Juridisch
Verwerkersovereenkomst
Ontwerptekst. Nog na te lezen door een jurist voor publicatie. Gemarkeerde stukken moeten nog ingevuld worden.
Deze overeenkomst volgt artikel 28 van de Algemene Verordening Gegevensbescherming (AVG). Ze maakt deel uit van de algemene voorwaarden en wordt aanvaard bij de inschrijving.
1. Partijen en rollen
De klant is verwerkingsverantwoordelijke voor de persoonsgegevens die hij en zijn gebruikers in het platform invoeren. YAIS BV (YAIS BV, met zetel te Eikblokstraat 32, 2100 Antwerpen, ondernemingsnummer 1006.558.904, RPR Antwerpen, afdeling Antwerpen) is verwerker en verwerkt die gegevens alleen in opdracht van de klant.
2. Onderwerp en duur
De verwerker verwerkt persoonsgegevens om het platform te leveren zoals beschreven in de algemene voorwaarden. De overeenkomst loopt zolang de verwerker gegevens van de klant bewaart, ook tijdens de proefperiode en de 90 dagen na het einde van het abonnement. Aard, doel, soorten gegevens en betrokkenen staan in bijlage 1.
3. Instructies
De verwerker verwerkt de gegevens alleen op basis van schriftelijke instructies van de klant. De algemene voorwaarden, deze overeenkomst, de instellingen die de klant in het platform kiest en zijn verzoeken aan support gelden als instructies. Vindt de verwerker dat een instructie in strijd is met de AVG, dan meldt hij dat onmiddellijk. De verwerker gebruikt de gegevens nooit voor eigen doeleinden.
4. Vertrouwelijkheid
Alleen medewerkers die het nodig hebben voor hun taak hebben toegang, en ze zijn gebonden aan geheimhouding. Toegang tot de gegevens van een klant voor support gebeurt alleen met diens uitdrukkelijke toestemming, voor een beperkte tijd, en wordt gelogd.
5. Beveiliging
De verwerker neemt passende technische en organisatorische maatregelen (artikel 32 AVG), beschreven in bijlage 3, en houdt ze bij volgens de stand van de techniek.
6. Subverwerkers
De klant geeft algemene toestemming om de subverwerkers uit bijlage 2 in te schakelen. De verwerker legt hen dezelfde verplichtingen op en blijft volledig verantwoordelijk voor hen. Een nieuwe of vervangende subverwerker meldt de verwerker minstens 30 dagen vooraf per e-mail. De klant kan binnen die termijn gemotiveerd bezwaar maken; vinden de partijen geen oplossing, dan kan de klant het abonnement kosteloos opzeggen met terugbetaling van de niet-gebruikte periode.
7. Doorgifte buiten de EER
De verwerker bewaart de gegevens in het platform op zijn eigen server in België. Met uitzondering van wat hieronder staat, verwerken alle subverwerkers ze binnen de Europese Economische Ruimte.
E-mails aan onze adressen worden bewaard bij No-IP (Vitalwerks Internet Solutions LLC) in de Verenigde Staten. Voor die doorgifte hebben we standaardcontractbepalingen van de Europese Commissie aangevraagd; zolang die niet ondertekend zijn, is er nog geen passende waarborg in de zin van hoofdstuk V van de AVG. Zet daarom geen gevoelige gegevens in een mail aan ons. Dit betreft alleen e-mail die de klant of zijn gebruikers aan de verwerker sturen, niet de gegevens in het platform.
Een andere doorgifte buiten de EER gebeurt alleen na een melding zoals in artikel 6 en met passende waarborgen volgens hoofdstuk V van de AVG.
8. Bijstand
De verwerker helpt de klant, rekening houdend met de aard van de verwerking, bij het beantwoorden van verzoeken van betrokkenen (inzage, verbetering, wissing, overdraagbaarheid), grotendeels via functies in het platform zelf, en bij gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen. Een verzoek dat de verwerker rechtstreeks ontvangt, stuurt hij zonder antwoord door naar de klant.
9. Datalekken
De verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat hij ze ontdekte aan de beheerders van de klant, met de informatie van artikel 33.3 AVG voor zover beschikbaar. Hij neemt meteen maatregelen om de gevolgen te beperken en houdt een register van alle inbreuken bij.
10. Einde
Na het einde van het abonnement kan de klant zijn gegevens nog 90 dagen exporteren. Daarna wist de verwerker alle persoonsgegevens van de klant, ook in de back-ups binnen de bewaartermijn ervan, tenzij een wet bewaring vereist. Op verzoek bevestigt de verwerker de wissing schriftelijk.
11. Controle
De verwerker stelt alle informatie ter beschikking die nodig is om aan te tonen dat hij deze overeenkomst naleeft. De klant mag een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte auditor, maximaal één keer per jaar en na een aankondiging van 30 dagen, tenzij na een datalek. De kosten zijn voor de klant, tenzij de audit een ernstige tekortkoming aantoont.
12. Aansprakelijkheid
De aansprakelijkheid van de partijen volgt de algemene voorwaarden en artikel 82 AVG.
Bijlage 1. Beschrijving van de verwerking
| Aard | Opslaan, raadplegen, wijzigen, versturen (e-mail, Peppol), structureren, exporteren en wissen van gegevens in een ERP-platform |
|---|---|
| Doel | Het platform leveren: CRM, offertes, planning, werkbonnen, live volgen, voorraad, facturatie, boekhouding, marketing en de andere modules van het plan, plus support en back-ups |
| Betrokkenen | Gebruikers van de klant, zijn medewerkers en onderaannemers, klanten en prospecten van de klant en hun contactpersonen, leveranciers, ontvangers van nieuwsbrieven |
| Gegevens | Identificatie- en contactgegevens, functie, communicatie en notities, offerte-, order- en factuurgegevens, bankgegevens, planning, uren en verlof, loonkost per uur (module kostprijs), attesten, handtekeningen op werkbonnen, foto's en documenten, locatie van medewerkers tijdens een rit (module live volgen, gewist 24 uur na aankomst), toestemmingen en uitschrijvingen, inlog- en logboekgegevens |
| Bijzondere gegevens | Het platform is er niet voor bedoeld. Voert de klant ze toch in (bv. ziekte in de planning, zonder diagnose), dan is hij zelf verantwoordelijk voor een rechtsgrond. |
Bijlage 2. Subverwerkers
| Subverwerker | Waarvoor | Waar |
|---|---|---|
| Brevo SAS | doorsturen van uitgaande e-mail (SMTP-relay) | Frankrijk |
| Stripe Payments Europe, Ltd. | innen van abonnementsbetalingen (Stripe is voor de betaling zelf ook zelfstandig verantwoordelijke) | Ierland |
| No-IP (Vitalwerks Internet Solutions LLC) | ontvangen en bewaren van e-mail aan onze adressen, zoals info@ en support@ | Reno, Verenigde Staten |
De AI-assistent, wanneer beschikbaar, draait op de eigen server van de verwerker. Er gaan geen klantgegevens naar externe AI-diensten.
Bijlage 3. Beveiligingsmaatregelen
- Versleutelde verbindingen (TLS) voor het platform, e-mail en koppelingen.
- Strikte scheiding tussen organisaties in elke databasequery, met automatische tests per module.
- Wachtwoorden alleen als sterke hash; tweestapsverificatie beschikbaar voor alle gebruikers en verplicht voor beheerders van het platform.
- Rollen en rechten per gebruiker; afgeschermde gegevens zoals kostprijzen alleen voor wie ze mag zien.
- Logboek van belangrijke handelingen en van elke supporttoegang.
- Dagelijkse versleutelde back-ups, ook op een tweede locatie, maximaal 30 dagen bewaard.
- Automatische beveiligingsupdates van het besturingssysteem; updates van de software zo snel mogelijk na publicatie.
- De server staat in een afgesloten, niet-openbare ruimte in België, achter een firewall die alleen webverkeer doorlaat; beheer gebeurt enkel vanuit het lokale netwerk.