Verwerkersovereenkomst
Verwerkersovereenkomst Vakmo
Gebruik je Vakmo voor je bedrijf, dan zet je er gegevens in van jouw klanten en contacten. Voor die gegevens ben jij de verwerkingsverantwoordelijke en is Noorderwind Studio de verwerker. Deze overeenkomst legt de afspraken vast die de AVG (artikel 28) daarvoor eist.
1. Partijen
- Verwerkingsverantwoordelijke: de organisatie die een Vakmo-account aanmaakt en Vakmo gebruikt (hierna: de klant).
- Verwerker: Noorderwind Studio · Brouwerijstraat 13, 9981 JK Uithuizen, Nederland · KvK 87784254 · btw-id NL864467968B01, contact support@noorderwind.studio (hierna: Noorderwind Studio).
Deze verwerkersovereenkomst maakt deel uit van de algemene voorwaarden van Vakmo en geldt voor gratis en betaalde accounts zodra de klant een account aanmaakt. Lees ook de privacyverklaring. Wil je een ondertekende versie voor je administratie, mail dan naar support@noorderwind.studio.
2. Onderwerp, doel en duur
Noorderwind Studio verwerkt persoonsgegevens alleen om Vakmo aan de klant te leveren: opslaan en tonen van klanten, contacten, projecten, foto's, offertes en facturen, het klantportaal, het versturen van e-mail namens de klant, back-ups, beveiliging en support. De verwerking duurt zolang de klant Vakmo gebruikt, plus de termijn die nodig is om gegevens terug te geven en te verwijderen (artikel 11).
3. Soorten gegevens en betrokkenen
| Betrokkenen | Persoonsgegevens |
|---|---|
| Gebruikers van de klant | naam, e-mailadres, rol, inloggegevens |
| Klanten en contacten van de klant (opdrachtgevers, particulieren en bedrijven) | naam, adres, telefoonnummer, e-mailadres, notities, opvolgingen, projectgegevens, foto's van het werk, offertes en facturen (bedragen, omschrijvingen) |
| Bezoekers van het klantportaal | wat zij via de portaallink bekijken; technische gegevens zoals IP-adres in logs |
| Ontvangers van e-mail uit Vakmo | e-mailadres, naam, inhoud van het bericht, verzendstatus |
Vakmo is niet bedoeld voor bijzondere persoonsgegevens (zoals gezondheid) of het burgerservicenummer. De klant zet die er niet in, tenzij het voor de opdracht echt nodig is en de wet het toestaat.
4. Instructies van de klant
Noorderwind Studio verwerkt de gegevens alleen op schriftelijke instructie van de klant. Het gebruik en de instellingen van Vakmo gelden als die instructie. We gebruiken de gegevens niet voor eigen doelen, niet voor marketing en niet om AI-modellen te trainen. Vinden we dat een instructie in strijd is met de AVG, dan laten we dat direct weten. Moeten we gegevens verstrekken op grond van de wet, dan informeren we de klant vooraf, tenzij dat verboden is.
5. Geheimhouding
Iedereen die bij Noorderwind Studio toegang heeft tot de gegevens, is tot geheimhouding verplicht. Toegang krijgen alleen mensen die het voor hun werk nodig hebben, bijvoorbeeld om een storing of een ticket op te lossen.
6. Beveiliging
Noorderwind Studio neemt passende technische en organisatorische maatregelen (artikel 32 AVG). Op dit moment zijn dat onder meer:
- hosting in de EU (Duitsland); versleutelde verbindingen (HTTPS met HSTS) en strikte beveiligingsheaders;
- wachtwoorden als bcrypt-hash; sessie- en herstelcodes gehasht; HttpOnly-, Secure- en SameSite-sessiecookies; CSRF-bescherming en limieten tegen raden;
- scheiding per organisatie: elke klant ziet alleen zijn eigen gegevens; portaallinks met een lange willekeurige code die de klant kan vernieuwen of uitzetten;
- firewall, beheer alleen met een cryptografische sleutel, automatische beveiligingsupdates;
- dagelijkse back-ups van database en foto's, 7 dagen bewaard, op dezelfde EU-server;
- de AI-helpdeskassistent krijgt geen gegevens van klanten, projecten of documenten.
We houden de maatregelen bij en passen ze aan als dat nodig is. Het beschermingsniveau gaat daarbij niet omlaag.
7. Subverwerkers
De klant geeft toestemming voor de inzet van subverwerkers in deze categorieën:
| Subverwerker | Taak | Locatie |
|---|---|---|
| Hostingpartner | Servers en opslag: de Vakmo-app, de database, foto's, documenten, back-ups en deze website | EU (Duitsland) |
| E-mailpartner | Versturen van e-mail uit Vakmo: uitnodigingen, wachtwoordherstel, offertes, facturen, portaallinks en helpdeskmeldingen | EU (Frankrijk) |
| AI-partner, alleen voor de helpdesk | Alleen de helpdeskassistent: krijgt de vraag die je in de helpchat typt, eerdere berichten uit dat gesprek en de Vakmo-helpartikelen. Geen klanten, projecten, foto's, offertes of facturen | EU (Frankrijk) |
Een actuele lijst van subverwerkers is op verzoek beschikbaar via support@noorderwind.studio. De AI-partner krijgt geen persoonsgegevens van de klanten van de klant, alleen wat een gebruiker zelf in de helpchat typt. De DNS-dienst en de uitgever van HTTPS-certificaten krijgen geen persoonsgegevens uit Vakmo. Noorderwind Studio legt subverwerkers minstens dezelfde verplichtingen op als in deze overeenkomst en blijft verantwoordelijk voor hen. Klanten worden vooraf geïnformeerd over nieuwe subverwerkers: een nieuwe of andere subverwerker melden we minstens 30 dagen vooraf per e-mail aan de eigenaar van het account. De klant kan binnen die termijn met redenen bezwaar maken; komen we er niet uit, dan kan de klant opzeggen. We geven geen gegevens door buiten de Europese Economische Ruimte zonder passende waarborgen en voorafgaande melding.
8. Rechten van betrokkenen
Komt een betrokkene met een verzoek (inzage, correctie, verwijdering, overdraagbaarheid) bij ons, dan sturen we het door naar de klant en handelen we het niet zelf af, tenzij de klant daarom vraagt. We helpen de klant om binnen de wettelijke termijn te antwoorden, onder meer met een export van de gegevens. Veel kan de klant zelf in Vakmo: gegevens aanpassen, verwijderen en portaallinks uitzetten.
9. Datalek
Ontdekt Noorderwind Studio een inbreuk in verband met persoonsgegevens (datalek), dan melden we dat zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan de eigenaar van het account, per e-mail. Daarbij vertellen we, voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen en de maatregelen die we hebben genomen of voorstellen. We vullen de informatie aan zodra we meer weten. De klant beslist of hij het lek meldt bij de Autoriteit Persoonsgegevens (binnen 72 uur) en aan betrokkenen; wij helpen daarbij. We houden een register bij van alle datalekken.
10. Bijstand en audit
Noorderwind Studio helpt de klant, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging. Op verzoek geven we de informatie die nodig is om aan te tonen dat we ons aan deze overeenkomst houden. De klant mag dat laten controleren door een onafhankelijke deskundige met geheimhoudingsplicht, na overleg over het moment, hooguit eenmaal per jaar en zonder de dienst voor anderen te verstoren. De kosten van zo'n audit zijn voor de klant, tenzij blijkt dat we ons niet aan de afspraken hielden.
11. Einde: teruggeven en verwijderen
Na het einde van de overeenkomst kan de klant binnen 30 dagen een export van zijn gegevens vragen. Daarna verwijdert Noorderwind Studio de gegevens uit Vakmo. Uit de back-ups verdwijnen ze vanzelf binnen 7 dagen. Alleen als de wet ons verplicht iets langer te bewaren, doen we dat, en niet langer dan nodig. Op verzoek bevestigen we de verwijdering schriftelijk.
12. Aansprakelijkheid en overig
- Voor aansprakelijkheid gelden artikel 12 van de algemene voorwaarden en artikel 82 AVG.
- Bij strijd tussen deze verwerkersovereenkomst en andere afspraken gaat deze overeenkomst voor als het om de bescherming van persoonsgegevens gaat.
- Noorderwind Studio mag deze overeenkomst aanpassen als de wet of Vakmo verandert. Belangrijke wijzigingen melden we vooraf.
- Op deze overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de bevoegde rechter in het arrondissement Noord-Nederland.
Vakmo · Privacyverklaring · Cookieverklaring · Algemene voorwaarden · Verwerkersovereenkomst · Vragen? support@noorderwind.studio