Verwerkersovereenkomst

Deze Verwerkersovereenkomst (hierna: VA) vormt het sluitstuk van de afspraken tussen STB Services ("TimeToBill") en de zakelijke afnemer van de dienst TimeToBill (hierna: Klant) voor de specifieke gevallen waarin TimeToBill persoonsgegevens verwerkt namens de Klant in de zin van artikel 28 AVG. Voor alle overige persoonsgegevens is TimeToBill verwerkingsverantwoordelijke; die verwerking valt onder de Privacyverklaring.

Deze VA is een onlosmakelijk onderdeel van de Algemene Voorwaarden. Bij tegenstrijdigheid tussen beide documenten prevaleert deze VA voor zover het verwerkingshandelingen in de zin van de AVG betreft.

1. Partijen

• TimeToBill: STB Services, eenmanszaak van Sebastiaan ten Broek, Parallelweg 30, 5223 AL 's-Hertogenbosch, KvK 30226252, BTW NL001685860B73 — de Verwerker.
• Klant: de zakelijke afnemer die een overeenkomst met TimeToBill heeft voor gebruik van de dienst — de Verwerkingsverantwoordelijke.

2. Onderwerp en reikwijdte

TimeToBill verwerkt namens de Klant uitsluitend persoonsgegevens in de volgende, beperkte situaties:

1. Support- en klachtverzoeken. Content die de Klant bijvoegt bij een support- of klachtverzoek (bijvoorbeeld screenshots, logbestanden, e-mailbijlagen).
2. IP-relay-proxy voor WeFact-API-verkeer. Als de Klant de optionele IP-relay-proxy inschakelt, ontsleutelt TimeToBill de HTTPS-request in RAM, geeft het verzoek door aan WeFact en versleutelt opnieuw. Payloads worden niet opgeslagen; alleen technische metadata (licentiesleutel, request-pad, upstream-statuscode) valt onder de logretentie in sectie 10.

Voor alle andere persoonsgegevens waarover TimeToBill beschikt (account-, bedrijfs-, betaal-, factuur-, licentie-, support- en beveiligingsgegevens) is TimeToBill zelf verwerkingsverantwoordelijke en geldt deze VA niet.

3. Soort persoonsgegevens en categorieën betrokkenen

Situatie	Soort persoonsgegevens	Categorieën betrokkenen
Support- en klachtverzoeken	Uitsluitend wat de Klant zelf aanlevert; doorgaans naam, e-mailadres, schermafbeeldingen, logregels.	Medewerkers van de Klant, en eventuele derden die in de aangeleverde content voorkomen.
IP-relay-proxy	In-transit: WeFact-API-payloads, te weten debiteurgegevens, factuurregels, bedragen. Niet persistent opgeslagen.	Debiteuren van de Klant.

Bijzondere en strafrechtelijke gegevens. De Klant zegt toe in een support-verzoek geen bijzondere persoonsgegevens (art. 9 AVG) of strafrechtelijke gegevens (art. 10 AVG) op te nemen, tenzij vooraf schriftelijk met TimeToBill overeengekomen.

4. Instructies

TimeToBill verwerkt de in sectie 2 genoemde persoonsgegevens uitsluitend op schriftelijke instructie van de Klant. De overeenkomst, deze VA en het gebruik van de dienst volgens de documentatie gelden als zulke instructies. Eenmalige aanvullende instructies geeft de Klant per e-mail aan hello@timetobill.nl.

TimeToBill informeert de Klant onmiddellijk als naar haar oordeel een instructie in strijd is met de AVG of andere toepasselijke privacywetgeving.

5. Duur

Deze VA geldt zo lang TimeToBill persoonsgegevens namens de Klant kan verwerken in het kader van de overeenkomst. Secties 13 (teruggave/vernietiging), 16 (aansprakelijkheid) en 18 (toepasselijk recht en forum) blijven ook na beëindiging van kracht.

6. Plichten van TimeToBill als verwerker

TimeToBill:

1. verwerkt de persoonsgegevens uitsluitend voor de in sectie 2 beschreven doelen en op instructie van de Klant;
2. waarborgt dat personen met toegang tot de persoonsgegevens zich tot geheimhouding hebben verbonden of onder een passende wettelijke geheimhoudingsplicht vallen;
3. treft de passende technische en organisatorische beveiligingsmaatregelen zoals beschreven in sectie 9;
4. houdt een register bij van de verwerkingscategorieën namens de Klant (art. 30 lid 2 AVG) en stelt dit op verzoek beschikbaar;
5. werkt binnen de grenzen van sectie 10 mee aan verzoeken van betrokkenen die zich bij TimeToBill melden.

7. Subverwerkers

De Klant geeft TimeToBill algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat op /juridisch/subverwerkers en omvat ten minste: Mollie (betalingsverwerking), Hetzner (VPS-hosting), WeFact (facturatie), mijn.host (e-mail en DNS) en pCloud (off-site back-ups).

Wijzigingen in de lijst van subverwerkers kondigt TimeToBill ten minste 30 kalenderdagen vooraf aan op de subverwerkers-pagina en via e-mail aan het primaire accountadres. Binnen die 30 dagen kan de Klant gemotiveerd bezwaar maken per e-mail. Komen partijen er niet uit, dan heeft de Klant het recht de overeenkomst zonder vergoeding te beëindigen per de ingangsdatum van de wijziging.

TimeToBill legt aan iedere subverwerker minimaal dezelfde verplichtingen op als in deze VA en blijft jegens de Klant aansprakelijk voor het nakomen daarvan (art. 28 lid 4 AVG).

8. Doorgifte buiten de EER

TimeToBill verwerkt persoonsgegevens in beginsel binnen de Europese Economische Ruimte. De enige doorgifte buiten de EER is richting pCloud AG (Zwitserland), onder het adequaatheidsbesluit van de Europese Commissie voor Zwitserland (art. 45 AVG). Indien in de toekomst een subverwerker in een land zonder adequaatheidsbesluit gevestigd is, past TimeToBill de standaardcontractbepalingen (SCC's) toe en informeert zij de Klant conform de procedure in sectie 7.

9. Beveiliging

TimeToBill treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG, waaronder:

• versleuteling in transit (TLS 1.2+) op alle publieke endpoints;
• versleuteling at rest voor off-site back-ups;
• toegangsbeheer op productie beperkt tot STB Services met multifactor-authenticatie op alle beheer-accounts;
• edge-bescherming (rate-limiting, misbruikdetectie) op alle publieke endpoints;
• minimaal jaarlijkse test van de herstelprocedure;
• retentiecontroles op ondersteunings-, e-mail- en technische logs zoals beschreven in sectie 10.

TimeToBill evalueert deze maatregelen periodiek en past ze aan op basis van stand van de techniek en dreigingsbeeld.

10. Medewerking bij rechten van betrokkenen

Meldt een betrokkene zich bij TimeToBill met een verzoek dat in werkelijkheid onder verantwoordelijkheid van de Klant valt, dan verwijst TimeToBill het verzoek door en informeert zij de Klant binnen 5 werkdagen.

TimeToBill ondersteunt de Klant bij het nakomen van betrokkenen-rechten (art. 15–22 AVG) voor zover dat redelijkerwijs nodig is. TimeToBill biedt per kalenderjaar 2 uur ondersteuning kosteloos aan. Daarboven geldt een uurtarief van € 150 (excl. BTW), afgerond op halve uren. Dit tarief geldt uitdrukkelijk niet voor het verhelpen van fouten die aan TimeToBill zelf toe te rekenen zijn.

Technische logs in scope van de IP-relay-proxy (licentiesleutel, request-pad, HTTP-status, tijdstempel) worden gedurende 30 dagen bewaard en daarna automatisch verwijderd. Inkomende support-content valt onder de retentie in de Privacyverklaring (24 maanden; dossiers met juridische impact 5 jaar).

11. Datalekken

Bij een (vermoedelijk) datalek dat in scope van deze VA valt, informeert TimeToBill de Klant binnen 24 uur na detectie met alle informatie die de Klant nodig heeft om haar eigen meldplicht onder artikel 33 AVG na te komen. Dit omvat minimaal: aard van het incident, betrokken categorieën en (geschatte) aantallen, waarschijnlijke gevolgen, getroffen en nog te treffen maatregelen, en contactgegevens voor terugkoppeling.

TimeToBill logt intern elk (vermoedelijk) datalek binnen 24 uur na detectie, ongeacht of melding aan de Klant vereist is.

12. Audit

Eens per kalenderjaar mag de Klant op eigen kosten een audit uitvoeren op de naleving van deze VA, waarbij:

1. De audit wordt uitgevoerd door de Klant zelf of door een onafhankelijke, onderling overeengekomen externe auditor die gebonden is aan geheimhouding.
2. De Klant TimeToBill ten minste 30 kalenderdagen vooraf schriftelijk op de hoogte stelt en de scope van de audit beschrijft.
3. De audit plaatsvindt tijdens werkdagen tussen 09:00 en 17:00 uur, op zodanige wijze dat de dienstverlening geen materiële hinder ondervindt.
4. De kosten van de audit voor rekening van de Klant komen, behalve wanneer de audit een materiële niet-naleving aantoont die aan TimeToBill toerekenbaar is — in dat geval draagt TimeToBill de redelijke auditkosten.
5. De Klant de auditbevindingen vertrouwelijk behandelt en uitsluitend gebruikt om de naleving van deze VA te beoordelen.

TimeToBill kan in plaats van een audit aantonen te voldoen door een op verzoek beschikbaar recent certificeringsrapport (bijvoorbeeld een Data Pro Statement of ISO 27001-Statement of Applicability), indien beschikbaar en redelijk van toepassing.

13. Einde van de overeenkomst: teruggave of vernietiging

Na beëindiging van de overeenkomst verwijdert TimeToBill de persoonsgegevens die zij namens de Klant verwerkt binnen 30 kalenderdagen, tenzij de Klant binnen die termijn schriftelijk om teruggave in een gangbaar gestructureerd formaat verzoekt. In dat geval levert TimeToBill de gegevens binnen 30 dagen na het verzoek aan en verwijdert zij daarna haar kopieën binnen 30 dagen na levering.

Uitzondering: wettelijke bewaarplicht. Gegevens waarvoor een wettelijke bewaarplicht geldt (met name factuurgegevens onder art. 52 AWR) blijven gedurende de wettelijke termijn bewaard en worden daarna alsnog verwijderd.

14. Geheimhouding

TimeToBill behandelt de persoonsgegevens die zij namens de Klant verwerkt vertrouwelijk. Deze geheimhoudingsplicht eindigt niet bij het einde van de overeenkomst.

15. Aansprakelijkheid

De aansprakelijkheidsregeling uit de Algemene Voorwaarden is onverkort van toepassing op deze VA, met dien verstande dat:

1. boetes opgelegd door een toezichthouder op grond van de AVG worden gedragen door de partij aan wie de overtreding is toe te rekenen;
2. elke partij haar eigen schade als gevolg van onrechtmatige verwerking door de andere partij kan verhalen onder de aansprakelijkheidscap uit de AV;
3. opzet en bewuste roekeloosheid niet beperkt zijn door deze cap.

16. Wijzigingen

Wijzigingen in deze VA volgen semantische versionering:

• PATCH voor redactionele wijzigingen;
• MINOR voor toegevoegde of verduidelijkte afspraken zonder nadeel voor de Klant;
• MAJOR voor materiële wijzigingen in rechten en verplichtingen.

Materiële wijzigingen kondigt TimeToBill ten minste 30 dagen vooraf aan via e-mail aan actieve Klanten en via publicatie op deze pagina. Maakt de Klant binnen die termijn schriftelijk bezwaar en bereiken partijen geen overeenstemming, dan kan de Klant de overeenkomst per de ingangsdatum van de wijziging kosteloos beëindigen.

Oudere versies blijven permanent oproepbaar via /juridisch/verwerkersovereenkomst/<versie>.

17. Ondertekening

Deze VA wordt gepubliceerd op /juridisch/verwerkersovereenkomst en geldt, samen met de Algemene Voorwaarden, als onderdeel van de overeenkomst zodra de Klant de AV heeft aanvaard. Er is dus geen aparte ondertekening nodig.

Indien het juridische regime van de Klant een afzonderlijk ondertekende VA vereist, levert TimeToBill op verzoek een identiek getekende PDF. Vraag dit aan via hello@timetobill.nl.

18. Toepasselijk recht en forum

Op deze VA is Nederlands recht van toepassing. Geschillen worden exclusief voorgelegd aan de Rechtbank Oost-Brabant, zittingsplaats 's-Hertogenbosch, tenzij dwingend recht anders bepaalt.

Wijzigingslog

Versie	Geldig vanaf	Wijziging
1.0.0	2026-04-28	Eerste gepubliceerde versie.

---

STB Services — Parallelweg 30, 5223 AL 's-Hertogenbosch, Nederland — KvK 30226252 — BTW NL001685860B73 — hello@timetobill.nl