Verwerking

Verwerkers
overeenkomst

Je klanten vertrouwen jou hun verhaal toe. Bouw en beheer ik je systeem, dan kan ik bij die gegevens. Jij blijft er verantwoordelijk voor, ik verwerk ze alleen in jouw opdracht. Hier staat wat ik daarmee mag, en vooral wat niet. Deze overeenkomst hoort bij je voorstel en volgt de AVG.

De afspraken

1. Wie wat is

  1. Jij bent de verwerkingsverantwoordelijke: jij bepaalt waarom en hoe de gegevens van je klanten worden verwerkt. Ik ben de verwerker.
  2. Deze overeenkomst geldt zolang ik je systeem bouw of beheer, en daarna voor wat ik nog bewaar.

2. Welke gegevens

  1. Het gaat om de gegevens van je klanten, contacten en bezoekers in je systeem: namen, contactgegevens, afspraken, voorstellen, facturen, berichten, antwoorden op vragenlijsten, opdrachten en verslagen.
  2. Werk je met gegevens over gezondheid of andere gevoelige zaken, dan bepaal jij of je die vastlegt. Doe je dat, dan het liefst in de Kluis. Die kan ik niet lezen.
  3. Voor gevoelige gegevens heb je vaak uitdrukkelijke toestemming van je klant nodig. Dat regel jij met je klant.

3. Wat ik ermee doe

  1. Ik verwerk de gegevens alleen om je systeem te bouwen, te beheren en te herstellen, en alleen in jouw opdracht.
  2. Ik gebruik ze nooit voor mezelf, ik verkoop ze niet en ik stuur ze nooit naar een AI-dienst.
  3. Ik ontwikkel en test met een verzonnen bedrijf, nooit met jouw gegevens.
  4. Vind ik een opdracht van jou in strijd met de AVG, dan zeg ik je dat.
  5. Vraagt een overheid om gegevens, dan laat ik het je weten, als de wet dat toestaat.

4. Geheimhouding

  1. Ik houd de gegevens geheim. Gaat er ooit iemand voor mij werken die erbij kan, dan tekent die ook voor geheimhouding.

5. Beveiliging

  1. Ik neem de maatregelen uit bijlage A. Ik houd ze bij de tijd, en de bijlage verandert mee.
  2. Ik maak de beveiliging nooit zwakker zonder het je te vertellen.

6. Wie er nog meer bij kan

  1. Je hosting sluit je zelf af, net als Moneybird als je die koppelt. Dat zijn jouw eigen afspraken met die partijen.
  2. Wie ik zelf inschakel, staat in bijlage B. Komt er iemand bij, dan hoor je dat minstens dertig dagen vooraf, en mag je bezwaar maken.
  3. Wie ik inschakel, houdt zich aan dezelfde plichten als ik. Ik blijf daar tegenover jou verantwoordelijk voor.

7. Buiten Europa

  1. Je systeem en je gegevens staan in Nederland.
  2. Alleen als je de schrijfhulp aanzet, gaat tekst naar Anthropic of OpenAI in de Verenigde Staten. Dat is tekst voor je website. Namen van je klanten houdt de schrijfhulp tegen.
  3. Die doorgifte gebeurt met de waarborgen die de AVG daarvoor eist.

8. Een datalek

  1. Ontdek ik een datalek, dan hoor je het zonder onnodige vertraging van me, en uiterlijk binnen 24 uur.
  2. Je krijgt alles wat je nodig hebt voor een melding: wat er gebeurde, welke gegevens en hoeveel mensen het raakt, de gevolgen en wat ik eraan doe.
  3. Jij beslist of je het meldt bij de Autoriteit Persoonsgegevens en aan je klanten. Een melding bij de Autoriteit doe je binnen 72 uur. Ik help je daarbij.
  4. Ik houd een overzicht bij van elk lek, ook een klein lek.

9. Verzoeken van je klanten

  1. Vraagt een klant om inzage, verbetering of verwijdering, dan doe je dat zelf in je paneel. Lukt dat niet, dan help ik je.
  2. Komt zo’n verzoek bij mij binnen, dan stuur ik het meteen naar jou door.
  3. Ik help je ook bij een risicoanalyse, een DPIA, of bij een vraag van de toezichthouder.

10. Controle

  1. Je mag nagaan of ik me aan deze afspraken houd. Meestal is bijlage A met mijn uitleg genoeg.
  2. Wil je meer, dan mag een onafhankelijke deskundige het controleren, met twee weken aankondiging. De kosten zijn voor jou, behalve als blijkt dat ik me niet aan de afspraken hield.

11. Aansprakelijkheid

  1. Voor schade geldt wat in de algemene voorwaarden staat, voor zover de wet dat toelaat.

12. Als we stoppen

  1. Je gegevens staan op je eigen hosting, dus je houdt alles.
  2. Mijn toegang vervalt. Wat ik nog bewaar, zoals versleutelde back-ups, wis ik binnen 14 dagen. Wil je het eerst terug, dan krijg je het.
  3. Daarna bevestig ik je dat alles weg is.

Bijlage A. Beveiliging

13. Inloggen

  1. In je paneel log je in met een passkey. Een wachtwoord dat kan uitlekken of worden afgevist, is er niet.
  2. Ben je je telefoon kwijt, dan kom je weer binnen met je herstelsleutel.
  3. Na vijf mislukte pogingen gaat de deur een kwartier dicht.

14. Versleuteling

  1. Alles wat over je klanten gaat, staat per veld versleuteld, ook in een back-up. Van naam en adres tot antwoorden en uitslagen.
  2. Wat in de Kluis staat, is versleuteld met een sleutel die alleen de eigenaar heeft. Ook ik kan het niet lezen.
  3. Al het verkeer gaat versleuteld, over https.

15. Toegang

  1. Rechten staan per onderdeel. Een collega ziet alleen zijn deel.
  2. In je paneel kom ik alleen als jij de toegang openzet, voor hoogstens 24 uur.
  3. Een logboek houdt bij wie wat opende.

16. Back-ups

  1. Elke dag maakt het systeem een versleutelde back-up. Een kopie staat buiten je hosting, bij mij, net zo versleuteld.
  2. Het terugzetten van een back-up is geoefend.

17. Bouwen en bijhouden

  1. Ik bouw en test met verzonnen gegevens. Elke wijziging gaat eerst door duizenden automatische tests.
  2. Het systeem controleert zelf op bekende lekken, en updates houden het bij de tijd.

18. Mijn werkplek

  1. Mijn computer is versleuteld en vergrendelt zichzelf. Bij elke dienst log ik in met een passkey of met een tweede stap.

Bijlage B. Wie er nog meer bij kan

19. Wie ik zelf inschakel

  1. Er is nu niemand anders die voor mij bij de gegevens van je klanten kan.
  2. Zet je de schrijfhulp aan, dan gaat de tekst waar je hulp bij vraagt naar Anthropic of OpenAI, allebei in de Verenigde Staten. Gegevens van je klanten horen daar niet bij.

20. Wat je zelf afsluit

  1. Je hoster, je domein, je e-mail en Moneybird als je die koppelt. Die contracten staan op jouw naam, dus jij maakt met hen de afspraken.