Verwerkersovereenkomst (art. 28 AVG)

0. Status

Dit is een ontwerp (2026.08.31-ontwerp). Het is geen juridisch advies. Onderteken niets voordat een Belgische IT-advocaat het heeft nagelezen. Plaatshouder van de uitgever: Kerno BV in oprichting, België. Vervang naam, adres, KBO en e-mail zodra de vennootschap bestaat.

Deze DPA is bedoeld voor fiduciaires en vennootschappen die Kerno gebruiken om persoonsgegevens van hun eigen klanten/werknemers te verwerken. Zij zijn verwerkingsverantwoordelijke; Kerno is verwerker.

1. Voorwerp

Kerno verwerkt persoonsgegevens uitsluitend om de dienst te leveren: opslag van dossiers, backups, Peppol-transport via het Access Point, e-mailinbox, exports naar de accountant.

Kerno verwerkt niet voor eigen marketing. Geen verkoop van gegevens.

2. Categorieën

Betrokkenen: klanten, leveranciers, zaakvoerders, werknemers (looninputs), accountants.

Gegevens: identificatie, ondernemingsnummers, factuurlijnen, bankbewegingen, bezoldiging als planningsinput — geen rijksregisternummer tenzij jij het zelf uploadt (doe dat niet).

3. Instructies

Kerno volgt uitsluitend gedocumenteerde instructies van de verantwoordelijke (deze DPA + de app-acties die jij uitvoert). Onwettige instructies weigeren wij.

4. Beveiliging (art. 32)

TLS in transit. Encryptie at rest bij Neon. Toegang via account, geen gedeelde demo-logins in productie. Append-only snapshots met hashketen. Scheiding van tenants op user_id.

Melding van een inbreuk aan de verantwoordelijke binnen 72 uur na vaststelling, met de informatie die art. 33 AVG vereist.

5. Subverwerkers

Algemene schriftelijke toestemming voor de lijst op /subverwerkers. Nieuwe subverwerkers: 30 dagen vooraf. Bezwaar = recht om de dienst te beëindigen en een export te krijgen.

Neon — Postgres (dossiers, accounts) — AWS eu-central-1 Frankfurt; Cloudflare R2 — 7-jaar objectarchief — WEUR; Host (te kiezen) — Applicatieservers — EU (ams/cdg/fra); Storecove of Routty — Peppol Access Point — EU; Postmark / SES — Inbound factuurmail — EU-optie verplicht; xAI (optioneel) — Kerno-assistent — US — alleen mét uitdrukkelijke toestemming, nooit het journaal als default.

6. Internationale doorgifte

Dossiers: EU. Afwijking alleen met SCC’s (art. 46 AVG) of jouw uitdrukkelijke opdracht (AI-opt-in).

7. Bijstand

Kerno helpt bij betrokkenenrechten, DPIA en overleg met de GBA, tegen redelijke kost als het werk buiten de normale dienst valt.

8. Einde

Bij einde van de dienst: export in JSON/CSV/UBL binnen 30 dagen, daarna wissen uit de operationele database. Archiefkopieën volgen de 7-jaar-plicht als die op óns rust; anders wissen wij ook het archief op jouw schriftelijk verzoek voor zover de wet dat toelaat.

9. Audits

Maximaal één audit per jaar, met 30 dagen kennisgeving, onder NDA, zonder toegang tot andere tenants. Wij mogen een ISO/SOC-rapport tonen in plaats van een on-site audit wanneer dat beschikbaar is.