Verwerkersovereenkomst Famyka
Versie 2026-10-17, geldig vanaf de dag van publicatie op famyka.nl. Deze versie vervangt versie 2026-10-13. Ging je al eerder akkoord, dan geldt artikel 22 van de algemene voorwaarden, en voor een nieuwe subverwerker artikel 8.3 hieronder.
Deze verwerkersovereenkomst is een uitwerking van artikel 28 van de Algemene verordening gegevensbescherming (AVG). Ze hoort bij de algemene voorwaarden van Famyka en geldt zolang een bedrijf Famyka gebruikt, ook op het gratis pakket.
Artikel 1. Partijen en rollen
1.1 Verwerker: Mayka Software, eenmanszaak, gevestigd aan Meijhorst 2946, 6537 HD Nijmegen, KvK 93393911, btw-id NL005020223B84, die het product Famyka levert ("wij").
1.2 Verwerkingsverantwoordelijke: het bedrijf dat Famyka gebruikt ("jij"), vertegenwoordigd door een eigenaar van dat bedrijf in Famyka.
1.3 Voor de persoonsgegevens die jij in Famyka vastlegt over jouw klanten en hun opdrachten ben jij verwerkingsverantwoordelijke en zijn wij verwerker. Dat geldt ook voor wat jouw klanten zelf invullen op de pagina's waar zij een offerte beantwoorden of een factuur bekijken, en voor de foto's, namen en handtekeningen op je werkbonnen en opleverbonnen. Daarover gaat deze overeenkomst.
1.4 Voor de gegevens over je eigen account, je bedrijf, de gebruikers van je bedrijf en je abonnement zijn wij zelf verwerkingsverantwoordelijke. Daarover gaat deze overeenkomst niet; dat staat in de privacyverklaring op https://famyka.nl/privacy. Hetzelfde geldt voor de onleesbare code van een inlogadres waarmee wij misbruik van het gratis pakket tegengaan.
Artikel 2. Begrippen
Begrippen als persoonsgegevens, verwerken, betrokkene, inbreuk in verband met persoonsgegevens (datalek) en subverwerker hebben de betekenis uit de AVG. "Hoofdovereenkomst" is de overeenkomst over het gebruik van Famyka, waarop de algemene voorwaarden van toepassing zijn.
Artikel 3. Onderwerp en duur
3.1 Wij verwerken de persoonsgegevens uit Bijlage 1 alleen om Famyka voor jou te laten werken, zoals beschreven in de hoofdovereenkomst.
3.2 Deze overeenkomst loopt zolang de hoofdovereenkomst loopt en daarna zolang wij nog persoonsgegevens voor jou verwerken (zie artikel 12).
Artikel 4. Welke gegevens, van wie, en waarvoor
4.1 Welke gegevens, van welke betrokkenen, voor welk doel en hoe lang, staat in Bijlage 1.
4.2 Jij bepaalt welke gegevens je vastlegt. Famyka is niet bedoeld voor bijzondere categorieën van persoonsgegevens (art. 9 AVG) of strafrechtelijke gegevens (art. 10 AVG), en jij legt die niet vast, ook niet in vrije tekst, foto's of spraakopnames. Een handtekening op een werkbon of opleverbon wordt bewaard als afbeelding, als bewijs dat er is getekend; Famyka gebruikt haar niet om iemand te herkennen of te controleren.
4.3 Jij staat ervoor in dat je een grondslag hebt om de gegevens van je klanten in Famyka vast te leggen en dat je je klanten daarover informeert.
Artikel 5. Instructies
5.1 Wij verwerken de gegevens alleen op jouw schriftelijke instructie. De hoofdovereenkomst, deze overeenkomst en wat jij in Famyka doet (vastleggen, wijzigen, verwijderen, delen, downloaden, een bon laten tekenen, online betalen aanzetten) gelden als die instructie.
5.2 Moet een wet ons verplichten de gegevens anders te verwerken, dan laten wij je dat vooraf weten, tenzij die wet dat verbiedt.
5.3 Vinden wij dat een instructie in strijd is met de AVG, dan laten wij je dat direct weten.
5.4 Wij gebruiken de gegevens niet voor eigen doeleinden, verkopen ze niet en delen ze niet voor advertenties. Telgegevens over het gebruik van Famyka leggen wij vast als codes, zonder namen, adressen of andere gegevens van jouw klanten.
Artikel 6. Geheimhouding
6.1 Wij houden de gegevens geheim. Alleen wie het nodig heeft voor het beheer van Famyka, kan bij de systemen. Op dit moment is dat alleen de eigenaar van Mayka Software.
6.2 Komt er iemand bij die toegang krijgt, dan is die aan geheimhouding gebonden, bij overeenkomst of door de wet. Dat leggen wij schriftelijk vast voordat die persoon toegang krijgt.
Artikel 7. Beveiliging
7.1 Wij nemen passende technische en organisatorische maatregelen tegen verlies en onrechtmatige verwerking, zoals art. 32 AVG vraagt. De maatregelen staan in Bijlage 2.
7.2 Wij mogen de maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.
Artikel 8. Subverwerkers
8.1 Jij geeft ons algemene toestemming om de subverwerkers uit de tabel hieronder in te schakelen. Met elk van hen is een verwerkersovereenkomst gesloten.
| Subverwerker | Wat | Waar |
|---|---|---|
| Google Cloud (Google Cloud EMEA Ltd.) | De database, bestanden (waaronder foto's en handtekeningen op werkbonnen) en de server van Famyka, en de pagina's op famyka.nl waar je klant een offerte of factuur opent | Datacenter in Nederland (Eemshaven) |
| Google Cloud Vertex AI | Spraakopnames uitschrijven en ordenen, en offerteregels voorstellen. Google gebruikt deze gegevens niet om zijn modellen te trainen. | Verwerkt binnen de Europese Unie |
| Resend (Plus Five Five, Inc.) | De e-mail aan je bedrijf als je klant op een offerte reageert, met de naam van je klant, het offertenummer, de naam die hij typte en zijn bericht | Verenigde Staten, onder de standaardcontractbepalingen van de Europese Commissie en het EU-VS Data Privacy Framework |
| Migadu (Migadu-Mail GmbH) | De mailbox van support@famyka.nl en privacy@famyka.nl, alleen voor gegevens van jouw klanten die jij zelf in een mail aan ons zet | Frankrijk en Nederland, bij OVHcloud, alleen binnen de EU. Migadu zelf is gevestigd in Zwitserland (adequaatheidsbesluit) |
8.2 Voor onze eigen verwerkingen (artikel 1.4) gebruiken wij daarnaast Google Identity Platform en Stripe, en Resend voor de andere e-mails die Famyka aan je bedrijf stuurt. Die verwerken daarbij geen gegevens van jouw klanten en vallen daarvoor niet onder dit artikel; ze staan in de privacyverklaring.
8.3 Een nieuwe of andere subverwerker melden wij je ten minste 30 dagen van tevoren per e-mail aan de eigenaar. Je kunt daar binnen die termijn met redenen bezwaar tegen maken. Komen wij er samen niet uit, dan kun je de hoofdovereenkomst opzeggen tegen de ingangsdatum zonder terugbetaling van wat al is betaald.
8.4 Wij leggen elke subverwerker ten minste dezelfde verplichtingen op als in deze overeenkomst en blijven tegenover jou verantwoordelijk voor hun nakoming.
8.5 Online betalen (artikel 15a van de algemene voorwaarden). Zet je online betalen aan, dan sluit je zelf een overeenkomst met Stripe en ontvangt Stripe de betalingen van je klanten op jouw eigen Stripe-account. Stripe is daarbij geen subverwerker van ons: Stripe verwerkt de betaalgegevens van je klant op grond van jouw overeenkomst met Stripe en de eigen verplichtingen van Stripe als betaaldienst. Wat je klant bij Stripe invult, gaat rechtstreeks naar Stripe en niet naar ons.
8.6 Door online betalen aan te zetten geef je ons de instructie om per betaling aan Stripe door te geven: het bedrag, de valuta, de omschrijving "Factuur" met het factuurnummer, en interne codes van de factuur en je bedrijf. Wij geven Stripe geen naam, adres, e-mailadres of telefoonnummer van je klant.
8.7 Stripe laat ons met een ondertekend bericht weten dat een betaling gelukt is. Daaruit gebruiken en bewaren wij alleen de code van de betaling bij Stripe en of er betaald is; het bedrag en de factuur halen wij uit onze eigen administratie.
Artikel 9. Doorgifte buiten de Europese Economische Ruimte
9.1 De database, de bestanden en de server staan in Nederland. Spraakopnames worden binnen de Europese Unie uitgeschreven. De e-mail aan je bedrijf over een reactie van je klant gaat via Resend, in de Verenigde Staten.
9.2 Waar een subverwerker gegevens buiten de EER verwerkt, staat dat in de tabel in artikel 8, met de grondslag waaronder dat gebeurt.
Artikel 10. Rechten van betrokkenen
10.1 Vraagt een klant van jou ons om inzage, correctie, verwijdering of een ander recht uit de AVG, dan verwijzen wij hem naar jou en laten wij jou dat weten.
10.2 Veel kun je zelf in Famyka: gegevens van een klant inzien, wijzigen en verwijderen, en offertes, werkbonnen en facturen downloaden. Waar dat niet volstaat, helpen wij je binnen redelijke grenzen. Wij reageren binnen 10 werkdagen. Kost de hulp meer dan een uur, dan mogen wij de extra tijd in rekening brengen tegen een tarief dat wij vooraf met je afspreken.
10.3 Let op: verstuurde offertes en facturen kunnen in Famyka niet worden verwijderd, alleen geannuleerd of gecrediteerd, omdat ze een administratief stuk zijn. Een getekende werkbon of opleverbon kan niet worden gewijzigd of verwijderd, met zijn foto's, de naam en de handtekening; alleen het verwijderen van het hele bedrijf haalt hem weg. Een klant zelf wordt bij verwijderen gemarkeerd als verwijderd en blijft op eerdere stukken staan. Of dat aan een verzoek tot verwijdering voldoet, beoordeel jij als verantwoordelijke.
Artikel 11. Datalekken
11.1 Ontdekken wij een datalek dat de gegevens van jouw klanten raakt, dan laten wij je dat zonder onredelijke vertraging weten, uiterlijk 48 uur nadat wij het ontdekten, per e-mail aan de eigenaar.
11.2 Wij geven je daarbij wat wij weten: wat er gebeurde, welke gegevens en hoeveel betrokkenen, de waarschijnlijke gevolgen, en wat wij hebben gedaan en nog doen. Wat wij nog niet weten, vullen wij aan zodra wij het weten.
11.3 Of het datalek gemeld moet worden aan de Autoriteit Persoonsgegevens of aan de betrokkenen, beslis jij. Wij helpen je daarbij.
Artikel 12. Einde: teruggeven en verwijderen
12.1 Je kunt je gegevens altijd zelf ophalen. Vóór het verwijderen van een bedrijf bieden wij een download aan van alle verstuurde facturen, creditfacturen en offertes, als pdf en als overzicht (csv). Concepten en werkbonnen zitten er niet in; een werkbon of opleverbon download je zelf, per bon als pdf. Tot het verwijderen kun je alle andere gegevens zelf in Famyka inzien en overnemen; wij zijn niet verplicht ze in een ander formaat aan te leveren.
12.2 Verwijdert de laatste eigenaar het account, dan verwijderen wij direct alle gegevens van het bedrijf uit de database en alle bestanden van het bedrijf uit de opslag, ook getekende werkbonnen en opleverbonnen met hun foto's en handtekeningen. Daarna blijft nog kort bestaan:
| Wat | Hoe lang |
|---|---|
| Back-ups van de database | 7 dagelijkse back-ups en 7 dagen transactielogboek, daarna overschreven |
| Verwijderde bestanden (foto's, handtekeningen, opnames, pdf's) | 7 dagen (de standaard van Google Cloud Storage) |
| E-mails die Famyka verstuurde, bij Resend | 30 dagen |
| Technische logboeken | 30 dagen. De logboeken van Google Cloud kunnen IP-adressen en tijdstippen van verzoeken bevatten, maar geen namen of adressen van jouw klanten |
Wat bij Stripe staat over betalingen aan jou, valt onder jouw overeenkomst met Stripe (artikel 8.5) en verwijderen wij niet.
12.3 Eindigt alleen het abonnement en blijft het account bestaan, dan blijven de gegevens bewaard zodat je ze kunt inzien. Na 24 maanden zonder betaald abonnement en zonder inloggen mogen wij het bedrijf verwijderen, zoals artikel 18.4 van de algemene voorwaarden beschrijft.
12.4 Het geluid van een spraakopname verwijderen wij altijd 30 dagen na het uploaden, ook als het account blijft bestaan. De uitgeschreven tekst blijft bij de aanvraag.
12.5 Op verzoek bevestigen wij schriftelijk dat de gegevens zijn verwijderd.
Artikel 13. Bijstand
13.1 Wij helpen je, voor zover redelijk en met de informatie die wij hebben, bij een gegevensbeschermingseffectbeoordeling (DPIA), een voorafgaande raadpleging en vragen van de Autoriteit Persoonsgegevens.
13.2 Daarvoor mogen wij redelijke kosten in rekening brengen, behalve als de hulp nodig is door een fout van ons.
Artikel 14. Controle
14.1 Wij geven je de informatie die nodig is om aan te tonen dat wij ons aan deze overeenkomst houden.
14.2 Dat doen wij in de eerste plaats met documentatie: deze overeenkomst, Bijlage 2 en de certificeringen van onze subverwerkers. Een audit door een onafhankelijke deskundige kan hoogstens één keer per jaar, op jouw kosten, ten minste 30 dagen vooraf aangekondigd en onder geheimhouding; vaker alleen na een datalek of als de Autoriteit Persoonsgegevens erom vraagt.
Artikel 15. Aansprakelijkheid
15.1 Voor de aansprakelijkheid onder deze overeenkomst geldt artikel 20 van de algemene voorwaarden. Dat plafond geldt ook voor schade door een overtreding van de AVG of van deze overeenkomst, voor zover de wet dat toelaat.
15.2 Boetes die de Autoriteit Persoonsgegevens een partij oplegt, blijven voor rekening van die partij.
Artikel 16. Slot
16.1 Bij tegenstrijdigheid over persoonsgegevens gaat deze overeenkomst voor op de algemene voorwaarden.
16.2 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de rechter uit artikel 24 van de algemene voorwaarden.
16.3 Wordt Famyka overgedragen aan een andere rechtspersoon (artikel 23 van de algemene voorwaarden), dan gaat deze overeenkomst mee.
Bijlage 1. De verwerking
Betrokkenen
- Klanten van de vakman, zowel consumenten als contactpersonen van bedrijven.
- Mensen die in een aanvraag, op een foto of in een spraakopname voorkomen.
- Wie een werkbon of opleverbon tekent.
- Wie een offerte of factuur opent via de link die de vakman stuurde, en daar reageert of betaalt.
- Gebruikers van je bedrijf, voor zover zij op een klus of werkbon staan (wie er gaat, wie welke uren werkte).
Gegevens
| Gegevens | Waarvoor |
|---|---|
| Naam, adres, e-mailadres, telefoonnummer; bij een bedrijf ook btw- en KvK-nummer | Klanten bijhouden; op offertes, werkbonnen en facturen zetten |
| Aanvragen: beschrijving, openstaande punten, notities | Een klus vastleggen en voorbereiden |
| Foto's en andere bijlagen | Bij de aanvraag bewaren |
| Spraakopnames en de tekst die ervan wordt gemaakt | Een ingesproken aanvraag uitschrijven, er een beschrijving van maken en voorstellen wat er nog ontbreekt |
| Offertes, meerwerk, waarschuwingen, facturen, creditfacturen, betalingen en bij wie en hoe ze zijn gedeeld | Offreren, factureren en bijhouden wat openstaat |
| Links naar een offerte of factuur (alleen een onleesbare code), wanneer een offerte voor het eerst en het laatst werd geopend, en de reactie van je klant: accepteren, afwijzen of om een wijziging vragen, met de naam die hij typte, zijn bericht en het moment | Je klant online laten reageren; bijhouden wat hij antwoordde |
| Bij online betalen, per betaalpoging: de code van de betaling bij Stripe, het bedrag, de valuta en wanneer er is betaald | De factuur als betaald markeren |
| Klussen: klant, titel, notities, de geplande dag en wie er gaan | Werk plannen en verdelen |
| Werkbonnen en opleverbonnen: datum, uitgevoerd werk, uren per persoon, materialen, restpunten | Vastleggen wat er is gedaan; factureren |
| Foto's op werkbonnen | Vastleggen hoe het werk erbij stond en wat er is gedaan |
| De handtekening van wie tekent (een afbeelding), de naam waarmee hij tekende en het moment | Bewijs dat de werkbon of opleverbon is getekend |
| Sjablonen: regels, aannames en de notitie van een offerte, zonder de klant | Een nieuwe offerte sneller maken |
| Taken (opvolging, onderhoud, een verzoek om een recensie) | Bijhouden wanneer je een klant moet benaderen |
Wat de AI ziet. Een spraakopname gaat naar Google Cloud Vertex AI om te worden uitgeschreven, binnen de EU. Voor het voorstellen van offerteregels krijgt het model alleen de geschreven beschrijving van de aanvraag en de namen, omschrijvingen en eenheden van jouw producten: geen klantgegevens, geen uitgeschreven tekst, geen prijzen. Foto's, handtekeningen en werkbonnen gaan niet naar de AI. De AI beslist niets: alles wat zij voorstelt, kies je zelf.
Bewaartermijnen
- Zolang het account bestaat (zie artikel 12.3).
- Getekende werkbonnen en opleverbonnen, met foto's, naam en handtekening: zolang het bedrijf bestaat; ze kunnen niet los worden verwijderd (artikel 10.3). Een concept-bon en zijn foto's kun je zelf verwijderen.
- Het geluid van een spraakopname: 30 dagen na uploaden.
- Na verwijdering: zie artikel 12.2.
Bijlage 2. Beveiligingsmaatregelen
Wat de documentatie en de code van Famyka vastleggen:
1. Scheiding tussen bedrijven. Gegevens van elk bedrijf worden in de database afgeschermd van die van andere bedrijven, op twee plaatsen: in de software, op basis van het geverifieerde inlogbewijs, en in de database zelf (Row Level Security). Dat wordt bij elke wijziging automatisch getest. 2. Versleutelde verbindingen. Alle verbindingen met Famyka zijn versleuteld. 3. Inloggen. Via Google Identity Platform. Een bedrijf kan pas worden aangemaakt met een bevestigd e-mailadres. Een account verwijderen vraagt een recente inlog. 4. Locatie. De database, de bestanden en de server staan in Nederland (Google Cloud, europe-west4). Spraakopnames worden binnen de EU uitgeschreven, nooit op een willekeurige plek wereldwijd. 5. Minimale rechten. De server heeft alleen de rechten die hij nodig heeft; geheime sleutels staan in Google Secret Manager en niet in de broncode. Voor de AI is er geen sleutel: de server meldt zich aan met zijn eigen serviceaccount. 6. Beheertoegang. Alleen de eigenaar van Mayka Software heeft toegang tot de systemen, met tweestapsverificatie. 7. Bewaren zo kort als kan. Het geluid van spraakopnames wordt na 30 dagen automatisch verwijderd. IP-adressen worden voor het afremmen van te veel aanvragen alleen in het geheugen bijgehouden. 8. Logboeken zonder inhoud. Gebeurtenissen worden gelogd als codes, zonder namen, e-mailadressen of IP-adressen van gebruikers of hun klanten. De verzoeklogboeken van Google Cloud zelf bevatten wel IP-adressen; die worden na 30 dagen verwijderd. 9. Herstel. Dagelijkse back-ups van de database (7 bewaard) en 7 dagen transactielogboek. 10. Grenzen per aanvraag. De server begrenst de grootte van uploads en het aantal gelijktijdige zware verzoeken, zodat één gebruiker de dienst niet voor anderen kan platleggen. 11. Links zonder bruikbare kopie. Van een link naar een offerte of factuur bewaren wij alleen een onleesbare code (SHA-256), zodat een kopie van de database geen werkende link bevat. Op de pagina's zelf geldt een grens op het aantal verzoeken per minuut. 12. Getekend ligt vast. De database weigert elke wijziging aan een getekende werkbon of opleverbon, zijn regels en zijn bestanden. 13. Betalingen uit eigen administratie. Een bericht van Stripe wordt alleen geloofd met een geldige handtekening. Welke factuur en welk bedrag het betreft, lezen wij uit wat wij zelf bij het klaarzetten van de betaling vastlegden, niet uit het bericht.
Daarnaast:
- Versleuteling van opgeslagen gegevens. Google Cloud versleutelt de database, de bestanden en de back-ups standaard.
- Beheerapparaten. De apparaten waarmee de systemen worden beheerd, hebben schijfversleuteling en een schermvergrendeling; wachtwoorden staan in een wachtwoordmanager.
- Incidenten. Bij een vermoeden van een datalek wordt de oorzaak eerst ingedamd, daarna onderzocht en vastgelegd, en wordt de verantwoordelijke geïnformeerd volgens artikel 11.