Verwerkersovereenkomst (DPA)
Versie: 1.2 — concept Datum: 19 mei 2026 Status: CONCEPT — vereist juridische review vóór gebruik of ondertekening. Dit is een template; vul de klantgegevens in vóór ondertekening.
Dit document is een concept. Het is geen juridisch advies en geen gecertificeerde of bindende uitspraak. Laat de tekst juridisch toetsen voordat u deze met een klant gebruikt.
Partijen
Verwerker: Fynqo B.V. KvK-nummer: 95133941 Adres: [adres invullen] Contactpersoon privacy: [naam] — privacy@fynqo.app Hierna: “Fynqo”
Verwerkingsverantwoordelijke: [Naam organisatie] KvK-nummer: [invullen] Adres: [invullen] Contactpersoon privacy: [naam + e-mail] Hierna: “Klant”
Samen hierna: “Partijen”.
Overwegingen
- Klant maakt gebruik van de Fynqo-diensten (zie Bijlage 1).
- In het kader van die dienstverlening verwerkt Fynqo persoonsgegevens namens Klant.
- Partijen zijn verplicht een verwerkersovereenkomst te sluiten op grond van artikel 28 AVG.
Artikel 1 — Definities
1.1 AVG: Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming). 1.2 Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. 1.3 Bijzondere categorieën: persoonsgegevens als bedoeld in artikel 9 AVG (onder meer gezondheids- en diagnosegegevens). 1.4 Verwerking: elke bewerking van persoonsgegevens, geautomatiseerd of niet. 1.5 Sub-verwerker: een derde die door Fynqo wordt ingeschakeld voor de verwerking van persoonsgegevens namens Klant. 1.6 Datalek: een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van persoonsgegevens.
Artikel 2 — Verwerkingsdoelen en -grondslagen
2.1 Fynqo verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van Klant en ten behoeve van de volgende doelen, afhankelijk van het afgenomen portaal:
| Portaal | Doel van verwerking |
|---|---|
| Budgetcoach-portaal | Ondersteuning bij financieel coachen en budgetbeheer; communicatie met cliënten |
| Bewindvoerder-portaal | Wettelijk bewind; beheer van rekeningen en leefgeld; rapportage aan de rechter |
| Schuldhulp-portaal | Ondersteuning bij schuldhulpverlening conform de Wgs |
| Gemeente-portaal | Aggregatie en monitoring van casuïstiek; niet-herleidbare KPI-rapportage richting de gemeente |
| Woningcorporatie-portaal | Vroegsignalering van betalingsachterstanden; doorverwijzing naar hulp |
| GGZ-portaal | Financieel inzicht voor GGZ-cliënten; signalering van financiële stress; koppeling met het zorgdossier (geen medische beslissingen) |
2.2 Fynqo verwerkt geen persoonsgegevens voor andere doelen dan omschreven in lid 2.1, tenzij Klant daar schriftelijk toestemming voor geeft of de wet dit vereist.
Artikel 3 — Type persoonsgegevens en betrokkenen
3.1 Gewone persoonsgegevens: naam, adres, BSN, geboortedatum, bankgegevens, transactiedata, inkomens- en uitgavengegevens, schuldenregistraties, communicatieberichten.
3.2 Bijzondere categorieën (artikel 9 AVG) — alleen GGZ-portaal: gegevens over gezondheid (diagnoses, medicatiegegevens, behandelrelatie, welzijnsscores). Grondslag: artikel 9 lid 2 sub h AVG (gezondheidszorg) en/of expliciete toestemming van de betrokkene.
3.3 Betrokkenen: cliënten en eindgebruikers van Klant; medewerkers van Klant die de portalen gebruiken.
Artikel 4 — Bewaartermijnen
| Categorie | Bewaartermijn | Grondslag |
|---|---|---|
| Transactie- en betaaldata | 7 jaar na einde dienstverlening | Fiscale bewaarplicht |
| Bewindvoeringsdata | 5 jaar na einde bewind | Wettelijke regeling bewind |
| GGZ-financiële contextgegevens | Contractueel bepaald; alleen indien module actief | Zorgspecifieke overeenkomst |
| Audit-logs | 2 jaar | Beveiligingsverplichting |
| Communicatieberichten | 1 jaar of eerder op verzoek | Proportionaliteit |
Na verloop van de bewaartermijn verwijdert Fynqo de gegevens veilig en aantoonbaar. Zie het bewaartermijnen-overzicht voor de volledige lijst.
Artikel 5 — Sub-verwerkers
5.1 Klant geeft Fynqo algemene toestemming om sub-verwerkers in te schakelen, mits Fynqo:
- de actuele lijst van sub-verwerkers bijhoudt op https://fynqo.app/juridisch/sub-verwerkers;
- Klant minimaal 30 dagen van tevoren informeert over wijzigingen;
- aan sub-verwerkers gelijkwaardige verplichtingen oplegt als in deze overeenkomst.
5.2 Klant kan binnen 30 dagen bezwaar maken tegen een nieuwe sub-verwerker op redelijke gronden. Als geen oplossing wordt gevonden, kan Klant de overeenkomst opzeggen met inachtneming van de opzegtermijn.
5.3 De actuele sub-verwerkerslijst staat op https://fynqo.app/juridisch/sub-verwerkers en omvat onder meer cloud- infrastructuur (EU-hosted), een e-mailprovider, een open banking-connector, een betalingsprovider en een AI-inferentieprovider.
Artikel 6 — Beveiliging
6.1 Fynqo treft passende technische en organisatorische maatregelen (TOMs) conform artikel 32 AVG. De huidige TOMs zijn opgenomen in Bijlage 3.
6.2 Minimale beveiligingsnormen:
| Maatregel | Specificatie |
|---|---|
| Versleuteling in transit | TLS, afgedwongen via security-headers |
| Versleuteling in rust | Versleutelde databaseopslag |
| Veldniveau-encryptie (bijzondere categorieën) | Fernet-encryptie voor art. 9-data en identiteitsattributen |
| Authenticatie | MFA verplicht voor medewerkers met toegang tot productiedata |
| Toegangsbeheer | Role-based access control; least-privilege-principe |
| Penetratietest | Minimaal jaarlijks door een externe partij |
| EU-hosting | Het zwaartepunt van de verwerking ligt binnen de EER |
| Audit-log | Vastleggen van wie wanneer welke clientdata heeft ingezien, met reden |
Artikel 7 — Datalek-protocol
7.1 Fynqo meldt een datalek dat Klant treft binnen 24 uur na ontdekking aan Klant, met:
- de aard van het incident;
- de categorieën en het geschatte aantal betrokken personen en gegevensrecords;
- de waarschijnlijke gevolgen;
- de reeds genomen en voorgenomen maatregelen.
7.2 Klant is verantwoordelijk voor de melding aan de Autoriteit Persoonsgegevens binnen 72 uur na ontdekking, tenzij het lek geen risico voor betrokkenen inhoudt.
7.3 Fynqo verleent alle medewerking die nodig is voor de melding en het herstel.
Artikel 8 — Rechten van betrokkenen
8.1 Fynqo stuurt verzoeken van betrokkenen (inzage, correctie, verwijdering, overdraagbaarheid, bezwaar) direct door aan Klant.
8.2 Fynqo verleent technische bijstand opdat Klant aan zijn verplichtingen uit AVG art. 15–22 kan voldoen, binnen de grenzen van het systeem en de bewaarplicht.
Artikel 9 — Audit-recht
9.1 Fynqo verstrekt Klant alle informatie die nodig is om naleving van deze overeenkomst aan te tonen, waaronder relevante rapportages.
9.2 Klant mag maximaal één keer per jaar een audit laten uitvoeren, na minimaal 30 dagen schriftelijke aankondiging. De kosten zijn voor Klant, tenzij de audit een aantoonbare overtreding door Fynqo aan het licht brengt.
9.3 Audits vinden plaats op kantooruren en mogen de bedrijfsvoering van Fynqo niet onevenredig verstoren.
Artikel 10 — Geheimhouding
10.1 Fynqo-medewerkers die toegang hebben tot persoonsgegevens van Klant zijn gehouden aan geheimhouding, hetzij contractueel, hetzij op grond van een wettelijke verplichting.
Artikel 11 — Internationale doorgifte
11.1 Fynqo geeft persoonsgegevens niet door aan landen buiten de EER, tenzij een passend beschermingsniveau is gewaarborgd op grond van AVG Hoofdstuk V (adequaatheidsbesluit, standaardcontractbepalingen of bindende bedrijfsvoorschriften).
11.2 In het geval van standaardcontractbepalingen geldt Module 2 (verwerkingsverantwoordelijke naar verwerker) van Uitvoeringsbesluit EU 2021/914.
Artikel 12 — Beëindiging en retournering of verwijdering
12.1 Na beëindiging van de dienstverleningsovereenkomst verwijdert of retourneert Fynqo alle persoonsgegevens van Klant binnen 30 dagen, naar keuze van Klant, tenzij de wet bewaring vereist.
12.2 Fynqo bevestigt de verwijdering schriftelijk.
Artikel 12a — AI-systemen en geautomatiseerde verwerking
12a.1 Sommige Fynqo-portalen bevatten AI-functies. Fynqo houdt een AI- systeemregister bij en deelt op verzoek de relevante informatie per AI-systeem, waaronder het beoogde doel, de risicoklasse onder de EU AI-verordening (Verordening 2024/1689) en de wijze van menselijk toezicht.
12a.2 Fynqo voert geen besluiten met rechtsgevolg of een vergelijkbaar aanmerkelijk effect volledig geautomatiseerd uit. AI-output is ondersteunend; een mens beslist. Voor AI-systemen die de verordening als hoog-risico aanmerkt, voorziet Fynqo in een menselijke beoordelingsstap vóór de output wordt gebruikt.
12a.3 Treedt Klant op als deployer van een hoog-risico AI-systeem en is Klant een publieke instantie, dan kan een grondrechteneffectbeoordeling (FRIA, AI Act art. 27) verplicht zijn. Fynqo levert hiervoor de benodigde systeeminformatie en een FRIA-bouwsteen aan.
12a.4 Gevoelige casus- en art. 9-context wordt niet standaard naar een externe cloud-AI gestuurd. Voor zorg-, bewind-, gemeente- en organisatieverkeer geldt een lokale of EU-first route.
Artikel 13 — Aansprakelijkheid
13.1 Iedere partij is aansprakelijk voor schade die voortvloeit uit niet-nakoming van haar verplichtingen uit de AVG of deze overeenkomst.
13.2 De aansprakelijkheid van Fynqo per incident is gemaximeerd op het bedrag dat Klant in de 12 maanden voorafgaand aan het incident aan Fynqo heeft betaald, tenzij sprake is van opzet of bewuste roekeloosheid.
Artikel 14 — Toepasselijk recht en geschillen
14.1 Op deze overeenkomst is Nederlands recht van toepassing.
14.2 Geschillen worden voorgelegd aan de bevoegde rechter te Amsterdam, tenzij Partijen mediation overeenkomen.
Bijlage 1 — Verwerkingsdetails
| Veld | Inhoud |
|---|---|
| Onderwerp | Fynqo SaaS-dienstverlening (portalen zoals aangegeven in Art. 2) |
| Duur | Looptijd van de hoofdovereenkomst |
| Aard van de verwerking | Opslag, weergave, analyse en rapportage van financiële en zorggerelateerde persoonsgegevens |
| Doel | Ondersteuning van financieel coachen, schuldhulp, bewind, gemeentelijke rapportage, vroegsignalering en/of GGZ-financieel inzicht |
| Soorten persoonsgegevens | Zie artikel 3 |
| Categorieën betrokkenen | Cliënten en eindgebruikers van Klant; medewerkers van Klant |
Bijlage 2 — Sub-verwerkers
Actuele lijst: https://fynqo.app/juridisch/sub-verwerkers
Fynqo werkt onder meer met de volgende sub-verwerkers:
| Categorie | Sub-verwerker | Locatie verwerking |
|---|---|---|
| Database en authenticatie | Supabase | EU (EER) |
| Hosting backend-API | Railway | EU-regio |
| Hosting web-app en portals | Vercel | EU-edge; SCC’s voor VS-onderdelen |
| CDN, DNS en bescherming | Cloudflare | EU |
| E-mail (transactioneel) | Resend (primair), SendGrid (fallback) | EU; SendGrid VS met SCC’s |
| Betalingsprovider | Mollie | Nederland |
| Open banking-connector | GoCardless | EU (EER) |
| Foutmonitoring | Sentry | VS met SCC’s |
| AI-inferentie (optionele fallback) | Anthropic | VS met SCC’s |
Zie het sub-verwerkersoverzicht voor de volledige toelichting.
Bijlage 3 — Technische en organisatorische maatregelen (TOMs)
Technische maatregelen
- Versleuteling in transit: TLS op alle verbindingen, afgedwongen via security-headers.
- Versleuteling in rust: versleutelde databaseopslag.
- Veldniveau-encryptie: Fernet-encryptie voor bijzondere categorieën (art. 9 AVG) en identiteitsattributen.
- Toegangsbeheer: RBAC met least-privilege; aparte rollen per portaal.
- MFA: verplicht voor medewerkers met toegang tot de productieomgeving.
- Audit-log: logboek van toegang tot clientdata, met tijdstip, gebruiker en reden.
- Retentie-proces: geautomatiseerde verwijdering van gegevens na verloop van de bewaartermijn.
- Penetratietest: minimaal jaarlijks door een externe partij.
- Kwetsbaarhedenbeheer: afhankelijkheden gescand bij elke release; kritieke patches met voorrang.
Organisatorische maatregelen
- Geheimhoudingsverklaringen: medewerkers en externe partijen met datatoegang tekenen een geheimhoudingsverklaring.
- Privacy by design: gegevensbescherming is onderdeel van het ontwikkelproces.
- Datalekprocedure: gedocumenteerd protocol; eerste interne melding binnen 4 uur.
- Toegangsreview: periodieke review van toegangsrechten.
- Incidentrespons: gedocumenteerd plan.
Handtekeningen
Namens Fynqo B.V. (Verwerker):
| Veld | Invullen |
|---|---|
| Naam | [naam] |
| Functie | [functie] |
| Datum | |
| Handtekening |
Namens [Naam Klant] (Verwerkingsverantwoordelijke):
| Veld | Invullen |
|---|---|
| Naam | |
| Functie | |
| Datum | |
| Handtekening |
Versie 1.2 — 19 mei 2026. Concept. Vereist juridische review vóór eerste gebruik bij een klant.