Hoe we de gegevens
van je cliënten verwerken.

01Partijen en rollen

Het kantoor dat Cijfersmid gebruikt is verwerkingsverantwoordelijke. Winstwaker (KvK 84193891), leverancier van Cijfersmid, is verwerker. Wij verwerken de gegevens alleen voor het kantoor en volgens de instructies van het kantoor. Het gebruik van de functies van Cijfersmid geldt als instructie.

02Onderwerp, aard en doel

Wij bewaren, ordenen, berekenen en tonen gegevens voor het voorbereiden, controleren en indienen van aangiften en jaarrekeningen; delen gegevens met cliënten en medewerkers die het kantoor toegang geeft; en verzenden aangiften en jaarrekeningen naar de Belastingdienst of de KVK wanneer het kantoor daartoe opdracht geeft. We gebruiken de gegevens niet voor eigen doeleinden.

03Betrokkenen en gegevens

• Betrokkenen: cliënten van het kantoor (particulieren, ondernemers, bestuurders, aandeelhouders en fiscale partners), hun contactpersonen en medewerkers van het kantoor.
• Gegevens: naam, contact- en adresgegevens, BSN, RSIN, omzetbelasting- en KvK-nummers, fiscale en financiële gegevens (zoals inkomen, vermogen, schulden, bank- en beleggingsgegevens), documenten en berichten die het kantoor of de cliënt toevoegt, en besluiten zoals reviews en akkoorden.
• Bijzondere persoonsgegevens: de aangifte inkomstenbelasting kan gegevens over gezondheid bevatten (zoals zorgkosten). Het kantoor legt die alleen vast als dat voor de aangifte nodig is.

04Geheimhouding

Iedereen die namens ons toegang tot de gegevens kan hebben, is tot geheimhouding verplicht. We kijken alleen in de gegevens van een kantoor als dat nodig is voor ondersteuning waar het kantoor om vraagt, of om een storing of beveiligingsincident op te lossen.

05Beveiliging

We nemen passende technische en organisatorische maatregelen, waaronder:

• scheiding van de gegevens per kantoor, gecontroleerd op de server bij ieder verzoek;
• versleutelde verbindingen, wachtwoorden alleen als hash, beschikbare tweestapsverificatie en verplichte tweestapsverificatie voor een cliëntakkoord;
• bescherming tegen misbruik (sessiebeveiliging, CSRF-controle en limieten op pogingen);
• virusscan van uploads en controle van bestandstypen;
• een logboek van handelingen per kantoor;
• dagelijkse back-ups met integriteitscontrole.

Cijfersmid heeft geen onafhankelijke beveiligingscertificering. De back-ups staan op dezelfde server en zijn geen externe back-up.

06Subverwerkers

Het kantoor geeft toestemming voor de volgende subverwerkers:

• OVHcloud: hosting op een eigen server in Frankrijk (EU).
• Cloudflare: netwerk en beveiliging van het verkeer naar Cijfersmid.
• Google: verzending van e-mails, zoals uitnodigingen en dossiermeldingen (met namen, e-mailadressen en dossiernamen).

Nieuwe of andere subverwerkers melden we vooraf per e-mail. Het kantoor kan daartegen binnen 14 dagen bezwaar maken en in dat geval opzeggen. Aan subverwerkers leggen we dezelfde verplichtingen op als in deze overeenkomst.

Waar een subverwerker gegevens buiten de Europese Economische Ruimte kan verwerken, gebeurt dat op basis van passende waarborgen, zoals EU-standaardcontractbepalingen of het EU-VS Data Privacy Framework.

De Belastingdienst, Logius (Digipoort) en de KVK zijn geen subverwerkers: zij ontvangen gegevens als het kantoor een inzending doet.

07Datalekken

Ontdekken we een inbreuk in verband met persoonsgegevens, dan melden we dat het kantoor zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking, met de informatie die het kantoor nodig heeft voor een eventuele melding aan de Autoriteit Persoonsgegevens en aan betrokkenen. We nemen direct maatregelen om de gevolgen te beperken.

08Rechten van betrokkenen

Het kantoor kan gegevens zelf inzien, corrigeren, exporteren en verwijderen. Krijgen wij een verzoek van een betrokkene, dan sturen we dat door naar het kantoor en helpen we waar nodig bij de afhandeling.

09Informatie en audit

We geven het kantoor de informatie die nodig is om na te gaan of we deze overeenkomst naleven. Een audit door een onafhankelijke deskundige is mogelijk na overleg, op kosten van het kantoor en maximaal eenmaal per jaar.

10Einde van de overeenkomst

Deze overeenkomst loopt zolang wij gegevens voor het kantoor verwerken. Het kantoor kan vóór het einde alle dossiers, bestanden, aangifteversies, reviews, akkoorden en verzendbewijzen in één archief downloaden. Daarna verwijderen we de gegevens binnen 90 dagen, tenzij een wettelijke plicht ons tot bewaren verplicht. Gegevens kunnen daarna nog voorkomen in back-ups op dezelfde server. Die gebruiken we alleen om na een storing te herstellen, niet om de gegevens opnieuw te verwerken.

11Aansprakelijkheid en overig

Voor aansprakelijkheid gelden de algemene voorwaarden. Op deze overeenkomst is Nederlands recht van toepassing. Wil je een ondertekend exemplaar voor je administratie? Mail dan naar [email protected].