Verwerkersovereenkomst

Verwerkersovereenkomst. Dit is de schriftelijke overeenkomst die art. 28 lid 3 AVG verlangt zodra Ridoco persoonsgegevens verwerkt namens u. Zij maakt deel uit van de algemene voorwaarden en gaat in op de dag dat het werk begint. Een handtekening is niet nodig om haar te laten gelden. Een medeondertekend exemplaar is op verzoek beschikbaar.

1. Welke opdrachten hieronder vallen, en welke niet

Bij de opdrachten hieronder bent u de verwerkingsverantwoordelijke en is Ridoco de verwerker. U bepaalt wat er met de gegevens gebeurt en waarom; Ridoco voert het werk uit dat u hebt gevraagd.

• Onderhoud en Care-abonnementen. Updates, back-ups, monitoring en herstelwerk op een site die gegevens van uw klanten bevat.
• Hosting. Een site die Ridoco voor u host op de eigen server.
• Bouwen op live gegevens. Een bouw, een herontwerp of een migratie waarbij de database van de bestaande site wordt gekopieerd, verplaatst of bewerkt.
• IT- en beveiligingswerk. Werk op afstand of op locatie aan uw machines, mailboxen, netwerk of accounts, inclusief dataherstel.

Twee situaties die erop lijken en er niet onder vallen:

• Uw eigen relatie met Ridoco. Uw account op deze site, offertes, facturen, afspraken en supporttickets zijn de eigen administratie van Ridoco. Daarvoor is Ridoco zelf verwerkingsverantwoordelijke en geldt de privacyverklaring.
• Ontwerpwerk zonder persoonsgegevens. Een logo, een huisstijlgids of beeldmateriaal gemaakt uit materiaal dat u aanlevert valt buiten deze overeenkomst, tenzij dat materiaal persoonsgegevens bevat. In dat geval geldt deze overeenkomst er onverkort voor.

2. Onderwerp en duur

Onderwerp: de verwerking die Ridoco uitvoert om de opdracht op uw offerte te leveren.

Duur: vanaf de start van het werk tot de opdracht eindigt of het abonnement wordt opgezegd, plus de afbouwperiode in artikel 10. Deze overeenkomst duurt precies zo lang als Ridoco enig gegeven van u onder zich heeft.

3. Aard en doel van de verwerking

Het doel is de levering van de opdracht en verder niets. Ridoco gebruikt uw gegevens niet voor eigen analyse, eigen marketing of het trainen van welk model dan ook.

In de praktijk bestaat de verwerking uit: het lezen en schrijven van records in de database van uw site; het terugzetten, kopiëren en verplaatsen van die database tijdens een migratie; het openen van bestanden en mailboxen op uw systemen bij het opsporen van een storing; het bewaren van back-ups; het lezen van server- en applicatielogs; en het zien van wat er tijdens support op het scherm verschijnt.

4. Wiens gegevens, en welke soort

Categorieën van betrokkenen: uw klanten, de bezoekers van uw website, mensen die uw formulieren invullen, uw abonnees, uw eigen medewerkers, en ieder ander van wie uw systemen gegevens bevatten.

Soorten persoonsgegevens: namen, adressen, e-mailadressen, telefoonnummers, inloggegevens in gehashte vorm, bestel- en factuurgegevens, bericht- en formulierinhoud, geüploade bestanden, IP-adressen en serverlogregels. De precieze verzameling is wat uw systemen al bevatten. Ridoco kiest die niet.

Bijzondere categorieën. De diensten zijn niet ontworpen voor de gegevens genoemd in art. 9 AVG en evenmin voor strafrechtelijke gegevens onder art. 10 AVG. Zet zulke gegevens niet in een systeem dat Ridoco onderhoudt zonder dat vooraf schriftelijk te melden, zodat de extra maatregelen die art. 9 verlangt kunnen worden afgesproken voordat het werk begint. Bevat vrije tekst van uw eigen gebruikers die toch, dan blijft u verwerkingsverantwoordelijke en dekt deze overeenkomst haar als ieder ander gegeven.

5. Uw instructies

• Ridoco verwerkt uw gegevens uitsluitend op uw gedocumenteerde instructies. Uw offerte, uw schriftelijke opdracht, uw ticket en uw inrichting van de systemen zijn uw instructies.
• Een instructie die telefonisch of in een gesprek wordt gegeven, wordt per e-mail bevestigd voordat zij wordt uitgevoerd, zodat beide partijen dezelfde vastlegging hebben.
• Verplicht Nederlands of Europees recht Ridoco tot een verwerking buiten uw instructies om, dan hoort u dat voordat het gebeurt, tenzij datzelfde recht die mededeling verbiedt.
• Lijkt een instructie in strijd met de AVG, dan meldt Ridoco dat schriftelijk en mag zij de instructie aanhouden tot u haar bevestigt.
• Niets hierin geeft Ridoco het recht uw gegevens door te geven aan een ander dan de subverwerkers in artikel 7.

6. Beveiliging (art. 32 AVG)

De maatregelen die gelden voor het werk dat Ridoco uitvoert:

• elke verbinding met de site en met de server loopt over TLS;
• elke site op de productieserver draait onder een eigen besturingssysteemaccount en een eigen databasegebruiker, zodat de ene site de bestanden van de andere niet kan lezen;
• de applicatie verbindt met haar database als applicatiegebruiker en nooit als root-gebruiker van de database;
• beheertoegang tot de productieserver gaat uitsluitend via een SSH-sleutel. Met een wachtwoord komt niemand binnen;
• wachtwoorden van accounts worden opgeslagen als eenrichtingshash en zijn niet terug te lezen;
• tweefactorauthenticatie is beschikbaar op beheeraccounts;
• bestanden die via de site worden geüpload staan buiten de publieke webroot en zijn alleen bereikbaar via een route die controleert wie erom vraagt;
• toegang tot uw productiegegevens is beperkt tot de ene persoon die Ridoco voert, onder de geheimhoudingsplicht in artikel 8;
• meldingen over kwetsbaarheden in de gebruikte software worden gevolgd en patches worden toegepast zodra zij worden uitgebracht;
• houdt Ridoco een back-up van uw site of uw database, dan wordt die binnen de EU bewaard en valt zij onder deze overeenkomst op dezelfde voet als de live gegevens, inclusief de wisplicht in artikel 10.

Art. 32 vraagt om maatregelen die passen bij het risico. Brengen uw systemen een risico mee waarop deze maatregelen geen antwoord geven, meld dat dan, dan staan de aanvullende maatregelen op de offerte voordat het werk begint.

7. Subverwerkers (art. 28 lid 2 en lid 4 AVG)

U geeft algemene schriftelijke toestemming voor de subverwerkers hieronder. Elk van hen wordt bij naam genoemd, omdat u geen bezwaar kunt maken tegen een partij van wie u de naam niet kent.

• netcup GmbH, Neurenberg, Duitsland. De server, de opslag en de back-ups daarvan, voor alles wat Ridoco voor u host.
• Google Ireland Limited, Dublin, Ierland, voor Google Workspace. De mailboxen van ridoco.com. Deze partij komt alleen in beeld wanneer uw gegevens per e-mail binnenkomen, zoals een export die u stuurt, een schermafbeelding bij een storingsmelding, of een adressenlijst die wordt overgedragen voor een migratie.
• Functional Software, Inc., handelend onder de naam Sentry, San Francisco, Verenigde Staten, voor foutmonitoring. De meldingen gaan naar de Europese regio van Sentry en worden opgeslagen in Frankfurt, Duitsland. Deze partij komt in beeld wanneer de software vastloopt, en bij één op de vijf verzoeken voor tijdmeting. Zij ontvangt de fout, de stacktrace, het adres van de pagina met elk token daarin verwijderd, de naam van de gematchte route, en de vorm van een databasequery zonder de waarden erin. Er gaan geen namen, e-mailadressen, IP-adressen, cookies, sessietokens of de inhoud van een formulier of verzoek naartoe.

Er is geen andere partij ingeschakeld. Er zit geen analyseaanbieder, geen advertentienetwerk, geen contentdistributienetwerk en geen AI-aanbieder in deze keten. Betaalaanbieders zitten wel in het platform en hebben op deze installatie geen inloggegevens, dus ook geen betaalaanbieder ontvangt iets.

Uw eigen leveranciers zijn geen subverwerkers van Ridoco. Draait het werk op hosting, een domeinregistrar, een mailaanbieder of licenties die op uw naam staan, dan zijn die bedrijven uw eigen verwerkers onder uw eigen afspraken met hen. Ridoco gebruikt de toegang die u verstrekt en voegt aan die lijst niemand toe.

De lijst wijzigen. Ridoco geeft u ten minste 30 dagen van tevoren schriftelijk bericht voordat een subverwerker wordt toegevoegd of vervangen. Binnen die 30 dagen kunt u bezwaar maken op redelijke gegevensbeschermingsgronden. Komt u er samen niet uit, dan mag u de betrokken dienst zonder boete beëindigen en geldt artikel 10 voor de gegevens. Iedere subverwerker wordt gebonden aan verplichtingen die niet minder beschermend zijn dan deze, en Ridoco blijft volledig aansprakelijk jegens u voor hun handelen.

8. Geheimhouding

Ridoco is één persoon zonder personeel, dus de lijst met mensen die toegang hebben tot uw gegevens telt één naam. Die persoon is gebonden aan geheimhouding over alles wat hij bij de uitvoering van het werk ziet, en die plicht loopt door nadat de opdracht is afgerond en nadat deze overeenkomst eindigt. Wordt er ooit iemand ingeschakeld om te helpen, dan wordt die persoon vooraf schriftelijk aan dezelfde plicht gebonden voordat toegang wordt verleend.

9. Verzoeken van betrokkenen, en bijstand (art. 12 tot en met 36 AVG)

Een verzoek onder hoofdstuk III AVG beantwoordt u zelf. Wie rechtstreeks contact opneemt met Ridoco wordt naar u verwezen en zijn verzoek wordt aan u doorgegeven op de werkdag waarop het als zodanig wordt herkend.

Ridoco helpt u het te beantwoorden met al het technische werk dat daarbij komt kijken: de records vinden, exporteren, corrigeren, beperken of wissen. Die hulp wordt gegeven binnen uw eigen termijn van één maand uit art. 12 lid 3, mits het verzoek Ridoco bereikt terwijl er nog tijd op staat.

Ridoco staat u ook bij met art. 32 tot en met 36: de beveiligingsmaatregelen, de melding van een inbreuk in verband met persoonsgegevens, de mededeling aan de getroffen personen, en een gegevensbeschermingseffectbeoordeling wanneer u er een moet uitvoeren.

Inbreuk in verband met persoonsgegevens. Raakt een inbreuk gegevens die Ridoco voor u verwerkt, dan meldt Ridoco dat zonder onredelijke vertraging nadat zij ermee bekend is geworden, conform art. 33 lid 2 AVG. De melding gaat naar het contactadres op uw offerte en vermeldt wat er is gebeurd, welke gegevens en welke personen het betreft voor zover dat bekend is, wat er is gedaan en wat er nog loopt. Zij wordt ook verstuurd wanneer het beeld nog onvolledig is, zodat uw eigen termijn van 72 uur onder art. 33 lid 1 op tijd kan gaan lopen. Ridoco doet namens u geen melding bij de Autoriteit Persoonsgegevens. Die afweging is aan u.

10. Teruggave en wissing aan het einde

Eindigt de opdracht, wordt het abonnement opgezegd of eindigt deze overeenkomst, dan kiest u binnen 30 dagen of Ridoco uw gegevens teruggeeft of wist. Teruggave is een database-export en een kopie van de bestanden, kosteloos overgedragen in een bruikbaar formaat.

Zodra u hebt gekozen, wist Ridoco de resterende kopieën die zij onder zich heeft, inclusief werkkopieën en back-ups, en bevestigt zij schriftelijk dat dit is gebeurd. Twee uitzonderingen, en meer zijn het er niet: wat Nederlands of Europees recht Ridoco verplicht te bewaren, en de eigen administratie van de transactie, te weten facturen en correspondentie, die onder de privacyverklaring valt en niet onder deze overeenkomst.

Maakt u binnen die 30 dagen geen keuze, dan vraagt Ridoco het schriftelijk nog één keer en wist daarna.

11. Informatie en audit (art. 28 lid 3 onder h AVG)

Op schriftelijk verzoek verstrekt Ridoco de informatie die u nodig hebt om aan te tonen dat art. 28 wordt nageleefd, waaronder hoe de maatregelen uit artikel 6 op uw opdracht worden toegepast. Het streven voor een schriftelijk antwoord is 30 dagen. Het is een streven en geen toegezegde datum, en is uw eigen wettelijke termijn korter, meld dat dan in het verzoek, dan wordt het antwoord op die termijn gewerkt.

Volstaat die informatie niet voor uw verplichtingen, dan mag u eenmaal per periode van twaalf maanden een audit uitvoeren of laten uitvoeren, met 30 dagen kennisgeving, tijdens kantooruren, onder geheimhouding en zonder onredelijke verstoring voor andere opdrachtgevers. U draagt de kosten, tenzij de audit een wezenlijke tekortkoming van Ridoco aan het licht brengt; in dat geval draagt Ridoco ze. Een toezichthouder die zijn eigen bevoegdheden uitoefent wordt door dit artikel niet beperkt.

12. Waar de gegevens staan

Uw gegevens worden opgeslagen in de Europese Unie. netcup GmbH en Google Ireland Limited zijn EU-vennootschappen die EU-infrastructuur exploiteren. Sentry bewaart de foutmeldingen in haar Europese regio in Frankfurt, en het bedrijf erachter is gevestigd in de Verenigde Staten. Haar medewerkers kunnen die regio bereiken om de dienst te ondersteunen en te beheren. Die toegang verloopt onder de modelcontractbepalingen van de Europese Commissie, en Sentry is gecertificeerd onder het EU-U.S. Data Privacy Framework. Afgezien van die toegang vindt er geen structurele doorgifte buiten de EER plaats. De eigen doorgiftes van Google worden beheerst door de gegevensverwerkingsvoorwaarden van Google Workspace en hun modelcontractbepalingen, die gelden voor de mailboxen en niet voor uw gehoste site.

Verandert dit ooit, dan hoort u dat voordat het verandert, en wordt het doorgiftemechanisme op dat moment genoemd.

13. Aansprakelijkheid, duur en recht

Elke partij draagt haar eigen aansprakelijkheid onder art. 82 AVG. Niets in deze overeenkomst beperkt de rechten van een betrokkene, en niets erin mag worden gelezen als het verschuiven van uw verantwoordelijkheden als verwerkingsverantwoordelijke naar Ridoco of andersom.

Deze overeenkomst loopt zolang Ridoco persoonsgegevens namens u verwerkt, en artikel 8 en artikel 10 blijven na het einde ervan gelden. Waar zij op een gegevensbeschermingspunt in strijd is met de algemene voorwaarden, gaat deze overeenkomst voor. Nederlands recht is van toepassing en de Rechtbank Oost-Brabant is bevoegd, net als onder de algemene voorwaarden.

Wijzigingen in dit document worden hier gepubliceerd met een herzieningsdatum. Een wijziging die u wezenlijk raakt wordt aangekondigd voordat zij ingaat.

14. Contact

De verwerker onder deze overeenkomst is Ridoco, een eenmanszaak gevestigd aan De Nieuwe Erven 3-12572, 5431 NV Cuijk, Nederland, ingeschreven bij de Kamer van Koophandel onder 95439609 en met btw-identificatienummer NL005153257B49.

Alles wat deze overeenkomst schriftelijk van u vraagt gaat naar contact@ridoco.com: een instructie op grond van artikel 5, een bezwaar op grond van artikel 7, een verzoek om bijstand op grond van artikel 9, uw keuze op grond van artikel 10, en een auditverzoek op grond van artikel 11.

Art. 37 AVG verplicht drie soorten organisaties tot het aanstellen van een functionaris voor gegevensbescherming, en een eenmanszaak in web en IT is geen van die drie. Er is geen functionaris om een vraag aan door te geven. Zij komt terecht bij de persoon die het werk doet.