Verwerkersovereenkomst

Partijen

Artikel 1 — Voorwerp en doel

• —De Accountant maakt gebruik van het Cephu-accountantsportaal voor het genereren van financiële analyserapporten.
• —In het kader van deze Dienst verwerkt Cephu als verwerker persoonsgegevens en bedrijfsgegevens namens de Accountant als verwerkingsverantwoordelijke.
• —Cephu verwerkt de gegevens uitsluitend ten behoeve van de uitvoering van de Dienst en conform de instructies van de Accountant.

Artikel 2 — Aard van de verwerking

Artikel 3 — Verplichtingen van Cephu

• —3.1 — Persoonsgegevens uitsluitend verwerken op basis van gedocumenteerde instructies van de Accountant.
• —3.2 — Vertrouwelijkheid garanderen: alle personen met toegang zijn gebonden aan geheimhoudingsplicht.
• —3.3 — Passende technische maatregelen: opslag EU-servers, TLS 1.2+, AES-256, need-to-know-principe + RLS.
• —3.4 — Geen persoonsgegevens gebruiken voor het trainen of verfijnen van AI-modellen (contractueel Anthropic).
• —3.5 — Geen persoonsgegevens delen met derden, anders dan sub-verwerkers (art. 5).
• —3.6 — Accountant informeren binnen 72 uur bij een databreuk (art. 33–34 GDPR).
• —3.7 — Accountant bijstaan bij rechten van betrokkenen (inzage, verwijdering, beperking, overdraagbaarheid).
• —3.8 — Bij beëindiging: alle persoonsgegevens wissen of teruggeven op keuze van de Accountant.

Artikel 4 — Verplichtingen van de Accountant

• —4.1 — De Accountant is verwerkingsverantwoordelijke en draagt de eindverantwoordelijkheid voor de rechtmatigheid van de verwerking.
• —4.2 — De Accountant beschikt over een geldige rechtsgrond voor het uploaden van klantdata (art. 6 GDPR).
• —4.3 — De Accountant reviewt, past aan en keurt het rapport goed vóór verzending. Cephu is een werkinstrument; de professionele beoordeling blijft bij de Accountant.

Artikel 5 — Sub-verwerkers

De Accountant machtigt Cephu hierbij tot het inschakelen van bovenstaande sub-verwerkers. Bij wijziging van sub-verwerkers informeert Cephu de Accountant per e-mail met een opzegtermijn van 30 dagen.

Artikel 6 — Bewaartermijnen

Artikel 7 — Internationale overdracht

• —Verwerking door Anthropic (AI-analyse) vindt plaats in de VS. Deze overdracht is gedekt door Standard Contractual Clauses (SCC) conform Uitvoeringsbesluit (EU) 2021/914 en art. 46 GDPR.
• —Cephu stelt de relevante SCC-documenten op aanvraag ter beschikking via contact@cephu.be.
• —Voor omgevingen met strikte dataresidenctievereisten is Zero Data Retention (ZDR) bij Anthropic beschikbaar op aanvraag.

Artikel 8 — Dataportabiliteit en beëindiging

• —De Accountant heeft het recht op export van zijn volledige dossierstatus (rapporten, metadata) in een gestructureerd formaat (JSON/CSV/PDF).
• —Bij opzegging ontvangt de Accountant op aanvraag een volledig data-exportpakket via beveiligde download, geldig gedurende 30 dagen na opzegging.
• —Na de exportperiode worden alle persoonsgegevens definitief verwijderd conform Artikel 6.

Artikel 9 — Audits en inspecties

• —De Accountant heeft het recht tot audit van de verwerkingsactiviteiten van Cephu, mits 30 dagen voorafgaande schriftelijke kennisgeving en op eigen kosten.
• —Cephu stelt alle nodige informatie beschikbaar om de naleving van art. 28 GDPR aan te tonen, inclusief certificeringen van sub-verwerkers.

Artikel 10 — Aansprakelijkheid

• —Elke partij is aansprakelijk voor schade veroorzaakt door verwerkingen die niet conform deze overeenkomst of de GDPR zijn uitgevoerd.
• —De aansprakelijkheid van Cephu is beperkt tot de bedragen betaald door de Accountant in de 12 maanden voorafgaand aan de schadeveroorzakende gebeurtenis.

Artikel 11 — Toepasselijk recht

• —Deze overeenkomst is onderworpen aan het Belgisch recht.
• —Geschillen worden voorgelegd aan de bevoegde rechtbanken van het gerechtelijk arrondissement van Gent.