# Verwerkersovereenkomst (DPA)

**Versie:** 1.1 — concept
**Datum:** 19 mei 2026
**Status:** CONCEPT — vereist juridische review vóór gebruik of ondertekening.
Dit is een template; vul de klantgegevens in vóór ondertekening.

> Dit document is een concept. Het is geen juridisch advies en geen
> gecertificeerde of bindende uitspraak. Laat de tekst juridisch toetsen voordat
> u deze met een klant gebruikt.

---

## Partijen

**Verwerker:**
Fynqo B.V.
KvK-nummer: 95133941
Adres: [adres invullen]
Contactpersoon privacy: [naam] — privacy@fynqo.app
Hierna: **"Fynqo"**

**Verwerkingsverantwoordelijke:**
[Naam organisatie]
KvK-nummer: [invullen]
Adres: [invullen]
Contactpersoon privacy: [naam + e-mail]
Hierna: **"Klant"**

Samen hierna: **"Partijen"**.

---

## Overwegingen

- Klant maakt gebruik van de Fynqo-diensten (zie Bijlage 1).
- In het kader van die dienstverlening verwerkt Fynqo persoonsgegevens namens
  Klant.
- Partijen zijn verplicht een verwerkersovereenkomst te sluiten op grond van
  artikel 28 AVG.

---

## Artikel 1 — Definities

1.1 **AVG:** Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming).
1.2 **Persoonsgegevens:** alle informatie over een geïdentificeerde of
identificeerbare natuurlijke persoon.
1.3 **Bijzondere categorieën:** persoonsgegevens als bedoeld in artikel 9 AVG
(onder meer gezondheids- en diagnosegegevens).
1.4 **Verwerking:** elke bewerking van persoonsgegevens, geautomatiseerd of niet.
1.5 **Sub-verwerker:** een derde die door Fynqo wordt ingeschakeld voor de
verwerking van persoonsgegevens namens Klant.
1.6 **Datalek:** een inbreuk op de beveiliging die leidt tot vernietiging,
verlies, wijziging of ongeoorloofde verstrekking van persoonsgegevens.

---

## Artikel 2 — Verwerkingsdoelen en -grondslagen

2.1 Fynqo verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde
instructies van Klant en ten behoeve van de volgende doelen, afhankelijk van het
afgenomen portaal:

| Portaal | Doel van verwerking |
|---|---|
| **Budgetcoach-portaal** | Ondersteuning bij financieel coachen en budgetbeheer; communicatie met cliënten |
| **Bewindvoerder-portaal** | Wettelijk bewind; beheer van rekeningen en leefgeld; rapportage aan de rechter |
| **Schuldhulp-portaal** | Ondersteuning bij schuldhulpverlening conform de Wgs |
| **Gemeente-portaal** | Aggregatie en monitoring van casuïstiek; niet-herleidbare KPI-rapportage richting de gemeente |
| **Woningcorporatie-portaal** | Vroegsignalering van betalingsachterstanden; doorverwijzing naar hulp |
| **GGZ-portaal** | Financieel inzicht voor GGZ-cliënten; signalering van financiële stress; koppeling met het zorgdossier (geen medische beslissingen) |

2.2 Fynqo verwerkt geen persoonsgegevens voor andere doelen dan omschreven in
lid 2.1, tenzij Klant daar schriftelijk toestemming voor geeft of de wet dit
vereist.

---

## Artikel 3 — Type persoonsgegevens en betrokkenen

3.1 **Gewone persoonsgegevens:** naam, adres, BSN, geboortedatum, bankgegevens,
transactiedata, inkomens- en uitgavengegevens, schuldenregistraties,
communicatieberichten.

3.2 **Bijzondere categorieën (artikel 9 AVG) — alleen GGZ-portaal:**
gegevens over gezondheid (diagnoses, medicatiegegevens, behandelrelatie,
welzijnsscores). Grondslag: artikel 9 lid 2 sub h AVG (gezondheidszorg) en/of
expliciete toestemming van de betrokkene.

3.3 **Betrokkenen:** cliënten en eindgebruikers van Klant; medewerkers van Klant
die de portalen gebruiken.

---

## Artikel 4 — Bewaartermijnen

| Categorie | Bewaartermijn | Grondslag |
|---|---|---|
| Transactie- en betaaldata | 7 jaar na einde dienstverlening | Fiscale bewaarplicht |
| Bewindvoeringsdata | 5 jaar na einde bewind | Wettelijke regeling bewind |
| GGZ-financiële contextgegevens | Contractueel bepaald; alleen indien module actief | Zorgspecifieke overeenkomst |
| Audit-logs | 2 jaar | Beveiligingsverplichting |
| Communicatieberichten | 1 jaar of eerder op verzoek | Proportionaliteit |

Na verloop van de bewaartermijn verwijdert Fynqo de gegevens veilig en
aantoonbaar. Zie het bewaartermijnen-overzicht voor de volledige lijst.

---

## Artikel 5 — Sub-verwerkers

5.1 Klant geeft Fynqo algemene toestemming om sub-verwerkers in te schakelen,
mits Fynqo:
- de actuele lijst van sub-verwerkers bijhoudt op
  https://fynqo.app/juridisch/sub-verwerkers;
- Klant minimaal 30 dagen van tevoren informeert over wijzigingen;
- aan sub-verwerkers gelijkwaardige verplichtingen oplegt als in deze
  overeenkomst.

5.2 Klant kan binnen 30 dagen bezwaar maken tegen een nieuwe sub-verwerker op
redelijke gronden. Als geen oplossing wordt gevonden, kan Klant de overeenkomst
opzeggen met inachtneming van de opzegtermijn.

5.3 De actuele sub-verwerkerslijst staat op
https://fynqo.app/juridisch/sub-verwerkers en omvat onder meer cloud-
infrastructuur (EU-hosted), een e-mailprovider, een open banking-connector, een
betalingsprovider en een AI-inferentieprovider.

---

## Artikel 6 — Beveiliging

6.1 Fynqo treft passende technische en organisatorische maatregelen (TOMs)
conform artikel 32 AVG. De huidige TOMs zijn opgenomen in Bijlage 3.

6.2 Minimale beveiligingsnormen:

| Maatregel | Specificatie |
|---|---|
| Versleuteling in transit | TLS, afgedwongen via security-headers |
| Versleuteling in rust | Versleutelde databaseopslag |
| Veldniveau-encryptie (bijzondere categorieën) | Fernet-encryptie voor art. 9-data en identiteitsattributen |
| Authenticatie | MFA verplicht voor medewerkers met toegang tot productiedata |
| Toegangsbeheer | Role-based access control; least-privilege-principe |
| Penetratietest | Minimaal jaarlijks door een externe partij |
| EU-hosting | Het zwaartepunt van de verwerking ligt binnen de EER |
| Audit-log | Vastleggen van wie wanneer welke clientdata heeft ingezien, met reden |

---

## Artikel 7 — Datalek-protocol

7.1 Fynqo meldt een datalek dat Klant treft binnen **24 uur** na ontdekking aan
Klant, met:
- de aard van het incident;
- de categorieën en het geschatte aantal betrokken personen en gegevensrecords;
- de waarschijnlijke gevolgen;
- de reeds genomen en voorgenomen maatregelen.

7.2 Klant is verantwoordelijk voor de melding aan de Autoriteit
Persoonsgegevens binnen **72 uur** na ontdekking, tenzij het lek geen risico voor
betrokkenen inhoudt.

7.3 Fynqo verleent alle medewerking die nodig is voor de melding en het herstel.

---

## Artikel 8 — Rechten van betrokkenen

8.1 Fynqo stuurt verzoeken van betrokkenen (inzage, correctie, verwijdering,
overdraagbaarheid, bezwaar) direct door aan Klant.

8.2 Fynqo verleent technische bijstand opdat Klant aan zijn verplichtingen uit
AVG art. 15–22 kan voldoen, binnen de grenzen van het systeem en de
bewaarplicht.

---

## Artikel 9 — Audit-recht

9.1 Fynqo verstrekt Klant alle informatie die nodig is om naleving van deze
overeenkomst aan te tonen, waaronder relevante rapportages.

9.2 Klant mag maximaal **één keer per jaar** een audit laten uitvoeren, na
minimaal 30 dagen schriftelijke aankondiging. De kosten zijn voor Klant, tenzij
de audit een aantoonbare overtreding door Fynqo aan het licht brengt.

9.3 Audits vinden plaats op kantooruren en mogen de bedrijfsvoering van Fynqo
niet onevenredig verstoren.

---

## Artikel 10 — Geheimhouding

10.1 Fynqo-medewerkers die toegang hebben tot persoonsgegevens van Klant zijn
gehouden aan geheimhouding, hetzij contractueel, hetzij op grond van een
wettelijke verplichting.

---

## Artikel 11 — Internationale doorgifte

11.1 Fynqo geeft persoonsgegevens niet door aan landen buiten de EER, tenzij een
passend beschermingsniveau is gewaarborgd op grond van AVG Hoofdstuk V
(adequaatheidsbesluit, standaardcontractbepalingen of bindende
bedrijfsvoorschriften).

11.2 In het geval van standaardcontractbepalingen geldt Module 2
(verwerkingsverantwoordelijke naar verwerker) van Uitvoeringsbesluit
EU 2021/914.

---

## Artikel 12 — Beëindiging en retournering of verwijdering

12.1 Na beëindiging van de dienstverleningsovereenkomst verwijdert of retourneert
Fynqo alle persoonsgegevens van Klant binnen **30 dagen**, naar keuze van Klant,
tenzij de wet bewaring vereist.

12.2 Fynqo bevestigt de verwijdering schriftelijk.

---

## Artikel 13 — Aansprakelijkheid

13.1 Iedere partij is aansprakelijk voor schade die voortvloeit uit
niet-nakoming van haar verplichtingen uit de AVG of deze overeenkomst.

13.2 De aansprakelijkheid van Fynqo per incident is gemaximeerd op het bedrag dat
Klant in de 12 maanden voorafgaand aan het incident aan Fynqo heeft betaald,
tenzij sprake is van opzet of bewuste roekeloosheid.

---

## Artikel 14 — Toepasselijk recht en geschillen

14.1 Op deze overeenkomst is Nederlands recht van toepassing.

14.2 Geschillen worden voorgelegd aan de bevoegde rechter te Amsterdam, tenzij
Partijen mediation overeenkomen.

---

## Bijlage 1 — Verwerkingsdetails

| Veld | Inhoud |
|---|---|
| Onderwerp | Fynqo SaaS-dienstverlening (portalen zoals aangegeven in Art. 2) |
| Duur | Looptijd van de hoofdovereenkomst |
| Aard van de verwerking | Opslag, weergave, analyse en rapportage van financiële en zorggerelateerde persoonsgegevens |
| Doel | Ondersteuning van financieel coachen, schuldhulp, bewind, gemeentelijke rapportage, vroegsignalering en/of GGZ-financieel inzicht |
| Soorten persoonsgegevens | Zie artikel 3 |
| Categorieën betrokkenen | Cliënten en eindgebruikers van Klant; medewerkers van Klant |

---

## Bijlage 2 — Sub-verwerkers

Actuele lijst: **https://fynqo.app/juridisch/sub-verwerkers**

Fynqo werkt onder meer met de volgende sub-verwerkers:

| Categorie | Sub-verwerker | Locatie verwerking |
|---|---|---|
| Database en authenticatie | Supabase | EU (EER) |
| Hosting backend-API | Railway | EU-regio |
| Hosting web-app en portals | Vercel | EU-edge; SCC's voor VS-onderdelen |
| CDN, DNS en bescherming | Cloudflare | EU |
| E-mail (transactioneel) | Resend (primair), SendGrid (fallback) | EU; SendGrid VS met SCC's |
| Betalingsprovider | Mollie | Nederland |
| Open banking-connector | GoCardless | EU (EER) |
| Foutmonitoring | Sentry | VS met SCC's |
| AI-inferentie (optionele fallback) | Anthropic | VS met SCC's |

Zie het sub-verwerkersoverzicht voor de volledige toelichting.

---

## Bijlage 3 — Technische en organisatorische maatregelen (TOMs)

### Technische maatregelen

- **Versleuteling in transit:** TLS op alle verbindingen, afgedwongen via
  security-headers.
- **Versleuteling in rust:** versleutelde databaseopslag.
- **Veldniveau-encryptie:** Fernet-encryptie voor bijzondere categorieën
  (art. 9 AVG) en identiteitsattributen.
- **Toegangsbeheer:** RBAC met least-privilege; aparte rollen per portaal.
- **MFA:** verplicht voor medewerkers met toegang tot de productieomgeving.
- **Audit-log:** logboek van toegang tot clientdata, met tijdstip, gebruiker en
  reden.
- **Retentie-proces:** geautomatiseerde verwijdering van gegevens na verloop van
  de bewaartermijn.
- **Penetratietest:** minimaal jaarlijks door een externe partij.
- **Kwetsbaarhedenbeheer:** afhankelijkheden gescand bij elke release; kritieke
  patches met voorrang.

### Organisatorische maatregelen

- **Geheimhoudingsverklaringen:** medewerkers en externe partijen met datatoegang
  tekenen een geheimhoudingsverklaring.
- **Privacy by design:** gegevensbescherming is onderdeel van het
  ontwikkelproces.
- **Datalekprocedure:** gedocumenteerd protocol; eerste interne melding binnen
  4 uur.
- **Toegangsreview:** periodieke review van toegangsrechten.
- **Incidentrespons:** gedocumenteerd plan.

---

## Handtekeningen

**Namens Fynqo B.V. (Verwerker):**

| Veld | Invullen |
|---|---|
| Naam | [naam] |
| Functie | [functie] |
| Datum | |
| Handtekening | |

**Namens [Naam Klant] (Verwerkingsverantwoordelijke):**

| Veld | Invullen |
|---|---|
| Naam | |
| Functie | |
| Datum | |
| Handtekening | |

---

*Versie 1.1 — 19 mei 2026. Concept. Vereist juridische review vóór eerste
gebruik bij een klant.*