Deze verwerkersovereenkomst hoort bij de overeenkomst over het gebruik van Oumnio tussen de organisatie die de Dienst afneemt (Verwerkingsverantwoordelijke) en One Marketing Agency, gevestigd aan Admiraal Helfrichweg 1, 2315 VC Leiden, ingeschreven bij de Kamer van Koophandel onder nummer 78761948 (Verwerker).
1. Onderwerp
- Verwerker verwerkt persoonsgegevens uitsluitend in opdracht van en volgens de schriftelijke instructies van Verwerkingsverantwoordelijke, voor zover nodig om Oumnio te leveren.
- Verwerker verwerkt de persoonsgegevens niet voor eigen doeleinden.
- Verwerkingsverantwoordelijke staat ervoor in dat de verwerking rechtmatig is en dat er een grondslag is voor het invoeren van persoonsgegevens in de Dienst.
2. Verwerkingen
| Categorieën betrokkenen | Medewerkers van Verwerkingsverantwoordelijke; contactpersonen en medewerkers van klanten van Verwerkingsverantwoordelijke; overige personen van wie gegevens in de Dienst worden opgenomen. |
|---|---|
| Soorten persoonsgegevens | Naam, e-mailadres, telefoonnummer, functie, inloggegevens en -geschiedenis (IP-adres, browser), urenregistraties, berichten en supportvragen, bestanden en de inhoud daarvan, factuurgegevens. |
| Doel | Het leveren van projectbeheer, takenbeheer, urenregistratie, support, sales en contracten en een klantportaal; het versturen van meldingen; facturatie van het abonnement. |
| Bijzondere persoonsgegevens | Niet bedoeld. Verwerkingsverantwoordelijke voert geen bijzondere persoonsgegevens of BSN in, tenzij schriftelijk anders afgesproken. |
3. Beveiliging
Verwerker neemt passende technische en organisatorische maatregelen, waaronder:
- Opslag van de database en bestanden bij Supabase in een datacenter binnen de Europese Unie (Frankfurt).
- Versleuteling van gegevens tijdens transport (TLS) en in rust.
- Strikte scheiding tussen organisaties met Row Level Security in de database; elke query wordt gecontroleerd op de organisatie van de gebruiker. Deze scheiding wordt automatisch getest.
- Tweestapsverificatie beschikbaar voor alle gebruikers, per rol verplicht te stellen, en verplicht voor platformbeheerders.
- Toegang door medewerkers van Verwerker alleen op basis van rollen, alleen lezen bij meekijken, met verplichte reden en vastlegging in een auditlog.
- Back-ups door de hostingpartij, foutbewaking en logging zonder opslag van wachtwoorden.
4. Subverwerkers
Verwerkingsverantwoordelijke geeft toestemming voor de inzet van de volgende subverwerkers:
| Subverwerker | Dienst | Locatie |
|---|---|---|
| Supabase Inc. | Database, authenticatie en bestandsopslag | EU (Frankfurt), met standaardcontractbepalingen |
| Vercel Inc. | Hosting van de applicatie | EU/VS, met standaardcontractbepalingen en het EU-US Data Privacy Framework |
| Resend (Plus Five Five Inc.) | Versturen van e-mail | EU/VS, met standaardcontractbepalingen |
| Mollie B.V. | Betalingen van het abonnement | Nederland |
Verwerker legt aan subverwerkers ten minste dezelfde verplichtingen op als in deze overeenkomst en meldt een nieuwe subverwerker ten minste 30 dagen vooraf. Verwerkingsverantwoordelijke kan op redelijke gronden bezwaar maken; als geen oplossing wordt gevonden, mag hij de overeenkomst opzeggen.
Verwerker stuurt geen persoonsgegevens naar externe aanbieders van taalmodellen. De slimme functies van de Dienst werken binnen de Dienst.
5. Datalekken
- Verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan Verwerkingsverantwoordelijke.
- De melding bevat ten minste: de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en records, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.
- Verwerkingsverantwoordelijke beslist of de inbreuk wordt gemeld aan de Autoriteit Persoonsgegevens en de betrokkenen.
6. Rechten van betrokkenen
Verwerker helpt Verwerkingsverantwoordelijke binnen redelijke termijn bij verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar). In de Dienst kunnen gegevens worden gewijzigd en verwijderd, en Verwerker kan op verzoek een export van alle gegevens van de organisatie leveren. Verzoeken die rechtstreeks bij Verwerker binnenkomen, stuurt Verwerker door.
7. Geheimhouding
Iedereen die bij Verwerker toegang heeft tot de persoonsgegevens is tot geheimhouding verplicht.
8. Bewaartermijnen
- Gegevens worden bewaard zolang de overeenkomst loopt.
- Verwijderde projecten, taken, tickets en bestanden staan 30 dagen in de prullenbak en worden daarna definitief gewist.
- Na beëindiging worden alle gegevens van de organisatie na 30 dagen definitief verwijderd; back-ups worden binnen de reguliere rotatie van de hostingpartij overschreven.
- Facturen en betaalgegevens van het abonnement worden 7 jaar bewaard vanwege de fiscale bewaarplicht.
9. Audit
Verwerkingsverantwoordelijke mag één keer per jaar, of na een datalek, laten controleren of Verwerker deze overeenkomst naleeft, door een onafhankelijke deskundige met geheimhoudingsplicht, na een aankondiging van ten minste 14 dagen. Verwerker verstrekt de daarvoor redelijkerwijs benodigde informatie. De kosten zijn voor Verwerkingsverantwoordelijke, tenzij blijkt dat Verwerker deze overeenkomst op wezenlijke punten niet nakomt.
10. Beëindiging en teruggave
- Deze verwerkersovereenkomst duurt zolang Verwerker persoonsgegevens verwerkt voor Verwerkingsverantwoordelijke.
- Bij beëindiging levert Verwerker op verzoek een export van alle gegevens (JSON). Verwerker verwijdert daarna alle persoonsgegevens, tenzij een wettelijke plicht tot bewaren geldt.
11. Aansprakelijkheid
Voor de aansprakelijkheid van partijen geldt de regeling in de algemene voorwaarden van Verwerker, met dien verstande dat de beperking niet geldt voor boetes of schade die het gevolg zijn van opzet of bewuste roekeloosheid van Verwerker.
12. Slotbepalingen
Op deze overeenkomst is Nederlands recht van toepassing. Vragen over privacy of een datalek: sales@oumnio.com.