• PL · Polski
• NL · Nederlands
• EN · English

Umowa powierzenia przetwarzania danych osobowych

Obowiązuje od: 5 października 2026

Niniejsza umowa powierzenia przetwarzania danych osobowych (dalej: Umowa Powierzenia) stanowi integralną część Ogólnych warunków i licencji aplikacji Owlix (dalej: Umowa Główna), zawartych pomiędzy Owlix B.V., De Werf 15, 2544 EH Haga, numer KvK 93197292 (dalej: Owlix), a użytkownikiem aplikacji Owlix (dalej: Użytkownik). Umowa Powierzenia obowiązuje od momentu zaakceptowania Umowy Głównej przez Użytkownika.

Strony ustalają, że:

1. Użytkownik korzysta z aplikacji Owlix na podstawie Umowy Głównej.
2. Korzystając z aplikacji, Użytkownik wprowadza do niej dane osobowe – własne, swoich pracowników oraz swoich klientów i kontrahentów. W odniesieniu do tych danych Użytkownik jest administratorem, a Owlix podmiotem przetwarzającym.
3. W odniesieniu do danych konta Użytkownika i relacji z nim (rejestracja, rozliczenia, kontakt, bezpieczeństwo, marketing własny) Owlix jest odrębnym administratorem – tego Umowa Powierzenia nie dotyczy; zasady opisuje polityka prywatności dostępna na www.owlix.com.

Artykuł 1 – Definicje

1. RODO – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r.
2. Dane osobowe – dane osobowe, które Owlix przetwarza w imieniu Użytkownika na podstawie Umowy Głównej, wskazane w Załączniku 1.
3. Przetwarzanie – każda operacja na Danych osobowych, w tym zbieranie, przechowywanie, porządkowanie, przeglądanie, przesyłanie, usuwanie i niszczenie.
4. Osoba, której dane dotyczą – osoba fizyczna, do której odnoszą się Dane osobowe.
5. Podprocesor – dostawca, z którego usług Owlix korzysta przy przetwarzaniu Danych osobowych.
6. Naruszenie ochrony danych – naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub dostępu do Danych osobowych.
7. Biuro – księgowy lub biuro rachunkowe, któremu Użytkownik nadał dostęp do swojego konta.

Artykuł 2 – Zastosowanie i pierwszeństwo

1. Umowa Powierzenia ma zastosowanie do każdego przetwarzania Danych osobowych przez Owlix w imieniu Użytkownika na podstawie Umowy Głównej.
2. W zakresie przetwarzania danych osobowych postanowienia Umowy Powierzenia mają pierwszeństwo przed Umową Główną.

Artykuł 3 – Przedmiot, charakter, cel i czas przetwarzania

1. Przedmiot i cel: przetwarzanie odbywa się wyłącznie w celu świadczenia Użytkownikowi usług opisanych w Umowie Głównej – prowadzenia administracji jego firmy w aplikacji, w tym wystawiania i wysyłania dokumentów, prowadzenia ewidencji kosztów i przejazdów, generowania raportów oraz udostępniania dokumentów wskazanemu przez Użytkownika Biuru.
2. Charakter przetwarzania: operacje wykonywane automatycznie w systemach informatycznych Owlix, wskazane w Załączniku 1.
3. Rodzaje danych i kategorie osób: Załącznik 1.
4. Czas trwania: przez okres obowiązywania Umowy Głównej, z zastrzeżeniem okresów przechowywania z Załącznika 2.

Artykuł 4 – Obowiązki Owlix

1. Owlix przetwarza Dane osobowe wyłącznie na udokumentowane polecenie Użytkownika. Za takie polecenie uznaje się Umowę Główną, Umowę Powierzenia oraz czynności wykonywane przez Użytkownika w aplikacji.
2. Owlix nie podejmuje samodzielnych decyzji o celu przetwarzania Danych osobowych ani nie wykorzystuje ich do celów własnych. Dane i dokumenty Użytkownika nie są wykorzystywane do trenowania modeli sztucznej inteligencji. Owlix może wykorzystywać wyłącznie dane zagregowane i zanonimizowane do rozwoju i utrzymania usług.
3. Jeżeli Owlix uzna, że polecenie Użytkownika narusza RODO lub inne przepisy o ochronie danych, niezwłocznie go o tym poinformuje.
4. Owlix przetwarza Dane osobowe wyłącznie w zakresie niezbędnym do wykonania Umowy Głównej.
5. Dostęp do Danych osobowych mają wyłącznie osoby, którym jest to niezbędne do wykonywania obowiązków. Osoby te są zobowiązane do zachowania poufności – również po zakończeniu współpracy z Owlix.
6. Owlix prowadzi rejestr kategorii czynności przetwarzania wykonywanych w imieniu Użytkownika (art. 30 ust. 2 RODO) i udostępnia go Użytkownikowi na żądanie.
7. Jeżeli organ władzy publicznej zażąda od Owlix udostępnienia Danych osobowych, Owlix – o ile przepisy tego nie zabraniają – poinformuje o tym Użytkownika w terminie 7 dni roboczych i przed wykonaniem żądania, aby umożliwić mu podjęcie środków prawnych.

Artykuł 5 – Dostęp Biura rachunkowego

1. Jeżeli Użytkownik nada Biuru dostęp do swojego konta, Owlix udostępnia Biuru Dane osobowe na polecenie Użytkownika, w zakresie uprawnień nadanych przez Użytkownika.
2. Biuro, które otrzymuje dokumenty Użytkownika, przetwarza je jako odrębny administrator – na własną odpowiedzialność i zgodnie z własnymi obowiązkami, w tym obowiązkiem przechowywania dokumentacji. Owlix nie jest podmiotem przetwarzającym w imieniu Biura w odniesieniu do dokumentów, które Biuro otrzymało.
3. Cofnięcie dostępu przez Użytkownika działa na przyszłość i nie obejmuje dokumentów wcześniej przekazanych Biuru.
4. Owlix rejestruje zdarzenia dostępu Biura do konta Użytkownika i udostępnia mu te informacje na żądanie.

Artykuł 6 – Podprocesorzy

1. Użytkownik udziela Owlix ogólnej zgody na korzystanie z Podprocesorów. Aktualna lista Podprocesorów stanowi Załącznik 4 i jest dostępna na żądanie pod adresem info@owlix.com.
2. Owlix zawiera z każdym Podprocesorem umowę nakładającą na niego obowiązki nie mniejsze niż wynikające z Umowy Powierzenia.
3. Owlix informuje Użytkownika o zamiarze dodania lub zmiany Podprocesora co najmniej 14 dni wcześniej – w aplikacji lub e-mailem.
4. Użytkownik może w tym terminie zgłosić uzasadniony sprzeciw. Jeżeli strony nie znajdą rozwiązania, Użytkownik może wypowiedzieć Umowę Główną ze skutkiem na dzień planowanej zmiany, z prawem do zwrotu opłaty za niewykorzystany okres.
5. Owlix odpowiada za działania Podprocesorów jak za własne.

Artykuł 7 – Pomoc dla Użytkownika

Owlix, biorąc pod uwagę charakter przetwarzania i dostępne informacje, pomaga Użytkownikowi w wypełnieniu jego obowiązków:

1. Prawa osób, których dane dotyczą – Owlix udostępnia w aplikacji funkcje pozwalające Użytkownikowi samodzielnie przeglądać, poprawiać, eksportować i usuwać dane. Jeżeli to nie wystarcza, Owlix udziela rozsądnej pomocy technicznej. Jeżeli żądanie osoby, której dane dotyczą, trafi bezpośrednio do Owlix, Owlix nie odpowiada na nie samodzielnie, lecz niezwłocznie przekazuje je Użytkownikowi.
2. Bezpieczeństwo, zgłaszanie naruszeń i ocena skutków – Owlix pomaga Użytkownikowi wypełnić obowiązki z art. 32-36 RODO, w tym udziela informacji potrzebnych do oceny skutków dla ochrony danych (DPIA) i do ewentualnych konsultacji z organem nadzorczym.
3. Pomoc opisana w ust. 1 i 2 jest bezpłatna w rozsądnym zakresie. Owlix może obciążyć Użytkownika kosztami pomocy wykraczającej poza ten zakres, po uprzednim uzgodnieniu.

Artykuł 8 – Naruszenia ochrony danych

1. Owlix informuje Użytkownika o Naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia – tak, aby Użytkownik mógł dotrzymać 72-godzinnego terminu zgłoszenia do organu nadzorczego.
2. Informacja obejmuje – w zakresie dostępnym Owlix – charakter naruszenia, kategorie i przybliżoną liczbę osób i danych, których dotyczy, możliwe konsekwencje oraz środki podjęte lub proponowane w celu zaradzenia naruszeniu.
3. Jeżeli pełna informacja nie jest dostępna od razu, Owlix przekazuje ją sukcesywnie, bez zbędnej zwłoki.
4. Użytkownik informuje Owlix o naruszeniu, o którym się dowiedział, a które dotyczy danych przetwarzanych w aplikacji – bez zbędnej zwłoki, nie później niż w ciągu 48 godzin.
5. Obowiązek zgłoszenia naruszenia organowi nadzorczemu i zawiadomienia osób, których dane dotyczą, spoczywa na Użytkowniku jako administratorze. Owlix nie dokonuje takich zgłoszeń w imieniu Użytkownika, chyba że strony uzgodnią inaczej.

Artykuł 9 – Bezpieczeństwo

1. Owlix stosuje odpowiednie środki techniczne i organizacyjne chroniące Dane osobowe przed utratą i przetwarzaniem niezgodnym z prawem, uwzględniając stan wiedzy technicznej, koszty wdrożenia oraz charakter i ryzyko przetwarzania (art. 32 RODO). Środki te opisuje Załącznik 3.
2. Owlix może aktualizować środki bezpieczeństwa, pod warunkiem że poziom ochrony nie ulegnie obniżeniu.
3. Na żądanie Użytkownika Owlix udostępnia informacje potrzebne do wykazania zgodności z niniejszym artykułem.

Artykuł 10 – Audyt

1. Użytkownik ma prawo zweryfikować przestrzeganie Umowy Powierzenia – samodzielnie albo przez niezależnego audytora zobowiązanego do poufności.
2. W pierwszej kolejności Owlix udostępnia posiadaną dokumentację, raporty i certyfikaty. Audyt na miejscu jest uzasadniony, gdy dokumentacja ta nie daje wystarczających informacji.
3. Audyt odbywa się nie częściej niż raz w roku (poza sytuacją po Naruszeniu ochrony danych), po zapowiedzi z co najmniej dwutygodniowym wyprzedzeniem, w godzinach pracy i w sposób możliwie najmniej zakłócający działalność Owlix.
4. Koszty audytu ponosi Użytkownik. Owlix może obciążyć Użytkownika uzasadnionymi kosztami swojego wsparcia przy audycie, po ich uprzednim uzgodnieniu.
5. Użytkownik przekazuje Owlix kopię raportu z audytu niezwłocznie po jego otrzymaniu.
6. Audyt nie obejmuje danych innych klientów Owlix ani informacji objętych tajemnicą przedsiębiorstwa.

Artykuł 11 – Przekazywanie danych poza EOG

1. Dane osobowe są przetwarzane w Unii Europejskiej. Serwery, na których przechowywana jest administracja Użytkownika, znajdują się we Frankfurcie (Niemcy), a rozpoznawanie danych z dokumentów odbywa się w regionie unijnym.
2. Owlix nie przekazuje Danych osobowych poza Europejski Obszar Gospodarczy bez uprzedniego poinformowania Użytkownika i zapewnienia podstawy przewidzianej w rozdziale V RODO – w szczególności standardowych klauzul umownych zatwierdzonych przez Komisję Europejską albo decyzji o odpowiednim stopniu ochrony.

Artykuł 12 – Obowiązki Użytkownika

1. Użytkownik oświadcza, że dysponuje podstawą prawną przetwarzania danych osób, które wprowadza do aplikacji, oraz że wypełnił wobec nich obowiązek informacyjny.
2. Użytkownik odpowiada za prawidłowość i aktualność wprowadzanych danych oraz za to, by zakres danych nie wykraczał poza niezbędny do prowadzenia jego administracji.
3. Użytkownik chroni dane logowania i nadaje dostęp do konta wyłącznie osobom uprawnionym.
4. Użytkownik zwalnia Owlix z odpowiedzialności wobec osób trzecich w zakresie, w jakim wynika ona z naruszenia przez Użytkownika obowiązków z ust. 1-3.

Artykuł 13 – Odpowiedzialność

1. Przetwarzanie odbywa się na odpowiedzialność Użytkownika jako administratora.
2. Odpowiedzialność Owlix wobec Użytkownika ograniczona jest na zasadach określonych w Umowie Głównej.
3. Ograniczenia odpowiedzialności nie mają zastosowania do odpowiedzialności wobec osób, których dane dotyczą, wynikającej bezpośrednio z art. 82 RODO, ani do szkody wyrządzonej umyślnie lub wskutek rażącego niedbalstwa.
4. Użytkownik informuje Owlix o roszczeniu związanym z przetwarzaniem danych bez zbędnej zwłoki po jego stwierdzeniu, aby umożliwić Owlix podjęcie działań naprawczych.

Artykuł 14 – Czas trwania i zakończenie

1. Umowa Powierzenia obowiązuje przez czas obowiązywania Umowy Głównej i wygasa razem z nią.
2. Po zakończeniu Umowy Głównej Owlix – zgodnie z wyborem Użytkownika – zwraca Dane osobowe lub je usuwa, w terminie 30 dni od zakończenia Umowy Głównej. W braku wyraźnego wskazania Owlix usuwa dane po upływie tego terminu.
3. Przed zakończeniem Umowy Głównej Użytkownik może w każdej chwili samodzielnie wyeksportować dane z aplikacji.
4. Owlix może zachować Dane osobowe dłużej wyłącznie w zakresie i przez okres wymagany przepisami prawa; Owlix informuje wtedy Użytkownika o podstawie prawnej. Do takich danych stosuje się nadal obowiązek poufności i zabezpieczenia.

Artykuł 15 – Postanowienia końcowe

1. Praw i obowiązków z Umowy Powierzenia nie można przenieść na osobę trzecią bez pisemnej zgody drugiej strony.
2. Jeżeli którekolwiek postanowienie okaże się nieważne, pozostałe pozostają w mocy; strony zastąpią je postanowieniem możliwie najbliższym pierwotnemu zamiarowi.
3. Jeżeli Komisja Europejska lub niderlandzki organ ochrony danych przyjmie standardowe klauzule umowne, o których mowa w art. 28 ust. 7 i 8 RODO, klauzule te zastąpią sprzeczne z nimi postanowienia Umowy Powierzenia z chwilą ich wejścia w życie.
4. Do Umowy Powierzenia stosuje się prawo niderlandzkie; spory rozstrzyga sąd w Hadze.
5. Umowa Powierzenia jest udostępniana w języku polskim, niderlandzkim i angielskim. W razie rozbieżności wiążąca jest wersja niderlandzka.
6. Kontakt: info@owlix.com.

---

Załącznik 1 – Rodzaje danych, kategorie osób i czynności przetwarzania

Czynności przetwarzania: zbieranie, przechowywanie, porządkowanie, przeglądanie, generowanie dokumentów i raportów, wysyłanie dokumentów na adresy wskazane przez Użytkownika lub Biuro, udostępnianie Biuru w zakresie nadanych uprawnień, automatyczne odczytywanie danych z dokumentów (jeśli Użytkownik korzysta z tej funkcji), tworzenie kopii zapasowych, usuwanie.

Kategorie osób, których dane dotyczą:

Kategoria	Opis
Użytkownik i osoby go reprezentujące	przedsiębiorca prowadzący konto oraz osoby działające w jego imieniu
Pracownicy i współpracownicy Użytkownika	osoby, którym Użytkownik nadał dostęp do konta lub które występują w kartach czasu pracy
Klienci i zleceniodawcy Użytkownika	odbiorcy faktur wystawianych przez Użytkownika
Dostawcy Użytkownika	podmioty widoczne na fakturach kosztowych i paragonach
Podwykonawcy Użytkownika	osoby przypisane do projektów i kart czasu pracy

Rodzaje danych osobowych:

Grupa	Dane
Dane identyfikacyjne i kontaktowe	imię i nazwisko, nazwa firmy, adres, adres e-mail, numer telefonu
Dane rejestrowe i podatkowe	numer KvK, numer VAT/BTW
Treść dokumentów sprzedażowych	faktury wraz z pozycjami, kwotami, stawkami BTW, terminami płatności i statusem opłacenia; załączniki (zdjęcia robót, umowy)
Treść dokumentów kosztowych	faktury i paragony wraz ze zdjęciami lub plikami dokumentów, kwotami i danymi sprzedawcy
Dane finansowe	numery rachunków bankowych, wyciągi bankowe wgrane przez Użytkownika, historia płatności dokumentów
Kilometrówka	trasy, adresy początkowe i docelowe, daty, liczba kilometrów, dane pojazdu (numer rejestracyjny, stan licznika)
Projekty i czas pracy	nazwy projektów, przypisania osób, karty czasu pracy, stawki i statusy akceptacji
Dane raportowe	raporty księgowe generowane z powyższych danych oraz adresy e-mail, na które są wysyłane

Czego Owlix nie przetwarza w imieniu Użytkownika: numeru BSN, danych logowania DigiD ani szczególnych kategorii danych w rozumieniu art. 9 RODO. Owlix nie prosi o takie dane. Jeżeli znajdą się przypadkowo w dokumencie wgranym przez Użytkownika, są przechowywane wyłącznie jako część jego dokumentacji i nie są analizowane ani wykorzystywane do innych celów.

Użytkownik oświadcza, że dla przetwarzania danych opisanych w niniejszym załączniku istnieje ważna podstawa prawna w rozumieniu art. 6 RODO oraz że opis ten odpowiada danym, które faktycznie wprowadza do aplikacji.

Załącznik 2 – Okresy przechowywania

Kategoria danych	Okres przechowywania
Konto Użytkownika i treść jego administracji (dokumenty, kontrahenci, ustawienia)	przez czas obowiązywania Umowy Głównej
Wszystkie powyższe po zakończeniu Umowy Głównej	zwrot lub usunięcie w ciągu 30 dni (art. 14 ust. 2)
Dane, których zachowania wymagają przepisy podatkowe lub rachunkowe	przez okres wymagany przepisami – co do zasady 7 lat
Logi techniczne i logi dostępu (w tym dostępu Biura)	12 miesięcy
Kopie zapasowe	do 35 dni, po czym są nadpisywane

Okresy z tego załącznika są spójne z polityką prywatności Owlix. Jeżeli Użytkownik potrzebuje innych okresów, może je uzgodnić z Owlix na piśmie.

Załącznik 3 – Środki techniczne i organizacyjne

1. Szyfrowanie transmisji – całość ruchu między urządzeniem Użytkownika a aplikacją jest szyfrowana (HTTPS/TLS).
2. Lokalizacja i izolacja – dane przechowywane są w infrastrukturze Amazon Web Services w regionie Frankfurt, w środowisku niedostępnym publicznie, z zaporą aplikacyjną (WAF) i rozdzielonymi środowiskami testowym i produkcyjnym.
3. Kontrola dostępu – dostęp pracowników przydzielany imiennie, według zasady minimalnych uprawnień, ograniczony do osób, którym jest niezbędny; wszystkie osoby z dostępem objęte są zobowiązaniem do poufności.
4. Uwierzytelnianie – hasła przechowywane wyłącznie w postaci zaszyfrowanej (nieodwracalny skrót); konto wymaga potwierdzenia adresu e-mail.
5. Kopie zapasowe – automatyczne, codzienne kopie bazy danych.
6. Rozliczalność – rejestrowanie zdarzeń dostępu do dokumentów, w tym dostępu Biura.
7. Zarządzanie podatnościami – bieżące aktualizacje bezpieczeństwa komponentów, statyczna analiza kodu, przegląd zmian przed wdrożeniem na produkcję.
8. Umowy powierzenia z dostawcami – z każdym Podprocesorem zawarta jest umowa powierzenia przetwarzania.

Owlix może aktualizować powyższe środki, o ile nie obniża to poziomu ochrony.

Załącznik 4 – Podprocesorzy

Podprocesor	Rola	Lokalizacja przetwarzania
Amazon Web Services	hosting, przechowywanie danych i kopie zapasowe	Unia Europejska (Frankfurt)
Google Cloud (Vertex AI)	automatyczne odczytywanie danych z dokumentów – wyłącznie gdy Użytkownik korzysta z tej funkcji	Unia Europejska
Mollie	obsługa płatności za abonament	Unia Europejska (Holandia)
Dostawca wysyłki wiadomości e-mail	wysyłka wiadomości systemowych i dokumentów na adresy wskazane przez Użytkownika	Unia Europejska
Maesn GmbH (Düsseldorf, Niemcy)	pośrednik integracji z programami księgowymi – przekazywanie dokumentów i danych kontrahentów do programu księgowego Biura, wyłącznie gdy Biuro włączy integrację; dane przechodzą bez trwałego przechowywania	Unia Europejska (Microsoft Azure – Frankfurt / Amsterdam)
Microsoft Ireland Operations Ltd. (Microsoft Azure) – podwykonawca Maesn	infrastruktura chmurowa dla usługi Maesn	Unia Europejska (Frankfurt / Amsterdam)

Aktualna lista jest dostępna pod adresem info@owlix.com. Zmiany są zapowiadane zgodnie z art. 6 ust. 3.

Owlix B.V.

↑ Do góry

Verwerkersovereenkomst

Geldig vanaf: 5 oktober 2026

Deze verwerkersovereenkomst (hierna: Verwerkersovereenkomst) maakt integraal onderdeel uit van de Algemene voorwaarden en licentie Owlix-applicatie (hierna: Hoofdovereenkomst), aangegaan tussen Owlix B.V., De Werf 15, 2544 EH Den Haag, KvK-nummer 93197292 (hierna: Owlix), en de gebruiker van de Owlix-applicatie (hierna: Gebruiker). De Verwerkersovereenkomst geldt vanaf het moment waarop de Gebruiker de Hoofdovereenkomst accepteert.

Partijen stellen vast dat:

1. De Gebruiker de Owlix-applicatie gebruikt op grond van de Hoofdovereenkomst.
2. De Gebruiker bij dat gebruik persoonsgegevens invoert – van zichzelf, zijn medewerkers en zijn klanten en relaties. Ten aanzien van die gegevens is de Gebruiker verwerkingsverantwoordelijke en Owlix verwerker.
3. Ten aanzien van de accountgegevens van de Gebruiker en de relatie met hem (registratie, facturatie, contact, beveiliging, eigen marketing) Owlix zelfstandig verwerkingsverantwoordelijke is – daarop ziet deze Verwerkersovereenkomst niet; de privacyverklaring op www.owlix.com beschrijft dat.

Artikel 1 – Definities

1. AVG – Verordening (EU) 2016/679 van 27 april 2016.
2. Persoonsgegevens – persoonsgegevens die Owlix in opdracht van de Gebruiker verwerkt op grond van de Hoofdovereenkomst, zoals gespecificeerd in Bijlage 1.
3. Verwerking – elke handeling met betrekking tot Persoonsgegevens, waaronder verzamelen, opslaan, ordenen, raadplegen, verzenden, wissen en vernietigen.
4. Betrokkene – de natuurlijke persoon op wie Persoonsgegevens betrekking hebben.
5. Subverwerker – een dienstverlener die Owlix inschakelt bij de Verwerking van Persoonsgegevens.
6. Inbreuk in verband met persoonsgegevens – een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging, ongeoorloofde verstrekking van of toegang tot Persoonsgegevens.
7. Kantoor – de boekhouder of het administratiekantoor waaraan de Gebruiker toegang tot zijn account heeft verleend.

Artikel 2 – Toepasselijkheid en voorrang

1. De Verwerkersovereenkomst is van toepassing op iedere Verwerking van Persoonsgegevens door Owlix in opdracht van de Gebruiker op grond van de Hoofdovereenkomst.
2. Voor zover het de Verwerking van persoonsgegevens betreft, hebben de bepalingen van de Verwerkersovereenkomst voorrang boven de Hoofdovereenkomst.

Artikel 3 – Onderwerp, aard, doel en duur van de Verwerking

1. Onderwerp en doel: de Verwerking vindt uitsluitend plaats om de in de Hoofdovereenkomst beschreven diensten te leveren – het voeren van de administratie van de onderneming van de Gebruiker in de applicatie, waaronder het opstellen en verzenden van documenten, het bijhouden van kosten en ritten, het genereren van rapportages en het beschikbaar stellen van documenten aan het door de Gebruiker aangewezen Kantoor.
2. Aard van de Verwerking: geautomatiseerde handelingen in de systemen van Owlix, zoals gespecificeerd in Bijlage 1.
3. Soorten gegevens en categorieën betrokkenen: Bijlage 1.
4. Duur: gedurende de looptijd van de Hoofdovereenkomst, met inachtneming van de bewaartermijnen in Bijlage 2.

Artikel 4 – Verplichtingen van Owlix

1. Owlix verwerkt Persoonsgegevens uitsluitend op gedocumenteerde instructie van de Gebruiker. Als zodanige instructie gelden de Hoofdovereenkomst, deze Verwerkersovereenkomst en de handelingen die de Gebruiker in de applicatie verricht.
2. Owlix neemt geen zelfstandige beslissingen over het doel van de Verwerking en gebruikt de gegevens niet voor eigen doeleinden. Gegevens en documenten van de Gebruiker worden niet gebruikt voor het trainen van modellen voor kunstmatige intelligentie. Owlix mag uitsluitend geaggregeerde en geanonimiseerde gegevens gebruiken voor de ontwikkeling en het onderhoud van haar diensten.
3. Meent Owlix dat een instructie van de Gebruiker in strijd is met de AVG of andere gegevensbeschermingsregels, dan stelt zij de Gebruiker daarvan onverwijld in kennis.
4. Owlix verwerkt Persoonsgegevens uitsluitend voor zover nodig voor de uitvoering van de Hoofdovereenkomst.
5. Toegang tot Persoonsgegevens hebben uitsluitend personen voor wie dat noodzakelijk is voor hun werkzaamheden. Deze personen zijn tot geheimhouding verplicht – ook na afloop van hun werkzaamheden voor Owlix.
6. Owlix houdt een register bij van de categorieën verwerkingen die zij namens de Gebruiker verricht (artikel 30 lid 2 AVG) en stelt dit op verzoek beschikbaar.
7. Verlangt een overheidsinstantie verstrekking van Persoonsgegevens, dan informeert Owlix – tenzij de wet dit verbiedt – de Gebruiker binnen 7 werkdagen en vóór uitvoering van het verzoek, zodat de Gebruiker rechtsmiddelen kan aanwenden.

Artikel 5 – Toegang van het Kantoor

1. Verleent de Gebruiker een Kantoor toegang tot zijn account, dan stelt Owlix Persoonsgegevens op instructie van de Gebruiker aan het Kantoor beschikbaar, binnen de door de Gebruiker verleende rechten.
2. Een Kantoor dat documenten van de Gebruiker ontvangt, verwerkt deze als zelfstandige verwerkingsverantwoordelijke – op eigen verantwoordelijkheid en conform zijn eigen verplichtingen, waaronder bewaarplichten. Owlix is ten aanzien van de door het Kantoor ontvangen documenten geen verwerker namens het Kantoor.
3. Intrekking van de toegang door de Gebruiker werkt voor de toekomst en ziet niet op eerder aan het Kantoor verstrekte documenten.
4. Owlix legt toegangsgebeurtenissen van het Kantoor vast en stelt deze informatie op verzoek aan de Gebruiker beschikbaar.

Artikel 6 – Subverwerkers

1. De Gebruiker verleent Owlix algemene toestemming voor het inschakelen van Subverwerkers. De actuele lijst is opgenomen in Bijlage 4 en op verzoek beschikbaar via info@owlix.com.
2. Owlix sluit met iedere Subverwerker een overeenkomst met verplichtingen die niet lager zijn dan die uit deze Verwerkersovereenkomst.
3. Owlix informeert de Gebruiker ten minste 14 dagen vooraf over het voornemen een Subverwerker toe te voegen of te vervangen – in de applicatie of per e-mail.
4. De Gebruiker kan binnen die termijn gemotiveerd bezwaar maken. Komen partijen niet tot een oplossing, dan kan de Gebruiker de Hoofdovereenkomst opzeggen per de datum van de voorgenomen wijziging, met terugbetaling van de vergoeding over de niet-gebruikte periode.
5. Owlix is voor het handelen van Subverwerkers aansprakelijk als voor eigen handelen.

Artikel 7 – Bijstand aan de Gebruiker

Owlix verleent, rekening houdend met de aard van de Verwerking en de haar beschikbare informatie, bijstand bij de verplichtingen van de Gebruiker:

1. Rechten van betrokkenen – Owlix biedt in de applicatie functies waarmee de Gebruiker zelf gegevens kan inzien, corrigeren, exporteren en verwijderen. Volstaat dat niet, dan verleent Owlix redelijke technische bijstand. Bereikt een verzoek van een Betrokkene Owlix rechtstreeks, dan beantwoordt Owlix dit niet zelf maar stuurt het onverwijld door aan de Gebruiker.
2. Beveiliging, meldingen en effectbeoordeling – Owlix verleent bijstand bij de verplichtingen uit de artikelen 32 tot en met 36 AVG, waaronder het verstrekken van informatie die nodig is voor een gegevensbeschermingseffectbeoordeling (DPIA) en eventuele voorafgaande raadpleging van de toezichthouder.
3. De bijstand uit lid 1 en 2 is binnen redelijke grenzen kosteloos. Voor bijstand die dit kader te buiten gaat, kan Owlix na voorafgaande afspraak kosten in rekening brengen.

Artikel 8 – Inbreuken in verband met persoonsgegevens

1. Owlix informeert de Gebruiker zonder onredelijke vertraging en uiterlijk binnen 48 uur na vaststelling van een Inbreuk – zodat de Gebruiker de meldtermijn van 72 uur bij de toezichthouder kan halen.
2. De melding bevat, voor zover bij Owlix bekend, de aard van de Inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevens, de mogelijke gevolgen en de getroffen of voorgestelde maatregelen.
3. Is niet alle informatie direct beschikbaar, dan verstrekt Owlix deze gefaseerd, zonder onredelijke vertraging.
4. De Gebruiker informeert Owlix over een hem bekend geworden Inbreuk die de in de applicatie verwerkte gegevens betreft – zonder onredelijke vertraging en uiterlijk binnen 48 uur.
5. De verplichting tot melding aan de toezichthouder en aan Betrokkenen rust op de Gebruiker als verwerkingsverantwoordelijke. Owlix doet dergelijke meldingen niet namens de Gebruiker, tenzij partijen anders overeenkomen.

Artikel 9 – Beveiliging

1. Owlix treft passende technische en organisatorische maatregelen om Persoonsgegevens te beschermen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, uitvoeringskosten en de aard en risico’s van de Verwerking (artikel 32 AVG). Deze maatregelen zijn beschreven in Bijlage 3.
2. Owlix kan de beveiligingsmaatregelen actualiseren, mits het beschermingsniveau niet daalt.
3. Op verzoek verstrekt Owlix de informatie die nodig is om naleving van dit artikel aan te tonen.

Artikel 10 – Audit

1. De Gebruiker heeft het recht de naleving van deze Verwerkersovereenkomst te controleren – zelf of door een onafhankelijke, tot geheimhouding verplichte auditor.
2. Owlix stelt eerst de beschikbare documentatie, rapportages en certificeringen ter beschikking. Een audit ter plaatse is gerechtvaardigd wanneer die documentatie onvoldoende uitsluitsel geeft.
3. Een audit vindt ten hoogste eenmaal per jaar plaats (behoudens na een Inbreuk), met een aankondiging van ten minste twee weken, tijdens kantooruren en op een wijze die de bedrijfsvoering van Owlix zo min mogelijk verstoort.
4. De kosten van de audit komen voor rekening van de Gebruiker. Owlix kan redelijke kosten van haar ondersteuning in rekening brengen na voorafgaande afspraak.
5. De Gebruiker verstrekt Owlix onverwijld na ontvangst een exemplaar van het auditrapport.
6. De audit ziet niet op gegevens van andere klanten van Owlix, noch op bedrijfsvertrouwelijke informatie.

Artikel 11 – Doorgifte buiten de EER

1. De Persoonsgegevens worden binnen de Europese Unie verwerkt. De servers waarop de administratie van de Gebruiker wordt bewaard, staan in Frankfurt (Duitsland); de documentherkenning vindt plaats in een EU-regio.
2. Owlix geeft geen Persoonsgegevens door buiten de Europese Economische Ruimte zonder de Gebruiker vooraf te informeren en te voorzien in een grondslag uit hoofdstuk V AVG – in het bijzonder door de Europese Commissie goedgekeurde standaardcontractbepalingen of een adequaatheidsbesluit.

Artikel 12 – Verplichtingen van de Gebruiker

1. De Gebruiker staat ervoor in dat hij een grondslag heeft voor de verwerking van gegevens die hij invoert en dat hij de betrokkenen heeft geïnformeerd.
2. De Gebruiker is verantwoordelijk voor de juistheid en actualiteit van de ingevoerde gegevens en ervoor dat deze niet verder gaan dan nodig voor zijn administratie.
3. De Gebruiker beschermt zijn inloggegevens en verleent uitsluitend toegang aan bevoegde personen.
4. De Gebruiker vrijwaart Owlix tegen aanspraken van derden voor zover deze voortvloeien uit schending van lid 1 tot en met 3.

Artikel 13 – Aansprakelijkheid

1. De Verwerking vindt plaats onder verantwoordelijkheid van de Gebruiker als verwerkingsverantwoordelijke.
2. De aansprakelijkheid van Owlix jegens de Gebruiker is beperkt conform de Hoofdovereenkomst.
3. De aansprakelijkheidsbeperkingen gelden niet voor aansprakelijkheid jegens Betrokkenen die rechtstreeks voortvloeit uit artikel 82 AVG, noch bij opzet of bewuste roekeloosheid.
4. De Gebruiker informeert Owlix zonder onredelijke vertraging over een aanspraak die verband houdt met de Verwerking, zodat Owlix herstelmaatregelen kan treffen.

Artikel 14 – Duur en beëindiging

1. De Verwerkersovereenkomst geldt voor de duur van de Hoofdovereenkomst en eindigt daarmee.
2. Na afloop van de Hoofdovereenkomst zal Owlix – naar keuze van de Gebruiker – de Persoonsgegevens retourneren of verwijderen, binnen 30 dagen na het einde van de Hoofdovereenkomst. Bij het uitblijven van een keuze verwijdert Owlix de gegevens na afloop van die termijn.
3. Vóór het einde van de Hoofdovereenkomst kan de Gebruiker zijn gegevens op elk moment zelf exporteren.
4. Owlix bewaart Persoonsgegevens uitsluitend langer voor zover en zolang de wet dat vereist; Owlix informeert de Gebruiker dan over de grondslag. Op die gegevens blijven de geheimhoudings- en beveiligingsverplichtingen van toepassing.

Artikel 15 – Slotbepalingen

1. Rechten en verplichtingen uit deze Verwerkersovereenkomst kunnen niet zonder schriftelijke toestemming van de andere partij aan derden worden overgedragen.
2. Blijkt een bepaling ongeldig, dan blijven de overige bepalingen van kracht; partijen vervangen de ongeldige bepaling door een bepaling die de oorspronkelijke strekking zoveel mogelijk benadert.
3. Stellen de Europese Commissie of de Autoriteit Persoonsgegevens standaardcontractbepalingen vast als bedoeld in artikel 28 lid 7 en 8 AVG, dan vervangen deze de daarmee strijdige bepalingen van deze Verwerkersovereenkomst vanaf hun inwerkingtreding.
4. Op deze Verwerkersovereenkomst is Nederlands recht van toepassing; geschillen worden voorgelegd aan de rechtbank te Den Haag.
5. Deze Verwerkersovereenkomst wordt in het Pools, het Nederlands en het Engels beschikbaar gesteld. Bij verschillen is de Nederlandse versie leidend.
6. Contact: info@owlix.com.

---

Bijlage 1 – Soorten gegevens, categorieën betrokkenen en verwerkingshandelingen

Verwerkingshandelingen: verzamelen, opslaan, ordenen, raadplegen, genereren van documenten en rapportages, verzenden van documenten naar door de Gebruiker of het Kantoor opgegeven adressen, beschikbaar stellen aan het Kantoor binnen de verleende rechten, automatische herkenning van gegevens uit documenten (indien de Gebruiker die functie gebruikt), back-ups maken, verwijderen.

Categorieën betrokkenen:

Categorie	Omschrijving
De Gebruiker en zijn vertegenwoordigers	de ondernemer met het account en personen die namens hem handelen
Medewerkers van de Gebruiker	personen met toegang tot het account of vermeld in de urenregistratie
Klanten en opdrachtgevers van de Gebruiker	ontvangers van de door de Gebruiker opgestelde facturen
Leveranciers van de Gebruiker	partijen vermeld op kostenfacturen en bonnen
Onderaannemers van de Gebruiker	personen gekoppeld aan projecten en urenregistratie

Soorten persoonsgegevens:

Groep	Gegevens
Identificatie- en contactgegevens	naam, bedrijfsnaam, adres, e-mailadres, telefoonnummer
Registratie- en fiscale gegevens	KvK-nummer, btw-nummer
Inhoud van verkoopdocumenten	facturen met regels, bedragen, btw-tarieven, betaaltermijnen en betaalstatus; bijlagen (foto’s van werkzaamheden, overeenkomsten)
Inhoud van kostendocumenten	facturen en bonnen met foto’s of bestanden, bedragen en leveranciersgegevens
Financiële gegevens	bankrekeningnummers, door de Gebruiker geüploade bankafschriften, betaalhistorie van documenten
Kilometerregistratie	ritten, begin- en eindadressen, data, aantal kilometers, voertuiggegevens (kenteken, kilometerstand)
Projecten en urenregistratie	projectnamen, toewijzingen, urenstaten, tarieven en accordeerstatus
Rapportagegegevens	boekhoudrapportages uit bovenstaande gegevens en de e-mailadressen waarnaar deze worden verzonden

Wat Owlix niet namens de Gebruiker verwerkt: het BSN, DigiD-inloggegevens of bijzondere categorieën persoonsgegevens in de zin van artikel 9 AVG. Owlix vraagt niet om zulke gegevens. Belanden ze toch in een door de Gebruiker geüpload document, dan worden ze uitsluitend als onderdeel van diens administratie bewaard en niet geanalyseerd of voor andere doeleinden gebruikt.

De Gebruiker staat ervoor in dat voor de in deze bijlage beschreven verwerking een geldige grondslag als bedoeld in artikel 6 AVG bestaat en dat deze beschrijving overeenkomt met de gegevens die hij daadwerkelijk invoert.

Bijlage 2 – Bewaartermijnen

Categorie gegevens	Bewaartermijn
Account van de Gebruiker en de inhoud van zijn administratie (documenten, relaties, instellingen)	gedurende de looptijd van de Hoofdovereenkomst
Al het bovenstaande na afloop van de Hoofdovereenkomst	retournering of verwijdering binnen 30 dagen (artikel 14 lid 2)
Gegevens die op grond van fiscale of boekhoudkundige regels bewaard moeten blijven	de wettelijk vereiste termijn – in beginsel 7 jaar
Technische logs en toegangslogs (waaronder toegang van het Kantoor)	12 maanden
Back-ups	maximaal 35 dagen, daarna overschreven

De termijnen in deze bijlage zijn in overeenstemming met de privacyverklaring van Owlix. Heeft de Gebruiker andere termijnen nodig, dan kunnen die schriftelijk met Owlix worden afgesproken.

Bijlage 3 – Technische en organisatorische maatregelen

1. Versleuteling van transport – al het verkeer tussen het apparaat van de Gebruiker en de applicatie is versleuteld (HTTPS/TLS).
2. Locatie en isolatie – gegevens staan in de infrastructuur van Amazon Web Services in de regio Frankfurt, in een niet publiek toegankelijke omgeving, met een application firewall (WAF) en gescheiden test- en productieomgevingen.
3. Toegangsbeheer – toegang van medewerkers wordt persoonsgebonden toegekend volgens het principe van minimale rechten en beperkt tot wie het nodig heeft; alle betrokkenen zijn tot geheimhouding verplicht.
4. Authenticatie – wachtwoorden worden uitsluitend versleuteld opgeslagen (onomkeerbare hash); een account vereist bevestiging van het e-mailadres.
5. Back-ups – automatische, dagelijkse back-ups van de database.
6. Verantwoording – vastlegging van toegangsgebeurtenissen tot documenten, waaronder toegang van het Kantoor.
7. Kwetsbaarhedenbeheer – doorlopende beveiligingsupdates van componenten, statische codeanalyse en review van wijzigingen vóór productie.
8. Verwerkersovereenkomsten met leveranciers – met iedere Subverwerker is een verwerkersovereenkomst gesloten.

Owlix kan deze maatregelen actualiseren, mits het beschermingsniveau niet daalt.

Bijlage 4 – Subverwerkers

Subverwerker	Rol	Verwerkingslocatie
Amazon Web Services	hosting, opslag en back-ups	Europese Unie (Frankfurt)
Google Cloud (Vertex AI)	automatische herkenning van gegevens uit documenten – uitsluitend wanneer de Gebruiker die functie gebruikt	Europese Unie
Mollie	afhandeling van abonnementsbetalingen	Europese Unie (Nederland)
Leverancier e-mailverzending	verzending van systeemberichten en documenten naar door de Gebruiker opgegeven adressen	Europese Unie
Maesn GmbH (Düsseldorf, Duitsland)	integratiedienst voor koppelingen met boekhoudprogramma’s – doorgifte van documenten en relatiegegevens aan het boekhoudprogramma van het Kantoor, uitsluitend wanneer het Kantoor de koppeling inschakelt; gegevens passeren zonder blijvende opslag	Europese Unie (Microsoft Azure – Frankfurt / Amsterdam)
Microsoft Ireland Operations Ltd. (Microsoft Azure) – subverwerker van Maesn	cloudinfrastructuur voor de dienst van Maesn	Europese Unie (Frankfurt / Amsterdam)

De actuele lijst is beschikbaar via info@owlix.com. Wijzigingen worden aangekondigd conform artikel 6 lid 3.

Owlix B.V.

↑ Naar boven

Data Processing Agreement

Effective from: 5 October 2026

This data processing agreement (the DPA) forms an integral part of the General Terms and Licence for the Owlix Application (the Main Agreement), concluded between Owlix B.V., De Werf 15, 2544 EH The Hague, Chamber of Commerce (KvK) number 93197292 (Owlix), and the user of the Owlix application (the User). The DPA applies from the moment the User accepts the Main Agreement.

The parties record that:

1. The User uses the Owlix application on the basis of the Main Agreement.
2. In using the application, the User enters personal data into it – their own data and that of their employees, clients and business partners. In relation to that data the User is the controller and Owlix is the processor.
3. In relation to the User’s account data and Owlix’s relationship with the User (registration, billing, contact, security, own marketing), Owlix is a separate controller – the DPA does not cover this; the rules are described in the privacy policy available at www.owlix.com.

Article 1 – Definitions

1. GDPR – Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016.
2. Personal Data – personal data that Owlix processes on behalf of the User under the Main Agreement, as specified in Annex 1.
3. Processing – any operation performed on Personal Data, including collection, storage, organisation, consultation, transmission, erasure and destruction.
4. Data Subject – the natural person to whom the Personal Data relates.
5. Sub-processor – a provider whose services Owlix uses in processing Personal Data.
6. Personal Data Breach – a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, Personal Data.
7. Accounting Firm – the accountant or accounting firm to which the User has granted access to their account.

Article 2 – Scope and precedence

1. The DPA applies to all Processing of Personal Data by Owlix on behalf of the User under the Main Agreement.
2. As regards the processing of personal data, the provisions of the DPA take precedence over the Main Agreement.

Article 3 – Subject matter, nature, purpose and duration of the Processing

1. Subject matter and purpose: the Processing takes place solely for the purpose of providing the User with the services described in the Main Agreement – maintaining their company’s records in the application, including issuing and sending documents, keeping cost and mileage records, generating reports and making documents available to the Accounting Firm designated by the User.
2. Nature of the Processing: operations performed automatically in Owlix’s IT systems, as specified in Annex 1.
3. Types of data and categories of Data Subjects: Annex 1.
4. Duration: for the term of the Main Agreement, subject to the retention periods in Annex 2.

Article 4 – Owlix’s obligations

1. Owlix processes Personal Data solely on documented instructions from the User. The Main Agreement, the DPA and the actions performed by the User in the application are deemed to be such instructions.
2. Owlix does not take independent decisions about the purpose of the Processing and does not use Personal Data for its own purposes. The User’s data and documents are not used to train artificial intelligence models. Owlix may use only aggregated and anonymised data for the development and maintenance of its services.
3. If Owlix considers that an instruction from the User infringes the GDPR or other data protection legislation, it will inform the User without delay.
4. Owlix processes Personal Data only to the extent necessary to perform the Main Agreement.
5. Only persons who need it to perform their duties have access to Personal Data. Those persons are bound to confidentiality – including after their engagement with Owlix ends.
6. Owlix maintains a record of categories of processing activities carried out on behalf of the User (Article 30(2) GDPR) and makes it available to the User on request.
7. If a public authority requires Owlix to disclose Personal Data, Owlix will – unless prohibited by law – inform the User within 7 working days and before complying with the request, so as to allow the User to take legal measures.

Article 5 – Access by the Accounting Firm

1. If the User grants an Accounting Firm access to their account, Owlix makes Personal Data available to the Accounting Firm on the User’s instructions, within the scope of the permissions granted by the User.
2. An Accounting Firm that receives the User’s documents processes them as a separate controller – on its own responsibility and in accordance with its own obligations, including its record-retention obligation. Owlix is not a processor acting on behalf of the Accounting Firm in respect of documents the Accounting Firm has received.
3. Withdrawal of access by the User takes effect for the future and does not cover documents previously provided to the Accounting Firm.
4. Owlix logs the Accounting Firm’s access events to the User’s account and makes that information available to the User on request.

Article 6 – Sub-processors

1. The User gives Owlix general authorisation to use Sub-processors. The current list of Sub-processors is set out in Annex 4 and is available on request at info@owlix.com.
2. Owlix concludes an agreement with each Sub-processor imposing obligations no less protective than those under the DPA.
3. Owlix informs the User of any intended addition or change of a Sub-processor at least 14 days in advance – in the application or by e-mail.
4. The User may raise a reasoned objection within that period. If the parties cannot find a solution, the User may terminate the Main Agreement with effect from the date of the intended change, and is entitled to a refund of the fee for the unused period.
5. Owlix is liable for the acts of Sub-processors as for its own.

Article 7 – Assistance to the User

Taking into account the nature of the Processing and the information available to it, Owlix assists the User in fulfilling the User’s obligations:

1. Rights of Data Subjects – Owlix provides functions in the application allowing the User to view, correct, export and delete data themselves. Where this is not sufficient, Owlix provides reasonable technical assistance. If a request from a Data Subject is addressed directly to Owlix, Owlix does not respond to it itself but passes it on to the User without delay.
2. Security, breach notification and impact assessment – Owlix assists the User in fulfilling the obligations under Articles 32-36 GDPR, including by providing the information needed for a data protection impact assessment (DPIA) and for any consultation with the supervisory authority.
3. The assistance described in paragraphs 1 and 2 is free of charge to a reasonable extent. Owlix may charge the User for assistance going beyond that extent, subject to prior agreement.

Article 8 – Personal Data Breaches

1. Owlix informs the User of a Personal Data Breach without undue delay and no later than within 48 hours of becoming aware of it – so that the User can meet the 72-hour deadline for notifying the supervisory authority.
2. The information covers – to the extent available to Owlix – the nature of the breach, the categories and approximate number of Data Subjects and data records concerned, the likely consequences and the measures taken or proposed to address the breach.
3. If full information is not immediately available, Owlix provides it in stages, without undue delay.
4. The User informs Owlix of any breach of which they become aware concerning data processed in the application – without undue delay and no later than within 48 hours.
5. The obligation to notify the supervisory authority and to communicate the breach to Data Subjects rests with the User as controller. Owlix does not make such notifications on the User’s behalf unless the parties agree otherwise.

Article 9 – Security

1. Owlix applies appropriate technical and organisational measures to protect Personal Data against loss and unlawful processing, taking into account the state of the art, the costs of implementation and the nature and risk of the Processing (Article 32 GDPR). These measures are described in Annex 3.
2. Owlix may update the security measures, provided that the level of protection is not reduced.
3. At the User’s request, Owlix makes available the information needed to demonstrate compliance with this Article.

Article 10 – Audit

1. The User has the right to verify compliance with the DPA – either themselves or through an independent auditor bound by confidentiality.
2. In the first instance, Owlix makes available the documentation, reports and certificates it holds. An on-site audit is justified where that documentation does not provide sufficient information.
3. An audit takes place no more than once a year (other than following a Personal Data Breach), after at least two weeks’ notice, during working hours and in a manner that disrupts Owlix’s operations as little as possible.
4. The costs of the audit are borne by the User. Owlix may charge the User the reasonable costs of its support during the audit, subject to prior agreement.
5. The User provides Owlix with a copy of the audit report without delay after receiving it.
6. The audit does not cover data of other Owlix customers or information covered by trade secrets.

Article 11 – Transfers outside the EEA

1. Personal Data is processed in the European Union. The servers on which the User’s records are stored are located in Frankfurt (Germany), and document data recognition takes place in an EU region.
2. Owlix does not transfer Personal Data outside the European Economic Area without first informing the User and ensuring a basis provided for in Chapter V GDPR – in particular standard contractual clauses approved by the European Commission or an adequacy decision.

Article 12 – The User’s obligations

1. The User declares that they have a legal basis for processing the data of the persons they enter into the application and that they have fulfilled the information obligation towards them.
2. The User is responsible for the accuracy and currency of the data entered and for ensuring that the scope of the data does not go beyond what is necessary for maintaining their records.
3. The User protects their login credentials and grants access to the account only to authorised persons.
4. The User indemnifies Owlix against liability towards third parties to the extent that it arises from the User’s breach of the obligations in paragraphs 1-3.

Article 13 – Liability

1. The Processing takes place under the responsibility of the User as controller.
2. Owlix’s liability towards the User is limited on the terms set out in the Main Agreement.
3. The limitations of liability do not apply to liability towards Data Subjects arising directly from Article 82 GDPR, or to damage caused intentionally or through gross negligence.
4. The User informs Owlix of any claim relating to the processing of data without undue delay after becoming aware of it, so as to allow Owlix to take remedial action.

Article 14 – Duration and termination

1. The DPA applies for the term of the Main Agreement and ends together with it.
2. After the end of the Main Agreement, Owlix – at the User’s choice – returns the Personal Data or deletes it, within 30 days of the end of the Main Agreement. In the absence of an express choice, Owlix deletes the data after that period.
3. Before the end of the Main Agreement, the User may export their data from the application themselves at any time.
4. Owlix may retain Personal Data for longer only to the extent and for the period required by law; in that case Owlix informs the User of the legal basis. Such data remains subject to the obligations of confidentiality and security.

Article 15 – Final provisions

1. Rights and obligations under the DPA may not be transferred to a third party without the written consent of the other party.
2. If any provision proves to be invalid, the remaining provisions remain in force; the parties will replace it with a provision as close as possible to the original intention.
3. If the European Commission or the Dutch data protection authority adopts standard contractual clauses as referred to in Article 28(7) and (8) GDPR, those clauses will replace any conflicting provisions of the DPA from the moment they enter into force.
4. The DPA is governed by Dutch law; disputes are settled by the court in The Hague.
5. The DPA is made available in Polish, Dutch and English. In the event of discrepancies, the Dutch version prevails.
6. Contact: info@owlix.com.

---

Annex 1 – Types of data, categories of Data Subjects and processing activities

Processing activities: collection, storage, organisation, consultation, generation of documents and reports, sending documents to addresses designated by the User or the Accounting Firm, making data available to the Accounting Firm within the permissions granted, automatic recognition of data from documents (where the User uses that function), creation of backups, erasure.

Categories of Data Subjects:

Category	Description
The User and persons representing them	the entrepreneur holding the account and persons acting on their behalf
The User’s employees and contractors	persons to whom the User has granted access to the account or who appear in timesheets
The User’s clients and principals	recipients of invoices issued by the User
The User’s suppliers	entities appearing on purchase invoices and receipts
The User’s subcontractors	persons assigned to projects and timesheets

Types of personal data:

Group	Data
Identification and contact data	first and last name, company name, address, e-mail address, telephone number
Registration and tax data	KvK number, VAT/BTW number
Content of sales documents	invoices with line items, amounts, BTW rates, payment terms and payment status; attachments (photographs of work, contracts)
Content of cost documents	invoices and receipts together with photographs or files of the documents, amounts and supplier data
Financial data	bank account numbers, bank statements uploaded by the User, payment history of documents
Mileage	routes, start and destination addresses, dates, number of kilometres, vehicle data (registration number, odometer reading)
Projects and working time	project names, assignments of persons, timesheets, rates and approval statuses
Reporting data	accounting reports generated from the above data and the e-mail addresses to which they are sent

What Owlix does not process on behalf of the User: the BSN (Dutch citizen service number), DigiD login credentials or special categories of data within the meaning of Article 9 GDPR. Owlix does not ask for such data. If it happens to appear in a document uploaded by the User, it is stored solely as part of the User’s records and is not analysed or used for any other purpose.

The User declares that a valid legal basis within the meaning of Article 6 GDPR exists for the processing of the data described in this Annex, and that this description corresponds to the data they actually enter into the application.

Annex 2 – Retention periods

Category of data	Retention period
The User’s account and the content of their records (documents, business partners, settings)	for the term of the Main Agreement
All of the above after the end of the Main Agreement	return or erasure within 30 days (Article 14(2))
Data that tax or accounting legislation requires to be retained	for the period required by law – as a rule 7 years
Technical logs and access logs (including Accounting Firm access)	12 months
Backups	up to 35 days, after which they are overwritten

The periods in this Annex are consistent with the Owlix privacy policy. If the User needs different periods, these may be agreed with Owlix in writing.

Annex 3 – Technical and organisational measures

1. Encryption in transit – all traffic between the User’s device and the application is encrypted (HTTPS/TLS).
2. Location and isolation – data is stored in Amazon Web Services infrastructure in the Frankfurt region, in an environment that is not publicly accessible, with an application firewall (WAF) and separated test and production environments.
3. Access control – employee access is granted on a named basis, on a least-privilege basis, limited to those who need it; all persons with access are bound by a confidentiality undertaking.
4. Authentication – passwords are stored only in encrypted form (an irreversible hash); an account requires confirmation of the e-mail address.
5. Backups – automated, daily database backups.
6. Accountability – logging of document access events, including access by the Accounting Firm.
7. Vulnerability management – ongoing security updates of components, static code analysis, review of changes before deployment to production.
8. Data processing agreements with providers – a data processing agreement is concluded with every Sub-processor.

Owlix may update the above measures, provided this does not reduce the level of protection.

Annex 4 – Sub-processors

Sub-processor	Role	Place of processing
Amazon Web Services	hosting, data storage and backups	European Union (Frankfurt)
Google Cloud (Vertex AI)	automatic recognition of data from documents – only where the User uses that function	European Union
Mollie	processing of subscription payments	European Union (the Netherlands)
E-mail delivery provider	sending system messages and documents to addresses designated by the User	European Union
Maesn GmbH (Düsseldorf, Germany)	integration service for connections with accounting software – transfer of documents and business partner data to the Accounting Firm’s accounting software, only where the Accounting Firm switches the connection on; data passes through without persistent storage	European Union (Microsoft Azure – Frankfurt / Amsterdam)
Microsoft Ireland Operations Ltd. (Microsoft Azure) – sub-processor of Maesn	cloud infrastructure for the Maesn service	European Union (Frankfurt / Amsterdam)

The current list is available at info@owlix.com. Changes are announced in accordance with Article 6(3).

Owlix B.V.

↑ Back to top