Verwerkersovereenkomst

Deze verwerkersovereenkomst geldt tussen jouw onderneming (de verwerkingsverantwoordelijke, hierna "je") en RootCode, eenmanszaak te Woerden, handelend onder de naam BusPilot, handelsregisternummer 74047302 (de verwerker, hierna "wij").

Jij bepaalt welke persoonsgegevens je in BusPilot invoert, met welk doel en hoe lang ze blijven staan. Daarmee ben jij verwerkingsverantwoordelijke in de zin van de AVG.

Wij verwerken die gegevens uitsluitend om de dienst aan jou te leveren. Daarmee zijn wij verwerker.

Voor onze eigen accountadministratie, facturatie en support zijn wij zélf verwerkingsverantwoordelijke. Die verwerking valt buiten deze overeenkomst en staat beschreven in de privacyverklaring.

Onderwerp en aard. Wij verzamelen, bewaren, raadplegen, wijzigen, exporteren en wissen persoonsgegevens in een webapplicatie voor busbeheer, voor zover dat nodig is om de functies te leveren die je afneemt.

Doel. Het beheren van je wagenpark, het plannen van ritten en onderhoud, het bewaken van vervaldatums, het vastleggen van inspecties en tankbeurten, en het administreren van je klanten.

Soorten persoonsgegevens en categorieën betrokkenen: zie bijlage A.

Duur. Deze overeenkomst gaat in zodra je een account aanmaakt en loopt zolang wij persoonsgegevens voor jou verwerken. Bepalingen die naar hun aard doorlopen (geheimhouding, aansprakelijkheid, verwijdering) blijven daarna gelden.

Wij verwerken de persoonsgegevens uitsluitend op jouw schriftelijke instructie. Je gebruik van de applicatie geldt als die instructie: elke functie die je aanzet en elk gegeven dat je invoert, is een opdracht aan ons om dat te verwerken.

Wij gebruiken jouw gegevens nooit voor eigen doeleinden. Niet voor marketing, niet voor het bouwen van profielen, niet voor het trainen van modellen en niet voor analyses over klanten heen.

Moeten wij op grond van Europees of Nederlands recht toch iets verwerken buiten jouw instructie om, dan melden we je dat vooraf, tenzij die wet dat verbiedt.

Vinden wij dat een instructie in strijd is met de AVG, dan melden we je dat direct. We mogen de uitvoering ervan opschorten tot het is opgehelderd.

Onze medewerkers hebben alleen toegang tot jouw omgeving voor zover dat nodig is voor beheer, onderhoud of support. Toegang voor support vindt plaats op jouw verzoek, of bij een storing die wij zelf constateren.

Iedereen die bij ons toegang heeft tot jouw persoonsgegevens is tot geheimhouding verplicht, op grond van hun arbeids- of opdrachtovereenkomst of een aparte geheimhoudingsverklaring.

Die verplichting blijft gelden nadat het dienstverband of de opdracht is geëindigd.

Wij nemen passende technische en organisatorische maatregelen zoals bedoeld in artikel 32 AVG. Welke dat zijn, staat in bijlage B.

Die maatregelen mogen wij aanpassen zolang het beschermingsniveau daardoor niet daalt.

Jij bent verantwoordelijk voor de beveiliging aan jouw kant: sterke wachtwoorden, het intrekken van toegang van vertrokken medewerkers en het zorgvuldig toekennen van rollen binnen je omgeving.

Je geeft ons algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat in bijlage C.

Met elke subverwerker sluiten wij een overeenkomst met minimaal dezelfde verplichtingen als in deze overeenkomst staan.

Willen we een subverwerker toevoegen of vervangen, dan melden we dat minimaal 30 dagen van tevoren per e-mail.

Je mag daar binnen die 30 dagen op redelijke gronden bezwaar tegen maken. Komen we er samen niet uit, dan mag je de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat, met terugbetaling van het niet-gebruikte deel van je vooruitbetaling.

Wij blijven tegenover jou volledig aansprakelijk voor wat een subverwerker doet of nalaat.

Krijgt een chauffeur, medewerker of klant van jou een verzoek om inzage, correctie, verwijdering, beperking, bezwaar of overdraagbaarheid, dan handel jij dat af. Jij bent immers verwerkingsverantwoordelijke.

De applicatie is zo gebouwd dat je die verzoeken zelf kunt uitvoeren: je kunt gegevens inzien, corrigeren, verwijderen en exporteren als JSON zonder ons erbij te halen.

Lukt dat niet met de functies in de applicatie, dan helpen we je binnen vijf werkdagen, kosteloos, tenzij het om buitensporig veel verzoeken gaat.

Komt zo'n verzoek per ongeluk bij ons binnen, dan handelen we het niet zelf af. We sturen het door naar jou en laten de betrokkene weten dat we dat hebben gedaan.

We helpen je ook bij een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging bij de Autoriteit Persoonsgegevens, door je de informatie te geven die alleen wij hebben.

Ontdekken we een inbreuk in verband met persoonsgegevens die jouw omgeving raakt, dan melden we dat zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking.

Die melding bevat in elk geval: wat er is gebeurd, welke categorieën gegevens en betrokkenen het betreft, wat de waarschijnlijke gevolgen zijn en welke maatregelen we hebben genomen. Weten we nog niet alles, dan melden we wat we wél weten en vullen we aan.

Jij beoordeelt of het lek gemeld moet worden bij de Autoriteit Persoonsgegevens en of de betrokkenen geïnformeerd moeten worden. Wij doen die melding niet namens jou, maar leveren wel alles wat je ervoor nodig hebt.

We houden een register bij van inbreuken en de maatregelen die we hebben genomen.

Wij stellen je alle informatie ter beschikking die nodig is om aan te tonen dat we ons aan artikel 28 AVG houden.

Je mag eens per kalenderjaar een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige. Je kondigt die minimaal 30 dagen van tevoren aan.

De audit verstoort onze dienstverlening zo min mogelijk en raakt nooit gegevens van andere klanten. De kosten zijn voor jou, tenzij uit de audit blijkt dat we tekortschieten; in dat geval zijn ze voor ons.

Bij een aantoonbare tekortkoming voeren we de noodzakelijke verbeteringen op eigen kosten door, binnen een redelijke termijn.

De opslag en verwerking van jouw persoonsgegevens vindt plaats binnen de Europese Unie.

Voor zover een subverwerker uit bijlage C toegang zou kunnen hebben vanuit een derde land, gebeurt dat alleen op basis van een adequaatheidsbesluit van de Europese Commissie, zoals het EU-US Data Privacy Framework, of op basis van de standaardcontractbepalingen, aangevuld met passende technische maatregelen.

Je kunt op elk moment, ook tijdens de looptijd, al je gegevens exporteren als JSON-bestand. Daar heb je ons niet voor nodig.

Eindigt de overeenkomst, dan verwijderen we alle persoonsgegevens die we voor jou verwerken binnen 30 dagen definitief uit de productieomgeving.

Gegevens in back-ups verdwijnen zodra die back-ups verlopen, uiterlijk 30 dagen na de verwijdering. Tot die tijd blijven ze versleuteld opgeslagen en worden ze niet meer gebruikt.

Verplicht de wet ons om bepaalde gegevens langer te bewaren, dan bewaren we alleen dat deel, alleen zo lang als de wet voorschrijft, en verwerken we het verder niet.

De aansprakelijkheidsbeperkingen uit artikel 12 van de algemene voorwaarden gelden ook voor deze overeenkomst.

Krijgt een van ons een boete of schadeclaim die is veroorzaakt door de ander, dan verhalen we die op elkaar, ieder naar rato van het eigen aandeel in de oorzaak, zoals artikel 82 AVG dat voorschrijft.

Wijkt deze overeenkomst af van de algemene voorwaarden op een punt dat de verwerking van persoonsgegevens betreft, dan gaat deze overeenkomst voor.

Wijzigingen melden we minimaal 30 dagen vooraf per e-mail. Je mag dan opzeggen zoals beschreven in artikel 6.4.

Op deze overeenkomst is Nederlands recht van toepassing.