Verwerkersovereenkomst

Laatst bijgewerkt: 1 maart 2026

Deze Verwerkersovereenkomst (“Overeenkomst”) is opgesteld in overeenstemming met artikel 28 van de Algemene Verordening Gegevensbescherming (AVG/GDPR) en regelt de verwerking van persoonsgegevens door de Verwerker ten behoeve van de Verwerkingsverantwoordelijke in het kader van de dienst StatementBridge.

Verwerker: FIDURO B.V., Stephensonweg 6, 4207 HB Gorinchem, KvK 78200695

Verwerkingsverantwoordelijke: de Gebruiker (iedere natuurlijke of rechtspersoon die gebruik maakt van StatementBridge)

Artikel 1 — Definities

  1. Verwerkingsverantwoordelijke: de Gebruiker van StatementBridge die het doel en de middelen voor de verwerking van persoonsgegevens vaststelt.
  2. Verwerker: FIDURO B.V., die ten behoeve van de Verwerkingsverantwoordelijke persoonsgegevens verwerkt in het kader van de dienst StatementBridge.
  3. Betrokkene: de natuurlijke persoon op wie de persoonsgegevens betrekking hebben.
  4. Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals bedoeld in artikel 4 lid 1 AVG.
  5. Subverwerker: een derde partij die door de Verwerker wordt ingeschakeld om (een deel van) de verwerking uit te voeren.
  6. AVG: de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679).

Artikel 2 — Onderwerp en duur

  1. Deze Overeenkomst heeft betrekking op de verwerking van persoonsgegevens die plaatsvindt in het kader van de dienst StatementBridge, een online applicatie voor de conversie van bankafschriften en transactiebestanden tussen verschillende bestandsformaten.
  2. De duur van deze Overeenkomst is gelijk aan de periode waarin de Verwerkingsverantwoordelijke een actief account heeft bij StatementBridge.
  3. De verwerking van persoonsgegevens vindt uitsluitend plaats tijdens actieve bestandsconversies. Geüploade bestanden worden direct na verwerking verwijderd.

Artikel 3 — Aard en doel van de verwerking

  1. De verwerking betreft de conversie van bankafschriften en transactiebestanden tussen de volgende formaten: MT940, CAMT.053, CSV, Excel, OFX, CODA, DATEV en PDF.
  2. Het doel van de verwerking is het omzetten van financiële transactiegegevens naar een bestandsformaat dat compatibel is met de boekhoudsoftware van de Verwerkingsverantwoordelijke.
  3. Optioneel kan de Verwerkingsverantwoordelijke gebruik maken van AI-extractie van transacties uit PDF-bestanden. Deze functionaliteit maakt gebruik van externe API's (Anthropic of OpenAI) en wordt uitsluitend ingeschakeld op uitdrukkelijk verzoek van de Verwerkingsverantwoordelijke.

Artikel 4 — Soort persoonsgegevens

De volgende categorieën persoonsgegevens worden verwerkt:

  • Accountgegevens — e-mailadres en weergavenaam
  • Financiële transactiegegevens — IBAN-nummers, bedragen, omschrijvingen, transactiedata en tegenpartijnamen
  • Betaalgegevens — Stripe klant-ID en abonnementsgegevens
  • Technische gegevens — geanonimiseerd IP-adres en user agent
  • API-sleutels — versleuteld opgeslagen (AES-128/Fernet)

Artikel 5 — Categorieën betrokkenen

  1. De Gebruiker (accounthouder) — de persoon die gebruik maakt van StatementBridge.
  2. Derden wier gegevens in bankafschriften voorkomen — tegenpartijen en begunstigden van transacties die in de geüploade bestanden zijn opgenomen.

Artikel 6 — Verplichtingen van de Verwerker

De Verwerker verbindt zich tot het volgende:

  1. Persoonsgegevens uitsluitend te verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anders vereist.
  2. Te waarborgen dat personen die gemachtigd zijn om de persoonsgegevens te verwerken, zich tot vertrouwelijkheid hebben verbonden of onder een passende wettelijke geheimhoudingsplicht vallen.
  3. Alle passende technische en organisatorische maatregelen te nemen om een beveiligingsniveau te waarborgen dat past bij het risico, zoals bedoeld in artikel 32 AVG.
  4. Te voldoen aan de voorwaarden voor het inschakelen van subverwerkers zoals beschreven in Artikel 7 van deze Overeenkomst.
  5. De Verwerkingsverantwoordelijke bijstand te verlenen bij het nakomen van verzoeken van Betrokkenen tot uitoefening van hun rechten onder de AVG.
  6. De Verwerkingsverantwoordelijke bijstand te verlenen bij het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) indien dit nodig is.
  7. Na beëindiging van de verwerkingsdiensten, naar keuze van de Verwerkingsverantwoordelijke, alle persoonsgegevens te verwijderen of terug te geven en bestaande kopieën te verwijderen, tenzij opslag wettelijk verplicht is.
  8. Alle informatie beschikbaar te stellen die nodig is om de naleving van de verplichtingen uit artikel 28 AVG aan te tonen, en audits mogelijk te maken.

Artikel 7 — Subverwerkers

De Verwerkingsverantwoordelijke geeft de Verwerker algemene schriftelijke toestemming voor het inschakelen van de volgende subverwerkers:

Subverwerker Doel Locatie Waarborgen
Stripe, Inc. Betalingsverwerking VS Standard Contractual Clauses (SCC's)
Render.com Hosting applicatie en database EU (Frankfurt) EU-gevestigd
Anthropic (optioneel) AI PDF-extractie VS SCC's
OpenAI (optioneel) AI PDF-extractie VS SCC's
  1. De Verwerker informeert de Verwerkingsverantwoordelijke vooraf over voorgenomen wijzigingen inzake de toevoeging of vervanging van subverwerkers.
  2. De Verwerkingsverantwoordelijke heeft het recht bezwaar te maken tegen wijzigingen in subverwerkers. Indien het bezwaar niet kan worden opgelost, heeft de Verwerkingsverantwoordelijke het recht de Overeenkomst te beëindigen.
  3. De Verwerker waarborgt dat op iedere subverwerker dezelfde verplichtingen inzake gegevensbescherming rusten als in deze Overeenkomst zijn opgenomen.

Artikel 8 — Doorgifte buiten de EER

  1. Doorgiftes van persoonsgegevens naar de Verenigde Staten vinden plaats op basis van Standard Contractual Clauses (SCC's) conform artikel 46 lid 2 sub c AVG.
  2. Anthropic en OpenAI worden uitsluitend ingeschakeld op uitdrukkelijk verzoek van de Gebruiker. Zonder gebruik van de AI PDF-extractiefunctionaliteit vindt geen doorgifte naar deze partijen plaats.
  3. De Verwerker zorgt ervoor dat iedere doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte (EER) in overeenstemming is met Hoofdstuk V van de AVG.

Artikel 9 — Beveiligingsmaatregelen (Art. 32 AVG)

De Verwerker heeft de volgende technische en organisatorische beveiligingsmaatregelen geïmplementeerd:

  • HTTPS/TLS-encryptie — alle communicatie tussen gebruiker en server is versleuteld
  • Bcrypt wachtwoordhashing — wachtwoorden worden nooit in leesbare vorm opgeslagen
  • AES-128/Fernet encryptie — API-sleutels worden versleuteld opgeslagen
  • Directe verwijdering — geüploade bestanden worden direct na verwerking verwijderd
  • Secure session cookies — HttpOnly, Secure, SameSite=Strict
  • Rate limiting — bescherming tegen misbruik en overbelasting
  • Toegangscontroles — gebruikers hebben uitsluitend toegang tot hun eigen gegevens
  • Regelmatige beveiligingsupdates — software en afhankelijkheden worden regelmatig bijgewerkt
  • Geanonimiseerde logging — logbestanden bevatten geen identificeerbare persoonsgegevens

Artikel 10 — Meldplicht datalekken

  1. De Verwerker meldt elk datalek (inbreuk in verband met persoonsgegevens) aan de Verwerkingsverantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 72 uur na ontdekking.
  2. De melding bevat ten minste de volgende informatie:
    • de aard van het datalek, met waar mogelijk de categorieën en het geschatte aantal betrokkenen;
    • de categorieën en het geschatte aantal persoonsgegevensregistraties die bij het lek betrokken zijn;
    • de waarschijnlijke gevolgen van het datalek;
    • de maatregelen die zijn genomen of worden voorgesteld om het datalek te verhelpen en de nadelige gevolgen te beperken.
  3. De Verwerker werkt volledig mee aan de Verwerkingsverantwoordelijke bij het onderzoeken en afhandelen van het datalek.

Artikel 11 — Bijstand bij rechten van betrokkenen

  1. De Verwerker verleent de Verwerkingsverantwoordelijke bijstand bij het beantwoorden van verzoeken van Betrokkenen met betrekking tot de volgende rechten:
    • Recht op inzage (Art. 15 AVG)
    • Recht op rectificatie (Art. 16 AVG)
    • Recht op verwijdering (Art. 17 AVG)
    • Recht op beperking van verwerking (Art. 18 AVG)
    • Recht op gegevensoverdraagbaarheid (Art. 20 AVG)
    • Recht van bezwaar (Art. 21 AVG)
  2. De Gebruiker kan zijn account en alle bijbehorende gegevens zelf verwijderen via de applicatie-instellingen in StatementBridge.

Artikel 12 — Teruggave en verwijdering

  1. Bij beëindiging van de verwerkingsdiensten worden alle persoonsgegevens van de Verwerkingsverantwoordelijke verwijderd.
  2. Account-verwijdering via de applicatie leidt tot permanente verwijdering van alle persoonsgegevens.
  3. Er worden geen geüploade bestanden bewaard na verwerking. Bestanden worden direct na conversie van de server verwijderd.

Artikel 13 — Auditrechten

  1. De Verwerkingsverantwoordelijke heeft het recht audits uit te voeren of te laten uitvoeren om de naleving van deze Overeenkomst te controleren.
  2. De Verwerker werkt mee aan redelijke auditverzoeken en stelt de benodigde informatie beschikbaar.
  3. De Verwerker mag als alternatief een onafhankelijk auditrapport (bijvoorbeeld SOC 2 of een vergelijkbare certificering) overleggen om naleving aan te tonen.

Artikel 14 — Toepasselijk recht en geschillen

  1. Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.
  2. Geschillen die voortvloeien uit of verband houden met deze Overeenkomst worden voorgelegd aan de bevoegde rechter in het arrondissement Rotterdam.

Contact

FIDURO B.V.
Stephensonweg 6
4207 HB Gorinchem
E-mail: info@fiduro.nl
Telefoon: 0183-201077
KvK: 78200695
BTW: NL861300221B01