Verwerkers­overeenkomst

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden en is een afspraak tussen:

• de klant, de organisatie die een account heeft. Zij is de verwerkingsverantwoordelijke: zij bepaalt waarvoor de gegevens op de kaarten worden gebruikt;
• BalenaCloud (KvK 89401158, Gravin Jacobastraat 28, 2805 PP Gouda), de aanbieder van Dienstwijs. Wij zijn de verwerker: we verwerken de gegevens alleen in opdracht van de klant.

De klant gaat akkoord met deze overeenkomst bij het aanmaken van een account. Wil je hem ook ondertekend als pdf, mail dan naar privacy@balenacloud.nl.

Voor de accountgegevens van gebruikers (zoals e-mailadres en inloggegevens) zijn wij zelf verantwoordelijk. Daarvoor geldt de privacyverklaring, niet deze overeenkomst.

Doel: kaarten maken, bewaren en tonen aan de medewerker voor wie ze bedoeld zijn, zodat die goed voorbereid aan een dienst of eerste werkdag kan beginnen.

Van wie: invalkrachten, uitzendkrachten, zzp'ers en nieuwe medewerkers voor wie een kaart is gemaakt, en collega's die op een kaart of teamfoto staan (bijvoorbeeld als aanspreekpunt of buddy).

Welke gegevens:

• naam van de medewerker, als de klant die invult;
• datum en tijden van de dienst of de eerste werkdag;
• wat de klant in de vakken zet, zoals namen, functies en (toestel)nummers van collega's en afspraken op de afdeling;
• foto's van de locatie en het team;
• hoe vaak een kaart is geopend en wanneer het laatst, en hoe vaak er een verkeerde code is ingetypt.

Geen bijzondere gegevens. Dienstwijs is niet bedoeld voor gegevens over gezondheid, gegevens van cliënten of burgerservicenummers. De klant zet die er niet op. Het formulier waarschuwt als iets erop lijkt. Van wie een kaart opent, slaan we geen IP-adres op.

We verwerken de gegevens alleen voor het doel hierboven en volgens de instructies van de klant. Die instructies geeft de klant door Dienstwijs te gebruiken: kaarten maken, aanpassen, delen, intrekken en verwijderen. Andere instructies kunnen per mail.

We gebruiken de gegevens nooit voor onszelf, niet voor reclame en niet om er iets anders mee te doen. Vinden we een instructie in strijd met de privacywet, dan laten we dat direct weten.

Moeten we van de wet gegevens afgeven, bijvoorbeeld aan een overheid, dan laten we dat de klant vooraf weten, tenzij dat niet mag.

Alleen mensen die het voor hun werk aan Dienstwijs nodig hebben, kunnen bij de gegevens. Ze hebben een geheimhoudingsplicht, ook na het einde van hun werk voor ons. Nu is dat alleen de eigenaar van BalenaCloud. We kijken alleen in de gegevens van een klant als dat nodig is voor een storing, een vraag van de klant of de beveiliging.

We nemen passende maatregelen om de gegevens te beschermen. De belangrijkste:

• Alle verbindingen zijn versleuteld. De gegevens staan versleuteld opgeslagen in Frankfurt (Duitsland).
• Elke organisatie ziet alleen haar eigen gegevens. Dat bewaakt de database zelf, niet alleen de website.
• Een kaart is alleen te openen rond de dienst, met een geheime link en code of met een QR-code die 10 minuten werkt en maar één keer. Links en codes bewaren we alleen onleesbaar gemaakt.
• Na 5 verkeerde codes gaat een kaart 15 minuten op slot. De klant kan een kaart altijd intrekken.
• Foto's staan niet openbaar online en worden zonder verborgen gegevens (zoals locatie) opgeslagen.
• De inhoud van een kaart wordt 30 dagen na de dienst automatisch gewist.
• Wachtwoorden van gebruikers worden alleen versleuteld bewaard.
• Beheerderstoegang tot de systemen heeft alleen BalenaCloud.

We passen deze maatregelen aan als dat nodig is, zonder het beschermingsniveau te verlagen. Onderzoekers die een zwakke plek vinden, kunnen die bij ons melden.

De klant geeft toestemming dat we deze leveranciers inschakelen:

• Supabase Inc.: database, opslag van foto's en inloggen. Servers in Frankfurt (Duitsland).
• Vercel Inc.: het draaien van de website. Servers in Frankfurt (Duitsland).

Beide zijn Amerikaanse bedrijven. Met beide gelden de standaardcontractbepalingen van de Europese Commissie, en ze hebben dezelfde plichten als wij in deze overeenkomst. We blijven tegenover de klant verantwoordelijk voor wat zij doen.

Een nieuwe of andere leverancier mailen we minstens 30 dagen vooraf. Heeft de klant een goede reden om bezwaar te maken, dan zoeken we samen een oplossing. Lukt dat niet, dan kan de klant kosteloos opzeggen.

Een medewerker of collega mag vragen welke gegevens er over hem of haar zijn, en ze laten verbeteren of verwijderen. De klant kan kaarten zelf aanpassen en verwijderen in het dashboard. Komt zo'n verzoek bij ons binnen, dan sturen we het binnen vijf werkdagen door naar de klant en helpen we waar nodig.

Ontdekken we een datalek met gegevens van de klant, dan melden we dat zonder onnodige vertraging, uiterlijk binnen 48 uur, aan het e-mailadres van het account. De klant kan dan zelf binnen 72 uur melden bij de Autoriteit Persoonsgegevens als dat nodig is.

We vertellen wat er is gebeurd, welke gegevens en hoeveel mensen het betreft, wat de gevolgen kunnen zijn en wat we doen om het op te lossen. Weten we nog niet alles, dan melden we eerst wat we weten en vullen we later aan.

We helpen de klant waar redelijk bij een gegevensbeschermingseffectbeoordeling (DPIA) of een vraag van de Autoriteit Persoonsgegevens, met de informatie die we hebben.

De klant mag één keer per jaar laten controleren of we ons aan deze overeenkomst houden, door een onafhankelijke deskundige die geheimhouding heeft. Dat kondigt de klant minstens vier weken vooraf aan, en de kosten zijn voor de klant. Blijkt dat we ons niet aan de afspraken houden, dan herstellen we dat op eigen kosten.

Deze overeenkomst loopt zolang de klant Dienstwijs gebruikt. Na het opzeggen verwijderen we alle gegevens van de klant binnen 30 dagen, tenzij de wet ons verplicht iets langer te bewaren. Wil de klant vooraf een kopie, dan sturen we die in een gangbaar bestandsformaat.

Gewiste gegevens kunnen nog korte tijd in de reservekopieën van onze leverancier staan, tot die automatisch worden overschreven. Daar kijken we niet in.

Voor aansprakelijkheid gelden de afspraken in de algemene voorwaarden. Spreken die en deze overeenkomst elkaar tegen over persoonsgegevens, dan gaat deze overeenkomst voor.

Wijzigingen mailen we minstens 30 dagen vooraf. Bovenaan staat welke versie geldt. Op deze overeenkomst is Nederlands recht van toepassing.

Vragen? Mail naar privacy@balenacloud.nl.