Verwerkersovereenkomst
Versie 1
Concepttekst. Laat deze tekst nalezen door een jurist en vul de bedrijfsgegevens in (omgevingsvariabelen PLATFORM_LEGAL_*) voor je betalende klanten aanneemt.
Deze overeenkomst geldt tussen de klant die een account aanmaakt op LogîsKey (de verwerkingsverantwoordelijke) en [naam van het platformbedrijf], [adres], [ondernemingsnummer] (de verwerker). Ze wordt aanvaard bij registratie en hoort bij de algemene voorwaarden.
1. Onderwerp
De verwerker verwerkt persoonsgegevens uitsluitend om het platform te leveren: het beheren van panden en het tonen van digitale gastgidsen, en (vanaf het moment dat de klant die functies gebruikt) het bijhouden van aanvragen en inschrijvingen van gasten.
2. Soorten gegevens en betrokkenen
- Gebruikers van de klant: naam, e-mailadres, inloggegevens, activiteitenlog.
- Gasten van de klant: alleen wat de gast zelf invult, zoals naam, e-mailadres, taal, gekozen verblijf en tijdstip van toestemming.
- Inhoud die de klant zelf invoert over zijn panden.
3. Instructies
De verwerker verwerkt de gegevens alleen volgens de gedocumenteerde instructies van de klant, zoals vastgelegd in deze overeenkomst en de instellingen die de klant in het platform kiest. Als een instructie volgens de verwerker in strijd is met de AVG, meldt hij dat meteen.
4. Vertrouwelijkheid
Wie bij de verwerker toegang heeft tot persoonsgegevens, is tot geheimhouding verplicht. Support-toegang tot een account gebeurt alleen op vraag van de klant en wordt gelogd.
5. Beveiliging
- Gegevens van verschillende klanten zijn logisch gescheiden; elke toegang wordt gecontroleerd op het account van de ingelogde gebruiker.
- Versleutelde verbindingen (HTTPS) en versleutelde opslag bij de hostingpartner.
- Wachtwoorden worden alleen als hash bewaard; sessies en links in mails zijn tijdelijk en alleen als hash opgeslagen.
- Dagelijkse back-ups, toegangsbeheer en een log van belangrijke handelingen.
6. Subverwerkers
De klant geeft toestemming voor de inzet van de volgende subverwerkers. De verwerker meldt wijzigingen minstens 30 dagen vooraf; de klant kan dan bezwaar maken of opzeggen.
- Railway Corp. – hosting van applicatie en database (EU-regio)
- Resend, Inc. – verzending van e-mails (verzending vanuit Ierland, gegevens opgeslagen in de VS)
7. Doorgifte buiten de EER
De database met alle gegevens staat in de Europese Economische Ruimte. Voor het versturen van e-mails (bevestigingen, uitnodigingen, meldingen) gebruikt de verwerker een subverwerker die het e-mailadres van de ontvanger, de inhoud van de mail en de verzendgegevens in de Verenigde Staten bewaart. Die doorgifte gebeurt op basis van de standaardcontractbepalingen van de Europese Commissie en het EU-VS Data Privacy Framework. Andere doorgiftes buiten de EER gebeuren alleen met passende waarborgen volgens hoofdstuk V van de AVG.
8. Bijstand en rechten van betrokkenen
De verwerker helpt de klant om verzoeken van betrokkenen (inzage, verbetering, verwijdering, bezwaar) te beantwoorden, onder meer met functies in het platform om gegevens op te zoeken, te exporteren en te verwijderen.
9. Datalekken
De verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan de klant, met de informatie die de klant nodig heeft voor een eventuele melding aan de Gegevensbeschermingsautoriteit.
10. Audit
De verwerker stelt de informatie ter beschikking die nodig is om naleving aan te tonen, en werkt mee aan een redelijke audit, op kosten van de klant en na voorafgaande afspraak.
11. Einde
Bij het einde van de overeenkomst kan de klant zijn gegevens exporteren. Binnen 30 dagen daarna verwijdert de verwerker alle persoonsgegevens, behalve wat wettelijk bewaard moet worden. Back-ups worden binnen hun normale cyclus overschreven.
12. Aansprakelijkheid en recht
De aansprakelijkheid volgt de algemene voorwaarden. Op deze overeenkomst is het Belgisch recht van toepassing.
Vragen: [contactadres]