Verwerkersovereenkomst
Deze overeenkomst geldt telkens wanneer Vandesque in opdracht van een klant persoonsgegevens verwerkt binnen een opgeleverd of onderhouden systeem. Ze maakt integraal deel uit van de algemene voorwaarden en wordt op verzoek ook als ondertekenbaar document bezorgd.
Voor livegang: vul uw adres en ondernemingsnummer in, en controleer of de lijst met subverwerkers hieronder klopt met uw effectieve stack.
1. Partijen en rollen
De klant is verwerkingsverantwoordelijke: hij bepaalt het doel en de middelen van de verwerking.
Vandesque, Batist Vandermeersch, is verwerker: Vandesque verwerkt uitsluitend in opdracht en volgens de instructies van de klant.
2. Voorwerp en duur
De verwerking betreft het bouwen, koppelen, testen en onderhouden van systemen waarin persoonsgegevens van de klant voorkomen. De overeenkomst loopt zolang Vandesque toegang heeft tot die systemen of gegevens, en eindigt bij afronding van de opdracht of stopzetting van het onderhoud.
3. Aard van de gegevens en betrokkenen
| Categorie betrokkenen | Typische gegevens |
|---|---|
| Werknemers van de klant | Naam, functie, personeelsnummer, ploeg, gebruikersaccount, activiteitenlog |
| Contactpersonen bij klanten en leveranciers | Naam, functie, e-mail, telefoon, bedrijfsgegevens |
Er worden geen bijzondere categorieën van persoonsgegevens in de zin van artikel 9 AVG verwerkt, tenzij dit uitdrukkelijk en schriftelijk werd overeengekomen met bijkomende waarborgen.
Individuele prestatiegegevens. Functies die prestaties van individuele werknemers zichtbaar maken, staan standaard uitgeschakeld. Rapportage gebeurt geaggregeerd. Wenst de klant individuele weergave, dan activeert hij die zelf en staat hij in voor de naleving van CAO nr. 39 en CAO nr. 81 en voor de informatie- en overlegverplichtingen tegenover de ondernemingsraad of vakbondsafvaardiging.
4. Instructies
Vandesque verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de klant, behalve wanneer een wettelijke verplichting anders vereist. In dat geval brengt Vandesque de klant vooraf op de hoogte, tenzij die kennisgeving wettelijk verboden is.
Is een instructie naar het oordeel van Vandesque in strijd met de AVG, dan meldt Vandesque dit onmiddellijk aan de klant.
5. Beveiligingsmaatregelen
Vandesque neemt passende technische en organisatorische maatregelen, waaronder:
- versleutelde verbindingen (TLS) en versleutelde opslag;
- toegangscontrole op rijniveau, zodat gebruikers enkel hun eigen gegevens zien;
- tweefactorauthenticatie op alle beheeraccounts;
- toegang beperkt tot wat noodzakelijk is voor de opdracht;
- logging van toegang en wijzigingen;
- gescheiden omgevingen voor test en productie;
- periodieke back-ups met herstelprocedure.
6. Vertrouwelijkheid
Vandesque werkt als eenmanszaak zonder personeel. Wordt in de toekomst beroep gedaan op medewerkers, dan worden zij contractueel tot geheimhouding verbonden voor zij toegang krijgen tot persoonsgegevens.
7. Subverwerkers
De klant geeft algemene toestemming voor het inschakelen van onderstaande subverwerkers. Vandesque meldt elke voorgenomen wijziging minstens 30 dagen vooraf; de klant kan daartegen gemotiveerd bezwaar maken.
| Subverwerker | Doel | Locatie |
|---|---|---|
| Supabase | Database en authenticatie | EU-regio |
| n8n Cloud | Uitvoering van workflows | EU-regio |
| Vercel | Hosting van webtoepassingen | EU-regio |
| Anthropic | Taalmodel voor het interpreteren van tekst en documenten | EU/VS, standaardcontractbepalingen |
Gegevens die aan een taalmodelleverancier worden voorgelegd, worden niet gebruikt voor het trainen van modellen. Wenst de klant dat bepaalde documenten zijn netwerk niet verlaten, dan wordt dat onderdeel lokaal gebouwd.
Aan te vullen: schrap wat u niet gebruikt en voeg toe wat ontbreekt. Deze lijst moet per klant kloppen, bij twijfel neemt u ze op in de offerte in plaats van hier.
8. Doorgifte buiten de EER
Doorgifte buiten de Europese Economische Ruimte gebeurt enkel naar landen met een adequaatheidsbesluit of op basis van de standaardcontractbepalingen van de Europese Commissie, aangevuld met passende bijkomende maatregelen.
9. Bijstand aan de klant
Vandesque verleent redelijke bijstand bij:
- verzoeken van betrokkenen inzake inzage, verbetering, verwijdering, beperking, bezwaar of overdraagbaarheid;
- gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging;
- het aantonen van de naleving van artikel 32 tot en met 36 AVG.
Ontvangt Vandesque rechtstreeks een verzoek van een betrokkene, dan wordt dat doorgegeven aan de klant zonder er zelf gevolg aan te geven.
10. Datalekken
Vandesque meldt elk beveiligingsincident met impact op persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 24 uur na kennisname, per e-mail en telefonisch. De melding bevat de aard van het incident, de betrokken categorieën gegevens, de vermoedelijke gevolgen en de genomen of voorgestelde maatregelen. De klant beslist zelf over aangifte bij de Gegevensbeschermingsautoriteit.
11. Audit
De klant kan maximaal eenmaal per jaar de naleving van deze overeenkomst laten controleren, mits een aankondiging van 30 dagen en tijdens de kantooruren. De kosten zijn voor rekening van de klant, tenzij uit de controle een wezenlijke tekortkoming blijkt.
12. Teruggave en verwijdering
Bij het einde van de opdracht behoudt de klant zijn systemen, gegevens en toegangen, die staan van bij de start op zijn naam. Vandesque verwijdert binnen 30 dagen alle kopieën uit zijn eigen omgeving en trekt zijn eigen toegangen in, tenzij een wettelijke bewaarplicht anders vereist. Op verzoek wordt dit schriftelijk bevestigd.
13. Aansprakelijkheid en toepasselijk recht
De aansprakelijkheidsbeperkingen uit de algemene voorwaarden zijn van overeenkomstige toepassing, onverminderd de dwingende bepalingen van artikel 82 AVG. Op deze overeenkomst is het Belgisch recht van toepassing.