WealthPlannr B.V. — Verwerkersovereenkomst

Verwerkersovereenkomst · Artikel 28 AVG · Nederland · KvK 42050571 Versie 1.4 · Concept — nieuwe §1.1–1.3 in afwachting van definitieve juridische toetsing

1. Partijen

Verwerkingsverantwoordelijke (Data Controller). Voor eindgebruikers-/data-eigenaaraccounts is WealthPlannr B.V. verwerkingsverantwoordelijke voor account- en platformbeheer, dienstverlening, beveiliging, facturatie, compliance, ondersteuning en toegestane interne operationele doeleinden. Voor portefeuillehouder-, beheerder- of professioneel-gebruikeraccounts die cliëntgegevens indienen of beheren, is die gebruiker de verwerkingsverantwoordelijke voor de persoonsgegevens van die cliënten (de "Verwerkingsverantwoordelijke").

Verwerker (Data Processor). Voor cliëntpersoonsgegevens die worden verwerkt namens een portefeuillehouder, beheerder of professioneel gebruiker, treedt WealthPlannr B.V., gevestigd te Amsterdam (KvK 42050571), op als verwerker (de "Verwerker") en verwerkt zij dergelijke gegevens uitsluitend op basis van de gedocumenteerde instructies van de Verwerkingsverantwoordelijke, met inbegrip van instructies die via het platform zijn geconfigureerd.

1.1 Accountmodi en toepasselijke instrumenten (dual-mode rollen)

Elk account bevindt zich in een van twee modi, en de modus bepaalt welke instrumenten erop van toepassing zijn. De twee posities zijn cumulatief, niet alternatief: een account in verwerker-modus draagt tevens de verwerkingsverantwoordelijke-positie.

• Alleen verwerkingsverantwoordelijke-modus — eindgebruikers-/data-eigenaaraccounts die uitsluitend hun eigen persoonsgegevens verwerken. WealthPlannr is verwerkingsverantwoordelijke van de eigen persoonsgegevens van die accounthouder (identiteit, inloggegevens, facturatie, beveiligings- en handhavingsregistraties; zie Sectie 3.1 en het Aanvullend deel). Deze positie wordt beheerst door de verwerkingsverantwoordelijke-voorwaarden van WealthPlannr en de Privacyverklaring (transparantie, Artikel 13–14 AVG), die via de Gebruiksvoorwaarden zijn opgenomen. Deze verwerkersovereenkomst is niet van toepassing op een account in de modus alleen verwerkingsverantwoordelijke.
• Verwerkingsverantwoordelijke + verwerker-modus — portefeuillehouder-, beheerder- of professioneel-gebruikeraccounts die cliëntpersoonsgegevens indienen of beheren. Beide posities zijn tegelijkertijd van toepassing. WealthPlannr blijft verwerkingsverantwoordelijke van de eigen persoonsgegevens van de accounthouder, precies zoals in de modus alleen verwerkingsverantwoordelijke (beheerst door de Privacyverklaring en de verwerkingsverantwoordelijke-voorwaarden), en de accounthouder is verwerkingsverantwoordelijke van de persoonsgegevens van diens cliënten, waarvoor WealthPlannr verwerker is op grond van deze verwerkersovereenkomst (Artikel 28 AVG). Een dergelijk account is derhalve tegelijkertijd gebonden aan beide instrumenten — de Privacyverklaring voor de eigen-gegevens- (verwerkingsverantwoordelijke-) positie en deze verwerkersovereenkomst voor de cliëntgegevens- (verwerker-) positie. Het aanvaarden van deze verwerkersovereenkomst treedt niet in de plaats van de Privacyverklaring: de accounthouder is tevens betrokkene ten opzichte van WealthPlannr, en die positie blijft beheerst zoals voor elke andere gebruiker.

1.2 De modus wordt verklaard, niet verondersteld

De modus van een account wordt vastgesteld door de aanduiding van de accounthouder — particulier / data-eigenaar (alleen verwerkingsverantwoordelijke) of professioneel / portefeuillehouder / beheerder (verwerkingsverantwoordelijke + verwerker) — en wordt niet afgeleid uit het gebruik. Het selecteren van de professionele aanduiding verklaart de modus verwerkingsverantwoordelijke + verwerker en verbindt deze verwerkersovereenkomst; de particuliere aanduiding verklaart de modus alleen verwerkingsverantwoordelijke. Waar het standaardvermoeden in de sectie Acceptatie en een uitdrukkelijke aanduiding van elkaar afwijken, prevaleert de uitdrukkelijke aanduiding.

1.3 Modusovergangen

Toetreden tot de verwerker-modus (alleen verwerkingsverantwoordelijke → verwerkingsverantwoordelijke + verwerker). Voordat een account voor het eerst cliëntpersoonsgegevens indient of beheert, dient de accounthouder (a) de professionele aanduiding te hebben, (b) deze verwerkersovereenkomst te hebben aanvaard, en (c) het contactpunt voor melding van datalekken zoals vereist door Sectie 7 te hebben bevestigd. De verwerking van cliëntgegevens vangt niet aan voordat deze verwerkersovereenkomst bindend is.

Verlaten van de verwerker-modus (verwerkingsverantwoordelijke + verwerker → alleen verwerkingsverantwoordelijke). Wanneer een account ophoudt cliëntpersoonsgegevens te beheren — een verlaging van de aanduiding, of beëindiging van de verwerkingsdienst — wordt de verwerker-positie afgebouwd op grond van Sectie 9 (teruggave of verwijdering van cliëntgegevens in verwerker-scope), en houdt deze verwerkersovereenkomst voor de toekomst op bindend te zijn voor nieuwe cliëntgegevens.

De verwerkingsverantwoordelijke-positie vervalt nimmer. In elke modus en bij elke overgang blijft WealthPlannr verwerkingsverantwoordelijke van de eigen persoonsgegevens van de accounthouder, te allen tijde beheerst door de Privacyverklaring en door Sectie 3.1 en het Aanvullend deel. Een moduswijziging laat de eigen persoonsgegevens van de accounthouder nooit onbeheerst.

2. Onderwerp en Duur

Onderwerp. Voor cliëntpersoonsgegevens in verwerker-scope verwerkt WealthPlannr gegevens uitsluitend om financiële-rekensoftware, portefeuille- en aanverwante berekeningen, workflows voor rapportgeneratie, beoordelingsinterfaces, exports en ondersteuning te bieden namens de Verwerkingsverantwoordelijke en diens cliënten — waaronder Box 3-simulaties, portefeuilleanalyse en OWR (Tegenbewijs)-bewijsrapporten. WealthPlannr beslist niet welk advies, welke aangiftepositie of welke financiële handeling de Verwerkingsverantwoordelijke of een betrokkene zou moeten nemen.

Duur. De verwerking in verwerker-scope duurt voort gedurende de looptijd van het betreffende account, de betreffende werkruimte of het betreffende abonnement, elke overgangsperiode van een ondersteunde versie, en elke afbouw-, sluimer-, export- en verwijderingsperiode zoals beschreven in Sectie 9. Bij beëindiging of bij het uitfaseren van een ondersteunde verwerkingsversie is het proces van teruggave, afbouw, sluimering en verwijdering in Sectie 9 van toepassing, behoudens bewaring die wettelijk vereist of toegestaan is. Administratieve registraties in verwerkingsverantwoordelijke-scope worden slechts bewaard zolang als noodzakelijk voor het betreffende doel en de toepasselijke verjaringstermijnen (zie het Aanvullend deel).

3. Soorten Gegevens en Betrokkenen

Betrokkenen. Eindgebruikers / data-eigenaren, accountbeheerders, portefeuillehouders / beheerders / professionele gebruikers, hun cliënten en belastingplichtigen, huisgenoten of verwante personen wier financiële gegevens worden ingevoerd voor een berekening, en personen die worden genoemd in ondersteunings-, handhavings- of bezwaarregistraties.

Identificatie. Cliëntnaam, accountnaam, account-e-mail en aanverwante accountidentificatoren. WealthPlannr vereist, legt of bewaart geen BSN, nationale identificatienummers, paspoortnummers of enig ander door de overheid identificeerbaar nummer; dergelijke identificatoren worden client-side en stroomopwaarts van alle uitgangen verwijderd, met inbegrip van rekenpaden, servercalls, logging, foutrapportage, edge-logs en crash captures. Gebruikers mogen deze niet indienen.

Financiële waarden. Vermogenswaarden (1 jan / 31 dec), dividenden, rente, gerealiseerde winsten en aanverwante invoer die vereist is voor de geselecteerde berekening. Waar van toepassing worden financiële gegevens client-side berekend. Ruwe financiële gegevens worden niet gelogd of gebruikt voor onderzoek, metrieken of productverbeteringsdoeleinden.

Documentmetadata. Uitsluitend broker-identificatie en een neutrale hint over het documentformaat. Bestandsnamen van geüploade documenten worden niet bewaard. Operationele metadata kan bestandstype, workflowstap en validatiestatus omvatten, en vermijdt ruwe financiële cliëntgegevens of directe identificatoren tenzij strikt noodzakelijk voor de gevraagde verwerking of ondersteuning.

Belasting / berekening. Financiële-rekeninvoer, formulierveldwaarden, portefeuillesamenstellingsbuckets en berekeningsuitkomsten die nodig zijn voor de geselecteerde workflow. Platformmetrieken kunnen benutting, pijplijnsamenstelling en platformfinanciën omvatten, uitsluitend in grove buckets, geaggregeerde vorm of client-side afgeronde waarden die bedoeld zijn niet-persoonlijk te zijn.

3.1 Administratieve, Beveiligings- en Handhavingsgegevens

WealthPlannr verwerkt administratieve en operationele persoonsgegevens ten behoeve van account-/platformbeheer, dienstverlening, platformmetrieken, compliance, debugging, incidentbeheer, handhaving, audit en rechtsvorderingen, vastgelegd in het register van verwerkingsactiviteiten (ROP) van WealthPlannr en behandeld als verwerking door de verwerkingsverantwoordelijke, tenzij deze deel uitmaakt van cliëntgegevens in verwerker-scope.

Interne handhavings- en incidentregistraties kunnen omvatten: IP-adres, user-agent, apparaatprofiel / client hints, land/regio, sessie-ID, account-ID, account-e-mail vastgelegd op het moment van een ban of accountstatuswijziging, aanverwante gebeurtenistijdstempels en bezwaartekst. Ruwe IP-, user-agent- en apparaatlogs worden na 14 dagen gewist, tenzij verbonden aan een beoordeeld incident, beveiligingsgebeurtenis, accountstatusbeslissing, ban, bezwaar, auditspoor of hold voor rechtsvorderingen. IP-ban-, accountstatus- en bezwaarregistraties mogen slechts langer worden bewaard voor zover doelgebonden aan handhaving, misbruikpreventie, beveiliging, audit of bewijs voor rechtsvorderingen, en worden standaard niet permanent bewaard. De toegang is beperkt tot eigenaren van WealthPlannr en bevoegde auditors/adviseurs met een noodzaak tot kennisname, onderworpen aan vertrouwelijkheids-, logging- en least-privilege-controles.

4. AI-verwerking, Metrieken en Transparantie (EU AI Act 2026)

4.1 Verwerking op basis van instructies.

Voor cliëntgegevens in verwerker-scope gebruikt WealthPlannr AI of geautomatiseerde extractie uitsluitend op basis van de gedocumenteerde instructies van de Verwerkingsverantwoordelijke (bijv. "scan deze PDF", "genereer OWR-rapport") en uitsluitend ter ondersteuning van de gevraagde berekening of workflow. Er vindt geen autonome besluitvorming met rechtsgevolg plaats, en WealthPlannr verstrekt geen financieel advies.

4.2 Garantie van niet-training.

Persoonsgegevens die ter analyse worden ingediend — en in het bijzonder cliëntgegevens van portefeuillehouders / beheerders — worden niet gebruikt om de onderliggende AI-modellen voor algemene doeleinden (Anthropic Claude) te trainen of te verbeteren, noch om productfuncties van WealthPlannr in identificeerbare vorm te verbeteren. De commerciële API-voorwaarden van Anthropic verbieden contractueel training op klantinvoer. Inhoud die aan de inference-API wordt ingediend, wordt door de subverwerker slechts gedurende een beperkte periode (tot 30 dagen) bewaard ten behoeve van backend-werking en misbruikpreventie, waarna deze wordt verwijderd; een langere periode geldt uitsluitend waar dit vereist is om het gebruiksbeleid van de subverwerker te handhaven of door de wet. Onderzoek, benchmarking, beveiligingsanalyse, kwaliteitsmeting en platformverbetering maken uitsluitend gebruik van gegevens die bij de bron zijn geanonimiseerd, geaggregeerd en/of in buckets geplaatst of anderszins niet-persoonlijk zijn gemaakt vóór gebruik, met waarborgen tegen het mozaïekeffect en fingerprinting (grove bucketing, onderdrukking van kleine cellen, dimensieminimalisatie, scheiding van directe identificatoren, toegangscontroles en beoordeling). Ruwe financiële gegevens worden niet gebruikt voor onderzoek of productverbetering.

4.3 Human-in-the-loop.

Het systeem is ontworpen om human-in-the-loop-verificatie te vereisen. De Verwerkingsverantwoordelijke (of de eindgebruiker / data-eigenaar of diens cliënt) dient geëxtraheerde of berekende gegevens te beoordelen en te bevestigen voordat een definitieve bewijs-PDF of export wordt gegenereerd. Alle geëxtraheerde waarden zijn bewerkbaar in de beoordelingsinterface.

4.4 Voorbijgaande verwerking en inference-overdrachten.

Documenten die ter extractie worden geüpload, worden voorbijgaand verwerkt en worden niet opgeslagen in enige WealthPlannr-database of enig bestandssysteem, tenzij de gebruiker uitdrukkelijk een ondersteunde opslag-/exportfunctie selecteert. Om een gevraagde berekening of analyse uit te voeren, worden de exacte financiële waarden die nodig zijn voor een nauwkeurig resultaat overgedragen aan de AI-inference-subverwerker (Sectie 5); dergelijke gegevens kunnen niet worden vergrofd of in buckets geplaatst zonder onjuiste resultaten op te leveren, en worden waar mogelijk overgedragen met minimalisatie van directe identificatoren. Aldus overgedragen gegevens zijn onderworpen aan de bewaartermijnen van de subverwerker zoals beschreven in Sectie 4.2 en Sectie 5, en worden niet gebruikt voor onderzoek of modeltraining. Geëxtraheerde gestructureerde gegevens bestaan overigens uitsluitend in de browsersessie of werkruimte van de gebruiker ten behoeve van de geselecteerde workflow.

5. Subverwerkers

WealthPlannr stelt de Verwerkingsverantwoordelijke in kennis van voorgenomen wijzigingen in subverwerkers met een opzegtermijn van ten minste 30 dagen waar redelijkerwijs uitvoerbaar, en biedt de mogelijkheid bezwaar te maken op redelijke gegevensbeschermingsgronden. Subverwerkers zijn gebonden aan schriftelijke voorwaarden die niet minder beschermend zijn dan deze verwerkersovereenkomst.

Internationale doorgiften. Waar een aanbieder buiten de EER is gevestigd — Anthropic (Verenigde Staten, AI-inference), Resend (Verenigde Staten, transactionele e-mail), Upstash QStash (Verenigde Staten, geplande taken) en Stripe (moederentiteit in de Verenigde Staten; EU-betalingen via haar Ierse entiteit) — is de doorgifte gewaarborgd op grond van Artikel 46 AVG: modelcontractbepalingen (Standard Contractual Clauses), het EU–VS Data Privacy Framework waar van toepassing, en aanvullende maatregelen die redelijkerwijs vereist zijn voor het verwerkingsrisico, zoals uiteengezet in de eigen verwerkersovereenkomst van die subverwerker. Alle overige subverwerkers verwerken binnen de EER, tenzij anders meegedeeld.

6. Technische en Organisatorische Maatregelen (TOMs)

Toegangscontrole. API-sleutels worden uitsluitend server-side opgeslagen; Supabase-authenticatie. Toegang tot administratieve persoonsgegevens, handhavings- en incidentregistraties is beperkt tot eigenaren van WealthPlannr en bevoegde auditors/adviseurs met een noodzaak tot kennisname, onder least-privilege- en vertrouwelijkheidscontroles.

Isolatie en versleuteling. Multi-tenant-architectuur met Row-Level Security (RLS) voor strikte scheiding per gebruiker; versleuteling in rust (AES-256) en tijdens overdracht (TLS 1.3); veilig server-side beheer van geheimen.

Minimalisatie. Uitsluitend gegevens die noodzakelijk zijn voor de gevraagde berekening, dienstverlening, ondersteuning, beveiliging, compliance, debugging, incident, handhaving, audit of rechtsvorderingen worden verwerkt. BSN / overheids-ID wordt niet vastgelegd en wordt client-side stroomopwaarts van alle uitgangen verwijderd.

Auditsporen en logminimalisatie. Gelogde gebeurtenissen voor documentuploads, rapportgeneratie, gegevensexports, beveiligingsgebeurtenissen en accountstatuswijzigingen. Ruwe IP-, user-agent- en apparaatlogs worden na 14 dagen gewist, tenzij verbonden aan een beoordeeld incident, bezwaar, auditspoor of hold voor rechtsvorderingen. Onderzoeks- en platformverbeteringsmetrieken maken gebruik van geanonimiseerde, geaggregeerde en/of in buckets geplaatste niet-persoonlijke gegevens met waarborgen tegen het mozaïekeffect.

Doorlopende maatregelen. Beheer van kwetsbaarheden en afhankelijkheden, logging en monitoring, back-up-/beschikbaarheidsmaatregelen, vertrouwelijkheidsverplichtingen van personeel/adviseurs, due diligence van subverwerkers en periodieke evaluatie van de controles.

7. Melding van Datalekken

Voor cliëntpersoonsgegevens in verwerker-scope stelt WealthPlannr de Verwerkingsverantwoordelijke zonder onredelijke vertraging (en in ieder geval binnen 48 uur) in kennis nadat zij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die deze gegevens treft, zodat de Verwerkingsverantwoordelijke kan voldoen aan een eventuele meldplicht binnen 72 uur aan de Autoriteit Persoonsgegevens. Totdat de Verwerkingsverantwoordelijke een specifiek datalekcontactpunt bevestigt, mag WealthPlannr de account-e-mail van de accounteigenaar / beheerder / hoofdaccount als standaard gebruiken; elke professionele gebruiker dient die standaard te bevestigen of te vervangen vóór of bij de eerste verwerking van cliëntgegevens. Voor incidenten in WealthPlannr-verwerkingsverantwoordelijke-scope beoordeelt WealthPlannr deze zelf en doet zij zelf de eventueel vereiste meldingen.

De melding omvat: de aard van de inbreuk, de categorieën en het geschatte aantal getroffen betrokkenen, de waarschijnlijke gevolgen, de getroffen of voorgestelde maatregelen ter beperking, en een contactpunt voor opvolging.

8. Auditrechten

De Verwerkingsverantwoordelijke kan bewijs opvragen van naleving van deze verwerkersovereenkomst voor cliëntgegevens in verwerker-scope. WealthPlannr verstrekt relevante documentatie, samenvattingen van TOMs, informatie over subverwerkers, samenvattingen van bewaartermijnen, uittreksels uit het ROP waar passend, certificeringen indien beschikbaar, of faciliteert (op redelijke aankondiging en behoudens vertrouwelijkheids- en beveiligingsgrenzen) audits, mede via de compliance-omgeving voor operators. Contact: audit@wealthplannr.nl

9. Teruggave en Verwijdering van Gegevens (cliëntpersoonsgegevens in verwerker-scope)

9.1 Reikwijdte. Deze Sectie regelt cliëntpersoonsgegevens in verwerker-scope — gegevens die een portefeuillehouder, beheerder of professioneel gebruiker (de "Verwerkingsverantwoordelijke") invoert, importeert of beheert namens de cliënten van die gebruiker of andere derden. Persoonsgegevens die WealthPlannr verwerkt als zelfstandig verwerkingsverantwoordelijke (account-, facturatie-, beveiligings-, incident-, handhavings-, audit- en rechtsvorderingsregistraties) vormen geen cliëntpersoonsgegevens in verwerker-scope en worden beheerst door Secties 2 en 3.1 en het Aanvullend deel, niet door deze Sectie.

9.2 Teruggave of verwijdering naar keuze van de Verwerkingsverantwoordelijke. Bij het einde van de verwerkingsdienstverlening kan de Verwerkingsverantwoordelijke kiezen voor hetzij (a) teruggave van de cliëntpersoonsgegevens in verwerker-scope, gevolgd door verwijdering van bestaande kopieën, hetzij (b) verwijdering van die gegevens — behoudens voor zover bewaring vereist is op grond van Unierecht of Nederlands recht. Bij gebreke van een uitdrukkelijke keuze past WealthPlannr teruggave-gevolgd-door-verwijdering toe: de gegevens worden gedurende de afbouw- of sluimerperiode beschikbaar gesteld voor selfservice-export/teruggave en worden vervolgens verwijderd op grond van 9.6.

9.3 Triggers voor einde van verwerking. (a) Actieve beëindiging — de Verwerkingsverantwoordelijke beëindigt het abonnement, de werkruimte of de verwerkingsdienst, geeft opzegging, of een ondersteunde verwerkingsversie wordt uitgefaseerd. (b) Passief verval — het abonnement vervalt zonder uitdrukkelijke beëindiging (bijv. niet-verlenging of mislukte betaling) en er is geen verwijdering verzocht; behandeld onder het sluimerproces in 9.7.

9.4 Afbouwperiode. Bij actieve beëindiging of het uitfaseren van een versie biedt WealthPlannr een afbouwperiode van 30 dagen, gedurende welke de Verwerkingsverantwoordelijke cliëntpersoonsgegevens in verwerker-scope kan exporteren, terugnemen of migreren, waar redelijkerwijs uitvoerbaar.

9.5 Teruggavemechanisme (selfservice). Vóór beëindiging en gedurende de afbouwperiode kan de Verwerkingsverantwoordelijke cliëntpersoonsgegevens in verwerker-scope exporteren via een selfservice-pull; de exporttoegang is identiteitsgebonden en is niet afhankelijk van de abonnementsstatus, zodat een vervallen of geannuleerd abonnement deze niet doorbreekt. Ondersteunde rapporten zijn beschikbaar als PDF, CSV en platte tekst (.txt) — waaronder het Tegenbewijs / OWR (Werkelijk Rendement)-bewijsrapport, een bulk-OWR-export voor meerdere cliënten, een grootboekexport en een samengesteld adviseurpakket. Een machineleesbare volledige-accountexport (JSON) is aanvullend beschikbaar voor gegevensoverdraagbaarheid. De teruggave geschiedt via selfservice-export; WealthPlannr levert niet afzonderlijk een pakket, tenzij afzonderlijk overeengekomen. Deze selfservice-teruggave dient tevens de eigen terugoverdracht van de Verwerkingsverantwoordelijke aan, en de verplichtingen jegens, diens cliënten.

9.6 Verwijdering. Na de afbouwperiode (actieve beëindiging) of de sluimerperiode (passief verval, 9.7) verwijdert WealthPlannr cliëntpersoonsgegevens in verwerker-scope zonder onredelijke vertraging, behalve voor zover bewaring wettelijk vereist of toegestaan is (met inbegrip van een hold voor rechtsvorderingen) of de gegevens deel uitmaken van de afzonderlijke registraties van WealthPlannr in verwerkingsverantwoordelijke-scope onder 9.1. De verwijdering wordt synchroon op verzoek uitgevoerd — er is geen uitgestelde wachtrij of respijttimer — zodat de live-/productie-verwijdering bij uitvoering wordt voltooid; daarna resteren uitsluitend in de tijd beperkte back-upkopieën bij subverwerkers, die vervallen op grond van 9.9. WealthPlannr maakt geen aanspraak op een recht om cliëntpersoonsgegevens in verwerker-scope onbeperkt te bewaren.

9.7 Sluimering bij passief verval. Waar een abonnement vervalt zonder uitdrukkelijke beëindiging en er geen verwijdering is verzocht, bewaart WealthPlannr de gegevens gedurende een beperkte sluimerperiode die is afgestemd op de betalingsherhaal- en annuleringscyclus van het abonnement, zodat de Verwerkingsverantwoordelijke kan hervatten zonder gegevensverlies. Indien de Verwerkingsverantwoordelijke binnen die periode noch hervat noch bezwaar maakt, gaan de gegevens over in het verwijderingsproces in 9.6.

9.8 Wettelijk vereiste bewaring. Verwijdering op grond van deze Sectie strekt zich niet uit tot registraties die WealthPlannr op grond van Unierecht of Nederlands recht moet bewaren, uitsluitend bewaard gedurende de wettelijke termijn en voor het wettelijke doel. De bewaring van de eigen registraties van WealthPlannr in verwerkingsverantwoordelijke-scope (met inbegrip van fiscale/boekhoudkundige registraties en bewijs-van-aanvaarding/-toestemmingsregistraties) wordt behandeld in het Aanvullend deel.

9.9 Back-ups. WealthPlannr onderhoudt geen back-upkopieën op applicatieniveau van cliëntpersoonsgegevens in verwerker-scope in haar eigen database. Kopieën kunnen voorbijgaand blijven bestaan in back-ups en operationele logs van subverwerkers (zie Sectie 5); het voornaamste dergelijke venster is de bewaartermijn van de dagelijkse Supabase-back-up (thans zeven dagen; point-in-time recovery is niet ingeschakeld), waarna deze in de normale gang van zaken vervallen. Back-ups worden uitsluitend gebruikt voor herstel en beschikbaarheid.

9.10 Bevestiging. Na verwijdering verstrekt WealthPlannr op verzoek een schriftelijke bevestiging.

Companion — Accountverwijdering en Bewaring in Verwerkingsverantwoordelijke-Scope

(Voor de verwerkingsverantwoordelijke-voorwaarden / privacyverklaring van WealthPlannr — geen onderdeel van het verwerkersovereenkomst-hoofddeel.)

C.1 Reikwijdte. Van toepassing op persoonsgegevens die WealthPlannr verwerkt als zelfstandig verwerkingsverantwoordelijke: (a) directe eindgebruikers-/data-eigenaargegevens (eigen account, financiële gegevens, portefeuille); en (b) de administratieve, facturatie-, beveiligings-, incident-, handhavings-, audit- en rechtsvorderingsregistraties van WealthPlannr voor alle gebruikers.

C.2 Accountverwijdering (directe gebruikers) — Artikel 17 AVG. Op een geverifieerd verzoek tot accountverwijdering of accountsluiting verwijdert WealthPlannr de persoonsgegevens van de gebruiker in verwerkingsverantwoordelijke-scope zonder onredelijke vertraging uit de live-/productiesystemen. De wissing wordt synchroon op verzoek uitgevoerd (betalingsannulering, gevolgd door een alles-of-niets-cascadeverwijdering van het account) — er is geen respijttimer — zodat de live-verwijdering bij uitvoering wordt voltooid; resterende kopieën vervallen vervolgens conform C.3. De verwijdering is onderworpen aan de uitzonderingen in C.4.

C.3 Back-ups (directe gebruikers). De live-/productieverwijdering wordt bij uitvoering voltooid (C.2). Resterende kopieën in back-ups en logs van subverwerkers vervallen op grond van de schema's in Sectie 5 — het plafond is het venster van de dagelijkse Supabase-back-up (thans zeven dagen; point-in-time recovery niet ingeschakeld) — en worden niet hersteld, behoudens ten behoeve van beschikbaarheid.

C.4 Registraties die ondanks verwijdering worden bewaard (uitzonderingen). (a) De eigen fiscale en boekhoudkundige registraties van WealthPlannr die WealthPlannr op grond van het Nederlandse belastingrecht moet bewaren (de zevenjarige bewaarplicht over de eigen administratie). Deze verplichting geldt uitsluitend voor de eigen bedrijfsregistraties van WealthPlannr; zij strekt zich niet uit tot de financiële gegevens van gebruikers of hun cliënten, die WealthPlannr niet op fiscale grond bewaart en bij wissing verwijdert. Het verkoop-/omzetgrootboek van WealthPlannr wordt aangehouden bij de betalingsverwerker, zodat de lokale fiscale-bewaringsvoetafdruk minimaal is. (b) Het bewijs-van-aanvaarding-/toestemming-en-instructiegrootboek (verantwoordingsplicht, Artikel 5(2) AVG): append-only en bij wissing geminimaliseerd (directe identificatoren gepseudonimiseerd), onbeperkt bewaard ten behoeve van verantwoording. (c) Beveiligings-, incident-, handhavings-, ban-/accountstatus- en bezwaarregistraties onder Sectie 3.1 — ruwe IP-, user-agent- en apparaatgegevens worden na 14 dagen gewist, tenzij verbonden aan een beoordeelde aangelegenheid of hold voor rechtsvorderingen. (d) De bewijs-van-wissing-registratie op grond van Artikel 17 AVG. Behoudens het grootboek onder (b) worden uitzonderingen geminimaliseerd tot het bewaardoel en standaard niet permanent bewaard.

C.5 Passieve sluimering (directe gebruikers). Niet van toepassing. Directe / free-tier-gebruikers hebben geen abonnementsvervalcyclus, zodat verwijdering van directe gebruikers uitsluitend op verzoek geschiedt onder C.2. De sluimering in Sectie 9.7 is uitsluitend van toepassing op accounts die een betaald abonnement hadden.

10. Toepasselijk Recht en Aansprakelijkheid

Aansprakelijkheid. Behoudens de dwingende rechten van betrokkenen en toezichthoudende autoriteiten is de totale onderlinge aansprakelijkheid van elke partij die voortvloeit uit of verband houdt met deze verwerkersovereenkomst beperkt tot het hoogste van (a) de vergoedingen die voor de betrokken diensten zijn betaald of verschuldigd in de 12 maanden voorafgaand aan de gebeurtenis die aanleiding geeft tot aansprakelijkheid, of (b) EUR 25.000. Deze beperking is wederzijds en beperkt niet de aansprakelijkheid voor fraude, opzettelijk wangedrag, opzettelijke inbreuk, betalingsverplichtingen, inbreuk op of misbruik van intellectuele eigendom, schending van vertrouwelijkheid, onrechtmatig gebruik of onrechtmatige openbaarmaking van persoonsgegevens buiten de reikwijdte van deze verwerkersovereenkomst, of vrijwaringsverplichtingen [reikwijdte nader te bepalen] voor zover deze niet rechtsgeldig kunnen worden beperkt. De beperking beperkt niet de blootstelling van een partij aan betrokkenen op grond van Artikel 82 AVG of enige niet voor afstand vatbare aansprakelijkheid jegens een toezichthoudende autoriteit; bijdrage en verdeling tussen de partijen blijven onderworpen aan het toepasselijke recht en aan de schuld, rol en instructies van elke partij.

Toepasselijk recht. Deze verwerkersovereenkomst wordt beheerst door het recht van Nederland en de AVG, zonder inachtneming van conflictregels. De partijen onderwerpen geschillen aan de exclusieve bevoegdheid van de bevoegde rechter te Amsterdam, onverminderd de dwingende rechten van betrokkenen, de bevoegdheden van toezichthoudende autoriteiten, of enig dwingend forum dat door de wet wordt vereist.

11. Bijstand aan de Verwerkingsverantwoordelijke (Art. 28(3)(e), (f), (h) AVG)

11.1 Rechten van betrokkenen (Art. 28(3)(e)). Rekening houdend met de aard van de verwerking staat WealthPlannr de Verwerkingsverantwoordelijke bij door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bij het vervullen van de verplichting van de Verwerkingsverantwoordelijke om te reageren op verzoeken van betrokkenen op grond van Hoofdstuk III AVG (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar). Waar selfservice-tooling bestaat, handelt de Verwerkingsverantwoordelijke daarmee; waar alleen WealthPlannr uitvoering aan een verzoek kan geven, handelt WealthPlannr op de gedocumenteerde instructie van de Verwerkingsverantwoordelijke zonder onredelijke vertraging. Standaard, selfservice-verzoeken worden binnen het abonnement afgehandeld; voor buitengewone handmatige inspanning kunnen redelijke kosten in rekening worden gebracht.

11.2 DPIA en voorafgaande raadpleging (Art. 28(3)(f); Art. 35–36). Rekening houdend met de aard van de verwerking en de haar ter beschikking staande informatie staat WealthPlannr de Verwerkingsverantwoordelijke bij met gegevensbeschermingseffectbeoordelingen en enige voorafgaande raadpleging van de Autoriteit Persoonsgegevens door het verstrekken van informatie die haar redelijkerwijs ter beschikking staat (met inbegrip van de verwerkingsbeschrijving in Sectie 3, de maatregelen in Sectie 6, de subverwerkersinformatie in Sectie 5, en uittreksels via de compliance-omgeving voor operators). WealthPlannr verstrekt informatie ter ondersteuning van de beoordeling van de Verwerkingsverantwoordelijke; zij voert de DPIA van de Verwerkingsverantwoordelijke niet uit en bepaalt de uitkomst daarvan niet.

11.3 Bijstand bij beveiligingsincidenten (Art. 28(3)(f); Art. 33–34). WealthPlannr staat de Verwerkingsverantwoordelijke bij bij het nakomen van diens verplichtingen inzake melding en communicatie van datalekken zoals uiteengezet in Sectie 7.

11.4 Onrechtmatige instructies (Art. 28(3)(h)). WealthPlannr stelt de Verwerkingsverantwoordelijke onmiddellijk in kennis indien naar haar oordeel een instructie inbreuk maakt op de AVG of ander toepasselijk Unie- of lidstatelijk gegevensbeschermingsrecht, en kan de betrokken verwerking opschorten in afwachting van de bevestiging of intrekking van de instructie door de Verwerkingsverantwoordelijke.

11.5 Verwerking op instructies; gedwongen doorgiften (Art. 28(3)(a)). WealthPlannr verwerkt cliëntpersoonsgegevens in verwerker-scope uitsluitend op basis van de gedocumenteerde instructies van de Verwerkingsverantwoordelijke, ook wat betreft internationale doorgiften, tenzij zij op grond van Unierecht of Nederlands recht tot iets anders gehouden is; in dat geval stelt WealthPlannr de Verwerkingsverantwoordelijke vóór de verwerking in kennis van dat wettelijke vereiste, tenzij de wet deze kennisgeving verbiedt om gewichtige redenen van algemeen belang.

Acceptatie

Professionele gebruikers, portefeuillehouders en beheerders kunnen deze verwerkersovereenkomst elektronisch aanvaarden via Instellingen → Abonnement of een gelijkwaardige accountflow. Door "Ik beheer cliënt- of gegevens van derden via WealthPlannr en ga akkoord met de WealthPlannr Verwerkersovereenkomst (DPA)" te aanvaarden, erkent u dat u verwerkingsverantwoordelijke bent voor de persoonsgegevens van die cliënten en instrueert u WealthPlannr om die gegevens als verwerker te verwerken op grond van deze Verwerkersovereenkomst. Tenzij het account uitsluitend voor de eigen persoonsgegevens van de gebruiker is geconfigureerd en gebruikt, wordt een werkruimte van een professioneel gebruiker, portefeuillehouder of beheerder verondersteld cliënt- of gegevens van derden te betreffen waarvoor die gebruiker Verwerkingsverantwoordelijke is en WealthPlannr Verwerker. Eindgebruikers / data-eigenaren die uitsluitend hun eigen gegevens beheren, zijn onderworpen aan de verwerkingsverantwoordelijke-voorwaarden van WealthPlannr. De modus van een account wordt vastgesteld door de aanduiding daarvan op grond van Sectie 1.2; het vermoeden in deze sectie Acceptatie is uitsluitend van toepassing waar geen uitdrukkelijke aanduiding is gedaan en wijkt voor de aanduiding waar deze bestaat.

© 2026 WealthPlannr B.V. · KvK 42050571. WealthPlannr levert financiële-reken- en simulatiesoftware en is geen vergunninghoudend financieel adviseur onder de Wft (Wet op het financieel toezicht). Uitvoer betreft rekenhulpmiddelen en workflowmateriaal, geen financieel, beleggings-, fiscaal of juridisch advies, en dient te worden getoetst aan brondocumenten en het toepasselijke recht.