Verwerkersovereenkomst

Versie 1.0, 2 november 2026

Deze verwerkersovereenkomst maakt deel uit van de algemene voorwaarden van Cleverboek. Ze geldt automatisch voor iedere klant die persoonsgegevens van anderen in Cleverboek verwerkt, zonder dat daarvoor een aparte handtekening nodig is. Wil je voor je eigen dossier een ondertekend exemplaar? Mail dan naar info@cleverboek.nl.

Partijen

1. De klant: iedere natuurlijke persoon of rechtspersoon die een account bij Cleverboek heeft en daarin een administratie voert of beheert, hierna "Klant". De Klant is verwerkingsverantwoordelijke in de zin van de AVG.
2. Cleverboek, correspondentieadres Mon Plaisir 15, 4879 AK Etten-Leur, Nederland. Cleverboek is een handelsnaam van Cleverboek LLC, geregistreerd in Wyoming, Verenigde Staten, onder nummer 2026-002110945, hierna "Cleverboek". Cleverboek is verwerker in de zin van de AVG.

1. Definities

Begrippen in deze overeenkomst hebben de betekenis die de Algemene verordening gegevensbescherming (AVG) eraan geeft, zoals persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker en inbreuk in verband met persoonsgegevens (datalek). Verder geldt:

• Dienst: de online boekhoudsoftware van Cleverboek, inclusief de webapplicatie app.cleverboek.nl, de mobiele apps en de ondersteuning daarbij.
• Hoofdovereenkomst: de overeenkomst tussen Klant en Cleverboek over het gebruik van de Dienst, waarop de algemene voorwaarden van toepassing zijn.
• Subverwerker: een partij die Cleverboek inschakelt en die daarbij persoonsgegevens van de Klant verwerkt.

2. Onderwerp en reikwijdte

2.1 Deze overeenkomst regelt de verwerking van persoonsgegevens die de Klant in de Dienst invoert of laat invoeren, zoals gegevens van klanten, leveranciers, medewerkers en andere relaties van de Klant. Bijlage 1 beschrijft welke gegevens, van welke betrokkenen, voor welke doelen.

2.2 Deze overeenkomst geldt niet voor persoonsgegevens die Cleverboek voor zichzelf verwerkt, zoals de accountgegevens van gebruikers en de facturering van Cleverboek aan de Klant. Daarvoor is Cleverboek zelf verwerkingsverantwoordelijke en geldt de privacyverklaring.

2.3 Bij strijdigheid tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor, voor zover het gaat om de verwerking van persoonsgegevens.

3. Verwerking volgens instructies

3.1 Cleverboek verwerkt de persoonsgegevens uitsluitend in opdracht van de Klant en volgens diens schriftelijke instructies. Het gebruik van de Dienst door de Klant, en de instellingen die de Klant daarin kiest, gelden als instructie.

3.2 Cleverboek gebruikt de persoonsgegevens niet voor eigen doeleinden. Cleverboek verkoopt ze niet en gebruikt ze niet om externe AI-modellen te trainen.

3.3 Cleverboek kan persoonsgegevens verwerken als een wettelijke regel uit het recht van de EU of een lidstaat dat verplicht. Cleverboek informeert de Klant daarover vooraf, tenzij de wet dat verbiedt.

3.4 Als een instructie naar het oordeel van Cleverboek in strijd is met de AVG of andere privacywetgeving, laat Cleverboek dat de Klant direct weten.

3.5 De Klant staat ervoor in dat hij de persoonsgegevens rechtmatig verwerkt, dat hij een geldige grondslag heeft en dat hij betrokkenen voldoende informeert.

4. Geheimhouding

4.1 Cleverboek houdt de persoonsgegevens geheim. Alleen medewerkers en Subverwerkers die toegang nodig hebben voor de Dienst krijgen toegang, en alleen voor zover dat nodig is.

4.2 Iedereen die namens Cleverboek toegang heeft tot de persoonsgegevens, is gebonden aan een geheimhoudingsplicht.

4.3 Medewerkers van Cleverboek bekijken de gegevens in een administratie alleen als dat nodig is voor ondersteuning waar de Klant om vraagt, voor het oplossen van een storing of voor het nakomen van een wettelijke plicht.

5. Beveiliging

5.1 Cleverboek neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking, zoals bedoeld in artikel 32 AVG. Bijlage 2 beschrijft deze maatregelen.

5.2 Cleverboek mag de maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.

5.3 De Klant is zelf verantwoordelijk voor het veilig gebruik van zijn account, zoals sterke wachtwoorden, het zorgvuldig toekennen van toegangsrechten aan anderen en het gebruiken van tweestapsverificatie waar die beschikbaar is.

6. Subverwerkers

6.1 De Klant geeft Cleverboek algemene toestemming om Subverwerkers in te schakelen. De Subverwerkers die Cleverboek op dit moment gebruikt, staan in Bijlage 3.

6.2 Cleverboek informeert de Klant ten minste 30 dagen vooraf over een nieuwe of vervangende Subverwerker, via de Dienst, per e-mail of door aanpassing van Bijlage 3 met een melding daarvan. De Klant kan binnen die termijn op redelijke gronden bezwaar maken. Komen partijen er niet samen uit, dan kan de Klant de Hoofdovereenkomst kosteloos beëindigen.

6.3 Cleverboek legt aan iedere Subverwerker schriftelijk ten minste dezelfde verplichtingen op als in deze overeenkomst staan. Cleverboek blijft tegenover de Klant verantwoordelijk voor het nakomen daarvan.

7. Locatie van de gegevens en doorgifte

7.1 Cleverboek slaat de persoonsgegevens op in de Europese Unie. De Dienst wordt gehost in Europa (Ierland). Voor het herkennen van facturen en bonnetjes worden de betreffende documenten verwerkt door Google (Gemini), zie Bijlage 3.

7.2 Cleverboek geeft persoonsgegevens alleen door naar een land buiten de Europese Economische Ruimte als daarvoor een geldige grondslag bestaat volgens hoofdstuk V van de AVG, bijvoorbeeld een adequaatheidsbesluit (zoals het EU-VS-gegevensprivacykader) of standaardcontractbepalingen van de Europese Commissie, met aanvullende maatregelen waar nodig.

8. Rechten van betrokkenen

8.1 Krijgt Cleverboek een verzoek van een betrokkene, bijvoorbeeld om inzage, correctie of verwijdering, dan stuurt Cleverboek dat verzoek zonder onnodige vertraging door aan de Klant. Cleverboek handelt het verzoek niet zelf af, tenzij de Klant daarom vraagt.

8.2 De Dienst biedt de Klant de mogelijkheid om gegevens in te zien, te wijzigen, te exporteren en te verwijderen. Waar dat niet volstaat, helpt Cleverboek de Klant in redelijkheid bij het afhandelen van verzoeken.

9. Datalekken

9.1 Cleverboek meldt een datalek dat persoonsgegevens van de Klant betreft zonder onredelijke vertraging aan de Klant, uiterlijk binnen 48 uur nadat Cleverboek het heeft ontdekt.

9.2 De melding bevat, voor zover op dat moment bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het ongeveer betreft, de waarschijnlijke gevolgen en de maatregelen die Cleverboek heeft genomen of voorstelt. Informatie die later bekend wordt, vult Cleverboek aan.

9.3 De Klant beslist of het datalek moet worden gemeld aan de Autoriteit Persoonsgegevens en aan betrokkenen, en doet dat zelf. Cleverboek helpt daarbij waar nodig. Cleverboek meldt een datalek dat persoonsgegevens van de Klant betreft niet zelf aan de toezichthouder of betrokkenen, tenzij de wet dat verplicht.

9.4 Cleverboek houdt een overzicht bij van alle datalekken, met de feiten, de gevolgen en de genomen maatregelen.

10. Overige bijstand

Cleverboek helpt de Klant in redelijkheid bij een gegevensbeschermingseffectbeoordeling (DPIA), een voorafgaande raadpleging van de Autoriteit Persoonsgegevens en andere verplichtingen uit de artikelen 32 tot en met 36 AVG, voor zover die de Dienst betreffen. Kost dit meer dan beperkte tijd, dan kan Cleverboek daarvoor na overleg redelijke kosten rekenen.

11. Controle (audit)

11.1 Cleverboek stelt op verzoek alle informatie beschikbaar die de Klant nodig heeft om na te gaan of Cleverboek zich aan deze overeenkomst houdt.

11.2 Is die informatie aantoonbaar onvoldoende, dan mag de Klant ten hoogste één keer per jaar een audit laten uitvoeren door een onafhankelijke deskundige met een geheimhoudingsplicht. De Klant kondigt de audit ten minste 30 dagen vooraf aan. De audit mag de bedrijfsvoering van Cleverboek niet onredelijk verstoren en raakt niet aan de gegevens van andere klanten.

11.3 De kosten van een audit zijn voor de Klant, tenzij de audit laat zien dat Cleverboek op wezenlijke punten tekortschiet. Cleverboek herstelt geconstateerde tekortkomingen zo snel als redelijkerwijs mogelijk.

12. Duur en beëindiging

12.1 Deze overeenkomst geldt zolang Cleverboek persoonsgegevens voor de Klant verwerkt. De bepalingen die naar hun aard ook daarna gelden, blijven van kracht, zoals geheimhouding.

12.2 Opzegging van een abonnement. Zegt de Klant een abonnement op zonder zijn account te laten verwijderen, dan bewaart Cleverboek de administratie, in opdracht van de Klant, gedurende de wettelijke bewaartermijn voor administraties (in de regel zeven jaar). Zo kan de Klant blijven voldoen aan zijn fiscale bewaarplicht. Na afloop van die termijn verwijdert Cleverboek de gegevens.

12.3 Verwijdering van het account. Vraagt de Klant om verwijdering van zijn account, dan verwijdert Cleverboek de account en de bijbehorende administratie, inclusief de persoonsgegevens daarin, definitief. Kopieën in back-ups worden in de normale back-upcyclus overschreven en tot dat moment niet gebruikt. De Klant blijft zelf verantwoordelijk voor zijn wettelijke bewaarplicht en maakt daarom vóór de verwijdering een export van zijn administratie.

12.4 De Klant kan zijn gegevens tijdens de looptijd op ieder moment exporteren via de Dienst.

12.5 Cleverboek bewaart persoonsgegevens na beëindiging niet langer dan in dit artikel staat, tenzij een wettelijke plicht een langere bewaring vereist.

13. Aansprakelijkheid

Voor de aansprakelijkheid van partijen onder deze overeenkomst geldt de regeling in de algemene voorwaarden. Die beperking laat onverlet wat de AVG dwingend bepaalt over aansprakelijkheid tegenover betrokkenen en boetes van de toezichthouder.

14. Wijzigingen

14.1 Cleverboek kan deze overeenkomst wijzigen, bijvoorbeeld bij een wijziging van de Dienst, van Subverwerkers of van de wet. Cleverboek kondigt een wijziging ten minste 30 dagen vooraf aan via de Dienst of per e-mail.

14.2 Een wijziging mag de bescherming van de persoonsgegevens niet verminderen. Is de Klant het niet eens met een wezenlijke wijziging, dan kan hij de Hoofdovereenkomst opzeggen tegen de datum waarop de wijziging ingaat.

15. Toepasselijk recht

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Nederland.

16. Contact

Vragen over deze verwerkersovereenkomst, een melding of een verzoek kun je richten aan:

Cleverboek
Mon Plaisir 15
4879 AK Etten-Leur
Nederland
E-mail: info@cleverboek.nl
Telefoon: +31 6 80227174

---

Bijlage 1: Gegevens, betrokkenen en doelen

Betrokkenen

• Klanten, leveranciers en andere zakelijke relaties van de Klant, en hun contactpersonen.
• Medewerkers van de Klant, voor zover hun gegevens in de administratie staan (bijvoorbeeld in uren- of kilometerregistratie of declaraties).
• Gebruikers die de Klant toegang geeft tot zijn administratie, zoals medewerkers van een boekhoud- of administratiekantoor.
• Bij boekhoud- en administratiekantoren: de klanten van het kantoor en hun relaties.

Soorten persoonsgegevens

• Naam-, adres- en contactgegevens.
• Bedrijfsgegevens zoals KvK- en btw-nummer, voor zover die naar een natuurlijk persoon herleidbaar zijn (bijvoorbeeld bij een eenmanszaak).
• Bankrekeningnummers en banktransacties, inclusief omschrijvingen.
• Facturen, offertes, bonnetjes en andere financiële documenten.
• Betalingsgegevens en betalingsstatussen.
• Boekingen, btw-gegevens en financiële rapportages.
• Uren- en kilometerregistraties.
• Overige gegevens die de Klant zelf in de administratie opneemt.

De Dienst is niet bedoeld voor bijzondere persoonsgegevens (zoals gezondheidsgegevens) of strafrechtelijke gegevens. De Klant neemt die niet op in de administratie, tenzij dat voor de boekhouding onvermijdelijk is en wettelijk is toegestaan.

Doelen en aard van de verwerking

Het opslaan, ordenen, raadplegen, verwerken, versturen en verwijderen van gegevens om de Dienst te leveren, waaronder: facturatie, boekhouding, verwerking van banktransacties, automatische herkenning van facturen en bonnetjes, boekingsvoorstellen, btw-aangifte, rapportages, het versturen van e-mails namens de Klant en ondersteuning van de Klant.

Duur

Zolang de Hoofdovereenkomst loopt, en daarna zoals beschreven in artikel 12.

Bijlage 2: Beveiligingsmaatregelen

• Hosting in de EU: de database en de applicatie draaien in Europa (Ierland).
• Versleuteling: alle verbindingen met de Dienst verlopen via TLS (https). Gegevens in de database zijn versleuteld opgeslagen.
• Wachtwoorden: worden nooit als leesbare tekst opgeslagen.
• Toegangsbeheer: toegang tot administraties loopt via gebruikersrollen en rechten die de Klant zelf beheert. Tweestapsverificatie waar beschikbaar.
• Interne toegang: medewerkers van Cleverboek hebben alleen toegang tot productiegegevens voor zover dat nodig is voor hun werk.
• Logging en monitoring: relevante beveiligingsgebeurtenissen worden geregistreerd.
• Back-ups en herstel: er worden regelmatig back-ups gemaakt, zodat gegevens na een incident kunnen worden hersteld.
• Onderhoud: software en afhankelijkheden worden bijgehouden en beveiligingsupdates worden doorgevoerd.
• Subverwerkers: worden geselecteerd op hun beveiligingsniveau en zijn contractueel gebonden aan passende maatregelen.

Bijlage 3: Subverwerkers

Subverwerker	Dienst	Locatie gegevens
Supabase	Database, hosting en inloggen	Ierland (EU)
Resend	Verzenden van e-mails, zoals facturen en meldingen	Ierland (EU)
Google (Gemini)	Herkennen van facturen en bonnetjes	Verenigde Staten; doorgifte op basis van het EU-VS-gegevensprivacykader en standaardcontractbepalingen. Google gebruikt de gegevens niet om zijn modellen te trainen.

Koppelingen die de Klant zelf activeert

Bij de bankkoppeling via Ponto (Isabel Group, België) en de betaalkoppeling via Mollie (Nederland) wisselt Cleverboek gegevens uit met die partijen, alleen als de Klant de koppeling zelf activeert. Ponto en Mollie zijn vergunninghoudende financiële dienstverleners. Zij verwerken deze gegevens onder hun eigen verantwoordelijkheid en volgens hun eigen voorwaarden en privacyverklaring. Het zijn daarom geen Subverwerkers van Cleverboek.