Verwerkersovereenkomst

Partijen

Verwerker: Altitudes Group B.V., KvK 93488432, handelend onder de naam Klusinbox, gevestigd te Nijmegen, hierna "Klusinbox".

Verwerkingsverantwoordelijke: de onderneming die een leveranciersaccount op klusinbox.nl heeft en deze overeenkomst langs elektronische weg heeft aanvaard, hierna "de leverancier".

1. Waarom deze overeenkomst bestaat, en wanneer hij gaat gelden

Bij het gewoon kopen van een aanvraag is de leverancier zelfstandig verwerkingsverantwoordelijke voor de contactgegevens die hij ontvangt. Klusinbox is dat voor zijn eigen aanvraagstroom. In die situatie is er geen verwerkersrelatie en is deze overeenkomst niet nodig.

Die situatie verandert zodra Klusinbox iets namens de leverancier gaat doen. Vanaf dat moment verwerkt Klusinbox persoonsgegevens onder diens verantwoordelijkheid, en schrijft artikel 28 AVG voor dat daar een overeenkomst aan ten grondslag ligt — vóórdat de verwerking begint.

Deze overeenkomst gaat daarom pas gelden op het moment dat de leverancier hem aanvaardt, en uitsluitend voor de functies genoemd in artikel 2. Aanvaarding is een losse, vastgelegde handeling; zij zit niet verborgen in de registratie.

2. Onderwerp, aard en doel van de verwerking

Klusinbox verwerkt persoonsgegevens namens de leverancier uitsluitend voor de functies die de leverancier zelf aanzet:

• A. Agendakoppeling — Klusinbox leest de beschikbaarheid uit de agenda van de leverancier om afspraakmomenten voor te stellen, en zet de afspraak in een door Klusinbox aangemaakte agenda. Gegevens: bezet/vrij-blokken (begin- en eindtijd), de namen van de agenda's waarop de leverancier is geabonneerd, en de door Klusinbox aangemaakte afspraken.
• B. Verzenden namens de leverancier — Klusinbox verstuurt berichten aan de consument in de naam en huisstijl van de leverancier. Gegevens: naam, e-mailadres, telefoonnummer en aanvraaggegevens van de consument.
• C. Klantbeheer — Klusinbox houdt een klantdossier en klushistorie bij voor de leverancier. Gegevens: naam, adres en contactgegevens van diens klanten, plus notities en klusgegevens die de leverancier zelf toevoegt.

2a. Wat bij de agendakoppeling uitdrukkelijk niet gebeurt

Klusinbox leest géén inhoud van bestaande afspraken. Niet het onderwerp, niet de deelnemers, niet de locatie, niet de omschrijving. De koppeling vraagt bij Google uitsluitend rechten die beschikbaarheid tonen en die schrijven in een eigen, door de app aangemaakte agenda. Dit is geen belofte over intenties maar een eigenschap van de gevraagde toegangsrechten.

Categorieën betrokkenen: consumenten die via Klusinbox een aanvraag hebben gedaan, klanten die de leverancier zelf toevoegt, en de leverancier zelf en diens medewerkers voor zover hun agendagegevens worden verwerkt.

Bijzondere categorieën persoonsgegevens (artikel 9 AVG) worden niet verwerkt en mogen door de leverancier ook niet worden ingevoerd.

Duur: deze overeenkomst geldt zolang de leverancier ten minste één van de functies uit artikel 2 gebruikt, en eindigt zoals beschreven in artikel 10.

3. Instructies

Klusinbox verwerkt de persoonsgegevens uitsluitend op basis van de schriftelijke instructies van de leverancier. Het aanzetten van een functie uit artikel 2 en het gebruik van de daarbij horende schermen gelden als zodanige instructie; deze overeenkomst en de productdocumentatie leggen die instructies vast.

Klusinbox verwerkt de gegevens niet voor eigen doeleinden. Gegevens die Klusinbox als zelfstandig verwerkingsverantwoordelijke verwerkt — de aanvraagstroom, de beoordeling van aanvragen, facturatie en de kwaliteitsmeting van het platform — vallen buiten deze overeenkomst en zijn geregeld in de privacyverklaring van Klusinbox. Beide soorten gegevens worden technisch gescheiden opgeslagen.

Meent Klusinbox dat een instructie in strijd is met de AVG of andere wetgeving, dan meldt zij dat onverwijld aan de leverancier en mag zij die instructie opschorten.

4. Doorgifte buiten de EER

Er vindt geen doorgifte van persoonsgegevens buiten de Europese Economische Ruimte plaats. Alle verwerking en opslag vindt plaats binnen de EER.

Wordt doorgifte buiten de EER in de toekomst onvermijdelijk, dan stelt Klusinbox de leverancier daarvan vooraf op de hoogte en treft zij een geldig overdrachtsmechanisme (artikel 46 AVG).

5. Vertrouwelijkheid

Klusinbox verplicht iedereen die toegang heeft tot de persoonsgegevens tot geheimhouding, hetzij via een arbeidsovereenkomst, hetzij via een verwerkers- of geheimhoudingsovereenkomst. Toegang wordt uitsluitend verleend voor zover nodig voor de uitvoering van deze overeenkomst.

6. Beveiliging

Klusinbox treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Daaronder in elk geval:

• versleuteling van transport (TLS) en van de opgeslagen agendacredentials;
• toegangsbeperking op basis van rol, met individuele accounts;
• logging van handelingen op persoonsgegevens, zonder de gegevens zelf te loggen;
• gescheiden opslag van gegevens waarvoor Klusinbox verwerker is en gegevens waarvoor zij zelf verwerkingsverantwoordelijke is;
• back-ups met hetzelfde beschermingsniveau als de productieomgeving;
• periodieke toetsing van de maatregelen.

7. Sub-verwerkers

De leverancier verleent Klusinbox algemene toestemming voor het inschakelen van sub-verwerkers. Klusinbox legt hen dezelfde verplichtingen op als in deze overeenkomst staan en blijft jegens de leverancier aansprakelijk voor hun handelen.

De actuele sub-verwerkers zijn:

• Amazon Web Services EMEA SARL — hosting en opslag — EER.
• Amazon Web Services EMEA SARL (SES) — verzending van e-mail — EER.
• De agendasoftware die de koppeling uit functie A verzorgt draait op de eigen infrastructuur van Klusinbox en is dus geen sub-verwerker.

7a. Wijziging van de sub-verwerkerslijst

Klusinbox kondigt een wijziging in deze lijst ten minste 30 dagen vooraf aan. De leverancier mag daartegen op redelijke gronden bezwaar maken; komen partijen er niet uit, dan mag de leverancier de betreffende functie of het account beëindigen zonder kosten.

8. Rechten van betrokkenen en bijstand

Verzoeken van betrokkenen die bij Klusinbox binnenkomen en betrekking hebben op gegevens waarvoor de leverancier verantwoordelijke is, worden niet door Klusinbox afgehandeld: zij worden onverwijld doorgeleid naar de leverancier, die beslist. Klusinbox verleent de daarvoor benodigde technische medewerking.

Klusinbox verleent de leverancier verder redelijke bijstand bij:

• het beantwoorden van verzoeken op grond van de artikelen 15 tot en met 22 AVG;
• het naleven van de artikelen 32 tot en met 36 AVG, waaronder een gegevensbeschermingseffectbeoordeling.

9. Datalekken

Klusinbox stelt de leverancier zonder onredelijke vertraging, en in elk geval binnen 48 uur na ontdekking, op de hoogte van een inbreuk in verband met persoonsgegevens die diens gegevens raakt. De melding bevat ten minste de aard van de inbreuk, de betrokken categorieën en aantallen, de waarschijnlijke gevolgen en de getroffen of voorgestelde maatregelen.

De melding aan de Autoriteit Persoonsgegevens en, waar vereist, aan de betrokkenen is de verantwoordelijkheid van de leverancier. Klusinbox meldt niet namens hem, tenzij schriftelijk anders afgesproken.

10. Einde van de overeenkomst, teruggave en verwijdering

Deze overeenkomst eindigt wanneer de leverancier zijn aanvaarding intrekt, alle functies uit artikel 2 uitzet, of zijn account beëindigt. Bij beëindiging geldt:

• de leverancier kan zijn gegevens exporteren in een gangbaar formaat;
• Klusinbox verwijdert of retourneert de gegevens waarvoor zij verwerker is, naar keuze van de leverancier, binnen 30 dagen na diens instructie;
• geeft de leverancier binnen die termijn geen instructie, dan verwijdert Klusinbox de gegevens;
• gegevens die Klusinbox op grond van de wet moet bewaren, worden bewaard tot het einde van die termijn en niet anders gebruikt dan daarvoor.

10a. Belangrijk voor de leverancier

De bewaartermijnen die Klusinbox hanteert voor haar eigen aanvraagstroom raken zijn klantadministratie niet. Die administratie is van hem en verdwijnt niet doordat Klusinbox haar eigen gegevens opschoont.

11. Audit

Klusinbox stelt op verzoek de informatie beschikbaar die nodig is om de naleving van deze overeenkomst aan te tonen. De leverancier mag ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige, op eigen kosten en na aankondiging van ten minste 30 dagen. Bij een aangetoonde tekortkoming komen de kosten voor rekening van Klusinbox.

12. Wijziging en versiebeheer

Deze overeenkomst draagt een versieaanduiding. Een wijziging is een nieuwe versie en wordt ten minste 30 dagen vooraf aangekondigd, conform de Verordening platform-tot-bedrijf (EU 2019/1150). Tot het verstrijken van die termijn blijft de eerder aanvaarde versie gelden.

Aanvaarding en intrekking worden langs elektronische weg vastgelegd, met vermelding van de versie, het tijdstip en een verkort IP-adres. Die vastlegging is onveranderlijk: er wordt niets overschreven, elke handeling is een nieuwe regel. De leverancier kan zijn eigen vastlegging in zijn account inzien.

13. Aansprakelijkheid en toepasselijk recht

Op deze overeenkomst zijn de aansprakelijkheidsbepaling en de rechtskeuze uit de algemene voorwaarden van Klusinbox van toepassing. Er geldt dus één regeling voor de hele relatie: Nederlands recht, en geschillen worden voorgelegd aan de bevoegde rechter in Nederland.