Laatst bijgewerkt: 26 augustus 2026 · Versie 1.5

Verwerkersovereenkomst

Deze Verwerkersovereenkomst (“DPA”) vormt een aanvulling op en maakt deel uit van de FiscAlert-Servicevoorwaarden tussen MERTENS WOUTER PERSOANĂ FIZICĂ AUTORIZATĂ, Str. FERVENȚIA Nr. 60, Sat Dumbrăvița, Com. Dumbrăvița, Jud. Timiș, Romania, CUI 51598945, ONRC F2025011913004 (“Verwerker”) en u, de abonnerende klant (“Verwerkingsverantwoordelijke”).

Deze DPA is van toepassing wanneer u, als onderneming of professional, FiscAlert gebruikt om uw persoonsgegevens te verwerken of die van uw klanten of bedrijven van wie u het CUI of CNP in de Dienst invoert. Het is bedoeld om te voldoen aan Artikel 28 AVG, dat een schriftelijke overeenkomst vereist wanneer een verwerkingsverantwoordelijke een verwerker inschakelt.

1. Definities

Termen die hier niet zijn gedefinieerd, hebben de betekenis die eraan wordt gegeven in Verordening (EU) 2016/679 (AVG) en de Roemeense wet 190/2018.

• Persoonsgegevens — informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, inclusief de CNP-waarden die u in de Dienst invoert.
• Verwerking — elke bewerking met betrekking tot persoonsgegevens.
• Subverwerker — een derde partij die door FiscAlert wordt ingeschakeld om gegevens namens de verwerkingsverantwoordelijke te verwerken.

2. Onderwerp en aard van de verwerking

FiscAlert verwerkt persoonsgegevens om:

• ANAF SPV namens de verwerkingsverantwoordelijke te bevragen met CNP- en CUI-identificatoren.
• Opgehaalde fiscale documenten te cachen en weer te geven.
• Documentinhoud te vertalen en samen te vatten met AI.
• Meldingen te sturen wanneer er nieuwe documenten verschijnen.
• Gestructureerde e-Factura-factuurmetadata te extraheren en op te slaan voor dashboardtotalen en door de verwerkingsverantwoordelijke aangevraagde CSV-/ZIP-boekhoudpakketten.

3. Duur

De verwerking duurt voort zolang de verwerkingsverantwoordelijke de Dienst gebruikt en gedurende de bewaartermijnen in het Privacybeleid. Opzegging van het abonnement verwijdert het account niet automatisch; accountverwijdering kan via Instellingen worden gevraagd, waarna gegevens volgens het Privacybeleid worden verwijderd, geanonimiseerd of bewaard.

Gestructureerde e-Factura-dashboardmetadata wordt alleen voor de huidige en vorige kalendermaand bewaard en daarna automatisch verwijderd. Originele e-Factura-XML-/ZIP-archieven worden niet voor het dashboard opgeslagen en worden alleen bij ANAF opgehaald wanneer de verwerkingsverantwoordelijke een ZIP-pakket aanvraagt.

4. Soorten persoonsgegevens

• CNP (Cod Numeric Personal) — nationale identificatiegegevens beschermd door Artikel 87 AVG en Artikel 4 wet 190/2018.
• Namen van bedrijfsentiteiten en CUI-fiscale codes (geen persoonsgegevens, maar vermeld voor de volledigheid).
• Inhoud van fiscale documenten die naar natuurlijke personen kan verwijzen.
• Gestructureerde factuurmetadata: namen en CUIs van het bedrijf en de tegenpartij, factuurnummer, richting, uitgifte- en vervaldatum, valuta en factuurtotalen. Gegevens van de tegenpartij kunnen eenmanszaken of andere natuurlijke personen identificeren.

5. Categorieën betrokkenen

• Natuurlijke personen (eenmanszaken, PFA, II, IF) van wie de verwerkingsverantwoordelijke het CNP kiest te monitoren.
• Bestuurders, beheerders of gemachtigde vertegenwoordigers verbonden aan gemonitorde CUI-entiteiten.

6. Verplichtingen van de verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke garandeert dat:

• hij een rechtsgrond heeft (bijv. uitvoering van de overeenkomst of uitdrukkelijke toestemming) om CNP-waarden aan de Dienst te verstrekken.
• hij de betrokkenen van wie het CNP wordt ingevoerd heeft geïnformeerd of zal informeren, zoals vereist door Artikelen 13–14 AVG.
• hij alleen CNP-waarden invoert die hij wettelijk mag gebruiken voor SPV-toegang.
• hij CNP-waarden onverwijld verwijdert wanneer hij geen rechtsgrond meer heeft om ze te verwerken.

7. Verplichtingen van de verwerker

FiscAlert zal (als verwerker):

• persoonsgegevens alleen verwerken op gedocumenteerde instructies van de verwerkingsverantwoordelijke (voornamelijk: het monitoren van de in de accountinstellingen vermelde entiteiten).
• ervoor zorgen dat personeel met toegang tot persoonsgegevens gebonden is aan geheimhoudingsverplichtingen.
• de technische en organisatorische beveiligingsmaatregelen uit het Privacybeleid implementeren (argon2id-wachtwoorden, AES-256 CNP-versleuteling, TLS tijdens transport, toegangslogging).
• de verwerkingsverantwoordelijke zonder onredelijke vertraging na kennisname informeren over een inbreuk in verband met persoonsgegevens en de redelijkerwijs beschikbare informatie verstrekken om hem te helpen aan zijn meldplichten te voldoen.
• alle informatie verstrekken die nodig is om naleving aan te tonen en audits mogelijk maken (na redelijke kennisgeving en op kosten van de verwerkingsverantwoordelijke).
• naar keuze van de verwerkingsverantwoordelijke bij beëindiging alle persoonsgegevens verwijderen of teruggeven en kopieën verwijderen, tenzij bewaring wettelijk vereist is.

8. Subverwerkers

De verwerkingsverantwoordelijke geeft algemene toestemming voor FiscAlert om de in het Privacybeleid genoemde subverwerkers in te schakelen (Stripe, OpenAI, Brevo en de infrastructuuraanbieder). Wij kondigen voorgenomen toevoegingen of vervangingen redelijk vooraf aan, zodat de verantwoordelijke op redelijke gegevensbeschermingsgronden bezwaar kan maken. Aan iedere subverwerker worden gelijkwaardige verplichtingen opgelegd.

Voor de OpenAI API: wanneer de verwerkingsverantwoordelijke een vertaling, samenvatting of antwoord over het document vraagt, wordt de volledige aangevraagde PDF naar OpenAI verzonden. PDF-verwerking kan geëxtraheerde tekst en pagina-afbeeldingen omvatten, waaronder het CNP en andere persoonsgegevens in het document. OpenAI gebruikt API-gegevens niet om modellen te trainen, tenzij wij daar uitdrukkelijk voor kiezen, en kan prompts en uitvoer maximaal 30 dagen bewaren in logboeken voor misbruikmonitoring, of langer wanneer de wet dit vereist of dit redelijkerwijs nodig is om zijn diensten of derden te beschermen.

9. Internationale doorgiften

Wanneer persoonsgegevens worden doorgegeven aan subverwerkers buiten de Europese Economische Ruimte (bijv. OpenAI, VS), worden de doorgiften gedekt door Standaardcontractbepalingen (Besluit van de Commissie 2021/914) en passende aanvullende maatregelen.

10. Nationale identificatiegegevens (CNP)

Het CNP wordt verwerkt op de door de verwerkingsverantwoordelijke gekozen grond van Artikel 6, met de waarborgen van Artikel 87 AVG en Artikel 4 van wet 190/2018. De verwerker past verscherpte technische waarborgen toe: AES-256-versleuteling in rust, deterministische HMAC-index en geen logging van CNP in platte tekst in applicatielogs of fouttraces.

11. Toepasselijk recht

Deze DPA wordt beheerst door Roemeens recht. Geschillen worden beslecht door de rechtbanken van Timișoara, Roemenië.

12. Ondertekende DPA voor zakelijke klanten

De bovenstaande voorwaarden vormen een bindende DPA bij het aanmaken van het account (acceptatie via klik van de Servicevoorwaarden). Zakelijke klanten die een versie met natte handtekening of gekwalificeerde elektronische handtekening nodig hebben, kunnen contact opnemen met fiscalert.ro/contact om het benodigde formaat af te stemmen.