Verwerkers­overeenkomst

Versie 1.2.2 · gepubliceerd 8 oktober 2026 · van kracht voor bestaande gebruikers vanaf 7 november 2026

Deze Verwerkersovereenkomst (“Overeenkomst”) regelt de verwerking van persoonsgegevens door de Verwerker ten behoeve van de Verwerkingsverantwoordelijke in het kader van de dienst StatementBridge, zoals bedoeld in artikel 28 van de Algemene Verordening Gegevensbescherming (AVG). Deze Verwerkersovereenkomst maakt deel uit van de Algemene Voorwaarden van StatementBridge en wordt samen daarmee aanvaard.

Verwerker: FIDURO B.V., Stephensonweg 6, 4207 HB Gorinchem, KvK 78200695

Verwerkingsverantwoordelijke: de Gebruiker (iedere onderneming, rechtspersoon of beroepsbeoefenaar die gebruik maakt van StatementBridge)

Artikel 1 — Definities

  1. Verwerkingsverantwoordelijke: de Gebruiker van StatementBridge die het doel en de middelen voor de verwerking van persoonsgegevens vaststelt.
  2. Verwerker: FIDURO B.V., die ten behoeve van de Verwerkingsverantwoordelijke persoonsgegevens verwerkt in het kader van de dienst StatementBridge.
  3. Betrokkene: de natuurlijke persoon op wie de persoonsgegevens betrekking hebben.
  4. Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals bedoeld in artikel 4 lid 1 AVG.
  5. Subverwerker: een derde partij die door de Verwerker wordt ingeschakeld om (een deel van) de verwerking uit te voeren.
  6. AVG: de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679).

Artikel 2 — Onderwerp en duur

  1. Deze Overeenkomst heeft betrekking op de verwerking van persoonsgegevens die plaatsvindt in het kader van de dienst StatementBridge, een online applicatie voor de conversie van bankafschriften en transactiebestanden tussen verschillende bestandsformaten.
  2. De duur van deze Overeenkomst is gelijk aan de periode waarin de Verwerkingsverantwoordelijke een actief account heeft bij StatementBridge.
  3. Het bronbestand wordt uiterlijk 1 uur na de upload verwijderd; blijft het door een onderbreking achter, dan verwijdert de automatische opschoning het doorgaans binnen 25 uur. Exportbestanden bevatten transactiegegevens en zijn maximaal 24 uur te downloaden; daarna worden ze bij de eerstvolgende opschoning verwijderd. Conversiemetadata en door u opgeslagen rekeninggegevens blijven bewaard. Bestanden die u ons zelf per e-mail stuurt, bijvoorbeeld bij een supportvraag, staan in onze supportmailbox tot wij ze verwijderen; stuur liever geen volledige afschriften mee. De verbinding gebruikt HTTPS; de applicatie en database draaien in Frankfurt. Bij een AI-scan gaat de PDF-inhoud naar de AI-provider.

Artikel 3 — Aard en doel van de verwerking

  1. De verwerking betreft de conversie van bankafschriften en transactiebestanden tussen onder meer de volgende formaten: MT940, CAMT.053, CAMT.054, CSV, Excel, OFX, CODA, DATEV en PDF.
  2. Het doel van de verwerking is het omzetten van financiële transactiegegevens naar een bestandsformaat dat compatibel is met de boekhoudsoftware van de Verwerkingsverantwoordelijke.
  3. Optioneel kan de Verwerkingsverantwoordelijke AI-extractie van PDF-bestanden starten; die start alleen na zijn bevestiging. (a) Bij een AI-scan met credits schakelt de Verwerker Mistral AI in als subverwerker (artikel 7). (b) Bij gebruik van een eigen API-sleutel (Pro) stuurt de Verwerker de PDF-inhoud op instructie van de Verwerkingsverantwoordelijke naar de door hem gekozen provider (Anthropic, OpenAI, Google, Mistral of xAI). Die provider is geen subverwerker van de Verwerker en verwerkt de gegevens onder de overeenkomst tussen de Verwerkingsverantwoordelijke en die provider.

Artikel 4 — Soort persoonsgegevens

Namens de Verwerkingsverantwoordelijke verwerkt de Verwerker:

  • transactiegegevens in geüploade bestanden en exportbestanden: IBAN's, bedragen, omschrijvingen, datums, referenties en namen van tegenpartijen;
  • opgeslagen rekeninggegevens in profielen en het adresboek: naam, bank, IBAN (versleuteld), BIC, valuta, kolomindeling en exportinstellingen;
  • conversiemetadata: formaten, aantallen, status, foutdiagnose en instellingen, waaronder een gemaskeerd rekeningnummer, en de vingerafdrukken van bronbestand en geldbewegingen die een gratis her-export mogelijk maken;
  • PDF-inhoud die bij AI-extractie naar een AI-provider wordt gestuurd.

Account-, betaal-, toestemmings- en technische gegevens van de Gebruiker zelf (zoals e-mailadres, IP-adres en Stripe-gegevens) verwerkt FIDURO als verwerkingsverantwoordelijke; zie de Privacyverklaring.

Artikel 5 — Categorieën betrokkenen

  1. Rekeninghouders en medewerkers van de Verwerkingsverantwoordelijke wier gegevens in de geüploade bestanden of in opgeslagen rekeninggegevens voorkomen.
  2. Derden wier gegevens in bankafschriften voorkomen: tegenpartijen en begunstigden van transacties die in de geüploade bestanden zijn opgenomen.

Artikel 6 — Verplichtingen van de Verwerker

De Verwerker verbindt zich tot het volgende:

  1. Persoonsgegevens uitsluitend te verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anders vereist.
  2. Te waarborgen dat personen die gemachtigd zijn om de persoonsgegevens te verwerken, zich tot vertrouwelijkheid hebben verbonden of onder een passende wettelijke geheimhoudingsplicht vallen.
  3. Alle passende technische en organisatorische maatregelen te nemen om een beveiligingsniveau te waarborgen dat past bij het risico, zoals bedoeld in artikel 32 AVG.
  4. Te voldoen aan de voorwaarden voor het inschakelen van subverwerkers zoals beschreven in Artikel 7 van deze Overeenkomst.
  5. De Verwerkingsverantwoordelijke bijstand te verlenen bij het nakomen van verzoeken van Betrokkenen tot uitoefening van hun rechten onder de AVG.
  6. De Verwerkingsverantwoordelijke bijstand te verlenen bij het uitvoeren van een gegevensbeschermings­effect­beoordeling (DPIA) indien dit nodig is.
  7. Na beëindiging van de verwerkingsdiensten de persoonsgegevens te verwijderen overeenkomstig artikel 12, tenzij opslag wettelijk verplicht is. Teruggave: de Verwerkingsverantwoordelijke kan zijn opgeslagen rekeninggegevens en conversiemetadata vóór beëindiging zelf ophalen via de export in de accountinstellingen; exportbestanden zijn maximaal 24 uur na aanmaak downloadbaar.
  8. Alle informatie beschikbaar te stellen die nodig is om de naleving van de verplichtingen uit artikel 28 AVG aan te tonen, en audits mogelijk te maken.

Artikel 7 — Subverwerkers

De Verwerkingsverantwoordelijke geeft de Verwerker algemene schriftelijke toestemming voor het inschakelen van de volgende subverwerkers:

SubverwerkerDoelLocatieWaarborgen
Render (Render Services, Inc., VS) Hosting van de applicatie, de database, tijdelijke bestanden en serverlogs Hostingregio Frankfurt (EU) Volgens de voorwaarden van de provider
Cloudflare (Cloudflare, Inc., VS) Netwerk- en DDoS-bescherming van al het webverkeer (TLS), inclusief geüploade en geëxporteerde bestanden; ingeschakeld via de hostingprovider of rechtstreeks (de contractuele keten wordt bevestigd) Wereldwijd netwerk; verwerking kan buiten de EER plaatsvinden Volgens de voorwaarden van de provider
Stripe Betalingen, abonnementen, facturen en btw; Stripe ontvangt uw e-mailadres, naam, factuur- en betaalgegevens EU en VS Volgens de voorwaarden van de provider
Resend (Resend, Inc., VS) Verzending van service- en accountmails (verificatie, inloglinks, wachtwoordherstel, meldingen, tips en aanbiedingen) Volgens de verzendregio van het account Volgens de voorwaarden van de provider
Mistral AI (Mistral AI SAS, Frankrijk) AI-extractie bij een AI-scan met credits, alleen na uw bevestiging: tekst of pagina-afbeeldingen uit de PDF Volgens de overeenkomst en accountinstellingen van FIDURO bij Mistral AI Volgens de voorwaarden van de provider

Providers die de Verwerkingsverantwoordelijke zelf met een eigen API-sleutel kiest, zijn geen subverwerkers (artikel 3.3).

  1. De Verwerker informeert de Verwerkingsverantwoordelijke vooraf over voorgenomen wijzigingen inzake de toevoeging of vervanging van subverwerkers, via het wijzigingsoverzicht op deze pagina en een melding in de Dienst.
  2. De Verwerkingsverantwoordelijke heeft het recht binnen 30 dagen na publicatie bezwaar te maken tegen wijzigingen in subverwerkers. Indien het bezwaar niet kan worden opgelost, heeft de Verwerkingsverantwoordelijke het recht de Overeenkomst te beëindigen.
  3. De Verwerker waarborgt dat op iedere subverwerker dezelfde verplichtingen inzake gegevensbescherming rusten als in deze Overeenkomst zijn opgenomen.

Artikel 8 — Doorgifte buiten de EER

  1. Doorgifte van persoonsgegevens naar landen buiten de EER vindt alleen plaats met een passende waarborg als bedoeld in Hoofdstuk V AVG, zoals een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework voor gecertificeerde ontvangers) of standaardcontractbepalingen, zoals vastgelegd in de voorwaarden van de betreffende subverwerker.
  2. Bij AI-extractie met een eigen API-sleutel bepaalt de Verwerkingsverantwoordelijke zelf de provider en daarmee de verwerkingslocatie.
  3. De Verwerker zorgt ervoor dat iedere doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte (EER) in overeenstemming is met Hoofdstuk V van de AVG.

Artikel 9 — Beveiligingsmaatregelen (Art. 32 AVG)

De Verwerker heeft de volgende technische en organisatorische beveiligingsmaatregelen geïmplementeerd:

  • Versleuteld transport — alle communicatie verloopt via HTTPS (TLS).
  • Wachtwoordhashing — wachtwoorden worden opgeslagen als bcrypt-hash en nooit in leesbare vorm.
  • Versleutelde opslag van geheimen — API-sleutels en IBAN's in opgeslagen profielen en het adresboek worden bij opslaan versleuteld (Fernet: AES-128 met HMAC).
  • Beperkte bewaring — bronbestanden worden na de verwerking verwijderd en exportbestanden zijn maximaal 24 uur downloadbaar; zie de bewaartermijnen in de privacyverklaring.
  • Cookies — de sessiecookie is HttpOnly, Secure en SameSite=Strict; de inlogcookie is HttpOnly en de server controleert de leeftijd ervan zelf.
  • Verzoeklimieten — op onder meer inloggen, inloglinks, wachtwoordherstel, uploads, exports en de API, en een tijdelijke blokkade na herhaald mislukt inloggen.
  • Toegangscontrole — downloads zijn gebonden aan het account dat de conversie maakte en aan een token per bestand; gebruikers bereiken alleen hun eigen gegevens; beheerfuncties zijn beperkt tot aangewezen beheerders van FIDURO.
  • Content Security Policy — beperkt welke scripts de site mag laden; lettertypen worden van onze eigen server geladen.
  • Updates — De Verwerker werkt software en afhankelijkheden bij wanneer beveiligingsupdates beschikbaar komen.
  • Logging — server- en foutlogs kunnen persoonsgegevens bevatten, zoals IP-adres, gebruikers-ID en delen van foutmeldingen; e-mailadressen worden niet volledig gelogd en in opgeslagen foutdiagnoses worden IBAN's en bedragen gemaskeerd.

Artikel 10 — Meldplicht datalekken

  1. De Verwerker meldt elk datalek (inbreuk in verband met persoonsgegevens) aan de Verwerkingsverantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 72 uur na ontdekking.
  2. De melding bevat ten minste de volgende informatie:
    • de aard van het datalek, met waar mogelijk de categorieën en het geschatte aantal betrokkenen;
    • de categorieën en het geschatte aantal persoonsgegevensregistraties die bij het lek betrokken zijn;
    • de waarschijnlijke gevolgen van het datalek;
    • de maatregelen die zijn genomen of worden voorgesteld om het datalek te verhelpen en de nadelige gevolgen te beperken.
  3. De Verwerker werkt volledig mee aan de Verwerkingsverantwoordelijke bij het onderzoeken en afhandelen van het datalek.

Artikel 11 — Bijstand bij rechten van betrokkenen

  1. De Verwerker verleent de Verwerkingsverantwoordelijke bijstand bij het beantwoorden van verzoeken van Betrokkenen met betrekking tot de volgende rechten:
    • Recht op inzage (Art. 15 AVG)
    • Recht op rectificatie (Art. 16 AVG)
    • Recht op verwijdering (Art. 17 AVG)
    • Recht op beperking van verwerking (Art. 18 AVG)
    • Recht op gegevensoverdraagbaarheid (Art. 20 AVG)
    • Recht van bezwaar (Art. 21 AVG)
  2. De Gebruiker kan zijn account zelf verwijderen via de instellingen in StatementBridge, na her-authenticatie (wachtwoord of een verse inloglink); artikel 12 beschrijft wat daarna nog wordt bewaard.

Artikel 12 — Teruggave en verwijdering

  1. Bij beëindiging van de verwerkingsdiensten (verwijdering van het account) verwijdert de Verwerker de persoonsgegevens van de Verwerkingsverantwoordelijke uit de productiedatabase, met de uitzonderingen van lid 2.
  2. Accountverwijdering via de applicatie verwijdert de persoonsgegevens van de Verwerkingsverantwoordelijke uit de productiedatabase, met uitzondering van:
    • (a) conversiemetadata, die worden losgekoppeld van het account en zonder instellingen, foutdetails of bestandskenmerk voor statistiek worden bewaard;
    • (b) exportbestanden die nog niet zijn verlopen en bij de eerstvolgende opruimronde worden verwijderd;
    • (c) kopieën in back-ups en logs van de hostingprovider, die volgens diens bewaartermijnen worden overschreven;
    • (d) gegevens die de Verwerker wettelijk moet bewaren, zoals betalingsregistraties.
  3. Geüploade bronbestanden worden na de verwerking verwijderd; bij een onderbroken verwerking uiterlijk bij de automatische opruimronde. Exportbestanden zijn maximaal 24 uur downloadbaar door het account dat ze aanmaakte en worden daarna bij de automatische opruimronde verwijderd.

Artikel 13 — Auditrechten

  1. De Verwerkingsverantwoordelijke heeft het recht audits uit te voeren of te laten uitvoeren om de naleving van deze Overeenkomst te controleren.
  2. De Verwerker werkt mee aan redelijke auditverzoeken en stelt de benodigde informatie beschikbaar.
  3. De Verwerker mag als alternatief een onafhankelijk auditrapport (bijvoorbeeld SOC 2 of een vergelijkbare certificering) overleggen om naleving aan te tonen.

Artikel 14 — Toepasselijk recht en geschillen

  1. Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.
  2. Geschillen die voortvloeien uit of verband houden met deze Overeenkomst worden voorgelegd aan de bevoegde rechter in het arrondissement Rotterdam.

Contact

FIDURO B.V.
Stephensonweg 6
4207 HB Gorinchem
E-mail: statementbridge@fiduro.nl
KvK: 78200695
BTW: NL861300221B01