1Partijen en rolverdeling
Deze verwerkersovereenkomst maakt deel uit van de overeenkomst tussen het installatiebedrijf en VakMoment, en gaat in zodra dat bedrijf een account in gebruik neemt. Er hoeft geen apart exemplaar te worden ondertekend; wie liever een ondertekend stuk in zijn dossier heeft, kan daarom vragen.
Het installatiebedrijf is verwerkingsverantwoordelijke voor de persoonsgegevens van zijn klanten. Het bepaalt welke gegevens het vraagt, waarvoor, en hoe lang die bewaard blijven.
VakMoment is verwerker. Persoonsgegevens worden uitsluitend verwerkt op instructie van het installatiebedrijf en voor het doel waarvoor de dienst bestaat: het plannen, bevestigen, verplaatsen, afzeggen en vastleggen van bezoeken, en het onderhoud dat daaruit voortkomt.
VakMoment gebruikt de gegevens van klanten van een installatiebedrijf nooit voor eigen doeleinden, niet voor productontwikkeling en niet voor het trainen van modellen.
2Welke gegevens en van wie
Categorieën betrokkenen: klanten van het installatiebedrijf, en de medewerkers van dat bedrijf die een account hebben.
Categorieën gegevens: naam, adres of postcode met huisnummer, telefoonnummer, e-mailadres, de gekozen dienst met datum en tijd, een eventuele opmerking van de klant, en wat het bedrijf zelf aan het klantdossier toevoegt: locaties, installaties, servicehistorie, documenten en onderhoudsplannen.
Er worden geen bijzondere categorieën persoonsgegevens gevraagd. Zet ze er ook niet in: een opmerkingenveld is geen medisch dossier. Wat een bedrijf zelf uploadt in een klantdocument, valt onder zijn eigen verantwoordelijkheid.
3Instructies
VakMoment verwerkt uitsluitend volgens de instructies van het installatiebedrijf, zoals die blijken uit het gebruik van de dienst en uit deze overeenkomst.
Wanneer een wettelijke verplichting tot verwerking dwingt, wordt het bedrijf daarover vooraf geïnformeerd, tenzij de wet dat verbiedt.
Meent VakMoment dat een instructie in strijd is met de AVG, dan wordt dat gemeld voordat die instructie wordt uitgevoerd.
4Beveiligingsmaatregelen
De maatregelen hieronder zijn geen voornemens maar de stand van de software vandaag.
- Al het verkeer loopt over https; de applicatie stuurt strikte beveiligingsheaders mee, waaronder een Content-Security-Policy.
- Iedere zakelijke tabel is gebonden aan precies één organisatie, en die scheiding wordt op de server afgedwongen, niet in het scherm. Row Level Security in de database is de tweede linie.
- Rollen binnen een bedrijf: eigenaar, planner en monteur zien en mogen ieder iets anders. Een monteur ziet alleen de bezoeken van de monteurs waaraan zijn account gekoppeld is, gefilterd in de query.
- OAuth-tokens, webhookgeheimen en PKCE-verifiers worden versleuteld opgeslagen met AES-256-GCM; de sleutel staat in de omgeving en niet in de database.
- API-sleutels, klantlinks en uitnodigingstokens worden gehasht met SHA-256 opgeslagen. Een kopie van de database levert geen werkende sleutel op.
- Klantdocumenten staan in een afgeschermde opslag zonder publieke toegang; het scherm krijgt een ondertekende link die na vijf minuten vervalt. Er bestaat geen blijvende URL naar een klantdocument.
- Publieke boekingen zijn begrensd met snelheidslimieten per adres en per bedrijf. Demoformulieren, aanvragen en het klantportaal hebben daarnaast een onzichtbaar veld dat scriptaanvragen tegenhoudt. Dubbele boekingen worden door de database zelf geweigerd.
- Er worden geen persoonsgegevens en geen tokens naar logbestanden geschreven.
- Toegang tot productiesystemen is beperkt tot wie die nodig heeft voor beheer en storingsonderzoek.
5Subverwerkers
VakMoment schakelt subverwerkers in voor hosting, database en e-mail. De actuele lijst staat op de pagina Subverwerkers, met per partij het doel en de regio. Die lijst is de bijlage bij deze overeenkomst.
Het installatiebedrijf geeft daarmee algemene toestemming voor het inschakelen van subverwerkers. Komt er een subverwerker bij of gaat er een weg, dan wordt dat minimaal een maand van tevoren aangekondigd, zodat er bezwaar tegen gemaakt kan worden. Wie bezwaar maakt en er komen partijen niet uit, kan opzeggen tegen de datum waarop de wijziging ingaat.
Met elke subverwerker zijn verplichtingen overeengekomen die niet lichter zijn dan die in deze overeenkomst.
6Doorgifte buiten de EER
De database staat in Ierland en de applicatie in een EU-regio. Uitgangspunt is dat gegevens binnen de Europese Economische Ruimte blijven.
Een aantal leveranciers is een Amerikaanse onderneming met Europese infrastructuur. Voor zover er in beheersituaties toch toegang van buiten de EER mogelijk is, gebeurt dat op basis van standaardcontractbepalingen dan wel het EU-US Data Privacy Framework. Dat een Amerikaanse moedermaatschappij nooit toegang zou kunnen krijgen, wordt hier niet beweerd.
7Datalekken
Wordt er een inbreuk in verband met persoonsgegevens vastgesteld, dan wordt het installatiebedrijf zonder onredelijke vertraging geïnformeerd, en in ieder geval binnen 24 uur na vaststelling, met de gegevens die nodig zijn om de melding aan de Autoriteit Persoonsgegevens binnen 72 uur te kunnen doen.
De melding gaat naar het contactadres van de eigenaar. Wat er precies wordt gemeld en in welke volgorde er wordt gehandeld, staat op de pagina Datalekprocedure.
Het installatiebedrijf beslist zelf of het meldt aan de Autoriteit Persoonsgegevens en aan betrokkenen; dat is de verantwoordelijkheid van de verwerkingsverantwoordelijke. VakMoment meldt niet namens het bedrijf, maar levert wat daarvoor nodig is.
8Bijstand aan de verantwoordelijke
VakMoment helpt het installatiebedrijf bij het beantwoorden van verzoeken van betrokkenen: inzage, correctie, verwijdering, beperking, bezwaar en overdraagbaarheid. Een verzoek dat rechtstreeks bij VakMoment binnenkomt wordt doorgezet naar het bedrijf en niet zelf afgehandeld.
De export van alle gegevens van een organisatie zit in elk pakket, ook het kleinste. Dat is geen functie die verkocht wordt maar een recht dat uitgeoefend moet kunnen worden.
VakMoment helpt desgevraagd bij een gegevensbeschermingseffectbeoordeling en bij voorafgaande raadpleging, voor zover dat redelijkerwijs mogelijk is met de informatie waarover een verwerker beschikt.
9Bewaren, teruggeven en wissen
De bewaartermijn voor klantgegevens stelt het installatiebedrijf zelf in, van zes maanden tot zeven jaar. Na afloop worden naam, contactgegevens, adres en opmerking automatisch verwijderd, evenals de inhoud van de verstuurde berichten. De afspraakregel zonder persoonsgegevens blijft staan.
Bij het einde van de overeenkomst kan het bedrijf zijn gegevens exporteren; die mogelijkheid blijft ten minste dertig dagen bestaan. Daarna worden de gegevens verwijderd, met uitzondering van wat wettelijk bewaard moet blijven.
Verwijdering op verzoek is mogelijk en staat achter een bevestiging waarbij de naam van de organisatie moet worden ingetypt.
10Controle
Op verzoek wordt informatie verstrekt waarmee het installatiebedrijf kan vaststellen dat de verplichtingen uit deze overeenkomst worden nagekomen: de actuele beveiligingsmaatregelen, de subverwerkerslijst en de locaties van de verwerking.
Een audit door een onafhankelijke deskundige is mogelijk, maximaal eenmaal per jaar en na redelijke aankondiging, tenzij een concrete aanleiding vaker rechtvaardigt. De kosten daarvan komen voor rekening van het bedrijf dat de audit laat uitvoeren, tenzij daaruit een wezenlijke tekortkoming blijkt.