Verwerkersovereenkomst

1. Partijen en rollen

De klant is verwerkingsverantwoordelijke voor de persoonsgegevens die hij of zijn gebruikers in ServiceHub en Wesley invoeren of laten verwerken, zoals gegevens van zijn eigen klanten, contactpersonen, medewerkers en websitebezoekers. YuMa Holding B.V., handelend onder de naam EM Software (hierna: verwerker), verwerkt deze gegevens uitsluitend namens de klant en volgens zijn gedocumenteerde instructies. Het gebruik van de dienst volgens de documentatie en de instellingen die de klant kiest, gelden als die instructies. De klant informeert zijn eigen betrokkenen, zoals de bezoekers van zijn website die Wesley gebruiken, over deze verwerking.

2. Onderwerp, aard en doel

Verwerking is beperkt tot het leveren van de dienst: opslaan en tonen van klanten, locaties, meldingen, planning, werkbonnen, foto's, handtekeningen, facturen en creditfacturen; versturen van e-mails die de klant laat versturen; Wesley-gesprekken en overdrachten; ondersteuning op verzoek van de klant; beveiliging, logging, back-up en herstel.

Categorieën betrokkenen: klanten en contactpersonen van de klant, medewerkers en gebruikers van de klant, en websitebezoekers die Wesley gebruiken. Categorieën gegevens: naam, adres, e-mail, telefoon, bedrijfsgegevens, werkomschrijvingen, foto's, handtekeningen, factuurgegevens en de korte contactgegevens uit Wesley-overdrachten. De dienst is niet bedoeld voor bijzondere persoonsgegevens; de klant voert die niet in.

3. Verplichtingen van de verwerker

De verwerker verwerkt de gegevens niet voor eigen doeleinden, behalve geanonimiseerde, inhoudsloze gebruikstellingen voor beveiliging, capaciteit en productverbetering. Personen met toegang zijn tot geheimhouding verplicht. De verwerker meldt het de klant als een instructie naar zijn oordeel in strijd is met de AVG.

De verwerker verwerkt de gegevens, ook bij doorgifte naar een land buiten de Europese Economische Ruimte, uitsluitend op instructie van de klant, tenzij een op de verwerker toepasselijke wettelijke bepaling hem tot verwerking verplicht. In dat geval stelt hij de klant daarvan vooraf in kennis, tenzij de wet dat verbiedt.

4. Beveiliging

De verwerker treft passende technische en organisatorische maatregelen, waaronder: versleutelde verbindingen (TLS); strikte scheiding van gegevens per organisatie in iedere databasequery; rollen en rechten per gebruiker; gehashte wachtwoorden en beperkte inlogpogingen; werkfoto's in afgeschermde objectopslag die alleen via kortlevende, ondertekende links bereikbaar is; versleutelde opslag van providercredentials; auditlog van belangrijke handelingen; dagelijkse back-ups met een kopie op een aparte locatie en periodieke hersteltests; beperkte en gelogde beheerstoegang tot de servers.

5. Subverwerkers

De klant geeft toestemming voor de inzet van de volgende subverwerkers. Bij een nieuwe of vervangende subverwerker informeren we de klant minimaal 30 dagen vooraf; de klant kan op redelijke gronden bezwaar maken en, als we geen oplossing vinden, het abonnement per die datum beëindigen. De verwerker legt iedere subverwerker schriftelijk dezelfde gegevensbeschermingsverplichtingen op als in deze overeenkomst en blijft tegenover de klant volledig verantwoordelijk voor de nakoming door die subverwerker.

Mollie B.V. verwerkt alleen de betaalgegevens van de klant zelf voor zijn abonnement bij EM Software; daarvoor is EM Software zelf verantwoordelijk (zie de privacyverklaring). Mollie is daarom geen subverwerker. Koppelt de klant zijn eigen Mollie-account om facturen online te laten betalen (optioneel), dan sluit de klant daarvoor zelf een overeenkomst met Mollie; ServiceHub geeft dan alleen factuurnummer en bedrag door en ontvangt de betaalstatus terug.

6. Beveiligingsincidenten

De verwerker meldt een inbreuk in verband met persoonsgegevens van de klant zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking, met de informatie die de klant nodig heeft voor een eventuele melding aan de Autoriteit Persoonsgegevens en betrokkenen. De verwerker neemt direct maatregelen om de gevolgen te beperken en houdt de klant op de hoogte.

7. Rechten van betrokkenen en bijstand

De klant kan de meeste verzoeken van betrokkenen zelf afhandelen in de portal, zoals inzien, corrigeren, exporteren en verwijderen. Waar dat niet kan, helpt de verwerker binnen redelijke termijn. Ook bij een gegevensbeschermingseffectbeoordeling of voorafgaande raadpleging verleent de verwerker redelijke bijstand.

8. Controle

De verwerker stelt op verzoek de informatie beschikbaar die nodig is om naleving aan te tonen, zoals een beschrijving van de maatregelen en resultaten van hersteltests. Een audit door een onafhankelijke deskundige is mogelijk na redelijke aankondiging, met geheimhouding en voor rekening van de klant, tenzij de audit een tekortkoming van de verwerker aantoont.

9. Einde

Na het einde van de overeenkomst kan de klant gedurende 90 dagen zelf een volledige export downloaden. Daarna verwijdert de verwerker de persoonsgegevens van de klant uit de actieve systemen, inclusief foto's in de objectopslag. Kopieën in back-ups verdwijnen binnen de vaste back-uproulatie en worden niet meer actief gebruikt. Gegevens die de verwerker wettelijk langer moet bewaren, zoals zijn eigen facturen aan de klant, vallen hier buiten.

10. Aansprakelijkheid en looptijd

Voor aansprakelijkheid gelden de algemene voorwaarden. Deze verwerkersovereenkomst loopt zolang de verwerker persoonsgegevens voor de klant verwerkt.