1. Partijen, toepassingsgebied en rollen
Deze Verwerkersovereenkomst ("DPA") maakt deel uit van de Servicevoorwaarden tussen Tatic ApS (CVR 42532940), Mejsevej 2, Hadbjerg, 8370 Hadsten, Denemarken, handelend onder de nevennaam OpenBanking IO ApS ("Verwerker", "wij", "ons"), en de zakelijke klant die de dienst gebruikt ("Verwerkingsverantwoordelijke", "jij", "u").
Deze overeenkomst is van toepassing krachtens artikel 28 van de AVG telkens wanneer je bankrekeningen koppelt waarvan de afschriften of transacties persoonsgegevens bevatten (zoals namen van tegenpartijen, IBAN-nummers, salarisbetalingen of betalingskenmerken). Vragen: privacy@open-banking.io.
2. Aard, doel en duur van de verwerking
Wij verwerken persoonsgegevens uitsluitend om de dienst open-banking.io te leveren: het ophalen van rekening- en transactiegegevens via PSD2-API’s tijdens synchronisaties, het versleutelen van gevoelige bankgegevens onder je geregistreerde publieke sleutel, het opslaan van de resulterende records en structurele synchronisatiemetadata, en het aanbieden daarvan aan jou via de webapplicatie en de API.
De verwerking duurt zolang je account actief blijft en eindigt wanneer je een afzonderlijke bankrekening verwijdert of je gebruikersaccount verwijdert.
3. Categorieën van betrokkenen en persoonsgegevens
- Betrokkenen: rekeninghouders, tegenpartijen, klanten, leveranciers en werknemers wier gegevens voorkomen op je gekoppelde bankrekeningen en transactieoverzichten, evenals geautoriseerde gebruikers van je account.
- Persoonsgegevens: rekeningidentificaties (IBAN, BBAN, rekeningnummers), namen van rekeninghouders en tegenpartijen, transactiebedragen, omschrijvingen en betalingskenmerken (na registratie verzegeld onder je publieke sleutel), samen met structurele metadata die nodig zijn voor synchronisatie, ontdubbeling en PSD2-naleving (bankidentificatie, valuta, boekings-/valutadata, versleutelde sessie-/rekening-UID’s, PSU IP-adres en User-Agent bij door de gebruiker gestarte synchronisaties en 90-daagse API- en synchronisatielogboeken).
Inloggegevens van je bank worden nooit door ons verzameld, ingezien of opgeslagen.
4. Gedocumenteerde instructies en client-side versleuteling
Wij verwerken persoonsgegevens uitsluitend op basis van jouw gedocumenteerde instructies — namelijk jouw configuratie en gebruik van de dienst en de API — tenzij Unierecht of Deens recht ons tot iets anders verplicht.
Zodra je een publieke ECDH P-256-sleutel registreert, worden gevoelige bankgegevens die via Enable Banking zijn opgehaald (namen van rekeninghouders en tegenpartijen, IBAN/BBAN, transactiebedragen, betalingsomschrijvingen en ruwe bank-JSON) verzegeld onder jouw publieke sleutel (ephemeral ECDH P-256 + HKDF-SHA256 + AES-256-GCM), zodat wij deze gegevens in rust niet kunnen ontsleutelen, tenzij je zelf expliciet tijdelijke support-debugging inschakelt voor een begrensde periode.
5. Vertrouwelijkheid en beveiligingsmaatregelen (art. 32 AVG)
Iedereen die door ons is gemachtigd om toegang te krijgen tot de infrastructuur is gebonden aan strikte geheimhoudingsverplichtingen.
Wij treffen technische en organisatorische maatregelen die passen bij het risico:
- End-to-end envelope-versleuteling onder sleutels die op je eigen apparaten of systemen worden gegenereerd en bewaard
- TLS 1.2/1.3-versleuteling voor alle gegevens tijdens transport
- Hosting in ISO/IEC 27001:2022-gecertificeerde EU-datacenters met strikt Kubernetes-netwerkbeleid en least-privilege-toegang
- Europese DDoS-bescherming, Web Application Firewall (WAF) en rate limiting aan de netwerkrand
6. Geautoriseerde subverwerkers
Je verleent algemene schriftelijke toestemming voor de volgende Europese subverwerkers:
- Enable Banking Oy (Espoo, Finland) — PSD2-rekeninginformatiedienstverlener (AISP) onder toezicht van de Finse financiële toezichthouder (FIN-FSA).
- Hetzner (Hetzner Online GmbH / Hetzner Finland Oy, Duitsland en Finland) — ISO/IEC 27001:2022-gecertificeerde datacenterhosting en opslag.
- Bunny.net (BunnyWay d.o.o., Ljubljana, Slovenië) — DDoS-bescherming, WAF, DNS en edge-netwerk op Europese infrastructuur.
- Stripe (Stripe Payments Europe, Ltd., Ierland) — betalingsverwerking en facturering.
Wij leggen elke subverwerker gegevensbeschermingsverplichtingen op die niet minder beschermend zijn dan deze DPA en blijven aansprakelijk voor de nakoming ervan. Wij informeren je per e-mail voordat wij een subverwerker toevoegen of vervangen, zodat je bezwaar kunt maken door je account te sluiten voordat de wijziging ingaat.
7. Gegevensopslag in de EU en internationale doorgiften
Alle bank- en rekeninggegevens worden uitsluitend opgeslagen en verwerkt binnen de Europese Unie en de EER (Duitsland, Finland en Europese edge-infrastructuur). Wij geven je bankgegevens niet door buiten de EU/EER.
8. Bijstand, melding van datalekken en audits
Omdat je bankgegevens rechtstreeks voor jou toegankelijk zijn via de app en de API, kun je gegevens op elk moment zelf exporteren of wissen. Rekening houdend met de aard van de verwerking staan wij je op verzoek via privacy@open-banking.io bij met verzoeken van betrokkenen, beveiligingsbeoordelingen en DPIA-vragen.
Wij stellen je zonder onredelijke vertraging — en uiterlijk binnen 48 uur nadat wij er kennis van hebben genomen — op de hoogte van een inbreuk in verband met persoonsgegevens die jouw account treft, met de gegevens die vereist zijn volgens artikel 33 van de AVG.
Wij stellen alle informatie ter beschikking die redelijkerwijs nodig is om naleving van artikel 28 van de AVG aan te tonen en staan audits of inspecties toe na een redelijke voorafgaande schriftelijke kennisgeving.
9. Verwijdering bij beëindiging en toepasselijk recht
Het ontkoppelen van een bankverbinding trekt de PSD2-sessie in en stopt nieuwe synchronisaties, terwijl je geïmporteerde historie beschikbaar blijft totdat je de rekening verwijdert. Wanneer je een afzonderlijke bankrekening verwijdert of je gebruikersaccount verwijdert, worden de rekening- en transactiegegevens permanent verwijderd uit de actieve databases en binnen 30 dagen uit de databaseback-ups verwijderd (waarbij uitsluitend wettelijk verplichte facturerings- en boekhoudgegevens op grond van de Deense boekhoudwet worden bewaard, evenals kortlopende operationele logboeken die binnen 90 dagen vervallen).
Op deze DPA is Deens recht van toepassing en geschillen worden voorgelegd aan de Deense rechter. Contact voor alle aangelegenheden inzake gegevensbescherming: privacy@open-banking.io.