Verwerkersovereenkomst

Versie 1.0 · 15 oktober 2026

Waarover gaat deze overeenkomst?

Wie Hopfact gebruikt, zet er persoonsgegevens van anderen in: de contactpersonen van zijn klanten, wie een timesheet ondertekent, wie een timesheet of factuur ontvangt. Voor die gegevens is jouw onderneming de verwerkingsverantwoordelijke, en LOOTVOET BV de verwerker. Artikel 28 van de Algemene Verordening Gegevensbescherming (AVG) vraagt dan een overeenkomst tussen beide. Dit is die overeenkomst.

Woorden als persoonsgegevens, verwerking, betrokkene en subverwerker hebben de betekenis die de AVG ze geeft. Een datalek is een inbreuk in verband met persoonsgegevens in de zin van de AVG.

Partijen

Jij: de onderneming die Hopfact gebruikt, als verwerkingsverantwoordelijke.
Wij: LOOTVOET BV, Groenestraat 37/C, 8691 Alveringem, ondernemings- en btw-nummer BE 0800.934.047, RPR Gent, afdeling Veurne, als verwerker. Je bereikt ons op info@hopfact.be.

Je aanvaardt deze overeenkomst in de app: wanneer je je organisatie aanmaakt, en opnieuw bij elke nieuwe versie. We leggen vast met welk account, met welke versie en wanneer je akkoord ging. Dat akkoord geldt als schriftelijke overeenkomst in elektronische vorm, zoals artikel 28 AVG toelaat. Wie akkoord gaat, verklaart dat hij dat namens de onderneming mag doen.

Voor je eigen account, je aanmelding en de wachtlijst zijn wij zelf verantwoordelijk. Die vallen buiten deze overeenkomst. Daarvoor geldt de privacyverklaring.

Onderwerp, duur, aard en doel

Onderwerp: de persoonsgegevens die je in Hopfact invult, en die ontstaan wanneer je Hopfact gebruikt.
Duur: vanaf je akkoord tot we alle gegevens gewist hebben (zie "Na het einde").
Aard: bewaren, ordenen, opzoeken en tonen, samenvoegen tot documenten (timesheets, facturen en audittrails), versturen per mail en via Peppol, gebeurtenissen vastleggen, en wissen.
Doel: enkel jou Hopfact leveren: je werk bijhouden, timesheets maken en laten ondertekenen, facturen maken en versturen, je meldingen sturen en je documenten bewaren. Daarnaast houden we Hopfact veilig en werkend. We gebruiken je gegevens nooit voor eigen doeleinden, we verkopen ze niet en we sturen er geen reclame mee.

Welke gegevens, van wie

Betrokkenen	Gegevens
Contactpersonen bij je klanten	Naam, e-mailadres, functie en taal
Ondertekenaars	Naam, e-mailadres en taal. De getypte naam of de getekende handtekening (als lijnen, niet als beeld), en de reden van een weigering. Het tijdstip van elke stap: verzoek, herinnering, openen, downloaden, goedkeuren of weigeren. Bij elke handeling op de ondertekenpagina ook het IP-adres en de browser
Klanten en bureaus die een natuurlijk persoon zijn, zoals een zelfstandige	Naam, adres, btw- en ondernemingsnummer, logo, e-mailadressen voor facturen en timesheets, en wat op hun facturen staat
Ontvangers van timesheets en facturen	E-mailadres, en of de mail aankwam
Consultants en andere mensen van je onderneming zonder eigen account	Naam op opdrachten, timesheets en facturen, en de dagen, uren en notities op hun timesheets
Iedereen die je in vrije tekst noemt	Wat je schrijft in dagnotities, omschrijvingen van tijdsblokken of factuurlijnen

Je zet in Hopfact geen bijzondere categorieën van persoonsgegevens, zoals gegevens over gezondheid of godsdienst, geen gegevens over strafrechtelijke veroordelingen en geen rijksregisternummers. Hopfact vraagt er nergens naar.

Jouw instructies

We verwerken je gegevens enkel op jouw instructie. Je instructies zijn deze overeenkomst en wat je in de app doet. Met "Teken en verstuur" vraag je ons bijvoorbeeld om de timesheet naar de ondertekenaar te mailen, met "Versturen via Peppol" om de factuur via Recommand te versturen.

Verplicht de wet ons tot een andere verwerking, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt. Vinden we dat een instructie de AVG schendt, dan zeggen we het je.

Wat wij doen

Vertrouwelijkheid

Wie bij ons aan je gegevens kan, is tot geheimhouding verplicht. Vandaag is dat één persoon: de uitbater van Hopfact. Hij kijkt enkel in je gegevens als dat nodig is: om een fout of storing op te lossen, voor support waar jij om vroeg, of omdat de wet het vraagt.

Beveiliging

We nemen passende technische en organisatorische maatregelen, zoals artikel 32 AVG vraagt. Vandaag zijn dat deze:

De app en haar gegevens staan in de Europese Unie, bij Microsoft Azure in Zweden.
Al het verkeer is versleuteld (TLS 1.2 of hoger), en de database en de documentopslag zijn versleuteld opgeslagen.
Elke organisatie ziet enkel haar eigen gegevens. Een filter in de app dwingt dat af bij elke opzoeking, en geautomatiseerde tests controleren het.
Hopfact kent geen wachtwoorden. Je meldt je aan via Microsoft Entra External ID, met een eenmalige code, met Google of met een persoonlijk Microsoft-account. De app zelf bereikt de database, de opslag en de sleutelkluis met een beheerde identiteit van Azure, zonder wachtwoord.
Geheime sleutels staan in Azure Key Vault, niet in de code.
Documenten staan in een private opslag. Je downloadt ze enkel via de app, nadat die nagekeken heeft wie je bent.
Uitgereikte facturen, verstuurde timesheets en hun audittrail staan in een onveranderbare opslag: 10 jaar lang kan niemand ze wijzigen of wissen.
Een ondertekenlink bevat 32 willekeurige bytes. We bewaren er enkel een vingerafdruk (hash) van, en de link komt nooit in een log.
Logs bevatten nooit een e-mailadres, IBAN of token, en worden na 30 dagen gewist.
Publieke pagina's, zoals de ondertekenpagina, remmen te veel pogingen per IP-adres af.
Azure maakt automatisch back-ups van de database.
Enkel de uitbater kan aan de productieomgeving, met zijn eigen Microsoft-account.

We passen die maatregelen aan wanneer de risico's of de techniek veranderen.

Subverwerkers

Je geeft ons een algemene toestemming om deze subverwerkers in te schakelen:

Subverwerker	Wat	Waar
Microsoft Ireland Operations Ltd, Ierland	Hosting (App Service), database (Azure SQL), documentopslag (Blob Storage), sleutelkluis (Key Vault), e-mail en bezorgrapporten (Azure Communication Services en Event Grid), logs (Application Insights) en aanmelden (Entra External ID)	Zweden (Sweden Central). E-mail: Europa
Recommand: BRBX BV, Nieuwdorp 5, 3990 Peer, België, ondernemingsnummer 1012.081.766	Peppol-toegangspunt: je onderneming registreren als afzender, nagaan of een klant via Peppol kan ontvangen, en facturen via Peppol versturen	Europese Unie
Plausible Insights OÜ, Estland	Bezoekersstatistieken van de website. Krijgt geen gegevens uit de app	Duitsland

We leggen elke subverwerker in een schriftelijke overeenkomst dezelfde verplichtingen op als deze overeenkomst. Voor Microsoft is dat zijn Data Protection Addendum. Komt een subverwerker zijn verplichtingen niet na, dan blijven wij daarvoor verantwoordelijk tegenover jou.

Willen we een subverwerker toevoegen of vervangen, dan laten we je dat minstens 30 dagen vooraf weten, per mail naar het contactadres van je organisatie. De app vraagt je dan een nieuwe versie van deze overeenkomst te aanvaarden. Je kan bezwaar maken. Vinden we samen geen oplossing, dan kan je stoppen met Hopfact voor de wijziging ingaat.

Geen subverwerkers zijn de ontvangers die jij kiest (je klant, de ondertekenaar, het Peppol-toegangspunt van je klant en je boekhoudtool), en VIES, de dienst van de Europese Commissie waar we een btw-nummer nakijken.

Doorgifte buiten de Europese Economische Ruimte

Je gegevens staan in de Europese Unie. Bij support of onderhoud door Microsoft is toegang vanuit een land buiten de Europese Economische Ruimte mogelijk. Daarvoor gelden de standaardcontractbepalingen van de Europese Commissie, in de overeenkomst met Microsoft. Recommand doet voor enkele diensten een beroep op eigen subverwerkers buiten de Europese Economische Ruimte, eveneens onder die standaardcontractbepalingen. Andere doorgifte doen we enkel met de waarborgen uit hoofdstuk V van de AVG, en nadat we je verwittigden.

Hulp bij de rechten van betrokkenen

Veel kan je zelf in de app: gegevens inzien en verbeteren, contactpersonen en bedrijven verwijderen, en documenten downloaden. Lukt iets niet in de app, dan helpen we je binnen een redelijke termijn.

Krijgen wij een vraag van een betrokkene over gegevens die jij in Hopfact zette, dan sturen we ze zonder onnodige vertraging naar je door. We antwoorden niet zelf, tenzij jij dat vraagt.

Hulp bij beveiliging en effectbeoordelingen

We helpen je om je verplichtingen uit artikel 32 tot 36 AVG na te komen, met de informatie die we hebben: over de beveiliging, bij een datalek, en als je een gegevensbeschermingseffectbeoordeling maakt of de Gegevensbeschermingsautoriteit moet raadplegen.

Datalekken

Merken we een datalek dat jouw gegevens raakt, dan melden we het je zonder onnodige vertraging, zoals artikel 33 AVG vraagt. We mailen daarvoor naar het contactadres van je organisatie.

We geven je wat we op dat moment weten: wat er gebeurde, welke gegevens en hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen, en wat we doen om het op te lossen en de gevolgen te beperken. Wat we later te weten komen, sturen we na. Jij beslist of je het datalek meldt aan de Gegevensbeschermingsautoriteit en aan de betrokkenen. Wij helpen je daarbij.

Na het einde

De verwerking eindigt wanneer je je account verwijdert, of wanneer Hopfact of jouw deelname stopt zoals de bètavoorwaarden beschrijven.

Teruggeven. Zolang je account bestaat, kan je elk document downloaden: facturen als PDF en UBL, timesheets en audittrails als PDF. Zo krijg je je gegevens terug. Download ze dus best voor je je account verwijdert.
Je account verwijderen. Dat doe je zelf, met een knop in de app. 30 dagen na je klik wissen we de gegevens van je organisatie en je aanmelding. Binnen die 30 dagen kan je het nog annuleren.
Documenten met een bewaarplicht. Uitgereikte facturen, verstuurde timesheets en hun audittrail blijven in de onveranderbare opslag tot hun 10 jaar voorbij zijn. Niemand kan ze eerder wissen, ook wij niet, en jij bent wettelijk verplicht ze 10 jaar te bewaren. Niemand opent ze, op vraag bezorgen we ze je, en na die 10 jaar wissen we ze.
Stopt Hopfact of jouw deelname, dan geldt hetzelfde, nadat je je documenten kon downloaden zoals de bètavoorwaarden beschrijven.
Back-ups en logs. Gewiste gegevens verdwijnen binnen 7 dagen ook uit de automatische back-ups van de database. Logs verdwijnen na 30 dagen.

Informatie en audits

Je kan ons vragen om aan te tonen dat we deze overeenkomst naleven. We bezorgen je dan binnen 30 dagen de informatie die je daarvoor nodig hebt. Voor de datacenters van Microsoft verwijzen we naar zijn certificaten en auditrapporten, zoals ISO 27001.

Volstaat die informatie niet, dan mag een onafhankelijke auditor die tot geheimhouding verplicht is, een audit doen. Dat kan hoogstens één keer per jaar (vaker na een datalek), na een aankondiging van minstens 30 dagen, en op jouw kosten. De audit mag de gegevens van andere gebruikers niet raken.

Wat jij doet

Je hebt een rechtsgrond voor de gegevens die je in Hopfact zet, en je informeert de betrokkenen, zoals je ondertekenaars. Je mag daarvoor verwijzen naar onze privacyverklaring, die beschrijft wat Hopfact met hun gegevens doet.
Je zet enkel gegevens in Hopfact die je nodig hebt voor je timesheets en facturen.
Je instructies volgen de AVG.
Je houdt je aanmelding en je toestellen veilig, en je meldt ons meteen als je misbruik van je account vermoedt.

Aansprakelijkheid

Voor de aansprakelijkheid tussen jou en ons gelden de bètavoorwaarden, en later de algemene voorwaarden die ze vervangen. Tegenover betrokkenen geldt artikel 82 AVG.

Wijzigingen en voorrang

We kunnen deze overeenkomst wijzigen, bijvoorbeeld bij een nieuwe subverwerker. Een nieuwe versie aanvaard je in de app, bij je volgende aanmelding.

Spreken de voorwaarden en deze overeenkomst elkaar tegen over persoonsgegevens, dan gaat deze overeenkomst voor.

Recht en rechtbank

Op deze overeenkomst is het Belgisch recht van toepassing. Bij een geschil is enkel de ondernemingsrechtbank Gent, afdeling Veurne, bevoegd.