Verwerkersovereenkomst
Zet je persoonsgegevens in Tooltagger, dan ben jij daarvoor verwerkingsverantwoordelijke en zijn wij verwerker. Dit document legt vast wat wij daarmee wel en niet mogen doen, zoals artikel 28 AVG voorschrijft.
1. Partijen en rolverdeling
Deze verwerkersovereenkomst geldt tussen de klant, hierna verwerkingsverantwoordelijke, en Tooltagger B.V., hierna verwerker. Zij maakt onlosmakelijk deel uit van de algemene voorwaarden en geldt zodra de klant de dienst in gebruik neemt. Een aparte ondertekening is niet nodig; wil de klant dat toch, dan werken we daaraan mee.
De verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking. De verwerker verwerkt de gegevens uitsluitend ten behoeve van de verwerkingsverantwoordelijke.
Voor de gegevens die wij als bedrijf zelf verwerken — zoals contactgegevens van de contactpersoon en de facturatiegegevens — zijn wij zelf verwerkingsverantwoordelijke. Dat staat beschreven in onze privacyverklaring.
2. Onderwerp, aard en duur
| Onderwerp | Het verwerken van persoonsgegevens die de verwerkingsverantwoordelijke in de dienst invoert of laat invoeren. |
|---|---|
| Aard | Opslag, raadpleging, wijziging, ordening, doorzoeken, export en verwijdering, voor zover de functionaliteit van de dienst dat meebrengt. |
| Doel | Het registreren van materieel, het plannen en vastleggen van keuringen en het opstellen van keuringsrapporten. |
| Duur | Zolang de overeenkomst tussen partijen loopt, plus de bewaartermijn uit artikel 12. |
3. Welke gegevens en welke betrokkenen
Afhankelijk van hoe de verwerkingsverantwoordelijke de dienst inricht, gaat het om:
| Categorie betrokkenen | Soorten persoonsgegevens |
|---|---|
| Medewerkers en keurmeesters van de verwerkingsverantwoordelijke | Naam, e-mailadres, functie, gebruikersnaam, rol en de naam van de keurmeester onder een keuringsrapport |
| Contactpersonen bij klanten van de verwerkingsverantwoordelijke | Naam, e-mailadres, telefoonnummer, bedrijfsnaam en locatie |
| Personen die aan materieel gekoppeld zijn | Naam of personeelsnummer van degene aan wie een object is uitgegeven |
De dienst is niet bedoeld voor het verwerken van bijzondere categorieën persoonsgegevens in de zin van artikel 9 AVG, en evenmin voor het burgerservicenummer. De verwerkingsverantwoordelijke voert die gegevens niet in.
4. Verwerking op instructie
De verwerker verwerkt de persoonsgegevens uitsluitend op schriftelijke instructie van de verwerkingsverantwoordelijke. Het gebruik van de dienst zoals die is ingericht, geldt als zodanige instructie.
Is de verwerker op grond van Unierecht of Nederlands recht verplicht tot een verdergaande verwerking, dan stelt hij de verwerkingsverantwoordelijke daarvan vooraf op de hoogte, tenzij dat recht die mededeling verbiedt.
Meent de verwerker dat een instructie in strijd is met de AVG, dan meldt hij dat direct.
5. Geheimhouding
De verwerker verplicht iedereen die toegang heeft tot de persoonsgegevens tot geheimhouding, via de arbeidsovereenkomst of een afzonderlijke verklaring. Die verplichting blijft gelden na afloop van de werkzaamheden.
Toegang tot productiegegevens is beperkt tot medewerkers die dat voor onderhoud of ondersteuning nodig hebben, en wordt vastgelegd.
6. Beveiligingsmaatregelen
De verwerker treft passende technische en organisatorische maatregelen zoals bedoeld in artikel 32 AVG. Daaronder in elk geval:
- versleuteling van verkeer met TLS en versleuteling van gegevens in rust;
- wachtwoorden die gehasht worden opgeslagen;
- toegangsbeheer op basis van rollen, met het principe van minimale rechten;
- logging van wie welke wijziging wanneer heeft doorgevoerd;
- periodieke back-ups waarvan het terugzetten wordt getest;
- gescheiden omgevingen voor ontwikkeling, test en productie;
- periodieke actualisatie van software en afhankelijkheden.
7. Subverwerkers
De verwerkingsverantwoordelijke geeft algemene toestemming voor het inschakelen van subverwerkers. De verwerker legt hun ten minste dezelfde verplichtingen op als in deze overeenkomst staan, en blijft jegens de verwerkingsverantwoordelijke aansprakelijk voor hun handelen.
| Subverwerker | Waarvoor | Locatie |
|---|---|---|
| Cloudflare, Inc. | Hosting en levering van de website en de applicatie | EU / VS |
| Supabase, Inc. | Database, gebruikersauthenticatie en bestandsopslag van de applicatie | EU |
| Resend | Verzending van transactionele e-mail | EU / VS |
| WeFact B.V. | Facturatie en het uitvoeren van de automatische incasso | Nederland |
| HubSpot, Inc. | Inplannen van demo-afspraken en klantcontact | EU / VS |
| Plausible Insights OÜ | Websitestatistieken, cookieloos en zonder profielen | EU |
| Google Ireland Limited | Meten welke advertenties tot een proefaccount leiden (Google Ads en Tag Manager, op de website en in de applicatie) | EU / VS |
Wil de verwerker een subverwerker toevoegen of vervangen, dan meldt hij dat minimaal dertig dagen vooraf. De verwerkingsverantwoordelijke kan daar binnen die termijn gemotiveerd bezwaar tegen maken; komen partijen er niet uit, dan kan de verwerkingsverantwoordelijke de overeenkomst beëindigen tegen de ingangsdatum van de wijziging.
8. Rechten van betrokkenen
Krijgt de verwerker rechtstreeks een verzoek van een betrokkene — bijvoorbeeld om inzage, correctie of verwijdering — dan handelt hij dat niet zelf af, maar stuurt hij het onverwijld door naar de verwerkingsverantwoordelijke.
De verwerker verleent redelijke medewerking om de verwerkingsverantwoordelijke in staat te stellen aan zijn verplichtingen te voldoen, onder meer doordat de dienst zelf voorziet in inzage, correctie, export en verwijdering van gegevens.
9. Datalekken
De verwerker informeert de verwerkingsverantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 24 uur nadat hij bekend is geworden met een inbreuk in verband met persoonsgegevens.
Die melding bevat ten minste:
- de aard van de inbreuk en, voor zover bekend, de betrokken categorieën en aantallen;
- de waarschijnlijke gevolgen;
- de maatregelen die zijn of worden getroffen om de inbreuk aan te pakken en de gevolgen te beperken;
- de contactgegevens voor nadere informatie.
Het melden bij de Autoriteit Persoonsgegevens en het informeren van betrokkenen is de verantwoordelijkheid van de verwerkingsverantwoordelijke. De verwerker verleent daarbij de medewerking die redelijkerwijs van hem gevraagd kan worden.
Meldingen doen wij aan het bij ons bekende contactadres, en zijn te bereiken via contact@tooltagger.com.
10. Doorgifte buiten de EER
De verwerker geeft persoonsgegevens niet door naar een land buiten de Europese Economische Ruimte, tenzij dat gebeurt op basis van een adequaatheidsbesluit van de Europese Commissie of op basis van de standaardcontractbepalingen, waar nodig aangevuld met aanvullende maatregelen.
11. Controle en audits
De verwerkingsverantwoordelijke mag eenmaal per jaar controleren of de verwerker deze overeenkomst naleeft. Dat gebeurt in eerste instantie op basis van beschikbare rapportages en verklaringen.
Geven die geen uitsluitsel, dan kan de verwerkingsverantwoordelijke een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige. De audit wordt minimaal dertig dagen vooraf aangekondigd, vindt plaats tijdens kantooruren en verstoort de bedrijfsvoering zo min mogelijk. De kosten komen voor rekening van de verwerkingsverantwoordelijke, tenzij uit de audit een wezenlijke tekortkoming van de verwerker blijkt.
12. Teruggave en verwijdering
Na beëindiging van de overeenkomst blijven de gegevens nog dertig dagen beschikbaar zodat de verwerkingsverantwoordelijke ze zelf kan exporteren in een gangbaar, machineleesbaar formaat.
Daarna verwijdert de verwerker de persoonsgegevens uit zijn productiesystemen. Uit back-ups verdwijnen ze binnen drie maanden, doordat back-ups roteren. Zolang gegevens nog in een back-up aanwezig zijn, blijven de verplichtingen uit deze overeenkomst erop van toepassing.
Is de verwerker wettelijk verplicht bepaalde gegevens langer te bewaren, dan bewaart hij uitsluitend die gegevens en uitsluitend voor dat doel.
13. Aansprakelijkheid
De aansprakelijkheidsregeling uit de algemene voorwaarden is ook op deze verwerkersovereenkomst van toepassing, voor zover de wet dat toelaat. De aansprakelijk- heid die rechtstreeks uit de AVG voortvloeit, kan daarmee niet worden beperkt.
14. Slotbepalingen
Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.
Op deze overeenkomst is Nederlands recht van toepassing. Wijzigingen kondigen we aan zoals beschreven in de algemene voorwaarden.
Vragen over dit document? Mail contact@tooltagger.com of bel 0413 – 410 420.