Versie 1.0 — 29 september 2026
Deze verwerkersovereenkomst is een bijlage bij de algemene voorwaarden van TaskForm. Zij hoeft niet ondertekend te worden: de klant aanvaardt haar elektronisch (artikel 2).
Partijen
- De Klant: de onderneming of organisatie die de dienst TaskForm afneemt, zoals bij het account vermeld, hierna: de Verwerkingsverantwoordelijke;
- TaskForm BV, gevestigd te Gaelstraat 1F, Haarlem, KvK-nummer 94265569, hierna: de Verwerker.
Considerans
De Verwerkingsverantwoordelijke gebruikt de dienst TaskForm op grond van een overeenkomst met de Verwerker, waarvan de algemene voorwaarden deel uitmaken (de Hoofdovereenkomst). Bij het leveren van die dienst verwerkt de Verwerker persoonsgegevens in opdracht van de Verwerkingsverantwoordelijke. Partijen leggen in deze overeenkomst de afspraken vast die artikel 28 van de Algemene Verordening Gegevensbescherming (AVG) voorschrijft.
Artikel 1 – Definities
Begrippen als persoonsgegevens, verwerking, betrokkene en inbreuk in verband met persoonsgegevens hebben de betekenis uit de AVG. Sub-verwerker is een derde die de Verwerker inschakelt en die persoonsgegevens van de Verwerkingsverantwoordelijke verwerkt. Account is de omgeving van de Verwerkingsverantwoordelijke in de dienst, met de daarbij vermelde bedrijfsgegevens.
Artikel 2 – Totstandkoming en aanvaarding
2.1 Deze overeenkomst komt elektronisch tot stand, zoals artikel 28 lid 9 AVG toestaat. De Verwerkingsverantwoordelijke aanvaardt haar door bij het aanmelden, of later in de dienst, het vakje aan te vinken waarbij hij akkoord gaat met de algemene voorwaarden en met deze verwerkersovereenkomst.
2.2 Wie namens de Verwerkingsverantwoordelijke aanvaardt, verklaart daartoe bevoegd te zijn.
2.3 De Verwerker legt van elke aanvaarding vast: het account en de bedrijfsnaam, de persoon die aanvaardde, het moment en de versie van deze overeenkomst. Deze vastlegging geldt tussen partijen als bewijs van de aanvaarding, behoudens tegenbewijs.
2.4 De Verwerker houdt elke versie van deze overeenkomst die heeft gegolden beschikbaar en verstrekt op verzoek de versie die de Verwerkingsverantwoordelijke heeft aanvaard.
2.5 Wil de Verwerkingsverantwoordelijke een ondertekend exemplaar of afwijkende afspraken, dan kan hij dat bij de Verwerker aanvragen. Afwijkingen gelden alleen als partijen ze schriftelijk zijn overeengekomen.
Artikel 3 – Onderwerp en duur
3.1 De Verwerker verwerkt persoonsgegevens uitsluitend om de Hoofdovereenkomst uit te voeren. Bijlage 1 beschrijft de gegevens, de betrokkenen en het doel.
3.2 Deze overeenkomst gaat in op het moment van aanvaarding. Zij geldt ook tijdens een proefperiode. Zij loopt zolang de Hoofdovereenkomst loopt, en daarna zolang de Verwerker nog persoonsgegevens van de Verwerkingsverantwoordelijke verwerkt.
Artikel 4 – Verwerking op instructie
4.1 De Verwerker verwerkt persoonsgegevens alleen op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke. De Hoofdovereenkomst, deze overeenkomst en het gebruik van de dienst door de Verwerkingsverantwoordelijke, waaronder de instellingen die hij in het account kiest en de koppelingen die hij zelf inricht, gelden als instructie.
4.2 Is de Verwerker van mening dat een instructie in strijd is met de AVG, dan meldt hij dat direct. Verplicht een wettelijke bepaling de Verwerker tot een andere verwerking, dan meldt hij dat vooraf, tenzij de wet dat verbiedt.
4.3 De Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van de verwerking, voor de grondslag en voor het informeren van betrokkenen. Hij bepaalt zelf welke gegevens hij in de dienst invoert.
Artikel 5 – Vertrouwelijkheid
De Verwerker zorgt dat iedereen die onder zijn gezag toegang heeft tot de persoonsgegevens, schriftelijk tot geheimhouding is gehouden en alleen toegang heeft voor zover dat nodig is voor de uitvoering van de Hoofdovereenkomst, waaronder ondersteuning op verzoek van de Verwerkingsverantwoordelijke.
Artikel 6 – Beveiliging
6.1 De Verwerker treft passende technische en organisatorische maatregelen, zoals beschreven in Bijlage 2, om de persoonsgegevens te beschermen tegen verlies en onrechtmatige verwerking.
6.2 De Verwerker past deze maatregelen aan naarmate de stand van de techniek en het risico veranderen, zonder het beschermingsniveau te verlagen.
Artikel 7 – Sub-verwerkers
7.1 De Verwerkingsverantwoordelijke geeft algemene toestemming voor de inschakeling van Sub-verwerkers. Bijlage 3 beschrijft welke soorten Sub-verwerkers de Verwerker inschakelt en waar zij verwerken.
7.2 De Verwerker houdt een actuele lijst bij van de ingeschakelde Sub-verwerkers, met naam, dienst en locatie van verwerking. Hij verstrekt die lijst op verzoek aan de Verwerkingsverantwoordelijke, binnen 10 werkdagen. De Verwerkingsverantwoordelijke behandelt de lijst als vertrouwelijk en gebruikt haar alleen om zijn rechten en verplichtingen onder de AVG uit te oefenen.
7.3 De Verwerker meldt het toevoegen of vervangen van een Sub-verwerker minimaal 30 dagen vooraf, per e-mail aan de beheerders van het account of met een melding in de dienst, met de naam, de dienst en de locatie van verwerking. De Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken. Komen partijen er niet uit, dan kan de Verwerkingsverantwoordelijke de Hoofdovereenkomst schriftelijk opzeggen tegen de datum waarop de wijziging ingaat.
7.4 De Verwerker legt aan iedere Sub-verwerker dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de Verwerkingsverantwoordelijke aansprakelijk voor de naleving daarvan.
7.5 Een dienst van een derde waarmee de Verwerkingsverantwoordelijke de dienst zelf koppelt, met eigen inloggegevens of een eigen overeenkomst, is geen Sub-verwerker van de Verwerker.
Artikel 8 – Doorgifte buiten de EER
De Verwerker verwerkt persoonsgegevens binnen de Europese Economische Ruimte (EER), behalve voor zover Bijlage 3 een verwerking buiten de EER vermeldt. Voor elke doorgifte naar een land buiten de EER zorgt de Verwerker voor een geldige doorgiftegrondslag, zoals een adequaatheidsbesluit of door de Europese Commissie goedgekeurde standaardcontractbepalingen. Een nieuwe doorgifte meldt hij vooraf op de wijze van artikel 7.3. Op verzoek verstrekt hij per doorgifte de grondslag.
Artikel 9 – Bijstand
9.1 De Verwerker helpt de Verwerkingsverantwoordelijke met verzoeken van betrokkenen (inzage, correctie, verwijdering, beperking, overdracht, bezwaar). Ontvangt de Verwerker rechtstreeks zo’n verzoek, dan verwijst hij de betrokkene door en informeert hij de Verwerkingsverantwoordelijke zonder onredelijke vertraging.
9.2 De Verwerker helpt, rekening houdend met de aard van de verwerking en de beschikbare informatie, bij beveiliging, meldingen van datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthouder.
9.3 Redelijke kosten voor bijstand die boven de gewone dienstverlening uitgaat, mag de Verwerker doorberekenen tegen de dan geldende tarieven.
Artikel 10 – Inbreuk in verband met persoonsgegevens
10.1 De Verwerker meldt een inbreuk in verband met persoonsgegevens aan de Verwerkingsverantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking, per e-mail aan de beheerders van het account. De Verwerkingsverantwoordelijke zorgt dat de gegevens van die beheerders in het account actueel zijn.
10.2 De melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken gegevens en aantallen betrokkenen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. De Verwerker vult ontbrekende informatie aan zodra die beschikbaar is.
10.3 De Verwerkingsverantwoordelijke beoordeelt of hij de Autoriteit Persoonsgegevens en betrokkenen moet informeren en doet dat zelf.
Artikel 11 – Audit
De Verwerker stelt alle informatie beschikbaar die nodig is om naleving aan te tonen. Eenmaal per jaar, of vaker na een inbreuk, kan de Verwerkingsverantwoordelijke een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte deskundige, na 30 dagen schriftelijke aankondiging en zonder de bedrijfsvoering van de Verwerker onredelijk te verstoren. De kosten van de audit komen voor rekening van de Verwerkingsverantwoordelijke, tenzij de audit ernstige tekortkomingen aantoont.
Artikel 12 – Einde van de verwerking
12.1 Na afloop van de Hoofdovereenkomst verwijdert of retourneert de Verwerker, naar keuze van de Verwerkingsverantwoordelijke, alle persoonsgegevens binnen 60 dagen en verwijdert hij bestaande kopieën, tenzij de wet bewaring voorschrijft. Op verzoek bevestigt de Verwerker de verwijdering schriftelijk.
12.2 Eindigt een proefperiode zonder dat een abonnement is afgesloten, dan geldt dat als afloop van de Hoofdovereenkomst. De Verwerker bewaart de gegevens dan ten minste 30 dagen, zodat de Verwerkingsverantwoordelijke alsnog een abonnement kan afsluiten, en verwijdert ze uiterlijk 90 dagen na afloop van de proefperiode. Op verzoek verwijdert de Verwerker ze eerder.
12.3 De vastlegging van de aanvaarding (artikel 2.3) en de gegevens die de Verwerker voor zijn eigen administratie nodig heeft, zoals facturen, bewaart de Verwerker als verwerkingsverantwoordelijke zolang de wet of het bewijsbelang dat vraagt.
Artikel 13 – Aansprakelijkheid
Voor aansprakelijkheid onder deze overeenkomst gelden de bepalingen en beperkingen van de Hoofdovereenkomst, tenzij de wet anders bepaalt.
Artikel 14 – Wijziging van deze overeenkomst
14.1 De Verwerker kan deze overeenkomst wijzigen. Hij kondigt een nieuwe versie minimaal 30 dagen voor de ingangsdatum aan, per e-mail aan de beheerders van het account of met een melding in de dienst, met de nieuwe tekst erbij.
14.2 De Verwerker kan de Verwerkingsverantwoordelijke vragen de nieuwe versie in de dienst te aanvaarden. Artikel 2.3 is daarop van toepassing.
14.3 Is de Verwerkingsverantwoordelijke het niet eens met de nieuwe versie, dan kan hij binnen de termijn van artikel 14.1 gemotiveerd bezwaar maken. Komen partijen er niet uit, dan kan hij de Hoofdovereenkomst schriftelijk opzeggen tegen de datum waarop de nieuwe versie ingaat. Tot die datum blijft de versie gelden die hij heeft aanvaard.
14.4 Een wijziging die het beschermingsniveau van de persoonsgegevens verlaagt, gaat voor de Verwerkingsverantwoordelijke pas in nadat hij haar heeft aanvaard.
Artikel 15 – Slotbepalingen
15.1 Bij strijd tussen deze overeenkomst en de Hoofdovereenkomst gaat deze overeenkomst voor voor zover het de verwerking van persoonsgegevens betreft.
15.2 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter van de rechtbank Noord-Holland.
Bijlage 1 – Gegevens, betrokkenen en doel
De dienst bestaat uit onderdelen die de Verwerkingsverantwoordelijke zelf aan of uit zet. Welke gegevens worden verwerkt hangt af van de onderdelen die hij gebruikt en van wat hij invoert. Deze bijlage beschrijft wat de dienst kan verwerken.
| Onderdeel | Omschrijving |
|---|---|
| Doel van de verwerking | Leveren van de TaskForm-dienst: plannen en uitvoeren van werk, registreren van uren en voortgang, beheren van orders, voorraad en transport, factureren, en het invullen, opslaan en beheren van formulieren in de mobiele app |
| Gebruikers van de dienst | Naam, e-mailadres, telefoonnummer, functie, rol en rechten, taalkeuze, inloggegevens (wachtwoorden alleen versleuteld), tijdstip van laatste gebruik, gegevens van het toestel waarop de mobiele app draait |
| Medewerkers van de Klant | Naam, contactgegevens, functie, team, vaardigheden, rooster en beschikbaarheid, geplande en gewerkte uren, reistijd en kilometers, verlof en afwezigheid, waaronder de melding dat iemand ziek is (zonder medische gegevens), kostprijs of uurtarief als de Klant dat invoert |
| Klanten, leveranciers en contactpersonen van de Klant | Naam, bedrijfsnaam, adres, contactgegevens, btw- en KvK-nummer, bankrekeningnummer, offertes, orders, facturen en betalingen |
| Werk op locatie | Adressen van werklocaties, ingevulde formulieren en bonnen, foto’s, handtekeningen en locatiegegevens uit de mobiele app |
| Documenten die de Klant uploadt | Wat in het document staat, bijvoorbeeld een inkoopfactuur |
| Technische gegevens | Logbestanden van gebruik, toegang en beheeracties, IP-adressen |
| Categorieën betrokkenen | Medewerkers en ingehuurde krachten van de Klant, en klanten, leveranciers en contactpersonen van de Klant |
| Bijzondere en gevoelige persoonsgegevens | De dienst vraagt er niet om, met uitzondering van de melding van afwezigheid wegens ziekte. De Klant voert geen medische gegevens, burgerservicenummers of andere bijzondere persoonsgegevens in, tenzij partijen dat schriftelijk zijn overeengekomen |
| Bewaartermijn | Tot het einde van de Hoofdovereenkomst, daarna verwijdering volgens artikel 12. De Klant kan gegevens eerder zelf verwijderen |
Bijlage 2 – Beveiligingsmaatregelen
- Versleutelde verbindingen (TLS) en versleutelde opslag van wachtwoorden
- Gegevens van verschillende klanten zijn van elkaar gescheiden; toegang tot gegevens wordt per klant afgedwongen
- Toegang op basis van rol, met persoonlijke accounts en eisen aan het wachtwoord
- Regelmatige back-ups en een herstelprocedure
- Logging van toegang en beheeracties
- Tijdige beveiligingsupdates van systemen en software
- Geheimhoudingsplicht voor medewerkers en periodieke bewustwording
- Procedure voor het melden en afhandelen van datalekken
Bijlage 3 – Sub-verwerkers
De Verwerker schakelt de volgende soorten Sub-verwerkers in. Namen en precieze locaties staan op de lijst die de Verwerker op verzoek verstrekt (artikel 7.2).
| Soort Sub-verwerker | Dienst | Waar |
|---|---|---|
| Databaseleverancier | Database, aanmelden en opslag van bestanden | Binnen de EER |
| Hostingprovider | Servers waarop de dienst draait | Binnen de EER |
| Leverancier van het platform van de mobiele app | Formulieren, taken en gebruikers in de mobiele app | Binnen de EER |
| E-maildienst | Verzenden van e-mail, zoals uitnodigingen, meldingen en facturen | Buiten de EER, met standaardcontractbepalingen of een adequaatheidsbesluit |
| Aanbieder van kunstmatige intelligentie | Uitlezen van geüploade documenten en hulp bij het inrichten, alleen als de Klant die onderdelen gebruikt | Buiten de EER, met standaardcontractbepalingen of een adequaatheidsbesluit |
| Betaaldienst | Afhandelen van betalingen voor het abonnement | Binnen de EER |