Verwerkersovereenkomst

Afspraken over de gegevens die jij als klant van Heli HQ over jouw leads en klanten verwerkt. Versie 5, 25 september 2026.

1. Partijen en onderwerp

Deze overeenkomst geldt tussen de Klant (verwerkingsverantwoordelijke) en Heli HQ, Papaverweg 34, 1032 KJ Amsterdam, KvK 96162996 (verwerker). Zij is onderdeel van de algemene voorwaarden en komt tot stand doordat de Klant een account aanmaakt. Zij geldt zolang het account bestaat.

2. Wat wij verwerken en waarom

De Klant gebruikt Heli HQ om zijn bedrijf te beheren. Daarbij verwerken wij in opdracht van de Klant persoonsgegevens van de leads, klanten, medewerkers en contactpersonen van de Klant. Het gaat om contactgegevens (naam, e-mailadres, telefoonnummer, adres), afspraken en boekingen, pakketten en betaalstatussen, offertes, facturen en documenten, notities en berichten, antwoorden op onboardingformulieren, en gegevens die via koppelingen binnenkomen (zoals leads uit een formulier op de website van de Klant). Wij verwerken deze gegevens uitsluitend om de Dienst te leveren, op instructie van de Klant.

Bijzondere persoonsgegevens. De Dienst is niet bedoeld voor bijzondere persoonsgegevens, zoals gegevens over gezondheid. Vraagt de Klant die toch uit, bijvoorbeeld in een onboardingformulier, dan is de Klant ervoor verantwoordelijk dat daarvoor een geldige grondslag bestaat en dat hij daarover goed informeert. De WordPress-plugin van Heli HQ stuurt velden met wachtwoorden, betaalgegevens (creditcard, IBAN), een BSN of gegevens over gezondheid niet door, en zet zijn herkomst-cookie alleen na toestemming van de bezoeker voor marketingcookies. Voor de cookiebanner op zijn eigen website zorgt de Klant.

3. Verplichtingen van Heli HQ

• Wij verwerken de gegevens alleen op basis van de gedocumenteerde instructies van de Klant, zoals die volgen uit deze overeenkomst en het gebruik van de Dienst, en nooit voor eigen doeleinden. Vinden wij dat een instructie in strijd is met de AVG, dan laten wij dat de Klant direct weten.
• Iedereen die bij ons toegang heeft tot de gegevens is tot geheimhouding verplicht.
• Wij nemen passende technische en organisatorische maatregelen; zie de bijlage onderaan.
• Wij helpen de Klant bij verzoeken van betrokkenen (inzage, correctie, verwijdering, overdraagbaarheid), bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens, voor zover dat redelijkerwijs van ons kan worden verwacht.
• Bij een datalek dat de gegevens van de Klant raakt, informeren wij de Klant zo snel mogelijk en uiterlijk binnen 48 uur nadat wij het lek hebben ontdekt. Wij geven daarbij, voor zover bekend: de aard van het lek, de categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, en de maatregelen die wij hebben genomen of voorstellen. Zo kan de Klant binnen 72 uur aan zijn eigen meldplicht voldoen.
• Wat de Klant in de Dienst verwijdert (zoals een lead, klant of bestand), bewaren wij nog dertig dagen; daarna wissen wij het definitief, ook uit de opslag. Heeft de Klant een klant een factuur gestuurd, of hoort er een ondertekend document, een geaccepteerde offerte of een betaling bij die klant, dan maken wij de klant anoniem en blijven die stukken bewaard, zodat de Klant aan zijn bewaarplicht kan voldoen.
• Wij stellen de Klant in staat na te gaan dat wij ons aan deze overeenkomst houden, bijvoorbeeld door vragen te beantwoorden of, na overleg, een audit toe te staan.

4. Subverwerkers

Wij schakelen de onderstaande subverwerkers in. Met elk van hen hebben wij afspraken die minimaal gelijkwaardig zijn aan deze overeenkomst, en wij blijven tegenover de Klant volledig verantwoordelijk voor hun nakoming.

• Supabase (database, inloggen en bestandsopslag). Opslag in de Europese Unie (Frankfurt); het bedrijf is gevestigd in de Verenigde Staten.
• Vercel (hosting van de website en de app). Verwerking in de Europese Unie (Frankfurt); het bedrijf is gevestigd in de Verenigde Staten.
• Anthropic (het AI-model achter de AI-assistent). Verwerking in de Verenigde Staten. Gegevens worden niet gebruikt om modellen te trainen.
• Google (Google Workspace voor uitgaande e-mail namens de Klant). Verwerking in de EU en de Verenigde Staten.
• Mollie (betalingen voor het abonnement). Verwerking in de Europese Unie.

Koppelingen die de Klant zelf aanzet, zoals Google Agenda en Drive, zijn eigen Mollie-account, Meta, Instantly, Klaviyo, Jortt en Microsoft Clarity, gebruiken wij op instructie van de Klant. De Klant heeft met die diensten een eigen overeenkomst; zij zijn geen subverwerker van Heli HQ. Gegevens die via een Google-koppeling binnenkomen gebruiken wij uitsluitend voor de functie die de Klant heeft aangezet, conform het Google API Services User Data Policy inclusief de eisen voor beperkt gebruik.

Nieuwe subverwerkers kondigen wij minimaal dertig dagen van tevoren per e-mail aan. De Klant kan binnen die termijn bezwaar maken en, als wij daar niet aan tegemoet kunnen komen, opzeggen.

5. Doorgifte buiten de EU

Opslag van de gegevens vindt plaats binnen de Europese Unie. Waar een subverwerker gegevens buiten de EU verwerkt of daar gevestigd is, gebeurt doorgifte op basis van het EU-VS Data Privacy Framework (als de subverwerker daaronder gecertificeerd is) of anders op basis van de Europese standaardcontractbepalingen, met aanvullende maatregelen waar nodig.

6. Verplichtingen van de Klant

De Klant zorgt dat hij de gegevens rechtmatig mag verwerken en aan Heli HQ mag toevertrouwen, dat hij zijn eigen betrokkenen informeert, en dat zijn Gebruikers zorgvuldig met inloggegevens omgaan. Doet de Klant via Heli HQ incasso's bij zijn eigen klanten, dan zorgt de Klant zelf voor een geldig incassomandaat en de wettelijk vereiste vooraankondiging aan zijn klanten.

7. Einde van de overeenkomst

De Klant kan al zijn gegevens op elk moment zelf exporteren, onder Instellingen met Alles exporteren. Verwijdert de Klant zijn werkruimte, dan is die direct niet meer bereikbaar; de Klant exporteert daarom vooraf. Uiterlijk dertig dagen na het verwijderen wissen wij alle gegevens van de Klant definitief, inclusief de bestanden in de opslag en back-ups binnen de daarvoor geldende cyclus. De Klant exporteert de facturen die hij via Heli HQ aan zijn eigen klanten stuurde vóór de verwijdering; de wettelijke bewaarplicht daarvoor ligt bij de Klant. Heli HQ bewaart alleen de facturen die Heli HQ zelf aan de Klant stuurde, zeven jaar, vanwege de fiscale bewaarplicht.

8. Aansprakelijkheid en recht

Voor aansprakelijkheid geldt wat in de algemene voorwaarden staat. Op deze overeenkomst is Nederlands recht van toepassing.

Bijlage: beveiligingsmaatregelen

• Versleuteling: alle verbindingen via HTTPS (TLS); wachtwoorden versleuteld opgeslagen; sleutels van koppelingen versleuteld bewaard.
• Toegang: elk teamlid heeft een eigen inlog met een bevestigingscode per e-mail op een nieuw apparaat; wachtwoorden die in openbare lekken voorkomen worden geweigerd.
• Rechten: per teamlid bepaalt de Klant welke onderdelen iemand ziet; de database dwingt dat per tabel af.
• Scheiding: gegevens van verschillende klanten zijn per werkruimte gescheiden en door de database afgeschermd.
• Beschikbaarheid: dagelijkse back-ups door de databaseleverancier.
• Logboek: fouten en belangrijke acties worden gelogd en na negentig dagen verwijderd.
• Links met toegang: links naar offertes, facturen en documenten bevatten een onraadbare code; alleen een versleutelde versie daarvan staat in de database.