quoteDeze overeenkomst regelt hoe Quotebaken de persoonsgegevens verwerkt die zakelijke klanten in Quotebaken invoeren, zoals gegevens van hun eigen klanten.
1. Partijen en definities
Verwerkingsverantwoordelijke: de zakelijke klant die Quotebaken gebruikt, hierna "de Klant".
Verwerker: Dorian Ecommerce, handelend onder de naam Quotebaken, gevestigd te Klundert, KvK 88067718, e-mail info@quotebaken.com, hierna "Quotebaken".
Partijen hebben een overeenkomst voor het gebruik van Quotebaken ("de Hoofdovereenkomst"). Bij het uitvoeren daarvan verwerkt Quotebaken persoonsgegevens namens de Klant. Begrippen als persoonsgegevens, verwerking, betrokkene, subverwerker en datalek hebben de betekenis uit de Algemene Verordening Gegevensbescherming (AVG).
2. Onderwerp, doel en duur
Quotebaken verwerkt persoonsgegevens alleen om de Klant de functies van Quotebaken te leveren: offertes, klantbeheer, offerteaanvragen, opvolging, projecten, uren en facturen. Quotebaken gebruikt deze gegevens niet voor eigen doeleinden en verkoopt ze niet.
De overeenkomst loopt zolang de Hoofdovereenkomst loopt, en daarna tot alle gegevens zijn teruggegeven of verwijderd (artikel 6).
Betrokkenen: klanten en potentiële klanten van de Klant, contactpersonen bij die klanten, en medewerkers of teamleden van de Klant.
Gegevens: naam, e-mailadres, telefoonnummer, adres, bedrijfsnaam, KvK- en btw-nummer, projectomschrijvingen, offerte- en factuurinhoud, reacties op offertes, uren en notities. Bijlage 1 geeft het volledige overzicht. De Klant verwerkt via Quotebaken geen bijzondere persoonsgegevens en geen BSN, tenzij partijen dat schriftelijk afspreken.
3. Verplichtingen van Quotebaken
- Quotebaken verwerkt de gegevens alleen op schriftelijke instructie van de Klant. Het gebruik van de functies van Quotebaken door de Klant geldt als zo'n instructie. Vindt Quotebaken een instructie in strijd met de wet, dan meldt het dat direct.
- Iedereen die bij Quotebaken toegang heeft tot de gegevens, is tot geheimhouding verplicht.
- Quotebaken neemt passende technische en organisatorische maatregelen om de gegevens te beveiligen, zoals beschreven in Bijlage 2.
- Elke Klant ziet alleen de gegevens in zijn eigen werkomgeving. Teamleden krijgen alleen toegang binnen de rol die de Klant toekent.
- Quotebaken helpt de Klant, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling (DPIA) of voorafgaande raadpleging van de Autoriteit Persoonsgegevens.
4. Subverwerkers en doorgifte
De Klant geeft algemene toestemming voor de inzet van de subverwerkers hieronder. Quotebaken legt met elke subverwerker minstens dezelfde verplichtingen vast als in deze overeenkomst.
| Subverwerker | Wat | Welke gegevens |
|---|---|---|
| Floot | Hosting, database, applicatie en e-mailverzending | Alle gegevens in Quotebaken; e-mailadres en offertelink bij opvolgmails |
| Stripe | Betaling van het Quotebaken-abonnement van de Klant | Alleen factuur- en betaalgegevens van de Klant zelf, geen gegevens van zijn klanten |
| PostHog (EU) | Optionele productstatistieken, alleen met toestemming | Gebruiksgebeurtenissen, geen klantnamen of offerte-inhoud |
Koppelt de Klant zelf een eigen dienst, zoals een Twilio-account voor sms of een agenda, dan sluit de Klant daarvoor zelf een overeenkomst met die aanbieder.
Quotebaken meldt een nieuwe of vervangende subverwerker minstens 30 dagen vooraf per e-mail. De Klant kan binnen die termijn gemotiveerd bezwaar maken en, als partijen geen oplossing vinden, de Hoofdovereenkomst opzeggen.
Worden gegevens buiten de Europese Economische Ruimte verwerkt, dan gebeurt dat alleen met passende waarborgen, zoals een adequaatheidsbesluit (EU-US Data Privacy Framework) of de modelcontractbepalingen van de Europese Commissie.
5. Datalekken, rechten, audits en aansprakelijkheid
Datalekken. Quotebaken meldt een datalek dat de gegevens van de Klant raakt zonder onnodige vertraging, en uiterlijk binnen 48 uur nadat het is ontdekt. De melding beschrijft wat er is gebeurd, welke gegevens en hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen en de genomen maatregelen. De Klant beslist of hij het lek meldt aan de Autoriteit Persoonsgegevens en de betrokkenen.
Rechten van betrokkenen. De Klant kan gegevens in Quotebaken zelf inzien, aanpassen, exporteren en verwijderen. Krijgt Quotebaken rechtstreeks een verzoek van een betrokkene, dan stuurt het dat door naar de Klant en helpt het de Klant waar redelijk.
Audits. Quotebaken geeft de Klant op verzoek de informatie die nodig is om te laten zien dat het deze overeenkomst naleeft. De Klant mag maximaal één keer per jaar een audit laten doen door een onafhankelijke deskundige met geheimhoudingsplicht, na minstens 14 dagen vooraankondiging. De Klant draagt de kosten daarvan.
Aansprakelijkheid. De aansprakelijkheid van Quotebaken onder deze overeenkomst is beperkt zoals in de Hoofdovereenkomst (algemene voorwaarden) is bepaald.
6. Einde, teruggave en slotbepalingen
Na het einde van de Hoofdovereenkomst kan de Klant zijn gegevens nog 30 dagen exporteren. Daarna verwijdert Quotebaken de gegevens binnen 60 dagen, ook uit back-ups zodra die automatisch worden overschreven. Gegevens die Quotebaken wettelijk moet bewaren, zoals de eigen facturen aan de Klant, blijven bewaard zolang de wet dat vereist.
Bij strijd tussen deze overeenkomst en de Hoofdovereenkomst gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Zeeland-West-Brabant.
Bijlage 1: specificatie van de gegevens
| Categorie | Voorbeelden | Bewaartermijn |
|---|---|---|
| Klantgegevens van de Klant | Naam, e-mail, telefoon, adres, bedrijfsnaam, KvK, btw-nummer | Zolang de Klant ze bewaart, daarna artikel 6 |
| Offertes en reacties | Offerteregels, bedragen, akkoord of afwijzing, naam van wie reageert | Idem |
| Offerteaanvragen | Naam, e-mail, telefoon, type werk, omschrijving | Idem; de Klant kan aanvragen zelf verwijderen |
| Facturen en projecten | Factuuradressen, factuurnummers, planning, uren, materiaal | Idem; wettelijke bewaarplicht ligt bij de Klant |
| Teamleden | Naam, e-mail, rol | Zolang het teamlid toegang heeft |
| Sms-gegevens (alleen bij eigen Twilio-koppeling) | Telefoonnummer, toestemming, verzendstatus | Zolang de Klant de koppeling gebruikt |
Bijlage 2: beveiligingsmaatregelen
- Alle verbindingen lopen versleuteld via HTTPS.
- Wachtwoorden worden alleen als versleutelde hash opgeslagen (bcrypt), nooit leesbaar.
- Elke databasevraag is beperkt tot de werkomgeving van de ingelogde Klant, zodat Klanten elkaars gegevens niet kunnen zien.
- Teamleden krijgen rechten per rol (eigenaar, manager, meekijker); de eigenaar kan toegang intrekken.
- Geheime sleutels van gekoppelde diensten, zoals een Twilio-token, worden versleuteld opgeslagen.
- Offertelinks voor klanten bevatten een lange, willekeurige code die niet te raden is.
- Optionele statistieken en advertentiemetingen laden pas na toestemming van de bezoeker.
- De Klant kan zijn gegevens zelf exporteren en zijn account verwijderen.
- Hosting en database draaien bij Floot; betaalgegevens worden alleen door Stripe verwerkt, Quotebaken slaat geen kaartnummers op.
Ondertekende versie nodig voor je administratie? Mail je bedrijfsnaam, KvK-nummer en contactpersoon naar info@quotebaken.com, dan sturen we hem ingevuld terug.