Verwerkersovereenkomst

1. Partijen

1.1 Deze verwerkersovereenkomst is de overeenkomst die artikel 28 lid 3 van de Algemene verordening gegevensbescherming (AVG) vraagt. Zij geldt tussen:

• het bedrijf of de organisatie met een StikstofNu-account, als verwerkingsverantwoordelijke (hierna: u); en
• Mooij Leven, Hertenlaan 12 D, 3712 BK Huis ter Heide, tel. +31 6 52381354, KvK 50820133, btw NL002181947B06, als verwerker (hierna: wij). Contact: info@alexandermooij.com.

1.2 U gaat met deze overeenkomst akkoord bij het openen van het account. Zij hoort bij de aanvullende voorwaarden voor accounts en de algemene voorwaarden. Gaat het over persoonsgegevens die wij voor u verwerken, dan gaat deze overeenkomst voor.

1.3 Woorden uit de AVG, zoals persoonsgegevens, verwerken en betrokkene, betekenen hier wat de AVG ermee bedoelt. Een datalek is een inbreuk in verband met persoonsgegevens (artikel 4 AVG). Woorden als gebruiker, beheerder, werkruimte en kenmerk betekenen hetzelfde als in de aanvullende voorwaarden voor accounts.

2. Onderwerp, aard en doel

2.1 Wij verwerken persoonsgegevens voor u om de stikstofdepositie van de projecten van uw bedrijf te berekenen en de werkruimte van uw account bij te houden.

2.2 Daarvoor slaan wij de gegevens op, rekenen wij ermee, tonen wij ze aan de gebruikers van uw account, mailen wij uitnodigingen, uitslagen en rapporten, zetten wij het kenmerk van een bestelling op de factuur, en verwijderen wij de gegevens aan het einde (artikel 11).

2.3 Wij gebruiken de gegevens alleen voor de doelen in dit artikel. Wij verkopen ze niet en gebruiken ze niet voor reclame.

2.4 Voor een deel van de gegevens zijn wij zelf verantwoordelijk, en niet uw verwerker. Daarvoor geldt onze privacyverklaring. Het gaat om:

• wat wij nodig hebben om het account te leveren en te beveiligen, zoals de e-mailadressen waarmee uw gebruikers inloggen, de inlogpogingen en uw bedrijfsgegevens;
• bestellingen en facturen, met het kenmerk dat erop staat, betalingen en claims onder de geld-terug-garantie;
• elke berekening op zich, los van uw account: het adres, het bouwplan, de invoer en de uitkomst. Die bewaren wij om de berekening te kunnen herhalen en controleren, en om onze rekenregels te toetsen.

3. Welke gegevens, van wie

3.1 Wij verwerken voor u deze persoonsgegevens:

• adressen en locaties van projecten, met de gegevens van het bouwplan; zo'n adres kan van een privépersoon zijn;
• kenmerken die uw gebruikers invullen; daarin kan de naam van een opdrachtgever staan;
• e-mailadressen van uw gebruikers en van wie u uitnodigt, met hun rol en wie welke berekening of bestelling deed. Een e-mailadres bevat vaak een naam.

3.2 Die gegevens gaan over:

• uw opdrachtgevers en anderen bij wie een project hoort, zoals de eigenaar of bewoner van een adres;
• de gebruikers van uw account en de mensen die u uitnodigt.

3.3 Bijzondere persoonsgegevens, zoals over iemands gezondheid, en burgerservicenummers horen niet in het account. Zet ze ook niet in een kenmerk.

4. Duur

4.1 Deze overeenkomst begint als het account wordt geopend. Zij eindigt als wij na het sluiten van het account de gegevens hebben verwijderd die wij voor u verwerken (artikel 11).

4.2 Wat naar zijn aard ook daarna moet gelden, zoals geheimhouding en aansprakelijkheid, blijft gelden.

5. Uw instructies

5.1 Wij verwerken de persoonsgegevens alleen op uw schriftelijke instructies. Die instructies zijn deze overeenkomst, de aanvullende voorwaarden voor accounts en wat uw gebruikers in het account doen, zoals een berekening maken, een kenmerk invullen, iemand uitnodigen of het account sluiten. Andere instructies geeft een beheerder per e-mail.

5.2 Verplicht de wet ons om de gegevens op een andere manier te verwerken, dan laten wij u dat vooraf weten, tenzij de wet dat verbiedt.

5.3 Vinden wij dat een instructie in strijd is met de AVG of andere regels over gegevensbescherming, dan laten wij u dat direct weten.

5.4 U zorgt dat u de gegevens die u invoert, mag verwerken en aan ons mag geven, en dat u uw opdrachtgevers informeert waar de AVG dat vraagt.

6. Geheimhouding

6.1 Iedereen die bij ons met de gegevens werkt, moet ze geheimhouden, op grond van een overeenkomst of de wet. Alleen wie de gegevens voor zijn werk nodig heeft, krijgt er toegang toe.

6.2 Wij geven de gegevens niet aan anderen, behalve aan de diensten in artikel 8 of als de wet ons daartoe verplicht.

7. Beveiliging

7.1 Wij beveiligen de gegevens met passende technische en organisatorische maatregelen (artikel 32 AVG). In gewone woorden:

• de gebruikers van een account zien alleen de werkruimte van dat account: bij elke vraag om gegevens controleert onze server bij welk account de ingelogde gebruiker hoort;
• inloggen gaat zonder wachtwoord, met een code of link per e-mail die een uur geldig is, en het aantal pogingen is beperkt;
• een verwijderde gebruiker verliest direct de toegang, en een gebruiker kan zich op al zijn apparaten tegelijk afmelden;
• alleen onze server kan bij de database; gebruikers en bezoekers kunnen er niet rechtstreeks bij;
• de gegevens gaan versleuteld over het internet, en de database en de bestanden staan versleuteld opgeslagen bij Supabase in de Europese Unie;
• alleen mensen die het voor hun werk nodig hebben, kunnen bij onze systemen.

7.2 Wij kijken geregeld of deze maatregelen nog volstaan en verbeteren ze waar nodig.

7.3 Voor de beveiliging aan uw kant bent u zelf verantwoordelijk: wie toegang heeft tot het account, en tot de e-mailadressen waarmee uw gebruikers inloggen.

8. Subverwerkers en andere ontvangers

8.1 U geeft ons toestemming om deze subverwerkers in te schakelen:

• Netlify: hosting van de website en van de servers die verzoeken afhandelen;
• Supabase: de database, de opslag van bestanden en het controleren van inlogcodes, in de Europese Unie;
• Trigger.dev: maakt berekeningen en rapporten op de achtergrond;
• Resend: verstuurt onze e-mails, zoals inlogcodes, uitnodigingen, uitslagen en rapporten; in een e-mail kan het adres van een project staan;
• Stripe: verwerkt betalingen en maakt de facturen; op een factuur staan uw bedrijfsgegevens, het adres van het project en het kenmerk van de bestelling. Voor een deel van de verwerking, zoals het voorkomen van fraude, is Stripe zelf verantwoordelijk.

8.2 Met elke subverwerker hebben wij een overeenkomst die hem de verplichtingen oplegt die artikel 28 lid 4 AVG vraagt. Komt een subverwerker die niet na, dan blijven wij daarvoor tegenover u aansprakelijk, zoals artikel 13 regelt.

8.3 Twee openbare diensten krijgen ook gegevens. Zij zijn geen subverwerker van ons en verwerken de gegevens onder hun eigen verantwoordelijkheid. Wij zijn niet verbonden aan AERIUS, het RIVM of de overheid.

• AERIUS Connect, de rekendienst van het RIVM waarmee wij rekenen: krijgt de invoerbestanden met de locatie en het adres van het project, nooit e-mailadressen of kenmerken;
• PDOK: daar zoeken wij het adres van het project op.

8.4 Sommige van deze diensten zijn gevestigd buiten de Europese Unie, vooral in de Verenigde Staten, of kunnen gegevens daar verwerken. Dat gebeurt alleen met de waarborgen die de AVG vraagt, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie. Met deze overeenkomst geeft u de instructie voor die doorgifte.

8.5 Willen wij een subverwerker toevoegen of vervangen, dan mailen wij de beheerders van uw account ten minste veertien dagen vooraf. U kunt in die tijd bezwaar maken. Komen wij er samen niet uit, dan kunt u het account sluiten voordat de wijziging ingaat.

9. Hulp bij verzoeken van betrokkenen

9.1 Wil iemand zijn gegevens inzien, laten verbeteren of laten verwijderen, of een ander recht uit de AVG gebruiken, dan kunt u veel zelf in het account doen, zoals kenmerken wijzigen of wissen, een berekening zonder besteld rapport uit de werkruimte halen en gebruikers verwijderen. Wat u niet zelf kunt, zoals een berekening met een besteld rapport uit de werkruimte halen, doen wij op verzoek van een beheerder binnen tien werkdagen.

9.2 Krijgen wij zelf zo'n verzoek over gegevens die wij voor u verwerken, dan sturen wij het direct naar u door. Het deel over gegevens waarvoor wij zelf verantwoordelijk zijn (artikel 2.4), beantwoorden wij zelf.

9.3 Wij helpen u ook, voor zover redelijk en met de informatie die wij hebben, bij uw plichten over beveiliging, datalekken, een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging van de Autoriteit Persoonsgegevens (artikelen 32 tot en met 36 AVG).

10. Datalekken

10.1 Ontdekken wij een datalek bij gegevens die wij voor u verwerken, dan melden wij dat zonder onredelijke vertraging per e-mail aan de beheerders van uw account, en in ieder geval binnen 48 uur nadat wij het hebben ontdekt.

10.2 Wij vertellen daarbij wat wij weten: wat er is gebeurd, welke gegevens en ongeveer hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen, en wat wij doen om het lek te dichten en de gevolgen te beperken. Weten wij nog niet alles, dan vullen wij de melding aan zodra wij meer weten.

10.3 U beslist of u het datalek meldt aan de Autoriteit Persoonsgegevens en aan de betrokkenen. Raakt het ook gegevens waarvoor wij zelf verantwoordelijk zijn, dan melden wij dat deel zelf.

11. Verwijderen aan het einde

11.1 Twaalf maanden nadat het account is gesloten, verwijderen wij de gegevens die wij voor u verwerken: de gebruikers, de uitnodigingen, de werkruimte en de kenmerken bij berekeningen. Kopieën in back-ups verdwijnen daarna vanzelf als die back-ups verlopen.

11.2 Wilt u dat wij eerder verwijderen, mail dan naar info@alexandermooij.com; wij doen dat binnen een maand. Wilt u de gegevens eerst terug, dan sturen wij u een overzicht van de werkruimte in een gangbaar bestand. Bewaar rapporten die u wilt houden zelf, voordat u het account sluit.

11.3 Wat wij volgens de wet of de algemene voorwaarden moeten bewaren, verwijderen wij pas daarna. Bestellingen bewaren wij, met het kenmerk en het e-mailadres van de gebruiker die bestelde, zolang de geld-terug-garantie loopt en daarna zeven jaar voor onze administratie. Facturen bewaren wij zeven jaar.

11.4 Berekeningen op zich bewaren wij zoals artikel 2.4 en onze privacyverklaring beschrijven, zonder koppeling met uw account.

12. Informatie en audit

12.1 Wij geven u op redelijk verzoek de informatie die nodig is om te laten zien dat wij deze overeenkomst en artikel 28 AVG nakomen.

12.2 Is die informatie niet genoeg, dan mag u een audit laten doen door een onafhankelijke deskundige met een geheimhoudingsplicht, ten hoogste eens per jaar en na overleg over het moment en de omvang. De audit mag de dienst niet verstoren. U betaalt de kosten, tenzij blijkt dat wij deze overeenkomst op een belangrijk punt niet nakomen.

12.3 Over de systemen van onze subverwerkers geven wij u de rapporten en certificaten die zij daarover beschikbaar stellen.

13. Aansprakelijkheid

13.1 Voor onze aansprakelijkheid onder deze overeenkomst geldt artikel 13 van de algemene voorwaarden, met de regels voor professionals.

13.2 Dit artikel gaat alleen over wat u en wij elkaar verschuldigd zijn. Het beperkt de rechten van betrokkenen niet.

14. Wijzigingen

Wij kunnen deze overeenkomst wijzigen op de manier die artikel 12 van de aanvullende voorwaarden voor accounts beschrijft.

15. Toepasselijk recht

15.1 Op deze overeenkomst is Nederlands recht van toepassing.

15.2 Een geschil gaat naar de rechter die artikel 18.4 van de algemene voorwaarden aanwijst.