BuildFlow

BuildFlow

Verwerkersovereenkomst

De afspraken over de persoonsgegevens die een bedrijf in BuildFlow bewaart (artikel 28 AVG).

Versie 2026-10 · geldig vanaf 26 oktober 2026

Een bedrijf dat BuildFlow gebruikt, zet er persoonsgegevens in van zijn klanten, medewerkers en leveranciers. Het bedrijf blijft daarvoor verantwoordelijk; Exclusify verwerkt die gegevens alleen voor het bedrijf. Deze overeenkomst legt dat vast, zoals artikel 28 van de Algemene verordening gegevensbescherming (AVG) vraagt. Hij hoort bij de algemene voorwaarden en geldt zodra het bedrijf daarmee akkoord gaat.

  1. Artikel 1. Partijen en begrippen

    1. 1.1
      Partijen zijn de Klant, het bedrijf dat BuildFlow gebruikt, als verwerkingsverantwoordelijke, en Exclusify, als verwerker.
    2. 1.2
      Begrippen als persoonsgegevens, verwerken, betrokkene, subverwerker en datalek (een inbreuk in verband met persoonsgegevens) betekenen hetzelfde als in de AVG. Andere begrippen betekenen hetzelfde als in de algemene voorwaarden.

  2. Artikel 2. Onderwerp en duur

    1. 2.1
      Exclusify verwerkt persoonsgegevens voor de Klant om BuildFlow te leveren: bewaren, tonen en ordenen, de mails en documenten versturen die de Klant laat versturen, en exporteren.
    2. 2.2
      Deze overeenkomst loopt zolang Exclusify persoonsgegevens voor de Klant verwerkt, dus ook in de 60 dagen na het einde (artikel 12).

  3. Artikel 3. Welke gegevens en van wie

    1. 3.1
      Het gaat om deze mensen en gegevens:
      • Klanten en opdrachtgevers van de Klant: naam, contactpersoon, adres, e-mailadres, telefoonnummer, het KvK- en btw-nummer van zakelijke klanten, projecten, offertes, facturen en betalingen, en bij een akkoord via de link de naam, het tijdstip en het IP-adres.
      • Medewerkers en collega's van de Klant: naam, e-mailadres, telefoonnummer, rol en functie, planning, gewerkte uren, uurkosten, en de foto's en meldingen die ze maken.
      • Leveranciers en onderaannemers: naam, contactgegevens en klantnummer.
      • Mensen op foto's en in documenten die de Klant uploadt, als ze er toevallig op staan.
    2. 3.2
      BuildFlow is niet bedoeld voor bijzondere persoonsgegevens, zoals gegevens over gezondheid, of voor het burgerservicenummer. De Klant zet die er niet in.

  4. Artikel 4. Instructies van de Klant

    1. 4.1
      Exclusify verwerkt de gegevens alleen in opdracht van de Klant. Het gebruik van BuildFlow door de Klant en zijn gebruikers geldt als opdracht, net als wat in de algemene voorwaarden en in deze overeenkomst staat.
    2. 4.2
      Exclusify gebruikt de gegevens niet voor eigen doelen. Wel mag Exclusify zien welke onderdelen een bedrijf gebruikt en fouten onderzoeken, om BuildFlow te leveren, te verbeteren en hulp te geven.
    3. 4.3
      Vindt Exclusify dat een opdracht in strijd is met de AVG, dan laat zij dat de Klant meteen weten.
    4. 4.4
      Moet Exclusify gegevens afgeven omdat de wet dat eist, dan laat zij dat de Klant vooraf weten, tenzij de wet dat verbiedt.

  5. Artikel 5. Geheimhouding

    1. 5.1
      Iedereen die bij Exclusify toegang heeft tot de gegevens, heeft een geheimhoudingsplicht.

  6. Artikel 6. Beveiliging

    1. 6.1
      Exclusify neemt passende technische en organisatorische maatregelen (artikel 32 AVG). Dit zijn de maatregelen van nu:
      • Alle verbindingen met BuildFlow zijn versleuteld (https).
      • Wachtwoorden bewaren we alleen als hash (scrypt): het wachtwoord zelf kan niemand teruglezen. Ook sessies, uitnodigingen en links voor een nieuw wachtwoord staan alleen als hash in de database.
      • De sleutels van koppelingen met Google, Microsoft en Moneybird zijn versleuteld opgeslagen (AES-256).
      • Elk bedrijf ziet alleen zijn eigen gegevens. Bij elke aanvraag controleert BuildFlow bij welk bedrijf iemand hoort en wat zijn rol mag.
      • Foto's en documenten staan in een afgeschermde opslag. Ze zijn alleen via BuildFlow te openen, na die controle, of via de klantpagina die het bedrijf zelf aanzet.
      • Wie te vaak een verkeerd wachtwoord invult, moet even wachten voor hij het opnieuw kan proberen.
      • Tweestapsverificatie met een code uit een app: iedere gebruiker kan die aanzetten in Mijn profiel, en voor medewerkers van Exclusify die bij bedrijven kunnen, is hij verplicht.
      • Opent een medewerker van Exclusify een bedrijf, dan wordt vastgelegd wie dat deed en wanneer.
      • De database en de bestanden staan in Frankfurt, Duitsland (EU).
    2. 6.2
      Exclusify past de maatregelen aan als dat nodig is. Het niveau gaat daarbij niet omlaag.
    3. 6.3
      De Klant zorgt voor zijn kant: wie toegang krijgt en met welke rol, goede wachtwoorden, tweestapsverificatie waar dat kan, en het meteen intrekken van de toegang van wie vertrekt.

  7. Artikel 7. Toegang door Exclusify

    1. 7.1
      Medewerkers van Exclusify kunnen een bedrijf in BuildFlow openen om hulp te geven, problemen op te lossen of het account te beheren. Ze doen dat alleen als het daarvoor nodig is.
    2. 7.2
      Elke keer dat een medewerker van Exclusify een bedrijf opent, wordt vastgelegd wie dat deed en wanneer.
    3. 7.3
      Voor die toegang is tweestapsverificatie verplicht.

  8. Artikel 8. Subverwerkers

    1. 8.1
      De Klant geeft toestemming voor deze subverwerkers:

      • Supabase

        Waarvoor
        Database en opslag van bestanden
        Waar
        Frankfurt, Duitsland (EU)

      • Vercel

        Waarvoor
        Hosting van de applicatie
        Waar
        Frankfurt, Duitsland (EU)

      • Google (Workspace)

        Waarvoor
        Versturen van e-mail namens het platform
        Waar
        EU en VS, met EU-modelcontracten
    2. 8.2
      Exclusify legt subverwerkers dezelfde plichten op als in deze overeenkomst staan, en blijft verantwoordelijk voor hen.
    3. 8.3
      Een nieuwe of andere subverwerker meldt Exclusify minstens dertig dagen vooraf per mail. De Klant kan in die tijd bezwaar maken. Komen we er niet uit, dan kan de Klant opzeggen voordat de wijziging ingaat.
    4. 8.4
      Koppelingen die de Klant zelf aanzet, zoals Google Workspace of Microsoft 365 voor mail en agenda en Moneybird voor de boekhouding, zijn geen subverwerkers van Exclusify. Daarvoor geldt de overeenkomst tussen de Klant en die dienst. Exclusify stuurt er alleen gegevens heen als de Klant dat in BuildFlow doet of instelt.

  9. Artikel 9. Doorgifte buiten de EU

    1. 9.1
      De database en de bestanden staan in Frankfurt, Duitsland (EU).
    2. 9.2
      Bij Google (Workspace) kunnen gegevens ook buiten de Europese Economische Ruimte verwerkt worden. Dat gebeurt alleen zoals de AVG toestaat, met de modelcontractbepalingen van de Europese Commissie. De tabel in artikel 8 zegt waar.

  10. Artikel 10. Rechten van betrokkenen

    1. 10.1
      Vraagt iemand de Klant om inzage, verbetering, verwijdering of een kopie van zijn gegevens, dan regelt de Klant dat zelf in BuildFlow: gegevens inzien en aanpassen, de persoonsgegevens van een klant verwijderen, en alles downloaden.
    2. 10.2
      Lukt iets niet in BuildFlow, dan helpt Exclusify binnen redelijke tijd.
    3. 10.3
      Krijgt Exclusify zo'n verzoek zelf, dan stuurt zij het door naar de Klant.

  11. Artikel 11. Datalekken

    1. 11.1
      Ontdekt Exclusify een datalek bij de gegevens van de Klant, dan meldt zij dat zonder onnodige vertraging aan de Klant, en uiterlijk binnen 48 uur na de ontdekking, per mail aan de eigenaar.
    2. 11.2
      De melding zegt wat er gebeurde, om welke gegevens en hoeveel mensen het gaat, wat de gevolgen kunnen zijn en wat Exclusify eraan doet. Wat nog niet bekend is, volgt zodra het bekend is.
    3. 11.3
      De Klant beslist of hij het datalek meldt aan de Autoriteit Persoonsgegevens en aan de betrokkenen. Exclusify helpt daarbij.

  12. Artikel 12. Na het einde

    1. 12.1
      Na het einde van de overeenkomst bewaart Exclusify de gegevens nog 60 dagen, zodat de Klant ze kan opvragen. Daarna verwijdert Exclusify de gegevens en de bestanden, tenzij de wet verplicht ze te bewaren.
    2. 12.2
      De Klant kan zijn gegevens voor het einde zelf downloaden. Hij blijft verantwoordelijk voor wat hij zelf moet bewaren, zoals facturen voor de Belastingdienst.

  13. Artikel 13. Controle

    1. 13.1
      Exclusify geeft de Klant op verzoek de informatie die nodig is om te laten zien dat zij zich aan deze overeenkomst houdt.
    2. 13.2
      Wil de Klant een audit laten doen, dan kan dat eens per jaar, door een onafhankelijke deskundige met een geheimhoudingsplicht, op een moment dat we samen afspreken. De kosten zijn voor de Klant.

  14. Artikel 14. Hulp bij een DPIA

    1. 14.1
      Exclusify helpt de Klant waar dat redelijk is bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij een voorafgaande raadpleging van de Autoriteit Persoonsgegevens.

  15. Artikel 15. Aansprakelijkheid en rangorde

    1. 15.1
      Voor aansprakelijkheid geldt wat in de algemene voorwaarden staat.
    2. 15.2
      Spreken deze overeenkomst en de algemene voorwaarden elkaar tegen over persoonsgegevens, dan gaat deze overeenkomst voor.

Contact

Aanbieder
Exclusify
E-mail
support@3xclusify.com