Verwerkersovereenkomst

Deze verwerkersovereenkomst geldt tussen de zakelijke gebruiker van Vaksy als verwerkingsverantwoordelijke en Vaksy alsverwerker, voor zover Vaksy persoonsgegevens verwerkt die de gebruiker over diens klanten, contactpersonen of andere betrokkenen in de dienst plaatst.

De overeenkomst geldt voor zakelijke gebruikers van Vaksy. Vaksy staat ingeschreven bij de Kamer van Koophandel onder nummer42169099. Het zakelijke privacycontact is info@vaksy.nl. De officiële bedrijfsnaam en het adres worden toegevoegd zodra deze beschikbaar zijn. Deze overeenkomst vormt een aanvulling op de gebruiksvoorwaarden.

Vaksy verwerkt persoonsgegevens voor het online beheren van klanten, projecten, werkzaamheden, foto’s, offertes, facturen, planning, opvolging en zakelijke communicatie. De verwerking duurt zolang het account actief is en daarna zolang als nodig is om gegevens volgens de instructie van de gebruiker terug te geven of te verwijderen, behoudens een wettelijke bewaarplicht.

Vaksy verwerkt de gegevens uitsluitend volgens gedocumenteerde instructies van de gebruiker. Het invoeren, wijzigen, opslaan, genereren, downloaden, verzenden of verwijderen van gegevens via de functies van Vaksy geldt als zo’n instructie.

Vaksy gebruikt klantgegevens niet voor eigen reclame, verkoopt deze niet en bepaalt niet zelfstandig voor welk zakelijk doel de gebruiker ze verwerkt. Als een instructie volgens Vaksy in strijd is met privacywetgeving, informeert Vaksy de gebruiker voordat de instructie wordt uitgevoerd, tenzij de wet dit verbiedt.

• De gebruiker bepaalt het doel en de rechtsgrond van de verwerking.
• De gebruiker informeert betrokkenen, respecteert hun rechten en voert alleen noodzakelijke gegevens in.
• De gebruiker houdt gegevens juist, past passende bewaartermijnen toe en verwijdert wat niet meer nodig is.
• De gebruiker deelt geen account en beschermt inloggegevens en apparaten.
• Bijzondere of strafrechtelijke persoonsgegevens worden niet in Vaksy geplaatst, tenzij daar vooraf uitdrukkelijke schriftelijke afspraken over zijn gemaakt.

Personen die onder verantwoordelijkheid van Vaksy toegang kunnen krijgen tot persoonsgegevens zijn tot vertrouwelijkheid verplicht en krijgen alleen toegang wanneer dit voor hun taak noodzakelijk is. De vertrouwelijkheid blijft gelden nadat hun werkzaamheden of deze overeenkomst zijn beëindigd.

Vaksy treft passende technische en organisatorische maatregelen, rekening houdend met de stand van de techniek, uitvoeringskosten en privacyrisico’s. De huidige maatregelen staan in bijlage 2. Vaksy kan die maatregelen verbeteren of vervangen, zolang het beschermingsniveau daardoor niet wezenlijk afneemt.

De gebruiker geeft algemene toestemming voor de subverwerkers in bijlage 3. Vaksy legt aan hen privacyverplichtingen op die passen bij hun werkzaamheden en blijft binnen de eigen verantwoordelijkheid aanspreekpunt voor hun verwerking.

Bij een voorgenomen toevoeging of vervanging informeert Vaksy actieve gebruikers waar mogelijk ten minste 15 dagen vooraf. De gebruiker kan binnen die termijn gemotiveerd bezwaar maken vanwege een aantoonbaar privacyrisico. Partijen zoeken dan een redelijke oplossing; als die ontbreekt, kan de gebruiker stoppen met het betreffende gebruik of de test beëindigen.

Persoonsgegevens worden alleen buiten de Europese Economische Ruimte verwerkt als daarvoor een geldige doorgiftegrond bestaat, zoals een adequaatheidsbesluit of goedgekeurde standaardcontractbepalingen met aanvullende maatregelen waar nodig. Vaksy baseert zich hierbij mede op de actuele contractuele waarborgen van de gebruikte subverwerkers.

Vaksy helpt de gebruiker, voor zover redelijk en technisch mogelijk, bij verzoeken om inzage, correctie, verwijdering, beperking, bezwaar en gegevensoverdracht. Ontvangt Vaksy rechtstreeks een verzoek over klantgegevens van een gebruiker, dan stuurt Vaksy dit door en beantwoordt het verzoek niet zelfstandig, behalve als de wet dat vereist.

Vaksy informeert de gebruiker zonder onredelijke vertraging nadat een inbreuk in verband met diens persoonsgegevens is bevestigd. De melding bevat, voor zover beschikbaar, de aard van het incident, de getroffen gegevens en betrokkenen, waarschijnlijke gevolgen en genomen of voorgestelde maatregelen.

Vaksy helpt met informatie die de gebruiker redelijkerwijs nodig heeft voor beoordeling en eventuele melding aan de Autoriteit Persoonsgegevens of betrokkenen. De gebruiker blijft verantwoordelijk voor die wettelijke beoordeling en melding.

Vaksy verstrekt redelijke informatie en medewerking wanneer de gebruiker voor zijn verwerking een gegevensbeschermingseffectbeoordeling (DPIA) of voorafgaande raadpleging moet uitvoeren. Werk dat verder gaat dan de normale dienstverlening kan vooraf in tijd, omvang en eventuele kosten worden afgestemd.

Vaksy stelt informatie beschikbaar die redelijkerwijs nodig is om naleving van deze afspraken aan te tonen. Als die informatie onvoldoende is, kan de gebruiker maximaal eenmaal per jaar een aanvullende controle laten uitvoeren door een onafhankelijke deskundige, met redelijke voorafgaande kennisgeving, geheimhouding en zonder de beveiliging of gegevens van andere gebruikers in gevaar te brengen. Extra kosten zijn voor de gebruiker, tenzij een wezenlijke tekortkoming van Vaksy wordt vastgesteld.

Op instructie van de gebruiker en uiterlijk na beëindiging geeft Vaksy de gegevens terug of verwijdert deze binnen een technisch redelijke termijn, tenzij bewaring wettelijk verplicht is. Tijdens de test kan dit handmatig worden uitgevoerd. Kopieën in beveiligde back-ups worden niet opnieuw voor andere doelen gebruikt en verdwijnen volgens de toepasselijke back-upcyclus. Belangrijke administratie moet de gebruiker vóór beëindiging zelf exporteren.

Bij tegenstrijdigheid over de verwerking van persoonsgegevens gaat deze verwerkersovereenkomst vóór de gebruiksvoorwaarden. Voor overige onderwerpen, waaronder aansprakelijkheid en toepasselijk recht, gelden de gebruiksvoorwaarden. Dwingende verplichtingen uit de AVG blijven altijd van toepassing.

Doel

Het aanbieden van de gekozen Vaksy-functies en ondersteuning daarvan.

Handelingen

Verzamelen, vastleggen, ordenen, opslaan, raadplegen, wijzigen, genereren, verzenden, afschermen, exporteren en verwijderen.

Gegevens

Namen, contact- en adresgegevens, projectgegevens, notities, foto’s, werkzaamheden, offerte- en factuurgegevens, communicatie en bijlagen.

Betrokkenen

Klanten, prospects, contactpersonen, leveranciers en andere personen van wie de gebruiker gegevens invoert.

Duur

Gedurende het actieve account en de noodzakelijke periode voor teruggave, verwijdering of wettelijke bewaring.

• Versleutelde verbindingen voor gegevensoverdracht.
• Authenticatie en sessiebeheer voor toegang tot het account.
• Databasebeleid dat gegevens per gebruikersaccount afschermt.
• Niet-openbare opslag voor documenten, projectfoto’s en bedrijfslogo’s.
• Tijdelijke beveiligde links voor het tonen van privébestanden.
• Beperkte servertoegang tot geheime sleutels; geheime beheersleutels worden niet aan de browser verstrekt.
• Validatie van serverhandelingen en controle van eigenaarschap bij gevoelige acties.
• Beperking van bestandstype en bestandsgrootte waar van toepassing.
• Beheer van wijzigingen via versiebeheer en gecontroleerde deployments.
• Periodieke controle en verbetering van gegevens- en opslagbeveiliging.