Verwerkersovereenkomst — ZZP Tool

Versie: 2
Datum: 6 oktober 2026
Verwerkingsverantwoordelijke aanbieder: Peters Development, KvK 77119185
Btw-nummer: NL003151172B94
Contact: info@zzp-tool.nl

Inleiding

ZZP Tool is een SaaS-platform voor ZZP'ers en kleine ondernemers, aangeboden door Peters Development. Elke klant werkt in een eigen afgeschermde omgeving met een eigen database.

Voor de bedrijfsgegevens die jij in je omgeving invoert (zoals klant-, leveranciers- en factuurgegevens) ben jij de verwerkingsverantwoordelijke en treedt Peters Development op als verwerker. Deze verwerkersovereenkomst (hierna: "Overeenkomst") legt de afspraken vast die de AVG (Art. 28) voor die relatie voorschrijft.

Let op: buiten scope. Voor je accountgegevens (naam, e-mailadres, wachtwoord) is Peters Development zélf verwerkingsverantwoordelijke. Die verwerking valt niet onder deze Overeenkomst, maar onder de privacyverklaring. Deze Overeenkomst dekt uitsluitend de verwerker-relatie voor de gegevens in je omgeving.

Deze Overeenkomst wordt aan je voorgelegd en door jou aanvaard op het moment dat je een omgeving aanmaakt. Zij maakt onderdeel uit van de algemene voorwaarden (zie sectie 11).

1. Begrippen en definities

In deze Overeenkomst hebben de volgende begrippen de hieronder beschreven betekenis:

2. Onderwerp, aard en doel van de verwerking

2.1 Onderwerp en aard

De Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van het leveren van het ZZP Tool platform aan de Verwerkingsverantwoordelijke: het hosten en beschikbaar stellen van de omgeving en de daarin opgenomen functionaliteit (facturatie, uitgavenregistratie, klant- en leveranciersbeheer, optioneel CMS en klantenportaal).

2.2 Doel

Het doel van de verwerking is beperkt tot het uitvoeren van de overeenkomst tot levering van het platform. De Verwerker verwerkt de persoonsgegevens niet voor eigen doeleinden, marketing, profilering of het delen met adverteerders.

2.3 Soorten persoonsgegevens

Afhankelijk van het gebruik dat de Verwerkingsverantwoordelijke van het platform maakt, kunnen onder meer de volgende persoonsgegevens worden verwerkt:

• Klant- en leveranciersgegevens: naam, bedrijfsnaam, e-mailadres, telefoonnummer, adresgegevens, KvK-nummer, BTW-nummer
• Factuur- en betalingsgegevens: factuurregels, bedragen, betalingsstatus, BTW-gegevens
• Uitgaven- en bonnetjesgegevens (uploads kunnen persoonsgegevens bevatten)
• Inhoud van uitgaande e-mailcommunicatie (factuurmails, herinneringen, bevestigingen)
• Bij gebruik van de CMS-module: door bezoekers ingevulde formulierinzendingen en door de Verwerkingsverantwoordelijke gepubliceerde content
• Bij gebruik van de CMS-module: geanonimiseerde bezoekersstatistieken van de website van de Verwerkingsverantwoordelijke (een dagelijks roterende, per omgeving gescopete bezoekerscode afgeleid van IP en browser — het IP-adres en de browsergegevens zelf worden niet bewaard — plus paginapad, verkeersklasse, referrer-domein, apparaattype, browserfamilie en bezoekduur)
• Bij gebruik van het klantenportaal: portaalnotificaties en bijbehorende contactgegevens
• Bij gebruik van de Mollie-koppeling (online factuurbetalingen): factuurkenmerk, bedrag, betaalmethode, betaalstatus en de naam van de betaler zoals Mollie die terugmeldt

2.4 Categorieën betrokkenen

• Klanten van de Verwerkingsverantwoordelijke
• Leveranciers van de Verwerkingsverantwoordelijke
• Eventuele websitebezoekers van de via de CMS-module gepubliceerde website (formulierinzendingen en geanonimiseerde bezoekersstatistieken)
• Overige natuurlijke personen wier gegevens de Verwerkingsverantwoordelijke in zijn omgeving vastlegt

2.5 Duur

Deze Overeenkomst geldt voor de duur van het abonnement op de omgeving, vermeerderd met de wachtperiode van 1 maand na beëindiging (zie sectie 9). Daarna eindigt de Overeenkomst van rechtswege voor zover er geen persoonsgegevens meer worden verwerkt.

3. Instructies van de Verwerkingsverantwoordelijke

3.1 De Verwerker verwerkt de persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting de Verwerker tot verwerking noopt. In dat geval stelt de Verwerker de Verwerkingsverantwoordelijke voorafgaand aan de verwerking op de hoogte, tenzij die wetgeving deze kennisgeving verbiedt om gewichtige redenen van algemeen belang.

3.2 Het gebruik van het platform conform de overeengekomen functionaliteit en deze Overeenkomst geldt als de gedocumenteerde instructie van de Verwerkingsverantwoordelijke. Aanvullende of afwijkende instructies kunnen schriftelijk (per e-mail, info@zzp-tool.nl) worden gegeven; de Verwerker kan redelijke kosten in rekening brengen voor instructies die buiten de normale dienstverlening vallen.

3.3 De Verwerker stelt de Verwerkingsverantwoordelijke onmiddellijk in kennis indien een instructie naar zijn oordeel in strijd is met de AVG of andere toepasselijke wetgeving inzake gegevensbescherming.

4. Vertrouwelijkheid

4.1 De Verwerker waarborgt dat personen die onder zijn gezag de persoonsgegevens verwerken, daartoe zijn gemachtigd en zich tot geheimhouding hebben verbonden, hetzij op grond van een wettelijke verplichting, hetzij op grond van een contractuele geheimhoudingsverplichting.

4.2 De toegang tot persoonsgegevens is beperkt tot personeel dat de toegang nodig heeft voor het uitvoeren van de dienst (need-to-know). Platformbeheer en inzage verlopen uitsluitend via beveiligde beheeromgevingen.

5. Beveiligingsmaatregelen (Art. 32)

5.1 De Verwerker treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. Deze maatregelen omvatten in elk geval:

• Scheiding van gegevens: de gegevens van elke klant worden in een eigen, volledig gescheiden database en bestandsopslag bewaard;
• Versleuteling onderweg: alle communicatie met het platform verloopt via een beveiligde, versleutelde verbinding;
• Versleuteling at-rest: gevoelige gegevens, waaronder de inhoud van verzonden e-mails en sessiegegevens, worden versleuteld opgeslagen;
• Wachtwoordbeveiliging: wachtwoorden worden uitsluitend versleuteld opgeslagen en zijn niet leesbaar voor de Verwerker;
• Toegangsbeperking: accounts worden beschermd tegen misbruik (onder meer door inlogpogingen te begrenzen) en interne toegang tot gegevens is beperkt tot wie die voor de dienstverlening nodig heeft;
• Backups: dagelijkse, versleutelde backups die binnen de EU worden bewaard;
• Onderhoud: systemen worden achter een afgeschermde infrastructuur up-to-date gehouden met beveiligingsupdates.

Om veiligheidsredenen worden geen verdere details over de technische inrichting van de beveiliging openbaar gemaakt. Een nadere beschrijving is voor de Verwerkingsverantwoordelijke op aanvraag beschikbaar (zie 5.2).

5.2 De maatregelen worden periodiek geëvalueerd en waar nodig bijgesteld. Een actuele beschrijving is opgenomen in het verwerkingsregister en het bewaarbeleid van Peters Development, die op aanvraag beschikbaar zijn.

6. Subverwerkers (Art. 28(2) en (4))

6.1 De Verwerkingsverantwoordelijke verleent de Verwerker algemene toestemming voor het inschakelen van subverwerkers ten behoeve van de dienstverlening.

6.2 Op het moment van aangaan van deze Overeenkomst maakt de Verwerker gebruik van de volgende subverwerkers:

6.3 Er vindt geen doorgifte van persoonsgegevens buiten de Europese Unie plaats.

6.4 De Verwerker legt aan iedere subverwerker dezelfde gegevensbeschermingsverplichtingen op als in deze Overeenkomst zijn opgenomen, in het bijzonder de verplichting tot het treffen van passende beveiligingsmaatregelen. De Verwerker blijft jegens de Verwerkingsverantwoordelijke volledig aansprakelijk voor het nakomen van de verplichtingen door de subverwerker.

6.5 Bij voorgenomen toevoeging of vervanging van een subverwerker informeert de Verwerker de Verwerkingsverantwoordelijke ten minste 30 dagen vooraf (per e-mail of via het platform). De Verwerkingsverantwoordelijke heeft het recht om binnen een redelijke termijn op redelijke gronden bezwaar te maken tegen de wijziging. Komen partijen er niet uit, dan heeft de Verwerkingsverantwoordelijke het recht het abonnement op de betreffende omgeving te beëindigen.

6.6 Mollie-koppeling. Gebruikt de Verwerkingsverantwoordelijke de Mollie-koppeling, dan sluit hij daarvoor zelf een overeenkomst met Mollie B.V. en is hij de ontvanger van de betalingen. De Verwerker geeft in dat geval, op instructie van de Verwerkingsverantwoordelijke, per online factuurbetaling het factuurkenmerk, het bedrag en de naam van de betaler aan Mollie door en verwerkt de door Mollie teruggemelde betaalstatus in de omgeving. Voor de uitvoering van de betaaldienst zelf en voor haar wettelijke verplichtingen als betaalinstelling is Mollie zelfstandig verwerkingsverantwoordelijke; de Verwerker is daarvoor geen partij. De betaal- en incassogegevens van het platformabonnement van de Verwerkingsverantwoordelijke zelf vallen niet onder deze Overeenkomst maar onder de privacyverklaring van de Verwerker.

7. Bijstand aan de Verwerkingsverantwoordelijke

7.1 Rechten van betrokkenen (Art. 12-23). De Verwerker verleent, rekening houdend met de aard van de verwerking, redelijke bijstand bij het vervullen van de plicht van de Verwerkingsverantwoordelijke om verzoeken van betrokkenen af te handelen (inzage, rectificatie, verwijdering, beperking, dataportabiliteit, bezwaar). Het platform biedt hiervoor zelfbedieningsfuncties (inzien, aanpassen, exporteren). Richt een betrokkene zich rechtstreeks tot de Verwerker, dan verwijst de Verwerker deze door naar de Verwerkingsverantwoordelijke en verwerkt het verzoek niet zelfstandig.

7.2 Beveiliging, datalekken en DPIA (Art. 32-36). De Verwerker verleent, rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie, redelijke bijstand bij het waarborgen van de naleving van de verplichtingen inzake beveiliging (Art. 32), het melden van datalekken (Art. 33-34) en het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA, Art. 35) en voorafgaande raadpleging (Art. 36).

8. Datalekken (Art. 33)

8.1 De Verwerker stelt de Verwerkingsverantwoordelijke zonder onredelijke vertraging in kennis zodra hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens (datalek) die de gegevens van de Verwerkingsverantwoordelijke raakt.

8.2 De melding bevat, voor zover bekend, ten minste: de aard van de inbreuk, de getroffen categorieën en (bij benadering) aantallen betrokkenen en gegevens, de waarschijnlijke gevolgen, en de getroffen of voorgestelde maatregelen.

8.3 De Verwerkingsverantwoordelijke is zelf verantwoordelijk voor de eventuele melding aan de Autoriteit Persoonsgegevens en aan betrokkenen. De Verwerker ondersteunt hierbij waar redelijkerwijs nodig.

9. Teruggave en verwijdering bij einde (Art. 28(3)(g))

9.1 Bij beëindiging van het abonnement op een omgeving volgt een wachtperiode van 1 maand. In die periode kan de Verwerkingsverantwoordelijke de omgeving niet meer gebruiken, maar wel via het platform een volledige export maken van alle gegevens in de omgeving (de administratie als CSV, de facturen als PDF, de bonnetjes en alle andere bestanden; bestanden die door hun omvang niet in de download passen, levert de Verwerker op verzoek apart aan), en het abonnement heractiveren. Een website en klantportaal op de omgeving staan in die periode offline.

9.2 Na afloop van de wachtperiode worden de omgeving-database, de bijbehorende bestanden en alle daarin opgenomen persoonsgegevens permanent verwijderd. Gegevens in backups verdwijnen bij de eerstvolgende backup-rotatie (maximaal 90 dagen).

9.3 De wettelijke fiscale bewaarplicht van 7 jaar voor administratieve gegevens (facturen, uitgaven, bonnetjes) rust op de Verwerkingsverantwoordelijke, niet op de Verwerker. De Verwerker biedt hiervoor een exportfunctie aan. Het is de verantwoordelijkheid van de Verwerkingsverantwoordelijke om tijdig, vóór het verstrijken van de wachtperiode, een export te maken.

9.4 De Verwerker bewaart na verwijdering geen kopieën van de persoonsgegevens, behoudens voor zover wettelijk verplicht.

10. Audits en inlichtingen (Art. 28(3)(h))

10.1 De Verwerker stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit Art. 28 AVG worden nagekomen, waaronder dit document, het verwerkingsregister en de beschrijving van beveiligingsmaatregelen.

10.2 De Verwerker maakt audits, waaronder inspecties, door de Verwerkingsverantwoordelijke of een door deze gemachtigde auditor mogelijk en draagt daaraan bij. Audits worden vooraf schriftelijk aangekondigd, vinden plaats tijdens kantooruren, verstoren de bedrijfsvoering zo min mogelijk en respecteren de vertrouwelijkheid van de gegevens van andere klanten. Een audit vindt ten hoogste eenmaal per kalenderjaar plaats, tenzij een toezichthouder daartoe verplicht of er een concrete aanwijzing is van een inbreuk op de bescherming van persoonsgegevens. Redelijke kosten voor medewerking aan een audit kunnen aan de verzoekende partij in rekening worden gebracht.

11. Aansprakelijkheid, toepasselijk recht en wijziging

11.1 Onderdeel van de algemene voorwaarden. Deze Overeenkomst maakt integraal onderdeel uit van de algemene voorwaarden van ZZP Tool. Bij strijdigheid tussen deze Overeenkomst en de algemene voorwaarden prevaleert deze Overeenkomst voor zover het de verwerking van persoonsgegevens betreft.

11.2 Aansprakelijkheid. De aansprakelijkheid van de Verwerker is beperkt overeenkomstig hetgeen daarover in de algemene voorwaarden is bepaald. Iedere partij is verantwoordelijk voor de nakoming van haar eigen verplichtingen onder de AVG.

11.3 Toepasselijk recht. Op deze Overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement van de vestigingsplaats van de Verwerker, tenzij dwingend recht anders bepaalt.

11.4 Wijziging. De Verwerker kan deze Overeenkomst aanpassen, bijvoorbeeld bij wijziging van wetgeving of dienstverlening. Bij wezenlijke wijzigingen wordt de Verwerkingsverantwoordelijke vooraf geïnformeerd (per e-mail of via het platform). De meest actuele versie is altijd beschikbaar in het platform.

12. Contact

ZZP Tool is een dienst van Peters Development.

Peters Development Bijsterhuizen 2414, 6604 LL Wijchen KvK: 77119185 Btw-nummer: NL003151172B94

Volgende herziening: 18 juni 2027