wordt daarna gewist. Vraag je ons uitdrukkelijk om de kopie eerder te wissen, dan doen wij dat. Het beheerlogboek (wie vroeg de verwijdering aan, wanneer en met welke uitkomst) blijft bewaard en bevat geen Klantgegevens.

11.4 Back-ups. Wij bewaren de back-ups van jouw Installatie, op de server en de kopieën daarvan in OneDrive, tot uiterlijk 12 maanden na de Einddatum. Daarna wissen wij ze op de wisdatum van artikel 11.3, nadat wij die minstens 14 dagen vooraf hebben aangekondigd (artikel 19.19 en 9A.12 Algemene Voorwaarden). Zolang een Installatie bestaat, ruimen wij een kopie buiten de server op uiterlijk 13 maanden nadat zij is gemaakt. Tot dat moment gebruiken wij ze alleen om een storing of vergissing te herstellen. Vraag je ons uitdrukkelijk om de back-ups van jouw Installatie eerder te verwijderen, dan doen wij dat binnen 30 dagen na je verzoek. Microsoft bewaart een verwijderd bestand daarna nog kort in een prullenbak (op dit moment 93 dagen). Een back-up die je zelf buiten ons om hebt gemaakt, valt buiten onze verantwoordelijkheid.

11.5 Ontbinding wegens niet betalen. Is de Overeenkomst ontbonden volgens artikel 9A.11 van de Algemene Voorwaarden, dan blijven de artikelen 11.1 tot en met 11.4 gelden. De aankondiging en de termijnen van artikel 11.3 gelden ook dan. Ook dan bewaren wij de Klantgegevens tot uiterlijk 12 maanden na de Einddatum (artikel 9A.12 Algemene Voorwaarden). Een openstaand bedrag is geen reden om gegevens langer vast te houden of niet terug te geven (artikel 31.5 Algemene Voorwaarden).

11.6 Tickets. Tickets van jouw Installatie die wij in het Beheerportaal bewaren (de beschrijving en bijlagen staan daar versleuteld), anonimiseren wij op jouw verzoek binnen 30 dagen, en anders uiterlijk 24 maanden nadat het ticket is opgelost (bijlage 1, onderdeel E). Daarna blijven alleen het nummer, de datums, de prioriteit en de gewerkte tijd over.

11.7 Wettelijke bewaarplicht. Wij mogen Persoonsgegevens langer bewaren als de wet dat verplicht, bijvoorbeeld in onze eigen administratie (facturen aan jou en het bewijs van je akkoord). Daarvoor zijn wij zelf verantwoordelijke (artikel 24.11 Algemene Voorwaarden) en daarvoor blijft de geheimhouding gelden.

11.8 Op verzoek bevestigen wij het verwijderen Schriftelijk.

Artikel 12 · Informatie en controle

12.1 Wij stellen de informatie beschikbaar die je nodig hebt om aan te tonen dat wij deze Verwerkersovereenkomst naleven, en wij werken mee aan controles (artikel 28 lid 3 onder h AVG). Op verzoek ontvang je: de beschrijving van de maatregelen (bijlage 2), de actuele lijst met Subverwerkers (bijlage 3), onze ingevulde vragenlijst of zelfverklaring over de maatregelen, en een overzicht van de Datalekken die jouw Klantgegevens raakten.

12.2 Je mag eens per jaar, en na een Datalek dat Klantgegevens van jou raakt, controleren of wij deze Verwerkersovereenkomst naleven (artikel 24.9 Algemene Voorwaarden). Je kondigt dat minstens 30 dagen vooraf aan, na een Datalek minstens 10 Werkdagen. De controle gaat op jouw kosten, tenzij zij een tekortkoming van ons aantoont. Zij gebeurt door jou of door een onafhankelijke deskundige die gebonden is aan geheimhouding, tijdens kantooruren en zonder onnodige verstoring van onze werkzaamheden. De controleur krijgt geen toegang tot gegevens van andere klanten en niet tot beveiligingsinformatie die risico's oplevert.

12.3 Wij mogen eerst verwijzen naar de informatie van artikel 12.1, zolang die jouw vragen beantwoordt. Beantwoordt zij ze niet, dan werken wij mee aan een controle op afstand of op locatie.

12.4 Blijkt uit de controle dat wij tekortschieten, dan herstellen wij dat binnen een redelijke termijn en vergoeden wij de redelijke kosten van de controle.

12.5 Voor controle bij Subverwerkers verwijzen wij naar de certificaten en rapporten die zij zelf publiceren of op verzoek verstrekken.

Artikel 13 · Jouw verplichtingen

13.1 Jij zorgt voor een grondslag voor de verwerking, voor de informatie aan betrokkenen (zoals een privacyverklaring voor jouw eigen klanten) en voor de rechtmatigheid van de gegevens die je in de Installatie zet of via een koppeling laat binnenkomen. Je blijft verantwoordelijk voor de vraag of een verwerking is toegestaan (artikel 24.10 Algemene Voorwaarden).

13.2 Je stelt de bewaartermijnen in die in de Installatie instelbaar zijn (Instellingen, Beveiliging) binnen de grenzen van de wet en van de ondergrenzen die het portaal hanteert, en beoordeelt zelf welke gegevens je nodig hebt. Gegevens waarvan de termijn is verstreken, laat je zo nodig door ons verwijderen (artikel 9.2).

13.3 Je sluit zelf de overeenkomsten met de Derden die je zelf aanwijst of koppelt, en je bent zelf verantwoordelijk voor de gegevens die je met hen deelt. Dat zijn onder meer Mollie, je boekhoudpakket, je eigen Microsoft-omgeving en de KvK API met jouw eigen sleutel. Wij zijn voor die verwerkingen geen verwerker van jou, behalve voor zover wij de technische koppeling beheren (bijlage 3, deel B).

13.4 Je meldt een vermoeden van een Datalek, een verloren apparaat, een gelekt wachtwoord of een gelekte koppelsleutel onmiddellijk aan ons via info@assist2go.nl (artikel 23.3 Algemene Voorwaarden).

13.5 Je vult in je Installatie (Instellingen, Bedrijf, Contactpersoon datalekken) een naam, een e-mailadres en, bij voorkeur, een telefoonnummer in voor meldingen op grond van artikel 10 en artikel 7.3, en je houdt die actueel. Heb je dat niet gedaan, dan melden wij aan het e-mailadres dat je bij je Bestelling hebt opgegeven.

13.6 Je zet geen persoonsgegevens van anderen in een ticket, tenzij dat nodig is om het probleem uit te leggen. Doe je dat toch, dan verwerken wij ze volgens deze Verwerkersovereenkomst.

Artikel 14 · Aansprakelijkheid

14.1 Voor onze aansprakelijkheid onder deze Verwerkersovereenkomst geldt artikel 28 van de Algemene Voorwaarden. Dat artikel bepaalt welke schade wij vergoeden en tot welk bedrag. De grenzen gelden samen voor de Overeenkomst en deze Verwerkersovereenkomst, niet apart. Een andere grens geldt alleen als de Offerte artikel 28 uitdrukkelijk noemt en de afwijkende grens vermeldt (artikel 28.20 en artikel 1.7 Algemene Voorwaarden).

14.2 Deze afspraken beperken de rechten van betrokkenen niet. Een betrokkene die schade lijdt door een verwerking die in strijd is met de AVG, kan zich op grond van artikel 82 AVG tot jou en tot ons wenden. Wij zijn tegenover een betrokkene aansprakelijk zoals de AVG dat bepaalt, ook als dat meer is dan de grens van artikel 28 van de Algemene Voorwaarden. De Algemene Voorwaarden regelen alleen wat jij en wij onderling van elkaar kunnen vorderen.

14.3 Hebben wij of heb jij een betrokkene volledig vergoed, dan kun je het deel op de ander verhalen dat overeenkomt met zijn verantwoordelijkheid voor de schade (artikel 82 lid 5 AVG). Dat verhaal valt onder de grenzen van artikel 28 van de Algemene Voorwaarden, behalve in de gevallen van artikel 28.10.

14.4 Een bestuurlijke boete is een sanctie voor degene die de regels overtreedt. Wij beloven in deze Verwerkersovereenkomst niet dat wij een boete vergoeden of doorberekenen. Of een boete tussen jou en ons kan worden verhaald, hangt af van wat de wet toestaat (artikel 28.3 onder d van de Algemene Voorwaarden).

Artikel 15 · Rangorde, wijziging en slot

15.1 Gaat een bepaling van deze Verwerkersovereenkomst in tegen de Algemene Voorwaarden, dan gaat zij voor, voor zover het de verwerking van Persoonsgegevens betreft (artikel 1.6 onder a Algemene Voorwaarden). Deze Verwerkersovereenkomst verandert artikel 28 en artikel 9A van de Algemene Voorwaarden niet. Zij verwijst er alleen naar (artikel 1.7 Algemene Voorwaarden).

15.2 Wij mogen deze Verwerkersovereenkomst wijzigen op de manier van artikel 34.3 van de Algemene Voorwaarden. Een wijziging van bijlage 2 die het beschermingsniveau niet verlaagt, melden wij vooraf als dat kan en anders binnen 14 dagen daarna. Een wijziging van bijlage 3 melden wij volgens artikel 7.3. Een wijziging van de artikelen geldt voor een lopend Abonnement alleen met jouw uitdrukkelijke akkoord of volgens artikel 34.3 van de Algemene Voorwaarden.

15.3 Wijzigt de wetgeving, of de uitleg daarvan door de Autoriteit Persoonsgegevens of het Europees Comité voor gegevensbescherming, dan overleggen wij over een redelijke aanpassing.

15.4 Blijkt een bepaling ongeldig, dan blijft de rest gelden (artikel 34.1 Algemene Voorwaarden).

15.5 De artikelen 2, 5, 10, 11, 14 en 16 blijven gelden na het einde van deze Verwerkersovereenkomst, zolang dat uit hun aard volgt.

Artikel 16 · Toepasselijk recht en geschillen

16.1 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.

16.2 Geschillen leggen wij voor aan de rechtbank Midden-Nederland (artikel 33 Algemene Voorwaarden). De rechten van betrokkenen om een klacht in te dienen bij een toezichthouder of een vordering in te stellen bij de bevoegde rechter blijven onverlet (artikel 77 tot en met 79 AVG).

16.3 De Nederlandse tekst is bindend. Een vertaling is alleen een gemak (artikel 33.4 Algemene Voorwaarden).

Akkoord

Deze Verwerkersovereenkomst hoort bij je Bestelling of Offerte voor Avsaro. Je aanvaardt haar met je Bestelling (artikel 5.14 Algemene Voorwaarden) of met de Offerte (artikel 24.3). Op de Bestelpagina staat bij het vinkje de versie:

Ik ga akkoord met de verwerkersovereenkomst (versie 1.1 van 21 oktober 2026).

Wij bewaren het tijdstip van je akkoord, de versie en een afdruk (SHA-256) van de getoonde tekst.

Deel B · Bijlagen

Bijlage 1 · De verwerking in detail

A. Partijen en contact

B. Soorten Persoonsgegevens in de Installatie

Jij bepaalt zelf welke gegevens je invoert. In elk geval verwerkt Avsaro de volgende soorten.

Over de gegevens die een Gebruiker intypt, heeft Avsaro geen overzicht. Bijzondere categorieën van Persoonsgegevens verwachten wij niet (artikel 3.4).

C. Categorieën van betrokkenen

Klanten, prospects en contactpersonen van jou; ondertekenaars van offertes; bezoekers van de pagina's voor jouw klanten; Gebruikers van de Installatie (jijzelf en je medewerkers of collega's); personen wier gegevens een Gebruiker in vrije tekst of bestanden zet.

D. Bewaartermijnen in de Installatie

Jij bepaalt de termijnen binnen de grenzen van de wet en van het portaal. Het portaal weigert termijnen onder de ondergrens. De Installatie verwijdert zelf nooit een factuur, creditnota, betaling, genummerde offerte, document, bestand, bewijsgebeurtenis of tijdlijnregel, en een klant wordt alleen gearchiveerd. Een termijn die verstrijkt zet zulke gegevens op de lijst Toe aan beoordeling. Wil je ze verwijderd of geanonimiseerd hebben, dan vraag je het ons (artikel 9.2).

De ondertekende pdf's van akkoorden van vóór de invoering van de afgekapte weergave bevatten het volledige IP-adres en de volledige browser. Wij herschrijven die pdf's niet, omdat het onveranderlijk bewijs is. Bij nieuwe akkoorden toont het certificaat het IP-adres afgekapt tot het netwerkblok en de browser zonder versienummers.

E. Gegevens die de Installatie met het Beheerportaal uitwisselt

Alle Installaties melden zich uitgaand bij het Beheerportaal, zodat wij gezondheid en support kunnen bewaken. Het Beheerportaal belt nooit naar binnen. Elk bericht is ondertekend (Ed25519) en heeft een tijdstip en een eenmalig nummer. Het protocol accepteert alleen vaste velden. Offertes, facturen, klantlijsten, bedragen, e-mailadressen van jouw klanten en documenten staan in geen enkel bericht.

F. Wat het Beheerportaal nooit ziet

Offertes, facturen, klantlijsten, bedragen, documenten en de inhoud van de mails van jou. Wij zien die gegevens alleen als wij als beheerder in de Installatie zelf kijken (artikel 4.4).

G. Onze eigen verwerkingen

Zie artikel 2.3 en onze privacyverklaring. Zij vallen niet onder deze Verwerkersovereenkomst.

Bijlage 2 · Technische en organisatorische maatregelen

Deze bijlage beschrijft de maatregelen op 21 oktober 2026. Wij leveren een inspanning en geen garantie (artikel 6.3).

1. Opzet en scheiding per klant

• Elke Installatie heeft een eigen dienst (a2gportal@<naam>), een eigen systeemgebruiker zonder shell, een eigen database met eigen databasegebruikers en eigen mappen.
• De dienst draait afgeschermd: een alleen-lezen bestandssysteem behalve de eigen map, andere Installaties en mappen onzichtbaar, geen bijzondere rechten, toegang tot de database alleen via een lokale verbinding, en netwerkgrenzen waardoor de Installatie het adres van andere Installaties niet bereikt. De Installatie luistert alleen op een eigen lokaal adres en is alleen via de webserver bereikbaar.
• De sleutels van een Installatie worden op de server gemaakt (vier verschillende sleutels) en staan alleen in het omgevingsbestand van die Installatie, buiten de gegevensmap. Ze staan niet in de code, niet in de database en niet in een logboek.
• De scheiding is logisch (gebruikers, rechten, aparte databases) en niet fysiek. Op dezelfde server draaien ook andere websites en toepassingen van ons.

2. Toegang tot het portaal (Gebruikers)

• Inloggen kent twee stappen: wachtwoord en een code uit een authenticator-app (TOTP, RFC 6238). De tweestapsverificatie is verplicht en wordt bij de eerste inlog ingesteld. Herstelcodes zijn eenmalig en staan alleen als HMAC in de database.
• Wachtwoorden staan alleen als argon2id-hash. De eisen volgen NIST SP 800-63B: minstens 12 tekens en geen veelvoorkomend wachtwoord.
• Een sessie heeft een willekeurig token waarvan alleen de SHA-256 in de database staat. Een sessie vervalt na 12 uur of na 120 minuten zonder gebruik. Na een wachtwoordwijziging worden andere sessies beëindigd.
• Een rem begrenst inlogpogingen per netwerk, per account en per tweede stap. Blokkades komen in het auditlog zonder e-mailadres of IP-adres.
• Elke serveractie controleert zelf de sessie en het recht. Invoer wordt aan de serverkant gecontroleerd en een herkomstcontrole beschermt tegen verzoeken van andere websites.
• Een uitnodigings- of herstellink is eenmalig (48 uur voor een uitnodiging, 2 uur voor herstel) en geeft nooit direct een sessie.

3. Versleuteling en opslag

• Geheimen van koppelingen (Microsoft, Mollie, KvK API, boekhoudpakket), het geheim van de tweestapsverificatie en de beheersleutels staan versleuteld in de database (AES-256-GCM, vastgemaakt aan de rij, met aparte sleutels per doel).
• Tickets en hun bijlagen staan versleuteld in het Beheerportaal.
• Verkeer tussen browser en server loopt over TLS. De Installatie weigert in productie te starten zonder https en stuurt HSTS mee. Het certificaat voor *.avsaro.com wordt automatisch vernieuwd.
• De Installatie laadt geen scripts, lettertypen of beelden van derden.
• De overige Klantgegevens (namen, adressen, offertes, facturen) staan niet op veldniveau versleuteld in de database. De bescherming daarvan ligt in toegangsbeheer, scheiding per Installatie en de maatregelen van de server.

4. Bewijs en onveranderlijkheid

• Facturen, creditnota's, betalingen, genummerde offertes, documenten, bestanden, tijdlijnregels en bewijsgebeurtenissen kunnen door de applicatie niet worden gewijzigd of verwijderd (databasetriggers). De enige uitzondering is het wissen van IP-adres, browser, tijdzone en taal na de ingestelde termijn.
• Bewijsgebeurtenissen van een akkoord liggen vast in een hashketen. Het beheerlogboek van het Beheerportaal kan alleen worden aangevuld.
• De applicatie verwijdert het auditlog niet.

5. Server en netwerk

• SSH naar de server loopt alleen met sleutels. Inloggen met een wachtwoord staat uit. Fail2ban blokkeert herhaalde mislukte pogingen.
• De databaseserver is alleen lokaal bereikbaar.
• Sinds 20 oktober 2026 staat de firewall van Plesk aan, met een beperkte lijst open poorten.
• Beveiligingsupdates van het besturingssysteem worden automatisch geïnstalleerd (unattended-upgrades). Updates van Avsaro volgen een vaste procedure met een back-up vooraf en bij voorkeur 's nachts (artikel 23.13 Algemene Voorwaarden).

6. Beheer op afstand en support

• Het Beheerportaal geeft alleen opdrachten uit een vaste lijst (status, gebruikerslijst, wachtwoordreset, reset van de tweestapsverificatie). Een nieuwe soort opdracht is een nieuwe release. Een reset voert de Installatie nooit uit zonder het ja van de eigenaar, ook niet als het Beheerportaal een geldige handtekening heeft.
• Berichten hebben een tijdstip, een eenmalig nummer en een handtekening. Een afgewezen verzoek geeft altijd hetzelfde antwoord. Het Beheerportaal belt nooit naar binnen.
• Voor beheer op de server geldt artikel 4.4.

7. Back-ups en herstel

• Elke nacht (03:20) maakt de server van elke actieve Installatie een back-up van de database en van de uploads en de huisstijl. De Installatie blijft daarbij draaien. De bestanden zijn alleen leesbaar voor root. Van een gepauzeerde Installatie maken wij geen nieuwe back-up.
• Bewaartermijn op de server: 14 dagen dagelijks, 8 weken wekelijks (zondag) en 12 maanden maandelijks (de eerste van de maand).
• Een kopie staat buiten de server in OneDrive, in de Microsoft 365-omgeving van Assist2go (elke nacht om 04:55). Wij ruimen de kopie op uiterlijk 13 maanden nadat zij is gemaakt (artikel 19.19 Algemene Voorwaarden). Wij wissen back-ups met de hand, na een aankondiging (artikel 11.4). Wij versleutelen de kopie niet zelf extra; Microsoft versleutelt de opslag.
• De sleutels van de Installatie zitten niet in de back-ups en gaan niet naar OneDrive. Wij bewaren ze apart en versleuteld, buiten de server.
• Mislukt de nachtelijke back-up of de kopie buiten de server, dan krijgen wij een melding. Daarnaast controleren wij de uitkomst van de back-ups minstens eens per week en oefenen wij minstens eens per jaar een terugzetting.
• Een back-up is een hulpmiddel en geen garantie (artikel 19.15 Algemene Voorwaarden). Na het einde van de Overeenkomst geldt artikel 11.4.

8. Logboeken en controle

• Het auditlog van de Installatie legt inloggen, mislukte inlogpogingen, blokkades, wijzigingen van instellingen en beveiliging en beheerhandelingen vast. Waarden die op een geheim lijken (wachtwoord, token, code, sleutel, hash, cookie) worden vervangen door [verborgen]. Wachtwoorden, tokens en sleutels komen niet in logboeken of in een adres.
• Het Beheerportaal bewaakt per Installatie de gezondheid. Zonder hartslag langer dan 15 minuten staat een Installatie als niet bereikbaar en krijgen wij een melding. Ook bij een schijf vanaf 90 procent en bij een mislukte update krijgen wij een melding.
• Logbestanden van de webserver worden maximaal 90 dagen bewaard.

9. Organisatie

• Assist2go is een eenmanszaak. De eigenaar voert de werkzaamheden zelf uit. Een vervanger krijgt alleen toegang onder geheimhouding en voor zover nodig (artikel 26.7 Algemene Voorwaarden).
• Accounts voor het beheer van de server, de hosting, Microsoft 365, het domein en de e-mailverzending zijn beveiligd met tweestapsverificatie. De apparaten waarmee wij beheren hebben schijfversleuteling, een schermvergrendeling en actuele updates. Wachtwoorden staan in een wachtwoordbeheerder.
• Klantgegevens gaan niet naar demo-, test- of ontwikkelomgevingen en niet naar Hulpmiddelen van Derden (artikel 4.5).
• Wij hebben een schriftelijke procedure voor Datalekken en een register van onze verwerkingen als verwerker (artikel 30 lid 2 AVG). Wij leggen incidenten vast.
• Wij toetsen de maatregelen minstens eens per jaar (artikel 6.2).

10. Wat deze bijlage niet belooft

Een servicelevel (beschikbaarheid, reactietijd, hersteltijd) geldt alleen als de Bestelpagina of de Offerte dat noemt (artikel 19.2 en 23.13 Algemene Voorwaarden). Wij beloven geen volledige back-up en geen herstel binnen een bepaalde tijd.

Bijlage 3 · Subverwerkers en andere partijen

Deel A · Subverwerkers van Assist2go

Deel B · Derden die jij zelf kiest (geen Subverwerkers van ons)

Jij kiest en bestelt deze diensten zelf en sluit zelf de overeenkomst met de aanbieder. Wij beheren hooguit de technische koppeling, met de sleutels die jij in de Installatie zet.

Bij deze diensten stuurt de Installatie gegevens op verzoek van een Gebruiker. Jij bepaalt daarmee het gebruik. Wij leveren alleen de techniek.

Deel C · Partijen die wij gebruiken en die geen Klantgegevens verwerken

Wij passen deze lijst aan volgens artikel 7.3 als een van deze partijen toch Klantgegevens gaat verwerken.

Verwerkersovereenkomst Avsaro by Assist2go · versie 1.1 · 21 oktober 2026 · Assist2go, eenmanszaak van F. Korkmaz · KvK 42071129 · info@assist2go.nl