Service Level Agreement
Deze vertaling is uitsluitend ter informatie. Alleen de Duitse versie is juridisch bindend.
voor het gebruik van het faktoora SaaS-platform
AVG · GoBD · ISMS afgestemd op ISO/IEC 27001:2022
⬇ SLA als pdf downloaden (v4.2)
Opmerking: Deze versie geldt vanaf 01.12.2026. Tot en met 30.11.2026 geldt de vorige versie: SLA versie 4.1 (pdf).
| Versie | Geldigheid | Laatste review | Verantwoordelijk |
|---|---|---|---|
| 4.2 | 01.12.2026 | 29.10.2026 | faktoora GmbH – directie |
01 · Inleiding en doel
Deze Service Level Agreement (SLA) van faktoora GmbH regelt de serviceniveaus van het faktoora SaaS-platform en beschrijft de beveiliging, de bedrijfscontinuïteit en de supportdienstverlening. Zij vult de hoofdovereenkomst en de verwerkersovereenkomst volgens art. 28 AVG aan.
Bindende toezeggingen zijn opgenomen in de delen 4, 5 en 10.1. De overige delen beschrijven de huidige stand van de maatregelen; faktoora kan deze overeenkomstig punt 4 lid 2 van de verwerkersovereenkomst aanpassen, mits het beschermingsniveau niet wordt verlaagd. Bindend voor de technische en organisatorische maatregelen volgens art. 32 AVG is bijlage 2 van de verwerkersovereenkomst. Garanties in de zin van punt 9.2 van de algemene voorwaarden geeft faktoora met deze SLA niet.
Het document is gebaseerd op de eisen van de volgende normen:
- ISO/IEC 27001:2022 – managementsysteem voor informatiebeveiliging (ISMS afgestemd op de norm)
- AVG – Algemene verordening gegevensbescherming
- GoBD – Duitse beginselen voor het correct voeren en bewaren van boeken, registraties en documenten in elektronische vorm en voor de toegang tot gegevens
De SLA geldt voor klanten met het tarief „Enterprise“ (voorheen „Maatwerk“) en een actieve overeenkomst. Klanten met een ander betaald tarief van wie de overeenkomst vóór 01.12.2026 is gesloten, behouden de SLA voor de duur van die overeenkomst (bestaande klanten). Op andere tarieven en gratis testaccounts is zij niet van toepassing, tenzij uitdrukkelijk in tekstvorm overeengekomen.
Deze versie geldt vanaf 01.12.2026. Voor klanten van wie de overeenkomst vóór deze datum is gesloten, geldt zij vanaf 01.12.2026, maar op zijn vroegst vier weken na ontvangst van de mededeling van de wijziging, tenzij de klant volgens punt 8.10 van de algemene voorwaarden bezwaar maakt; tot dan geldt de vorige versie.
02 · Toepassingsgebied
Deze SLA geldt voor alle diensten en componenten die faktoora rechtstreeks exploiteert, in het bijzonder:
- SaaS-platform faktoora (webapplicatie en API)
- Authenticatie- en autorisatie-infrastructuur
- Gegevensopslag en databasebeheer
- Back-up- en herstelinfrastructuur
- Supportdiensten volgens deel 5
Uitdrukkelijk niet inbegrepen: diensten van externe aanbieders (externe payment providers, e-maildienstverleners, netwerkinfrastructuur van internetproviders, eindapparaten van de klant).
03 · Definities
| Begrip | Definitie |
|---|---|
| Beschikbaarheid | Procentueel aandeel van een kalendermaand zonder downtime. |
| Downtime | Periode waarin de webapplicatie en de API aan de routeruitgang van het datacenter (punt 2.2 van de algemene voorwaarden) niet bereikbaar zijn, vastgesteld door de monitoring van faktoora; uitgezonderd zijn gepland onderhoud en de uitsluitingen volgens deel 4.3. |
| Gepland onderhoud | Onderhoud binnen de vaste onderhoudsvensters en aangekondigd groter onderhoud in het kader van deel 9.1, waarbij het platform beperkt of niet beschikbaar kan zijn. |
| Reactietijd | Tijd tussen de ontvangst van een melding en de eerste gekwalificeerde reactie door faktoora. |
| RTO (Recovery Time Objective) | Beoogde tijdsduur van de uitval tot het herstel van de operationele gereedheid, gerekend binnen de kantooruren (streefwaarde). |
| RPO (Recovery Point Objective) | Beoogde maximale periode van gegevensverlies in een noodgeval (streefwaarde). |
| Incident | Beveiligingsincident of storing die de beschikbaarheid of gegevensbeveiliging aantast. |
| SLA-credit | Creditering met geldwaarde op de maandelijkse vergoeding als compensatie bij een SLA-schending. |
| Change | Wijziging aan systeemcomponenten, configuraties of softwareversies. |
| ISMS | Managementsysteem voor informatiebeveiliging, afgestemd op ISO/IEC 27001:2022. |
| Auditlog | Registratie waarin manipulatie herkenbaar is van alle beveiligingsrelevante gebeurtenissen en toegangen (append-only, cryptografische hashketen). |
04 · Beschikbaarheid van het platform
4.1 Beschikbaarheidstoezegging
faktoora zegt binnen het toepassingsgebied van deze SLA een maandelijkse minimale beschikbaarheid van 99,5 % toe.
| Service-tier | Beschikbaarheid/maand | Max. downtime/maand | Max. downtime/jaar |
|---|---|---|---|
| Tarief „Enterprise“ en bestaande klanten (deel 01) | 99,5 % | ca. 3,6 uur | ca. 43,8 uur |
De beschikbaarheidstoezegging heeft betrekking op de tijd buiten de vaste onderhoudsvensters volgens deel 9.1 (ma–vr 18:00–22:00 uur en op zaterdag de hele dag). Tijden binnen deze onderhoudsvensters en aangekondigd groter onderhoud volgens deel 9.1 tot in totaal 8 uur per kalendermaand worden niet meegenomen in de berekening van de beschikbaarheid.
Meetmethode
De berekening van de beschikbaarheid is gebaseerd op de interne storingsdocumentatie van faktoora; de klant kan tegen de berekening bezwaar maken door eigen registraties over te leggen. De meetperiode is de kalendermaand. Gepland onderhoud in het kader van deel 9.1 wordt niet als downtime meegeteld. Klanten kunnen op elk moment per e-mail een statusopvraag aanvragen; een overzicht van de gedocumenteerde storingen is op verzoek verkrijgbaar. Het platform wordt geautomatiseerd gemonitord.
4.2 SLA-credits bij niet-nakoming
Bij onderschrijding van de toegezegde beschikbaarheid heeft de klant recht op de volgende crediteringen:
| Werkelijke beschikbaarheid | SLA-credit |
|---|---|
| 99,0 % tot < 99,5 % | 5 % van de maandelijkse vergoeding |
| 95,0 % tot < 99,0 % | 10 % van de maandelijkse vergoeding |
| < 95,0 % | 25 % van de maandelijkse vergoeding |
Credits moeten binnen 30 dagen na de betreffende maand in tekstvorm worden aangevraagd bij support@faktoora.com. Zij zijn beperkt tot de maandelijkse vergoeding van de betreffende periode; bij jaarlijkse facturering geldt een twaalfde van de jaarlijkse vergoeding als maandelijkse vergoeding. Met de SLA-credits zijn aanspraken op prijsvermindering wegens onderschrijding van de beschikbaarheid voldaan. Overschrijding van de reactietijden (deel 5.2) leidt niet tot SLA-credits. SLA-credits worden verrekend met eventuele vorderingen tot schadevergoeding; voor het overige geldt de aansprakelijkheidsregeling van de algemene voorwaarden (punt 9).
4.3 Uitsluitingen
De volgende perioden gelden niet als downtime:
- Onderhoud binnen de vaste onderhoudsvensters volgens deel 9.1
- Aangekondigd groter onderhoud buiten de vaste onderhoudsvensters volgens deel 9.1, tot in totaal 8 uur per kalendermaand
- Overmacht (natuurrampen, staking, overheidsingrijpen)
- Uitval die is veroorzaakt door de klant of door derden die geen hulppersonen van faktoora zijn
- Netwerkuitval bij internetproviders
- DDoS-aanvallen die de beschermingsmechanismen van de hostingaanbieder te boven gaan
05 · Supportdiensten
5.1 Contact en kantooruren
| Kanaal | Adres / nummer | Beschikbaarheid |
|---|---|---|
| E-mail (standaard) | support@faktoora.com | 24/7 ontvangst; behandeling ma–vr 09–17 uur (CET/CEST) |
| Telefoon (alleen tarief „Enterprise“) | +49 731 85070390 | ma–vr, 09:00–17:00 uur (CET/CEST) |
| Beveiligingsincidenten | security@faktoora.com | 24/7 ontvangst; behandeling met voorrang volgens deel 10 |
Kantooruren: maandag tot en met vrijdag, 09:00–17:00 uur (CET/CEST), met uitzondering van wettelijke feestdagen in Beieren.
5.2 Prioriteiten en reactietijden
| Prio | Beschrijving | Reactietijd |
|---|---|---|
| A – Kritiek | Platform volledig uitgevallen of gegevensverlies. Geen workaround. | 1 uur |
| B – Hoog | Wezenlijke functie aangetast, workaround mogelijk. | 4 uur |
| C – Gemiddeld | Functiebeperking zonder kritieke gevolgen. | 1 werkdag |
| D – Laag | Cosmetische fouten, verbeterwensen, algemene vragen. | 2 werkdagen |
De reactietijden gelden binnen de kantooruren (ma–vr 09:00–17:00 uur CET/CEST). Buiten de kantooruren beginnen de termijnen op de volgende werkdag. Prio A: kritieke incidenten worden door geautomatiseerde monitoring gedetecteerd en waar mogelijk automatisch afgehandeld; de menselijke reactie volgt binnen 1 uur na het begin van de volgende kantooruren. Oplossingstijden worden niet toegezegd; faktoora behandelt storingen naar hun prioriteit.
5.3 Escalatieprocedure
De klant kan een melding op elk moment escaleren per e-mail met als onderwerp „ESKALATION: [Ticket-ID]“ (letterlijk overnemen); faktoora controleert dan de prioritering en informeert de klant over de verdere aanpak.
06 · Gegevensbeveiliging en versleuteling
De onderstaande gegevens beschrijven de huidige stand van de maatregelen; bindend voor de technische en organisatorische maatregelen (TOM's) volgens art. 32 AVG is bijlage 2 van de verwerkersovereenkomst.
6.1 Versleuteling
| Gebied | Standaard | Details |
|---|---|---|
| Gegevens at rest | Volledige schijfversleuteling | Volledige versleuteling van alle productiesystemen. Sleutelbeheer via gedocumenteerde procedures met een beperkte kring van personen. |
| Gegevens in transit | TLS 1.2 of hoger | Uitsluitend veilige protocollen voor alle externe verbindingen. |
| Back-ups | Versleutelde back-ups | Back-ups worden versleuteld overgedragen en op een ruimtelijk gescheiden locatie opgeslagen. |
| Toegangsgegevens | Zelf beheerde identity provider; als alternatief single sign-on via de identity provider van de klant | Wachtwoorden worden uitsluitend gehasht bij de identity provider beheerd; de applicatie zelf slaat geen wachtwoorden op. Bij single sign-on (bijv. Microsoft Entra ID) vindt de aanmelding plaats bij de identity provider van de klant. API-sleutels worden alleen als hash opgeslagen. |
6.2 Back-up en herstel
| Parameter | Waarde |
|---|---|
| Back-upfrequentie | Back-up van alle persistente gegevensbestanden (databases, bestandsopslag, auditlogs) ten minste elke 2 uur; daarnaast dagelijkse volledige systeemsnapshots |
| Bewaartermijn | 14 dagen (dagelijkse back-ups); maximaal 12 maanden (maandelijkse back-ups) |
| RPO (Recovery Point Obj.) | Streefwaarde: 2 uur |
| RTO (Recovery Time Obj.) | Streefwaarde: 8 uur binnen de kantooruren voor het volledige herstel van het platform; afzonderlijke diensten doorgaans aanzienlijk sneller |
| Back-uplocatie | ISO 27001-gecertificeerde datacenters in Duitsland (Hetzner), ruimtelijk gescheiden van de productie |
| Back-uptests | Regelmatige gedocumenteerde hersteloefeningen |
| Integriteitscontrole | Met controlesommen beveiligde back-ups met regelmatige integriteitscontrole |
6.3 Fouttolerantie en herstel
- Containerplatform met automatische herstart van uitgevallen diensten
- Gedocumenteerde procedure voor het herstel van het gehele platform vanuit een systeemsnapshot op nieuwe infrastructuur
- Twee onafhankelijke back-upniveaus (versleutelde gegevensback-ups en dagelijkse systeemsnapshots)
- Hosting in ISO 27001-gecertificeerde datacenters met redundante stroom- en netwerkvoorziening
07 · Certificeringen en compliance
7.1 Certificeringen en normen
| Certificering / norm | Scope | Status | Bewijs |
|---|---|---|---|
| ISO/IEC 27001:2022 | ISMS van het faktoora SaaS-platform | ISMS afgestemd op ISO/IEC 27001:2022 | Statement of Applicability (samenvatting) op verzoek |
| ISO 27001 – datacenter | Hostinginfrastructuur | Gecertificeerd | Datacentercertificaat op verzoek |
| AVG / art. 28 | Verwerking in opdracht | Verwerkersovereenkomst volgens art. 28 AVG | Verwerkersovereenkomst als onderdeel van de overeenkomst |
| GoBD | Opslag van facturen tijdens de looptijd van de overeenkomst | Audittrail waarin manipulatie herkenbaar is; bescherming tegen verwijdering tijdens de looptijd van de overeenkomst; de wettelijke bewaring berust bij de klant | Beschrijving van de opslag en de export op verzoek |
faktoora stelt op verzoek beschikbare certificaten en bewijsstukken ter beschikking. Auditrapporten van onafhankelijke instanties worden, voor zover beschikbaar, op verzoek en na ondertekening van een NDA ter beschikking gesteld.
7.2 GoBD-conformiteit
- Audittrail waarin manipulatie herkenbaar is (append-only, cryptografische hashketen)
- Logging van alle via de applicatie aangebrachte bedrijfsrelevante wijzigingen met tijdstempel en gebruikersidentificatie
- Gegevensexport via selfservice als CSV en PDF, voor afzonderlijke gegevensgebieden ook als XLSX; aanvullend op verzoek als JSON
- Opslag waarin manipulatie herkenbaar is gedurende de looptijd van de overeenkomst en volledige export volgens punt 5.2 van de algemene voorwaarden; de wettelijke bewaring (8 jaar voor facturen en boekingsbescheiden, 10 jaar voor boeken en registraties, § 147 AO, Duitse belastingwet (Abgabenordnung)) berust bij de klant
08 · Toegangscontrole en auditlogging
8.1 Toegangscontrole
- Rolgebaseerd toegangsmodel (RBAC) volgens het least-privilege-principe
- Meervoudige authenticatie voor administratieve toegang tot de infrastructuur (server-, cloud- en ontwikkeltoegangen)
- Regelmatige controle van de productie- en ontwikkelaarstoegangsrechten
- Blokkering van de toegang zonder onredelijke vertraging bij het vertrek van medewerkers
- Toegang tot de productieomgeving is beperkt tot een kleine, bij naam aangewezen kring van personen
- Strikte scheiding van ontwikkel-, test- en productieomgeving; geen geautomatiseerde CI/CD-toegang tot de productie
8.2 Auditlogging
- Logging van authenticatiegebeurtenissen
- Logging van administratieve wijzigingen in de applicatie in de audittrail en van alle aanmeldingen op productiesystemen
- Append-only audittrail met cryptografische hashketen; manipulaties zijn technisch herkenbaar
- Bewaring van applicatiegebonden auditlogs gedurende de looptijd van de overeenkomst; na het einde van de overeenkomst geldt punt 12 van de verwerkersovereenkomst
- Inzage in gelogde eigen gegevens in het kader van de rechten van betrokkenen volgens de AVG
09 · Changemanagement en onderhoud
Wijzigingen zijn onderworpen aan een formeel changemanagementproces met geautomatiseerde kwaliteitscontroles en rollbackmogelijkheid.
9.1 Onderhoudsvensters
| Soort | Tijdvenster | Aankondiging |
|---|---|---|
| Regulier onderhoud | Vaste onderhoudsvensters ma–vr 18:00–22:00 uur en op zaterdag de hele dag (CET/CEST) | Geen afzonderlijke aankondiging |
| Groter onderhoud buiten de vaste onderhoudsvensters | Naar behoefte, bij voorkeur buiten de kantooruren; tot in totaal 8 uur per kalendermaand niet als downtime meegeteld, daarboven als downtime | Ten minste 48 uur vooraf per e-mail |
9.2 Nood-changes
- Kritieke beveiligingspatches kunnen zonder voorafgaande aankondiging worden geïnstalleerd
- Informeren van betrokken klanten op korte termijn, voor zover de wijziging gevolgen voor hen heeft
- Incidentrapport op verzoek beschikbaar
10 · Beveiligingsincidenten – incidentmanagement
10.1 Classificatie en meldplichten
| Ernst | Beschrijving | Interne reactie (streefwaarde) | Melding aan de klant | Melding aan de autoriteit |
|---|---|---|---|---|
| P1 – Kritiek | Inbreuk in verband met persoonsgegevens (art. 4, punt 12, AVG), in het bijzonder verlies, ongeoorloofde verstrekking of ongeoorloofde toegang | Geautomatiseerde monitoring; beoordeling zonder onredelijke vertraging tijdens de kantooruren, buiten de kantooruren vanaf het begin van de volgende werkdag | zonder onredelijke vertraging, uiterlijk binnen 4 uur na classificatie als kritiek | Melding aan de toezichthoudende autoriteit door de klant als verwerkingsverantwoordelijke (art. 33 AVG); faktoora ondersteunt volgens punt 9 van de verwerkersovereenkomst |
| P2 – Hoog | Compromittering van systemen zonder bevestigd gegevensverlies | Zonder onredelijke vertraging (kantooruren) | Zonder onredelijke vertraging (kantooruren), voor zover klanten getroffen zijn | Door de klant als verwerkingsverantwoordelijke, voor zover vereist |
| P3 – Gemiddeld | Afwijking met mogelijke gevolgen voor de beveiliging | 1 werkdag | Op verzoek | In de regel niet nodig |
| P4 – Laag | Potentiële kwetsbaarheid zonder actief misbruik | 5 werkdagen | Op verzoek | Niet vereist |
De meldplichten volgens punt 9 van de verwerkersovereenkomst blijven onverlet; meldingen aan toezichthoudende autoriteiten over gegevens die faktoora in opdracht verwerkt, worden gedaan door de klant.
10.2 Incidentresponsproces
- Detectie: identificatie via monitoring, alerts of melding door de klant
- Indamming: onmiddellijke schadebeperking (isolatie, blokkering van de toegang)
- Analyse: root cause analysis en beoordeling van de gevolgen
- Verhelping: implementatie van de corrigerende maatregelen en herstel
- Eindrapport: interne post-incident review; samenvattend rapport aan betrokken klanten op verzoek
- Lessons learned: inzichten worden verwerkt in het ISMS en de procesdocumentatie
10.3 Kwetsbaarhedenbeheer
- Geautomatiseerde kwetsbaarheidsscans in de CI-pipeline (scannen van de afhankelijkheden op bekende kwetsbaarheden en statische codeanalyse)
- Regelmatige penetratietests zijn in ons testprogramma vastgelegd
- Risicogebaseerde, geprioriteerde verhelping: kritieke kwetsbaarheden worden zonder onredelijke vertraging behandeld
- Resultaten van uitgevoerde penetratietests stellen wij op verzoek (onder NDA) in samengevatte vorm ter beschikking
11 · Gegevensbescherming en gegevenslokalisatie
- Hosting en opslag van de platformgegevens vinden plaats in ISO 27001-gecertificeerde datacenters in Duitsland; afzonderlijke subverwerkers verwerken gegevens voor hun respectieve dienst ook op andere locaties (bijlage 3 van de verwerkersovereenkomst en trust.faktoora.com)
- Doorgiften naar derde landen en de betreffende waarborgen volgens art. 44 e.v. AVG zijn vermeld in bijlage 3 van de verwerkersovereenkomst
- Verwerking in opdracht geregeld in de verwerkersovereenkomst volgens art. 28 AVG
- Verzoeken van betrokkenen (art. 15–22 AVG) met betrekking tot klantgegevens stuurt faktoora zonder onredelijke vertraging door aan de klant en ondersteunt hem volgens punt 5 van de verwerkersovereenkomst
- Externe functionaris voor gegevensbescherming: PROLIANCE GmbH, datenschutzbeauftragter@datenschutzexperte.de
12 · Auditrechten en bewijsplichten
- De controlerechten volgens punt 8 van de verwerkersovereenkomst zijn van toepassing; bij tegenstrijdigheden heeft de verwerkersovereenkomst voorrang
- faktoora stelt op verzoek (onder NDA) passende bewijsstukken naar eigen keuze ter beschikking
- Het ter beschikking stellen van bestaande bewijsstukken en inlichtingen gebeurt kosteloos; voor inspecties en voor individuele audits en vragenlijsten geldt punt 8 lid 4 van de verwerkersovereenkomst
13 · Business continuity en disaster recovery
faktoora voert een business continuity- en disaster recovery-management.
| Parameter | Streefwaarde |
|---|---|
| RTO – gehele platform | Streefwaarde: 8 uur binnen de kantooruren |
| RTO – afzonderlijke diensten | Doorgaans minder dan 1 uur (automatisch herstel) |
| RPO | Streefwaarde: 2 uur |
| DR-tests | Regelmatig, gedocumenteerd |
| BCP-review | Regelmatig en na wezenlijke systeemwijzigingen |
| Back-upniveaus | Twee onafhankelijke back-upniveaus (versleutelde gegevensback-ups en dagelijkse systeemsnapshots) |
14 · Rapportage en transparantie
- Overzicht van de gedocumenteerde storingen en onderhoudstijden op verzoek
- Kennisgeving aan betrokken klanten bij incidenten per e-mail volgens deel 10
15 · Geldigheid, wijzigingen en bijzonder opzeggingsrecht
- Deze SLA geldt voor de duur van de onderliggende hoofdovereenkomst
- faktoora controleert de SLA regelmatig
- Wijzigingen worden ten minste vier weken vóór de inwerkingtreding in tekstvorm meegedeeld; voor het overige is punt 8.10 van de algemene voorwaarden van overeenkomstige toepassing (bezwaar, opzegging van de hoofdovereenkomst tot het van kracht worden van de wijziging)
- De actuele SLA is beschikbaar op faktoora.com/dokumente
16 · Aanvaarding
Deze SLA maakt deel uit van de hoofdovereenkomst en geldt met het sluiten van de overeenkomst als aanvaard. Een afzonderlijke ondertekening is niet vereist, tenzij in de hoofdovereenkomst anders is overeengekomen.
faktoora GmbH · Service Level Agreement · v4.2 · geldig vanaf 01.12.2026