Verwerkersovereenkomst

1.1Begrippen zoals "persoonsgegevens", "verwerking", "verwerkingsverantwoordelijke", "verwerker", "betrokkene" en "inbreuk in verband met persoonsgegevens" hebben de betekenis die de Algemene Verordening Gegevensbescherming (EU) 2016/679 ("AVG") eraan geeft. "Subverwerker" betekent een derde die door de Verwerker ingeschakeld wordt en die persoonsgegevens verwerkt in opdracht van de Verwerkingsverantwoordelijke.

2.1Onderwerp: het leveren van digitale medewerkers die op hun eigen computers in de cloud taken uitvoeren voor de Verwerkingsverantwoordelijke, zoals beschreven in de Algemene voorwaarden.

2.2Aard en doel: het opslaan, ordenen, raadplegen, gebruiken, doorzenden en wissen van persoonsgegevens, voor zover nodig om de taken uit te voeren die de Verwerkingsverantwoordelijke aan zijn digitale medewerkers uitlegt, en om de Dienst te beveiligen en te ondersteunen.

2.3Duur: voor de looptijd van het abonnement en tot de gegevens gewist zijn overeenkomstig de sectie "Wissen en teruggeven van gegevens".

3.1Betrokkenen: klanten en prospecten van de Verwerkingsverantwoordelijke (zoals kopers, verkopers, huurders, verhuurders en mede-eigenaars), contactpersonen, leveranciers, teamleden en andere personen van wie de Verwerkingsverantwoordelijke gegevens in de Dienst invoert.

3.2Categorieën van gegevens: identificatie- en contactgegevens, gegevens over panden en dossiers, contractuele en financiële gegevens (zoals huurprijzen, prijzen en betaalstatus), communicatie (e-mails, berichten, agenda-items), documenten en schermopnames, en alle andere gegevens in de inhoud die de Verwerkingsverantwoordelijke aanlevert.

3.3De Verwerkingsverantwoordelijke voert geen bijzondere categorieën van persoonsgegevens (artikel 9 AVG) of gegevens over strafrechtelijke veroordelingen in de Dienst in, tenzij dat noodzakelijk en wettig is en de Verwerkingsverantwoordelijke de risico's zelf beoordeeld heeft.

4.1De Verwerker verwerkt persoonsgegevens enkel op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, ook wat betreft doorgiften naar derde landen, tenzij het recht van de EU of van een lidstaat anders vereist; in dat geval verwittigt de Verwerker de Verwerkingsverantwoordelijke vooraf, tenzij de wet dat verbiedt.

4.2De Algemene voorwaarden, deze Overeenkomst, de configuratie van de Dienst en de taken die de Verwerkingsverantwoordelijke en zijn teamleden aan hun digitale medewerkers uitleggen, vormen samen de instructies van de Verwerkingsverantwoordelijke.

4.3De Verwerker brengt de Verwerkingsverantwoordelijke onmiddellijk op de hoogte als een instructie volgens hem inbreuk maakt op de AVG.

4.4De Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van de verwerking, inclusief de rechtsgrond, het informeren van betrokkenen en het respecteren van de voorwaarden van websites van derden die in zijn naam gebruikt worden.

5.1De Verwerker zorgt ervoor dat de personen die gemachtigd zijn om de persoonsgegevens te verwerken, zich tot vertrouwelijkheid verbonden hebben of door een passende wettelijke verplichting tot vertrouwelijkheid gebonden zijn, en enkel toegang hebben voor zover nodig.

6.1De Verwerker neemt passende technische en organisatorische maatregelen overeenkomstig artikel 32 AVG, in het bijzonder:

• hosting in de Europese Unie (OVHcloud, Gravelines, Frankrijk);
• versleuteling tijdens transport (TLS) en bij opslag, met een eigen gegevenssleutel per klant, beveiligd met een hoofdsleutel; het wissen van de klant vernietigt de sleutel (crypto-shredding);
• logische scheiding van klanten in de databank (row-level security) en een afgeschermde computer met een eigen versleuteld volume per digitale medewerker;
• logins voor websites van derden bewaard in een versleutelde kluis, nooit in leesbare vorm in logbestanden;
• toegang tot productiesystemen volgens het principe van minimale rechten, beheer van geheimen en logging van beheershandelingen;
• goedkeuring door de Verwerkingsverantwoordelijke voor belangrijke handelingen van digitale medewerkers;
• dagelijkse en wekelijkse back-ups, geteste herstelprocedures, logs bewaard gedurende 7 dagen;
• monitoring, alarmering en een incidentprocedure.

6.2De Verwerker kan deze maatregelen bijwerken, zolang het algemene beschermingsniveau niet daalt.

7.1De Verwerkingsverantwoordelijke geeft een algemene toestemming voor het inschakelen van subverwerkers. Op de datum van deze Overeenkomst zijn dat:

7.2De Verwerker brengt de Verwerkingsverantwoordelijke minstens 30 dagen vooraf per e-mail op de hoogte van elke voorgenomen toevoeging of vervanging van een subverwerker. De Verwerkingsverantwoordelijke kan binnen die termijn op redelijke gronden bezwaar maken. Wordt geen oplossing gevonden, dan kan de Verwerkingsverantwoordelijke het betrokken deel van de Dienst kosteloos beëindigen voor de wijziging ingaat.

7.3De Verwerker legt elke subverwerker contractueel verplichtingen inzake gegevensbescherming op die minstens hetzelfde beschermingsniveau bieden als deze Overeenkomst, en blijft tegenover de Verwerkingsverantwoordelijke aansprakelijk voor de nakoming van de verplichtingen van de subverwerker.

8.1De Verwerker bewaart de persoonsgegevens in de Europese Unie. Persoonsgegevens kunnen buiten de EER enkel geraadpleegd of verwerkt worden met de waarborgen van hoofdstuk V AVG: door de Verwerker zelf vanuit de Verenigde Arabische Emiraten voor beheer en ondersteuning, en door subverwerkers zoals vermeld in de tabel hierboven.

8.2Voor zover er een doorgifte van de Verwerkingsverantwoordelijke naar de Verwerker plaatsvindt, worden de standaardcontractbepalingen (SCC) van de Europese Commissie (Besluit (EU) 2021/914), Module Twee (verwerkingsverantwoordelijke naar verwerker), door verwijzing in deze Overeenkomst opgenomen. Voor verdere doorgiften aan subverwerkers sluit de Verwerker de standaardcontractbepalingen (Module Drie) of steunt hij op een ander geldig doorgiftemechanisme, zoals het EU-VS-kader voor gegevensbescherming (Data Privacy Framework).

8.3Voor de standaardcontractbepalingen geldt: de facultatieve koppelingsclausule is niet van toepassing, onder clausule 9 geldt optie 2 (algemene toestemming), het toepasselijk recht is het Belgisch recht en de bevoegde rechtbanken en toezichthoudende autoriteit zijn die van België.

Nog te bevestigen door juridisch adviseur: Keuze van de SCC-module, de doorgiftetoetsing (transfer impact assessment) en de details van bijlagen I–III nog te bevestigen door een juridisch adviseur.

9.1Rekening houdend met de aard van de verwerking helpt de Verwerker de Verwerkingsverantwoordelijke met passende maatregelen bij het beantwoorden van verzoeken van betrokkenen (inzage, verbetering, wissing, beperking, overdraagbaarheid, bezwaar). Verzoeken die de Verwerker rechtstreeks ontvangt, stuurt hij onverwijld door naar de Verwerkingsverantwoordelijke.

9.2De Verwerker helpt de Verwerkingsverantwoordelijke ook bij het nakomen van zijn verplichtingen inzake beveiliging, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthoudende autoriteit, voor zover die verband houden met de Dienst.

10.1De Verwerker brengt de Verwerkingsverantwoordelijke onverwijld, en indien mogelijk binnen 48 uur, op de hoogte nadat hij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die de gegevens van de Verwerkingsverantwoordelijke treft.

10.2De melding beschrijft, voor zover bekend, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevensrecords, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. Informatie die nog niet beschikbaar is, wordt zo snel mogelijk aangevuld.

11.1Tijdens het abonnement kan de Verwerkingsverantwoordelijke zijn bestanden en resultaten op elk moment exporteren. Na het einde van het abonnement helpt de Verwerker de Verwerkingsverantwoordelijke op verzoek om zijn gegevens binnen 30 dagen te exporteren.

11.2Na het einde van het abonnement wordt het account opgeschort en worden alle persoonsgegevens van de Verwerkingsverantwoordelijke na 30 dagen definitief gewist, inclusief de encryptiesleutel van de klant, tenzij het recht van de EU of van een lidstaat opslag vereist. Kopieën in versleutelde back-ups worden automatisch gewist wanneer die back-ups vervallen, binnen maximaal 90 dagen (plus maximaal 7 dagen voor vervangen versies). Logs worden na 7 dagen gewist.

11.3Op verzoek bevestigt de Verwerker het wissen schriftelijk.

12.1De Verwerker stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om aan te tonen dat artikel 28 AVG nageleefd wordt, zoals een beschrijving van zijn beveiligingsmaatregelen en de rapporten van zijn subverwerkers.

12.2De Verwerkingsverantwoordelijke kan een audit uitvoeren, of laten uitvoeren door een onafhankelijke auditor die tot vertrouwelijkheid gehouden is, hoogstens eenmaal per jaar, met een aankondiging van minstens 30 dagen en zonder de Dienst te verstoren, tenzij een inbreuk in verband met persoonsgegevens of een toezichthoudende autoriteit een vroegere audit rechtvaardigt. Elke partij draagt haar eigen kosten.

13.1De aansprakelijkheidsbeperking uit de Algemene voorwaarden is van toepassing op deze Overeenkomst, onverminderd de aansprakelijkheid van de partijen tegenover betrokkenen op grond van artikel 82 AVG.

13.2Deze Overeenkomst blijft van kracht zolang de Verwerker persoonsgegevens verwerkt in opdracht van de Verwerkingsverantwoordelijke. Bij tegenstrijdigheid met de Algemene voorwaarden primeert deze Overeenkomst wat de verwerking van persoonsgegevens betreft.