Verwerkersvoorwaarden
Axon Accountants & Adviseurs B.V., versie 1.0, 7 oktober 2026
Artikel 1. Toepassing en rangorde
1.1 Deze Verwerkersvoorwaarden zijn van toepassing wanneer Axon Accountants & Adviseurs B.V. (KvK 99297086, hierna: “Axon”) bij de uitvoering van een opdracht persoonsgegevens verwerkt ten behoeve van de cliënt (hierna: “Cliënt”) als verwerker in de zin van artikel 4, onder 8, van de Algemene Verordening Gegevensbescherming (AVG). Dit is in het bijzonder het geval bij ICT-opdrachten als bedoeld in Hoofdstuk C van de Algemene Voorwaarden Dienstverlening Axon, zoals de inrichting, migratie en het technisch beheer van een Odoo-omgeving zonder eigen accountantsdoel.
1.2 Deze Verwerkersvoorwaarden vormen de verwerkersovereenkomst als bedoeld in artikel 28, lid 3, AVG en in artikel 22, lid 4, van de Algemene Voorwaarden. Zij zijn van toepassing doordat de opdrachtbevestiging ernaar verwijst.
1.3 Deze Verwerkersvoorwaarden zijn niet van toepassing op werkzaamheden waarvoor Axon zelf verwerkingsverantwoordelijke is, zoals samenstellings-, administratie-, aangifte- en adviesopdrachten en het cliëntenonderzoek op grond van de Wwft. Voor die verwerkingen geldt het privacybeleid van Axon (www.axon.nu/privacy).
1.4 Bij strijd gaan deze Verwerkersvoorwaarden voor op de Algemene Voorwaarden, voor zover het de verwerking van persoonsgegevens betreft. Verwerkersovereenkomsten of -voorwaarden van de Cliënt zijn niet van toepassing, tenzij Axon die schriftelijk heeft aanvaard.
Artikel 2. Onderwerp en instructies
2.1 Axon verwerkt de persoonsgegevens uitsluitend in opdracht en op basis van schriftelijke instructies van de Cliënt, voor zover dat nodig is voor de uitvoering van de opdracht. De opdrachtbevestiging en deze Verwerkersvoorwaarden gelden als de instructie van de Cliënt. Bijlage 1 beschrijft de aard en het doel van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen.
2.2 Axon verwerkt de persoonsgegevens niet voor eigen doeleinden, tenzij een op Axon rustende wettelijke verplichting haar daartoe verplicht. In dat geval stelt Axon de Cliënt daarvan vooraf in kennis, tenzij de wet die kennisgeving verbiedt.
2.3 Axon informeert de Cliënt onmiddellijk indien een instructie naar haar oordeel inbreuk oplevert op de AVG of andere regelgeving inzake gegevensbescherming.
2.4 De Cliënt staat ervoor in dat de verwerking op zijn instructie rechtmatig is, dat hij betrokkenen voldoende heeft geïnformeerd en dat de persoonsgegevens geen inbreuk maken op rechten van derden. De Cliënt vrijwaart Axon voor aanspraken van derden die het gevolg zijn van een onrechtmatige instructie.
Artikel 3. Geheimhouding
3.1 Axon houdt de persoonsgegevens geheim. Axon zorgt ervoor dat de personen die onder haar gezag de persoonsgegevens verwerken, waaronder medewerkers en ingeschakelde derden, tot geheimhouding zijn verplicht. Voor medewerkers die accountant zijn, geldt daarnaast de geheimhoudingsplicht uit de Verordening gedrags- en beroepsregels accountants (VGBA).
3.2 De geheimhoudingsplicht geldt niet voor zover de Cliënt toestemming heeft gegeven of een wettelijke verplichting Axon tot verstrekking verplicht.
Artikel 4. Beveiliging
4.1 Axon treft passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en tegen enige vorm van onrechtmatige verwerking, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking (artikel 32 AVG). De maatregelen zijn beschreven in Bijlage 3.
4.2 Axon mag de maatregelen aanpassen, mits het beveiligingsniveau daardoor niet afneemt.
4.3 De Cliënt is verantwoordelijk voor de beveiliging van zijn eigen omgeving, waaronder het gebruikersbeheer, de wachtwoorden en de tweefactorauthenticatie van zijn eigen gebruikers en de instellingen van zijn Odoo-abonnement.
Artikel 5. Subverwerkers
5.1 De Cliënt verleent Axon een algemene schriftelijke toestemming om subverwerkers in te schakelen. De subverwerkers die Axon bij aanvang inschakelt, staan in Bijlage 2. Bijlage 2 is vertrouwelijk: Axon verstrekt deze alleen aan de Cliënt, en de Cliënt maakt de inhoud niet openbaar, behalve voor zover dat nodig is om zijn eigen verplichtingen uit de AVG na te komen. Het actuele overzicht ontvangt de Cliënt op verzoek.
5.2 Axon informeert de Cliënt ten minste 30 dagen voordat zij een nieuwe subverwerker inschakelt of een subverwerker vervangt. De Cliënt kan binnen die termijn op redelijke gronden schriftelijk bezwaar maken. Komen partijen in dat geval niet tot een oplossing, dan kan ieder van hen de betreffende dienst beëindigen, zonder dat Axon de reeds verrichte werkzaamheden hoeft terug te betalen.
5.3 Axon legt aan iedere subverwerker ten minste dezelfde verplichtingen op als die uit deze Verwerkersvoorwaarden voortvloeien. Axon blijft jegens de Cliënt verantwoordelijk voor de nakoming door haar subverwerkers.
5.4 Het Odoo-abonnement van de Cliënt is een overeenkomst tussen de Cliënt en Odoo S.A. Odoo S.A. is daarom geen subverwerker van Axon maar een verwerker van de Cliënt.
Artikel 6. Inzet van AI-hulpmiddelen
6.1 Axon mag bij de uitvoering van de opdracht AI-hulpmiddelen inzetten, ook via een beveiligde technische koppeling met de Odoo-omgeving van de Cliënt, voor analyse, inrichting, configuratie, datamigratie en controle. De leveranciers van deze hulpmiddelen zijn subverwerkers en staan in Bijlage 2.
6.2 Daarbij gelden de volgende waarborgen:
AI-hulpmiddelen ondersteunen; zij beslissen niet. Een wijziging die met een AI-hulpmiddel is voorbereid, brengt Axon pas in de productieomgeving van de Cliënt aan nadat een medewerker van Axon die heeft beoordeeld. Waar mogelijk werkt Axon eerst in een test- of kopieomgeving.
Axon gebruikt uitsluitend zakelijke AI-diensten waarbij contractueel is vastgelegd dat de gegevens van de Cliënt niet worden gebruikt voor het trainen van AI-modellen.
De koppeling werkt via een afzonderlijke gebruiker met rechten die beperkt zijn tot wat de opdracht vereist. Deze gebruiker heeft geen toegang tot onderdelen met personeelsgegevens of bijzondere categorieën van persoonsgegevens, tenzij partijen dat schriftelijk overeenkomen.
Kopieën van identiteitsbewijzen, wachtwoorden en API-sleutels worden niet met AI-hulpmiddelen verwerkt.
6.3 De Cliënt kan in de opdrachtbevestiging of later schriftelijk aangeven dat Axon geen AI-hulpmiddelen inzet. Axon voert de werkzaamheden dan zonder AI-hulpmiddelen uit; gevolgen voor doorlooptijd en honorarium stemmen partijen vooraf af.
6.4 De Cliënt zorgt ervoor dat zijn Odoo-abonnement de technische koppeling toestaat. Toegang via de externe API is alleen beschikbaar in het Custom-abonnement van Odoo; de kosten daarvan zijn voor de Cliënt.
Artikel 7. Doorgifte buiten de Europese Economische Ruimte
7.1 Axon verwerkt de persoonsgegevens in beginsel binnen de Europese Economische Ruimte (EER). Doorgifte naar een land buiten de EER vindt alleen plaats als daarvoor een passende waarborg bestaat als bedoeld in hoofdstuk V AVG, zoals een adequaatheidsbesluit of de door de Europese Commissie vastgestelde standaardcontractbepalingen, waar nodig aangevuld met maatregelen op basis van een doorgifte-effectbeoordeling.
7.2 In Bijlage 2 staat per subverwerker of en op welke grondslag doorgifte buiten de EER plaatsvindt.
Artikel 8. Inbreuken in verband met persoonsgegevens (datalekken)
8.1 Axon informeert de Cliënt zonder onredelijke vertraging en in ieder geval binnen 48 uur nadat zij een inbreuk in verband met persoonsgegevens heeft vastgesteld die de persoonsgegevens van de Cliënt betreft.
8.2 Axon verstrekt daarbij, voor zover bekend: de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen en een contactpersoon. Informatie die nog niet beschikbaar is, verstrekt Axon zodra die bekend is.
8.3 De Cliënt beslist of de inbreuk wordt gemeld aan de Autoriteit Persoonsgegevens en aan betrokkenen. Axon doet zelf geen melding namens de Cliënt, tenzij de Cliënt daarom schriftelijk verzoekt of de wet dat vereist. Axon legt iedere inbreuk vast in haar incidentenregister.
Artikel 9. Bijstand
9.1 Axon verleent de Cliënt, rekening houdend met de aard van de verwerking, redelijke bijstand bij het beantwoorden van verzoeken van betrokkenen (artikelen 15 tot en met 22 AVG). Ontvangt Axon zo’n verzoek rechtstreeks, dan stuurt zij het onverwijld door aan de Cliënt.
9.2 Axon verleent de Cliënt redelijke bijstand bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, waaronder een gegevensbeschermingseffectbeoordeling en een voorafgaande raadpleging.
9.3 Bijstand die meer dan incidenteel is, brengt Axon in rekening op basis van bestede tijd tegen het geldende uurtarief, tenzij de noodzaak het gevolg is van een tekortkoming van Axon.
Artikel 10. Informatie en audit
10.1 Axon stelt de Cliënt op verzoek alle informatie ter beschikking die nodig is om de nakoming van deze Verwerkersvoorwaarden aan te tonen, zoals een beschrijving van de beveiligingsmaatregelen en de certificaten of rapporten van subverwerkers.
10.2 Is die informatie aantoonbaar onvoldoende, dan mag de Cliënt eenmaal per kalenderjaar, na een aankondiging van ten minste 30 dagen, een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht. De audit vindt plaats tijdens kantooruren en verstoort de bedrijfsvoering van Axon niet onevenredig. De kosten van de audit zijn voor de Cliënt, tenzij de audit een tekortkoming van Axon van wezenlijk belang aantoont.
Artikel 11. Duur, teruggave en verwijdering
11.1 Deze Verwerkersvoorwaarden gelden zolang Axon persoonsgegevens verwerkt ten behoeve van de Cliënt.
11.2 Na afloop van de opdracht verwijdert Axon, naar keuze van de Cliënt, de persoonsgegevens of geeft zij deze terug, en verwijdert zij bestaande kopieën, tenzij een wettelijke bewaarplicht zich daartegen verzet. Heeft de Cliënt binnen 30 dagen na afloop geen keuze gemaakt, dan verwijdert Axon de gegevens. Toegang tot de omgeving van de Cliënt (gebruikers en API-sleutels) trekt Axon bij het einde van de opdracht in.
11.3 Testgegevens en kopieën die Axon voor een migratie heeft gemaakt, worden uiterlijk 30 dagen na de acceptatie van de laatste oplevering verwijderd of aan de Cliënt teruggegeven.
11.4 Verplichtingen die naar hun aard bedoeld zijn om na het einde voort te duren, zoals geheimhouding, blijven van kracht.
Artikel 12. Aansprakelijkheid
12.1 Op de aansprakelijkheid van Axon onder deze Verwerkersvoorwaarden zijn de beperkingen uit de Algemene Voorwaarden van toepassing, waaronder artikel 15 en, bij ICT-opdrachten, artikel 55.
12.2 Niets in deze Verwerkersvoorwaarden beperkt de aansprakelijkheid van partijen jegens betrokkenen op grond van artikel 82 AVG.
Artikel 13. Slotbepalingen
13.1 Axon mag deze Verwerkersvoorwaarden wijzigen. Een wijziging die de bescherming van de persoonsgegevens niet vermindert, geldt na publicatie op www.axon.nu. Een andere wijziging geldt pas nadat Axon de Cliënt ten minste 30 dagen vooraf heeft geïnformeerd; de Cliënt kan in dat geval de betreffende dienst beëindigen.
13.2 Op deze Verwerkersvoorwaarden is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter zoals bepaald in de Algemene Voorwaarden.
Bijlage 1. Specificatie van de verwerking
Aard en doel. Inrichting, configuratie, migratie, testen en technisch beheer van de Odoo-omgeving van de Cliënt en, waar overeengekomen, het inrichten van koppelingen en het trainen van gebruikers, met ondersteuning van AI-hulpmiddelen via een beveiligde koppeling (artikel 6), tenzij de Cliënt heeft aangegeven dat Axon geen AI-hulpmiddelen inzet.
Categorieën betrokkenen. Klanten, leveranciers, contactpersonen en andere relaties van de Cliënt; medewerkers en gebruikers van de Cliënt.
Soorten persoonsgegevens. Naam-, adres- en contactgegevens; functie en bedrijfsgegevens; financiële en transactiegegevens (facturen, betalingen, bankmutaties, IBAN); gebruikersgegevens en logbestanden van de Odoo-omgeving. Bijzondere categorieën van persoonsgegevens en burgerservicenummers worden niet doelgericht verwerkt; voor zover die in de administratie van de Cliënt voorkomen, worden zij alleen verwerkt als onvermijdelijk onderdeel van de migratie. Personeelsgegevens alleen als dat schriftelijk is overeengekomen.
Duur. Gedurende de looptijd van de opdracht.
De specificatie wordt per opdracht aangevuld in de opdrachtbevestiging.
Bijlage 2. Subverwerkers
Het overzicht van subverwerkers wordt vertrouwelijk aan de Cliënt verstrekt, bij de opdrachtbevestiging en daarna op verzoek.
Bijlage 3. Beveiligingsmaatregelen
- Toegang tot systemen van Axon alleen met persoonlijke accounts met tweefactorauthenticatie; geen gedeelde accounts.
- Toegang tot de Odoo-omgeving van de Cliënt via een afzonderlijke gebruiker met rechten die beperkt zijn tot wat de opdracht vereist; API-sleutels niet gekoppeld aan een persoonlijk beheerdersaccount, jaarlijks en bij vermoeden van misbruik geroteerd en bij het einde van de opdracht ingetrokken.
- Audittrail ingeschakeld in de omgeving van de Cliënt waar Axon wijzigingen aanbrengt; wijzigingen zijn herleidbaar tot de gebruiker.
- Uitsluitend zakelijke diensten met een verwerkersovereenkomst; AI-diensten contractueel zonder gebruik van gegevens voor training; interne werkinstructie AI-gebruik met uitsluitingen (onder meer identiteitsbewijzen, wachtwoorden en sleutels).
- Versleutelde verbindingen (TLS) en versleutelde opslag bij de subverwerkers; geen opslag van cliëntgegevens op lokale, onversleutelde media.
- Dataminimalisatie: alleen de gegevens die voor de opdracht nodig zijn; geen toegang van de koppeling tot personeelsgegevens zonder schriftelijke afspraak; waar mogelijk eerst werken in een test- of kopieomgeving; testgegevens en kopieën worden na acceptatie verwijderd.
- Geheimhoudingsplicht voor alle medewerkers; VGBA voor accountants; periodieke bewustwording en AI-geletterdheid.
- Incidentenprocedure met melding aan de Cliënt binnen 48 uur en een incidentenregister.
- Kwartaalronde: controle van toegangsrechten, instellingen van de hulpmiddelen en opruimen van gegevens die niet meer nodig zijn.