Juridisch
Verwerkersovereenkomst
Deze verwerkersovereenkomst hoort bij de overeenkomst waarmee u smedr gebruikt. Zij regelt hoe wij omgaan met de persoonsgegevens die u in smedr vastlegt, en is voor al onze klanten gelijk, zodat zij zonder onderhandeling kan worden aanvaard. Voor de gegevens die wij van u als klant verwerken geldt de privacyverklaring.
1 Partijen en toepasselijkheid
Deze overeenkomst geldt tussen Elfrink Consulting (KvK 17254008, Berkstraat 24, 5492 EB Sint-Oedenrode), hierna de verwerker, en de organisatie die smedr gebruikt, hierna de verantwoordelijke.
De overeenkomst gaat in op het moment dat de verantwoordelijke smedr in gebruik neemt en loopt zolang dat gebruik duurt. Bij tegenstrijdigheid tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor, waar het de verwerking van persoonsgegevens betreft.
Heeft de verantwoordelijke een ondertekend exemplaar nodig, dan is dat op te vragen via info@smedr.nl.
De verwerker is niet verplicht een functionaris voor gegevensbescherming aan te wijzen en heeft die niet aangewezen. Vragen over deze overeenkomst, over de verwerking en over een incident gaan naar info@smedr.nl.
2 Onderwerp en instructies
De verwerker verwerkt persoonsgegevens uitsluitend om de dienst te leveren: het opslaan en bewerken van relaties, contactpersonen, offertes, facturen, abonnementen en de bijbehorende documenten, het versturen daarvan per e-mail namens de verantwoordelijke, en het beschikbaar en veilig houden van de omgeving.
De verwerker gebruikt de gegevens niet voor eigen doeleinden. Ze worden niet verkocht, niet gebruikt voor reclame en niet gebruikt om modellen te trainen. Hierop geldt één uitzondering: de verwerker mag meten hoe de dienst wordt gebruikt — welke onderdelen worden aangeroepen, hoe vaak en hoe zwaar — voor het beheer, de capaciteitsplanning en de doorontwikkeling ervan. Dat levert geaggregeerde, tot personen niet herleidbare gegevens op; de inhoud van relaties, offertes en facturen wordt daarvoor niet gebruikt. De verwerker raadpleegt de gegevens van een verantwoordelijke uitsluitend voor zover dat nodig is om een storing op te lossen of een ondersteuningsverzoek uit te voeren, en dan zo beperkt mogelijk.
De verantwoordelijke bepaalt het doel en de middelen van de verwerking; die zeggenschap komt niet bij de verwerker te liggen. De gegevens die de verantwoordelijke in smedr vastlegt, en de gegevens die daarin namens hem ontstaan, blijven van de verantwoordelijke. De verwerker verkrijgt daarop geen recht en houdt ze uitsluitend onder zich om de dienst te leveren.
De verwerker handelt uitsluitend op instructie van de verantwoordelijke. Die instructie luidt: de dienst leveren zoals die is ingericht en door de verantwoordelijke wordt gebruikt. Meent de verwerker dat een instructie in strijd is met de wet, dan meldt de verwerker dat.
3 Categorieën gegevens en betrokkenen
De verantwoordelijke bepaalt zelf welke gegevens in smedr worden vastgelegd. In de praktijk gaat het om:
| Categorie betrokkenen | Soorten persoonsgegevens |
|---|---|
| Contactpersonen bij klanten en prospects van de verantwoordelijke | Naam, aanhef, functie of afdeling, zakelijk e-mailadres, telefoonnummer, bezoek- en factuuradres |
| Medewerkers van de verantwoordelijke die met smedr werken | Naam, e-mailadres, rol en rechten, inloggegevens, persoonlijke ondertekening en afsluiting |
| Ondertekenaars van een offerte | Naam, handtekeningafbeelding, IP-adres en tijdstip van het akkoord, en een eventuele opmerking |
| Contactpersonen bij leveranciers van de verantwoordelijke | Naam en zakelijke contactgegevens |
smedr is niet bedoeld voor bijzondere persoonsgegevens, zoals gegevens over gezondheid, ras of politieke voorkeur, en niet voor burgerservicenummers. Die dienen er niet in te worden vastgelegd.
4 Vertrouwelijkheid
De verwerker houdt de gegevens vertrouwelijk. Iedereen die namens de verwerker toegang heeft, is tot geheimhouding verplicht en krijgt uitsluitend toegang voor zover de werkzaamheden dat vereisen.
5 Verzoeken van autoriteiten
Ontvangt de verwerker van een autoriteit — politie, justitie, een toezichthouder of een buitenlandse instantie — een verzoek of bevel tot verstrekking van persoonsgegevens die hij namens de verantwoordelijke verwerkt, dan verstrekt de verwerker die gegevens niet, tenzij een op de verwerker rustende wettelijke verplichting daartoe dwingt.
De verwerker stelt de verantwoordelijke van een dergelijk verzoek zo spoedig mogelijk op de hoogte, zodat deze zelf kan optreden, tenzij de wet die mededeling verbiedt. Waar dat mogelijk is, verwijst de verwerker de autoriteit door naar de verantwoordelijke. Moet de verwerker toch verstrekken, dan verstrekt hij niet meer dan het bevel vereist en legt hij vast wat is verstrekt en op welke grond.
6 Beveiliging
De verwerker neemt passende technische en organisatorische maatregelen. Op hoofdlijnen:
- Alle verbindingen lopen over HTTPS, met HSTS en een strikte Content Security Policy.
- Gegevens van verschillende organisaties zijn in de database van elkaar gescheiden met row-level security: de scheiding wordt op één plek in de database afgedwongen, niet per zoekopdracht opnieuw.
- Wachtwoorden worden gehasht opgeslagen, nooit leesbaar. Tweefactor-authenticatie (authenticator-app) is beschikbaar en per organisatie verplicht te maken.
- Na te veel mislukte inlogpogingen wordt een account tijdelijk vergrendeld. Sessies zijn centraal te beëindigen.
- Wachtwoorden, sleutels en verbindingsgegevens staan buiten de programmacode, in de beveiligde instellingen van het platform.
- Gegevens staan versleuteld op de opslag van de hostingpartij (encryptie at rest) en back-ups worden door die partij gemaakt en bewaard.
- Toegang tot de productieomgeving is beperkt tot de personen die deze toegang nodig hebben, met meervoudige verificatie.
- Toegang via de programmeerkoppeling (API) loopt over een sleutel die per organisatie geldt, alleen de rechten heeft die eraan zijn gegeven, in te trekken is en kan verlopen. Het verkeer is per sleutel begrensd, en van elke sleutel wordt bijgehouden wanneer hij voor het laatst is gebruikt.
De maatregelen kunnen wijzigen wanneer de techniek daartoe aanleiding geeft; het beschermingsniveau wordt daarbij niet verlaagd.
7 Subverwerkers
De verantwoordelijke geeft de verwerker toestemming de onderstaande partijen in te schakelen. Zij mogen de gegevens uitsluitend gebruiken voor de taak die daarbij staat vermeld en zijn daaraan contractueel gebonden, met verplichtingen die niet lichter zijn dan die uit deze overeenkomst.
| Partij | Waarvoor | Waar | Status |
|---|---|---|---|
| Microsoft Azure | Hosting, database en bestandsopslag | EU — West Europe | In gebruik |
| Microsoft Graph | Verzenden van e-mail (offertes, facturen, herinneringen) | EU | In gebruik |
| Microsoft Entra ID | Inloggen met een werkaccount (SSO), bij organisaties die dat gebruiken | EU | In gebruik |
| Icecat | Productcontent opzoeken, alleen bij organisaties met die module aan | EU | In gebruik |
| Mollie | Betaallinks op facturen (iDEAL), via het eigen Mollie-account van de organisatie | EU — Nederland | In gebruik, alleen bij organisaties met de betaalmodule aan |
Twee partijen in deze lijst zijn uitsluitend aan de orde bij een verantwoordelijke die de bijbehorende module gebruikt: Icecat wordt pas aangeroepen bij het opzoeken van productcontent, en Mollie alleen wanneer de verantwoordelijke betaallinks op facturen inschakelt.
Voor Mollie geldt het volgende. De betaling loopt via het eigen Mollie-account van de verantwoordelijke: die sluit de overeenkomst met Mollie zelf, het bedrag wordt rechtstreeks op de eigen rekening uitbetaald en komt niet bij de verwerker. De verwerker zet de betaling klaar en stuurt daarbij het bedrag, een omschrijving (standaard het factuurnummer) en de webadressen voor terugkeer en terugmelding — geen naam, adres of e-mailadres van de betaler. Wat de betaler bij Mollie invult, gaat rechtstreeks naar Mollie en loopt niet via smedr.
Wil de verwerker een subverwerker toevoegen of vervangen, dan meldt de verwerker dat ten minste 14 dagen vooraf, per e-mail aan het bij de verwerker bekende contactadres van de verantwoordelijke. De verantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken op gronden die de bescherming van persoonsgegevens betreffen. Blijft bezwaar binnen die termijn uit, dan geldt de wijziging als aanvaard.
Bij bezwaar treden partijen in overleg. Komen zij er binnen 30 dagen na het bezwaar niet uit, dan kan de verantwoordelijke het deel van de overeenkomst dat de wijziging raakt opzeggen tegen het einde van de lopende factuurperiode, zonder opzegvergoeding en met terugbetaling van het vooruitbetaalde bedrag dat op de periode na die datum ziet. Verdere aanspraken ontstaan door deze opzegging niet.
Moet een subverwerker om dringende redenen worden vervangen — bijvoorbeeld bij een beveiligingsincident, een storing van betekenis of het wegvallen van de partij — dan mag de verwerker de wijziging eerder doorvoeren. De verwerker meldt dat in dat geval zo spoedig mogelijk; het bezwaar- en opzegrecht hierboven blijft gelden, met de termijn gerekend vanaf die melding.
Deze lijst wijzigt vaker dan de overige bepalingen. De datum bovenaan het document geldt daarom ook voor deze lijst.
8 Koppelingen die de verantwoordelijke zelf maakt
De verantwoordelijke kan smedr met andere systemen koppelen via een API-sleutel die hij zelf aanmaakt. Welke systemen dat zijn, bepaalt de verantwoordelijke: een eigen script, een ERP, een koppelplatform of een rapportagetool. Voor die bestemming is de verantwoordelijke de verwerkingsverantwoordelijke. De verwerker is daarvan geen verwerker, en de achterliggende partij is geen subverwerker in de zin van deze overeenkomst: de verwerker heeft die partij niet gekozen en heeft er geen zicht op.
Dat geldt ook wanneer de verwerker de koppeling zelf levert. Wordt er een kant-en-klare verbinding naar een andere dienst aangeboden, dan levert de verwerker de koppeling en niet de bestemming; wat de ontvangende partij met de gegevens doet, wordt door de verwerker niet beoordeeld.
Een API-sleutel geeft toegang tot alle gegevens in de omgeving van de verantwoordelijke waarvoor de sleutel rechten heeft. De verantwoordelijke behandelt de sleutel daarom als een wachtwoord: niet doorgeven, niet bewaren in gedeelde bestanden en niet meer rechten toekennen dan de koppeling nodig heeft. Bij een vermoeden dat een sleutel is uitgelekt, trekt de verantwoordelijke die in en meldt dat aan de verwerker. De verwerker zorgt dat sleutels in te trekken zijn, kunnen vervallen en zonder onderbreking te vervangen zijn, en dat zichtbaar is wanneer een sleutel voor het laatst is gebruikt. Een incident dat ontstaat doordat een sleutel aan de zijde van de verantwoordelijke is uitgelekt, is geen datalek bij de verwerker.
Laat de verantwoordelijke gebeurtenissen doorgeven aan een zelf opgegeven webadres (een webhook), dan verstuurt de verwerker daar berichten naartoe. De verantwoordelijke kiest dat adres en bepaalt de locatie ervan, ook wanneer die buiten de Europese Unie ligt. De verwerker controleert de bestemming niet en beoordeelt niet wat daar met de gegevens gebeurt. Die berichten bevatten uitsluitend welke gebeurtenis heeft plaatsgevonden en op welk record die betrekking heeft, niet de inhoud daarvan.
Deze bepalingen wijzigen de subverwerkerslijst niet. Partijen die de verantwoordelijke zelf aansluit staan daar niet in: het zijn geen partijen die de verwerker namens de verantwoordelijke inschakelt.
9 Doorgifte buiten de EU
De gegevens die de verantwoordelijke in smedr vastlegt, blijven in de Europese Unie: hosting, database, bestandsopslag en e-mailverzending vinden plaats in de EU-regio van de hostingpartij. Voor deze gegevens vindt geen doorgifte naar een land buiten de EU plaats.
Wijzigt dat — bijvoorbeeld door een nieuwe subverwerker — dan meldt de verwerker dat volgens de procedure in het artikel over subverwerkers, en vindt de doorgifte plaats op basis van de standaardcontractbepalingen van de Europese Commissie.
Het bovenstaande betreft doorgifte die de verwerker veroorzaakt. Geeft de verantwoordelijke een webadres op voor gebeurtenissen, of sluit hij zelf een systeem aan met een API-sleutel, dan bepaalt de verantwoordelijke waar die gegevens terechtkomen. Ligt die bestemming buiten de Europese Unie, dan is het aan de verantwoordelijke daarvoor een geldige grondslag te hebben.
10 Rechten van betrokkenen
Een betrokkene die zijn of haar rechten wil uitoefenen, wendt zich tot de verantwoordelijke: dat is de partij die bepaalt welke gegevens in smedr zijn vastgelegd. De verwerker verwijst een betrokkene daarom door en voert niet op eigen initiatief wijzigingen of verwijderingen uit.
De verwerker verleent de verantwoordelijke wel medewerking bij het uitvoeren van zulke verzoeken. Inzage, correctie, export en verwijdering kan de verantwoordelijke grotendeels zelf in de software uitvoeren; waar dat niet mogelijk is, verleent de verwerker binnen een redelijke termijn bijstand.
Wendt een betrokkene zich rechtstreeks tot de verwerker, dan stelt de verwerker de verantwoordelijke daarvan binnen drie werkdagen op de hoogte en voert hij daarna uit wat de verantwoordelijke naar aanleiding van dat verzoek opdraagt.
11 Bijstand bij beoordelingen
Moet de verantwoordelijke een gegevensbeschermingseffectbeoordeling uitvoeren of de toezichthouder vooraf raadplegen, dan verleent de verwerker daarbij redelijke bijstand. Die bijstand bestaat uit het aanleveren van de informatie over de dienst waarover de verantwoordelijke zelf niet beschikt: de aard van de verwerking, de beveiligingsmaatregelen, de subverwerkers en de locaties van verwerking.
De beoordeling zelf, de risicoweging en de daaruit volgende besluiten blijven aan de verantwoordelijke. Hetzelfde geldt voor de bijstand die de verwerker verleent bij het beveiligen van de verwerking en bij het melden van inbreuken: de verwerker levert informatie en maatregelen, de verantwoordelijke beslist.
12 Datalekken
Onder een inbreuk wordt in dit artikel verstaan een inbreuk in verband met persoonsgegevens als bedoeld in artikel 4, onderdeel 12, van de AVG: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot persoonsgegevens.
Constateert de verwerker een inbreuk op de beveiliging die persoonsgegevens van de verantwoordelijke raakt, dan meldt de verwerker dat zonder onnodige vertraging en in ieder geval binnen 24 uur na constatering aan het bij de verwerker bekende contactadres van de verantwoordelijke.
De melding bevat wat bekend is over de aard van de inbreuk, de betrokken categorieën gegevens en betrokkenen, de vermoedelijke gevolgen en de maatregelen die zijn of worden genomen. Ontbrekende informatie volgt zodra de verwerker daarover beschikt. De melding aan de Autoriteit Persoonsgegevens en aan betrokkenen doet de verantwoordelijke; de verwerker levert daarvoor de beschikbare informatie aan.
Over een inbreuk die de verantwoordelijke raakt doet de verwerker geen mededeling aan de Autoriteit Persoonsgegevens, aan betrokkenen of aan derden zonder voorafgaand overleg met de verantwoordelijke, tenzij een op de verwerker rustende wettelijke verplichting daartoe dwingt. In dat geval stelt de verwerker de verantwoordelijke daarvan vooraf op de hoogte en beperkt hij de mededeling tot wat die verplichting vereist. Raakt één inbreuk meerdere klanten, dan noemt de verwerker de andere klanten niet.
13 Register van verwerkingsactiviteiten
De verwerker houdt een register bij van de categorieën van verwerkingen die hij namens de verantwoordelijke verricht, zoals artikel 30 lid 2 van de AVG voorschrijft. Daarin staan in elk geval de gegevens van de verwerker en van de verantwoordelijke, de categorieën verwerkingen, de subverwerkers, een eventuele doorgifte naar een land buiten de Europese Unie en een algemene beschrijving van de beveiligingsmaatregelen.
De verantwoordelijke krijgt dat register op verzoek in te zien. Het register dat de verantwoordelijke zelf op grond van artikel 30 lid 1 moet bijhouden, blijft aan de verantwoordelijke.
14 Verantwoording en controle
De verwerker geeft op verzoek de informatie die de verantwoordelijke nodig heeft om te beoordelen of deze overeenkomst wordt nagekomen: een beschrijving van de maatregelen, de actuele subverwerkerslijst en de locaties van verwerking.
De verantwoordelijke kan een audit door een onafhankelijke deskundige laten uitvoeren: ten hoogste eenmaal per jaar, met een aankondiging van ten minste 30 dagen, tijdens kantooruren, en zonder dat de vertrouwelijkheid tegenover andere klanten wordt geraakt. De redelijke kosten daarvan komen voor rekening van de verantwoordelijke, tenzij uit de audit een wezenlijke tekortkoming van de verwerker blijkt.
Wijzigt de zeggenschap over de verwerker of zijn organisatiestructuur op een wijze die van betekenis is voor de verwerking of de bescherming van de gegevens — bijvoorbeeld bij een overname — dan stelt de verwerker de verantwoordelijke daarvan zo spoedig mogelijk op de hoogte.
15 Bewaren, teruggeven en verwijderen
Zolang de overeenkomst loopt, kan de verantwoordelijke de gegevens zelf exporteren: offertes en facturen als pdf, en facturen, factuurregels, betalingen, abonnementen en de btw-opstelling als CSV-bestand.
Na het einde van de overeenkomst blijven de gegevens 90 dagen beschikbaar voor export. Daarna verwijdert de verwerker ze uit de productieomgeving; back-ups vervallen vervolgens volgens het back-upschema van de hostingpartij. Op verzoek verwijdert de verwerker eerder.
De verantwoordelijke bepaalt of de gegevens worden teruggegeven of gewist. Bij teruggave levert de verwerker ze in de vorm waarin zij in de dienst aanwezig zijn: de export uit de software, zo nodig aangevuld met een machineleesbare uitvoer. Op verzoek bevestigt de verwerker schriftelijk dat de gegevens uit de productieomgeving zijn verwijderd, met vermelding van de datum. Back-ups worden daarbij niet afzonderlijk doorzocht; die vervallen volgens het back-upschema van de hostingpartij en zijn tot dat moment uitsluitend voor herstel beschikbaar.
Eén categorie is niet zelf te verwijderen: een verstuurde factuur. Op verkoopfacturen rust een fiscale bewaarplicht van zeven jaar, die de software handhaaft — een relatie met verstuurde facturen is niet te verwijderen, alleen te deactiveren. Die bewaarplicht rust op de verantwoordelijke; de verwerker maakt de naleving ervan mogelijk.
Naast de exportfunctie in de software kan de verantwoordelijke de gegevens ook via de programmeerkoppeling ophalen. Bij het einde van de overeenkomst vervallen alle API-sleutels van de organisatie en stoppen de koppelingen die daarvan gebruikmaakten.
Rust op de verwerker zelf een wettelijke bewaarplicht — bijvoorbeeld voor de facturen die de verwerker aan de verantwoordelijke heeft gestuurd — dan bewaart de verwerker uitsluitend die gegevens, en uitsluitend zolang die plicht duurt.
16 Wijzigingen van deze overeenkomst
Deze overeenkomst is voor alle klanten gelijk en draagt bovenaan een versienummer en een datum. De verwerker kan haar wijzigen wanneer de wet, een aanwijzing van een toezichthouder, rechtspraak of een wijziging in de dienst daartoe aanleiding geeft.
Een wijziging die de positie van de verantwoordelijke wezenlijk raakt, meldt de verwerker ten minste 14 dagen vóór ingang aan het bij de verwerker bekende contactadres. Tekstuele verduidelijkingen en wijzigingen die uitsluitend in het voordeel van de verantwoordelijke zijn, gaan in bij publicatie. Voor het toevoegen of vervangen van een subverwerker geldt de procedure in het artikel over subverwerkers.
Is de verantwoordelijke het met een wezenlijke wijziging niet eens, dan treden partijen in overleg. Komen zij er binnen 30 dagen niet uit, dan kan de verantwoordelijke de overeenkomst opzeggen tegen het einde van de lopende factuurperiode, zonder opzegvergoeding en met terugbetaling van het vooruitbetaalde bedrag dat op de periode na die datum ziet.
Eerdere versies van deze overeenkomst zijn op te vragen via info@smedr.nl.
17 Nietige bepalingen
Is een bepaling van deze overeenkomst nietig of om een andere reden niet afdwingbaar, dan blijven de overige bepalingen onverminderd van kracht. Partijen vervangen de betreffende bepaling in dat geval door een bepaling die de strekking ervan zo dicht mogelijk benadert.
18 Aansprakelijkheid en toepasselijk recht
Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde Nederlandse rechter. De aansprakelijkheidsregeling uit de algemene voorwaarden van de overeenkomst geldt ook hier, voor zover de wet dat toestaat.
Vragen over dit document? Mail info@smedr.nl.