1. Onderwerp
Deze overeenkomst hoort bij het abonnement op Sleutelregister (de Hoofdovereenkomst). Hierin staan de afspraken over de verwerking van persoonsgegevens die de Verwerker voor de Verwerkingsverantwoordelijke uitvoert, zoals bedoeld in artikel 28 AVG.
Bij strijdigheid gaat deze overeenkomst voor op de Hoofdovereenkomst, maar alleen voor zover het gaat om de verwerking van persoonsgegevens.
2. Verwerkingen
Doel: het leveren van digitaal sleutelbeheer: sleutelregistratie, kast- en haakbeheer, uitgiftes en retouren, digitale overdrachten met handtekening, pdf-bevestigingen en automatische e-mails.
Betrokkenen: medewerkers van de Verwerkingsverantwoordelijke, ontvangers van sleutels (zoals huurders, eigenaren, aannemers en dienstverleners) en contactpersonen.
Persoonsgegevens: naam, e-mailadres, telefoonnummer, bedrijfsnaam, adres of object waaraan een sleutel gekoppeld is, digitale handtekening, datum en tijd van uitgifte en retour, en inloggegevens van gebruikers.
De Verwerkingsverantwoordelijke legt geen bijzondere persoonsgegevens vast en geen BSN of kopieën van identiteitsbewijzen.
De Verwerker verwerkt de persoonsgegevens alleen op schriftelijke instructie van de Verwerkingsverantwoordelijke, en niet voor eigen doeleinden. Wettelijke verplichtingen gaan voor.
3. Geheimhouding
Alleen personen die de gegevens nodig hebben voor hun werk krijgen toegang. Zij hebben een geheimhoudingsplicht.
4. Beveiliging
De Verwerker neemt passende technische en organisatorische maatregelen (artikel 32 AVG). Geen enkele maatregel sluit alle risico's uit; de Verwerker beoordeelt de maatregelen periodiek. Tot de maatregelen behoren in elk geval:
- versleutelde verbindingen (HTTPS/TLS);
- toegang die per organisatie is afgeschermd;
- een beperkte, persoonsgebonden beheerderstoegang;
- regelmatige back-ups via de infrastructuurleverancier;
- het tijdig bijwerken van software.
5. Subverwerkers
De Verwerkingsverantwoordelijke geeft algemene toestemming voor het inschakelen van subverwerkers. De huidige subverwerkers staan hieronder.
De Verwerker meldt een nieuwe of vervangende subverwerker minimaal 30 dagen van tevoren. Binnen die termijn mag de Verwerkingsverantwoordelijke gemotiveerd bezwaar maken. Lossen partijen het bezwaar niet op, dan mag de Verwerkingsverantwoordelijke de Hoofdovereenkomst opzeggen.
De Verwerker legt subverwerkers ten minste dezelfde verplichtingen op als in deze overeenkomst.
- Lovable: hosting van de applicatie en verzending van e-mails;
- Supabase: database-infrastructuur.
6. Doorgifte buiten de EER
Persoonsgegevens worden alleen buiten de EER verwerkt met passende waarborgen, zoals een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie.
7. Datalekken
De Verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging. Dit gebeurt in elk geval binnen 36 uur nadat de inbreuk is ontdekt, via het e-mailadres dat de Verwerkingsverantwoordelijke daarvoor opgeeft.
De melding beschrijft voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het betreft, de waarschijnlijke gevolgen en welke maatregelen zijn genomen.
De Verwerkingsverantwoordelijke beslist of de Autoriteit Persoonsgegevens en de betrokkenen worden geïnformeerd.
8. Rechten van betrokkenen en bijstand
De Verwerker helpt de Verwerkingsverantwoordelijke bij verzoeken om inzage, correctie of verwijdering, en bij een DPIA als die nodig is. Verzoeken die de Verwerker rechtstreeks ontvangt, stuurt hij door.
9. Audit
De Verwerker geeft op verzoek de informatie die nodig is om naleving aan te tonen. Een audit door een onafhankelijke deskundige is maximaal één keer per jaar mogelijk, met een aankondiging van minimaal 30 dagen. De kosten zijn voor de Verwerkingsverantwoordelijke, tenzij uit de audit blijkt dat de Verwerker deze overeenkomst wezenlijk schendt.
10. Duur en einde
Deze overeenkomst loopt zolang de Hoofdovereenkomst loopt.
Na het einde kan de Verwerkingsverantwoordelijke tot 30 dagen een export van de gegevens opvragen. Daarna verwijdert de Verwerker de persoonsgegevens, ook uit actieve systemen. Back-ups worden overschreven volgens de vaste back-upcyclus, tenzij een wettelijke plicht langere bewaring vereist.
11. Aansprakelijkheid
Voor deze overeenkomst geldt de aansprakelijkheidsregeling uit de Hoofdovereenkomst.
12. Recht en geschillen
Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de Rechtbank Noord-Nederland.