1. Wat dit is
Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Handix. Samen met hoofdstuk 4 (Verwerking van persoonsgegevens) en de hoofdstukken 1, 2 en 3 van de NLdigital Voorwaarden 2025 vormt hij de verwerkersovereenkomst bedoeld in artikel 28 lid 3 van de AVG. Je gaat ermee akkoord als je een account aanmaakt. Zijn de afspraken hieronder anders dan de NLdigital Voorwaarden 2025, dan gaan deze afspraken voor.
2. Partijen en rollen
- Jij (de organisatie met een account in Handix) bent de verwerkingsverantwoordelijke. Jij bepaalt welke gegevens je in Handix zet en waarvoor.
- QIXO B.V., handelend onder de naam Handix, KvK 92042430, met als adres Willem Alexanderstraat 19, 2382 HK Zoeterwoude, is de verwerker. Wij verwerken de gegevens alleen om de dienst Handix te leveren.
Voor de gegevens van je eigen account (naam, e-mailadres, abonnement) zijn wij zelf verantwoordelijk. Daarover gaat de privacyverklaring.
3. Welke gegevens en waarvoor
We verwerken de gegevens om je klanten, offertes, werkbonnen, facturen, planning, projecten, taken en uren bij te houden, documenten te maken en te versturen, en links voor je klanten en uitvoerders beschikbaar te maken. Niet voor iets anders: we verkopen geen gegevens, we gebruiken ze niet voor reclame en niet om AI-modellen te trainen.
| Van wie | Welke gegevens |
|---|---|
| Jouw klanten en hun contactpersonen | Naam, bedrijfsnaam, adres, e-mailadres, telefoonnummer, notities en contactmomenten, offertes, werkbonnen, facturen en betalingen, foto's, handtekening met naam, en het IP-adres en de browser als zij een link openen of een offerte accepteren. |
| Jouw collega's | Naam, e-mailadres, rol, gewerkte uren, toegewezen werk en wat zij in Handix wijzigen. |
| Uitvoerders die je inhuurt | Naam, e-mailadres of telefoonnummer, en wat zij via de uitvoerderslink toevoegen: uren, foto's, notities en een handtekening. |
Handix is niet bedoeld voor bijzondere persoonsgegevens (zoals gezondheid), gegevens over strafrechtelijke zaken of het burgerservicenummer. Zet die er niet in, ook niet in notities of foto's.
4. Duur
Deze afspraken gelden zolang je Handix gebruikt, en daarna tot we de gegevens hebben verwijderd (zie punt 13).
5. Jouw instructies
We verwerken de gegevens alleen op jouw instructie. Die instructie is: de functies van Handix leveren zoals jij en je collega's ze gebruiken. Moeten we gegevens verstrekken omdat de wet dat verplicht, dan laten we je dat vooraf weten, tenzij dat niet mag.
6. Geheimhouding en toegang
Iedereen die voor Handix werkt, heeft een geheimhoudingsplicht. Wij kijken niet in de gegevens van je organisatie. Ook de beheerders van het platform hebben geen toegang tot je klanten, offertes of facturen. Alleen als je ons vraagt om bij een probleem te helpen, kijken we mee, en niet verder dan nodig.
7. Beveiliging
We nemen onder meer deze maatregelen:
- Alle verbindingen zijn versleuteld (https).
- De gegevens van elke organisatie zijn gescheiden. Automatische tests controleren bij elke wijziging dat de ene organisatie niet bij de gegevens van een andere kan.
- Rollen bepalen wat iemand ziet: een collega ziet bijvoorbeeld geen facturen en alleen zijn eigen werk.
- Wachtwoorden bewaren we alleen versleuteld (gehasht). Nieuwe accounts bevestigen hun e-mailadres met een code, en het aantal inlogpogingen en codes is beperkt.
- Links voor klanten en uitvoerders zijn lang en niet te raden, en je kunt ze intrekken.
- De gegevens staan bij onze hostingpartij in de EU, in versleutelde opslag.
- We maken back-ups om gegevens te kunnen herstellen.
8. Subverwerkers
Je geeft ons toestemming om deze subverwerkers in te schakelen. Met elk van hen hebben we afspraken die minstens zo streng zijn als deze verwerkersovereenkomst.
| Subverwerker | Waarvoor | Waar |
|---|---|---|
| Convex, Inc. | Database, opslag van bestanden (foto's, pdf's, logo's) en de serverlogica van de app. | Opslag in de EU (Ierland) |
| Vercel Inc. | Hosting van de website en de app; verwerkt de verzoeken van je browser. | Verenigde Staten, met servers in de EU |
| Resend, Inc. | Versturen van e-mail: inlogcodes en de offertes, werkbonnen, facturen en herinneringen die je aan je klanten stuurt. | Verenigde Staten |
| Vercel Inc. (AI Gateway) en Google (Gemini) | Taken herkennen uit een tekst die je zelf invoert. Alleen als je die functie gebruikt. | Verenigde Staten |
Schakelen we een nieuwe subverwerker in, dan laten we dat minstens 30 dagen vooraf weten in de app. Ben je het daar niet mee eens, dan kun je bezwaar maken of opzeggen voordat de wijziging ingaat.
9. Gegevens buiten de EU
Een deel van deze leveranciers is gevestigd in de Verenigde Staten. Gegevens gaan alleen naar een land buiten de Europese Economische Ruimte als daar een passende waarborg voor is, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.
10. Datalekken
Ontdekken we een datalek met gegevens van jouw organisatie, dan melden we dat zonder onnodige vertraging en uiterlijk binnen 48 uur aan de eigenaar van de organisatie. We vertellen wat er is gebeurd, welke gegevens het betreft, wat de gevolgen kunnen zijn en wat we eraan doen. Jij beslist of je het lek meldt bij de Autoriteit Persoonsgegevens of aan de betrokkenen; wij helpen je daarbij met de informatie die je nodig hebt.
11. Rechten van betrokkenen en DPIA
Vraagt een van je klanten om inzage, correctie of verwijdering, dan kun je dat meestal zelf in Handix regelen. Lukt dat niet, dan helpen we je. Benadert iemand ons rechtstreeks, dan verwijzen we hem naar jou. Ook helpen we je als je een gegevensbeschermingseffectbeoordeling (DPIA) moet doen. Hiervoor rekenen we geen kosten, tenzij een verzoek buitensporig veel werk vraagt.
12. Controle
Op verzoek geven we je de informatie die je nodig hebt om te laten zien dat de afspraken worden nageleefd. Wil je een audit laten doen, dan overleggen we vooraf over de aanpak; de kosten van de audit zijn voor jou.
13. Einde en verwijderen
Je kunt je gegevens altijd zelf downloaden als CSV. Verwijder je je organisatie of zeg je op, dan heb je nog 14 dagen bedenktijd om je gegevens te downloaden of de verwijdering te annuleren. Daarna verwijderen we de gegevens van je organisatie, inclusief foto's en bestanden. Kopieën in back-ups verdwijnen wanneer die back-ups worden vervangen. Gegevens die we wettelijk moeten bewaren, zoals onze eigen facturen aan jou, bewaren we zolang dat moet.
14. Aansprakelijkheid
Voor de aansprakelijkheid geldt artikel 15 van de NLdigital Voorwaarden 2025, ook voor schade die met de verwerking van persoonsgegevens te maken heeft.
15. Contact
Vragen over deze verwerkersovereenkomst of over de beveiliging van Handix? Mail naar hallo (apenstaartje) handix.nl.