Verwerkersovereenkomst

Artikel 1 — Reikwijdte

Deze verwerkersovereenkomst maakt deel uit van de algemene voorwaarden van CivielControl en geldt automatisch voor iedere klant met een abonnement. Zij regelt de verwerking van persoonsgegevens die de klant (verwerkingsverantwoordelijke) in zijn CivielControl-omgeving laat verwerken door CivielControl (verwerker), zoals bedoeld in artikel 28 AVG.

Artikel 2 — Onderwerp, aard en doel van de verwerking

CivielControl verwerkt persoonsgegevens uitsluitend voor het leveren van de dienst: het hosten van de klantomgeving, het faciliteren van accounts, urenregistratie, planning, meerwerk, facturatie en rapportage, het versturen van meldingen en het bieden van ondersteuning. De verwerking duurt zolang de overeenkomst loopt.

Artikel 3 — Soorten gegevens en categorieën betrokkenen

Het gaat om: naam, e-mailadres, telefoonnummer, rol en versleuteld wachtwoord van gebruikers; door de klant ingevoerde uren-, planning- en verlofgegevens van medewerkers; en contactgegevens van zakelijke relaties op facturen en projecten. Betrokkenen zijn: medewerkers van de klant en contactpersonen van diens opdrachtgevers en leveranciers. De dienst is niet bedoeld voor bijzondere categorieën persoonsgegevens; de klant voert die niet in.

Artikel 4 — Verplichtingen van CivielControl

CivielControl verwerkt de gegevens uitsluitend in opdracht van de klant en niet voor eigen doeleinden, behoudens afwijkende wettelijke verplichtingen. Iedereen die onder gezag van CivielControl toegang heeft tot de gegevens is gebonden aan geheimhouding. Support-toegang tot een klantomgeving wordt gelogd en is voor gebruikers zichtbaar tijdens de sessie.

Artikel 5 — Beveiliging

CivielControl treft passende technische en organisatorische maatregelen (artikel 32 AVG), waaronder: versleutelde verbindingen (TLS/HTTPS met HSTS), gehashte wachtwoorden (bcrypt), versleutelde opslag van koppeling-tokens, strikte scheiding tussen klantomgevingen, beperkte toegang tot productiesystemen en dagelijkse back-ups die buiten de productieserver worden bewaard.

Artikel 6 — Subverwerkers

De klant geeft algemene toestemming voor het inschakelen van subverwerkers. De actuele lijst:

• DigitalOcean — hosting van applicatie en database, datacenter Amsterdam (EU).

Koppelingen die de klant zelf activeert (zoals Exact Online of een e-mailpostvak voor inkoopfacturen) verlopen via de eigen accounts en autorisatie van de klant en zijn geen subverwerkers van CivielControl. CivielControl kondigt een wijziging in de subverwerkerslijst ten minste 30 dagen vooraf aan; de klant kan binnen die termijn schriftelijk bezwaar maken.

Artikel 7 — Datalekken

CivielControl informeert de klant zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, over een inbreuk in verband met persoonsgegevens, met de informatie die de klant nodig heeft voor een eventuele melding aan de Autoriteit Persoonsgegevens en betrokkenen. De melding aan de toezichthouder is aan de klant als verantwoordelijke.

Artikel 8 — Rechten van betrokkenen en audits

CivielControl helpt de klant, voor zover redelijkerwijs mogelijk, bij het beantwoorden van verzoeken van betrokkenen (zoals inzage of verwijdering) en bij verplichtingen rond beveiliging en gegevensbeschermingsbeoordelingen. CivielControl stelt op verzoek informatie beschikbaar waarmee de klant naleving kan beoordelen en werkt maximaal eenmaal per jaar mee aan een audit door of namens de klant, tegen redelijke kosten en met redelijke aankondiging.

Artikel 9 — Doorgifte buiten de EER

CivielControl verwerkt de gegevens binnen de Europese Economische Ruimte. Doorgifte buiten de EER vindt alleen plaats met passende waarborgen conform hoofdstuk V van de AVG en na kennisgeving via de subverwerkerslijst.

Artikel 10 — Einde van de overeenkomst

Na het einde van de overeenkomst levert CivielControl op verzoek eerst een export van de klantgegevens in een gangbaar formaat, en verwijdert vervolgens alle persoonsgegevens van de klant uiterlijk 30 dagen na beëindiging, inclusief verwijdering uit actieve systemen; back-ups met deze gegevens vervallen daarna door de reguliere back-uprotatie.